Notice d’information en matière de protection des données pour les sociétés du Groupe BCV (ci-après le « Groupe BCV ») dont notamment la Banque Cantonale Vaudoise (ci-après la « Banque »)
Le Groupe BCV attache une grande importance à la protection des Données Personnelles de ses clientes et clients (ci-après le «Client») et s’engage à les collecter et à les traiter de manière transparente dans le respect de la loi fédérale sur la protection des données (ci-après la «Loi»). Dans le cadre de la présente notice, la référence au terme de « Client » inclut également les prospects dont la Banque traite des Données Personnelles.
La présente notice vise à informer toute Personne Concernée (voir définition ci-dessous) des types de Données Personnelles traitées par la Banque et de l’utilisation qui en est faite par cette dernière, ainsi que des fondements légaux sur lesquels elle s’appuie. Cette notice décrit également les droits du Client dans ce contexte. Elle complète les accords contractuels qui lient le Client à la Banque (y compris les articles 17 à 19 des Conditions générales, relatifs à l'externalisation, à la protection des données et au secret bancaire) et les conditions spécifiques aux différents produits et canaux numériques de la Banque (en particulier sites internet et applications mobiles).
1. Les types de Données Personnelles et leurs sources
Le terme de Données Personnelles désigne toutes les informations qui se rapportent à une personne identifiée (par ex. par son prénom, nom) ou identifiable (par ex. par un nom ou un numéro de passeport). Dans le cadre de ses activités, la Banque est amenée à collecter et à traiter des Données Personnelles concernant le Client et des personnes liées à celui-ci (ci-après désignés ensemble par «Personne Concernée»), par exemple le représentant d'une personne morale, un trustee, un ayant droit économique, le récipiendaire d'ordre d'un paiement ou encore la personne bénéficiant d'une procuration sur un compte du Client. La Banque demande au Client de transmettre à ces personnes les informations figurant dans la présente notice d’informations en matière de protection des données.
En fonction du produit ou du service fourni, la Banque peut être amenée à traiter notamment les catégories de Données Personnelles suivantes:
- informations personnelles, telles que nom, numéro de passeport, date de naissance, adresse postale et e-mail, numéro de téléphone, nom du curateur si applicable, informations relatives à la famille telles que nom du conjoint et des enfants, état civil et documents KYC (Know Your Customer/Connais ton Client)
- caractéristiques professionnelles, telles que secteur d’activités, titre professionnel, nom de l’employeur et expérience professionnelle;
- identification bancaire, telle que coordonnées bancaires et numéro de carte bancaire;
- informations financières, telles que opérations bancaires, relevés de paiement et toute information relative aux revenus (salaire, revenu de portefeuille-titre, etc.), aux biens mobiliers et immobiliers, aux dettes, aux impôts (par ex. domicile fiscal) et aux autres engagements (par ex. crédit auprès d’une banque tierce);
- expérience et connaissance produits, telles que segment clientèle, profil d’investisseur, connaissances et expériences en matière d’investissement, détails des interactions de la Banque avec le Client et produits et services qu’il utilise;
- relations, par ex. suivi, procuration, mandant, ayant droit économique.
Ces informations peuvent être collectées par la Banque directement auprès de chaque Personne Concernée ou, dans certains cas, via des sources externes, qu’il s’agisse d’informations accessibles au public (par exemple les listes de sanctions de l'ONU) et d’informations obtenues auprès de tiers (par exemple apporteur d'affaires ou services de vérification du patrimoine).
2. Bases légales et finalités du traitement de Données Personnelles effectué par la Banque
2.1 Bases légales
La Banque traite les Données Personnelles des Personnes Concernées sur la base des motifs justificatifs légaux suivants:
- en présence d’un intérêt légitime de la Banque, tout en respectant l’intérêt de la Personne Concernée à la protection de ses Données Personnelles;
- afin d’exécuter une obligation contractuelle à l'égard d'une Personne Concernée;
- afin de respecter une obligation légale ou réglementaire;
- lors de demande d’entraide, procédure ou toute autre forme de coopération avec les autorités compétentes;
- avec le consentement de la Personne Concernée, si le traitement envisagé ne se base pas sur l’un des motifs justificatifs énumérés ci-dessus ou si la Loi l’exige.
2.2 Finalités
S’appuyant sur les motifs justificatifs légaux décrits à l’article 2.1 ci-dessus, la Banque traite les Données Personnelles notamment avec les finalités suivantes:
a. afin d’identifier la Personne Concernée lors de l'ouverture d'un compte et/ou l'initiation d’une relation d'affaires avec la Banque et d’évaluer la demande de crédit d’un Client;
b. afin d’assurer la bonne gestion et le suivi de la relation d’affaires avec le Client et l’exécution de transactions conformément aux instructions du Client et aux conditions contractuelles;
c. en vue de l'amélioration de l'organisation, des produits, des services et des processus internes de la Banque, y compris en matière de gestion des risques;
d. en vue du développement de la relation d'affaires, notamment pour pouvoir proposer d’autres produits ou services qui pourraient intéresser le Client, ainsi que toute utilisation des Données Personnelles à des fins de prospection commerciale (marketing), à moins que la Personne Concernée ne se soit opposée à l'utilisation de ses Données Personnelles à cette fin;
e. pour permettre à la Banque d'établir des faits, d'exercer ses droits ou de se défendre contre une prétention actuelle ou future, ou pour permettre à la Banque de faire face à une investigation d'une autorité publique, en Suisse ou à l'étranger;
f. afin de remplir les obligations légales et réglementaires qui incombent à la Banque, notamment dans le cadre de la lutte contre le blanchiment d’argent, lors de la mise en œuvre de sanctions internationales en accord avec les procédures établies par la Banque (ce qui implique notamment le traitement de Données Personnelles à des fins de vérification, contrôle), ainsi qu’en matière de gestion des risques dont ceux de marché, de crédit, opérationnels et de liquidités;
g. lors de l'enregistrement de conversations téléphoniques et de communications électroniques avec des Personnes Concernées, afin de lutter contre la fraude et d’autres infractions, de protéger les intérêts de la Banque, d'analyser et d'améliorer la qualité des services et produits fournis, de former les collaboratrices et collaborateurs de la Banque et de gérer les risques de la Banque;
h. afin de se conformer aux requêtes qui lui sont adressées par des autorités de poursuites pénales, des autorités de surveillance prudentielle, des autorités en charge de la lutte contre le blanchiment d'argent et le financement du terrorisme et des autorités impliquées dans l'échange automatique de renseignements en matière fiscale (y compris le Foreign Account Tax Compliance Act [FATCA]).
La Banque peut être amenée à traiter des Données Personnelles lors de l'éventuelle évaluation de certaines caractéristiques des Personnes Concernées à l'aide de processus automatisés de traitements des Données Personnelles (processus appelé «profilage»), en particulier pour fournir des offres et des conseils personnalisés ou des informations sur les produits et services de la Banque, ou ceux d'entités affiliées ou de partenaires commerciaux. En cas d’éventuel recours à des décisions individuelles automatisées dans le cadre de ses relations commerciales avec sa clientèle, la Banque le fera en conformité avec les exigences légales et réglementaires applicables.
3. Communication de Données Personnelles
3.1 Communication à des tiers
Dans le cadre de la fourniture de ses produits et services, la Banque peut être amenée à communiquer des Données Personnelles à:
- des tiers impliqués dans la transaction ou agissant au nom du Client, tels qu’un opérateur d'une infrastructure des marchés financiers (par ex. bourse), un courtier, une banque correspondante, un sous-dépositaire ou encore un émetteur;
- des prestataires de services externalisés, tels que des fournisseurs de services informatiques et d’hébergement;
- des prestataires de services de surveillance, d’analyse et de conseil, tels que des sociétés de renseignement économique, des agences de marketing, des sociétés de révision ou d’autres conseillers externes à la Banque.
Conformément à l'article 17 de ses Conditions générales, la Banque soumet ses prestataires de services à une obligation contractuelle de garantir la confidentialité des Données Personnelles qu’ils traitent et d’en assurer la protection.
3.2 Communication aux autorités
Sur requête d’autorités publiques, judiciaires ou administratives ou d’organismes de réglementation ou gouvernementaux (par ex. des autorités de surveillance prudentielle), des Données Personnelles peuvent leur être remises. La remise de Données Personnelles à de telles entités peut également intervenir lorsque cela est nécessaire pour permettre à la Banque d'établir des faits, d'exercer ses droits ou de se défendre contre une prétention actuelle ou future, ou pour permettre à la Banque de faire face à une investigation d'une autorité publique, en Suisse ou à l'étranger.
3.3 Communication à l’étranger
Bien que traitant principalement les Données Personnelles en Suisse, la Banque peut également être amenée à les communiquer hors de Suisse aux personnes mentionnées à l’art. 3.1 ci-dessus, ceci dans le respect du droit suisse. Il s’agira principalement des pays dont la réglementation en matière de protection des données a été reconnue comme « adéquate » par rapport au droit suisse. A titre exceptionnel si une communication de Données Personnelles devait être effectuée vers un Etat qui ne devait pas offrir un niveau adéquat au sens de la législation suisse en matière de protection des données, la Banque veillera à mettre en place des garanties appropriées sur les plans technique, organisationnel et juridique pour protéger les Données Personnelles, notamment des engagements contractuels contraignants avec le destinataire des Données Personnelles. La liste actualisée de ces pays peut être obtenue sur demande à l’adresse indiquée au chapitre 5.
En matière de communication de Données Personnelles à des autorités, au sens de l’art. 3.2 ci-dessus, hors de Suisse, la Banque se conforme aux prescriptions légales applicables en matière d’entraide internationale et aux prescriptions de la FINMA en matière de transmission directe d’informations non publiques à des autorités et services étrangers.
Les Données Personnelles peuvent également être communiquées vers d’autres pays en fonction des instructions que le titulaire du compte (ou son représentant) donne à la Banque ou des services spécifiques qu’il peut lui demander. Par exemple, dans le cadre d’une instruction de paiement dans une devise autre que le Franc suisse, la Banque communique des Données Personnelles relatives au donneur d’ordre à la banque correspondante située en dehors de la Suisse. De même, certaines Données Personnelles relatives à l’investisseur peuvent devoir être communiquées en dehors de Suisse dans le cadre d’investissements dans certains placements ou en exécution d’autres obligations légales ou réglementaires applicables à la Banque selon les cas.
En cas d’utilisation des cartes VISA Debit (émises par la Banque), des Données Personnelles liées aux transactions effectuées avec la carte (telles que numéro de carte, montant/date de transaction, point d’acceptation et, si location d’une voiture/réservation d’un hôtel/réservation d’un billet d’avion par exemple, notamment nom du titulaire) sont susceptibles d’être communiquées à SIX (partenaire pour l’émission des cartes et pour le traitement des transactions) et à VISA (plus de 200 pays font partie du réseau VISA).
4. Durée de conservation des Données Personnelles
La période durant laquelle les Données Personnelles sont conservées dépend du délai de conservation légal et réglementaire applicable, ainsi que de la finalité que vise le traitement des Données Personnelles. D’une manière générale, la Banque conserve les Données Personnelles durant une période de 10 ans dès la fin de la relation d’affaires. Une durée de conservation plus longue peut notamment se justifier pour permettre à la Banque d'établir des faits, d'exercer ses droits ou de se défendre contre une prétention actuelle ou future, ou pour permettre à la Banque de faire face à une investigation d'une autorité publique, en Suisse ou à l'étranger.
5. Droits de chaque Personne Concernée en lien avec ses Données Personnelles
Chaque Personne Concernée dispose des droits suivants en lien avec ses Données Personnelles, ceci dans les limites de la réglementation applicable, notamment en cas de restriction légale, d’intérêt prépondérant de tiers ou de demande abusive:
- droit d’accéder à ses Données Personnelles;
- droit de les faire rectifier lorsque celles-ci sont inexactes ou incomplètes. À cet égard, la Banque veille à maintenir les Données Personnelles exactes et à jour. Par conséquent, si celles-ci changent, la Personne Concernée est invitée à en informer la Banque dès que possible;
- droit de s'opposer à leur traitement et/ou de demander la limitation de leur traitement. La Personne Concernée peut notamment s'opposer à l’utilisation de ses Données Personnelles à des fins de marketing (y compris le profilage) ou retirer son consentement. Dans ce contexte, le Client est rendu attentif au fait qu’à défaut de disposer de certaines Données Personnelles le concernant, la Banque peut ne pas être en mesure de faire bénéficier le Client du service ou du produit pour lequel le traitement de ces Données Personnelles est requis;
- droit de demander leur suppression. Le droit à la suppression des Données Personnelles n’est cependant pas absolu et peut être restreint en fonction d’intérêts prépondérants qui exigent la poursuite du traitement des Données Personnelles.
Toute Personne Concernée peut exercer les droits mentionnés dans le présent article 5 en s’adressant par écrit à la Banque à l’adresse ci-dessous. Elle joindra à sa lettre signée une copie de son passeport ou de sa carte d’identité.
Banque Cantonale Vaudoise
Département juridique
Case postale 300
1001 Lausanne
Suisse
6. Mise à jour
La Banque se réserve le droit de modifier en tout temps le contenu de la présente notice, notamment en cas d’évolution législative dans le domaine du traitement des données personnelles ou de modification du traitement des données personnelles par la Banque. Ces mises à jour seront communiquées via le site de la Banque (www.bcv.ch/informations-juridiques).
Version : Janvier 2024
.