Exploitation par SIX

SIX BBS SA exploite l’application debiX+ (ci-après dénommée «application debiX+») pour le compte des établissements financiers participant à l’application debiX+. Cette opération englobe la fourniture de services aux clients des établissements financiers mandataires (ci-après dénommés «utilisateurs»), réalisée de pair avec sa société sœur SIX Group Services SA

Par souci de lisibilité, le terme SIX est utilisé ci-après pour désigner à la fois SIX BBS SA et SIX Group Services SA - sans préjudice pour l’utilisateur de l’application debiX+.

Conditions d’utilisation

L’utilisateur, dans le cadre de l’utilisation de l’application debiX+, accepte les conditions d’utilisation suivantes:

a.    En installant l’application debiX+, l’utilisateur confirme qu’il est le propriétaire ou le détenteur légal de l’appareil mobile utilisé. L’enregistrement est effectué au moyen d’au moins une ou plusieurs cartes de débit que l’utilisateur est autorisé à utiliser pour des motifs privés ou professionnels. Par défaut, les transactions réalisées avec l’appareil mobile et la carte de débit utilisée sont réputées avoir été légitimement réalisées et acceptées par l’utilisateur.

b.    L’utilisateur est responsable de la conservation, en toute sécurité, de l’appareil mobile utilisé. L’utilisateur est tenu de prendre les mesures de sécurité appropriées pour prévenir toute utilisation frauduleuse par des tiers non autorisés.

c.     L’utilisateur doit traiter son nom d’utilisateur et son mot de passe avec diligence. Le mot de passe doit avoir été créé spécifiquement pour l’application debiX+ et ne doit pas être facile à deviner. Le nom d’utilisateur et le mot de passe doivent être tenus secrets et conservés de manière sûre. Il convient de s’assurer qu’aucun tiers ne prenne connaissance du nom d’utilisateur et du mot de passe au moment de leur saisie.

d.    Si l’utilisateur souhaite associer la connexion à l’application debiX+ ou la validation des transactions avec les données biométriques stockées sur l’appareil mobile utilisé, il peut activer cette fonctionnalité en donnant un consentement en ce sens.

e.    Pour pouvoir utiliser la fonctionnalité de lecture des données de la carte (scan), l’utilisateur consent à ce que l’application puisse accéder à l’appareil photo du terminal mobile utilisé.

f.      L’utilisateur autorise SIX à utiliser les informations fournies dans le cadre du processus de paiement dans le respect de la législation en vigueur et de façon exclusivement associée à l’application debiX. L’utilisateur est conscient que les informations sont transmises à des tiers dans le but de traiter les transactions.

g.    Si l’utilisateur souhaite recevoir des notifications concernant les transactions 3-D Secure, il est invité à activer, une seule fois, la fonction de notifications push. L’utilisateur peut activer cette fonction au moment d’enregistrer sa carte de débit. Par la suite, la gestion de la fonction est indépendante, et reste accessible dans les paramètres du système d’exploitation.

h.    L’utilisateur peut uniquement utiliser les systèmes d’exploitation fournis par le fabricant de l’appareil mobile utilisé et est responsable de procéder régulièrement aux mises à jour de sécurité pertinentes. Toute intrusion dans les systèmes d’exploitation de l’appareil mobile ou dans les fonctionnalités, l’architecture ou le code de programmation de l’application debiX+ doit être interdite.

i.      Si l’utilisateur a des raisons de penser que la sécurité de l’application debiX+ n’est plus assurée, notamment parce que l’appareil mobile utilisé n’est plus en sa possession et que la protection de ses données est compromise, il est tenu d’en faire immédiatement part à l’établissement financier qui a émis la carte de débit enregistrée dans l’application debiX+. 

j.      En enregistrant son adresse e-mail, l’utilisateur accepte que SIX l’utilise pour communiquer avec lui par voie électronique dans le contexte de l’application debiX+. Cette communication peut notamment concerner la modification des données de base à l’initiative de l’utilisateur, la notification par SIX de modifications des conditions d’utilisation, la demande par SIX de renseignements en rapport avec des transactions afin d’éviter toute utilisation frauduleuse des cartes et de l’application debiX+.

k.     Il relève de la responsabilité de l’utilisateur d’assurer l’accès technique à l’application debiX+. SIX décline toute responsabilité relativement à l’opérateur de réseau choisi par l’utilisateur et au bon fonctionnement du matériel et du logiciel utilisés par l’utilisateur.

l.      SIX, dans les limites autorisées par la législation en vigueur, décline toute responsabilité pour les dommages, un manque à gagner ou une perte de données de l’utilisateur dans le cadre de l’utilisation de l’application debiX+.

m.    L’utilisation de l’application debiX+ ne comporte aucun transfert de droits de propriété intellectuelle. Tous les droits rattachés à l’application debiX+ demeurent en tout temps la propriété de SIX.

Déclaration de confidentialité relative à l’application debiX+

La présente Déclaration de confidentialité explique comment et par quels moyens SIX BBS SA («SIX») recueille, utilise et publie (ci-après «traite») des données à caractère personnel (ci-après dénommées «données à caractère personnel») des utilisateurs de l’application debiX+ (ci-après dénommés «utilisateurs»). La Déclaration de confidentialité décrit également comment SIX préserve la confidentialité des données à caractère personnel traitées.

L’utilisateur accepte que SIX traite des données à caractère personnel conformément à la Déclaration de confidentialité. Les obligations légales ou contractuelles de confidentialité auxquelles SIX est soumise dans le contexte du traitement des données à caractère personnel de l’utilisateur ne sont pas affectées par la présente Déclaration de confidentialité.

Dans la mesure où l’utilisateur utilise l’application debiX+ à des fins de traitement dans lesquelles SIX n’est pas responsable du traitement des données à caractère personnel, c’est l’avis de confidentialité du responsable du traitement respectif, par exemple l’avis de confidentialité de l’établissement financier qui a émis la carte de débit rattachée à l’application debiX+ («établissement financier») qui s’applique.

SIX peut, à tout moment, modifier de manière unilatérale la Déclaration de confidentialité. La version la plus récente est publiée par SIX dans l’app store.


1. Protection des données @ SIX

L’activité de SIX en tant que fournisseur d’infrastructure pour les paiements et les services financiers requiert la collecte et le traitement d’une grande quantité de données. Partant, la protection des données est à nos yeux une priorité absolue. Le principe de base est la garantie, quel que soit le lieu où les données sont traitées, d’un niveau élevé de protection et de sécurité des données. Ceci vaut tant pour les données des établissements financiers, des utilisateurs et des partenaires commerciaux, ainsi qu’aux données des employés. Parce que la vie privée se rattache en premier lieu à la protection de l’individu. Partant, nous accordons une telle priorité au respect de la législation applicable et à la protection de la vie privée et de la sphère privée des personnes concernées dans le but de nous conformer aux exigences légales nationales et internationales.

Coordonnées:
SIX BBS SA
Hardturmstrasse 201
8005 Zurich
Suisse


2. Type de données à caractère personnel collectées

SIX traite les données à caractère personnel de l’utilisateur si ce dernier se procure, installe et utilise l’application debiX+ depuis les app stores correspondants.

Dans certains cas, des données à caractère personnel sont traitées lorsque SIX enregistre les appels téléphoniques avec les utilisateurs, que ce soit pour répondre à ses propres obligations légales ou à des fins de formation ou d’assurance qualité.

SIX traite les données à caractère personnel que l’utilisateur met expressément et activement à la disposition de SIX par la création de son compte utilisateur.

  • Civilité
  • Nom et prénom
  • Date de naissance
  • Adresse e-mail
  • Numéro de téléphone portable
  • Numéro de compte
  • IBAN
  • Numéro de carte et date d’expiration
  • Adresse
  • Procurations du compte

L’application SIX debiX+ traite en outre les données techniques et liées à l’utilisation de l’appareil par l’utilisateur:

  • Informations sur le téléphone portable (nom de l’appareil, langue de l’appareil, numéro et modèle de l’appareil, identifiant EMCert)
  • Adresse IP
  • Type et version du navigateur (en relation avec un paiement 3-D Secure)
  • Système d’exploitation (en relation avec un paiement 3-D Secure)

Dans la mesure où SIX traite des données à caractère personnel de l’utilisateur pour le compte d’établissements financiers, c’est l’avis de confidentialité de l’établissement financier qui s’applique.


3. Utilisation de données à caractère personnel et base légale

En traitant les données à caractère personnel conformément à la présente Déclaration de confidentialité, SIX est en mesure d’améliorer la qualité de son application debiX+ et partant, des fonctions et services fournis dans ce cadre.

Les données à caractère personnel sont traitées, en particulier, pour les finalités suivantes:

  • gestion technique ainsi que recherche et perfectionnement de l’application debiX+
  • gestion des utilisateurs
  • communications liées aux mises à jour et aux modifications des avis de confidentialité et des conditions générales

On distingue les étapes suivantes dans le processus d’utilisation de l’application debiX+:

  1. L’utilisateur reçoit de son établissement financier une carte de débit ainsi que le code d’enregistrement OTRC de l’application debiX+.
  2. L’utilisateur charge l’application debiX+ sur son appareil via l’Apple Store ou Google Play et s’enregistre en tant qu’utilisateur auprès de SIX.
  3. L’utilisateur enregistre ensuite sa carte de débit dans l’application debiX+ pour les paiements 3-D Secure.
  4. Dans les boutiques en ligne, l’utilisateur effectue des paiements avec sa carte de débit et confirme les paiements avec l’application debiX+ en suivant le processus 3-D Secure ou, en option, avec un code de confirmation envoyé par SMS.

Ces différentes étapes de processus impliquent le traitement des données mentionnées au point 2, mais une distinction doit être faite entre les données placées sous la responsabilité de SIX et celles qui sont sous la responsabilité des établissements financiers, distinction qui s’opère également dans la différence de responsabilité en matière de traitement et de suppression des données.

Le tableau suivant présente les différentes étapes de processus, les données traitées et les responsabilités associées:

Étape de processus

Données traitées

Responsable du traitement et interlocuteur pour toute question*

L’utilisateur reçoit de son établissement financier une carte de débit ainsi que le code d’enregistrement OTRC de l’application debiX+.

- Civilité
- Nom et prénom
- Date de naissance (facultatif)
- Numéro de compte
- IBAN
- Numéro de carte et date d’expiration
- Adresse
- Procurations du compte
Responsable du traitement: l’établissement financier de l’utilisateur
L’utilisateur charge l’application debiX+ sur son appareil via l’Apple Store ou Google Play et s’enregistre en tant qu’utilisateur auprès de SIX. - Nom et prénom
- Date de naissance
- Adresse e-mail
- Numéro de téléphone portable
- Informations sur le téléphone portable (nom de l’appareil, langue de l’appareil, numéro et modèle de l’appareil, identifiant EMCert)
- Adresse IP
- Type et version du navigateur (en relation avec un paiement 3-D Secure)
- Système d’exploitation (en relation avec un paiement 3-D Secure)
Responsable du traitement: SIX 
L’utilisateur enregistre ensuite sa carte de débit dans l’application debiX+ pour les paiements 3-D Secure. - Numéro de carte et date d’expiration Responsable du traitement: l’établissement financier de l’utilisateur
- Nom
- Code d’enregistrement OTRC
Responsable du traitement: SIX 
Dans les boutiques en ligne, l’utilisateur effectue des paiements avec sa carte de débit et confirme les paiements avec l’application debiX+ en suivant le processus 3-D Secure ou, en option, avec un code de confirmation envoyé par SMS. - Numéro de carte et date d’expiration
- CVV/CVC
Responsable du traitement: l’établissement financier de l’utilisateur

* voir également le point 6

Pour toutes les étapes de processus relevant de la responsabilité de l’établissement financier et pour tous les autres traitements de données, en particulier ceux liés à la carte de débit, les utilisateurs doivent s’adresser directement à l’établissement financier compétent.

SIX traite les données à caractère personnel dans le respect du droit applicable. En fonction de la finalité du traitement, la base légale du traitement des données à caractère personnel de l’utilisateur sera l’une des suivantes:

(a) traitement nécessaire aux intérêts légitimes de SIX, sans affecter indûment les intérêts ou les droits et libertés fondamentaux de l’utilisateur,

(b) traitement nécessaire pour prendre des mesures destinées à la conclusion ou à l’exécution d’un contrat avec les établissements financiers pour les services ou produits demandés ou pour l’exécution de nos obligations envers l’utilisateur en vertu d’un tel contrat,

(c) respect des obligations légales et/ou réglementaires, y compris respect des actes et instructions des autorités.

Les «intérêts légitimes de SIX» susmentionnés sont, à titre d’exemple, les suivants:

  • la poursuite de certains des objectifs susmentionnés,
  • l’exercice des droits de SIX, notamment la liberté d’entreprise et le droit de propriété,
  • la fourniture de produits et de services, l’assurance d’un niveau de service élevé et constant et la satisfaction de nos clients et des autres acteurs,
  • le respect des obligations en matière de responsabilité et des exigences de la réglementation.

Dans chaque hypothèse, l’exercice de ces droits, sur le fondement de ces intérêts légitimes, est conditionné par l’absence de prévalence d’intérêts de l’utilisateur en matière de protection de la vie privée.


4. Transfert de données

L’utilisateur autorise SIX à transmettre des données à caractère personnel à des collaborateurs, à des agents ou autres tiers, au sein ou hors frontières du pays où réside l’utilisateur afin de fournir des services et dans les finalités susmentionnées. Ceci vaut en particulier dans le cadre du passage de l’application debiX+ à une autre application. Les collaborateurs, agents et autres tiers qui ont accès aux données à caractère personnel sont tenus par l’engagement, vis-à-vis de SIX, de veiller au respect de toutes les dispositions applicables en matière de protection des données. Toute personne qui autorise SIX à accéder aux données à caractère personnel telles que définies dans la présente déclaration de confidentialité sera informée des implications en matière de sécurité et de protection des données. Dans le cas d’un transfert de données à caractère personnel de l’utilisateur vers un autre pays, SIX assure la protection des données en garantissant le niveau de protection requis par le droit applicable, p. ex. en adoptant les clauses contractuelles types (CCS) de l’UE ou d’autres garanties de même nature.

SIX se réserve le droit de divulguer les données à caractère personnel aux autorités de réglementation et de surveillance, conformément à la présente déclaration de confidentialité. Dans une telle hypothèse, SIX se conformera, à tout moment, aux règlements, lois, décisions judiciaires ou requêtes officielles applicables.


5. Mesures relatives à la protection des données

SIX protège les données à caractère personnel au moyen de mesures de sécurité physiques, électroniques et liées au processus appropriées, telles que des pare-feu, des mots de passe personnels, des technologies de codage et d’authentification. SIX se conforme aux exigences réglementaires énoncées par la norme PCI-DSS.


6. Droits de la personne concernée

Les utilisateurs dont les données à caractère personnel sont traitées dans le cadre de la présente Déclaration de confidentialité sont titulaires des droits suivants:

recevoir des informations sur la possibilité pour SIX de sauvegarder des données à caractère personnel et sur la forme que sont susceptibles de prendre ces données à caractère personnel (catégories de données, destinataires ou catégories de destinataires, durées de conservation des données à caractère personnel ou critères régissant les durées de conservation)

  • recevoir une copie de ces données à caractère personnel
  • solliciter la rectification des données à caractère personnel lorsqu’elles sont incorrectes
  • solliciter la suppression des données à caractère personnel
  • solliciter la limitation du traitement des données à caractère personnel
  • recevoir les données à caractère personnel dans un format structuré, accessible et lisible par machine (si disponible)
  • s’opposer au traitement, notamment à des fins de publicité directe.

Les droits susmentionnés peuvent être refusés ou limités si les intérêts, les droits et les libertés de parties tierces prévalent ou si le traitement est nécessaire, pour SIX, à la constatation, à l’exercice ou à la défense de ses droits en justice.

En cas d’exercice de droits en matière de protection des données, contacter les responsables du traitement de l’établissement financier.

Les demandes relatives au droit à la protection des données doivent être adressées aux responsables du traitement de l’établissement financier.

En ce qui concerne les données que SIX recueille et traite (conformément au tableau figurant au point 3), les droits en matière de protection des données peuvent être exercés à partir du lien suivant: (https://privacyportal-ch.onetrust.com/webform/a8a308f1-1ad4-4b5d-8b15-487e80eb979b/c1c6d998-274e-4ce5-8714-a9b5c2872e34).

La demande peut également être adressée au service suivant:

SIX Group Services SA
Délégué à la protection des données
Hardturmstrasse 201
8005 Zurich
Suisse

E-mail: dataprotection@six-group.com

Les utilisateurs ont également le droit de soumettre une réclamation auprès de l’autorité responsable de la protection des données matériellement ou territorialement compétente dans le ressort du lieu où ils soupçonnent qu’un problème lié aux données à caractère personnel est survenu.


7. Stockage

SIX ne conserve les données à caractère personnel que pendant la durée nécessaire à l’atteinte des finalités dans lesquelles elles ont été collectées ou au respect des exigences légales ou réglementaires.


8. Liens et cookies

L’application debiX+ redirige l’utilisateur vers un site web de SIX prévu pour la configuration de la gestion des identités et des accès des utilisateurs. Les seuls cookies sauvegardés sur l’appareil mobile de l’utilisateur qui sont utilisés par ce site web sont des cookies fonctionnels destinés au chargement de la page et au stockage des informations dans le formulaire.


9. Contrôleur des données et représentant dans l’UE / le R.-U.

SIX BBS SA
Hardturmstrasse 201
8021 Zurich
Suisse

Représentant dans l’UE: SIX Financial Information Deutschland GmbH à Francfort (Theodor-Heuss-Allee 108, D-60486 Frankfurt am Main).

Représentant au R.-U.: SIX Financial Information UK Ltd. à Londres (33 St Mary Axe, 4th Floor, Exchequer Court, London EC3A 8AA, Grande-Bretagne).