POLITIQUE RELATIVE À LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL

Dernière mise à jour : le 19 Octobre 2021

Nous accordons beaucoup d’importance au respect de votre vie privée. Nous avons développé la
présente Politique locale relative à la protection des données à caractère personnel afin de vous
informer de la façon dont nous collectons, utilisons et traitons vos Données à caractère personnel. Cette
politique décrit également les mesures que nous prenons afin d’assurer la protection de vos Données
à caractère personnel et précise comment vous pouvez nous contacter afin que nous puissions
répondre à vos éventuelles questions au sujet de la protection de vos Données à caractère personnel.

PERIMETRE

La présente Politique relative à la protection des données à caractère personnel s’applique à l’ensemble
des segments et activités des entités du Groupe Sodexo (ci-après désignée « Sodexo »), lorsque le
Règlement Général sur la Protection des données à caractère personnel (« RGPD ») s’applique.
Cette politique s’applique au Traitement des Données à caractère personnel collectées, de manière
directe ou indirecte, par Sodexo auprès de tout individu, y compris notamment auprès des candidats à
un poste chez Sodexo, des collaborateurs, des clients, des consommateurs, des enfants, des
fournisseurs/prestataires, des partenaires/sous-traitants, des actionnaires de Sodexo ou tout tiers
Sodexo (ci-après désignée la « Personne concernée »).

COLLECTE ET TRAITEMENT DE VOS DONNEES A
CARACTERE PERSONNEL

RESPECT DU DROIT EUROPEEN EN MATIERE DE PROTECTION DES
DONNEES A CARACTERE PERSONNEL ET DE TOUTE AUTRE
LEGISLATION LOCALE APPLICABLE

Nous nous engageons à respecter toute législation applicable en matière de protection des données à
caractère personnel et nous veillerons à ce que les Données à caractère personnel soient collectées et
traitées conformément aux dispositions du droit européen en matière de protection des données à
caractère personnel et de toute autre législation locale applicable, le cas échéant.

LICEITE, LOYAUTE ET TRANSPARENCE

Tout Traitement de Données à caractère personnel que nous opérons est réalisé de façon licite au sens
du RGPD. Il est possible que nous soyons tenus de Traiter vos Données à caractère personnel dans le
cadre (i) de l’exécution d’un contrat auquel vous êtes partie ; (ii) du respect d’une obligation légale qui
nous incombe ; (iii) de la sauvegarde de vos intérêts vitaux ou de ceux d’une Personne concernée ; (iv)
de votre consentement préalable au Traitement en question ; (v) des intérêts légitimes poursuivis par
Sodexo, à moins que ne prévalent vos intérêts ou libertés et droits fondamentaux ; et (vi) de l’exécution
4
d’une mission d’intérêt publique ou relevant de l’exercice de l’autorité publique dont nous serions
investis.
Lorsque nous Traitons vos Données à caractère personnel, nous porterons à votre connaissance une
notice d’information ou une politique relative à la protection de vos Données à caractère personnel
comprenant notamment les informations suivantes : qui est Responsable du traitement de vos Données
à caractère personnel, quelles sont les finalités du Traitement de vos Données à caractère personnel,
qui sont les destinataires de vos Données à caractère personnel, quels sont vos droits et comment vous
pouvez les exercer, sauf dans le cas où cela se révèlerait impossible ou exigerait des efforts
disproportionnés.
Lorsque la législation locale applicable l’exige, nous vous demanderons votre consentement au
préalable (par exemple, avant de collecter des Données à caractère personnel sensibles).

LEGITIMITE DU TRAITEMENT, LIMITATION DE LA FINALITE ET
MINIMISATION DE LA COLLECTE DES DONNEES A CARACTERE
PERSONNEL

Vos Données à caractère personnel sont collectées pour des finalités déterminées, explicites et
légitimes, et ne sauraient être Traitées ultérieurement d’une manière incompatible avec ces finalités.
Lorsque Sodexo agit pour son propre compte, vos Données à caractère personnel sont principalement
Traitées, sans que la liste soit exhaustive, pour les finalités suivantes : gestion du recrutement, gestion
administrative et sociale et organisation du travail de nos collaborateurs, gestion financière, trésorerie
et fiscalité, sûreté de nos collaborateurs , mise à disposition d’un annuaire interne et des outils
informatiques, nécessaires, gestion et support informatique, y compris gestion de l’infrastructure
informatique, des systèmes et des applications, gestion de sites intranet et de toutes autres solutions
numériques ou plateformes collaboratives, gestion de la relation client, gestion des appels d’offres, des
ventes et du marketing, gestion des approvisionnements, gestion de la communication interne et
externe et des événements, respect des obligations en matière de lutte contre le blanchiment d’argent
ou toutes autres obligations légales, activités d’analyse des données, gestion juridique de l’entreprise
et mise en œuvre des processus de conformité.

EXACTITUDE ET LIMITATION DE DUREE DE CONSERVATION DES
DONNEES A CARACTERE PERSONNEL

Sodexo tiendra les Données à caractère personnel qu’elle Traite exactes et, le cas échéant, à jour. En
outre, nous conserverons uniquement les Données à caractère personnel pendant la durée nécessaire
au regard des finalités pour lesquelles elles ont été collectées y compris pour répondre aux obligations
légales, comptables ou de reporting. Aussi, en cas de besoin, nous conserverons les Données le temps
nécessaire pour permettre à Sodexo de défendre ou de faire valoir un droit en justice. .
5
Si vous souhaitez avoir plus d’informations sur les durées de conservation de vos Données à caractère
personnel qui sont fixées dans notre Politique de conservation des données, vous pouvez nous
contacter à l’adresse suivante : dataprivacy.oss.lu@sodexo.com
A l’expiration de la durée de conservation applicable, nous détruirons vos Données à caractère
personnel conformément à la Réglementation en matière de protection des Données à caractère
personnel.

SECURITE DES DONNEES A CARACTERE
PERSONNEL

Nous mettons en place les mesures techniques et organisationnelles adéquates pour protéger les
Données à caractère personnel contre toute modification ou perte accidentelle ou illicite ou contre tout
utilisation, divulgation ou accès non autorisé, et ce conformément à la Politique du Groupe relative à la
sécurité de l’information et des systèmes.
D’ailleurs, nous prenons toutes les mesures raisonnables en vertu des principes du respect de la vie
privée dès la conception (« privacy by design ») et de la protection de la vie privée par défaut (« privacy
by default ») aux fins de mettre en place les garanties nécessaires et de sécuriser le Traitement des
Données à caractère personnel. Selon le niveau de risque présenté par le Traitement, nous réalisons
également une analyse d’impact relative à la protection des données à caractère personnel (« privacy
impact assessment ») aux fins d’adopter les mesures de protection adéquates et d’assurer la protection
des Données à caractère personnel. Nous offrons également des garanties de sécurité supplémentaires
pour les Données à caractère personnel sensibles.

PARTAGE DES DONNEES A CARACTERE
PERSONNEL

Nous partageons vos Données à caractère personnel dans les cas suivants :Avec les entités Sodexo, pour les finalités décrites dans la présente Politique ;
Avec des tiers, y compris avec certains prestataires externes dûment autorisés, uniquement pour les finalités décrites ci-dessus et dans le cadre des services que nous fournissons ;
Avec des entreprises qui fournissent des services de lutte contre le blanchiment de capitaux et le financement du terrorisme, et d’autres types de fraudes ou activités illicites et avec des tiers qui fournissent des services similaires, tels que des institutions financières ou des régulateurs ;
Avec les tribunaux, autorités chargées de l’application des lois, régulateurs, autorités gouvernementales, et avec d’autres parties lorsque cela est raisonnablement nécessaire pour l’exercice ou la défense d’un droit en justice, ou pour des finalités de règlement extrajudiciaire de différends ;
Avec des prestataires internes ou externes que nous engageons localement ou dans des pays tiers, pour le Traitement de Données à caractère personnel pour notre compte pour les finalités décrites ci-dessus (par exemple, des centres de services partagés) ;
En cas de vente, de fusion ou d’acquisition d’entreprises ou d’actifs, auquel cas nous pouvons transmettre vos Données à caractère personnel au potentiel acquéreur ou vendeur afin de lui assigner ou nover des droits ou obligations.

TRANSFERTS INTERNATIONAUX DE DONNEES A
CARACTERE PERSONNEL

Le RGPD interdit le transfert de Données à caractère personnel vers des pays situés en dehors de
l’EEE qui n’offrent pas un niveau de protection des données à caractère personnel adéquat. Certains
des pays tiers dans lesquels Sodexo exerce ses activités n’offrent pas le même niveau de protection
des Données à caractère personnel que le pays dans lequel vous résidez et ne sont pas considérés par
la Commission Européenne comme fournissant un niveau adéquat de protection des droits des
personnes physiques en matière de confidentialité des Données à caractère personnel.
Concernant les transferts de vos Données à caractère personnel vers des entités appartenant ou non
au Groupe Sodexo établies dans de tels pays, Sodexo met place des mesures de protection adéquates
aux fins de protéger vos Données à caractère personnel. De plus amples informations vous seront
transmises concernant tout transfert de vos Données à caractère personnel en dehors de l’EEE au
moment de la collecte de vos Données à caractère personnel par le biais de notices d’information ou
politiques de protection des Données à caractère personnel appropriées.
Si vous souhaitez avoir plus d’informations, y compris une copie des documents utilisés pour protéger
vos Données à caractère personnel, vous pouvez nous contacter à l’adresse suivante :
dataprivacy.oss.lu@sodexo.com

COOKIES

Certains de nos sites peuvent utiliser des « cookies ». Les cookies sont des fragments de textes placés
sur le disque dur de votre ordinateur lorsque vous consultez certains sites Internet. Nous pouvons par
exemple utiliser des cookies pour suivre votre activité afin de nous assurer que votre visite sur notre
site se déroule au mieux et pour nous assurer que nous vous proposerons des options adaptées à vos
préférences lors de votre prochaine visite. Nous pouvons également utiliser des cookies pour analyser
le trafic et à des fins publicitaires.
Les cookies peuvent améliorer votre expérience en ligne en sauvegardant vos préférences lorsque vous
visitez un de nos sites Internet. Dans cette hypothèse, nous vous informerons des types de cookies que
nous utilisons et de la façon dont vous pouvez les désactiver. Lorsque la législation locale l’exige, vous
aurez la possibilité de visiter nos sites Internet tout en refusant l’utilisation de cookies à tout moment sur

votre ordinateur. Si vous souhaitez avoir plus d’informations, nous vous invitons à consulter notre
Politique de gestion des cookies.

VOS DROITS

Sodexo s’engage à faciliter l’exercice de vos droits conformément à la réglementation applicable. Vous
trouverez ci-après un tableau résumant les différents droits dont vous disposez :

DROIT D’ACCÈS ET
DE RECTIFICATION
Vous pouvez demander une copie des Données à caractère personnel dont
nous disposons sur vous. Vous pouvez également demander la rectification
des Données à caractère personnel inexactes, ou à ce que les Données à
caractère personnel incomplètes soient complétées.

DROIT À
L’EFFACEMENT /
DROIT À L’OUBLI
Votre droit à l’oubli permet que vos Données à caractère personnel soient
effacées lorsque :
(i) les Données à caractère personnel ne sont plus nécessaires au
regard des finalités pour lesquelles elles ont été collectées;
(ii) vous décidez de retirer votre consentement ;
(iii) vous vous opposez au Traitement de vos Données à caractère
personnel;
(iv) vos Données à caractère personnel ont fait l’objet d’un Traitement
illicite ;
(v) vos Données à caractère personnel doivent être effacées pour
respecter une obligation légale ;
(vi) leur effacement est obligatoire pour garantir le respect de la
législation applicable.

DROIT À LA
LIMITATION DU
TRAITEMENT
Vous pouvez demander à limiter le Traitement lorsque :
(i) vous contestez l’exactitude de vos Données à caractère personnel ;
(ii) Sodexo n’a plus besoin de vos Données à caractère personnel aux
fins du traitement ;
(iii) vous vous êtes opposé au Traitement pour des motifs légitimes.

DROIT À LA
PORTABILITÉ DES
DONNÉES
Le cas échéant, vous pouvez demander la portabilité des Données à
caractère personnel vous concernant que vous auriez communiquées à
Sodexo, et ce dans un format structuré, couramment utilisé et lisible par
machine, et avez le droit de transmettre ces Données à caractère personnel
à un autre Responsable du traitement sans que Sodexo y fasse obstacle,
lorsque :
a) le Traitement de vos Données à caractère personnel est fondé sur
votre consentement ou sur une relation contractuelle existante ; et
b) le Traitement est effectué à l’aide de procédés automatisés.
Vous avez également le droit d’obtenir que vos Données à caractère
personnel soient transmises directement à un tiers de votre choix (lorsque
cela est techniquement possible).

DROIT
D’OPPOSITION
Vous avez le droit de vous opposer (droit de « retrait ») au Traitement de
vos Données à caractère personnel (notamment au profilage ou aux
communications commerciales). Lorsque nous Traitons vos Données à
caractère personnel sur la base de votre consentement, vous pouvez retirer
votre consentement à tout moment.

DROIT DE NE PAS
FAIRE L’OBJET DE
DÉCISIONS
AUTOMATISÉES
Vous avez le droit de ne pas faire l’objet d’une décision fondée
exclusivement sur un traitement automatisé, y compris le profilage,
produisant des effets juridiques vous concernant ou vous affectant de
manière significative de façon similaire.

DROIT
D’INTRODUIRE
UNE
RÉCLAMATION
AUPRÈS DE
L’AUTORITÉ DE
CONTRÔLE
COMPÉTENTE
Vous pouvez décider d’introduire une réclamation auprès de l’Autorité de
contrôle du pays dans lequel se trouve votre résidence habituelle, votre lieu
de travail, où dans le pays dans lequel la violation aurait été commise. Vous
avez également le droit d’introduire une action en justice devant les
tribunaux du pays dans lequel l’entité Sodexo dispose d’un établissement
ou du pays où se trouve votre résidence habituelle.

Vous pouvez, à tout moment exercer ces droits ou nous contacter pour toute demande ou réclamation
relative à la protection de vos Données :
- en complétant le Formulaire de Demande portant sur l’exercice de vos droits et l’adresser
à l’adresse électronique générique indiquée dans les notices d’informations ou dans les
politiques de confidentialité et/ou au Délégué à la protection des données à l’adresse suivante :
dataprivacy.oss.lu@sodexo.com ou ;
- en complétant le formulaire en ligne
Pour plus d’informations, nous vous invitons à consulter la Politique relative aux Droits en matière
de protection des Données à caractère personnel

ENFANTS

Les enfants méritent une protection renforcée en ce qui concerne leurs Données à caractère personnel
parce qu'ils peuvent être moins conscients des risques, des conséquences et de leurs droits liés au
Traitement des Données à caractère personnel. Cette protection renforcée s'applique au Traitement de
Données à caractère personnel relatives aux enfants à des fins de marketing ou de création de profils
de personnalité ou d'utilisateur et à la collecte de Données à caractère personnel relatives aux enfants
lors de l'utilisation de services leurs proposés directement.
Nous ne collectons et ne traitons pas les Données à caractère personnel des enfants sans le
consentement du titulaire de l’autorité parentale si un tel consentement est requis. En particulier, nous
ne faisons pas la promotion et ne commercialisons pas nos services auprès des enfants, sauf dans le
cas de certains services spécifiques et moyennant le consentement du titulaire de l’autorité parentale.
Si vous pensez que nous avons collecté les Données à caractère personnel auprès d’un enfant par
erreur, veuillez-nous en informer en nous contactant à l’adresse email indiquée ci-après.

MODIFICATION

Il est possible que nous mettions ponctuellement à jour la présente politique dans l’hypothèse où nos
activités ou nos obligations légales évoluent de manière substantielle. Dans le cas où nous apporterions
des changements significatifs à la présente politique, nous publierons une note d’information sur notre
site Internet au moment de l’entrée en application des changements en question et, le cas échéant,
nous vous contacterons directement au sujet desdits changements.

NOUS CONTACTER

Si vous avez des questions, commentaires ou demandes concernant la présente politique, vous pouvez
les envoyer à votre Contact local dédié à la protection des données à l’adresse suivante :
dataprivacy.oss.lu@sodexo.com

DEFINITIONS

Autorité de contrôle : désigne une autorité publique indépendante instituée par un État membre tel
qu’indiqué dans le RGPD.

Group Data Protection Officer ou Délégué à la protection des données : désigne la personne
nommée avec l’approbation du Comité Exécutif du Groupe Sodexo pour être en charge des questions
relatives à la confidentialité des données à caractère personnel au niveau du Groupe Sodexo.

Contact local dédié à la protection des données : désigne la personne nommée par une entité
Sodexo et chargée de traiter les questions locales en matière de protection des données à caractère
personnel. Le contact fait partie du réseau mondial de protection des données à caractère personnel
de Sodexo. Dans certains pays, le Contact local dédié à la protection des données peut être désigné
comme Délégué à la Protection des données localement lorsque la législation applicable en matière de
protection des données l’exige.

Données à caractère personnel : toutes les données à caractère personnel communiquées par le
Responsable du Traitement et/ou collectées directement ou indirectement auprès des Personnes
concernées. Sont considérées notamment comme des Données à caractère personnel en vertu de la
Règlementation en matière de protection des données à caractère personnel, les informations relatives
à une personne physique identifiée ou identifiable. Une personne physique identifiable est une personne
qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu’un
nom, un numéro d’identification, des données de localisation, un identifiant en ligne ou un ou plusieurs
éléments spécifiques propre à son identité physique, physiologique, génétique, psychique, économique,
culturelle ou sociale de cette personne physique.

Données à caractère personnel sensibles et autres Catégories particulières de Données à
caractère personnel : toutes Données à caractère personnel qui révèlent l’origine raciale ou ethnique,
les opinions politiques, la religion ou les convictions philosophiques, l’appartenance syndicale, ainsi que
le traitement de données génétiques, de données biométriques uniquement aux fins d’identifier une
personne physique, les données concernant la santé, ou les données concernant la vie sexuelle ou
l’orientation sexuelle d’une personne physique. Cette définition comprend également des Données à
caractère personnel relatives à des condamnations pénales et à des infractions.

Groupe Sodexo : désigne toute entité contrôlée dans les conditions prévues par la loi, directement ou
indirectement, par Sodexo SA, société anonyme de droit français, dont le siège social est 255, Quai de
la Bataille de Stalingrad – 92130 Issy-les-Moulineaux, immatriculée au Registre du Commerce et des
Sociétés de Nanterre sous le numéro 301 940 219.

Personne concernée : toute personne physique identifiée ou identifiable dont les Données à caractère
personnel la concernant font l’objet d’un Traitement.

Pays tiers : tout pays, territoire ou secteur défini dans ledit pays, en dehors de l’Union européenne (UE)
et de l’Espace économique européen (EEE).

Responsable du traitement : toute personne physique ou morale, autorité publique, agence ou autre
organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du Traitement
des Données à caractère personnel.

Règlement Général sur la Protection des données à caractère personnel ou RGPD ou
Règlementation : Règlementation (UE) 2016/679 du Parlement européen et du Conseil du 27 avril
2016 sur la protection des personnes physiques en ce qui concerne le traitement des données à
caractère personnel et la libre circulation de ces données, qui remplace la Directive 95/46/CE.
Sous-traitant : la personne ou l’organisme qui traite ou sous-traite les Données à caractère personnel
pour le compte du Responsable du traitement et conformément à ses instructions.
Tiers : toute société ou entité autre que le Responsable du traitement, le Sous-traitant et la Personne
concernée qui, sous l’autorité directe du Responsable du traitement ou du Sous-traitant, est autorisée
à traiter les Données à caractère personnel.

Traitement ou Traité(e) : toute opération ou ensemble d’opérations effectuées à l’égard des Données
à caractère personnel, y compris, sans s’y limiter, la collecte, l’enregistrement, l’organisation, la
conservation, l’adaptation, l’altération, le retrait, la consultation, l’utilisation, la divulgation par
transmission, la diffusion ou autrement la mise à disposition, la combinaison, le lien vers d’autres
données à caractère personnel, le blocage, la suppression ou la destruction des Données à caractère
personnel du Client.