Politique de confidentialité

PRÉAMBULE

L’Office de Régulation des Acteurs Culturels de Guinée, ci-après désigné « ORAC-G », attache une importance fondamentale au respect de la vie privée, à la confidentialité des informations personnelles et à la protection des données à caractère personnel des usagers de ses services.

Dans le cadre de ses missions institutionnelles et administratives, l’ORAC-G est susceptible de collecter, de recevoir, de consulter, de vérifier, d’organiser, de conserver et de traiter des informations relatives aux personnes physiques exerçant ou souhaitant exercer une activité dans le secteur culturel en République de Guinée.

Ces traitements peuvent notamment intervenir à l’occasion de la création d’un compte utilisateur, du pré-enrôlement professionnel, de la constitution d’un dossier administratif, de la demande d’une carte professionnelle, de l’enregistrement d’une agence ou d’un producteur, de la demande d’un visa d’événement culturel ou de la vérification d’un document professionnel.

La présente Politique de confidentialité définit les principes, les conditions et les modalités selon lesquels ces données sont traitées.

Elle a pour objectifs de :

Garantir une information claire et transparente aux personnes concernées ;
Encadrer la collecte et l’utilisation des données personnelles ;
Assurer la confidentialité des dossiers administratifs ;
Prévenir les accès non autorisés ;
Protéger les informations professionnelles et personnelles ;
Permettre l’exercice des droits reconnus aux personnes concernées ;
Assurer la conformité des traitements avec la législation applicable en République de Guinée.

La présente politique est établie notamment au regard de la loi L/2016/037/AN relative à la cybersécurité et à la protection des données à caractère personnel, ainsi que de toute autre disposition législative ou réglementaire applicable.

Elle doit être interprétée conformément aux textes en vigueur et aux missions légalement attribuées à l’ORAC-G.

TITRE I — DISPOSITIONS GÉNÉRALES

ARTICLE 1 — OBJET

La présente Politique de confidentialité a pour objet d’informer les personnes concernées sur :

1. L’identité du responsable du traitement ;

2. Les catégories de données personnelles collectées ;

3. Les finalités des traitements ;

4. Les fondements juridiques des traitements ;

5. Les destinataires des données ;

6. Les conditions de conservation ;

7. Les mesures de sécurité ;

8. Les droits des personnes concernées ;

9. Les modalités d’exercice de ces droits ;

10. Les conditions de communication et de transfert des données ;

11. Les dispositifs de vérification des documents professionnels ;

12. Les mesures applicables en cas d’incident de sécurité.

La présente politique constitue un document d’information relatif aux traitements de données personnelles effectués dans le cadre des services ORAC-G.

Elle ne remplace pas les dispositions législatives et réglementaires applicables aux procédures administratives concernées.

ARTICLE 2 — CHAMP D’APPLICATION

La présente politique s’applique à l’ensemble des traitements de données personnelles effectués dans le cadre :

Du portail institutionnel ORAC-G ;
Des formulaires publics ;
Des espaces personnels ;
Des mécanismes d’authentification ;
Des dossiers de pré-enrôlement ;
Des demandes de cartes professionnelles ;
Des demandes de duplicata et de renouvellement ;
Des dossiers des agences et producteurs ;
Des demandes de visas d’événements culturels ;
Des services de paiement, lorsqu’ils sont disponibles ;
Des notifications administratives ;
Des mécanismes de vérification par QR code ;
Des opérations d’instruction, de validation et de suivi administratif ;
Des échanges électroniques avec les services compétents.

Elle s’applique aux personnes physiques dont les données sont collectées ou traitées, qu’elles soient utilisatrices du portail ou concernées par une procédure administrative.

Les traitements réalisés par des organismes tiers indépendants sont soumis à leurs propres politiques de confidentialité.

ARTICLE 3 — DÉFINITIONS

Aux fins de la présente politique, les termes ci-dessous sont définis comme suit.

Donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable.

Traitement : toute opération effectuée sur des données personnelles, notamment leur collecte, leur enregistrement, leur organisation, leur conservation, leur consultation, leur modification, leur communication ou leur suppression.

Personne concernée : toute personne physique dont les données personnelles font l’objet d’un traitement.

Responsable du traitement : la personne ou l’organisme qui détermine les finalités et les moyens du traitement.

Sous-traitant : toute personne ou entité qui traite des données personnelles pour le compte du responsable du traitement.

Destinataire : toute personne ou entité à laquelle des données personnelles sont communiquées.

Dossier administratif : ensemble des informations et pièces justificatives nécessaires à l’instruction d’une demande relevant des services ORAC-G.

QR code : dispositif de lecture électronique permettant, selon les fonctionnalités disponibles, de vérifier l’authenticité ou le statut d’un document professionnel.

Données sensibles : données bénéficiant d’un régime de protection particulier au regard de leur nature et des risques liés à leur traitement.

TITRE II — RESPONSABILITÉ ET ORGANISATION DES TRAITEMENTS

ARTICLE 4 — RESPONSABLE DU TRAITEMENT

Le responsable du traitement est l’organisme qui détermine les finalités et les moyens des traitements de données personnelles.

Pour les besoins de la présente politique, l’organisme concerné est identifié comme suit :

Dénomination : Office de Régulation des Acteurs Culturels de Guinée ;
Sigle : ORAC-G ;
Pays : République de Guinée ;
Portail : https://orac-g.com ;
Autorité de tutelle envisagée : Ministère de la Culture, du Tourisme et de l’Artisanat.

Les informations suivantes doivent être complétées avant publication :

Adresse institutionnelle : [À COMPLÉTER] ;
Adresse électronique officielle : [À COMPLÉTER] ;
Adresse dédiée à la protection des données : [À COMPLÉTER] ;
Téléphone institutionnel : [À COMPLÉTER] ;
Identité du responsable désigné, le cas échéant : [À COMPLÉTER].

La détermination définitive du responsable du traitement doit correspondre au statut juridique de l’ORAC-G et aux textes lui attribuant ses missions.

ARTICLE 5 — RESPONSABILITÉS INTERNES

Les traitements sont réalisés sous la responsabilité de l’organisme compétent.

Les agents et collaborateurs autorisés doivent :

Respecter les instructions applicables ;
Préserver la confidentialité des données ;
Ne consulter que les informations nécessaires à leurs fonctions ;
Ne pas divulguer les informations à des personnes non autorisées ;
Utiliser les données exclusivement dans le cadre de leurs missions ;
Signaler les incidents de sécurité ;
Respecter les procédures internes de conservation et d’archivage.

L’accès aux données doit être organisé selon les responsabilités effectivement attribuées aux différents services.

ARTICLE 6 — SOUS-TRAITANTS ET PRESTATAIRES

ORAC-G peut recourir à des prestataires techniques pour assurer le fonctionnement de ses services numériques.

Ces prestataires peuvent intervenir notamment dans les domaines suivants :

Hébergement ;
Authentification ;
Stockage sécurisé ;
Transmission des notifications ;
Maintenance ;
Sécurité informatique ;
Paiements électroniques ;
Assistance technique.

Les prestataires qui traitent des données pour le compte d’ORAC-G doivent présenter des garanties appropriées en matière de confidentialité et de sécurité.

Les conditions de leur intervention doivent être définies par des engagements contractuels ou des dispositions équivalentes conformes à la réglementation applicable.

TITRE III — CATÉGORIES DE DONNÉES ET FINALITÉS

ARTICLE 7 — DONNÉES D’IDENTIFICATION

Dans le cadre de ses services, ORAC-G peut collecter les données suivantes :

Nom ;
Prénom ;
Date de naissance ;
Nationalité ;
Photographie ;
Numéro de téléphone ;
Adresse électronique ;
Adresse de résidence ;
Ville et région ;
Informations d’identification administrative, lorsque leur collecte est légalement requise.

Ces données sont utilisées pour identifier les demandeurs, gérer les comptes et assurer le suivi des procédures.

ARTICLE 8 — DONNÉES PROFESSIONNELLES

Les données professionnelles peuvent comprendre :

Profession ;
Spécialité ;
Discipline culturelle ;
Nom de scène ;
Fonction ;
Parcours professionnel ;
Expérience ;
Qualifications ;
Références professionnelles ;
Informations relatives à l’activité exercée ;
Informations concernant une structure professionnelle ;
Informations relatives aux événements organisés.

Elles sont utilisées pour l’identification professionnelle, l’instruction des dossiers et la gestion des services administratifs.

ARTICLE 9 — DOCUMENTS JUSTIFICATIFS

Selon la nature de la procédure, les utilisateurs peuvent être invités à transmettre :

Une pièce d’identité ;
Une photographie ;
Un justificatif de résidence ;
Un diplôme ou une attestation ;
Un document attestant de l’activité professionnelle ;
Des documents d’immatriculation d’une structure ;
Un RCCM ;
Un NIF ;
Une attestation d’assurance, lorsque requise ;
Des documents relatifs à un événement ;
Toute autre pièce légalement nécessaire à la procédure.

La collecte de ces documents doit être limitée aux exigences de la procédure concernée.

Les pièces justificatives ne sont pas destinées à être rendues publiques.

ARTICLE 10 — DONNÉES RELATIVES AUX DOSSIERS

ORAC-G peut traiter les informations suivantes :

Numéro de dossier ;
Date de dépôt ;
Catégorie de demande ;
Statut administratif ;
Informations déclarées ;
Documents transmis ;
Observations administratives ;
Demandes de pièces complémentaires ;
Décisions d’instruction ;
Décisions de validation ;
Historique de traitement ;
Informations relatives à la délivrance d’un document.

Ces données sont utilisées pour assurer la traçabilité et la gestion des procédures.

ARTICLE 11 — DONNÉES RELATIVES AUX PAIEMENTS

Lorsque les services payants sont disponibles, ORAC-G peut traiter :

Montant dû ;
Montant réglé ;
Référence de paiement ;
Date de transaction ;
Statut de transaction ;
Moyen de paiement utilisé ;
Informations nécessaires au rapprochement administratif.

Les informations confidentielles de paiement doivent être traitées conformément aux exigences applicables aux prestataires concernés.

ORAC-G ne doit pas demander aux utilisateurs de communiquer leurs codes secrets Mobile Money ou leurs mots de passe bancaires.

ARTICLE 12 — DONNÉES TECHNIQUES

Le portail peut collecter certaines informations techniques nécessaires à son fonctionnement :

Adresse IP ;
Identifiant de session ;
Type de navigateur ;
Système d’exploitation ;
Date et heure de connexion ;
Journaux techniques ;
Informations relatives aux erreurs ;
Données nécessaires à la sécurité des systèmes.

Ces données sont utilisées pour assurer la sécurité, prévenir les accès non autorisés et maintenir le fonctionnement du portail.

ARTICLE 13 — FINALITÉS DES TRAITEMENTS

Les données personnelles sont traitées pour les finalités suivantes :

A. Gestion des comptes

Création de comptes ;
Authentification ;
Vérification des adresses électroniques ;
Gestion des sessions ;
Récupération des comptes ;
Protection des accès.

B. Pré-enrôlement

Réception des demandes ;
Identification des personnes ;
Constitution des dossiers ;
Vérification des informations ;
Suivi des demandes.

C. Cartes professionnelles

Instruction des demandes ;
Vérification des conditions applicables ;
Délivrance des documents ;
Gestion des renouvellements ;
Gestion des duplicatas ;
Vérification des documents.

D. Agences et producteurs

Identification des structures ;
Vérification des pièces ;
Gestion des dossiers ;
Suivi des obligations administratives.

E. Visas d’événements

Réception des demandes ;
Vérification des informations ;
Instruction des dossiers ;
Gestion des décisions ;
Suivi des autorisations.

F. Paiements

Calcul des frais ;
Enregistrement des références ;
Vérification des règlements ;
Gestion des réclamations financières.

G. Vérification des documents

Vérification de l’authenticité ;
Contrôle du statut ;
Contrôle de la validité ;
Prévention de la fraude documentaire.

H. Sécurité

Prévention des accès non autorisés ;
Détection des activités anormales ;
Protection des systèmes ;
Gestion des incidents.

TITRE IV — FONDEMENTS JURIDIQUES ET CONDITIONS DE COLLECTE

ARTICLE 14 — FONDEMENTS JURIDIQUES

Chaque traitement doit reposer sur un fondement juridique approprié.

Selon sa nature, le traitement peut être fondé sur :

Le consentement de la personne concernée ;
L’exécution d’une demande ou d’une procédure ;
Le respect d’une obligation légale ;
L’exercice d’une mission d’intérêt public légalement attribuée ;
La protection des droits et intérêts légitimes reconnus par la loi ;
La sécurité des systèmes et la prévention des usages frauduleux, dans les limites applicables.

Le fondement juridique doit être déterminé et documenté pour chaque catégorie de traitement.

Lorsque le traitement repose sur le consentement, celui-ci doit être libre, spécifique, éclairé et non ambigu, conformément aux exigences applicables.

Le consentement ne doit pas être utilisé comme fondement artificiel d’un traitement qui relève d’une obligation légale ou d’une mission administrative.

ARTICLE 15 — CARACTÈRE OBLIGATOIRE OU FACULTATIF

Les formulaires doivent distinguer les données obligatoires des données facultatives.

Les données indispensables à l’instruction d’une demande peuvent conditionner la possibilité de déposer ou de traiter le dossier.

Leur absence peut empêcher :

La création du dossier ;
La vérification de l’identité ;
L’instruction de la demande ;
La délivrance du document.

Les données facultatives ne doivent pas être exigées sans justification.

L’utilisateur est informé, lorsque cela est nécessaire, des conséquences d’une absence de communication.

ARTICLE 16 — EXACTITUDE DES DONNÉES

ORAC-G veille à ce que les données traitées soient exactes et, lorsque cela est nécessaire, mises à jour.

Les personnes concernées sont invitées à signaler toute erreur ou modification.

Les données inexactes doivent être rectifiées dans les conditions prévues par la législation applicable.

TITRE V — DESTINATAIRES ET COMMUNICATION DES DONNÉES

ARTICLE 17 — DESTINATAIRES AUTORISÉS

Les données peuvent être accessibles, dans la limite de leurs attributions, aux catégories suivantes :

Agents d’enrôlement ;
Instructeurs ;
Agents de validation ;
Agents financiers ;
Administrateurs techniques habilités ;
Responsables institutionnels compétents ;
Prestataires techniques autorisés ;
Autorités administratives ou judiciaires compétentes.

Les droits d’accès doivent être limités aux informations nécessaires à l’exercice des fonctions concernées.

ARTICLE 18 — COMMUNICATION AUX AUTORITÉS

Les données peuvent être communiquées aux autorités compétentes lorsque cette communication est légalement requise ou autorisée.

Toute communication doit être effectuée dans les limites de sa finalité et de son fondement juridique.

ORAC-G veille à ne pas communiquer des données excédant ce qui est nécessaire à la demande ou à l’obligation concernée.

ARTICLE 19 — ABSENCE DE VENTE DES DONNÉES

Les données personnelles ne sont pas destinées à être vendues ou exploitées à des fins commerciales indépendantes.

Toute utilisation à une finalité distincte doit disposer d’un fondement juridique approprié et faire l’objet d’une information préalable lorsque cela est requis.

TITRE VI — HÉBERGEMENT, TRANSFERTS ET CONSERVATION

ARTICLE 20 — HÉBERGEMENT DES DONNÉES

Les données peuvent être hébergées sur des infrastructures situées en République de Guinée ou à l’étranger, selon l’architecture technique effectivement utilisée.

Les prestataires et lieux d’hébergement doivent être identifiés dans la documentation interne.

Les conditions d’hébergement doivent être examinées au regard des exigences applicables à la protection des données personnelles.

ARTICLE 21 — TRANSFERTS INTERNATIONAUX

Tout transfert de données vers un pays tiers doit respecter les conditions prévues par la législation guinéenne applicable.

ORAC-G doit notamment vérifier :

La nature des données transférées ;
La finalité du transfert ;
Le destinataire ;
Les garanties de confidentialité ;
Les mesures de sécurité ;
Les formalités éventuellement requises.

La présente politique ne constitue pas une autorisation générale de transfert international.

ARTICLE 22 — DURÉES DE CONSERVATION

Les données sont conservées pendant une durée proportionnée à leur finalité et aux obligations légales ou administratives applicables.

Les durées définitives doivent être définies dans un référentiel de conservation.

À titre de principe :

Les données de compte sont conservées pendant la durée d’activité du compte, sous réserve des obligations applicables ;
Les dossiers administratifs sont conservés selon les règles d’archivage applicables ;
Les références de paiement sont conservées selon les obligations comptables et administratives ;
Les journaux de sécurité sont conservés pendant une durée adaptée à leur finalité ;
Les données devenues inutiles sont supprimées, anonymisées ou archivées conformément aux règles applicables.

Aucune durée arbitraire ne doit être appliquée sans justification.

TITRE VII — SÉCURITÉ ET CONFIDENTIALITÉ

ARTICLE 23 — MESURES DE SÉCURITÉ

ORAC-G met en œuvre des mesures techniques et organisationnelles adaptées aux risques.

Ces mesures peuvent comprendre :

Gestion des rôles et permissions ;
Authentification sécurisée ;
Contrôle des accès ;
Protection des sessions ;
Chiffrement des communications ;
Stockage sécurisé des documents ;
Sauvegardes ;
Journalisation des opérations sensibles ;
Surveillance des accès anormaux ;
Gestion des incidents ;
Mise à jour des composants techniques ;
Réduction des privilèges administratifs.

Les mesures effectivement mises en œuvre doivent correspondre à l’architecture technique réelle du portail.

ARTICLE 24 — CONFIDENTIALITÉ DES DOSSIERS

Les dossiers professionnels et les pièces justificatives sont considérés comme des informations confidentielles.

Ils ne doivent pas être accessibles publiquement par défaut.

Les agents et prestataires habilités sont soumis à des obligations appropriées de confidentialité.

La consultation ou la communication d’un dossier doit être justifiée par une finalité administrative ou technique légitime.

ARTICLE 25 — QR CODES ET VÉRIFICATION PUBLIQUE

Les QR codes peuvent permettre la vérification de certains documents professionnels.

Les informations affichées doivent être strictement limitées à ce qui est nécessaire.

Elles peuvent notamment comprendre :

La référence du document ;
La catégorie professionnelle ;
Le statut du document ;
La validité ;
Les informations nécessaires à son authentification.

Les QR codes ne doivent pas exposer :

Les pièces d’identité ;
Les justificatifs de résidence ;
Les documents administratifs complets ;
Les données de paiement ;
Les observations internes ;
Les informations privées non nécessaires.

Les mécanismes de vérification doivent être conçus de manière à limiter les risques d’accès non autorisé.

TITRE VIII — DROITS DES PERSONNES CONCERNÉES

ARTICLE 26 — DROIT À L’INFORMATION

Toute personne concernée peut demander des informations relatives aux traitements de ses données, dans les conditions prévues par la législation applicable.

ARTICLE 27 — DROIT D’ACCÈS

La personne concernée peut demander la confirmation qu’un traitement est effectué et obtenir l’accès aux données la concernant.

La demande peut également porter sur les finalités, les catégories de données et les destinataires, selon les dispositions applicables.

ARTICLE 28 — DROIT DE RECTIFICATION

La personne concernée peut demander la rectification des données inexactes ou incomplètes.

Les demandes doivent permettre d’identifier les données concernées et, lorsque cela est nécessaire, les éléments justifiant la correction.

ARTICLE 29 — DROIT À L’EFFACEMENT

La personne concernée peut demander l’effacement de ses données lorsque les conditions légales sont réunies.

Ce droit peut être limité lorsque la conservation des données est nécessaire à une obligation légale, à l’archivage administratif ou à la gestion d’un litige.

ARTICLE 30 — DROIT D’OPPOSITION

La personne concernée peut exercer son droit d’opposition dans les conditions prévues par la législation applicable.

L’exercice de ce droit doit être examiné au regard du fondement juridique du traitement et des obligations applicables.

ARTICLE 31 — RETRAIT DU CONSENTEMENT

Lorsque le traitement repose sur le consentement, la personne concernée peut retirer celui-ci pour l’avenir.

Le retrait ne remet pas en cause la licéité des traitements effectués avant ce retrait.

ARTICLE 32 — EXERCICE DES DROITS

Les demandes peuvent être adressées au service compétent :

ORAC-G — Service de protection des données personnelles

Adresse électronique : [À COMPLÉTER]

Adresse postale : [À COMPLÉTER]

La demande doit préciser, dans la mesure nécessaire :

L’identité du demandeur ;
Les coordonnées permettant de répondre ;
Le droit exercé ;
Les données ou le dossier concerné ;
Les éléments nécessaires à la vérification de l’identité, lorsque cela est justifié.

Les demandes sont traitées conformément aux délais et modalités prévus par la législation applicable.

TITRE IX — COOKIES, NOTIFICATIONS ET INCIDENTS

ARTICLE 33 — COOKIES ET TRACEURS

Le portail peut utiliser des cookies ou des technologies similaires nécessaires à son fonctionnement.

Ces technologies peuvent notamment servir à :

Maintenir les sessions ;
Sécuriser les connexions ;
Mémoriser les préférences ;
Améliorer le fonctionnement du portail ;
Mesurer l’audience, lorsque cela est autorisé.

Les traceurs soumis à consentement ne doivent être activés qu’après obtention du consentement requis.

Les modalités de gestion des préférences doivent être précisées lorsque cela est nécessaire.

ARTICLE 34 — NOTIFICATIONS

ORAC-G peut envoyer des notifications nécessaires à la gestion des procédures :

Confirmation de compte ;
Vérification d’adresse électronique ;
Accusé de réception ;
Évolution du dossier ;
Demande de pièces ;
Rendez-vous ;
Décision administrative ;
Renouvellement.

Les communications promotionnelles doivent être distinguées des communications administratives indispensables.

ARTICLE 35 — INCIDENTS DE SÉCURITÉ

En cas d’incident susceptible de compromettre les données personnelles, ORAC-G prend les mesures nécessaires pour :

Identifier l’incident ;
En limiter les conséquences ;
Sécuriser les systèmes concernés ;
Évaluer les risques ;
Conserver les éléments utiles ;
Informer les autorités compétentes lorsque cela est requis ;
Informer les personnes concernées lorsque la loi l’exige.

TITRE X — DISPOSITIONS FINALES

ARTICLE 36 — MODIFICATION DE LA POLITIQUE

La présente politique peut être modifiée afin de tenir compte des évolutions législatives, réglementaires, institutionnelles ou techniques.

La version actualisée est publiée sur le portail ORAC-G.

La date de dernière mise à jour est indiquée dans le document.

ARTICLE 37 — DROIT APPLICABLE

La présente politique est régie par le droit applicable en République de Guinée.

Les dispositions relatives à la cybersécurité, à la protection des données personnelles et aux procédures administratives s’appliquent dans la mesure pertinente.

ARTICLE 38 — CONTACT

Pour toute question relative à la protection des données personnelles :

Office de Régulation des Acteurs Culturels de Guinée — ORAC-G

Site officiel : https://orac-g.com