Politique de protection des données

Consciente de l’importance d’assurer leur confidentialité, la Mutuelle du Groupe BNP Paribas prend des engagements forts vis-à-vis de la protection des données à caractère personnel (ci-après « DCP »). La Mutuelle du Groupe BNP Paribas a par conséquent élaboré la présente politique (ci-après la « Politique ») afin de vous informer de l’usage fait de vos DCP et des précautions prises pour garantir leur confidentialité.

On entend par DCP « toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres ».
Exemples : un nom, un prénom, un numéro de téléphone, des données de localisation, un identifiant en ligne, une photographie, une adresse IP, un enregistrement vocal, …

Constitue un traitement de DCP « toute opération ou tout ensemble d’opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ». La Personne concernée par un traitement de DCP s’entend de toute personne physique dont les DCP sont traitées par la Mutuelle du Groupe BNP Paribas dans le cadre de ses activités. Il s’agit notamment et sans que cette liste ne soit exhaustive  :

• les utilisateurs des sites internet et extranet,
• les adhérents personnes physiques,
• les ayants droit personnes physiques des adhérents,
• les professionnels de santé.

La présente Politique s’applique à tout traitement de DCP, au sens de la loi n°78-17 du 6 janvier 1978 modifiée, dite loi informatique et libertés et du Règlement Général sur la Protection des Données du 27 avril 2016 (ci-après « RGPD »), réalisé par la Mutuelle du Groupe BNP Paribas dans le cadre de ses activités quel que soit leur mode de collecte et de traitement.

Dans le cadre de ses activités, la Mutuelle du Groupe BNP Paribas intervient par principe en qualité de responsable du traitement des DCP collectées et traitées. Conformément aux dispositions de l’article 26.2 du RGPD, les Personnes concernées peuvent sur demande accéder aux grandes lignes du traitement de leurs données. Cette Politique s’applique quel que soit le statut de la Mutuelle du Groupe BNP Paribas au regard de la réglementation sur la protection des données.

La Mutuelle du Groupe BNP Paribas délègue son activité de tiers payant à Génération et Santéclair qui interviennent en tant que sous-traitants.
Pour les applications mobiles, le responsable de traitement est l’éditeur du site (Mutuelle du Groupe BNP Paribas) et le fournisseur du système d’exploitation est iOS pour Apple et Android pour Google.

Les données à caractère personnel que la Mutuelle du Groupe BNP Paribas collecte dépendent des personnes concernées ainsi que de l’objectif du traitement pour lesquelles elles sont collectées. Elles peuvent être, par exemple :

• des informations relatives à l’identification de l’adhérent et ses ayants droit : nom, prénom, civilité, date de naissance, numéro de Sécurité sociale,
• des informations relatives à la profession : e-mail professionnel, téléphone professionnel,
• des informations de contact : adresse postale, téléphone, e-mail,
• des informations pour le paiement des prestations et d’aides sociales : coordonnées bancaires, données de santé,
• des informations pour connaitre les préférences : cookies, enquêtes de satisfaction, données de profilage, adresses IP,
• des informations pour gérer la sécurité d’accès à l’espace adhérent mis à disposition : numéro adhérent, identifiant de connexion, mot de passe,
• des informations relatives aux réclamations.

Les DCP proviennent :

• soit directement de l’adhérent :
– lors de l’adhésion,
– lors des échanges via le site ou par téléphone,
– lors de la navigation sur le site extranet de la Mutuelle.

• soit des Ressources Humaines des entreprises adhérentes ou des prestataires de Génération ou partenaires tel que l’Assurance Maladie.

Il est à noter que dans le cadre de l’Assemblée générale, la Mutuelle s’autorise à utiliser l’adresse email professionnelle, en sus de l’adresse email personnelle renseignée par l’adhérent dans son Espace Adhérent, obtenue auprès de l’employeur, pour communiquer avec l’adhérent.

De plus, lors du vote en ligne à l’Assemblée générale de la Mutuelle, l’adhérent qui renseignerait une adresse email personnelle autorise la Mutuelle à utiliser celle-ci pour l’ensemble de la relation.

La Mutuelle du Groupe BNP Paribas précise qu’elle est amenée dans le cadre de ses activités à traiter des « catégories particulières de données » au sens de la réglementation, notamment des données concernant la santé.

La Mutuelle du Groupe BNP Paribas veille à traiter ces données dans le respect des dispositions de l’article 9 du RGPD. La Mutuelle du Groupe BNP Paribas veille à ne collecter que des DCP strictement nécessaires à la finalité des traitements mis en œuvre (minimisation des données).

Les traitements mis en œuvre répondent à des finalités explicites, légitimes et déterminées. Conformément à l’article 6 du RGPD, la base légale des traitements effectués par la Mutuelle du Groupe BNP Paribas est :

• le consentement de la personne,
• l’intérêt légitime,
• le respect d’une obligation légale à laquelle la Mutuelle du Groupe BNP Paribas est soumise,
• l’exécution d’un contrat auquel la personne concernée est partie prenante ou l’exécution de mesures précontractuelles prises à la demande de celle-ci.

Les DCP sont utilisées et traitées, par la Mutuelle du Groupe BNP Paribas, aux seules fins de permettre l’exécution du contrat (points 1,8), intérêt légitime de la Mutuelle et des Adhérents (2,3,4,5,7) et pour répondre aux obligations légales et réglementaires (4,5,6,7) :

1. la souscription, la gestion du contrat :
   o gérer et suivre les demandes liées à la vie du contrat (modification, ajout/radiation de bénéficiaires…)
   o gérer les demandes de prestations de services tels que la téléconsultation médicale
   o gérer le tiers payant auprès des adhérents et des professionnels de santé
   o créer et gérer l’espace adhérent
   o traiter les demandes d’aides au Fonds d’action sociale
2. l’amélioration de la qualité de service, des garanties,
3. l’élaboration des statistiques et études actuarielles, la prévention, la détection de la lutte contre la fraude, et de la lutte contre le blanchiment de capitaux et le financement du terrorisme,
4. la gestion des réclamations et des contentieux,
5. la Sécurité et la continuité d’activité,
6. la gestion de la convention de délégation de gestion avec Génération et Santéclair,
7. le suivi et l’amélioration des communications postales et électroniques aux adhérents y compris la communication pour l’Assemblée générale (invitation à voter),
8. l’adaptation des cotisations et des garanties afin de répondre aux besoins des adhérents et respecter les équilibres financiers de la Mutuelle.

Certaines des finalités listées ci-dessus peuvent requérir votre consentement. Dans ce cas, le recueil du consentement se fera au moment de la collecte des DCP.

Lorsque la Mutuelle du Groupe BNP Paribas envisage de traiter les DCP pour d’autres finalités que celles listées ci-dessus, elle s’engage à informer les personnes concernées et à recueillir leur consentement préalable si celui-ci est requis conformément au RGPD ou toute autre législation relative à la protection des données.

Les Personnes concernées sont informées que le consentement n’est pas requis lorsque le traitement est nécessaire à l’exécution d’un contrat auquel elle est partie. Il en est de même pour l’exécution de mesures précontractuelles prises à la demande de la Personne concernée.

Les destinataires des DCP sont les services de la Mutuelle du Groupe BNP Paribas. Elles peuvent être communiquées, si nécessaire à d’autres entités notamment :

– aux sous-traitants dans la limite nécessaire à l’exécution des tâches qui leurs sont confiées,
– aux établissements bancaires intervenant dans les flux de paiement et d’encaissement,
– pour les contrats collectifs d’assurance, aux employeurs pour certains types de données (tels que les adhésions individuelles facultatives rattachées au contrat collectif),
– aux partenaires de la Mutuelle ou de BNP Paribas dans le but que les adhérents puissent bénéficier de prestations supplémentaires (Fédération Nationale de la Mutualité Française…), le cas échéant, dans la limite nécessaire à l’exécution des tâches qui leurs sont confiées,
– aux tiers autorisés à traiter vos DCP tels que les autorités publiques disposant de prérogatives particulières (autorités administratives ou judiciaires : avocats, commissaires de justice ou encore l’ACPR ou la CNIL),
– aux clients personnes physiques ou morales lorsqu’ils agissent en tant que souscripteur des contrats d’assurance,
– aux partenaires de la Mutuelle dans le cadre des missions confiées et uniquement aux fins d’études statistiques et actuarielles (Commissaires aux comptes, cabinets d’actuariat),
– aux autres assureurs dans le cadre d‘un dispositif interprofessionnel ayant pour finalité la lutte contre la fraude et dont le responsable du traitement est l’ALFA (l‘Agence pour la Lutte contre la Fraude à l‘Assurance).

Lorsque la Mutuelle du Groupe BNP Paribas fait appel à un sous-traitant pour un traitement utilisant des DCP, elle s’assure que ce dernier présente des garanties suffisantes et veille à formaliser un accord écrit permettant d’assurer le même niveau de confidentialité que si les DCP étaient traitées par la Mutuelle du Groupe BNP Paribas.

La Mutuelle du Groupe BNP Paribas conserve les DCP dans un environnement sécurisé pendant la durée nécessaire à la réalisation des finalités de traitement indiquées précédemment. La Mutuelle du Groupe BNP Paribas conserve certaines DCP pour :

• répondre à une obligation légale de conservation,
• garantir les délais légaux de prescription/forclusion applicables, notamment en matière assurantielle, commerciale, civile et fiscale,
• répondre à des finalités statistiques.

Les DCP feront l’objet selon le cas d’un archivage intermédiaire dans un environnement dont l’accès est réservé aux seules personnes disposant d’une habilitation. A l’issue du délai de prescription applicable, les DCP feront l’objet soit d’une anonymisation, soit d’un effacement.

La Mutuelle du Groupe BNP Paribas veille à apporter toute la diligence nécessaire pour garantir la confidentialité et la sécurité des DCP, mais ne peut garantir une totale absence de failles, notamment en raison des évolutions des techniques d’intrusion mises en œuvre par les contrevenants.

La Mutuelle a fait le choix de privilégier l’hébergement et le traitement des DCP en France et de contractualiser avec des fournisseurs ayant les certifications HDS (hébergeur de données de santé) ou ISO 27001 ou ayant recours à des prestataires certifiés HDS ou ISO 27001 (Génération, Santéclair, Deuxièmeavis).

Conformément à la réglementation, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation au traitement, de portabilité des données, d’opposition ainsi que d’un droit de définir des directives relatives au sort de vos données après votre décès pour des motifs légitimes aux traitements de vos DCP (cf. www.cnil.fr pour plus d’informations sur vos droits).
Pour exercer ces droits ou pour toute question sur le traitement des DCP, vous pouvez contacter le délégué à la protection des données (DPO) :

• par voie électronique : paris_mutuelle_secretariat_general@bnpparibas.com
• par courrier :
  Mutuelle du Groupe BNP Paribas
  Secrétariat Général : Data Protection Officer – CPD04B1
  9 rue du Débarcadère
  93500 PANTIN

L’exercice de ces droits s’effectue dans les conditions et limites prévues par la réglementation applicable, notamment le RGPD. Chaque demande est examinée au regard de sa nature, de la base légale du traitement concerné et des obligations auxquelles la Mutuelle du Groupe BNP Paribas est soumise. À ce titre, certaines demandes peuvent ne pas pouvoir être satisfaites, en tout ou partie, lorsque le traitement ou la conservation des données demeure nécessaire, notamment pour respecter une obligation légale, exécuter le contrat, constater, exercer ou défendre un droit en justice, ou faire valoir des motifs légitimes impérieux prévalant sur les intérêts, droits et libertés de la personne concernée. Le retrait du consentement, lorsqu’un traitement est fondé sur cette base légale, est possible à tout moment, sans remettre en cause la licéité des traitements réalisés avant ce retrait.

Conformément à la réglementation et pour garantir la confidentialité des DCP, il peut vous être demandé de justifier de votre identité, notamment par la présentation d’une pièce d’identité. Pour toute information complémentaire ou si vous estimez, après nous avoir contactés, que vos droits au regard de la loi informatique et libertés ne sont pas respectés, vous pouvez adresser une réclamation auprès de la CNIL.

Cette politique est susceptible de modifications en fonction notamment de l’évolution de la réglementation nationale et/ou européenne sur la protection des données. Vous pouvez consulter régulièrement la présente Politique.

Dernière mise à jour : le 4 août 2026.