Code de conduite d'ExxonMobil applicable à la protection des données à caractère personnel

1.1 ExxonMobil s’engage à protéger les Données à caractère personnel, et notamment à :

i. Traiter de manière licite les Données à Caractère Personnel qui lui sont confiées, et

ii. conformément aux exigences opérationnelles de l'entreprise, gérer de manière appropriée les risques d'atteinte à la vie privée associés au Traitement des Données à Caractère Personnel

1.2 ExxonMobil et ses salariés sont tenus de respecter le Code lorsqu’ils traitent des Données à Caractère Personnel. Le Code fait partie des obligations en termes de conformité telles que définies dans la Politique d’entreprise en matière d’actifs. Toutes les politiques doivent être lues, comprises et respectées dans le cadre des obligations contractuelles et/ou professionnelles d'un salarié. La liste de nos politiques est disponible à l'adresse Code d’éthique | ExxonMobil

1.3 ExxonMobil veille au respect du présent Code et des programmes, outils et procédures de mise en œuvre du Code par le biais 

i. d’un réseau de contacts dédiés en matière de protection des Données à Caractère Personnel.

ii. Du Bureau de Protection des Données à Caractère Personnel d'ExxonMobil, composé de professionnels de la protection des données, qui fournit des conseils sur l'atténuation des risques liés aux évaluations d’impact sur les Données à Caractère Personnel réalisées par les secteurs d’activité conformément aux politiques internes de protection des données, et qui est responsable des tâches qui lui sont assignées aux Articles 3.3, 8.2, 9.3, 15.1 et 18.2 x du Code.

Les Délégués à la protection des données pour les Affiliées (lorsqu'ils doivent être nommés) veillent au respect des Lois européennes sur la protection des données et du Code, fournissent des conseils, rendent compte aux responsables d'ExxonMobil et constituent un point de contact pour les Personnes Physiques et les Autorités de Contrôle Compétentes ; et

iii. une structure d'entreprise mondiale composée de responsables d'ExxonMobil chargés de superviser les activités du Bureau de Protection des Données à Caractère Personnel d'ExxonMobil.

1.4 L’Affiliée ExxonMobil Petroleum & Chemicals BV, dont le siège social est sis Polderdijkweg, 2030 Anvers (Belgique), participe à la gouvernance mondiale de la protection des données d’ExxonMobil et joue un rôle prépondérant concernant la protection des Données à Caractère Personnel Européennes. Les détails de ce rôle et des droits spécifiques applicables aux Données à Caractère Personnel Européennes sont décrits à l’Article 18.

1.5 Le Code constitue les Règles d’Entreprise Contraignantes (ou Binding Corporate Rules (BCR)) d’ExxonMobil dans le cadre des Lois européennes sur la protection des données.

2.1 ExxonMobil applique le Code dans tous les pays où elle traite des Données à Caractère Personnel.

2.2 Le Code s’applique aux Données à Caractère Personnel des Personnes Physiques. Le terme Personnes Physiques inclut les salariés actuels et anciens salariés d’ExxonMobil, les candidats à un poste, le personnel des sociétés co-contractantes, les représentants de clients et d’autres partenaires commerciaux, et les consommateurs. Toutes les Personnes Physiques ont accès aux déclarations de protection des Données à Caractère Personnel conformes à la Loi européenne sur la protection des données, qui énumèrent les catégories et les types de Données à Caractère Personnel et qui sont disponibles sur les sites Internet internes et externes d'ExxonMobil. Le cas échéant, les contrats sont soumis à des obligations de confidentialité et ne sont accessibles qu'aux parties contractantes.

2.3 Le Code ne s’applique pas aux Informations Anonymisées ni à toute autre information ne constituant pas une Donnée à Caractère Personnel.

2.4 ExxonMobil traite des Données à Caractère Personnel pour les besoins de ses activités, ce qui inclut notamment :

i. l’administration du personnel et les activités de gestion des ressources humaines, telles que la paye et le développement de carrière

ii. le contrôle de la conformité des pratiques des Personnes Physiques aux politiques et actifs de l’entreprise

iii. la sûreté et l’accès des Personnes Physiques aux bâtiments et installations,

iv. la gestion des technologies de l’information en ce qui concerne l’utilisation des systèmes informatiques par les Personnes Physiques, incluant notamment la fourniture de logiciels et de matériels, la mise en œuvre de dispositifs de contrôle d’accès, ainsi que la maintenance et la mise à jour des mesures de sécurité de l’information.

v. la gestion des relations avec les clients et autres partenaires commerciaux, ce qui inclut le traitement des coordonnées professionnelles et informations relatives aux transactions commerciales afin de permettre la prise de commandes, les livraisons, la facturation et le développement de la relation commerciale,

vi. la communication avec les agences gouvernementales afin d’assurer la conformité aux exigences réglementaires,

vii. la communication avec les parties prenantes externes sur les questions liées aux activités d’ExxonMobil 

3.1 Les Données à Caractère Personnel sont Traitées conformément à la loi.

3.2 Le présent Code établit un niveau minimal de protection des Données à Caractère Personnel. Lorsque la législation applicable exige un niveau de protection des Données à Caractère Personnel plus élevé que celui prévu par le Code, ExxonMobil se conformera à ce niveau de protection plus élevé.  Par exemple, si le Traitement est autorisé uniquement à raison d’une ou plusieurs base(s) juridique(s) expressément prévue(s) par la loi (voir les articles 18.2 iv et v), ExxonMobil se conformera à ces exigences.

3.3 ExxonMobil, avec le soutien du Bureau de Protection des Données à Caractère Personnel d’ExxonMobil et des Délégués à la des Données à Caractère Personnel (lorsqu’ils sont désignés), assure une veille juridique à l’échelle mondiale afin de garantir le respect du présent Code. Ce processus inclut les évaluations prévues à la section 18.8 du présent Code. Lorsque ExxonMobil a des raisons de croire qu’une loi l’empêche de se conformer au Code, ExxonMobil prendra une décision responsable quant aux mesures à prendre, en coordination avec le Bureau de Protection des Données à Caractère Personnel d’ExxonMobil et les Délégués à la Protection des Données (s’il doit être nommé). Le Délégué à la protection des données informe et consulte l’Autorité compétente, tant dans les cas où la réglementation applicable impose une telle information, que dans ceux où ExxonMobil estime que ladite règlementation est susceptible d’avoir un effet défavorable substantiel sur les garanties prévues par le Code.

Si la loi applicable l’exige, les Données à Caractère Personnel seront Traitées pour des finalités spécifiques et légitimes dans chaque cas, conformément à une base légale de traitement des Données à Caractère Personnel et ne feront pas l’objet d’un Traitement ultérieur incompatible avec celles-ci. Le Traitement ultérieur ne sera pas considéré incompatible, par exemple, s’il est réalisé (i.) avec le consentement ou l’autorisation de la Personne Physique (ii.) dans une situation d’urgence, et notamment lorsque la vie ou les intérêts vitaux de la Personne Physique sont en jeu, ou (iii.) dans le but d’établir, exercer ou assurer la défense d’un recours juridique.

5.1 ExxonMobil s’engage à traiter uniquement les Données à Caractère Personnel pertinentes au regard de ses finalités opérationnelles, dont des exemples figurent à la section 2.4 ci dessus. Dans la mesure du possible, les données à caractère personnel sont supprimées, agrégées et/ou pseudonymisées afin de garantir que seules les données indispensables sont traitées aux fins pour lesquelles elles ont été collectées.

5.2 Les Données à Caractère Personnel seront conservées uniquement le temps nécessaire pour atteindre les objectifs pour lesquelles elles sont Traitées. 

5.3 Lorsque la loi applicable l’exige, ExxonMobil prendra des mesures permettant de minimiser le Traitement des Données à Caractère Personnel, notamment par le biais de la protection des Données à Caractère Personnel dès la conception.

Compte tenu de la finalité du Traitement des Données à Caractère Personnel, ExxonMobil prendra les mesures adaptées afin de (i) préserver l’exactitude des Données à Caractère Personnel, et (ii) mettre à jour les Données à Caractère Personnel dès qu’ExxonMobil sera informée par la Personne Physique ou par une Source de Confiance de modifications apportées aux Données à Caractère Personnel. 

ExxonMobil informera clairement les Personnes Physiques du Traitement des Données à Caractère Personnel, conformément aux exigences légales.

8.1 Sur la base d'une évaluation des risques encourus, ExxonMobil appliquera les mesures techniques et organisationnelles appropriées pour (i) garantir que les Données à Caractère Personnel Européennes sont Traitées conformément aux Lois européennes sur la protection des données et (ii) protéger les Données à Caractère Personnel, contre toute atteinte à leur intégrité. Ces mesures sont énumérées dans un appendice de sécurité de l'information basé sur des normes de sécurité internationalement reconnues.

8.2 En cas de Violation de Données à Caractère Personnel, ExxonMobil (i.) consultera le Bureau de protection des Données à Caractère Personnel d’ExxonMobil qui tient le registre des violations des Données à Caractère Personnel, (ii.) adressera un rapport à un organisme de réglementation et à une Autorité de Contrôle Compétente le cas échéant et (iii) informera les Personnes Physiques conformément à la loi applicable. 

9.1 Lorsque la loi applicable l’exige, ExxonMobil répondra aux demandes des Personnes Physiques souhaitant : (i) savoir si et quelles catégories de Données à Caractère Personnel les concernant font l’objet d’un Traitement par ExxonMobil, (ii) recevoir une copie de leurs Données à Caractère Personnel, (iii) supprimer, limiter, effacer ou s’opposer au Traitement des Données à Caractère Personnel de la personne qui en fait la demande et (iv) lorsque la loi en vigueur le permet, retirer leur consentement au dit Traitement et (v.) obtenir la Portabilité des Données.

9.2 Les Personnes Physiques peuvent demander à ExxonMobil de rectifier toutes Données à Caractère Personnel inexactes les concernant conformément à l’Article 6.

9.3 Afin d'exercer ces droits ou de formuler une préoccupation ou une réclamation portant sur le non-respect du Code par ExxonMobil, les Personnes Physiques peuvent contacter le Bureau de Protection des Données à Caractère Personnel d’ExxonMobil afin d’obtenir plus d’informations sur la procédure de traitement des réclamations qui sera appliquée : 

Par courriel à : data.privacy.office@exxonmobil.com
Ou par courrier postal à l’adresse suivante: Data Privacy Office, c/o ExxonMobil Hungary Limited Liability Company, Registered seat: H-1134 Budapest, Dózsa György út 61-63, Budapest, H-1134, Hungary

Les Personnes Physiques peuvent également contacter les Délégués à la protection des Données (lorsqu'ils doivent être nommés) en utilisant les mêmes coordonnées, mais en indiquant « DP Officer » dans l’objet de l'e-mail.

En cas de transfert par ExxonMobil de Données à Caractère Personnel entre Affiliées, ExxonMobil veillera à ce que les Données à Caractère Personnel bénéficient des garanties prévues par le présent Code.

Les Données à Caractère Personnel ne seront transférées à des tiers (y compris dans le cadre des transferts transfrontaliers) que si des mesures appropriées conformes aux Lois Applicables ont été prises afin de garantir une protection adéquate des Données à Caractère Personnel lors du Transfert. 

ExxonMobil s’engage à dispenser une formation obligatoire concernant les obligations du présent Code aux salariés et aux sous-traitants qui: (i) Traitent des Données à Caractère Personnel, ou (ii) participent à la maintenance ou au développement des outils utilisés pour Traiter des Données à Caractère Personnel. Cette formation a lieu au début de la période d’embauche et/ou de la mission chez ExxonMobil, puis tous les 3 ans.

La formation continue relève du Bureau de Protection des Données à Caractère Personnel. Celle-ci est disponible dans les systèmes de formation existants d'ExxonMobil.

13.1 ExxonMobil applique des programmes permettant de vérifier régulièrement la mise en œuvre et le respect du Code.

13.2 Les programmes de contrôle de la conformité comprennent : 

i. Un programme d’audit qui prévoit des audits réguliers par les services d’audit interne, ainsi que le suivi d’éventuelles mesures correctives nécessaires, et la supervision du programme d’audit et des résultats d’audit par le Conseil d’Administration d’Exxon Mobil Corporation.

ii. Les membres du service d'audit interne d'ExxonMobil bénéficient d'une garantie d'indépendance dans l'exercice de leurs fonctions, y compris en ce qui concerne l'étendue, le processus et la fréquence. Cela garantit l'indépendance du service d'audit interne et des résultats de l'audit.

iii. Le service d'audit interne assurera le suivi des résultats de l'audit. La supervision du service et du programme d'audit interne, y compris tous les résultats de l'audit interne, est assurée par les membres du Comité d'audit du Conseil d'administration d'Exxon Mobil Corporation. Cela garantit l'indépendance réelle des fonctions du service d’audit.

iv. Une procédure complémentaire, en vertu de laquelle un service ou une ligne de métier peut requérir la réalisation d’un audit, est exécuté par le département d’audit interne.

14.1 ExxonMobil coopérera avec les Autorités de Contrôle Compétentes et examinera avec attention leurs recommandations dans le cadre des demandes relatives à l’application du présent Code.

14.2 Dans l'exécution de ses obligations publiques par une Autorité de Contrôle Compétente, ExxonMobil coopérera et se conformera aux décisions formelles et légales des Autorités de Contrôle Compétentes qui sont définitives et ne peuvent faire l'objet d'aucun recours.

14.3 Lorsque des Données à Caractère Personnel sont Transférées entre Affiliées, celles ci seront tenues de coopérer et de s’entraider, le cas échéant, pour répondre aux demandes des Autorités de Contrôle Compétentes.

15.1 Le Code peut être modifié par ExxonMobil si nécessaire, par exemple pour assurer le respect des modifications de la législation applicable ou pour tenir compte de changements dans l’organisation et les processus internes. Les modifications du Code sont enregistrées et stockées par le Bureau de protection des Données à Caractère Personnel et notifiées à toutes les Affiliées d'ExxonMobil (modifications importantes uniquement).

15.2 ExxonMobil communiquera les modifications apportées au Code à l’Autorité de Contrôle Compétente, et ce comme suit :

• Les Modifications Importantes apportées au Code seront communiquées sans retard injustifié ; et
• Tous les ans, ExxonMobil communiquera les changements apportés au Code et/ou à la liste des Affiliées tenues au respect du Code, accompagnées d’une brève description desdites modifications. En l’absence de toute modification du Code, celle-ci sera également notifiée à l’Autorité compétente dans le cadre de la communication annuelle d’ExxonMobil.

15.3 ExxonMobil mettra à disposition le Code et les changements qui y sont apportés : 

• En externe sur notre site web ici;
• Sur demande de la Personne Physique, conformément au paragraphe 9.3; et
• En interne, sur l’Intranet d’ExxonMobil.

Le présent Code prend effet à la date de signature de l’Accord inter sociétés relatif aux Règles d’Entreprise Contraignantes.

Pour obtenir de plus amples informations sur le Code de Conduite, nous vous invitons à contacter le Bureau de Protection des Données à Caractère Personnel d'ExxonMobil à l’adresse suivante : data.privacy.office@exxonmobil.com.

18.1 En ce qui concerne les Données à Caractère Personnel Européennes, ExxonMobil s’engage à respecter tous les engagements prévus par le Code. Lorsque des Lois européennes en matière de Protection des Données à Caractère Personnel imposent un niveau de protection plus élevé, ExxonMobil appliquera ce niveau de protection renforcé. ExxonMobil informera sans délai l’Exportateur de données ainsi que ExxonMobil Petroleum & Chemical BV lorsqu’il ne lui sera plus possible de se conformer au Code, notamment à la suite d’un changement de réglementation dans un Pays de destination ou d’une demande d’accès émanant d’une autorité publique.

18.2 Dans le cas où les Données à Caractère Personnel Européennes sont Transférées à des Affiliées en dehors de la région Européenne, ExxonMobil offrira un niveau de protection aux Données à Caractère Personnel Européennes qui n'affaiblit pas le niveau de protection accordé par les Lois européennes sur la protection des données. ExxonMobil agira de la sorte, même si cette protection n'est pas assurée par le droit applicable dans les pays des Affiliées situées en dehors de la Région Europe où les Données à Caractère Personnel Européennes sont reçues.

Cet engagement implique, en ce qui concerne les Articles 3, 4, 5, 7, 8, 9 et 11 respectivement du Code, qu’ExxonMobil :

i. ne Traitera pas les Données à Caractère Personnel Européennes qui révéleraient l'origine raciale ou ethnique, les opinions politiques, la religion ou les convictions philosophiques, l'appartenance à un syndicat, la santé, la vie sexuelle, l’orientation sexuelle, les données génétiques, les données biométriques dans le but d'identifier une Personne Physique de manière unique, à moins que ce Traitement ne soit autorisé conformément aux Lois européennes sur la protection des données,

ii. ne Traitera les Données à Caractère Personnel Européennes relatives aux condamnations pénales et aux infractions qu'en conformité avec les Lois européennes sur la protection des données,

iii. procédera à une analyse d'impact des opérations de Traitement à haut risque, conformément aux Lois européennes sur la protection des données, et si les risques restent élevés après la mise en œuvre des mesures d'atténuation recommandées par les Délégués à la protection des données (lorsqu'ils ont été désignés), conseillées par des juristes en matière de protection des Données à Caractère Personnel évaluation par évaluations, consultera l’Autorité de Contrôle Compétente, conformément aux Lois européennes sur la protection des données,

iv. Traitera les Données à Caractère Personnel Européennes à des fins opérationnelles spécifiques et légitimes, et en vertu d'une base juridique valide, en particulier (le cas échéant) : 

• lorsque le Traitement est nécessaire aux fins des intérêts légitimes d'ExxonMobil ou d'un tiers, sauf si les intérêts ou les libertés et droits fondamentaux de la Personne Physique l'emportent sur ces intérêts.

• lorsque la Personne Physique a donné son consentement au Traitement de ses Données à Caractère Personnel pour une ou plusieurs finalités spécifiques.

• lorsque le Traitement est nécessaire à l'exécution d'un contrat auquel la Personne Physique est partie ou pour prendre des mesures à la demande de la Personne Physique avant de conclure un contrat.

• lorsque le Traitement est nécessaire pour se conformer à une obligation légale en vertu des Lois européennes sur la protection des données auxquelles ExxonMobil est soumise, ou lorsqu'il est expressément autorisé par les Lois européennes sur la protection des données auxquelles ExxonMobil est soumise, ou

• dans des circonstances exceptionnelles, lorsque le Traitement est nécessaire pour protéger les intérêts vitaux de la Personne Physique ou d'une autre personne physique.

v. Traitera les Données à Caractère Personnel Européennes classées dans une catégorie spéciale en vertu des Lois européennes sur la protection des données à des fins opérationnelles spécifiques et légitimes, et en vertu d'une base juridique valide, en particulier (le cas échéant) :

• lorsque la Personne Physique a donné son consentement au Traitement de ses Données à Caractère Personnel pour une ou plusieurs finalités spécifiques.

• lorsque le Traitement est nécessaire à l'exécution des obligations et à l'exercice des droits spécifiques d'ExxonMobil ou de la Personne Physique dans le domaine de l'emploi, de la sécurité sociale et de la législation sur la protection sociale, dans la mesure où elle est autorisée ; ou

• lorsque le Traitement est nécessaire à des fins de médecine préventive ou de médecine du travail, pour l'évaluation de la capacité de travail du salarié, pour un diagnostic médical, pour la fourniture de soins ou de traitements médicaux ou de services sociaux ou pour la gestion de systèmes et services de santé ou de services sociaux, comme le permettent les Lois européennes sur la protection des données.

vi. Traitera des Données à Caractère Personnel Européennes de manière adéquate, pertinente et limitée à ce qui est nécessaire au regard des besoins opérationnels légitimes d’ExxonMobil,

vii. Appliquera les principes de protection de la vie privée dès la conception et par défaut, le cas échéant,

viii. Conservera un registre des activités de traitement, lequel sera mis à la disposition de l’Autorité compétente sur demande,

ix. Informera en toute transparence les Personnes Physiques de l’utilisation et de la finalité du Traitement des Données à Caractère Personnel Européennes, conformément aux Lois européennes sur la protection des données,

x. Appliquera le même niveau de mesures de sécurité pour protéger les Données à Caractère Personnel Européennes que celui prévu par les Lois européennes sur la protection des données,

xi. En cas de violation des Données à Caractère Personnel Européennes, ExxonMobil s’engage à :

1. consulter le Bureau de Protection des Données à Caractère Personnel d’ExxonMobil et le Délégué à la Protection des Données à Caractère Personnel  (lorsqu’il doit être désigné) qui aideront à évaluer le risque et à documenter la violation dans un registre interne, à mettre la documentation pertinente à la disposition de l’Autorité de Contrôle Compétente sur demande, et

2. notifier la violation de données à caractère personnel aux Autorités compétentes sans retard injustifié et, lorsque cela est possible, au plus tard dans les soixante-douze (72) heures après en avoir eu connaissance, sauf si ladite violation est peu susceptible d’entraîner un risque pour les droits et libertés des personnes physiques, et

3. informer sans retard injustifié ExxonMobil Petroleum & Chemical BV, et informer les Personnes Physiques sans retard injustifié si la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des Personnes Physiques, et

4. lorsqu'une violation de Données à Caractère Personnel Européennes résulte des actions d'un sous-traitant d'ExxonMobil, notifiera le responsable de traitement d'ExxonMobil dans les meilleurs délais.

xii. Répondre aux demandes et réclamations des Personnes Physiques concernant le Traitement de Données à Caractère Personnel Européennes conformément à l’Article 18.7,

xiii. Permettre aux Personnes Physiques de s’opposer au Traitement de leurs données ou à une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques les concernant ou les affectant de manière significative, à moins que ladite décision ne soit autorisée par les Lois européennes sur la protection des données,

xiv. Transférer des Données à Caractère Personnel Européennes à des tiers en dehors de la Région Européenne, lorsqu'une protection adéquate est assurée ou, que dans des circonstances exceptionnelles, une dérogation dans chaque cas, comme l'autorisent les Lois européennes sur la protection des données, et

xv. Conclure des contrats avec des sous-traitants qui respectent les Lois européennes sur la protection des données, et

xvi. Nommer des Délégués à la Protection des Données à Caractère Personnel dans les pays de l’Union Européenne afin de surveiller spécifiquement le respect des lois européennes en matière de Protection des Données à Caractère Personnel. Conformément à l’article 28.3 ainsi qu’aux articles 45 à 48, ou en vertu d’une dérogation prévue à l’article 49 du Règlement Général sur la Protection des Données de l’Union européenne, les Délégués à la Protection des données à Caractère Personnel peuvent requérir la réalisation d’un audit pour appuyer leurs responsabilités de contrôle de conformité.

xvii. Nommer des Délégués à la Protection des Données à Caractère Personnel dans la Région Européenne afin de surveiller spécifiquement le respect des Lois européennes en matière de Protection des Données à Caractère Personnel. Conformément aux Lois Européennes en matière de Protection des Données à Caractère Personnel, lesdits Délégués à la Protection des Données à Caractère Personnel sont habilités à requérir la réalisation d’un audit afin d’appuyer l’exercice de leurs responsabilités de contrôle de conformité.

18.3 Les Autorité de Contrôle Compétentes au sein de la Région Européenne peuvent vérifier la conformité au Code, y compris en réalisant des audits d’ExxonMobil conformément aux droits d’audit qui leur sont conférés par les lois en vigueur. Les résultats des audits concernant toutes les Données à Caractère Personnel sont communiqués comme indiqué à l’Article 13.2.et seront également transmis à une Autorité compétente sur demande. Tout litige relatif au contrôle de la conformité du présent Code sera résolu par les tribunaux du pays de l’Autorité compétente, conformément aux Lois Européennes en matière de Protection des Données à Caractère Personnel. ExxonMobil accepte de se soumettre à la juridiction applicable.

Les Affiliées situées en dehors de la Région Européenne coopéreront avec ExxonMobil Petroleum & Chemicals BV si nécessaire pour répondre à toutes demandes d’Autorités de Contrôle Compétentes dans la Région Européenne et de fournir les résultats d’audit pertinents ainsi que les inspections, y compris les audits sur site, en rapport avec le Code.

ExxonMobil se conformera aux recommandations des Autorités de Contrôle Compétentes de la Région Européenne en ce qui concerne les Données à Caractère Personnel Européennes, sous réserve de l’épuisement des voies de recours si ExxonMobil le juge approprié.

18.4 La Personne Physique dont les Données à Caractère Personnel Européennes sont transférées à une Affiliée en dehors de la Région Européenne bénéficiera des droits reconnus des tiers et peut faire appliquer directement les Articles 15.3 et 18.2.i., iii., iv., v., vii., viii., ix.3, x., xi., xii., 18.3 à 18.8 du Code, par l’utilisation de l’un des moyens suivants : 

i. en contactant le Bureau de Protection des Données à Caractère Personnel d’ExxonMobil conformément au paragraphe 9.3, ou

ii. en introduisant une réclamation auprès de l’Autorité de Contrôle Compétente où la Personne Physique a sa résidence habituelle, son lieu de travail ou bien où l'infraction présumée au Code a eu lieu, ou

iii. en intentant une action à l’encontre l’Affiliée concernée établie dans la Région Européenne auprès d’un tribunal compétent de la Région Européenne, ou

iv. iv. en intentant une procédure à l’encontre d’ExxonMobil Petroleum & Chemical BV, dont le siège social est situé Polderdijkweg, 2030 Anvers, Belgique, devant l'Autorité belge de Protection des Données (APD) ou les tribunaux de Bruxelles ou d'autres tribunaux compétents, lorsque les Lois Européennes sur la Protection des Données à Caractère Personnel l'autorisent.

18.5 En cas d’introduction d’une réclamation ou plainte fondée en vertu de l’article 18.4, ExxonMobil Petroleum & Chemicals BV accepte la responsabilité de toute violation du Code par une Affiliée établie en dehors de la Région Européenne, et s’engage à prendre les mesures nécessaires pour remédier à la violation et, le cas échéant, à verser une indemnité pour les dommages résultant de cette violation, conformément à une décision finale et en dernier ressort d’un tribunal ou d’une Autorité de Contrôle Compétente.

18.6 En cas d’introduction d’une réclamation, d’une plainte ou d’une procédure en vertu de l’article 18.4, la Personne Physique ne sera pas tenue de prouver une violation effective du présent Code par l’Affiliée établie en dehors de la Région Européenne ; il suffira que la Personne Physique démontre qu’elle a subi un préjudice et que ce préjudice a probablement été causé par une violation du présent Code par une Affiliée établie en dehors de la Région Européenne. La charge de la preuve incombera alors à ExxonMobil Petroleum & Chemicals BV qui devra démontrer que l’Affiliée établie en dehors de la Région Européenne n’a pas violé le présent Code. Si ExxonMobil Petroleum & Chemical BVBA peut prouver que l’Affiliée située en dehors de la Région Européenne n’est pas responsable de la violation, ExxonMobil Petroleum & Chemicals BV pourra être déchargée de toute responsabilité.

18.7 ExxonMobil répondra aux demandes ou aux plaintes concernant le Traitement des Données à Caractère Personnel Européennes sans retard injustifié et, dans tous les cas, dans un délai d’un mois à compter de la réception de la demande ou de la réclamation, délai qui peut être prolongé de deux mois supplémentaires si nécessaire et autorisé par les Lois européennes sur la protection des données et notifié par écrit à la personne concernée. Le Bureau de Protection des données d'ExxonMobil et les Délégués à la protection des données (lorsqu'ils doivent être désignés) constituent un point de contact pour les salariés d'ExxonMobil chargés de répondre à de telles demandes ou réclamations.

Les réclamations peuvent être soumises par une Personne Physique par email ou par courrier postal conformément à l’Article 9.3 du Code.  ExxonMobil reconnaît les demandes et réclamations formulées directement par les personnes concernées ou par l’intermédiaire d’un représentant d’un organisme, d’une organisation ou d’une association.

Si ExxonMobil considère que la réclamation est fondée, elle informera la Personne Physique de la manière dont elle envisage de remédier au problème ayant donné lieu à la réclamation. Si la réclamation est rejetée ou si la Personne Physique n’est pas satisfaite de la réponse apportée par ExxonMobil, elle pourra déposer une réclamation ou engager une procédure conformément aux Articles 18.4.ii et 18.4.iii du Code. De plus, si la réclamation concerne le Traitement de Données à Caractère Personnel Européennes par des Affiliées qui se situent en dehors de la Région Européenne, la Personne Physique peut déposer une plainte ou engager une procédure conformément à l’Article 18.4.iv.

18.8 ExxonMobil entreprend et documente des évaluations spécifiques à chaque pays afin de déterminer si un Transfert de Données à Caractère Personnel Européennes vers un Importateur de Données situé en dehors de la Région Européenne, en s'appuyant sur le Code, est protégé de manière adéquate par le Code et si des mesures complémentaires doivent être mises en œuvre en conséquence des conclusions de l’Évaluation. Ces évaluations sont tenues à jour afin de refléter tout changement de législation susceptible de modifier la détermination du risque, ce qui inclut la surveillance, par les Exportateurs de données, des développements dans le Pays de destination en collaboration avec les Importateurs de données, lorsque cela est approprié. Conformément à la Section 18.1, ExxonMobil informera sans délai l’Exportateur de données ainsi que ExxonMobil Petroleum & Chemical BV lorsqu’il ne lui sera plus possible de se conformer au Code en raison de modifications législatives. Les entités affiliées sont informées des résultats des Évaluations par le Bureau de la Protection des Données à Caractère Personnel, lesquels précisent si lesdits transferts sont suspendus ou interrompus. La mise en œuvre de mesures complémentaires est consignée conjointement avec l’Évaluation.

Le processus d'Evaluation examine tous les aspects du Transfert, notamment pour déterminer si les lois et pratiques locales du Pays de destination :

- respectent l’essence des droits et libertés fondamentaux ;

- excèdent ce qui est nécessaire et proportionné dans une société démocratique pour garantir le risque d’exiger la divulgation ou d’autoriser l’accès aux données à caractère personnel européennes ; et

- imposent la divulgation de données à caractère personnel européennes ou prévoient des mécanismes autorisant l’accès par les autorités publiques, de telle sorte qu’elles produisent un effet substantiellement défavorable sur les garanties et engagements prévus par le Code. Conformément à la Section 18.1, une entité affiliée informera l’Exportateur de données ainsi que ExxonMobil Petroleum & Chemical BV.

Lorsqu’une Évaluation conclut que les lois et pratiques locales ont un tel effet substantiellement défavorable, ExxonMobil, en coordination avec ExxonMobil Petroleum & Chemical BV, le Bureau de la protection des données et les Délégués à la protection des données, examinera les mesures contractuelles, techniques et organisationnelles de sécurité existantes et décidera s’il convient de les compléter afin de réduire ce risque. Le processus d’Évaluation et de mise en œuvre de mesures complémentaires s’applique également aux transferts existants signalés comme étant affectés par les lois et mesures locales par l’Importateur de données. Ces transferts sont immédiatement suspendus sur instruction d’ExxonMobil et, le cas échéant, sur demande des Autorités compétentes, jusqu’à l’identification de mesures complémentaires.

Lorsque les mesures supplémentaires identifiées ne peuvent pas fournir la protection nécessaire pour permettre au Code de protéger le Transfert de Données à Caractère Personnel Européennes, les Transferts existants sont interrompus et les nouveaux Transferts ne sont pas autorisés. Toutes les Données à Caractère Personnel Européennes qui auraient été Transférées sont renvoyées ou détruites, au choix de l'Exportateur de données, à moins qu'une loi locale ne l'interdise. Dans ce cas, les Données à Caractère Personnel Européennes resteront chez l'Importateur de données qui continuera à respecter le Code

Toutes les Evaluations sont mises à la disposition de l’Autorité de Contrôle Compétente sur demande.

18.9 Lorsqu’un Importateur de données reçoit ou prend connaissance d’une Demande d’accès de la part d’une autorité publique, il en informera sans délai l’Exportateur de données ainsi que la Personne concernée dont les Données à Caractère Personnel européennes font l’objet de ladite Demande d’accès. Si une interdiction totale ou partielle empêche de procéder à ces notifications, l’Importateur de données déploiera ses meilleurs efforts pour obtenir une dérogation à cette interdiction et documentera ses démarches, y compris la Demande d’accès initiale, afin de pouvoir les démontrer sur demande de l’Exportateur de données et tant que le transfert de Données à Caractère Personnel concerné par la Demande d’accès demeure protégé par le Code. Toutes les Demandes d’accès émanant des autorités publiques ainsi que la documentation interne seront conservées conformément aux règles de rétention d’ExxonMobil.

ExxonMobil évaluera la légalité d’une Demande d’accès aux fins de divulgation telle que décrite ci-dessus – en particulier, afin de déterminer si elle relève des pouvoirs conférés à l’autorité publique requérante – et contestera ladite Demande d’accès si, après une analyse approfondie, elle conclut qu’il existe des motifs raisonnables de considérer que la Demande est illicite au regard des lois du Pays de destination, des obligations internationales applicables et/ou des principes de courtoisie internationale. ExxonMobil partagera cette évaluation avec l’Exportateur de données. Dans les mêmes conditions, ExxonMobil exercera les voies de recours possibles. Lorsqu’elle conteste une Demande d’accès, ExxonMobil sollicitera des mesures provisoires afin de suspendre les effets de ladite Demande jusqu’à ce que l’autorité judiciaire compétente se soit prononcée sur son bien-fondé.

ExxonMobil documentera son évaluation juridique ainsi que toute contestation de la Demande d’accès et, dans la mesure permise par les lois du Pays de destination, mettra cette documentation à la disposition de l’Autorité compétente de protection des données sur demande. ExxonMobil ne divulguera pas les données à caractère personnel requises tant qu’elle n’y sera pas contrainte par les règles de procédure applicables et, dans ce cas, ne fournira que le minimum d’informations autorisé dans sa réponse, sur la base d’une interprétation raisonnable de la Demande.

ExxonMobil prendra des mesures pour empêcher tous Transferts de Données à Caractère Personnel Européennes à une autorité publique (ainsi que tout accès direct par ces autorités aux Données à Caractère Personnel Transférées en vertu du Code) qui seraient massifs, disproportionnés et indiscriminés d’une manière qui irait au-delà de ce qui est nécessaire dans une société démocratique.

L'Importateur de données fournira à l'Exportateur de données, chaque année et à intervalles réguliers, des informations générales sur les Demandes d'accès de la part des Pouvoirs publics , qui comprendront autant d'informations pertinentes que possible sur les demandes reçues (en particulier, le nombre de demandes, le type de données demandées, l'autorité ou les autorités requérante(s), si les Demandes d'accès de la part des Pouvoirs publics  ont été contestées, et l'issue de telles contestations). 

18.10 Les Affiliées ne transféreront pas de Données à Caractère Personnel Européennes en vertu du Code à d’autres Affiliées, sauf si ces dernières sont liées par le Code.

18.11 Lorsqu'un Importateur de données n'est plus tenu de se conformer au présent Code, il peut être autorisé à conserver, retourner ou supprimer les Données à Caractère Personnel reçues en vertu du présent Code par l'Exportateur de données. Si l'Exportateur de données et l'Importateur de données conviennent que les données peuvent être conservées par l'Importateur de données, l'Importateur de données convient qu'il maintiendra la protection conformément aux Lois européennes sur la protection des Données.

« Affiliée » désigne toute société ou société en participation qui a adopté le Code, dans laquelle Exxon Mobil Corporation ou toute société mère d’Exxon Mobil Corporation détient ou contrôle, à l’heure actuelle ou à l’avenir, et directement ou indirectement, plus de 50 pour cent des participations donnant le droit de voter ou de désigner ses administrateurs ou autres personnes occupant des fonctions équivalentes, et tout ayant droit d’une telle société ou société en participation.

“Informations anonymisées” désignent des informations qui ne se rapportent pas à une personne physique identifiée ou identifiable, ou de données à caractère personnel rendues anonymes de telle manière que la personne concernée n’est pas ou n’est plus identifiable.

« Lois applicables » signifie, en ce qui concerne les Données à Caractère Personnel Européennes, les Lois européennes sur la protection des données et, en ce qui concerne toutes les autres Données à Caractère Personnel, les lois et réglementations relatives à la protection des données, à la confidentialité et à la sécurité des Données à Caractère Personnel, telles qu'elles peuvent être mises à jour, modifiées ou remplacées de temps à autre et telles qu'elles s'appliquent au Traitement effectué par ExxonMobil.

« Les “Évaluations” » s’entendent d’un examen juridique portant sur : (i) les circonstances spécifiques des transferts, (ii) les lois et pratiques du Pays de destination applicables à un transfert particulier, y compris celles imposant des obligations de divulgation ou d’accès ainsi que celles susceptibles d’instaurer des limitations ou de prévoir des garanties, et (iii) toute mesure contractuelle, technique ou organisationnelle pertinente et existante, mise en place afin de compléter les garanties prévues par le présent Code.

« Autorité(s) de Contrôle Compétente(s) » désigne la ou les autorité(s) en matière de protection des données de l’EEE et/ou du Royaume-Uni compétente(s) pour l'Exportateur de données en vertu du présent Code.

« Exportateur de données » désigne l'Affiliée de la Région Européenne qui transfère des Données à Caractère Personnel Européennes hors de la Région Européenne à un Importateur de données.

« Importateur de données » : l'Affiliée qui reçoit des Données à Caractère Personnel Européennes transférées hors de la Région Européenne par un Exportateur de données.

« Portabilité des Données à Caractère Personnel » désigne le droit d’obtenir les Données à Caractère Personnel sous un format prêt à être transmis à un tiers conformément à la loi applicable. 

“Pays de Destination” désigne tout pays situé en dehors de la région européenne vers lequel des données à caractère personnel sont transférées et qui ne bénéficie pas d’une décision d’adéquation en vigueur de la Commission européenne.

« EEE » désigne l’Espace Economique Européen, établi en vertu de l’accord EEE du 1er janvier 1994, qui prévoit la libre circulation des personnes, des biens, des services et des capitaux à l’intérieur du marché unique européen.

« Lois Européenne en matière de Protection des Données à Caractère Personnel » désigne le règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (Règlement Général de l’UE sur la Protection des Données) (sous sa forme transposée dans le droit national des États membres de l’EEE et du Royaume-Uni, et tel que modifié de temps à autre) ou la Loi fédérale suisse sur la protection des données et toutes les lois ou réglementations correspondantes ou équivalentes des États membres de l’EEE et nationales, telles qu'elles peuvent être mises à jour, modifiées ou remplacées de temps à autre en fonction du traitement effectué par ExxonMobil.

« Données à Caractère Personnel Européennes » désigne les Données à Caractère Personnel qui sont ou ont été soumises à la Législation Européenne en matière de Protection des Données à Caractère Personnel.

« Région Européenne » désigne les pays de l’Espace économique européen (EEE), le Royaume-Uni et la Suisse.

« Demande d'accès de la part des Pouvoirs publics » : (i) une demande juridiquement contraignante de divulgation de Données à Caractère Personnel Européennes par une autorité chargée de l'application de la loi ou un organe de sécurité de l'État d'un pays situé en dehors de la Région Européenne, ou (ii) un accès direct à ces Données à Caractère Personnel Européennes dans un pays situé en dehors de la Région Européenne.

« Personne Physique » désigne toute personne physique identifiée ou identifiable dont les informations sont Traitées par ExxonMobil ou pour son compte ; une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, en se référant notamment à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne ou un ou plusieurs facteurs propres à l’identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale de cette Personne physique. Les Personnes Physiques incluent les salariés actuels et anciens passés d’ExxonMobil, les candidats à un emploi, le personnel de sociétés co-contractantes, les représentants des clients et d’autres partenaires commerciaux, ainsi que les consommateurs.

« Accord intragroupe » désigne l’accord inter-Affiliées d’ExxonMobil par lequel les Affiliées adoptent le Code et sont liées par ce dernier. 

« Modifications Importantes » désigne les modifications apportées au Code qui ont une incidence négative sur le niveau de protection des Données à Caractère Personnel Européennes prévu par le Code, ou qui ont une incidence significative sur le champ d’application ou la structure du Code à l’égard des Données à Caractère Personnel Européennes.

« Données à Caractère Personnel » désigne les données relatives à une Personne Physique.

« Violation de Données à Caractère Personnel » désigne une violation de la sécurité entraînant accidentellement ou illégalement la destruction, la perte, l’altération, l’accès non autorisé ou la divulgation de Données à Caractère Personnel.

« Traiter », « Traité(e) » et « Traitement » désignent la réalisation de toute opération sur les Données à Caractère Personnel, qu’elle soit automatisée ou non, telle que l’accès, le recueil, le stockage, l’enregistrement, l’organisation, la modification, la diffusion, la divulgation, le transfert, l’extraction, la destruction ou toute autre utilisation des Données à Caractère Personnel.

« Transfert », « Transferts » et « Transféré(s) » désignent un transfert unique ou un ensemble de transferts de Données à Caractère Personnel, selon le cas, ainsi qu'un premier transfert et tous les transferts ultérieurs de Données à Caractère Personnel dans le même Pays de destination ou vers un autre Pays de destination.

« Source de Confiance » désigne une personne physique ou morale qui est autorisée à représenter une Personne Physique, ou une personne physique ou morale qui, selon ExxonMobil, dispose en apparence de l’autorité de représenter une Personne Physique.

Les Affiliées sont répertoriées par pays et incluent le numéro d'enregistrement.

L'adresse de chaque pays et les coordonnées du Délégué à la Protection des Données, le cas échéant, sont indiquées dans la déclaration sur la protection des données à caractère personnel du pays ou sur la page de contact disponible à l'adresse Nos politiques de confidentialité | ExxonMobil.