Politique du système d’information interne

1. Introduction

Dans le cadre de son engagement à respecter la législation en vigueur et les normes éthiques et professionnelles les plus strictes, l’administrateur unique d’Avature Spain, S.L.U. (ci-après désignée par le terme « Avature » ou l’« Entreprise »), a élaboré et approuvé la présente Politique du système d’information interne de l’entreprise (ci-après désignée par le terme la « Politique »).

Par le biais de cette Politique, l’Entreprise se conforme aux exigences découlant de la loi 2/2023 du 20 février, réglementant la protection des personnes qui signalent des infractions réglementaires et la lutte contre la corruption (ci-après désignée par « Loi 2/2023 »), approuvée à la suite de la transposition de la Directive (UE) 2019/1937 du Parlement européen et du Conseil, du 23 octobre 2019, relative à la protection des personnes qui signalent des violations de la loi de l’Union.

2. Objet

La présente Politique est un élément central du Système d’information interne d’Avature (ci-après désignée par le terme « SII ») et vise à fournir à Avature les ressources et les principes d’action nécessaires pour promouvoir l’utilisation du Canal de signalement interne d’Avature (ci-après désigné par le terme « Canal ») et assurer les droits de toutes les parties concernées, en particulier la garantie de la confidentialité, l’interdiction des représailles, le droit à la défense et le droit à l’honneur et à la présomption d’innocence des personnes visées dans les communications.

Le SII d’Avature est principalement constitué des éléments suivants :

• La présente Politique.
• La Procédure de gestion des communications (ci-après désignée par le terme « Procédure »), qui développe la présente Politique et établit les lignes directrices à suivre lors de la soumission d’une communication relative à des préoccupations d’ordre éthique concernant des irrégularités ou des non-conformités potentielles, ainsi que la procédure à suivre par Avature lors de la réception et de la gestion des communications soumises par l’intermédiaire du Canal.
• Le Responsable SII, qui est chargé de la gestion du SII et du traitement des dossiers d’enquête.

3. Champ d’application subjectif

Cette Politique s’applique et étend la protection SII d’Avature à :

a) Les membres de l’organe de direction d’Avature, y compris les membres non exécutifs le cas échéant.

b) Tout employé de l’entreprise, y compris les stagiaires, les apprentis, les stagiaires ainsi que ceux dont la relation de travail n’a pas encore commencé, lorsque les informations sur les violations qu’ils ont l’intention de signaler ont été obtenues au cours du processus de recrutement ou des négociations précontractuelles.

c) Toute personne travaillant pour les entrepreneurs, sous-traitants et fournisseurs d’Avature ou sous leur supervision et leur direction.

d) Les représentants légaux des salariés dans l’exercice de leurs fonctions de conseil et d’assistance au déclarant.

e) Les personnes physiques qui, dans le cadre de l’organisation au sein de laquelle le déclarant fournit des services, assistent le déclarant dans le processus.

f) Les personnes physiques qui sont liées au déclarant et qui sont susceptibles de subir des représailles, comme les collègues ou les parents du déclarant.

g) Les personnes morales pour lesquelles le déclarant travaille ou avec lesquelles il entretient tout autre type de relation dans un contexte professionnel, ou dans lesquelles il détient une participation significative – « significative » étant entendu comme ce qui permet à la personne d’avoir la capacité d’influencer la personne morale.

4. Champ d’application matériel

Cette politique protège contre toute forme de représailles qui pourraient être exercées à l’encontre d’une personne physique ou morale qui utilise le Canal d’Avature pour signaler des actions ou des omissions qui pourraient constituer :

(i) Des infractions au droit de l’Union européenne concernant, entre autres, les domaines suivants : marchés publics, secteur financier, prévention du blanchiment de capitaux ou du financement du terrorisme, sécurité et conformité des produits, sécurité des transports, protection de l’environnement, radioprotection et sûreté nucléaire, sécurité des denrées alimentaires et des aliments pour animaux, santé et bien-être des animaux, santé publique, protection des consommateurs, protection de la vie privée et des données à caractère personnel, sécurité des réseaux et des systèmes d’information, intérêts financiers de l’Union et marché intérieur .

(ii) Des infractions pénales ou des infractions administratives graves ou très graves, y compris celles qui entraînent des pertes financières pour le Trésor public et la Sécurité sociale.

(iii) Des infractions à la législation du travail en matière de santé et de sécurité au travail.

(iv) Des Violations du code de conduite d’Avature et de toute autre politique ou procédure mise en œuvre.

Le Canal Avature n’est pas autorisé à déposer des griefs ou à soulever des questions relatives aux ressources humaines, telles que l’évaluation des performances, la rémunération, le développement de carrière et d’autres questions liées aux ressources humaines. Les canaux locaux de communication des griefs doivent être utilisés pour ces questions.

La protection offerte par la présente Politique et les autres éléments du SII n’exclut pas l’application des règles relatives aux procédures pénales et est sans préjudice de la protection prévue par le droit du travail en matière de santé et de sécurité au travail pour les personnes qui signalent des violations dans ce domaine.

5. Déclaration de principes

Le SII sera le canal privilégié pour signaler tout cas de non-conformité dans son champ d’application et sera régi par les principes de fonctionnement et de gestion suivants :

1. 1. 1. 1. Efficacité et accessibilité : le SII doit garantir la facilité de formulation des communications, ainsi que leur gestion efficace, en favorisant le fait que l’entité elle-même soit la première à être informée de toute irrégularité éventuelle.
         2. Indépendance : toutes les personnes impliquées dans la gestion du SII doivent offrir une garantie d’indépendance, en particulier le Responsable SII, de manière à ce que les éventuels conflits d’intérêts ou liens personnels ou professionnels qui pourraient affecter le bon jugement ou la crédibilité des personnes impliquées dans le processus de gestion de la communication soient au-dessus de tout soupçon.
         3. Confidentialité : le SII est conçu et géré de manière à garantir la confidentialité de l’identité du déclarant, des personnes concernées et de tout tiers mentionné dans les communications, ainsi que des actions menées dans le cadre de la gestion et du traitement de celles-ci. Le registre des communications supervisé par le Responsable SII est réglementé de manière à garantir non seulement la protection des données à caractère personnel, mais aussi la restriction de l’accès au personnel non autorisé.
         4. Présomption d’innocence et droit à l’honneur : les personnes concernées ont droit à la présomption d’innocence et ont droit de défense, de sorte qu’en aucun cas une présomption contraire à la personne concernée ne peut être supposée lors de l’enquête ou de la résolution d’une communication soumise.À cette fin, et dans le but de concrétiser ces droits, les personnes concernées ont le droit d’accéder au dossier dans les conditions prévues par la Loi 2/2023, de bénéficier de la même protection que le déclarant, d’être entendues et de pouvoir présenter des allégations dans le cadre de la procédure d’enquête interne chaque fois qu’elles le jugent opportun.
         5. Interdiction des représailles : les représailles à l’encontre de ceux qui signalent ou collaborent à un processus de communication ou d’information inclus dans le champ de protection de la présente Politique sont expressément interdites.
            Le terme « représailles » étant entendu comme tout acte ou omission interdit par la loi ou qui, directement ou indirectement, implique un traitement défavorable qui place la personne qui le subit dans une situation particulièrement désavantageuse dans le cadre de son travail ou de sa profession, uniquement en raison de sa qualité de rapporteur ou de sa collaboration à la gestion de l’information.
            À titre d’exemple, les éléments suivants peuvent être considérés comme des représailles :
            a) La suspension du contrat de travail, le licenciement ou la résiliation du contrat de travail ou le non-renouvellement du contrat – sauf dans le cadre de l’exercice régulier du pouvoir de direction en vertu du droit du travail.
            b) Les dommages, y compris les atteintes à la réputation, les pertes économiques, la coercition, l’intimidation, le harcèlement ou l’ostracisme.
            c) Les références négatives concernant le travail professionnel.
            d) L’inscription sur des listes noires ou la diffusion d’informations dans un secteur qui entrave l’accès ou la promotion au travail.
            e) Le refus ou l’annulation d’un congé ou d’une formation.
         6. Principe de bonne foi : De même que l’imposition de représailles est interdite, Avature ne permettra pas l’utilisation du SII à des fins illégitimes, personnelles ou illégales ou contraires à la bonne foi.
            En cas d’utilisation abusive du SII par un déclarant ou un tiers impliqué, cette action peut entraîner l’imposition par l’Entreprise de la sanction disciplinaire correspondante, le cas échéant, ou l’exercice d’actions civiles ou pénales qui peuvent s’avérer appropriées.

6. Responsable SII

Conformément à ses obligations en matière de supervision et de promotion du SII, l’administrateur unique d’Avature a procédé à la nomination du Responsable SII, qui occupera ce poste pour une durée indéterminée.

L’Autorité indépendante pour la protection des informateurs sera informée dans un délai de dix (10) jours ouvrables de la nomination ou de la révocation de la personne physique individuellement désignée, en en précisant, en cas de révocation, les motifs.

Le Responsable SII exerce ses fonctions de manière indépendante et autonome par rapport aux autres organes de l’Entreprise et conformément à la procédure de gestion des communications. Les fonctions du Responsable SII comprennent les activités suivantes :

• Promouvoir et superviser en permanence la mise en œuvre et l’efficacité de la présente Politique.
• Assurer l’accès à la présente Politique à tous les membres d’Avature et aux tiers intéressés.
• Mettre en œuvre des procédures pour gérer les communications reçues par l’intermédiaire du Canal.
• Connaître, instruire et émettre les rapports correspondant aux enquêtes découlant des communications reçues par l’intermédiaire du Canal.
• Informer l’administrateur unique d’Avature des résultats les plus pertinents de l’activité du Canal dans le cadre de ses missions d’information afin qu’il puisse prendre les décisions finales à cet égard.

7. Publicité du Canal

Conformément aux dispositions de la Loi 2/2023, Avature a publié sur son site Internet, dans une section distincte et facilement accessible, l’accès au Canal et à la présente politique.

L’Entreprise s’engage à donner à la présente politique et à l’existence du Canal la diffusion appropriée, en fournissant à tous les membres de l’entité et aux tiers liés à son activité professionnelle les informations et, le cas échéant, la formation nécessaire en la matière pour leur assurer le libre accès à tous les outils du SII par lesquels ils peuvent faire valoir leurs droits légitimes.

De même, les personnes auxquelles la Politique est applicable peuvent signaler à l’Autorité indépendante pour la protection des informateurs ou aux autorités ou organes régionaux compétents et, le cas échéant, aux institutions, organes et agences de l’Union européenne, la commission de toute action ou omission susceptible d’entraîner une violation ou une irrégularité relevant du champ d’application de la présente Procédure, soit directement, soit après communication par l’intermédiaire du Canal d’Avature.

8. Protection des données

Sur le plan de la protection des données à caractère personnel, les principaux aspects applicables dans le cadre du SII sont prévus au titre VI de la Loi 2/2023 et sont détaillés ci-dessous :

• Le traitement des données à caractère personnel découlant de l’application de la Loi 2/2023 est régi par les dispositions du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD), de la Loi organique 3/2018, du 5 décembre, de la Protection of Personal Data and Guarantee of Digital Rights (PPGDR – Protection des données à caractère personnel et la garantie des droits numériques), de la Loi organique 7/2021 du 26 mai, sur la protection des données à caractère personnel traitées à des fins de prévention, de détection, d’enquête et de poursuite des infractions pénales et d’exécution des sanctions pénales, et du titre VI de la Loi 2/2023.
• Les données à caractère personnel ne seront pas collectées si elles ne sont manifestement pas pertinentes pour le traitement d’informations spécifiques ou, si elles sont collectées par accident, elles seront effacées dans les meilleurs délais.
• Le traitement des données à caractère personnel nécessaire à la mise en œuvre de la Loi 2/2023 est considéré comme licite.
• L’entreprise étant une entité tenue de disposer d’un SII, le traitement des données à caractère personnel, en cas de communication interne, sera considéré comme licite en vertu des dispositions des articles 6.1.c) du RGPD – le traitement est nécessaire au respect d’une obligation légale applicable au responsable du traitement – et de l’article 11 de la Loi organique 7/2021 du 26 mai.
• Si le traitement de catégories particulières de données à caractère personnel est effectué pour des raisons d’intérêt public essentiel, il peut être effectué conformément aux dispositions de l’article 9, paragraphe 2, point g), du RGPD.
• Lorsque leurs données à caractère personnel sont obtenues directement auprès des personnes concernées, celles-ci recevront les informations visées aux articles 13 du RGPD et 11 du PPGDR, telles qu’elles figurent dans la politique de confidentialité régissant le SII et le Canal.
• Les déclarants et les personnes qui procèdent à une divulgation publique seront en outre expressément informés que leur identité sera dans tous les cas préservée, qu’elle ne sera pas communiquée aux personnes auxquelles les faits rapportés se réfèrent ou à des tiers.
• La personne à laquelle se rapportent les faits signalés n’est en aucun cas informée de l’identité du déclarant ou de la personne qui a procédé à la divulgation publique.
• Les personnes concernées peuvent exercer les droits visés aux articles 15 à 22 du RGPD.
• Dans le cas où la personne concernée par les faits relatés dans la communication ou à laquelle se réfère la divulgation publique exerce son droit d’opposition, il sera présumé que, sauf preuve contraire, il existe des motifs légitimes impérieux qui légitiment le traitement de ses données à caractère personnel.
• Le SII n’obtiendra pas de données permettant d’identifier le déclarant et dispose de mesures techniques et organisationnelles adéquates pour préserver l’identité et assurer la confidentialité des données correspondant aux personnes concernées et à tout tiers mentionné dans les informations fournies, en particulier l’identité du déclarant dans le cas où il (elle) s’est identifié(e).
• L’identité du déclarant ne peut être communiquée à l’autorité judiciaire, au ministère public ou à l’autorité administrative compétente que dans le cadre d’une enquête pénale, disciplinaire ou de sanction.
• Le traitement des données par d’autres personnes, voire leur communication à des tiers, est licite lorsqu’il est nécessaire à l’adoption de mesures correctives dans l’entreprise ou à l’exécution des procédures qui, le cas échéant, peuvent être requises.
• L’accès aux données à caractère personnel contenues dans le SII est limité au Responsable du traitement et, le cas échéant, à la personne autorisée par le Responsable du traitement à cette fin.
• Le Data Protection Officer (délégué à la protection des données) peut être contacté à l’adresse électronique suivante : privacyofficer@avature.net.