Déclaration de confidentialité
Politique générale de confidentialité de Pluxee Belgium NV
Nous accordons une grande importance à la protection de votre vie privée. Nous avons rédigé la présente déclaration de confidentialité afin que vous compreniez comment nous collectons, utilisons et traitons vos données à caractère personnel (la « Déclaration »). Cette Déclaration décrit, dans un langage clair et simple, pourquoi et sur quelle base juridique nous traitons vos données à caractère personnel, avec qui nous les partageons, pendant combien de temps nous les conservons, quels sont vos droits, les mesures que nous prenons pour protéger vos données à caractère personnel et comment vous pouvez nous contacter si vous avez des questions ou des demandes concernant vos données à caractère personnel.
1. QUI EST RESPONSABLE DE VOS DONNÉES À CARACTÈRE PERSONNEL ?
Le responsable du traitement décrit dans la présente Déclaration est Pluxee Belgium NV, dont le siège social est situé Ravensteinstraat 36, 1000 Bruxelles, immatriculée auprès de la Banque-Carrefour des Entreprises sous le numéro 0403.167.335 (« Pluxee », « nous » ou « notre »).
Pluxee a désigné un délégué à la protection des données (« DPO »). Vous pouvez contacter le DPO :
- par e-mail : privacy.be@pluxeegroup.com ;
- par courrier postal : Pluxee Belgium NV, à l’attention du délégué à la protection des données, Ravensteinstraat 36, 1000 Bruxelles.
Pluxee fait partie du groupe Pluxee. Lorsque nous déterminons les finalités et les moyens d’un traitement particulier conjointement avec une autre entité du groupe Pluxee ou avec un partenaire (responsabilité conjointe au sens de l’article 26 du RGPD), nous l’indiquons dans la Déclaration de confidentialité spécifique correspondante, en précisant l’essentiel de notre accord.
2. CHAMP D’APPLICATION
La présente Déclaration s’applique à toutes les activités de la société Pluxee Belgium NV dans le cadre desquelles le Règlement général sur la protection des données (« RGPD ») s’applique et où Pluxee agit en tant que responsable du traitement.
La présente Déclaration s’applique au traitement des données à caractère personnel collectées par Pluxee, directement ou indirectement, concernant toute personne physique, y compris, entre autres, les candidats et employés actuels, anciens ou potentiels de Pluxee, les bénéficiaires et utilisateurs de nos chèques-cadeaux, de nos cartes, sites web et applications, aux personnes de contact de nos clients et prospects, aux consommateurs, aux enfants, aux commerçants partenaires (commerçants affiliés) et à leurs personnes de contact, aux fournisseurs/prestataires de services, aux partenaires/sous-traitants, aux actionnaires ou à tout autre tiers (ci-après dénommés « personnes concernées »).
La présente Déclaration donne un aperçu général. Pour certaines catégories de personnes concernées ou de traitements, nous fournissons une Déclaration de confidentialité spécifique (une « Déclaration de confidentialité spécifique ») contenant des informations plus détaillées, notamment sur les données traitées, les bases juridiques, les destinataires et les durées de conservation. C’est actuellement le cas pour :
- les bénéficiaires de bons Pluxee et les utilisateurs de nos sites web et de l’application Pluxee (politique de confidentialité destinée aux utilisateurs des sites web et aux bénéficiaires de bons Pluxee) ;
- les commerçants partenaires qui acceptent les bons et cartes Pluxee, ainsi que leurs interlocuteurs (note d’information relative à la protection des données pour les commerçants partenaires) [en cours de préparation] ;
- les candidats et les salariés de Pluxee (note d’information relative à la protection des données RH) ;
- l’utilisation de cookies et de technologies similaires sur nos sites web et nos applications (Politique en matière de cookies) ;
- [autres notes d’information spécifiques, par exemple pour les clients].
Les Déclarations de confidentialité spécifiques sont disponibles sur notre site web [lien vers la page des Déclarations de confidentialité] ou vous sont fournies lorsque nous collectons vos données à caractère personnel. En cas de divergence entre la présente Déclaration et une Déclaration de confidentialité spécifique, cette dernière prévaut pour le traitement qu’elle décrit.
Lorsque Pluxee traite des données à caractère personnel pour le compte et sur instruction d’un client (par exemple, un employeur), Pluxee agit en tant que sous-traitant. Dans ce cas, la Déclaration de confidentialité du client s’applique et vous devez en premier lieu contacter ce client pour exercer vos droits.
3. COLLECTE ET TRAITEMENT DE VOS DONNÉES À CARACTÈRE PERSONNEL
3.1 Respect de la législation européenne en matière de protection des données et de toutes les autres législations locales applicables en la matière
Nous sommes tenus de respecter l’ensemble de la législation applicable en matière de données à caractère personnel et nous veillons à ce que ces données soient collectées et traitées conformément à la législation européenne en matière de protection des données et à toute législation locale applicable, y compris la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel.
3.2 Quelles données à caractère personnel traitons-nous et d’où proviennent-elles ?
En fonction de votre relation avec Pluxee, nous traitons notamment les catégories suivantes de données à caractère personnel :
- les données d’identification (par exemple, nom, prénom, langue, sexe, date de naissance, numéro de client, de commerçant, d’utilisateur ou de carte) ;
- coordonnées (par exemple, adresse postale, adresse e-mail, numéro de téléphone) ;
- données professionnelles (par exemple : employeur, fonction, raison sociale et numéro d’immatriculation des personnes de contact chez les clients, les commerçants partenaires, les fournisseurs et les partenaires) ;
- données relatives à nos produits et services et à votre utilisation de ceux-ci (par exemple, type et montant des bons d’achat, solde, transactions, date d’expiration, acceptation des bons d’achat et remboursements) ;
- données financières et de facturation (par exemple, numéro de compte bancaire, factures, paiements) ;
- les données relatives à vos contacts avec nous (par exemple, questions, réclamations, correspondance et, lorsque vous en avez été informé au préalable, enregistrements des appels avec le service client) ;
- données techniques et en ligne (par exemple, adresse IP, données de connexion et de journal, données relatives à l’appareil et au navigateur, données de cookies) ;
- préférences en matière de marketing et de communication.
Nous obtenons vos données à caractère personnel directement auprès de vous ou indirectement, notamment auprès de :
- votre employeur ou l’entreprise pour laquelle vous travaillez (par exemple, lorsque votre employeur commande des bons d’achat pour vous, ou lorsque votre entreprise est un client, un partenaire commercial, un fournisseur ou un partenaire de Pluxee) ;
- d’autres entités du groupe Pluxee ;
- nos prestataires de services et partenaires (par exemple, les prestataires de traitement des transactions, le fabricant de la carte Pluxee, les agences de marketing ou d’études de marché) ;
- des sources accessibles au public (par exemple, la Banque-Carrefour des Entreprises, le Moniteur belge, les sites web d’entreprises et les réseaux sociaux professionnels) ;
- les prestataires de services de prévention de la fraude et de vérification des sanctions.
3.3 Licéité, loyauté et transparence
Tout traitement de données à caractère personnel que nous effectuons est licite au sens du RGPD et repose sur l’une des bases juridiques prévues à l’article 6 du RGPD. Selon le traitement, il s’agit (i) de l’exécution d’un contrat auquel vous êtes partie ou de mesures prises à votre demande avant la conclusion d’un contrat ; (ii) le respect d’une obligation légale à laquelle Pluxee est soumise ; (iii) les intérêts légitimes de Pluxee ou d’un tiers, sauf lorsque vos intérêts ou vos droits et libertés fondamentaux prévalent sur ceux-ci ; ou (iv) votre consentement. Le tableau ci-dessous présente, par catégorie de personnes concernées, les principales finalités et les bases juridiques sur lesquelles nous nous appuyons. La Déclaration de confidentialité spécifique correspondante précise la base juridique pour chaque finalité.
Lorsque nous collectons vos données à caractère personnel, nous vous fournissons les informations requises par les articles 13 et 14 du RGPD, par le biais de la présente Déclaration et, le cas échéant, d’une Déclaration de confidentialité spécifique. Lorsque nous n’obtenons pas de données à caractère personnel directement auprès de vous, nous vous en informons dans un délai raisonnable et au plus tard dans un délai d’un mois, ou lors de notre première communication avec vous, sauf si l’une des exceptions prévues à l’article 14, paragraphe 5, du RGPD s’applique (par exemple, lorsque vous disposez déjà de ces informations ou lorsque leur communication s’avère impossible ou impliquerait un effort disproportionné).
Lorsque la législation applicable l'exige, nous vous demanderons votre consentement préalable (par exemple, avant de vous envoyer des communications marketing par voie électronique ou d'installer des cookies non essentiels). Lorsqu'un traitement repose sur votre consentement, vous pouvez retirer ce consentement à tout moment, sans que cela n'affecte la licéité du traitement effectué avant ce retrait.
Aperçu des principales finalités et bases juridiques
| Qui êtes-vous ? | À quelles fins utilisons-nous vos données à caractère personnel ? | Base juridique | Plus d’informations |
| Bénéficiaire de chèques-cadeaux Pluxee ou de la carte Pluxee ; utilisateur de nos sites web et de l’application Pluxee | Émission et gestion des chèques-cadeaux et des cartes (solde, transactions, date d’expiration) ; création et gestion de votre compte ; service client et blocage de la carte ; prévention et détection des fraudes ; informations sur les avantages et les promotions | Exécution des conditions d’utilisation de la Carte Pluxee ; obligation légale (réglementation relative aux chèques-repas, chèques-écologie, chèques-cadeaux et chèques-sport & culture, droit comptable) ; intérêt légitime (service client, qualité et sécurité de nos services) ; consentement (certaines communications marketing, géolocalisation, jeux-concours) | Note d’information destinée aux utilisateurs des sites web et aux bénéficiaires des chèques Pluxee |
| Interlocuteur d’un client (employeur) ou d’un prospect | Devis, conclusion et exécution de contrats, commandes et facturation ; gestion de la relation client et service client ; marketing B2B, événements et enquêtes de satisfaction ou d’étude de marché | Intérêt légitime (gestion de la relation commerciale avec l’entreprise pour laquelle vous travaillez, promotion de nos services) ; obligation légale (comptabilité, facturation) ; consentement, lorsque la loi l’exige pour le marketing électronique | La présente Déclaration |
| Partenaire commerçant (lorsque le commerçant est une personne physique) ou interlocuteur d’un partenaire commerçant | Adhésion à notre réseau d’acceptation et gestion de celui-ci ; traitement et remboursement des bons d’achat acceptés ; service client ; contrôle du respect des conditions d’adhésion et prévention de la fraude ; communication concernant nos services | Exécution du contrat (lorsque vous êtes vous-même le commerçant) ; intérêt légitime (gestion de la relation avec le commerçant pour lequel vous travaillez, intégrité de notre réseau, promotion de nos services) ; obligation légale (comptabilité, réglementation relative aux bons d’achat) | La présente Déclaration |
| Personne de contact d’un fournisseur, prestataire de services ou partenaire | Sélection et vérification préalable (y compris le contrôle des sanctions) ; conclusion et exécution des contrats ; paiements | Exécution du contrat (lorsque vous êtes vous-même la partie contractante) ; intérêt légitime ; obligation légale | La présente Déclaration |
| Candidat ou salarié | Recrutement et gestion des ressources humaines | Voir la note d’information sur la protection des données RH |
Avis de protection des données des candidats Les salariés sont invités à consulter l'avis de confidentialité destiné aux salariés (document interne) |
| Visiteurs de nos sites web et applications | Fonctionnement, sécurité et amélioration de nos sites web et applications ; statistiques ; contenu et publicité personnalisés | Intérêt légitime (cookies strictement nécessaires, sécurité) ; consentement (autres cookies) | Politique en matière de cookies |
| Toute personne qui nous contacte ou qui soumet une question, une réclamation ou une demande | Traitement des questions, réclamations et demandes d’exercice de vos droits | Obligation légale (articles 12 à 22 du RGPD) ; intérêt légitime (traitement des autres questions et réclamations) | La présente Déclaration |
| Toutes les personnes concernées | Sécurité de nos systèmes informatiques et de nos locaux ; audit interne, conformité et reporting au sein du groupe Pluxee ; constatation, exercice ou défense de droits en justice ; respect de nos obligations en matière de sanctions et de fiscalité ; cession ou restructuration (partielle) de l’activité | Obligation légale ; intérêt légitime (sécurité, bonne gouvernance au sein du groupe, défense de nos droits, continuité des activités) | La présente Déclaration |
3.4 Finalités légitimes, limitation des finalités et minimisation des données
Vos données à caractère personnel sont collectées à des fins déterminées, explicites et légitimes et ne font pas l’objet d’un traitement ultérieur incompatible avec ces finalités. Nous traitons uniquement les données à caractère personnel qui sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard de ces finalités. Lorsque nous souhaitons utiliser vos données à caractère personnel à de nouvelles fins, nous vous en informons au préalable.
3.5 Êtes-vous tenu de fournir vos données à caractère personnel ?
Certaines données à caractère personnel sont nécessaires pour conclure ou exécuter un contrat, ou pour respecter une obligation légale. Sans ces données, nous ne pouvons pas fournir certains services (par exemple, l’activation de votre carte Pluxee, l’affiliation d’un commerçant ou le traitement de votre demande). Nos formulaires indiquent quelles données sont obligatoires. La fourniture d’autres données est facultative.
3.6 Données à caractère personnel sensibles
En règle générale, nous ne traitons pas de données à caractère personnel sensibles, sauf si cela est strictement nécessaire et qu’une des exceptions prévues à l’article 9, paragraphe 2, du RGPD s’applique (par exemple pour la gestion des ressources humaines, voir la note d’information relative à la protection des données RH). Nous ne traitons les données à caractère personnel relatives aux condamnations pénales et aux infractions que dans les limites prévues par l’article 10 du RGPD et l’article 10 de la loi du 30 juillet 2018 (par exemple pour intenter ou défendre une action en justice).
3.7 Prise de décision automatisée et profilage
Nous ne prenons pas de décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, qui produisent des effets juridiques vous concernant ou qui vous affectent de manière tout aussi significative, sauf si l’article 22 du RGPD l’autorise. Lorsque nous le faisons, nous l’expliquons dans la Déclaration de confidentialité spécifique correspondante, en fournissant des informations pertinentes sur la logique utilisée, ainsi que sur la portée et les conséquences envisagées pour vous. Dans ce cas, vous avez le droit d’obtenir une intervention humaine, d’exprimer votre point de vue et de contester la décision.
Nous pouvons utiliser vos données à caractère personnel pour établir des profils à des fins de marketing (par exemple pour vous proposer des offres pertinentes). Vous pouvez vous y opposer à tout moment (voir section 8).
3.8 Exactitude des données et durées de conservation
Pluxee veillera à ce que les données à caractère personnel traitées soient exactes et, le cas échéant, tenues à jour. Nous comptons sur vous pour nous informer de tout changement concernant vos données. En outre, nous ne conservons pas les données à caractère personnel plus longtemps que nécessaire aux fins pour lesquelles elles ont été collectées, y compris pour nous conformer à des obligations légales ou comptables ou à des fins de reporting.
Par ailleurs, lorsque cela est nécessaire, nous conservons les données à caractère personnel afin de permettre à Pluxee de se défendre ou de faire valoir un droit, tant que le délai de prescription applicable court ou qu’un litige est en cours.
Pour déterminer la durée de conservation, nous prenons notamment en compte les critères suivants :
- la durée de notre relation avec vous ou avec l’entreprise pour laquelle vous travaillez (par exemple, la durée du contrat ou de l’affiliation, la validité de vos bons d’achat ou le temps nécessaire au traitement de votre demande) ;
- les obligations légales de conservation auxquelles nous sommes soumis (par exemple en matière comptable, fiscale et sociale, ainsi qu’en vertu de la réglementation relative aux bons d’achat) ;
- les délais de prescription légaux applicables aux éventuelles actions en justice ;
- à des fins de marketing : jusqu’à ce que vous vous désabonniez ou que vous retiriez votre consentement, ou après une période d’inactivité ;
- les lignes directrices et recommandations des autorités de contrôle (par exemple, concernant les cookies).
Les durées de conservation spécifiques à chaque traitement sont précisées dans la Déclaration de confidentialité spécifique correspondante.
Si vous souhaitez obtenir plus d’informations sur les durées de conservation de vos données à caractère personnel, vous pouvez nous contacter à l’adresse suivante : privacy.be@pluxeegroup.com.
À l’expiration de la durée de conservation applicable, nous supprimerons ou anonymiserons vos données à caractère personnel de manière sécurisée. Les données contenues dans les sauvegardes sont supprimées conformément au cycle de remplacement normal de ces sauvegardes.
4. SÉCURITÉ DE VOS DONNÉES À CARACTÈRE PERSONNEL
Nous prenons les mesures techniques et organisationnelles appropriées pour protéger vos données à caractère personnel contre toute destruction, altération ou perte accidentelle ou illicite, ainsi que contre toute utilisation, divulgation ou accès non autorisé, conformément à notre Politique de sécurité de l’information et des systèmes du Groupe. Ces mesures comprennent la gestion des accès selon le principe du « besoin d’en connaître », l’authentification, le chiffrement le cas échéant, la journalisation, la sécurité physique, des audits réguliers et des obligations de confidentialité pour notre personnel.
Nous prenons toutes les mesures raisonnables conformes aux principes de protection des données dès la conception (« privacy by design ») et de protection des données par défaut (« privacy by default »), afin de mettre en œuvre les garanties nécessaires et de protéger le traitement des données à caractère personnel.
En fonction du niveau de risque associé au traitement, nous réalisons également une analyse d’impact relative à la protection des données (« AIPD ») au sens de l’article 35 du RGPD afin de prendre les mesures appropriées et de garantir la protection des données à caractère personnel.
Nous prenons également des mesures supplémentaires pour sécuriser les données considérées comme des données à caractère personnel sensibles.
Si une violation de données à caractère personnel venait néanmoins à se produire et était susceptible d’entraîner un risque élevé pour vos droits et libertés, nous vous en informerions sans retard injustifié, conformément à l’article 34 du RGPD.
5. PARTAGE DE VOS DONNÉES À CARACTÈRE PERSONNEL
Au sein de Pluxee, seuls les membres du personnel qui ont besoin de ces données pour exercer leurs fonctions ont accès à vos données à caractère personnel, et ils sont tenus au secret professionnel. Nous partageons vos données à caractère personnel avec d’autres entités du groupe Pluxee et d’autres destinataires uniquement aux fins décrites dans la présente Déclaration ou dans la Déclaration de confidentialité spécifique correspondante. Il s’agit des catégories de destinataires suivantes :
- Avec d’autres entités du groupe Pluxee, par exemple pour les services informatiques partagés (hébergement et maintenance des systèmes d’information), la sécurité de l’information, le reporting et l’audit interne ;
- Avec certains prestataires de services externes agréés et uniquement dans le cadre des services que nous fournissons, tels que les prestataires de services informatiques, d’hébergement et de cloud, le fabricant de la carte Pluxee, les prestataires de traitement des transactions et des paiements par carte « », les centres d’appels, les prestataires de services de messagerie (électronique), les agences d’études de marché et nos conseillers juridiques, financiers et comptables ;
- Avec des sociétés fournissant des services de lutte contre la fraude ou les activités illégales et de vérification des listes de sanctions, ainsi qu’avec des tiers proposant des services similaires, tels que des établissements financiers ;
- Avec les tribunaux, les autorités chargées de l’application de la loi, les organismes de réglementation, les organismes gouvernementaux et d’autres parties lorsque cela est raisonnablement nécessaire pour exercer ou défendre un droit ou pour le règlement extrajudiciaire des litiges, ou lorsque nous sommes légalement tenus de leur communiquer des données ;
- Avec des prestataires de services internes ou externes que nous engageons localement ou dans un pays tiers pour traiter des données à caractère personnel en notre nom aux fins décrites ci-dessus (par exemple, des centres de services partagés) ;
- Avec les partenaires de Pluxee (par exemple, les prestataires de services ou d’avantages disponibles via nos plateformes), uniquement avec votre consentement ou à votre demande. Nous vous indiquons le nom de ces partenaires lorsque nous sollicitons votre consentement ;
- Avec votre employeur, dans la mesure nécessaire à la gestion des avantages qu’il vous accorde (par exemple, pour confirmer la livraison ou l’activation de vos bons d’achat), sans lui donner accès à vos dépenses individuelles ;
- En cas de vente, de fusion ou d’acquisition de sociétés ou d’actifs, auquel cas nous pouvons transférer vos données à caractère personnel à l’acheteur ou au vendeur potentiel afin de céder ou de renouveler des droits ou des obligations, sous réserve d’obligations de confidentialité appropriées.
Les prestataires de services qui traitent des données à caractère personnel pour notre compte (sous-traitants) sont liés par contrat conformément à l’article 28 du RGPD et ne peuvent utiliser les données que sur nos instructions. D’autres destinataires (tels que des banques, des conseillers ou des autorités) traitent les données en tant que responsables du traitement distincts, sous leur propre responsabilité. Nous ne vendons pas vos données à caractère personnel.
6. TRANSFERTS INTERNATIONAUX DE DONNÉES À CARACTÈRE PERSONNEL
Pluxee fait partie d’un groupe international et collabore avec des prestataires de services, dont certains sont établis en dehors de l’Espace économique européen (EEE) ou y accèdent. Certains pays tiers dans lesquels Pluxee exerce ses activités n’offrent pas le même niveau de protection des données à caractère personnel que le pays dans lequel vous résidez et ne sont pas considérés par la Commission européenne comme assurant un niveau adéquat de protection des données à caractère personnel des personnes physiques.
Nous ne transférons vos données à caractère personnel vers un pays situé en dehors de l’EEE que si l’une des garanties suivantes prévues au chapitre V du RGPD s’applique :
- une décision d’adéquation de la Commission européenne pour le pays concerné (par exemple, pour les États-Unis, le cadre de protection des données UE-États-Unis pour les destinataires certifiés au titre de celui-ci) ;
- les clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914), tant pour les transferts au sein du groupe Pluxee que pour les transferts vers d’autres destinataires, complétées si nécessaire par des mesures techniques, contractuelles ou organisationnelles supplémentaires ;
- en l’absence d’une telle garantie, et à titre exceptionnel uniquement, l’une des dérogations prévues à l’article 49 du RGPD (par exemple lorsque le transfert est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice).
Vous recevrez de plus amples informations concernant le transfert de vos données à caractère personnel vers des pays situés en dehors de l’EEE par le biais de la Déclaration de confidentialité spécifique correspondante, au moment de la collecte de vos données à caractère personnel.
Si vous souhaitez obtenir plus d’informations, y compris une copie des documents utilisés pour protéger vos données à caractère personnel, vous pouvez nous contacter à l’adresse suivante : privacy.be@pluxeegroup.com.
7. COOKIES
Nous utilisons des « cookies » et des technologies similaires sur nos sites web et nos applications. Les cookies sont des fichiers texte stockés sur votre ordinateur, votre tablette ou votre smartphone lorsque vous visitez certains sites web. Par exemple, nous pouvons utiliser des cookies pour savoir si vous avez déjà visité notre site ou pour identifier les sujets qui vous intéressent le plus. Nous pouvons également utiliser des cookies pour analyser le trafic et à des fins publicitaires.
Les cookies peuvent rendre votre navigation en ligne plus agréable en enregistrant vos préférences pendant que vous consultez le site web. Lorsque vous visitez nos sites web, nous vous indiquons quels types de cookies nous utilisons et comment vous pouvez les bloquer. À l’exception des cookies strictement nécessaires au fonctionnement du site web, nous n’installons des cookies qu’avec votre consentement préalable. Vous pouvez modifier votre choix ou retirer votre consentement à tout moment via les paramètres relatifs aux cookies sur notre site web, et vous pouvez également consulter nos sites web si vous refusez les cookies non essentiels. Si vous souhaitez obtenir plus d’informations, veuillez consulter notre Politique en matière de cookies.
8. VOS DROITS
Pluxee s’engage à protéger vos droits tels qu’ils sont garantis par la législation applicable. Vous trouverez ci-dessous un tableau présentant un aperçu de vos différents droits. Certains droits ne s’appliquent que sous certaines conditions ou peuvent être limités par la loi ; dans ce cas, nous vous expliquerons pourquoi nous ne pouvons pas (entièrement) donner suite à votre demande :
| Droit d’accès | Vous pouvez nous demander si nous traitons des données à caractère personnel vous concernant et, le cas échéant, obtenir l’accès à ces données ainsi qu’aux informations relatives au traitement (notamment les finalités, les catégories de données, les destinataires, la durée de conservation et la source). Vous avez droit à une copie gratuite de vos données à caractère personnel. |
| Droit de rectification | Vous pouvez demander la rectification de données à caractère personnel inexactes ou le complément des données à caractère personnel incomplètes. |
| Droit à l'effacement (« droit à l'oubli ») |
Votre droit à l’oubli vous permet de demander l’effacement de vos données à caractère personnel lorsque :
Le droit à l'effacement n'est pas absolu : nous pouvons, par exemple, être amenés à conserver certaines données afin de respecter une obligation légale ou pour la constatation, l'exercice ou la défense de droits en justice. |
| Droit à la limitation du traitement |
Vous pouvez demander que le traitement de vos données à caractère personnel soit limité lorsque :
|
| Droit à la portabilité des données |
Le cas échéant, vous pouvez demander la portabilité des données à caractère personnel que vous avez fournies à PLUXEE, dans un format structuré, couramment utilisé et lisible par machine. Vous avez le droit de transmettre ces données à un autre responsable du traitement sans entrave de la part de PLUXEE, lorsque :
Vous pouvez également demander que vos données à caractère personnel soient transmises directement à un autre responsable du traitement de votre choix (lorsque cela est techniquement possible). |
| Droit d’opposition au traitement | Vous pouvez, pour des motifs liés à votre situation particulière, vous opposer au traitement de vos données à caractère personnel fondé sur nos intérêts légitimes. Nous mettrons alors fin à ce traitement, à moins que nous ne démontrions des motifs légitimes et impérieux qui prévalent sur vos intérêts, ou que nous ayons besoin de ces données pour faire valoir un droit en justice. Vous pouvez à tout moment vous opposer, gratuitement et sans avoir à justifier votre décision, au traitement à des fins de marketing direct, y compris au profilage qui y est lié (« opt-out »). |
| Droit de retirer votre consentement | Lorsque nous traitons vos données à caractère personnel sur la base de votre consentement, vous pouvez retirer votre consentement à tout moment, par exemple via le lien de désabonnement figurant dans nos e-mails ou via le centre de préférences. Le retrait n’affecte pas la licéité du traitement effectué avant ce retrait. |
| Droit de ne pas faire l’objet de décisions automatisées | Vous avez le droit de ne pas être soumis à une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques vous concernant ou qui vous affecte de manière significative de façon similaire (voir section 3.7). Lorsqu’une telle décision est autorisée, vous avez le droit d’obtenir une intervention humaine, d’exprimer votre point de vue et de contester la décision. |
| Droit d’introduire une réclamation |
Vous pouvez choisir de déposer une réclamation auprès de l’autorité de contrôle chargée de la protection des données du pays de votre résidence habituelle, de votre lieu de travail ou du lieu de l’infraction présumée. En Belgique, il s’agit de : l’Autorité belge de protection des données (Gegevensbeschermingsautoriteit / Autorité de protection des données, Drukpersstraat 35 / rue de la Presse 35, 1000 Bruxelles – contact@apd-gba.be – www.dataprotectionauthority.be). Vous disposez également du droit d’intenter une action devant les tribunaux de l’État membre où l’entité Pluxee dispose d’un établissement ou où vous avez votre résidence habituelle. Nous vous serions reconnaissants de bien vouloir contacter au préalable notre délégué à la protection des données, afin que nous puissions tenter de trouver une solution ensemble. |
Votre droit d’opposition
Vous avez le droit de vous opposer à tout moment, pour des motifs liés à votre situation particulière, au traitement de vos données à caractère personnel fondé sur nos intérêts légitimes. Vous pouvez toujours vous opposer au traitement à des fins de marketing direct, sans avoir à justifier votre décision. Vous pouvez le faire via le lien de désabonnement figurant dans chaque communication marketing, via le centre de préférences ou en utilisant les coordonnées ci-dessous.
Vous pouvez exercer ces droits à tout moment et gratuitement, ou nous contacter pour toute demande ou réclamation concernant la protection de vos données :
– en envoyant votre demande (en précisant le droit que vous souhaitez exercer et le traitement concerné) au délégué à la protection des données à l’adresse suivante : privacy.be@pluxeegroup.com ;
– en remplissant le formulaire en ligne disponible sur notre site web ; ou
– par courrier postal à Pluxee Belgium NV, à l’attention du délégué à la protection des données, Ravensteinstraat 36, 1000 Bruxelles.
Afin de protéger vos données à caractère personnel, nous vérifions votre identité à l’aide des données dont nous disposons déjà. Nous ne vous demandons des informations supplémentaires que si nous avons des doutes raisonnables quant à votre identité. Nous ne demandons pas systématiquement une copie de votre carte d’identité.
Nous répondons sans retard injustifié et au plus tard dans un délai d’un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois supplémentaires, compte tenu de la complexité et du nombre de demandes ; dans ce cas, nous vous informons de la prolongation et de ses motifs au cours du premier mois. Nous pouvons refuser une demande ou facturer des frais raisonnables lorsqu’elle est manifestement infondée ou excessive, notamment en raison de son caractère répétitif.
9. ENFANTS
Les enfants méritent une protection spécifique en ce qui concerne leurs données à caractère personnel, car ils peuvent être moins conscients des risques, des conséquences et des garanties en la matière, ainsi que de leurs droits relatifs au traitement des données à caractère personnel. Cette protection spécifique devrait notamment s’appliquer au traitement des données des enfants à des fins de marketing ou pour la création de profils de personnalité ou d’utilisateurs, ainsi qu’à la collecte de données à caractère personnel concernant les enfants lors de l’utilisation de services proposés directement aux enfants.
Nos services sont destinés aux adultes et ne s’adressent pas aux enfants. Nous ne collectons pas sciemment de données à caractère personnel d’enfants pour nos services et nous ne diffusons pas de publicités destinées aux enfants. Si vous pensez que nous avons collecté par erreur des données à caractère personnel d’enfants, veuillez-nous en informer en utilisant les coordonnées figurant à la section 11 ; nous supprimerons alors ces données.
10. MODIFICATIONS
Nous pouvons être amenés à mettre à jour la présente Déclaration de temps à autre, car nos activités et nos obligations légales peuvent évoluer de manière substantielle. Si nous apportons des modifications importantes à la présente Déclaration, nous l’annoncerons sur notre site web au moment où ces modifications entreront en vigueur. Lorsqu’une modification concerne une nouvelle finalité ou affecte de manière significative vos droits, nous vous en informerons directement et à l’avance, et nous vous demanderons à nouveau votre consentement si nécessaire. La date de la dernière mise à jour figure à la fin de la présente Déclaration.
11. NOUS CONTACTER
Si vous avez des questions, des commentaires ou des demandes concernant la Déclaration, vous pouvez contacter notre délégué à la protection des données par e-mail à l'adresse privacy.be@pluxeegroup.com, via le formulaire en ligne ou par courrier postal à l'adresse suivante : Pluxee Belgium NV, à l'attention du délégué à la protection des données, Ravensteinstraat 36, 1000 Bruxelles.
12. DÉFINITIONS
Personne concernée : toute personne physique identifiée ou identifiable dont les données à caractère personnel sont traitées.
Pays tiers : tout pays, territoire ou secteur défini dans ce pays, situé en dehors de l’Union européenne (UE) et de l’Espace économique européen (EEE).
Tiers : toute personne physique ou morale, autorité publique, agence ou organisme autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, sous l’autorité directe du responsable du traitement ou du sous-traitant, sont autorisées à traiter les données à caractère personnel.
La législation européenne en matière de protection des données ou le Règlement général sur la protection des données (RGPD) désigne le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.
Le « délégué à la protection des données » ou « DPO » désigne la personne désignée par Pluxee Belgium NV conformément à l’article 37 du RGPD, qui peut être contactée à l’adresse privacy.be@pluxeegroup.com.
Le « délégué à la protection des données du groupe » désigne la personne désignée avec l’accord du comité exécutif du groupe Pluxee pour être responsable des questions relatives à la confidentialité des données à caractère personnel au niveau du groupe Pluxee.
Par «partenaire commerçant», on entend un commerçant affilié au réseau d’acceptation de Pluxee qui accepte les bons ou les cartes Pluxee.
Les « données à caractère personnel » désignent toute information se rapportant à une personne physique identifiée ou identifiable ; est réputée identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
« Avis de confidentialité spécifique » désigne un avis de confidentialité qui s’applique à une catégorie particulière de personnes concernées ou de traitements, comme décrit à la section 2.
Sous-traitant : désigne une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui traite des données à caractère personnel pour le compte et sur instruction du responsable du traitement.
Responsable du traitement : désigne toute personne physique ou morale, autorité publique, agence ou autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement des données à caractère personnel.
Le « traitement » ou « traitement des données à caractère personnel » désigne toute opération ou ensemble d’opérations effectuées sur des données à caractère personnel ou sur des ensembles de données à caractère personnel, par des moyens automatisés ou non, telles que la collecte, l’enregistrement, l’organisation, la structuration, le stockage, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction des données.
Données à caractère personnel sensibles et autres catégories particulières de données à caractère personnel : désigne toute donnée à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l’appartenance syndicale, ainsi que les données génétiques, les données biométriques destinées à identifier de manière unique une personne, les données relatives à la santé, ou les données relatives à la vie sexuelle ou à l’orientation sexuelle d’une personne. Cette définition couvre également les données à caractère personnel relatives aux condamnations pénales et aux infractions.
Le Groupe Pluxee désigne toute entité contrôlée directement ou indirectement, dans les conditions prévues par la loi, par PLUXEE INTERNATIONAL, dont le capital social s’élève à 410 857 904 euros, et dont le siège social est situé au 16 rue du Passeur de Boulogne, 92130 Issy-les-Moulineaux, France, immatriculée sous le numéro 350 925 384 au RCS de Nanterre.
Par « autorité de contrôle », on entend une autorité publique indépendante mise en place par un État membre conformément au RGPD ; en Belgique, il s’agit de l’Autorité de protection des données.
Mise à jour le 6 octobre 2026
Privacy Notice
General privacy notice of Pluxee Belgium NV
Your privacy is very important to us. We have drawn up this privacy notice so that you understand how we collect, use and process your Personal Data (the “Notice”). This Notice describes in clear and plain language why and on what legal basis we process your Personal Data, with whom we share it, how long we keep it, what rights you have, the measures we take to protect your Personal Data and how you can reach us with questions or requests about your Personal Data.
1. WHO IS RESPONSIBLE FOR YOUR PERSONAL DATA?
The controller of the Processing described in this Notice is Pluxee Belgium NV, with its registered office at Ravensteinstraat 36, 1000 Brussels, registered with the Crossroads Bank for Enterprises under number 0403.167.335 (“Pluxee”, “we” or “us”).
Pluxee has appointed a data protection officer (“DPO”). You can contact the DPO:
- by e-mail: privacy.be@pluxeegroup.com;
- by post: Pluxee Belgium NV, for the attention of the Data Protection Officer, Ravensteinstraat 36, 1000 Brussels.
Pluxee is part of the Pluxee Group. Where we determine the purposes and means of a particular Processing jointly with another Pluxee Group entity or with a partner (joint controllership within the meaning of Article 26 GDPR), we say so in the relevant Specific Privacy Notice, together with the essence of our arrangement.
2. SCOPE
This Notice applies to all activities of the company Pluxee Belgium NV where the General Data Protection Regulation (“GDPR”) applies and Pluxee acts as controller.
This Notice applies to the Processing of Personal Data collected by Pluxee, either directly or indirectly, relating to any natural persons, including among others current, former or prospective applicants and employees of Pluxee, beneficiaries and users of our vouchers, cards, websites and apps, contact persons of customers and prospects, consumers, children, merchant partners (affiliated merchants) and their contact persons, suppliers/service providers, partners/subcontractors, shareholders or any third parties (hereinafter “Data Subject”).
This Notice gives a general overview. For certain categories of Data Subjects or Processing we provide a specific privacy notice (a “Specific Privacy Notice”) with more detailed information on, among other things, the data processed, the legal bases, the recipients and the retention periods. This is currently the case for:
- beneficiaries of Pluxee vouchers and users of our websites and of the Pluxee app (privacy notice for users of the websites and beneficiaries of Pluxee vouchers);
- merchant partners that accept Pluxee vouchers and cards, and their contact persons (privacy notice for merchant partners) [in preparation];
- applicants and employees of Pluxee (HR data protection notice);
- the use of cookies and similar technologies on our websites and apps (Cookie Policy);
- [other Specific Privacy Notices, e.g. for customers].
The Specific Privacy Notices are available on our website [link to the privacy notices page] or are provided to you when we collect your Personal Data. In the event of any inconsistency between this Notice and a Specific Privacy Notice, the Specific Privacy Notice prevails for the Processing it describes.
Where Pluxee processes Personal Data on behalf of and on the instructions of a customer (for example an employer), Pluxee acts as processor. In that case the customer’s privacy notice applies and you should in the first place contact that customer to exercise your rights.
3. COLLECTION AND PROCESSING OF YOUR PERSONAL DATA
3.1 Compliance with European data protection legislation and all other applicable local data protection legislation
We are bound to comply with all applicable legislation on Personal Data and we ensure that Personal Data are collected and processed in accordance with European data protection legislation and any applicable local legislation, including the Belgian Act of 30 July 2018 on the protection of natural persons with regard to the processing of personal data.
3.2 Which Personal Data do we process and where do they come from?
Depending on your relationship with Pluxee, we process in particular the following categories of Personal Data:
- identification data (e.g. surname, first name, language, gender, date of birth, customer, merchant, user or card number);
- contact details (e.g. postal address, e-mail address, telephone number);
- professional data (e.g. employer, job title, company and company number of contact persons of customers, merchant partners, suppliers and partners);
- data on our products and services and your use of them (e.g. type and amount of vouchers, balance, transactions, expiry date, voucher acceptance and reimbursements);
- financial and invoicing data (e.g. bank account number, invoices, payments);
- data on your contacts with us (e.g. questions, complaints, correspondence and, where you are informed of this in advance, recordings of calls with customer service);
- technical and online data (e.g. IP address, log and connection data, device and browser data, cookie data);
- marketing and communication preferences.
We obtain Personal Data directly from you or indirectly, in particular from:
- your employer or the company you work for (e.g. when your employer orders vouchers for you, or when your company is a customer, merchant partner, supplier or partner of Pluxee);
- other Pluxee Group entities;
- our service providers and partners (e.g. transaction processors, the manufacturer of the Pluxee Card, marketing or market research agencies);
- publicly available sources (e.g. the Crossroads Bank for Enterprises, the Belgian Official Gazette, company websites and professional social networks);
- providers of fraud prevention and sanctions screening services.
3.3 Lawfulness, fairness and transparency
Every Processing of Personal Data that we carry out is lawful within the meaning of the GDPR and is based on one of the legal bases of Article 6 GDPR. Depending on the Processing, this is (i) the performance of a contract to which you are a party or steps taken at your request before entering into a contract; (ii) compliance with a legal obligation to which Pluxee is subject; (iii) the legitimate interests of Pluxee or of a third party, except where your interests or fundamental rights and freedoms override them; or (iv) your consent. The table below sets out, per category of Data Subjects, the main purposes and the legal bases we rely on. The relevant Specific Privacy Notice sets out the legal basis for each purpose.
When we collect your Personal Data, we will provide you with the information required by Articles 13 and 14 GDPR, through this Notice and, where applicable, a Specific Privacy Notice. Where we do not obtain Personal Data from you, we inform you within a reasonable period and at the latest within one month, or at the time of our first communication with you, unless one of the exceptions of Article 14(5) GDPR applies (for example where you already have that information or where providing it proves impossible or would involve a disproportionate effort).
Where required by applicable law, we will ask for your prior consent (e.g. before we send you electronic marketing or place non-essential cookies). Where a Processing is based on your consent, you may withdraw that consent at any time, without affecting the lawfulness of the Processing before its withdrawal.
Overview of the main purposes and legal bases
| Who are you? | What do we use your Personal Data for? | Legal basis | More information |
| Beneficiary of Pluxee vouchers or of the Pluxee Card; user of our websites and of the Pluxee app | Issuing and managing vouchers and cards (balance, transactions, expiry date); creating and managing your account; customer service and Card Stop; preventing and detecting fraud; information on benefits and promotions | Performance of the Pluxee Card terms of use; legal obligation (regulations on meal, eco, gift and sport & culture vouchers, accounting law); legitimate interest (customer service, quality and security of our services); consent (certain marketing communications, geolocation, competitions) | Privacy notice for users of the websites and beneficiaries of Pluxee vouchers |
| Contact person of a customer (employer) or prospect | Quotations, entering into and performing contracts, orders and invoicing; customer relationship management and customer service; B2B marketing, events and satisfaction or market research | Legitimate interest (managing the business relationship with the company you work for, promoting our services); legal obligation (accounting, invoicing); consent, where required by law for electronic marketing | This Notice |
| Merchant partner (where the merchant is a natural person) or contact person of a merchant partner | Affiliation to and management of our acceptance network; processing and reimbursement of accepted vouchers; customer service; monitoring compliance with the affiliation conditions and preventing fraud; communication about our services | Performance of the contract (where you are the merchant yourself); legitimate interest (managing the relationship with the merchant you work for, the integrity of our network, promoting our services); legal obligation (accounting, regulations on vouchers) | This Notice |
| Contact person of a supplier, service provider or partner | Selection and due diligence (including sanctions screening); entering into and performing contracts; payments | Performance of the contract (where you are the contracting party yourself); legitimate interest; legal obligation | This Notice |
| Applicant or employee | Recruitment and human resources management | See the HR data protection notice |
Candidate data protection notice Employees are referred to the Employee Privacy Notice (internal document) |
| Visitor of our websites and apps | Operation, security and improvement of our websites and apps; statistics; personalised content and advertising | Legitimate interest (strictly necessary cookies, security); consent (other cookies) | Cookie Policy |
| Anyone who contacts us or submits a question, complaint or request | Handling questions, complaints and requests to exercise your rights | Legal obligation (Articles 12 to 22 GDPR); legitimate interest (handling other questions and complaints) | This Notice |
| All Data Subjects | Security of our IT systems and buildings; internal audit, compliance and reporting within the Pluxee Group; establishment, exercise or defence of legal claims; compliance with our obligations regarding sanctions and taxation; transfer or restructuring of (part of) the business | Legal obligation; legitimate interest (security, good governance within the group, defence of our rights, business continuity) | This Notice |
3.4 Legitimate purposes, purpose limitation and data minimisation
Your Personal Data are collected for specified, explicit and legitimate purposes and are not further processed in a manner incompatible with those purposes. We only process Personal Data that are adequate, relevant and limited to what is necessary for those purposes. Where we wish to use your Personal Data for a new purpose, we inform you in advance.
3.5 Are you required to provide your Personal Data?
Some Personal Data are necessary to enter into or perform a contract, or to comply with a legal obligation. Without those data we cannot provide certain services (for example activating your Pluxee Card, affiliating a merchant or handling your request). Our forms indicate which data are mandatory. Providing other data is voluntary.
3.6 Sensitive Personal Data
As a rule, we do not process Sensitive Personal Data, unless this is strictly necessary and one of the exceptions of Article 9(2) GDPR applies (for example for human resources management, see the HR data protection notice). We only process Personal Data relating to criminal convictions and offences within the limits of Article 10 GDPR and Article 10 of the Act of 30 July 2018 (for example to bring or defend a legal claim).
3.7 Automated decision-making and profiling
We do not take decisions based solely on automated processing, including profiling, which produce legal effects concerning you or similarly significantly affect you, unless Article 22 GDPR permits this. Where we do, we explain this in the relevant Specific Privacy Notice, including meaningful information about the logic involved and the significance and envisaged consequences for you. In that case you have the right to obtain human intervention, to express your point of view and to contest the decision.
We may use your Personal Data to create profiles for marketing purposes (for example to show you relevant offers). You can object to this at any time (see section 8).
3.8 Accuracy of data and retention periods
Pluxee will ensure that the Personal Data processed are accurate and, where necessary, kept up to date. We rely on you to inform us of any changes to your data. In addition, we do not keep Personal Data longer than necessary for the purposes for which they were collected, including to comply with legal or accounting requirements or for reporting.
In addition, where necessary, we keep Personal Data to enable Pluxee to defend itself or to assert a right, for as long as the applicable limitation period runs or a dispute is pending.
To determine the retention period, we take into account in particular the following criteria:
- the duration of our relationship with you or with the company you work for (e.g. the term of the contract or affiliation, the validity of your vouchers or the time needed to handle your request);
- the statutory retention obligations to which we are subject (e.g. in accounting, tax and social matters and under the regulations on vouchers);
- the statutory limitation periods for possible legal claims;
- for marketing purposes: until you unsubscribe or withdraw your consent, or after a period of inactivity;
- the guidelines and recommendations of the supervisory authorities (e.g. for cookies).
The specific retention periods for each Processing are set out in the relevant Specific Privacy Notice.
If you need more information about the retention periods of your Personal Data, you can contact us at the following address: privacy.be@pluxeegroup.com.
After the applicable retention period has expired, we will securely delete or anonymise your Personal Data. Data in back-ups are deleted in line with the normal replacement cycle of those back-ups.
4. SECURITY OF YOUR PERSONAL DATA
We take the appropriate technical and organisational measures to protect your Personal Data against accidental or unlawful destruction, alteration or loss, or unauthorised use, disclosure or access, in accordance with our Group Information Security and Systems Policy. These measures include access management on a need-to-know basis, authentication, encryption where appropriate, logging, physical security, regular audits and confidentiality obligations for our staff.
We take all reasonable measures that comply with the principles of data protection by design (“privacy by design”) and data protection by default (“privacy by default”), in order to implement the necessary safeguards and protect the Processing of Personal Data.
Depending on the level of risk associated with the processing, we also carry out a data protection impact assessment (“DPIA”) within the meaning of Article 35 GDPR in order to take appropriate measures and guarantee the protection of Personal Data.
We also take additional measures to secure data considered to be Sensitive Personal Data.
Should a personal data breach nevertheless occur that is likely to result in a high risk to your rights and freedoms, we will inform you without undue delay, in accordance with Article 34 GDPR.
5. SHARING OF YOUR PERSONAL DATA
Within Pluxee, only staff who need the data to perform their duties have access to your Personal Data, and they are bound by confidentiality. We share your Personal Data with other Pluxee Group entities and other recipients only for the purposes described in this Notice or in the relevant Specific Privacy Notice. These are the following categories of recipients:
- With other Pluxee Group entities, for example for shared IT services (hosting and maintenance of information systems), information security, reporting and internal audit;
- With certain authorised external service providers and only in connection with the services we provide, such as providers of IT, hosting and cloud services, the manufacturer of the Pluxee Card, transaction and payment processors, call centres, (e-)mailing providers, market research agencies and our legal, financial and accounting advisers;
- With companies providing services to combat fraud or illegal activities and to screen sanctions lists, and with third parties providing similar services, such as financial institutions;
- With courts, law enforcement authorities, regulatory bodies, government bodies and other parties where reasonably necessary to exercise or defend a right or for out-of-court dispute resolution, or where we are legally required to disclose data to them;
- With internal or external service providers that we engage locally or in a third country to process Personal Data on our behalf for the purposes described above (for example shared service centres);
- With Pluxee’s partners (for example providers of services or benefits available through our platforms), only with your consent or at your request. We name those partners when we ask for your consent;
- With your employer, to the extent necessary to manage the benefits it grants you (e.g. confirming the delivery or activation of your vouchers), without giving it access to your individual spending;
- In the event of a sale, merger or acquisition of companies or assets, in which case we may transfer your Personal Data to the potential buyer or seller in order to assign or renew rights or obligations, subject to appropriate confidentiality obligations.
Service providers that process Personal Data on our behalf (processors) are bound by contract in accordance with Article 28 GDPR and may only use the data on our instructions. Other recipients (such as banks, advisers or authorities) process the data as separate controllers, under their own responsibility. We do not sell your Personal Data.
6. INTERNATIONAL TRANSFERS OF PERSONAL DATA
Pluxee is part of an international group and works with service providers, some of which are established outside the European Economic Area (EEA) or access data from there. Some third countries in which Pluxee operates do not offer the same level of protection of Personal Data as the country in which you live and are not considered by the European Commission to provide an adequate level of protection of the Personal Data of natural persons.
We only transfer your Personal Data to a country outside the EEA where one of the following safeguards of Chapter V GDPR applies:
- an adequacy decision of the European Commission for the country concerned (for example, for the United States, the EU-US Data Privacy Framework for recipients certified under it);
- the standard contractual clauses adopted by the European Commission (Implementing Decision (EU) 2021/914), both for transfers within the Pluxee Group and for transfers to other recipients, supplemented where necessary by additional technical, contractual or organisational measures;
- in the absence of such a safeguard, and only exceptionally, one of the derogations of Article 49 GDPR (for example where the transfer is necessary for the establishment, exercise or defence of legal claims).
You will receive more information about the transfer of your Personal Data to countries outside the EEA through the relevant Specific Privacy Notice, at the time your Personal Data are collected.
If you would like more information, including a copy of the documents used to protect your Personal Data, you can contact us at the following address: privacy.be@pluxeegroup.com.
7. COOKIES
We use “cookies” and similar technologies on our websites and apps. Cookies are text files stored on your computer, tablet or smartphone when you visit certain websites. For example, we may use cookies to know whether or not you have visited our site before or to know which topics interest you most. We may also use cookies to analyse traffic and for advertising purposes.
Cookies can make your online visit more pleasant by storing your preferences while you visit the website. When you visit our websites, we will tell you which types of cookies we use and how you can block them. Except for cookies that are strictly necessary for the operation of the website, we only place cookies with your prior consent. You can change your choice or withdraw your consent at any time through the cookie settings on our website, and you can also visit our websites if you refuse non-essential cookies. If you would like more information, please consult our Cookie Policy.
8. YOUR RIGHTS
Pluxee is committed to protecting your rights granted by applicable law. Below is a table giving an overview of your various rights. Some rights only apply under certain conditions or may be restricted by law; in that case we will explain why we cannot (fully) comply with your request:
| Right of access | You may ask us whether we process Personal Data about you and, if so, obtain access to those data and to information about the Processing (including the purposes, the categories of data, the recipients, the retention period and the source). You are entitled to a free copy of your Personal Data. |
| Right to rectification | You may request the rectification of inaccurate Personal Data, or the completion of incomplete Personal Data. |
| Right to erasure (“right to be forgotten”) |
Your right to be forgotten gives you the right to request that your Personal Data be erased where:
The right to erasure is not absolute: we may, for example, need to keep certain data to comply with a legal obligation or for the establishment, exercise or defence of legal claims. |
| Right to restriction of processing |
You may request that the processing of your Personal Data be restricted where:
|
| Right to data portability |
Where applicable, you may request the portability of the Personal Data you have provided to PLUXEE, in a structured, commonly used and machine-readable format. You have the right to transmit these data to another controller without hindrance from PLUXEE, where:
You may also request that your Personal Data be transmitted directly to another controller of your choice (where technically feasible). |
| Right to object to processing | You may, on grounds relating to your particular situation, object to the processing of your Personal Data based on our legitimate interests. We will then stop that Processing, unless we demonstrate compelling legitimate grounds that override your interests, or need the data for a legal claim. You may always object, free of charge and without giving reasons, to Processing for direct marketing purposes, including profiling related to it (“opt-out”). |
| Right to withdraw your consent | Where we process your Personal Data on the basis of your consent, you may withdraw your consent at any time, for example through the unsubscribe link in our e-mails or through the preference centre. Withdrawal does not affect the lawfulness of the Processing before its withdrawal. |
| Right not to be subject to automated decisions | You have the right not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning you or similarly significantly affects you (see section 3.7). Where such a decision is permitted, you have the right to obtain human intervention, to express your point of view and to contest the decision. |
| Right to lodge a complaint |
You may choose to lodge a complaint with the data protection supervisory authority in the country of your habitual residence, place of work or place of the alleged infringement. In Belgium, this is: the Belgian Data Protection Authority (Gegevensbeschermingsautoriteit / Autorité de protection des données, Drukpersstraat 35 / rue de la Presse 35, 1000 Brussels – contact@apd-gba.be – www.dataprotectionauthority.be). You also have the right to bring proceedings before the courts of the Member State where the Pluxee entity has an establishment or where you have your habitual residence. We would appreciate it if you contacted our DPO first, so that we can try to find a solution together. |
Your right to object
You have the right to object at any time, on grounds relating to your particular situation, to the Processing of your Personal Data based on our legitimate interests. You may always object to Processing for direct marketing purposes, without giving reasons. You can do so through the unsubscribe link in every marketing communication, through the preference centre or using the contact details below.
You may exercise these rights at any time and free of charge or contact us for a request or complaint regarding the protection of your data:
– by sending your request (which right you wish to exercise and which Processing it concerns) to the Data Protection Officer at the following address: privacy.be@pluxeegroup.com;
– by completing the online form available on our website; or
– by post to Pluxee Belgium NV, for the attention of the Data Protection Officer, Ravensteinstraat 36, 1000 Brussels.
To protect your Personal Data, we verify your identity using the data we already hold. We only ask for additional information where we have reasonable doubts about your identity. We do not systematically ask for a copy of your identity card.
We respond without undue delay and at the latest within one month of receipt of your request. That period may be extended by two further months, taking into account the complexity and number of requests; in that case we inform you of the extension and the reasons for it within the first month. We may refuse a request or charge a reasonable fee where it is manifestly unfounded or excessive, in particular because of its repetitive character.
9. CHILDREN
Children merit specific protection with regard to their Personal Data, as they may be less aware of the risks, consequences and safeguards concerned and of their rights in relation to the processing of Personal Data. Such specific protection should in particular apply to the Processing of children’s data for marketing purposes or for creating personality or user profiles and the collection of Personal Data about children when using services offered directly to children.
Our services are intended for adults and are not directed at children. We do not knowingly collect Personal Data of children for our services and we do not advertise to children. If you believe that we have mistakenly collected Personal Data of children, please inform us using the contact details in section 11; we will then delete those data.
10. CHANGES
From time to time we may update this Notice, as our activities and legal obligations may change substantially. If we make significant changes to this Notice, we will announce this on our website when the changes take effect. Where a change concerns a new purpose or materially affects your rights, we will inform you directly and in advance, and ask for your consent again where necessary. The date of the latest update is shown at the end of this Notice.
11. CONTACT US
If you have any questions, comments or requests regarding this Notice, you can contact our Data Protection Officer by e-mail at privacy.be@pluxeegroup.com, through the online form or by post to Pluxee Belgium NV, for the attention of the Data Protection Officer, Ravensteinstraat 36, 1000 Brussels.
12. DEFINITIONS
Data Subject: any identified or identifiable natural person whose Personal Data are processed.
Third country: any country, territory or sector defined in that country, outside the European Union (EU) and the European Economic Area (EEA).
Third party: means a natural or legal person, public authority, agency or body other than the data subject, the controller, the processor and the persons who, under the direct authority of the controller or processor, are authorised to process the personal data.
European data protection legislation or General Data Protection Regulation (GDPR) means Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC.
Data Protection Officer or DPO means the person appointed by Pluxee Belgium NV in accordance with Article 37 GDPR, who can be contacted at privacy.be@pluxeegroup.com.
Group Data Protection Officer means the person appointed with the approval of the Executive Committee of the Pluxee Group to be responsible for matters relating to the confidentiality of personal data at the level of the Pluxee Group.
Merchant partner means a merchant affiliated to Pluxee’s acceptance network that accepts Pluxee vouchers or cards.
Personal Data means any information relating to an identified or identifiable natural person; an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person.
Specific Privacy Notice means a privacy notice that applies to a particular category of Data Subjects or Processing, as described in section 2.
Processor: means a natural or legal person, public authority, agency or other body which processes personal data on behalf of and on the instructions of the Controller.
Controller means any natural or legal person, public authority, agency or other body which, alone or jointly with others, determines the purposes and means of the processing of personal data.
Processing or Processing of Personal Data means any operation or set of operations performed on Personal Data or on sets of Personal Data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction of data.
Sensitive Personal Data and other Special categories of personal data: means any Personal Data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, as well as genetic data, biometric data for the purpose of uniquely identifying a person, data concerning health, or data concerning a person’s sex life or sexual orientation. This definition also covers Personal Data relating to criminal convictions and offences.
Pluxee Group means any entity controlled directly or indirectly, under the conditions provided by law, by PLUXEE INTERNATIONAL with a registered capital of 410 857 904 euros, and having its registered office at 16 rue du Passeur de Boulogne, 92130 Issy-les-Moulineaux, France, 350 925 384 RCS Nanterre.
Supervisory Authority means an independent public authority established by a Member State pursuant to the GDPR; in Belgium, this is the Data Protection Authority.
Updated on 6 October 2026