Article 4 AUTONOME (Délibération n° 2013-212 du 11 juillet 2013 concernant les traitements automatisés de données à caractère personnel relatifs à la passation, la gestion et l'exécution des contrats mis en œuvre par les organismes d'assurance, de capitalisation, de réassurance, d'assistance et par leurs intermédiaires (norme simplifiée n° 16))

Durées de conservation.
En cas de conclusion d'un contrat, les données personnelles communiquées par les personnes intéressées sont conservées par le responsable de traitement conformément à la durée nécessaire à l'exécution du contrat. Ces données sont ensuite archivées pour une durée prévue par les articles L.114-1 et suivants du code des assurances, l'article L. 932-13 du code de la sécurité sociale et les dispositions du code civil relatives à la prescription.
En l'absence de conclusion d'un contrat, les données de santé peuvent être conservées par le responsable de traitement pendant une durée de deux ans en archive courante et trois ans en archive intermédiaire à des fins probatoires. S'agissant des autres données, elles peuvent être conservées pendant un délai de trois ans à compter de leur collecte par le responsable de traitement ou du dernier contact émanant du prospect (demande de renseignements ou de documentation, par exemple).
Concernant les données relatives aux cartes bancaires :
Les données relatives aux cartes bancaires doivent être supprimées une fois la transaction réalisée, c'est-à-dire dès son paiement effectif. Dans le cas d'un paiement par carte bancaire, elles peuvent être conservées pour une finalité de preuve en cas d'éventuelle contestation de la transaction, en archives intermédiaires, pour la durée prévue par l'article L. 133-24 du code monétaire et financier, en l'occurrence treize mois suivant la date de débit. Ce délai peut être étendu à quinze mois afin de prendre en compte la possibilité d'utilisation de cartes de paiement à débit différé.
Ces données peuvent être conservées plus longtemps sous réserve d'obtenir le consentement exprès du client, préalablement informé de l'objectif poursuivi (faciliter le paiement des clients réguliers, par exemple). Ce consentement peut être recueilli par l'intermédiaire d'une case à cocher (non précochée par défaut), par exemple, et ne peut résulter de l'acceptation de conditions générales.
Les données relatives au cryptogramme visuel ne doivent pas être stockées.
Lorsque la date d'expiration de la carte bancaire est atteinte, les données relatives à celles-ci doivent être supprimées.