Annexe
26NOVO17_Annexe RGPD.docx · 1 627 mots · du marché « Construction d'une centrale de groupes électrogènes et sécurisation de l'installation électrique de l'hôpital Novo », dossier de consultation officiel.
Annexe Protection des données L’Hôpital Novo, situé 6 avenue de l’Ile de France BP79, à Pontoise (95303) et représenté par Madame Nathalie PEYNEGRE (ci-après désigné, « l’Acheteur ») d’une part, Et société située à et représentée par (ci-après désignée, « le Titulaire du marché») d’autre part, Le Titulaire du marché et l’Acheteur sont conjointement dénommés « Les Parties » I. Objet Les présentes clauses ont pour objet de définir les conditions dans lesquelles l’Acheteur et le Titulaire du marché s’engagent à assurer la conformité et la sécurité des opérations de Traitement(s) de Données à caractère personnel définies ci-après. Dans le cadre de leurs relations contractuelles, les Parties s’engagent à respecter la réglementation en vigueur applicable aux Traitements de Données à caractère personnel et, en particulier, le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ainsi que la loi n°78-17 du 6 janvier 1978 modifiée (ci-après, « la Réglementation »). Au sein de la présente annexe, les termes de « Traitement », « Responsable de traitement », « Sous-traitant », « Violation de données », « Données à caractère personnel » et « Personne concernée » auront les mêmes définitions que dans la Réglementation. En cas de contradiction entre le marché et la présente annexe, en matière de Protection des données, l’annexe prévaudra. II. Description des traitements et responsabilités Les Parties seront considérées comme Responsables de traitements distincts pour le(s) traitement(s) suivant(s) : Finalité : Assurer la signature du présent marché, son suivi administratif et le respect de l’obligation de vigilance Fondement : Exécution d'un contrat (Article 6.1.B du RGPD) Personnes concernées : Représentants du Titulaire du marché et de l'Acheteur, signataires du contrat, salariés du Titulaire (obligation de vigilance) Catégories de Données : Données d’identification (nom, prénom, fonction, signature, nationalité) Durées de conservation : 10 ans après la fin du marché III. Durée de l’annexe La présente annexe entre en vigueur à compter de la signature du marché et restera en vigueur jusqu’à complète destruction des Données dont elle encadre les Traitements. IV. Obligations du titulaire du marché vis-à-vis de l’acheteur Le Titulaire du marché s'engage à : 1. Traiter les Données uniquement pour la ou les seule(s) finalité(s) qui fait/font l’objet de la présente annexe 2. Ne pas transférer ou autoriser le transfert de données hors de l’union européenne, sans accord écrit préalable de l’Acheteur 3. Garantir la confidentialité des Données à caractère personnel traitées dans le cadre du présent marché 4. Veiller à ce que les personnels autorisés à traiter les Données à caractère personnel en vertu du présent marché : s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, reçoivent la formation nécessaire en matière de protection des Données à caractère personnel. 5. Prendre en compte, s’agissant de ses outils, produits, applications ou services, les principes de protection des Données dès la conception et de protection des Données par défaut. 6. Sous-traitance Le Titulaire du marché peut faire appel à un Sous-traitant (ci-après, « le sous-traitant ») pour mener des activités de Traitement(s) spécifiques. Dans ce cas, il informe préalablement et par écrit l’Acheteur de tout changement envisagé concernant l’ajout ou le remplacement de Sous-traitants. Cette information doit indiquer clairement les activités de Traitement(s) sous-traitées, l’identité et les coordonnées du Sous-traitant et les dates du contrat de sous-traitance. Le Titulaire du marché est tenu de respecter les obligations du marché et de la présente annexe conclus entre les Parties. Il appartient au Titulaire du marché de s’assurer que le Sous-traitant présente les mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences de la Réglementation. Si le Sous-traitant ne remplit pas ses obligations en matière de protection des Données, le Titulaire du marché demeure pleinement responsable de l’exécution par le Sous-traitant de ses obligations. 7. Droit d’information des personnes concernées Il appartient aux Parties de fournir, chacune, l’information aux Personnes concernées par les opérations de Traitement(s) au moment de la collecte des Données. 8. Exercice des droits des personnes Les Parties s’acquittent respectivement de leur obligation de donner suite aux demandes d’exercice des droits des Personnes concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la portabilité des Données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage). 9. Notification des violations de données à caractère personnel Le Titulaire du marché notifie à l’Acheteur toute Violation de Données à caractère personnel dans un délai maximum de 48 heures après en avoir pris connaissance, par courrier électronique à dpo@ght-novo.fr. La notification contient au moins : la description de la nature de la Violation de Données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de Personnes concernées par la Violation et les catégories et le nombre approximatif d'enregistrements de Données à caractère personnel concernés ; le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues ; la description des conséquences probables de la Violation de Données à caractère personnel ; la description des mesures prises ou que le Titulaire du marché propose de prendre pour remédier à la Violation de Données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives. Si, et dans la mesure où il n’est pas possible de fournir toutes ces informations en même temps, les informations peuvent être communiquées de manière échelonnée sans retard indu. 10. Mesures de sécurité Le Titulaire du marché s’engage à mettre en œuvre les mesures de sécurité suivantes : le chiffrement des Données à caractère personnel ; les moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement(s) ; les moyens permettant de rétablir la disponibilité des Données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ; des tests et analyses permettant d’évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du Traitement. pour l’hébergement des Données de santé, l’obtention de la certification Hébergement de données de santé. 11. Sort des données Au terme de la prestation de services relatifs au(x) Traitement(s) des données, le Titulaire du marché s’engage à respecter la décision de l’Acheteur s’agissant du sort des données : à renvoyer toutes les Données à caractère personnel de l’Acheteur ou à renvoyer les Données à caractère personnel au Sous-traitant désigné par l’Acheteur Le renvoi doit s’accompagner de la destruction de toutes les copies existantes dans les systèmes d’information du Titulaire du marché. Une fois détruites, le Titulaire du marché doit justifier par écrit de la destruction. 12. Délégué à la protection des données Le Titulaire du marché communique à l’Acheteur les coordonnées de son délégué à la protection des données, s’il en a désigné un conformément à l’article 37 du règlement européen sur la protection des Données. Mail du DPO (ou assimilé) du Titulaire du marché 13. Registre des catégories d’activités de traitement(s) Conformément à l’article 30 du règlement européen sur la protection des Données, le Titulaire du marché déclare tenir par écrit un registre de toutes les catégories d’activités de Traitement(s) effectuées, comprenant : Le nom et les coordonnées du Responsable de traitement, des éventuels Sous-traitants et, Les catégories de Traitements effectués; Le cas échéant, les transferts de Données à caractère personnel vers un pays tiers Européen, y compris l'identification de ce pays tiers et les documents attestant de l'existence de garanties appropriées; dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles, y compris entre autres, selon les besoins : La pseudonymisation et le chiffrement des données à caractère personnel; des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de Traitement; des moyens permettant de rétablir la disponibilité des Données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique; une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du Traitement. 14. Audits Le Titulaire du marché met à la disposition de l’Acheteur la documentation nécessaire pour démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris des inspections, par l’Acheteur ou un autre auditeur qu'il a mandaté, et contribuer à ces audits. 15. Obligation de conseil Le Titulaire du marché s’engage à conseiller l’Acheteur sur l’application de la Réglementation, dès lors qu’il considère qu’une non-conformité peut avoir un impact sur le respect de clauses du marché et de son annexe. 16. Communication de données à des tiers autorisés Le Titulaire du marché s’engage à informer sans délai l’Acheteur en cas de requête et/ou de contrôle provenant d’une autorité administrative ou judiciaire demandant à avoir communication de Données à caractère personnel entrant dans le périmètre du marché, de son annexe et des opérations de traitement(s). Le cas échéant, il s’engage à remettre à l’Acheteur une copie du rapport d’audit de la CNIL. 17. Obligation de confidentialité Le Titulaire du marché s’engage à veiller à ce que les personnels autorisés à intervenir sur les moyens de Traitement(s) des Données à caractère personnel respectent les consignes internes en matière de sécurité définies, dans les documents de politique de sécurité interne. Soumis à des obligations de discrétion professionnelle, ou le cas échéant soumis au secret professionnel, les personnels du Titulaire du marché sont régulièrement sensibilisés sur leurs rôles et responsabilités en matière de confidentialité et de sécurité des données. Fait à Pontoise, Le Pour le Titulaire du marché MERGEFIELD rep_societe Pour l’Acheteur Me. Nathalie PEYNEGREDirectrice de l’Acheteur
Texte extrait tel quel de la pièce officielle, qui seule fait foi. La mise en page du document d'origine peut différer.