Pièce
Nouveau dossier\13_RGPD.pdf · 1 149 mots · du marché « Location, achat, installation, stockage et maintenance de matériels pour événements municipaux à Asnières-sur-Seine », dossier de consultation officiel.
ACCORD-CADRE DE FOURNITURE
Achat, location, installation, stockage et maintenance
de matériels événementiels pour la ville d’Asnières-sur-
Seine
Annexe RGPD
Procédure formalisée prenant la forme d’un appel d’offres ouvert passée en application
des articles L.2124-2 et R.2124-2 1°) du code de la commande publique.
Ville d’Asnières-sur-Seine
Service de la commande publique
1 place de l'Hôtel de ville
92600 Asnières-sur-Seine
SOMMAIRE
ARTICLE 1 : DESCRIPTION DU TRAITEMENT DE DONNEES CONFIE AU TITULAIRE ....... 3
ARTICLE 2 : OBLIGATIONS DU TITULAIRE VIS-A-VIS DU POUVOIR ADJUDICATEUR ....... 3
ARTICLE 3 : SORT DES DONNEES .................................................................. 5
ARTICLE 4 : DISPOSITION APPLICABLES EN CAS DE SOUS-TRAITANCE...................... 5
ARTICLE 1 : DESCRIPTION DU TRAITEMENT DE
DONNEES CONFIE AU TITULAIRE
▪ La nature des opérations réalisées sur les données ;
▪ La ou les finalité(s) du traitement ;
▪ Les données à caractère personnel traitées ;
▪ Les catégories de personnes concernées ;
▪ Les informations mises à disposition du titulaire par le pouvoir adjudicateur ;
ARTICLE 2 : OBLIGATIONS DU TITULAIRE VIS-A-VIS DU
POUVOIR ADJUDICATEUR
Il est précisé que dans le cadre de cette règlementation, le pouvoir adjudicateur est
qualifié de responsable de traitement et le titulaire du marché a la qualification de sous-
traitant. Néanmoins la présente clause a été établie avec la terminologie classique
pouvoir adjudicateur/titulaire/sous-traitant. Le titulaire s'engage à :
▪ Traiter les données uniquement pour la ou les seule(s) finalité(s) qui fait/font l’objet
du contrat.
▪ Traiter les données conformément aux instructions documentées du pouvoir
adjudicateur. Si le titulaire considère qu’une instruction constitue une violation du
règlement européen sur la protection des données ou de toute autre disposition du droit
de l’Union ou du droit des Etats membres relative à la protection des données, il en
informe immédiatement le pouvoir adjudicateur. En outre, si le titulaire est tenu de
procéder à un transfert de données vers un pays tiers ou à une organisation
internationale, en vertu du droit de l’Union ou du droit de l’Etat membre auquel il est
soumis, il doit informer le responsable du traitement de cette obligation juridique avant
le traitement, sauf si le droit concerné interdit une telle information pour des motifs
importants d'intérêt public.
▪ Garantir la confidentialité des données à caractère personnel traitées dans le cadre
du présent contrat.
▪ Veiller à ce que les personnes autorisées à traiter les données à caractère personnel
en vertu du présent contrat :
➢ S’engagent à respecter la confidentialité ou soient soumises à une obligation
légale appropriée de confidentialité
➢ Reçoivent la formation nécessaire en matière de protection des données à
caractère personnel
▪ Prendre en compte, s’agissant de ses outils, produits, applications ou services, les
principes de protection des données dès la conception et de protection des données
par défaut.
▪ Aider, dans la mesure du possible, le pouvoir adjudicateur à s’acquitter de son
obligation de donner suite aux demandes d’exercice des droits des personnes
concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la
limitation du traitement, droit à la portabilité des données, droit de ne pas faire
l’objet d’une décision individuelle automatisée (y compris le profilage).
Le titulaire doit répondre, au nom et pour le compte du pouvoir adjudicateur et dans les
délais prévus par le règlement européen sur la protection des données aux demandes
des personnes concernées en cas d’exercice de leurs droits, s’agissant des données
faisant l’objet du présent contrat.
▪ Notifier au pouvoir adjudicateur toute violation de données à caractère personnel
dans un délai maximum de 48 heures après en avoir pris connaissance et par le moyen
suivant - Tout moyen permettant d'attester la date et l'heure de réception. Cette
notification est accompagnée de toute documentation utile afin de permettre au pouvoir
adjudicateur, si nécessaire, de notifier cette violation à l’autorité de contrôle compétente
ainsi qu’aux personnes concernées.
▪ Aider le pouvoir adjudicateur pour la réalisation d’analyses d’impact relatives à la
protection des données.
▪ Aider le pouvoir adjudicateur pour la réalisation de la consultation préalable de
l’autorité de contrôle.
▪ Communiquer au pouvoir adjudicateur le nom et les coordonnées de son délégué à la
protection des données, s’il en a désigné un conformément à l’article 37 du règlement
européen sur la protection des données.
▪ Mettre à la disposition du pouvoir adjudicateur la documentation nécessaire pour
démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y
compris des inspections, par le responsable du traitement ou un autre auditeur qu'il a
mandaté, et contribuer à ces audits.
▪ Fournir, au moment de la collecte des données, aux personnes concernées par les
opérations de traitement l’information relative aux traitements de données qu’il réalise.
La formulation et le format de l’information doit être convenue avec le pouvoir
adjudicateur avant la collecte de données.
▪ Mettre en œuvre les mesures de sécurité suivantes :
➢ La pseudomisation et le chiffrement des données à caractère personnel ;
Les moyens permettant de garantir la confidentialité, l'intégrité la disponibilité
et la résilience constantes des systèmes et des services de traitement ;
➢ Les moyens permettant de rétablir la disponibilité des données à caractère
personnel et l'accès à celle-ci dans les délais appropriés en cas d'incident
physique ou technique ;
➢ Une procédure visant à tester à analyser et à évaluer régulièrement des
mesures techniques et organisationnelles pour assurer la sécurité du
traitement.
▪ Tenir par écrit un registre de toutes les catégories d’activités de traitement
effectuées pour le compte du pouvoir adjudicateur comprenant :
➢ Le nom et les coordonnées du pouvoir adjudicateur pour le compte duquel il
agit, des éventuels sous-traitants et, le cas échéant, du délégué à la protection
des données ;
➢ Les catégories de traitements effectués pour le compte du responsable du
traitement ;
➢ Le cas échéant, les transferts de données à caractère personnel vers un pays
tiers ou à une organisation internationale, y compris l'identification de ce pays
tiers ou de cette organisation internationale et, dans le cas des transferts visés
à l'article 49, paragraphe 1, deuxième alinéa du règlement européen sur la
protection des données, les documents attestant de l'existence de garanties
appropriées ;
Dans la mesure du possible, une description générale des mesures de sécurité techniques
et organisationnelles.
ARTICLE 3 : SORT DES DONNEES
Au terme de la prestation de services relatifs au traitement de ces données, le titulaire
s’engage à :
➢ Détruire toutes les données à caractère personnel ;
➢ Le renvoi doit s’accompagner de la destruction de toutes les copies existantes
dans les systèmes d’information du titulaire. Une fois détruites, le titulaire doit
justifier par écrit de la destruction.
ARTICLE 4 : DISPOSITION APPLICABLES EN CAS DE
SOUS-TRAITANCE
Le pouvoir adjudicateur autorise une sous-traitance des prestations confiées au titulaire
relatives au traitement des données.
La déclaration de sous-traitance identifie les missions confiées à cet égard au sous-traitant.
Le titulaire devra dès lors communiquer au sous-traitant les dispositions contractuelles
relatives au traitement des données en vue de son respect par ce dernier.
Texte extrait tel quel de la pièce officielle, qui seule fait foi. La mise en page du document d'origine peut différer.