Annexe
ANNEXE3AE ClausestypesRGPD-Lot02.docx · lot 2 · 1 988 mots · du marché « Coordination et animation du plan de sauvegarde des 4 copropriétés de la Galerie Richard Wagner à Nîmes (quartiers… », dossier de consultation officiel.
Pièce diffusée par Ville de Nîmes, consultation 26-81004. Vérifier le dossier à la source. La date et la version du document sont à vérifier dans l’original.
ANNEXE AU CCAP RELATIVE AU REGLEMENT GENERAL SUR LA PROTECTION DES DONNEES PERSONNELLES (RGPD) VALANT CONTRAT ENTRE LE RESPONSABLE DE TRAITEMENT ET LE SOUS-TRAITANT Définitions : « Données Personnelles » : désigne toute information concernant une personne physique identifiée ou identifiable ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. « Responsable de Traitement » : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre. « Sous-traitant » : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement. « Violation de Données », une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données. « Lois et Réglementations Applicables en matière de Données Personnelles » : désigne toutes les lois et réglementations en relation avec la protection des données à caractère personnel et la vie privée, et notamment la loi n° 78-17 relative à l’informatique, aux fichiers et aux libertés du 6 janvier 1978 modifiée et le Règlement européen n° 2016/679 du 27 avril 2016 dit « Règlement Général sur la Protection des Données » (RGPD) à compter de son entrée en application. Dans le cadre de leurs relations contractuelles, les Parties s’engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier, le règlement (UE) 2016/679 du 27 avril 2016 (ci-après, le « RGPD ») et la loi Informatique et Libertés du 6 janvier 1978 modifiée. I/ Objet du contrat : Les présentes clauses ont pour objet de définir les conditions dans lesquelles le sous-traitant s’engage à effectuer pour le compte du responsable de traitement les opérations de traitement de données à caractère personnel définies ci-après. Dans le cadre de leurs relations contractuelles, les parties s’engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier, le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 applicable à compter du 25 mai 2018 (ci-après,« le règlement européen sur la protection des données »). II/ Description du traitement faisant l’objet de la sous-traitance : Le sous-traitant est autorisé à traiter pour le compte du responsable de traitement les données à caractère personnel nécessaires pour fournir le ou les service(s) suivant(s) (à compléter par le métier). Objet et durée du traitement : Données relatives aux résidants et copropriétaires des propriétaires des 4 grandes copropriétés de la galerie Richard Wagner (La Garrigado, Li Bécarut, Lou Piboulo, Lou Férigoulier) pendant toute la durée nécessaire à la réalisation du marché. Passé les délais fixés par la durée d’exécution du marché, les données sont soit supprimées, soit conservées après avoir été anonymisées notamment pour des raisons d’usage statistique. La nature des opérations réalisées sur les données est : Collecte, transfert, utilisation, conservation de données personnelles. La ou les finalité(s) du traitement sont : Vérifier l’éligibilité des copropriétaires aux aides financières ainsi que le suivi des impayés de charges de copropriétés. Le type de données à caractère personnel traitées sont : Identités et coordonnées des ménages (résidents, propriétaires), revenus des ménages, l'établissement des demandes de subventions pour les travaux, tranche de ressources des ménages, ainsi que tous types de données nécessaires à l’accompagnement des ménages dans le solvabilisation de leurs travaux de rénovation et réhabilitation de leur logement/copropriété. Les catégories de personnes concernées sont : résidents et copropriétaires des 4 grandes copropriétés de la galerie Richard Wagner Pour l’exécution du service objet du présent contrat, le responsable de traitement met à la disposition du sous-traitant les informations nécessaires suivantes : III/ Obligations du sous-traitant vis-à-vis du responsable de traitement : Le sous-traitant s'engage à : traiter les données uniquement pour la ou les seule(s) finalité(s) qui fait/font l’objet de la sous-traitance traiter les données conformément aux instructions figurant dans les pièces du contrat. Si le sous-traitant considère qu’une instruction constitue une violation du règlement européen sur la protection des données ou de toute autre disposition du droit de l’Union ou du droit des Etats membres relative à la protection des données, il en informe immédiatement le responsable de traitement. En outre, si le sous-traitant est tenu de procéder à un transfert de données vers un pays tiers ou à une organisation internationale, en vertu du droit de l’Union ou du droit de l’Etat membre auquel il est soumis, il doit informer le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public veiller à ce que les personnes autorisées à traiter les données à caractère personnel en vertu du présent contrat s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité prendre en compte, s’agissant de ses outils, produits, applications ou services, toutes les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque recueillir, en cas de recrutement de sous-traitants ultérieurs, l’autorisation écrite, préalable et spécifique du responsable de traitement Le sous-traitant ultérieur est tenu de respecter les obligations du présent contrat pour le compte et selon les instructions du responsable de traitement. Il appartient au sous-traitant initial de s’assurer que le sous-traitant ultérieur présente les mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du règlement européen sur la protection des données. Si le sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable de traitement de l’exécution par l’autre sous-traitant de ses obligations mettre à la disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect de ses obligations et pour permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer à ces audits tenir compte de la nature du traitement, aider le responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d'exercer leurs droits en la matière IV/ Obligations du responsable de traitement vis-à-vis du sous-traitant : Le responsable de traitement s’engage à : Fournir au sous-traitant les données visées au II des présentes clauses Documenter par écrit toute instruction concernant le traitement des données par le sous-traitant Veiller, au préalable et pendant toute la durée du traitement, au respect des obligations prévues par le règlement européen sur la protection des données de la part du sous-traitant Superviser le traitement, y compris réaliser les audits et les inspections réalisés à titre gratuit auprès du sous-traitant V/ Exercice des droits des personnes Le responsable du traitement prend des mesures appropriées pour fournir toute information lorsque des données à caractère personnel sont collectées auprès de la personne concernée ou non concernée, ainsi que pour procéder à toute communication au titre du droit d’accès de la personne concernée comprenant notamment son droit de rectification, à l’effacement, à la limitation du traitement ainsi qu’en cas d’une violation, d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l'identité de la personne concernée soit démontrée par d'autres moyens. VI/ Notification des violations de données à caractère personnel Le sous-traitant notifie au responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance et par courrier électronique à l’adresse suivante : dpd@ville-nimes.fr. Cette notification est accompagnée de toute documentation utile afin de permettre au responsable de traitement, si nécessaire, de notifier cette violation à l’autorité de contrôle compétente. VII/ Mesures de sécurité Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins : la pseudonymisation et le chiffrement des données à caractère personnel; des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement; des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique; une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. Lors de l'évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l'altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou de l'accès non autorisé à de telles données, de manière accidentelle ou illicite. L'application d'un code de conduite ou d'un mécanisme de certification approuvé peut servir d'élément pour démontrer le respect des exigences de sécurité susvisées Le responsable du traitement et le sous-traitant prennent des mesures afin de garantir que toute personne physique agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne les traite pas, excepté sur instruction du responsable du traitement, à moins d'y être obligée par le droit de l'Union ou le droit d'un État membre. VIII/ Sort des données Au terme de la prestation de services relatifs au traitement de ces données, le sous-traitant s’engage à renvoyer toutes les données à caractère personnel au responsable de traitement dans un format lisible et à les détruire à titre gratuit. Le renvoi doit s’accompagner de la destruction de toutes les copies existantes dans les systèmes d’information du sous-traitant. Une fois détruites, le sous-traitant doit justifier par écrit de la destruction. IX/ Délégué à la protection des données Le sous-traitant communique au responsable de traitement le nom et les coordonnées de son délégué à la protection des données, s’il en a désigné un conformément à l’article 37 du règlement européen sur la protection des données. X/ Registre des catégories d’activités de traitement Le sous-traitant déclare tenir par écrit un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable de traitement comprenant les mentions prévues à l’article 30 du règlement sur la protection des données. XI/ Documentation Le sous-traitant met à la disposition du responsable de traitement la documentation nécessaire pour démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer à ces audits.
Texte extrait tel quel de la pièce officielle, qui seule fait foi. La mise en page du document d'origine peut différer.