Annexe
2026-037 - CONTRAT MOE - ANNEXE 4 -RGPD.docx · 3 947 mots · du marché « Prestations de maîtrise d'œuvre, pilotage, contrôle et diagnostic amiante pour la réhabilitation de la résidence… », dossier de consultation officiel.
ANNEXE 4 : PROTECTION DES DONNES A CARACTERE PERSONNEL Article 1 : Objet de l’annexe La présente annexe vise à préciser les conditions et modalités selon lesquelles ENEAL en qualité de Responsable Traitement confie au Sous-Traitant, les opérations de Traitement de Données à Caractère Personnel détaillées dans l’annexe A « Description des Traitements de Données à Caractère Personnel ». Le Sous-Traitant reconnaît et accepte qu’il ne peut traiter les Données à Caractère Personnel que conformément aux présentes. Elle fixe les obligations des parties entre elles et vis-à-vis des personnes physiques dont les données personnelles sont traitées. Elle garantit la protection des données personnelles qui feront l’objet de communication entre les parties et plus généralement le respect des règles découlant de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés. Cette annexe et ses annexes A et B font parties intégrantes du marché concernant Le contrat de maitrise d’œuvre pour la réhabilitation de l’EHPAD « La Maison de Fontaudin » de 96 chambres, locaux communs et techniques situé à PESSAC. Article 2 : Définitions Les termes commençant par une majuscule ont la signification qui leur est attribuée ci-après, qu’ils soient exprimés au singulier, au pluriel, sous forme de verbe, de nom ou autre, à l’exception des termes prenant toujours une majuscule. Autorité de contrôle : L’autorité publique indépendante instituée par un Etat Membre en charge de surveille l’application des Règlementations Informatique et Libertés, afin de protéger les libertés et droits fondamentaux des personnes physiques à l’égard des Traitements et de faciliter le libre flux des Données à Caractère Personnel au sein de l’Union Européenne. En France, l’Autorité de contrôle est la Cnil. Données à Caractère Personnel : Toute information se rapportant à une personne physique identifiée ou identifiable au sens de la Règlementation Informatique et Libertés Le Sous-traitant s’interdit tout traitement, exploitation de ces données pour des finalités qui lui seraient propres ou pour le compte d’un tiers. Etat Membre : Etat membre de l’Union Européenne. Personne concernée : Une personne physique identifiée ou identifiable, étant entendu qu’est réputée être une personne physique identifiable, une personne physique qui peut être identifiée directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. Règlementation Informatique et Libertés : Les règlementations applicables à la protection des Données à Caractère Personnel compte tenu des Traitements confiés par le Client au Sous-Traitant, y compris le Règlement Général sur la Protection des Données UE 2016/679. L’ensemble des Données à Caractère Personnel est soumis au respect de la règlementation applicable en France et dans l’Union européenne dans le domaine de la protection des Données à Caractère Personnel, incluant notamment : la loi relative à l’informatique, aux fichiers et aux libertés n° 78-17 du 6 janvier 1978 modifiée et ses éventuelles mises à jour ; le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (règlement général sur la protection des données) ; le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l’usage du numéro d’inscription au répertoire national d’identification des personnes physiques ou nécessitant la consultation de ce répertoire l’ordonnance n°2018-1125 du 12 décembre 2018 portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel ; le décret n°2019-536 du 29 mai 2019 ; le cas échéant, les textes adoptés au sein de l’Union européenne et les lois locales susceptibles de s’appliquer aux Données à Caractère Personnel traitées dans le cadre du marché n°[A compléter] ; les textes et décisions émanant d’autorités de contrôle, notamment de la Commission nationale de l’Informatique et des libertés (Cnil). Responsable de Traitement : La personne physique ou morale, qui détermine les finalités et les moyens des Traitements. Sous-Traitant : personne morale à qui le Responsable de Traitement confie des opérations de Traitements pour son propre compte. Sous-Traitant Ultérieur : La personne physique ou morale, l’autorité publique, le service ou un autre organisme à qui le Sous-Traitant confie des opérations de Traitements des Données à Caractère Personnel et ce, au nom et pour le compte du Responsable de Traitement. Traitement : Toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des Données ou des ensembles de Données à Caractère Personnel. Violation de Données : Une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données à Caractère Personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données. L’ensemble des mots non-définis ci-dessus ont le sens qui leur est donné par le Règlement (UE) 2016/679. Article 3 : Obligations du Sous-Traitant Sans préjudice des autres obligations spécifiées au sein des présentes, le Sous-Traitant s’engage à prendre toutes les mesures utiles et/ou nécessaires au respect par lui-même et par son personnel de ses obligations et notamment à : ne pas traiter et consulter les Données à Caractère Personnel à d’autres fins que l’exécution des prestations décrites à l’annexe A « Description des Traitements de Données à Caractère Personnel » ; en particulier ne pas effectuer d’études statistiques qui ne seraient pas demandées par le Responsable de Traitement ; veiller à ce que les personnes autorisées à traiter les Données à Caractère Personnel soient soumises à un engagement de confidentialité et soient sensibilisées à la protection des Données à Caractère Personnel ; s’interdire de traiter les données dans des conditions et selon des modalités différentes de celles définies à l’annexe A « Description des Traitements de Données à Caractère Personnel » ; présenter toutes les garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées pour assurer la sécurité et la confidentialité des Données à Caractère Personnel ; limiter l’accès aux Données à Caractère Personnel aux seules personnes en ayant besoin et pour les seuls besoins strictement nécessaires au Traitement prévu par les présentes ; ne pas prendre copie ou stocker, quelles qu’en soient la forme et la finalité, tout ou partie des informations ou données contenues sur les supports ou documents qui lui ont été confiés ou recueillies par lui au cours de l’exécution du marché, en dehors des cas couverts par les présentes ; ne pas divulguer, sous quelque forme que ce soit, tout ou partie des Données à Caractère Personnel traitées pour le compte du Responsable de Traitement ; Si le Sous-Traitant agit en dehors des instructions communiquées par le Responsable de Traitement, il sera seul responsable de tout fait dommageable dont il pourrait être à l’origine. Le Sous-Traitant s’engage également à : mettre à la disposition du Responsable de traitement toutes les informations nécessaires pour lui permettre de démontrer le respect des obligations prévues au sein de la présente annexe et le respect de la Règlementation Informatique et Libertés ainsi que pour permettre la réalisation d’audits, y compris des inspections, par le Responsable de traitement ou un autre auditeur qu’il a mandaté ; aider le Responsable de Traitement à garantir le respect des obligations prévues au sein du Règlement 2016/679 relativement à la sécurité des Traitements, à la notification de l’Autorité de Contrôle d’une Violation de Données à Caractère Personnel, à la communication à la Personne Concernée d’une telle violation, à la conduite de toute analyse d’impact relative à leur protection et toute consultation préalable qui serait nécessaire auprès de l’Autorité de Contrôle à cet effet, sans aucun coût supplémentaire pour le Responsable de Traitement. Article 4 : Clause d’amarrage Toute entité qui n’est pas partie aux présentes peut, avec l’accord de toutes les parties, y adhérer à tout moment, en qualité soit de responsable du traitement soit de sous-traitant, en complétant les annexes et les signant. Une fois ces-dites annexes complétées et signées, l’entité adhérente est considérée comme une partie aux présentes clauses et jouit des droits et est soumise aux obligations d’un responsable du traitement ou d’un sous-traitant. Les présentes clauses ne créent pour la partie adhérente aucun droit ni aucune obligation pour la période précédant l’adhésion. Il sera dénommé Responsable de Traitement ou Sous-traitant au sens des présentes en fonction du rôle déterminé. Article 5 : Obligations du Responsable de Traitement Sans préjudice des autres obligations spécifiées au sein des présentes le Responsable de Traitement s’engage à : donner accès aux Données à Caractère Personnel visées à l’annexe A « Description des Traitements de Données à Caractère Personnel » ; documenter par écrit les instructions concernant les Traitements détaillés dans l’annexe A « Description des Traitements de Données à Caractère Personnel » quand elles ne ressortent pas directement des engagements contractuels ; superviser les Traitements, le cas échéant en réalisant des audits et les inspections auprès du Sous-Traitant. Article 6 : Recrutement d’un Sous-Traitant Ultérieur Le Titulaire a l’interdiction de communiquer à des tiers sous quelque forme que ce soit, les données qui lui sont transmises ou de les utiliser à un autre usage. A ce titre, si le Sous-traitant sous-traite l’exécution des prestations à un Sous-traitant ultérieur, il doit en informer le Responsable de traitement. Les Sous-traitants ultérieurs ne peuvent traiter les données du Responsable de traitement qu’en vertu d’un contrat de sous-traitance. Le contrat de sous-traitance imposera aux Sous-traitants ultérieurs des conditions de traitement liées à la protection des données qui ne seront pas moins protectrices que celles imposées au Sous-traitant par les présentes. Le Sous-traitant restera seul responsable vis-à-vis du Responsable de traitement de l’exécution de ses obligations contractuelles résultant de la présente clause. Le Sous-traitant devra demander expressément l’accord préalable du Responsable de traitement en cas de traitement des données qui lui ont été confiées en dehors des pays membres de l’Espace Economique Européen et des pays tiers reconnus par la Commission européenne comme assurant un niveau de protection adéquat. Article 7 : Droit des Personnes concernées Le Sous-Traitant s’engage à aider le Responsable de Traitement à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des Personnes concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation des Traitements, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage). Lorsque les Personnes concernées exercent auprès du Sous-Traitant des demandes d’exercice de leurs droits, le Sous-Traitant s’engage à ne pas y répondre directement et à adresser ces demandes, sans délai, au Responsable de Traitement dès réception par courrier électronique à l’adresse suivante : dpo@eneal.fr. Le Sous-Traitant s’engage à coopérer avec le Responsable de Traitement pour lui permettre de répondre aux demandes des Personnes concernées. Article 8 : Notification des violations de Données Le Sous-Traitant notifie au Responsable de Traitement toute Violation de Données à Caractère Personnel sans délai, et au plus tard dans les 48 heures après en avoir pris connaissance, à l’adresse suivante : dpo@eneal.fr. Cette notification devra comprendre les informations ci-après : la description et la nature de la Violation de Données à Caractère Personnel, y compris, si cela est possible, les catégories et le nombre approximatif des Personnes concernées par la Violation et les catégories et le nombre approximatif de Données à Caractère personnel concernées ; la description des conséquences probables de la Violation de Données à Caractère Personnel ; la description des mesures prises ou proposées pour remédier aux éventuelles conséquences négatives de la Violation de Données de Données à Caractère Personnel. Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, une notification initiale contient les informations disponibles et les informations complémentaires seront fournies dès qu’elles deviennent disponibles, sans retard injustifié. Cette notification est accompagnée de toute documentation utile afin de permettre au Responsable de Traitement si nécessaire de notifier la Violation de Données à Caractère Personnel à l’Autorité de Contrôle compétente et d’en informer les Personnes concernées le cas échéant. Le Sous-Traitant s’engage à collaborer activement et de bonne foi avec le Responsable de Traitement pour qu’il soit en mesure de répondre à ses obligations réglementaires et contractuelles. Il revient uniquement au Responsable de Traitement, de notifier cette violation de Données à Caractère Personnel à l’Autorité de contrôle compétente ainsi que, le cas échéant, à la personne concernée. Article 9 : Sécurité et confidentialité Chacune des Parties s’engage conformément à la règlementation sur la protection des données, à prendre toutes précautions utiles au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données des fichiers et notamment empêcher toute déformation, altération, endommagement, destruction de manière fortuite ou illicite, perte, divulgation et/ou tout accès par des tiers non autorisés préalablement. Le Sous-Traitant s’engage à mettre en œuvre toutes mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel, en prenant en compte l’état des connaissances, les coûts de mise en œuvre et la nature, portée, contexte et les finalités du traitement ainsi que les risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, afin de garantir un niveau de sécurité adapté au risque. Les mesures de sécurité mises en œuvre par le Sous-Traitant sont conformes aux règles de l’art. Le Sous-Traitant s’engage à maintenir ces mesures de sécurité mises en œuvre tout au long de l’exécution du Contrat et à défaut, à en informer immédiatement le Responsable de traitement. En tout état de cause, le Sous-Traitant s’engage en cas de changement des mesures visant à assurer la sécurité et la confidentialité des données et des fichiers, à les remplacer par des mesures d’une performance supérieure. Aucune évolution ne pourra conduire à une régression du niveau de sécurité. Le Sous-Traitant s’engage également à prendre toutes les mesures nécessaires au respect par lui-même et par son personnel de ces obligations et notamment à : ne pas traiter, consulter les données ou les fichiers contenus à d’autres fins que l’exécution des prestations qu’il effectue pour le Responsable de Traitement ; ne traiter, consulter les données que dans le cadre des instructions et de l’autorisation reçues du Responsable de Traitement ; prendre toutes précautions utiles afin de préserver la sécurité des données, et notamment, empêcher qu’elles ne soient déformées, endommagées, et empêcher tout accès qui ne serait pas préalablement autorisé par le Responsable de Traitement; à prendre toute mesure permettant d’empêcher toute utilisation détournée, malveillante ou frauduleuse des données et des fichiers ; s’interdire la consultation, le traitement de données autres que celles concernées par les présentes et ce, même si l’accès à ces données est techniquement possible ; d’assurer les sauvegardes et l’archivage des données traitées. Par ailleurs, le Sous-Traitant s’interdit de divulguer, sous quelque forme que ce soit, tout ou partie des données transmises. Le Sous-Traitant n’accorde aux membres de son personnel l’accès aux données que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi du contrat. Le Sous-Traitant garantit au Responsable de Traitement que les personnes autorisées qui traitent les Données à Caractère Personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. Article 10 : Audits et vérifications Le Sous-Traitant met à disposition du Responsable de Traitement la documentation nécessaire pour démontrer le respect des obligations prévues aux présentes et de manière générale par la Règlementation Informatique et Libertés dans un délai de trente (30) jours à compter de la demande. Le Responsable de Traitement se réserve le droit d’effectuer tout au long de l’exécution du marché et à sa seule discrétion, toutes vérifications qui lui paraissent utiles et notamment en procédant à un audit pour constater le respect par le Sous-Traitant ou par ses Sous-Traitants Ultérieurs des obligations issues des présentes. Le Sous-Traitant s’engage à répondre aux demandes d’audit du Responsable de Traitement effectuées par lui-même ou par un tiers. En outre, l’audit ne devra pas interférer avec la capacité du Sous-Traitant à exécuter ses prestations et obligations en conformité avec le marché, ou à assurer l’exercice normal de ses activités. En cas de suspicion de faille de sécurité ou de faille de sécurité avérée, l’audit pourra néanmoins être réalisé par le Responsable de Traitement sans préavis. Article 11 : Coopération Le Sous-Traitant s’engage à coopérer avec le Responsable de Traitement sans qu’une quelconque rémunération complémentaire ne puisse être réclamée par le Sous-Traitant à ce titre, afin de permettre : la gestion des demandes des Personnes concernées par les Traitements tendant à l’exercice de leurs droits. Si une personne concernée devait contacter directement le Sous-Traitant pour exercer ses droits, le Sous-Traitant communiquera au Responsable de Traitement dans un délai de 72 heures maximum les demandes qui lui seront parvenues. Le Sous-Traitant ne pourra répondre à la demande d’une Personne concernée que sur instruction du Responsable de Traitement ; plus généralement, le respect des obligations pesant sur le Responsable de Traitement au regard de la Réglementation Informatique et libertés, telles que notamment ses obligations de sécurité du traitement, de notification à l’Autorité de Contrôle et de communication d’une Violation de données aux Personnes concernées. En cas de contrôle d’une Autorité de Contrôle, les Parties s’engagent à coopérer entre elles et avec l’Autorité de Contrôle. Chaque partie s’engage à apporter son assistance à l’autre en cas de procédure initiée par une autorité de contrôle ou une personne concernée, en lui remettant tous les documents nécessaires. Dans le cas où le contrôle mené chez le Sous-Traitant ne concernerait que les Traitements mis en œuvre par le Sous-Traitant pour son propre compte, (en tant que responsable du traitement), le Sous-Traitant fera son affaire du contrôle et s’interdira de communiquer ou de faire état des Données à Caractère Personnel du Responsable de Traitement au titre des présentes. Dans le cas où le contrôle mené chez le Sous-traitant concernerait les Traitements mis en œuvre pour le compte du Responsable de Traitement, le Sous-Traitant s’engage à en informer le Responsable de Traitement et à ne prendre aucun engagement pour lui. En cas de contrôle d’une autorité chez le Responsable de Traitement portant notamment sur les prestations et services délivrées par le Sous-Traitant au titre des présentes, le Sous-Traitant s’engage à coopérer avec le Responsable de Traitement et à lui fournir toute information dont ce dernier pourrait avoir besoin ou qui s’avèrerait nécessaire. Article 12 : Transfert des données hors Union Européenne Le Sous-Traitant s’engage à ne pas procéder à un Transfert de Données à Caractère Personnel hors Union Européenne, sans l’accord écrit et préalable du Responsable de Traitement. En cas d’accord écrit du Responsable de Traitement à un tel transfert et que ce transfert a lieu vers un pays n’offrant pas un niveau suffisant de protection des Données à Caractère Personnel selon la Commission Européenne, le Sous-Traitant aura l’obligation, préalablement à tout transfert, de mettre en place l’encadrement exigé au regard des conditions du transfert par la signature des éléments contractuels et le cas échéant la mise en place de garanties supplémentaires de protection lorsque les conditions du transfert en requiert. En l’absence de ces mesures, le Sous-Traitant ne peut procéder au transfert envisagé. Le Sous-Traitant a la charge de conduire l’évaluation des conditions du transfert et d’en communiquer les résultats au Responsable de Traitement avant la mise en œuvre du transfert. Le Sous-Traitant s’assure qu’aucune Donnée à Caractère Personnel ne soit transférée hors de l’Union Européenne par ses propres sous-traitants (Sous-Traitants Ultérieurs), les personnes agissant sous son autorité ou pour son compte sans l’accord du Responsable de Traitement. Article 13 : Conservation des données Sans préjudice des éventuelles conditions spécifiques de réversibilité ou de restitution des données figurant au marché, les Parties conviennent, qu’au terme du marché, et sauf disposition impérative contraire résultant du droit communautaire ou du droit d’un Etat membre de l’Union européenne applicable aux Traitements objets des présentes, le Sous-Traitant s’engage à détruire tous fichiers manuels ou informatisés stockant les Données à Caractère Personnel traitées pour le compte du Responsable de Traitement, après s’être assuré auprès de ce dernier qu’il dispose bien de ces informations. Dans l’hypothèse où le droit communautaire ou le droit d’un Etat membre exigerait la conservation des Données à Caractère Personnel, le Sous-Traitant informera le Responsable de Traitement de cette obligation. Le Sous-Traitant s’engage à fournir à la demande du Responsable de Traitement, un certificat de suppression des données à caractère personnel. Article 14 : Délégué à la protection des données Le Sous-Traitant communique au Responsable de Traitement le nom et les coordonnées de son délégué à la protection des données, s’il en a désigné un. Article 15 : Traitement de données par le Sous-traitant en dehors des instructions du Responsable de traitement Dans le cadre des présentes, le Sous-Traitant a l’interdiction d’exploiter les données pour son propre compte. Article 16 : Fin du Traitement Dans le cas où le Sous-Traitant manque aux obligations qui lui incombent en vertu des présentes clauses, le Responsable de Traitement peut lui demander de suspendre temporairement le Traitement des Données à Caractère Personnel jusqu’à ce qu’il se conforme aux présentes clauses ou que le marché prenne fin. Le Sous-Traitant informe sans délai le Responsable de Traitement s’il n’est pas en mesure de respecter les présentes clauses, pour quelque raison que ce soit. Article 17 : Evolution L’annexe A « Description des Traitements de Données à Caractère Personnel » pourra faire l’objet d’une mise à jour par le Responsable de Traitement, tout en demeurant conforme aux pièces du marché. En cas de contradiction entre la nouvelle version de cette annexe et la version initiale, la dernière annexe notifiée par le Responsable de Traitement prévaudra. Annexe A : Description des Traitements de Données à Caractère Personnel THEME DESCRIPTION Nature du traitement Maitrise d’œuvre pour la réhabilitation de la résidence autonomie « L’OREE DU PARC » Lot n°1 Marché de maîtrise d’œuvre Finalités du traitement Exécution du contrat Catégories de Personnes concernées Salariés du prestataire Description des catégories de données à caractère personnel traitées Catégories de données Détail des données Données d’identification (ex : nom, prénom, date de naissance, adresse mail, numéro de téléphone, adresse postale, matricule, cookies, etc.) Données relatives à la situation familiales (nombre d’enfants, situation maritale...) Données de connexion (ex : adresse IP, logs, etc.) Données de localisation (ex : GPS, trajets, etc.) Données relatives aux comptes utilisateurs Données économiques et financières : (RIB, données de transactions...) Données "sensibles" : numéro de sécurité sociale, données biométriques (ex : rétine, empreinte digitale, reconnaissance faciale, veines de la paume, etc.), catégories particulières de données (origine ethnique, croyances religieuses, opinion politique, opinion syndicale, données de santé, orientation sexuelle), données relatives à des infractions. Autre : Durée du traitement 4 ans Transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale Pays Garanties appropriées mises en place pour encadrer le transfert de données (par exemple clauses contractuelles types, règles d’entreprises contraignantes, privacy shield…) Annexe B : Liste des sous-traitants ultérieurs Les sous-traitants autorisés dès la signature de la présente annexe sont les suivants : Nom du sous-traitant Opération de traitement Localisation XXXXXX En France Au sein de l’UE, à savoir __________________________________________ Au sein d’un pays reconnu par la CNIL comme offrant un niveau de protection équivalent (pays équivalent), à savoir ______________________________ XXXXXX En France Au sein de l’UE, à savoir __________________________________________ Au sein d’un pays reconnu par la CNIL comme offrant un niveau de protection équivalent (pays équivalent), à savoir ______________________________ XXXXXX En France Au sein de l’UE, à savoir __________________________________________ Au sein d’un pays reconnu par la CNIL comme offrant un niveau de protection équivalent (pays équivalent), à savoir ______________________________
Texte extrait tel quel de la pièce officielle, qui seule fait foi. La mise en page du document d'origine peut différer.