Acte d'engagement
ANNEXE3alactedengagementRGPDaout2026.docx · 2 055 mots · du marché « Études pour la révision du plan local d'urbanisme (PLU) de Nîmes », dossier de consultation officiel.
ANNEXE N°__ A l’ACTE D’ENGAGEMENT RELATIVE AU REGLEMENT GENERAL SUR LA PROTECTION DES DONNEES PERSONNELLES (RGPD) VALANT CONTRAT ENTRE LE RESPONSABLE DE TRAITEMENT ET LE SOUS-TRAITANT VILLE DE NÎMES Définitions : « Données Personnelles » : désigne toute information concernant une personne physique identifiée ou identifiable ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. « Responsable de Traitement » : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre. « Sous-traitant » : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement. « Violation de Données », une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données. « Lois et Réglementations Applicables en matière de Données Personnelles » : désigne toutes les lois et réglementations en relation avec la protection des données à caractère personnel et la vie privée, et notamment la loi n° 78-17 relative à l’informatique, aux fichiers et aux libertés du 6 janvier 1978 modifiée et le Règlement européen n° 2016/679 du 27 avril 2016 dit « Règlement Général sur la Protection des Données » (RGPD) à compter de son entrée en application. Dans le cadre de leurs relations contractuelles, les Parties s’engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier, le règlement (UE) 2016/679 du 27 avril 2016 (ci-après, le « RGPD ») et la loi Informatique et Libertés du 6 janvier 1978 modifiée. I/ Objet du contrat : Les présentes clauses ont pour objet de définir les conditions dans lesquelles le sous-traitant s’engage à effectuer pour le compte du responsable de traitement les opérations de traitement de données à caractère personnel définies ci-après. Dans le cadre de leurs relations contractuelles, les parties s’engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier, le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 applicable à compter du 25 mai 2018 (ci-après,« le règlement européen sur la protection des données »). II/ Description du traitement faisant l’objet de la sous-traitance : Le sous-traitant est autorisé à traiter pour le compte du responsable de traitement les données à caractère personnel nécessaires pour fournir le ou les service(s) suivant(s) (à compléter par le métier). Objet du marché : FORMTEXT Révision du Plan Local d’Urbanisme de la ville de Nîmes Durée du traitement : FORMCHECKBOX Sur toute la durée du marché X FORMCHECKBOX Sur une durée différente : FORMTEXT La nature des opérations réalisées ou les types de traitement réalisés sur les données sont : FORMTEXT Analyse et traitement des différentes contributions et demandes des habitants. FORMTEXT FORMTEXT Le type de données à caractère personnel traitées sont : FORMTEXT Noms, prénoms et adresse des habitants lorsqu’ils ont sollicité la commune dans le cadre de cette révision FORMTEXT Date et lieu de naissance FORMTEXT Utilisation du cadastre et de la matrice cadastrale La ou les finalité(s) du traitement sont : FORMTEXT La proposition de réponse et solution adaptée à faire valider par les élus. FORMTEXT Les catégories de personnes concernées sont : FORMTEXT L’ensemble des habitants de la ville de Nîmes potentiellement. FORMTEXT FORMTEXT Pour l’exécution du service objet du présent contrat, le responsable de traitement met à la disposition du sous-traitant les informations nécessaires suivantes : FORMTEXT données cadastrales, y compris les matrices, état civil des habitants, contributions et demandes des habitants. Les données personnelles seront mises à disposition comme suit : L'accès à la matrice cadastrale sera ouvert au prestataire via un système d'AD (active directory) pour un nombre de compte strictement nécessaire à la réalisation des missions induites par le marché. L'utilisation de cette matrice par le prestataire doit être strictement limitée aux seules finalités énoncées ci-dessus. Tout usage outrepassant ces finalités engage la responsabilité du prestataire. Une fois la durée du marché arrivée à terme, les droits AD seront retirés sans délai. III/ Obligations du sous-traitant vis-à-vis du responsable de traitement : Le sous-traitant s'engage à : Traiter les données uniquement pour la ou les seule(s) finalité(s) qui fait/font l’objet de la sous-traitance Traiter les données conformément aux instructions figurant dans les pièces du contrat. Si le sous-traitant considère qu’une instruction constitue une violation du règlement européen sur la protection des données ou de toute autre disposition du droit de l’Union ou du droit des Etats membres relative à la protection des données, il en informe immédiatement le responsable de traitement. En outre, si le sous-traitant est tenu de procéder à un transfert de données vers un pays tiers ou à une organisation internationale, en vertu du droit de l’Union ou du droit de l’Etat membre auquel il est soumis, il doit informer le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public Veiller à ce que les personnes autorisées à traiter les données à caractère personnel en vertu du présent contrat : S’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité Reçoivent la formation nécessaire en matière de protection des données à caractère personnel Prendre en compte, s’agissant de ses outils, produits, applications ou services, toutes les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque En cas de recrutement de sous-traitants ultérieurs, le sous-traitant doit recueillir l’autorisation écrite, préalable et spécifique du responsable de traitement. Le sous-traitant ultérieur est tenu de respecter les obligations du présent contrat pour le compte et selon les instructions du responsable de traitement. Il appartient au sous-traitant initial de s’assurer que le sous-traitant ultérieur présente les mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le traitement réponde aux exigences du règlement européen sur la protection des données. Si le sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable de traitement de l’exécution par l’autre sous-traitant de ses obligations. Mettre à la disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect de ses obligations et pour permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer à ces audits Tenir compte de la nature du traitement, aider le responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d'exercer leurs droits en la matière IV/ Obligations du responsable de traitement vis-à-vis du sous-traitant : Le responsable de traitement s’engage à : Fournir au sous-traitant les données visées au II des présentes clauses Documenter par écrit toute instruction concernant le traitement des données par le sous-traitant Veiller, au préalable et pendant toute la durée du traitement, au respect des obligations prévues par le règlement européen sur la protection des données de la part du sous-traitant Superviser le traitement, y compris réaliser les audits et les inspections réalisés à titre gratuit auprès du sous-traitant V/Exercice des droits des personnes Le responsable du traitement prend des mesures appropriées pour fournir toute information lorsque des données à caractère personnel sont collectées auprès de la personne concernée ou non concernée, ainsi que pour procéder à toute communication au titre du droit d’accès de la personne concernée comprenant notamment son droit de rectification, à l’effacement, à la limitation du traitement ainsi qu’en cas d’une violation, d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l'identité de la personne concernée soit démontrée par d'autres moyens. VI/Notification des violations de données à caractère personnel Le sous-traitant notifie au responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance et par courrier électronique à l’adresse suivante : dpd@ville-nimes.fr. Cette notification est accompagnée de toute documentation utile afin de permettre au responsable de traitement, si nécessaire, de notifier cette violation à l’autorité de contrôle compétente. VII/Mesures de sécurité Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le sous-traitant s’engage à décrire dans un mémoire technique les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins : la pseudonymisation et le chiffrement des données à caractère personnel; des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement; des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique; une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. Lors de l'évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l'altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou de l'accès non autorisé à de telles données, de manière accidentelle ou illicite. L'application d'un code de conduite ou d'un mécanisme de certification approuvé peut servir d'élément pour démontrer le respect des exigences de sécurité susvisées Le responsable du traitement et le sous-traitant prennent des mesures afin de garantir que toute personne physique agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne les traite pas, excepté sur instruction du responsable du traitement, à moins d'y être obligée par le droit de l'Union ou le droit d'un État membre. VIII/Sort des données Dans un délai de 2 mois au terme de la durée de traitement indiquée à l’article 2 ci-avant, le sous-traitant s’engage à : FORMCHECKBOX Détruire toutes les données à caractère personnel et prouver cette destruction ; FORMCHECKBOX X Renvoyer toutes les données à caractère personnel à l’acheteur public, et prouver la destruction des données dans le système du sous-traitant en cas de copie. IX/Délégué à la protection des données Le sous-traitant communique au responsable de traitement le nom et les coordonnées de son délégué à la protection des données, s’il en a désigné un conformément à l’article 37 du règlement européen sur la protection des données. X/Registre des catégories d’activités de traitement Le sous-traitant déclare tenir par écrit un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable de traitement comprenant les mentions prévues à l’article 30 du règlement sur la protection des données. XI/Documentation Le sous-traitant met à la disposition du responsable de traitement la documentation nécessaire pour démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer à ces audits.
Texte extrait tel quel de la pièce officielle, qui seule fait foi. La mise en page du document d'origine peut différer.