Annexe
2026-05_ANNEXE_RGPD.pdf · 1 084 mots · du marché « Assistance complète pour les démarches foncières du projet de protection contre les inondations de la plaine de… », dossier de consultation officiel.
DOSSIER DE
CONSULTATION DES
ENTREPRISES
Mission d’assistance foncière pour le
projet de protection contre les inondations
de la plaine de Chautagne
Annexes RGPD : règles applicables au
traitement des données à caractère personnel
NUMERO DE L'ACCORD CADRE : 2026-05
SOMMAIRE
1 DESCRIPTION DU TRAITEMENT DE DONNEES CONFIE AU TITULAIRE ............. 3
2 OBLIGATIONS DU TITULAIRE VIS-A-VIS DU POUVOIR ADJUDICATEUR ............ 3
3 SORT DES DONNEES...................................................................................... 5
4 DISPOSITIONS APPLICABLES EN CAS DE SOUS-TRAITANCE............................. 5
2
1 DESCRIPTION DU TRAITEMENT DE DONNEES CONFIE AU
TITULAIRE
• La nature des opérations réalisées sur les données.
• La finalité du traitement.
• Les données à caractère personnel traitées.
• Les catégories de personnes concernées.
• Les informations mises à disposition du titulaire par le pouvoir adjudicateur.
2 OBLIGATIONS DU TITULAIRE VIS-A-VIS DU POUVOIR
ADJUDICATEUR
Il est précisé que dans le cadre de cette règlementation, le pouvoir adjudicateur est qualifié de
responsable de traitement et le titulaire du marché a la qualification de sous-traitant. Néanmoins la
présente clause a été établie avec la terminologie classique pouvoir adjudicateur/titulaire/sous-
traitant. Le titulaire s'engage à :
• Traiter les données uniquement pour la ou les seule(s) finalité(s) qui fait/font l’objet du contrat
• Traiter les données conformément aux instructions documentées du pouvoir adjudicateur. Si
le titulaire considère qu’une instruction constitue une violation du règlement européen sur la
protection des données ou de toute autre disposition du droit de l’Union ou du droit des Etats
membres relative à la protection des données, il en informe immédiatement le pouvoir
adjudicateur. En outre, si le titulaire est tenu de procéder à un transfert de données vers un
pays tiers ou à une organisation internationale, en vertu du droit de l’Union ou du droit de
l’Etat membre auquel il est soumis, il doit informer le responsable du traitement de cette
obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information
pour des motifs importants d'intérêt public
• Garantir la confidentialité des données à caractère personnel traitées dans le cadre du présent
contrat
• Veiller à ce que les personnes autorisées à traiter les données à caractère personnel en vertu
du présent contrat :
o S’engagent à respecter la confidentialité ou soient soumises à une obligation légale
appropriée de confidentialité
o Reçoivent la formation nécessaire en matière de protection des données à caractère
personnel
• Prendre en compte, s’agissant de ses outils, produits, applications ou services, les principes de
protection des données dès la conception et de protection des données par défaut
• Aider, dans la mesure du possible, le pouvoir adjudicateur à s’acquitter de son obligation de
donner suite aux demandes d’exercice des droits des personnes concernées : droit d’accès, de
rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la
portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée
(y compris le profilage).
3
Lorsque les personnes concernées exercent auprès du titulaire des demandes d’exercice de leurs
droits, le titulaire doit adresser ces demandes dès réception par courrier électronique à
d.dumollard@haut-rhone.com
• Notifier au pouvoir adjudicateur toute violation de données à caractère personnel dans un
délai maximum de 48 heures après en avoir pris connaissance et par le moyen suivant : voie
électronique. Cette notification est accompagnée de toute documentation utile afin de
permettre au pouvoir adjudicateur, si nécessaire, de notifier cette violation à l’autorité de
contrôle compétente ainsi qu’aux personnes concernées.
• Aider le pouvoir adjudicateur pour la réalisation d’analyses d’impact relatives à la protection
des données.
• Aider le pouvoir adjudicateur pour la réalisation de la consultation préalable de l’autorité de
contrôle.
• Communiquer au pouvoir adjudicateur le nom et les coordonnées de son délégué à la
protection des données, s’il en a désigné un conformément à l’article 37 du règlement
européen sur la protection des données.
• Mettre à la disposition du pouvoir adjudicateur la documentation nécessaire pour démontrer
le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris des
inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et
contribuer à ces audits.
• Fournir, au moment de la collecte des données, aux personnes concernées par les opérations
de traitement l’information relative aux traitements de données qu’il réalise. La formulation
et le format de l’information doit être convenue avec le pouvoir adjudicateur avant la collecte
de données.
• Mettre en œuvre les mesures de sécurité suivantes :
o La pseudonymisation et le chiffrement des données à caractère personnel ;
o Les moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la
résilience constantes des systèmes et des services de traitement ;
o Les moyens permettant de rétablir la disponibilité des données à caractère personnel
et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou
technique ;
o Une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des
mesures techniques et organisationnelles pour assurer la sécurité du traitement.
• Tenir par écrit un registre de toutes les catégories d’activités de traitement effectuées
pour le compte du pouvoir adjudicateur comprenant :
o Le nom et les coordonnées du pouvoir adjudicateur pour le compte duquel il agit, des
éventuels sous-traitants et, le cas échéant, du délégué à la protection des données
o Les catégories de traitements effectués pour le compte du responsable du traitement
4
o Le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à
une organisation internationale, y compris l'identification de ce pays tiers ou de cette
organisation internationale et, dans le cas des transferts visés à l'article 49, paragraphe
1, deuxième alinéa du règlement européen sur la protection des données, les
documents attestant de l'existence de garanties appropriées
o Dans la mesure du possible, une description générale des mesures de sécurité
techniques et organisationnelles
3 SORT DES DONNEES
Au terme de la prestation de services relatifs au traitement de ces données, le titulaire s’engage à :
• Renvoyer toutes les données à caractère personnel au pouvoir adjudicateur.
Le renvoi doit s’accompagner de la destruction de toutes les copies existantes dans les systèmes
d’information du titulaire. Une fois détruites, le titulaire doit justifier par écrit de la destruction.
4 DISPOSITIONS APPLICABLES EN CAS DE SOUS-TRAITANCE
Le pouvoir adjudicateur autorise une sous-traitance des prestations confiées au titulaire relatives au
traitement des données.
La déclaration de sous-traitance identifie les missions confiées à cet égard au sous-traitant.
Le titulaire devra dès lors communiquer au sous-traitant les dispositions contractuelles relatives au
traitement des données en vue de son respect par ce dernier.
5
Texte extrait tel quel de la pièce officielle, qui seule fait foi. La mise en page du document d'origine peut différer.