unknown - Communauté de communes - Roumois Seine - cc 095 2026 de 1 1 2 tampon

Documents similaires

unknown - Communauté de communes - Roumois Seine - cc 059 20

unknown - Communauté de communes - Roumois Seine - cc 188 20

unknown - Communauté de communes - Roumois Seine - cc 095 20

unknown - Communauté de communes - Roumois Seine - cc 051 20

unknown - Communauté de communes - Roumois Seine - cc 096 20

unknown - Communauté de communes - Roumois Seine - cc 201 20

unknown - Communauté de communes - Roumois Seine - cc 094 20

unknown - Communauté de communes - Roumois Seine - cc 179 20

unknown - Communauté de communes - Roumois Seine - cc 170 20

unknown - Communauté de communes - Roumois Seine - cc 171 20

unknown - Communauté de communes - Roumois Seine - cc 095 2026 de 1 1 2 tampon Document publié le Jeudi 1 janvier 2026 Lien du pdf (unknown - Communauté de communes - Roumois Seine - cc 095 2026 de 1 1 2 tampon)Thèmes du document : Données personnelles, Cybersécurité, Industrie, CONVENTION ENC SAD 2026 Page 1 sur 12

CONVENTION ENC SAD 2026

RELATIVE A L’ETUDE NATIONALE DE COUTS PORTANT SUR LES SERVICES AUTONOMIE A DOMICILE

Entre

d’une part,

l’Agence Technique de l’Information sur l’Hospitalisation,

représentée par sa Directrice générale Madame Nathalie Fourcade

désignée par le terme « l’ATIH »

et, d’autre part,

Communauté de communes Roumois Seine / 270011471 / 20006640500123

représenté(e) par son représentant légal Monsieur / Madame ..................................................... désigné(e) par le terme « le service »,

vu le règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données (RGPD),

vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée,

vu l’autorisation de la Commission nationale de l’informatique et des libertés relative au traitement de données à caractère personnel ayant pour finalité l’étude nationale de coûts dans les services à domicile,

vu la délibération n°11 du Conseil d’administration de l’Agence Technique de l’Information sur l’Hospitalisation du 16 décembre 2025,

Il est convenu ce qui suit :

CONTEXTE

La réalisation de l’étude nationale de coûts portant sur les Services Autonomie à Domicile vise à :

 Collecter des données détaillées sur les activités des SAD, dans le but d’enrichir la connaissance du secteur et de mieux appréhender son hétérogénéité et ses enjeux ;

 Produire un référentiel de coûts en euros par usager, avec une décomposition de ces coûts par grand postes de dépenses ;

 Permettre une connaissance approfondie de la formation des coûts dans les SAD afin notamment de qualifier et quantifier les écarts de coûts inter et intra sectoriels ;

 Éclairer les futures politiques de financement des services autonomie à domicile.

27/05/2026CONVENTION ENC SAD 2026 Page 2 sur 12

La réalisation de cette mission, portant sur les Services Autonomie à Domicile (SAD), a été confiée à l’ATIH par la Direction Générale de la Cohésion Sociale (DGCS) et la Caisse Nationale de Solidarité pour l'Autonomie (CNSA), co-responsables du traitement, conformément aux dispositions de l’article L313-1-3 du Code de l’Action Sociale et des Familles (CASF). Les services participants ont été sélectionnés à la suite d’un appel à candidature.

Article 1er : Objet de la convention

L’objet de la convention est de fixer les conditions de la participation du service à l’ENC SAD 2026.

Cette convention décrit les modalités d’organisation et de financement de cette étude.

Le service s’engage à fournir à l’ATIH des données d’activité, collectées pendant une période de coupe de deux semaines, incluant à la fois des informations relatives aux usagers et un relevé des temps d’intervention des professionnels, ainsi que des données de comptabilité analytique basées sur le dernier exercice comptable clos et respectant les règles décrites dans le « Guide méthodologique ENC SAD » mentionné au point 1 de l’annexe 1.

Article 2 : Obligations des parties

Les obligations des parties résultent de la présente convention, de son annexe 1 qui décrit les modalités d'organisation de l’étude nationale de coûts SAD (la nature des informations à transmettre, le calendrier de transmission de ces informations, la désignation du représentant de l’ATIH chargé de la supervision et la désignation des correspondants de l’étude au sein du service) et de son annexe 2 relative à la protection des données personnelles.

 Le service s’engage à :

 Mettre en œuvre les moyens humains et techniques nécessaires à la réalisation de l’étude, en renforçant - le cas échéant - les équipes existantes. En particulier, compte tenu d’une période de correction d’éventuelles erreurs décelées par le superviseur après la première validation des données sur la plateforme e-SAD, ces moyens doivent lui permettre de respecter les échéances;

 Pour les données de coupe :

 la transmission et la validation des données doivent avoir lieu avant au plus tard 60 jours calendaires après la date de fin de coupe selon les périodes autorisées en début de campagne par l’ATIH,

 Pour les données de comptabilité analytique

 - la première validation des données, dont la qualité devra être suffisante pour permettre leur exploitation par le superviseur, doit avoir lieu au plus tard 30 jours calendaires après l’ouverture de la plateforme de transmission des données de comptabilité analytique,

 - la dernière validation des données doit avoir lieu au plus tard 60 jours calendaires après l’ouverture de la plateforme de transmission des données de comptabilité analytique

 Permettre à ses équipes opérationnelles de participer aux sessions d’information, théorique et pratique, organisées par l’ATIH ;

 Transmettre à l’ATIH l’ensemble des documents comptables avant la date de première validation ;

 Informer les usagers et/ou leurs tuteurs légaux et les intervenants sur la mise en œuvre de l’étude nationale de coûts objet de la présente convention dans les conditions précisées dans l’annexe 2.CONVENTION ENC SAD 2026 Page 3 sur 12

 L’ATIH s’engage à :

 Limiter la rediffusion des données aux seuls destinataires autorisés par la Cnil ;

 Communiquer au service les données qui lui sont propres issues des différents traitements prévus par l’étude.

Article 3 : Financement de la participation du service

En contrepartie des moyens engagés par le service pour produire les données, celui-ci perçoit un financement forfaitaire de 5 000 €, versé à la condition de :

- la signature de la présente convention

- la transmission complète de ses données d’activité et de comptabilité analytique sur la plateforme e-SAD dans les délais impartis ;

- la qualité des données transmises, qui doit être conforme à la méthodologie décrite dans le « Guide méthodologique de l’ENC SAD 2026 », mentionnée au point 1 de l’Annexe 1 de la présente convention. Cette conformité est évaluée par l’ATIH dans le cadre d’une réunion interne de validation (cf. point 5 de l’Annexe 1).

En tout état de cause, les versements ne peuvent avoir lieu que si la présente convention est retournée signée par le service.

En cas d’abandon du service ayant pour conséquence l’absence de transmission de l’ensemble des données attendues, aucune somme ne lui est versée au titre de sa participation à l’étude.

L’ATIH constate l’abandon du service dans les cas suivants :

 le service n’a pas transmis l’intégralité des données attendues dans le cadre de la méthodologie ENC SAD ; à savoir les données d’activité recueillies pendant la période de coupe ainsi que les données attendues de comptabilité analytique ;

 le service n’a pas effectué de validation finale au plus tard 120 jours calendaires après la date de fin de coupe pour la partie « données de coupe » et au plus tard 120 jours calendaires après l’ouverture de la plateforme pour la partie « comptabilité analytique » ;

 le service fait part de son abandon à l’ATIH par courriel et courrier envoyé avec accusé de réception en indiquant les motifs de cet abandon.

Article 4 : Protection des données personnelles

4.1 Données personnelles issues de la mise en œuvre de l’ENC SAD

L’étude constituant un traitement de données personnelles, les obligations de chacune des parties relatives à la mise en œuvre du traitement de données sont précisées à l’annexe 2 de la présente convention.

4.2 Autres données personnelles

En complément, le service est informé que des données personnelles dites de « contact » (noms, prénoms, numéro de téléphone, adresses électroniques) sont recueillies par l’ATIH. Ces données lui permettent d’interagir avec le service dans le cadre de la présente étude (lors du processus de sélection des établissements, de la conduite de l’étude, d’éventuels sondages de satisfaction…) ou d’une enquête ou étude analogue susceptible d’intéresser le service.CONVENTION ENC SAD 2026 Page 4 sur 12

L'ATIH en est le responsable de traitement agissant dans le cadre d’une mission d’intérêt public et légitime. Les informations sont également transmises au sous-traitant de l’ATIH en charge de la supervision de l’étude, voire à des tiers pour une mission d’intérêt public, la poursuite d’intérêts légitimes (à l’exception de toute prospection commerciale) ou répondre à des obligations légales.

Les informations sont conservées 3 ans à compter de la dernière interaction avec l’ATIH. Aucune donnée ne sera utilisée par le sous-traitant de l’ATIH au-delà de la fin de l’étude ni conservée, sauf obligation légale de conservation.

Les droits d'accès, de rectification, d’opposition, de limitation du traitement, d’effacement et de portabilité des données du personnel de l’établissement pourront être exercés par les personnes concernées auprès de l'ATIH par voie postale à l'ATIH - Secrétariat Général - 117 boulevard Vivier Merle - 69003 Lyon ou par courriel à donneespersonnelles@atih.sante.fr.

En cas de difficulté liée à la gestion des données les concernant, les personnes pourront adresser une réclamation auprès du délégué à la protection des données personnelles à donneespersonnelles@atih.sante.fr ou auprès de la CNIL ou de toute autorité compétente.

Article 5 : Date d’application et durée de la convention

Les stipulations de la présente convention et de ses annexes prennent effet à compter de la date de signature par les parties jusqu’à l’expiration de la durée de conservation des données.

La durée de conservation des données visée ci-dessus est fixée à 10 ans à compter du 31 décembre 2026.

Fait en deux exemplaires, le 28 avril 2026

L’ATIH,

représentée par

Madame la Directrice générale

de l’ATIH

Nathalie Fourcade

Le service,

représenté parCONVENTION ENC SAD 2026 Page 5 sur 12

Annexe 1 à la convention relative à l’étude Nationale de

Coûts Service Autonomie à Domicile (SAD)

1 - Nature des informations que le service doit fournir pour les besoins de l’étude

La méthodologie de l’étude est décrite dans le « Guide méthodologique ENC SAD » (accessible à partir du site web de l’ATIH : www.atih.sante.fr, rubrique Domaines d’activités / Information sur les coûts / ENC SAD).

La présente étude requiert des données relatives à l’activité, aux usagers et au personnel intervenant ainsi que des données de comptabilité analytique, à collecter en 2026.

Par ailleurs, à des fins de compléments sur certaines données, le service pourra être amenée à fournir au superviseur :

- le tableau d’affectation des personnels en ETP, par activité et par catégorie ; - le livret d’accueil ;

- le bilan social ;

- le compte administratif ;

- la balance de clôture des comptes de gestion ;

- le cas échéant, le compte de résultat et la balance détaillée des groupements de coopérations dont fait partie le service ;

- des informations sur l’organisation des transports ;

- le rapport d’activité annuel ;

- de la balance de sortie du budget principal ;

- de l’intégralité du compte financier (bilan actif / passif, compte de résultat principal et le cas échéant les comptes de résultats annexes) ;

tout autre document demandé par le superviseur dans le cadre de sa mission.

2 - Utilisation des outils de l’ATIH

Dans le cadre de l’ENC SAD, deux plateformes seront mises à disposition des services :

- RAMSECE-SAD pour la saisie des données par le service,

- e-SAD pour la transmission de ces données à l’ATIH.

Les services participants à l’ENC SAD seront accompagnés par l’ATIH pour l’utilisation de ces plateformes.

En début de campagne, le service sera informé des configurations techniques requises pour garantir le bon fonctionnement de RAMSECE-SAD et e-SAD.

Systèmes d’exploitation pris en charge (1) :

 Windows 10, Windows 11Windows Server 2016, Windows Server 2019, Windows Server 2022, Windows Server 2025 (1)

Liste des systèmes d’exploitation sur lesquels l’application a été testée.

Prérequis logiciels :

 Microsoft .NET Framework 4.8 (ou supérieur) :

http://www.microsoft.com/fr-fr/download/details.aspx?id=17718CONVENTION ENC SAD 2026 Page 6 sur 12

 Excel 2007 (ou supérieur)

 Lecteur de fichier PDF (Acrobat Reader ou autre)

 Navigateur Internet récent et à jour

L’ATIH s’engage à apporter au service l’assistance nécessaire pour toute question technique pendant la campagne.

Les droits d’auteur afférents aux plateformes RAMSECE-SAD et e-SAD appartiennent à l’ATIH. Toute reproduction, adaptation et distribution de ces plateformes doit faire l’objet d’une autorisation formelle écrite préalable de la part de l’ATIH.

3 - Mise en œuvre d'un dispositif de suivi de la qualité des données transmises

Le service doit respecter les règles énoncées dans le guide méthodologique. L'ATIH s'engage à apporter au service une assistance.

En outre, le service veille en particulier à :

- garantir la mise à disposition de l’information nécessaire et suffisante à la description de l’accompagnement de chaque usager ayant bénéficié d’un service pendant la période de coupe choisie,

- Assurer un recueil exhaustif du temps passé par chaque intervenant à réaliser des activités directement liées à l’accompagnement des personnes, en minutant l’ensemble des actions effectuées pendant la période de recueil.

Le service désigne un responsable de la validation des données transmises auquel l’administrateur principal de l’établissement (APE) attribue le rôle de « gestionnaire de fichiers » sur la plateforme sécurisée e-SAD via le système d’authentification PLAGE. Ce rôle est essentiel pour garantir la cohérence globale de l’information transmise.

Le responsable de la validation des données s’engage à analyser l’intégralité des tableaux de contrôles produits par la plateforme e-SAD puis, après une phase éventuelle de corrections, à valider les données du service.

Le processus qualité s’appuie par ailleurs sur la désignation par l’ATIH d’un superviseur pour chaque service. Le superviseur est chargé de :

 Contrôles préliminaires (définis par l’ATIH) permettant d’apprécier, l’aptitude du système d’information du service à répondre aux exigences de la méthodologie de l’ENC SAD ;

 L’accompagnement du service durant la phase de mise en place des conditions préalables aux travaux, en particulier en ce qui concerne le mode d’emploi des outils informatiques cités au point 2 ;

 L’assistance et du conseil au bénéfice du service dans la mise en œuvre de la méthodologie et dans la constitution des bases de données livrables ;

 La vérification des phases comptables, qui doivent être correctement réalisées par le service, dans le respect des règles du guide méthodologique ;

 L’évaluation de la cohérence des données de coût et d’activité résultant de l’application de la méthodologie, notamment au moyen des tableaux de contrôle créés sur la plateforme sécurisée e-SAD ;CONVENTION ENC SAD 2026 Page 7 sur 12

 Assurer les échanges avec les personnes chargées de l’étude dans le service afin d’une part de justifier les valeurs extrêmes et les données atypiques et d’autre part de vérifier la correction des erreurs détectées, cela jusqu’à la validation de l’ensemble des données par l’ATIH.

Le superviseur, représentant l’ATIH, peut se rendre sur site s’il le juge souhaitable pour l’amélioration de la qualité des données. In fine, il rédige un rapport de supervision. Dans le cas de non-transmission de données à l’ATIH, ou de transmission de données partielles, le rapport de supervision exposera les raisons de l’échec. Le service pourra faire valoir son point de vue en cas de désaccord avec le superviseur.

En cas de difficultés sérieuses et persistantes, l’ATIH peut procéder sur site à un audit du système d’information de l’établissement et de son processus de recueil des données.

4 - Calendrier des transmissions de logiciels et des traitements de données

L’ATIH ouvrira les deux plateformes RAMSECE-SAD et e-SAD au plus tard avant le début de la première coupe.

Il est demandé au service de respecter les deux échéances mentionnées à l’article 2 de la présente Convention.

En tant que de besoin, le service et le superviseur effectuent un travail conjoint d’amélioration de la qualité des données, selon un calendrier et une organisation dont ils ont l’entière maîtrise.

5 - Validation des données

Une commission de validation interne à l’ATIH, présidée par sa Directrice générale, examine les rapports de supervision reçus et peut demander aux services et/ou aux superviseurs des investigations complémentaires. Un examen plus approfondi des données transmises peut avoir lieu en cas de doute sur leur qualité, au regard de la méthodologie décrite dans le guide méthodologique. L’ATIH a pour mission d’évaluer la qualité des données transmises par le service et décide de la validation ultime ou du rejet définitif des données.

Si, in fine, l’ATIH constate que, compte tenu du non-respect par le service de la méthodologie décrite dans le « Guide méthodologique ENC SAD » ou de la réglementation comptable, ces données ne peuvent être exploitées pour l’étude, elle en informe le Directeur du service par courrier en lui précisant les motifs du rejet.

En cas de contestation, le représentant légal du service peut présenter ses observations par lettre envoyée à l’ATIH en recommandé avec accusé de réception dans un délai de 15 jours suivant la réception dudit courrier.

6 – Désignation du représentant de l’ATIH chargé de la supervision

Le service est informé au plus tard avant le début de la première coupe de l’identité du superviseur : la période de supervision commence donc à ce moment-là

7 – Désignation des correspondants de l'étudeCONVENTION ENC SAD 2026 Page 8 sur 12

Au sein de l’ATIH :

Mme Caroline REVELIN

Directrice COLLIGE - COLLecte des Informations de GEstion

Tél : 04 37 91 33 10

e-mail : caroline.revelin@atih.sante.fr

Mme REVELIN doit être contactée pour tout problème lié à l’ENC SAD qui ne relèverait pas directement du superviseur.

Au sein du service :

Pour sa part, le service désigne en son sein des correspondants chargés des différents domaines de l'étude et de sa coordination. Ces correspondants sont :

RESPONSABILITE

DANS L'ENC SAD NOM et PRENOM

FONCTION DANS

L’ETABLISSEMENT COORDONNEES

Représentant de la

Direction

Tél :

e-mail :

Chef de Projet ENC

SAD

Tél :

e-mail :

Délégué à la

protection des

données

Tél :

e-mail :

Interlocuteur

RAMSECE-SAD

Tél :

e-mail :

Interlocuteur e-SAD Tél : e-mail :

L'ATIH s'engage à informer le service de tout changement qui pourrait intervenir dans la désignation de son superviseur.

Le service s'engage à informer l’ATIH de tout changement qui pourrait intervenir dans la désignation de l’un de ses correspondants :

 en cours de campagne dans le module « contact » de la plateforme e-SAD ;  en amont ou en aval de la campagne par mail, à enc.sad@atih.sante.fr

Le service s’engage à fournir aux correspondants désignés l’information suivante relative à la protection de leurs données personnelles :

Les informations de contact recueillies permettent à l’ATIH d’interagir avec votre service dans le cadre de l’étude (processus de sélection des services, conduite de l’étude, sondage de satisfaction…) ou d’une étude analogue susceptible de l’intéresser.

L'ATIH en est le responsable de traitement. Les informations sont également transmises au sous-traitant de l’ATIH en charge de la supervision de l’étude, voire à des tiers pour une mission d’intérêt public, la poursuite d’intérêts légitimes (à l’exception de toute prospection commerciale) ou répondre à des obligations légales.CONVENTION ENC SAD 2026 Page 9 sur 12

Les informations seront conservées 3 ans à compter de votre dernière interaction avec l’ATIH. Aucune donnée ne sera utilisée par le sous-traitant au-delà de la fin de l’étude, ni conservée (sauf obligation légale de conservation).

Vous pouvez exercer vos droits d'accès, de rectification, d’opposition, de limitation du traitement, d’effacement et de portabilité de vos données en vous adressant à l'ATIH par voie postale à l'ATIH - Secrétariat Général - 117 boulevard Vivier Merle 69003 Lyon ou par courriel à donneespersonnelles@atih.sante.fr. En cas de difficulté liée à la gestion de vos données personnelles, vous pouvez adresser une réclamation auprès du délégué à la protection des données personnelles à donneespersonnelles@atih.sante.fr ou auprès de la Cnil ou de toute autorité compétente.

Base légale du traitement : exécution d’une mission d’intérêt public et intérêt légitime.CONVENTION ENC SAD 2026 Page 10 sur 12

Annexe 2 relative à la protection des données personnelles

I. Objet

La présente annexe a pour objet la définition des conditions dans lesquelles l’établissement, désigné ci-après par « le sous-traitant », s’engage à effectuer pour le compte de l’ATIH, désignée ci-après par « le responsable de traitement », les opérations de traitement de données à caractère personnel objet de la convention.

Les parties s’engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier, le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 applicable depuis le 25 mai 2018 (RGPD).

II. Obligations du sous-traitant vis-à-vis du responsable de traitement :

Le sous-traitant s’engage à :

1. Traiter les données uniquement pour les finalités qui font l’objet de la présente sous-traitance.

2. Traiter les données conformément aux instructions documentées du responsable de traitement. Si le sous-traitant considère qu’une instruction constitue une violation du règlement européen sur la protection des données ou de toute autre disposition du droit de l’Union ou du droit des Etats membres relative à la protection des données, il en informe immédiatement le responsable de traitement. En outre, si le sous-traitant est tenu de procéder à un transfert de données vers un pays tiers ou à une organisation internationale, en vertu du droit de l’Union ou du droit de l’Etat membre auquel il est soumis, il doit informer le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public.

3. Garantir la confidentialité des données à caractère personnel traitées pour le compte du responsable de traitement.

4. Veiller à ce que les personnes autorisées à traiter les données à caractère personnel :

 s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité,

 reçoivent la formation nécessaire en matière de protection des données à caractère personnel.

5. Prendre en compte, s’agissant de ses outils, produits, applications ou services, les principes de protection des données dès la conception et de protection des données par défaut.

6. Sous-traitance

Le sous-traitant peut faire appel à un autre sous-traitant (désigné ci-après « sous-traitant ultérieur ») pour mener des activités de traitement spécifiques en lien avec le présent contrat.

Le sous-traitant ultérieur est tenu de respecter les obligations du présent contrat pour le compte et selon les instructions du responsable de traitement. Il appartient au sous-traitant initial de s’assurer que le sous-traitant ultérieur présente les mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences de la réglementation en vigueur applicable à la protection des données personnelles.

Si le sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable de traitement de l’exécution par l’autre sous-traitant de l’exécution de ses obligations.CONVENTION ENC SAD 2026 Page 11 sur 12

7. Droit d’information des personnes concernées

Il appartient au sous-traitant de fournir aux personnes concernées l’information relative aux traitements de données au moment de la collecte des données.

A cet effet, des modèles de lettres d’informations seront transmis par le responsable de traitement au sous-traitant.

Conformément aux articles 13 et 14 du RGPD, le sous-traitant informe individuellement les personnes concernées des finalités du traitement de ses données personnelles, des destinataires des données ainsi que leurs droits d’accès, de rectification et de suppression des informations les concernant, ainsi que leur droit d’opposition au traitement de leurs données personnelles.

8. Exercice des droits des personnes

Le sous-traitant doit répondre, au nom et pour le compte du responsable de traitement et dans les délais prévus par le RGPD aux demandes des personnes concernées en cas d’exercice de leurs droits, s’agissant des données traitées dans le cadre de la présente convention.

9. Aide du sous-traitant dans le cadre du respect par le responsable de traitement de ses obligations

Le sous-traitant aide le responsable de traitement pour la réalisation d’analyses d’impact relative à la protection des données.

Le sous-traitant apporte tout son concours au responsable de traitement pour la réalisation de la consultation préalable de l’autorité de contrôle (la Commission nationale de l’informatique et des libertés).

10. Notification des violations de données à caractère personnel

Le sous-traitant notifie au responsable de traitement toute violation de données à caractère personnel dès qu’il en a connaissance à l’adresse suivante :

donneespersonnelles@atih.sante.fr

Cette notification est accompagnée de toute documentation utile afin de permettre au responsable de traitement, si nécessaire, de notifier cette violation à l’autorité de contrôle compétente.

11. Mesures de sécurité

Le sous-traitant s’engage à mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir la confidentialité, l’intégrité, la disponibilité et la résilience des données à caractère personnel traitées dans le cadre de la présente convention.

À ce titre, le sous-traitant s’engage notamment à :

• utiliser les applications mises à disposition par l’ATIH, qu’elles soient installées dans son système d’information ou accessibles via une plateforme en ligne, conformément aux instructions et conditions d’utilisation définies par l’ATIH (y compris les conditions générales d’administration) ;

• assurer la sécurité de son système d’information et des postes de travail utilisés pour accéder aux applications, notamment par la mise en place de dispositifs de contrôle d’accès, de chiffrement, de traçabilité et de sauvegarde adaptés ;

• veiller à ce que seuls les personnels habilités, individuellement identifiés et dûment formés, accèdent aux données ou aux applications mises à disposition ;

• garantir que les données à caractère personnel traitées (y compris celles générées temporairement dans les systèmes de l’établissement) soient protégées contre toute perte, altération, divulgation ou accès non autorisé, et supprimées à l’issue de la période de traitement, sauf obligation légale contraire ;

• mettre en œuvre les procédures et moyens permettant de rétablir la disponibilité des données et des services dans des délais appropriés en cas d’incident physique ou technique ;CONVENTION ENC SAD 2026 Page 12 sur 12

• tester, analyser et évaluer régulièrement l’efficacité des mesures mises en œuvre afin d’assurer un niveau de sécurité adapté aux risques ;

12. Sort des données

Au terme de la durée de conservation des données figurant dans la convention, le sous- traitant s’engage à détruire toutes les données à caractère personnel recueillies dans le cadre de la mise en œuvre du traitement objet de la convention.

Un bordereau de destruction des données, signé sous la responsabilité du représentant légal du sous-traitant, est transmis au responsable de traitement.

Les modalités de sécurité en matière de protection des données sont indiquées ci-dessus.

13. Délégué à la protection des données

Le sous-traitant communique au responsable de traitement le nom et les coordonnées de son délégué à la protection des données (cf. annexe 1, paragraphe 7- Désignation des correspondants de l'étude).

14. Registre des catégories d’activités de traitement

Le sous-traitant déclare tenir par écrit un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable de traitement comprenant :

 Le nom et les coordonnées du responsable de traitement pour le compte duquel il agit, des éventuels sous-traitants et, le cas échéant, du délégué à la protection des données ;

 Les catégories de traitements effectués pour le compte du responsable de traitement ;

 Le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale et, dans le cas de transferts visés à l’article 49, paragraphe I, deuxième alinéa du RGPD, les documents attestant de l’existence de garanties appropriées ;

 Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles.

15. Documentation

Le sous-traitant met à la disposition du responsable de traitement, à sa demande, la documentation nécessaire pour démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer à ces audits.

III. Obligations du responsable de traitement vis-à-vis du sous-traitant

Le responsable de traitement s’engage à :

1. fournir au sous-traitant les données visées à l’article 2 du présent contrat ;

2. documenter par écrit toute instruction complémentaire au présent contrat concernant le traitement des données par le sous-traitant ;

3. veiller, au préalable et pendant toute la durée du traitement, au respect des obligations prévues par la réglementation en vigueur applicable à la protection des données personnelles de la part du sous-traitant ;

4. superviser le traitement, y compris réaliser le cas échéant les audits et les inspections auprès du sous-traitant.