Offres
API
Connexion
Documents similaires
unknown - Communauté de communes - Coteaux du Girou - 035 pj
unknown - Communauté de communes - Coteaux du Girou - 114 PJ
unknown - Communauté de communes - Coteaux du Girou - 101 PJ
unknown - Communauté de communes - Coteaux du Girou - 074 PJ
unknown - Communauté de communes - Coteaux du Girou - 068 PJ
unknown - Communauté de communes - Coteaux du Girou - 001 pj
unknown - Communauté de communes - Coteaux du Girou - 058 pj
unknown - Communauté de communes - Coteaux du Girou - 072 pj
unknown - Communauté de communes - Coteaux du Girou - 078 pj
unknown - Communauté de communes - Coteaux du Girou - 013 pj
unknown - Communauté de communes - Coteaux du Girou - 076 pj
Document publié le Lundi 1 janvier 2024
Lien du pdf (unknown - Communauté de communes - Coteaux du Girou - 076 pj)
Thèmes du document : Données personnelles, Consommateurs, Transports,
1
CONVENTION ENCADRANT
LES ACTIVITES DE TRAITEMENT DE DONNEES A CARACTERE
PERSONNEL MISES EN ŒUVRE DANS LE CADRE
DE LA DELEGATION DE L’EXPLOITATION ET DE LA GESTION
DU TAD ET DE LA SOUS-TRAITANCE DE LA CENTRALE DE
RESERVATION
ENTRE LES SOUSSIGNES :
La REGION OCCITANIE, dont le siège est sis 22 Bd du Maréchal Juin, 31406 Toulouse Cedex 9, dûment
représentée par Mme Carole DELGA en sa qualité de Présidente du Conseil Régional, agissant en vertu de la
délibération n° CP/2024-05/11.09 en date du 31 mai 2024, autorisant la signature du présent avenant.
Ci-après dénommée « la REGION »,
D’une part,
ET
La Société Publique Locale D’UN POINT A L’AUTRE, enregistrée au RCS de ALBI sous le numéro 535.198.592, dont
le siège social est sis 14 rue Jean-Henri FABRE, 81000 ALBI, dûment représentée par Mr Laurent CARLES en sa
qualité de Directeur Général,
Ci-après dénommée « la SPL »,
D’autre part,
ET
La COMMUNAUTE DE COMMUNES DES COTEAUX DU GIROU dont le siège est sis 1 rue du Girou, 31380
GRAGNAGUE, dûment représentée par Mr Daniel CALAS en sa qualité de Président,
Ci-après dénommée « la COMMUNAUTÉ DE COMMUNES »,
D’autre part,
Ci-après collectivement dénommées « les Parties » 2
IL EST PREALABLEMENT RAPPELE CE QUI SUIT :
La REGION, autorité organisatrice du transport, dispose – de droit – de la compétence en matière de
transport interurbain sur l’ensemble du territoire régional (lequel est réalisé sous la marque « liO ») et
s’est fixée pour objectif d’offrir une solution de mobilité à tous les habitants de la Région en favorisant
notamment le développement de transport à la demande (TAD) qui vient en complémentarité de
l’offre régionale de transport.
Au titre du Contrat d’Obligation de Service Public (OSP) relatif aux modalités d’exécution pour la
gestion et l’exploitation du réseau liO du 13 juillet 2022, la REGION a confié à la SPL (Société Publique
Locale D’un Point à l’Autre) la gestion de centrale d’information et de réservation des Transports, dont
le TAD. L’Annexe n°2 du contrat OSP décrit et encadre, notamment, les missions confiées à la SPL et
les conditions d’exécution du service ; les caractéristiques et fonctionnalités des outils dont la SPL
devra se doter ; la périodicité et les types d’informations devant être transmises à la Région et/ou aux
entités en charge de réaliser le transport.
Au titre d’une Convention de délégation de compétence d’organisation de service de transport à la
demande, la REGION a délégué à la COMMUNAUTÉ DE COMMUNES la responsabilité de l’organisation
et de la mise en place de services de transport à la demande (TAD) dans le secteur géographique défini.
Cette Convention encadre, notamment, les objectifs, missions et secteurs géographiques confiés à la
COMMUNAUTÉ DE COMMUNES ; les modalités d’exécution des services ; les tarifs applicables,
lesquels sont fixés par la Région ; les modalités d’information des usagers, la COMMUNAUTÉ DE
COMMUNES étant chargée de diffuser les informations conçues et fournies par la Région ; le partage
des responsabilités, la Région restant globalement responsable des actes de la COMMUNAUTÉ DE
COMMUNES.
Il résulte de ce qui précède que la mise en œuvre et la réalisation du service de transport à la demande
(TAD) sur le secteur géographique défini pour la COMMUNAUTÉ DE COMMUNES implique le
traitement et la transmission de données, y compris des données à caractère personnel, entre :
- La REGION, en tant qu’autorité organisatrice de premier rang ;
- La COMMUNAUTÉ DE COMMUNES, en tant qu’autorité organisatrice de second rang chargée par
la Région de réaliser le transport sur le secteur géographique défini ;
- La SPL (Société Publique Locale D’un Point à l’Autre), en tant que prestataire chargé par la Région
de la centrale d’information et de réservation du TAD.
La Région, la SPL et la COMMUNAUTÉ DE COMMUNES s’engagent à ce que les traitements de données
à caractère personnel qu’elles mettent en œuvre et que les données qu’elles se transmettent soient
conformes au Règlement Général sur la Protection des Données n° 2016/679 du 27 avril 2016 relatif à
la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à
la libre circulation de ces données, abrogeant la directive 95/46/CE (RGPD) et à la loi n° 78-17 du 6
janvier 1978 modifiée, relative à l’informatique, aux fichiers et aux libertés.
C'est dans ces circonstances que les Parties se sont rapprochées afin de définir et d'arrêter les termes
et conditions entourant les opérations de traitement de données, objet du présent Contrat.
Il est précisé que chacune des Parties est une personne morale indépendante agissant en son propre
nom et sa propre responsabilité. Le présent Contrat ne constitue ni une association, ni une société en
participation, ni un mandat donné par l’une des Parties à l’autre. Chaque Partie s’interdit en
conséquence de prendre un engagement au nom et pour le compte de l’autre Partie. 3
CECI AYANT ETE RAPPELE, IL A ETE CONVENU CE QUI SUIT :
ARTICLE 1. OBJET
Les présentes clauses ont pour objet de définir les conditions dans lesquelles :
- La SPL (Société Publique Locale D’un Point à l’Autre) s’engage à effectuer, pour le compte de
la REGION, les opérations de traitement de données à caractère personnel comme définies ci-
après et relatives au fonctionnement de la Centrale d’information et de réservation du TAD
sur le secteur géographique défini ;
- La COMMUNAUTÉ DE COMMUNES s’engage à effectuer, pour le compte de la Région, les
opérations de traitement de données à caractère personnel définies ci-après et relatives à
l’organisation et à la réalisation du transport sur le secteur géographique défini ;
ARTICLE 2. QUALIFICATION DES PARTIES AU REGARD DU RGPD
Les Parties reconnaissent, compte tenu de l’Objet du présent contrat, que :
• La REGION OCCITANIE est qualifiée de « Responsable du traitement » au sens du l’article 4
du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD),
dénommé ci-après “le RGPD” et de l’article 34 de la loi n° 78-17 du 6 janvier 1978 relative à
l'informatique, aux fichiers et aux libertés (Loi CNIL) dans sa dernière version modifiée.
• La SPL, signataire du Contrat d’obligation de service public relatif aux modalités d’exécution
pour la gestion et l’exploitation du réseau liO du 13 juillet 2022, est qualifiée, au titre du RGPD,
de « sous-traitant », ainsi ses responsabilités sont définies par les articles 28 du Règlement
(UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD).
• La COMMUNAUTÉ DE COMMUNES, signataire de la Convention de délégation de compétence
d’organisation de service de transport à la demande, est qualifiée, au titre du RGPD, de « sous-
traitant », ainsi ses responsabilités sont définies par les articles 28 du Règlement (UE)
2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD).
ARTICLE 3. RATTACHEMENT DU PRESENT CONTRAT AUX CONTRATS PRINCIPAUX
L’existence du présent contrat étant intrinsèquement liée à la Convention de délégation de
compétence d’organisation de service de transport à la demande signé entre la REGION et la
COMMUNAUTÉ DE COMMUNES, toutes les conditions générales relatives à l’application et à
l’exécution de ladite convention s’appliquent au présent Contrat entre la REGION et la COMMUNAUTÉ
DE COMMUNES. En cas de cession ou de fin du Contrat principal, le présent Contrat serait également
cédé ou cessé entre la REGION et la COMMUNAUTÉ DE COMMUNES dans les mêmes conditions.
ARTICLE 4. RESPECT DE LA REGLEMENTATION APPLICABLE EN MATIERE DE PROTECTION DES
DONNEES A CARACTERE PERSONNEL 4
Dans le cadre de leurs relations contractuelles, les Parties s’engagent à respecter la réglementation en
vigueur applicable aux traitements de données à caractère personnel et, en particulier :
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l’égard du traitement des données à caractère
personnel et à la libre circulation de ces données, abrogeant la directive 95/46/CE (ci-après,
« le RGPD ») ;
- la loi n° 78-17 du 6 janvier 1978 modifiée, relative à l’informatique, aux fichiers et aux libertés.
A cette fin, les Parties reconnaissent être soumises à une obligation de collaboration renforcée
pendant toute la durée du contrat et s’engagent donc mutuellement à se transmettre sans délai toute
information, renseignement, document ou fichier leur permettant de maintenir ou de démontrer leur
conformité à la réglementation applicable et à s’informer immédiatement de tout manquement ou
risque de manquement à ladite réglementation.
ARTICLE 5. DESCRIPTION DES TRAITEMENTS FAISANT L’OBJET DE LA SOUS-TRAITANCE
Les caractéristiques de chaque activité de traitements de données relatives au fonctionnement de la
Centrale d’information et de réservation du TAD, d’une part, et à l’organisation et à la réalisation du
transport sur le secteur géographique défini, d’autre part, sont décrites en Annexe du présent contrat.
Cette Annexe se compose d’une Fiche par activité de traitement de données (ci-après la ou les
« Fiches »), laquelle précise notamment les éléments suivants :
• L’identification du traitement de données considéré,
• La qualification des Parties vis-à-vis des traitements de données considérés (Responsable de
traitement, Responsable conjoint de traitement, Sous-traitant, Destinataire)
• La nature des opérations réalisées sur les données
• La ou les finalités des traitements
• Les types de données à caractère personnel traitées
• Les catégories de personnes concernées
• Les mesures de sécurité mises en œuvre
• La répartition générale des rôles entre les Parties
Il est entendu entre les Parties que la poursuite des finalités relatives au fonctionnement de la Centrale
d’information et de réservation du TAD, d’une part, et à l’organisation et à la réalisation du transport
sur le secteur géographique défini, d’autre part, nécessitent une adaptation constante à l’évolutions
des besoins des Parties, des usagers, ainsi qu’à l’évolution des techniques, et que cette nécessaire
adaptation constante est susceptible d’impliquer une évolution des activités de traitements de
données mises en œuvre par les Parties.
Dès lors, il est expressément entendu entre les Parties que la liste et/ou les caractéristiques des
activités de traitement détaillées en Annexe 1 des présentes ont un caractère évolutif.
En conséquence, toute évolution ou modification des activités de traitements de données fera
l’objet d’une mise à jour des Fiches figurant en Annexe dans le respect des conditions suivantes :
• Le projet de Fiche mise à jour sera communiqué par la Partie à l’origine de l’évolution aux
autres Parties
• Si la Partie à l’origine de cette évolution endosse le rôle de Sous-traitant et que ce projet
d’évolution impacte les instructions documentées du Responsable de traitement, ce dernier
devra valider ladite évolution dans un délai de 30 jours. En l’absence de retour dans ce délai,
l’évolution sera considérée comme tacitement acceptée. 5
• Si la Partie à l’origine de l’évolution endosse le rôle de Sous-traitant et que ce projet
d’évolution n’impacte pas les instructions documentées du Responsable de traitement, le
projet de Fiche deviendra définitif à l’issue d’un délai de 30 jours, sans qu’aucune validation
ne soit nécessaire de la part du Responsable de traitement.
• Si l’évolution est demandée par le Responsable de traitement à l’un de ses Sous-traitants, le
projet de Fiche mise à jour devra être accompagné des instructions nécessaires à la bonne
mise en œuvre des évolutions et un délai suffisant devra être laissé au(x) sous-traitant(s) pour
intégrer ces évolutions.
Les Parties reconnaissent expressément que toute mise à jour d’une Fiche réalisée dans le respect
des conditions stipulées ci-dessus constitue un avenant aux présentes.
ARTICLE 6. DUREE
L’existence de la présente Annexe étant intrinsèquement liée aux Contrats principaux, elle entre en
vigueur et prendra fin concomitamment à ces derniers, dans le respect des conditions prévues à
l’article 3 ci-dessus.
ARTICLE 7. DUREE DE CONSERVATION DES DONNEES
Les données des usagers sont conservées pendant la durée de la relation contractuelle (et pendant 2
ans à des fins commerciales et statistiques),
Les éléments de facturation liés aux opérations de transport sont conservés pendant 10 ans
conformément à l’instruction DAF/DPACI/RES/2009/018 du 28/08/2009 « Tri et conservation des
archives produites par les services communs à l’ensemble des collectivités territoriales (communes,
départements et régions) et structures intercommunales».
ARTICLE 8. OBLIGATIONS DES SOUS-TRAITANTS VIS-A-VIS DU RESPONSABLE DE TRAITEMENT
Les Sous-traitants s'engagent respectivement à :
1. traiter les données uniquement pour la ou les seule(s) finalité(s) qui fait/font l’objet de la
sous-traitance et conformément au RGPD. A ce titre, les sous-traitants s’abstiennent de tout
usage de ces données à leur profit ou au profit de tiers, y compris à des fins commerciales.
2. un devoir de conseil et d’assistance à l’égard de la REGION.
3. traiter les données conformément aux instructions documentées du responsable de
traitement figurant en annexe du présent Contrat. Si l’un quelconque des sous-traitants
considère qu’une instruction constitue une violation du RGPD ou de toute autre disposition du
droit de l’Union ou du droit des Etats membres relative à la protection des données, il
en informe immédiatement le responsable de traitement.
4. ne pas faire sortir du territoire métropolitain les données à caractère personnel. Dans
l’hypothèse où les données à caractère personnel doivent faire l’objet d’un transfert en dehors
de l’Union Européenne ou à une organisation internationale en vertu du droit européen ou du
droit français, le Sous-traitant concerné doit au préalable informer et obtenir l’accord de la
REGION de ce transfert par mail à l’adresse suivante : dpd@laregion.fr.
5. garantir la confidentialité des données à caractère personnel traitées dans le cadre du présent
Contrat. 6
Chaque Sous-traitant se porte fort envers la REGION du respect, par ses collaborateurs, de la
plus stricte confidentialité concernant les données à caractère personnel traitées en exécution
du présent contrat.
En particulier, chaque Sous-traitant garantit la REGION qu’il ne rend accessibles et consultables
les données à caractère personnel qu’aux seuls collaborateurs dûment autorisés, en raison de
leurs fonctions et qualités, pour traiter les données à caractère personnel dans la stricte limite
de ce qui leur est nécessaire à l’accomplissement de leurs fonctions.
Ainsi, chaque Sous-traitant et ses collaborateurs s’engagent ainsi à :
- Ne pas utiliser, reproduire, modifier ou adapter les données ou informations
confidentielles pour un usage autre que celui de l'exécution du présent Contrat ;
- Ne pas les communiquer à des tiers sans l’accord préalable et écrit du Responsable de
traitement, et sous réserve que ces tiers présentent des garanties suffisantes en termes
de confidentialité et de sécurité des informations et prennent les mêmes engagements
de confidentialité. A défaut, un engagement spécifique doit être signé avec lesdits tiers
mettant à la charge de ces derniers les obligations de la présente ;
- Ne faire aucune copie de ces données en dehors des mesures de sauvegarde, sauf à ce
que cela soit nécessaire à l’exécution de leurs fonctions
- Prendre toutes mesures permettant d'éviter toute utilisation détournée ou frauduleuse
des données. En cas de non-respect de ses obligations, il s’expose à une sanction pénale
conformément à l’article 226-13 du Code Pénal.
Les stipulations du présent article s’appliquent sans préjudice des autres stipulations du
présent Contrat et des dispositions législatives et réglementaires en vigueur.
Chaque Sous-traitant, ainsi que leurs éventuels sous-traitants ultérieurs demeurent soumis au
respect de la présente obligation de confidentialité pendant cinq (5) années à compter du
terme du présent Contrat.
6. prendre en compte les principes de protection des données dès la conception et
de protection des données par défaut
7. Sous-traitance ultérieure
Chaque sous-traitant peut, respectivement, faire appel à des sous-traitants ultérieurs pour
mener à bien des activités de traitement spécifiques.
Dans ce cas, il informe préalablement et par écrit le responsable de traitement de tout
changement envisagé concernant l’ajout ou le remplacement de sous-traitants ultérieurs.
Cette information doit indiquer clairement les activités de traitement sous-traitées, l’identité
et les coordonnées du sous-traitant ultérieur et les dates du contrat de sous-traitance.
Le responsable de traitement dispose alors d’un délai minimum de trente (30) jours à compter
de la date de réception de cette information pour présenter ses objections. Cette sous-
traitance ne peut être effectuée que si le responsable de traitement n'a pas émis d'objection
pendant le délai convenu.
Le sous-traitant ultérieur est tenu de respecter les obligations du présent contrat pour le
compte et selon les instructions du responsable de traitement. Il appartient au sous-traitant
initial de s’assurer que le sous-traitant ultérieur présente les mêmes garanties suffisantes
quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière
à ce que le traitement réponde aux exigences du règlement européen sur la protection des
données. Si le sous-traitant ultérieur ne remplit pas ses obligations en matière de protection 7
des données, le sous-traitant initial demeure pleinement responsable devant le responsable
de traitement de l’exécution par l’autre sous-traitant de ses obligations.
8. Droit d’information des personnes concernées
Par principe, il appartient au responsable de traitement de fournir l’information aux personnes
concernées par les opérations de traitement au moment de la collecte des données.
Par exception, s’il relève de la mission de l’un des sous-traitants de collecter les données à
caractère personnel directement auprès des personnes concernées, ce dernier doit, au
moment de la collecte des données, fournir aux personnes concernées par les opérations de
traitement l’information relative aux traitements de données qu’il réalise. Le cas échéant, la
formulation et le format de l’information doit être convenue avec le responsable de traitement
avant la collecte de données.
La désignation de la Partie en charge de fournir l’information aux personnes concernées est
indiquée au sein de l’onglet « Répartition des rôles » sur chaque Fiche décrivant les
caractéristiques des activités de traitements de données, en Annexe du présent Contrat.
9. Exercice des droits des personnes
Il appartient au responsable de traitement de répondre aux demandes d’exercice des droits
de personnes : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation
du traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision
individuelle automatisée (y compris le profilage).
Le cas échéant, le Responsable de traitement sollicitera les sous-traitants en charge des
traitements de données concernées afin que ceux-ci lui apportent, dans des délais compatibles
avec ceux prévus par le règlement européen sur la protection des données, tous les éléments
d’information en lien avec la demande des personnes concernées, s’agissant des données
faisant l’objet de la sous-traitance.
Si des personnes concernées exercent auprès du sous-traitant des demandes d’exercice de
leurs droits, ce dernier doit adresser ces demandes dès réception par courrier électronique à
dpd@laregion.fr.
La désignation de la Partie en charge de fournir l’information aux personnes concernées est
rappelée au sein de l’onglet « Répartition des rôles » sur chaque Fiche décrivant les
caractéristiques des activités de traitements de données, en Annexe du présent Contrat.
10. Notification des violations de données à caractère personnel
Chaque sous-traitant notifie au responsable de traitement toute violation de données à
caractère personnel dans un délai maximum de 36 heures après en avoir pris connaissance.
Cette notification doit être réalisée par email (dpd@laregion.fr ; benoit.dehais@laregion.fr (le
DSI) ; rssi@laregion.fr ) et est accompagnée de toute documentation utile afin de permettre
au responsable de traitement, si nécessaire, de notifier cette violation à l’autorité de contrôle
compétente.
La notification contient au moins : 8
• la description de la nature de la violation de données à caractère personnel y compris, si
possible, les catégories et le nombre approximatif de personnes concernées par la
violation et les catégories et le nombre approximatif d'enregistrements de données à
caractère personnel concernés ;
• le nom et les coordonnées du délégué à la protection des données ou d'un autre point de
contact auprès duquel des informations supplémentaires peuvent être obtenues ;
• la description des conséquences probables de la violation de données à caractère
personnel ;
• la description des mesures prises ou que le responsable du traitement propose de prendre
pour remédier à la violation de données à caractère personnel, y compris, le cas échéant,
les mesures pour en atténuer les éventuelles conséquences négatives.
Si, et dans la mesure où il n’est pas possible de fournir toutes ces informations en même temps,
les informations peuvent être communiquées de manière échelonnée sans retard indu.
En outre, dans le cas où cette violation a pour origine une faute du PRESTATAIRE, celui-ci
s’engage, à ses frais, à :
• Mettre en œuvre sans délai toutes les mesures correctives visant à faire cesser la violation
et le cas échéant à limiter les conséquences négatives de celle-ci ;
• Dans un délai convenu avec la REGION, à lui présenter un plan d’action décrivant les
mesures de nature à éviter qu’une telle violation ne se reproduise.
11. Aide du sous-traitant dans le cadre du respect par le responsable de traitement de ses
obligations
Le sous-traitant aide le responsable de traitement pour la réalisation d’analyses d’impacts
relatives à la protection des données.
Le sous-traitant aide le responsable de traitement pour la réalisation de la consultation
préalable de l’autorité de contrôle.
12. Mesures de sécurité
Les Parties s’accordent sur l’objectif de préserver les données de toute destruction, perte,
altération, divulgation et accès non-autorisés, que ces actes soient d’origine accidentelle ou
illicite. En conséquence, chaque sous-traitant s’engage, de manière générale, à mettre en
œuvre des mesures de sécurité techniques et organisationnelles garantissant un niveau de
sécurité adapté au risque, y compris entre autres :
• la pseudonymisation et le chiffrement des données à caractère personnel ;
• les moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la
résilience constantes des systèmes et des services de traitement;
• les moyens permettant de rétablir la disponibilité des données à caractère personnel et
l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique;
• une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures
techniques et organisationnelles pour assurer la sécurité du traitement
La liste des mesures de sécurité mises en œuvre par chaque Sous-traitant est détaillée sur les
Fiches de l’Annexe dont les conditions et modalités sont détaillées à l’article 5 ci-dessus. 9
13. Sort des données
Au terme du contrat, quelle qu’en soit la cause, chaque Sous-traitant s’engage en fonction du
choix opéré par la REGION OCCITANIE, lequel lui sera adressé par mail, à :
• Détruire toutes les données à caractère personnel ainsi que logs dans tous ses
systèmes d’information et sur tout support manuscrit (à l’exception des données dont
la conservation serait rendue nécessaire pour le respect d’exigences légales ou
règlementaires) ou
• Renvoyer toutes les données à caractère personnel au responsable de traitement ou
• Renvoyer les données à caractère personnel au sous-traitant désigné par le
responsable de traitement.
Le renvoi doit s’accompagner de la destruction de toutes les copies existantes dans les
systèmes d’information du Sous-traitant et de ses sous-traitants ultérieurs.
Une fois détruites, le Sous-traitant doit justifier par écrit de la destruction de ces données (ex:
certificat).
Par exception aux destructions ou renvois de données visés au présent article, le Sous-traitant
pourra conserver les données nécessaires au respect d’exigences légales ou règlementaires
pour la durée prévue par les textes concernés ou découlant de leur application.
14. Délégué à la protection des données
Chaque sous-traitant communique au responsable de traitement le nom et les coordonnées
de son délégué à la protection des données, s’il en a désigné un conformément à l’article 37
du règlement européen sur la protection des données.
Ces informations sont rappelées sur chaque Fiche décrivant les caractéristiques des activités
de traitements de données, en Annexe du présent Contrat.
En cas de changement, il s’engage à en informer la REGION dans les meilleurs délais et lui
transmettre la nouvelle identité et les nouvelles coordonnées du délégué à la protection des
données, si besoin au moyen d’une mise à jour de la Fiche descriptive des traitements dont la
version initiale est présentée en Annexe.
15. Registre des catégories d’activités de traitement
Chaque Sous-traitant déclare tenir par écrit un registre de toutes les catégories d’activités de
traitement effectuées pour le compte du responsable de traitement comprenant :
• le nom et les coordonnées du responsable de traitement pour le compte duquel il agit, des
éventuels sous-traitants et, le cas échéant, du délégué à la protection des données;
• les catégories de traitements effectués pour le compte du responsable du traitement;
• le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une
organisation internationale, y compris l'identification de ce pays tiers ou de cette
organisation internationale et, dans le cas des transferts visés à l'article 49, paragraphe 1,
deuxième alinéa du règlement européen sur la protection des données, les documents
attestant de l'existence de garanties appropriées;
• dans la mesure du possible, une description générale des mesures de sécurité techniques
et organisationnelles, y compris entre autres, selon les besoins :
o la pseudonymisation et le chiffrement des données à caractère personnel; 10
o des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et
la résilience constantes des systèmes et des services de traitement;
o des moyens permettant de rétablir la disponibilité des données à caractère
personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident
physique ou technique;
o une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des
mesures techniques et organisationnelles pour assurer la sécurité du traitement.
16. Documentation
Le sous-traitant met à la disposition du responsable de traitement la documentation
nécessaire pour démontrer le respect de toutes ses obligations et pour permettre la
réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre
auditeur qu'il a mandaté, et contribuer à ces audits.
ARTICLE 9. DROIT D’AUDIT DE LA REGION OCCITANIE
Aux fins de contrôle de la conformité des Parties à la réglementation applicable en matière de
protection des Données à caractère personnel, et notamment au RGPD, la REGION OCCITANIE dispose
d’un droit d’audit qu’elle pourra exercer au maximum une (1) fois par année civile. La
REGION OCCITANIE en informera le Sous-traitant au plus tard 15 jours ouvrés, avant le commencement
dudit audit.
Il est expressément entendu entre les Parties que le champ de cet audit sera strictement limité aux
activités de traitement sous-traitées. Par ailleurs, si l’auditeur est un prestataire externe de la Région,
chaque Sous-traitant dispose du droit de le récuser.
Pendant cet audit, les Sous-traitants devront transmettre à l’auditeur la documentation permettant
de démontrer la conformité à la réglementation applicable et aux instructions écrites de la REGION
ainsi que la liste des personnes autorisées à traiter les Données à caractère personnel.
ARTICLE 9. OBLIGATIONS DU RESPONSABLE DE TRAITEMENT VIS-A-VIS DU SOUS-TRAITANT
De son côté, tout au long du contrat, la REGION s’engage à :
1. Transmettre ses instructions de manière documentée ;
2. Tenir à jour le Registre des activités de traitements de données à caractère personnel
3. Concevoir et fournir les mesures d’informations des personnes aux Sous-traitants chargés de
collecter les données directement auprès des personnes concernées
4. Répondre aux demandes d’exercice des droits des personnes concernées.
Le cas échéant, solliciter sans délais les sous-traitants concernés afin de permettre à ces
derniers de disposer d’un temps suffisant pour préparer les éléments de réponse à fournir à la
REGION.
5. Répondre aux sollicitations de l’autorité de contrôle. 11
Le cas échéant, solliciter sans délais les sous-traitants concernés afin de permettre à ces
derniers de disposer d’un temps suffisant pour préparer les éléments de réponse à fournir à la
REGION.
6. Informer les Sous-traitants immédiatement de toute requête, audit ou contrôle déclenché par
une autorité de contrôle qui concernerait ou impliquerait, de quelque manière que ce soit,
directement ou indirectement, les traitements de données objets du présent Contrat ;
7. Notifier à l’autorité de contrôle concernée toute violation de données à caractère personnel
dans un délai de 72 heures d’un tel événement, à moins que la violation en question ne soit
pas susceptible d’engendrer un risque pour les droits et libertés des Personnes concernées.
8. Conduire une Etude d’Impact sur la Vie Privée (EIVP), pour tous les traitements de données à
caractère personnel susceptibles d’engendrer un risque élevé pour les droits et libertés des
Personnes concernées, et pour les types d’opérations de traitement listés par l’autorité de
contrôle conformément à l’article 35 du Règlement.
Fait à Toulouse
Le : ……………………………….
_______________________________
LA REGION OCCITANIE
(Responsable de Traitements)
Carole DELGA
« Lu et approuvé » + Signature + cachet
_______________________________ _______________________________
LA SPL D’UN POINT A L’AUTRE LA COMMUNAUTE DES COTEAUX DU GIROU
(Sous-traitant) (Sous-traitant)
Laurent CARLES Daniel CALAS
« Lu et approuvé » + Signature + cachet « Lu et approuvé » + Signature + cachet 12
ANNEXE
FICHES DESCRIPTIVES
DES ACTIVITES DE TRAITEMENT DE DONNEES A
CARACTERE PERSONNEL MISES EN ŒUVRE
DANS LE CADRE
DE LA SOUS-TRAITANCE
DE LA CENTRALE DE RESERVATION DU TAD
ET
DE LA DELEGATION
DE L’EXPLOITATION ET DE LA GESTION DU TAD A LA
COMMUNAUTE DE COMMUNES 13
N° 1 GESTION DE LA CENTRALE D’INFORMATION ET DE RESERVATION DU TRANSPORT A LA DEMANDE (TAD)
IDENTIFICATION DU TRAITEMENT
DATE DE CREATION
VERSION, DATE DE MISE A JOUR
DESCRIPTION GENERALE DE L’ACTIVITE -
RESPONSABLE DE TRAITEMENT
RESPONSABLE DE TRAITEMENT LA REGION OCCITANIE
Coordonnées 22 Bd du Maréchal Juin, 31406 Toulouse Cedex 9
Représentant Carole DELGA
DELEGUE A LA PROTECTION DES DONNEES Jean-François MANGIN
Coordonnées -
Représentant -
FINALITE PRINCIPALE
GESTION DES RESERVATIONS DE TRANSPORTS ET DE LA BILLETERIE
SOUS-FINALITES DETAIL SOUS- FINALITES OUTILS UTILISES
Gestion des réservations • Logiciel SIMPLICITI (SaaS) : Gestion des réservations
• Fichier chiffré : liste des usagers faisant l’objet de
dispositifs particuliers (tarif social, PMR, mineurs de
moins de 11 ans)
• Pièces justificatives relatives aux personnes
bénéficiant de dispositifs particuliers (PMR) :
Justificatif invalidité
• Le cas échéant, Pièces justificatives relatives aux
personnes bénéficiant de dispositifs particuliers
(mineurs de moins de 11 ans) : CNI mineur et
accompagnant
• Pièces justificatives relatives aux personnes
bénéficiant de dispositifs particuliers (tarif social) :
Livret de famille (famille nombreuse) ; Notification
de droits CAF ; Avis d’inscription comme
demandeur d’emploi en catégorie 1, 2 ou 3 ;
Notification Pole emploi ; Contrat CES ou CA ; 14
Bulletin de paie du mois précédent ; Dernier avis de
non-imposition ; Dernier talon du mandat attestant
le paiement de l’allocation supplémentaire
mentionnée à l’article L815-2 ou à l’article L815-3
du Code de la Sécurité Sociale
Comptabilité et statistiques
commerciales
Gestion des avis des personnes sur des
produits, services ou contenus
La gestion des demandes de droit
d'accès, de rectification et d'opposition
PERSONNES CONCERNEES
Catégorie n°1 Usagers
TYPES DE DONNEES CONCERNEES DELAI D'EFFACEMENT
Données
d'identification
l'identité : civilité, nom, prénoms, adresse, numéro de téléphone (fixe et/ou mobile), numéro de télécopie, adresses de courrier électronique, date de naissance, code interne de traitement permettant l'identification de l’usager (n° abonné et n° carte de transport) (ce code interne de traitement ne peut être le numéro d'inscription au répertoire national d'identification des personnes physiques (numéro de sécurité sociale), ni le numéro de carte bancaire, ni le numéro d'un titre d'identité).
Informations complémentaires sur les mineurs : Nom représentant(s) légal(aux), Prénom représentant(s) légal(aux), Téléphone ou mobile représentant(s) légal(aux), E-mail représentant(s) légal(aux)
De manière
générale : La
durée du
contrat
d’objectif +
archivage
intermédiaire le
temps des
durées de
prescription
légale
Les données des
usagers sont
conservées
pendant la
durée de la
relation
contractuelle (et
pendant 2 ans à
des fins
commerciales et
statistiques).
Données
relatives à la vie
personnelle
- Les données relatives à la réservation du service :
- Informations générales : Arrêt de montée, Commune arrêt de montée,
Lignes fréquentées
- Informations particulières à certaines modalités de transport :
Poussette, Animal de compagnie, présence d’un accompagnant,
nécessité d’adaptations spécifiques pour PMR (cf. données sensibles)
- les données relatives aux contributions des personnes qui déposent des avis sur des produits, services ou contenus, notamment leur pseudonyme
Informations
d'ordre
économique et
financier
- les données relatives au suivi de la relation commerciale : service souscrit, quantité, montant, tarif spécial, périodicité, historique des
prestations de services, origine de la commande, correspondances avec le
usager et service après-vente, échanges et commentaires des usagers et
prospects, personne(s) en charge de la relation usager ;
- les données relatives aux moyens de paiement : espèce, numéro de chèque, numéro de carte bancaire, date de fin de validité de la carte
bancaire, cryptogramme visuel (ce dernier ne devant pas être conservé,
conformément à l’article 5) ;
- Les données relatives à la gestion des réclamations et au règlement des incidents/litiges 15
Données de
connexion
Données de
localisation
Données
sensibles
• Les données relatives au handicap permettant d’adapter les modalités de transport
• Les informations (et justificatifs) relatives aux difficultés d’ordre social de nature à permettre à l’usager de bénéficier de conditions particulières
DESTINATAIRE(S) – SOUS-TRAITANTS – SOUS-TRAITANTS (ULTERIEURS) (Si hors UE) Garantie + lien
Sous-traitant (nom + pays
d'établissement)
SPL D’UN POINT A L’AUTRE
14 rue Jean-Henri FABRE, 81000 ALBI
Données concernées Les informations utiles à la gestion de la centrale de réservation : - Les informations relatives à l’identification des usagers (et, en
cas d’usager mineur, celles des représentant légaux et
accompagnants)
- Les informations relatives à l’identification des personnes
bénéficiant de dispositifs particuliers (tarif social, PMR,
mineurs de moins de 11 ans)
- Les informations relatives au tarif applicable
- Les informations relatives au trajet réservé (point d’arrêt et
horaire de passage)
- Les informations relatives au suivi de la relation commerciale
(existence de réclamations)
Sous-traitant ultérieur SIMPLICITI (FOURNISSEUR LOGICIEL DE RESERVATION)
Sous-traitant (nom + pays
d'établissement)
La COMMUNAUTE DE COMMUNES (voir FICHE 3)
Données concernées Toutes les données, y compris les pièces justificatives
Sous-traitant ultérieur EXPLOITANT TAD (voir FICHE 3)
MESURES DE SECURITE
Mesures sur les postes
informatiques de la
SPL D’UN POINT A
L’AUTRE
- Verrouillage automatique des postes
- Chiffrement des postes
- Mises à jour des postes
- Antivirus/parefeu : XDR avec service managé
- Mesures d’authentification des utilisateurs (identifiant propre, mot de passe fort) - Profils d’habilitation en fonction du type d’utilisateur
- Traçage des accès et gestion des incidents (journalisation)
Mesures sur les
serveurs mails de la
SPL
- Serveur interne mis à jour en permanence
- Sauvegarde toute les 4h sur 2 sites distincts
- Plan de failover
- Accès admin limité aux personnes habilités selon procédure restreinte - Antivirus/parefeu : XDR avec service managé et filtrage fort
- Limitation des pièces-jointes
- Purge automatique des e-mails au-delà de la durée de conservation définie Mesures sur le logiciel
de réservation
(SIMPLICITI)
- Mesures d’authentification des utilisateurs (identifiant propre, mot de passe fort) - Profils d’habilitation en fonction du type d’utilisateur
- Traçage des accès et gestion des incidents (journalisation)
- Plateforme sécurisée en HTTPS et sécurisation des flux de données
- Hébergeur certifié ISO 27001 16
- Mesures de sauvegarde (quotidiennes + hebdomadaires)
AUTRES INFORMATIONS UTILES POUR L’ANALYSE DU RESPECT DU RGPD
Base légale (Consentement / Contrat /
obligation légale / Intérêt légitime / Mission
de service public)
Exécution contractuelle (contrat de service avec usagers)
Mesures d’information des personnes - Sur le site internet de la Région : La Région Occitanie - Sur le site internet de la Communauté de Communes : renvoi
vers le site de la Région Occitanie
- Lors de la réservation (centrale d’appel) : Diffusion d’un
message au prédécroché par La SPL D’UN POINT A L’AUTRE
Autres droits (accès, rectification,
modification, opposition, limitation, etc..)
dpd@laregion.fr
Mesures de confidentialité Des mesures spécifiques pour faire en sorte que seules les personnes habilitées aient accès à l’information nécessaire.
REPARTITION DES RÔLES ENTRE LES PARTIES
ORGANISME EN CHARGE DE L’INFORMATION
DES PERSONNES
- Sur le site internet de la Région : La Région Occitanie
- Sur le site internet de la Communauté de Communes: renvoi
vers le site de la Région Occitanie
- Lors de la réservation (centrale d’appel) : Diffusion d’un
message au prédécroché par La SPL D’UN POINT A L’AUTRE
ORGANISME EN CHARGE DE REPONDRE AUX
DEMANDES DE DROITS DES PERSONNES
La REGION OCCITANIE
ORGANISME EN CHARGE DE NOTIFIER LES
VIOLATIONS DE DONNEES A L’AUTORITE DE
CONTROLE (CNIL)
La REGION OCCITANIE
ORGANISME EN CHARGE D’INFORMER LES
PERSONNES CONCERNEES DES VIOLATIONS
DE DONNEES
La REGION OCCITANIE
COMMENTAIRES 17
N° 2 ORGANISATION ET RÉALISATION DU TRANSPORT A LA DEMANDE (TAD)
IDENTIFICATION DU TRAITEMENT
DATE DE CREATION
DATE MISE A JOUR
VERSION, DATE DE MISE A JOUR
DESCRIPTION GÉNÉRALE DE L’ACTIVITÉ -
ACTEURS
RESPONSABLE DE TRAITEMENT LA RÉGION OCCITANIE
Adresse 22 Bd du Maréchal Juin, 31406 Toulouse Cedex 9
Représentant Carole DELGA
DÉLÉGUÉ A LA PROTECTION DES DONNÉES Jean-François MANGIN
Coordonnées 04.67.22.68.89
Email de contact jean-francois.mangin@laregion.fr
ACTEURS rang 2 - VOIR FICHE 3
RESPONSABLE DE TRAITEMENT COMMUNAUTÉ DE COMMUNES
Adresse Voir FICHE 3
Représentant Voir FICHE 3
DÉLÉGUÉ A LA PROTECTION DES DONNÉES Si existant
Coordonnées Voir FICHE 3
Email de contact Voir FICHE 3
SOUS-TRAITANT Région (Centrale de réservation)
IDENTITE DU SOUS-TRAITANT SPL D’UN POINT A L’AUTRE
Adresse 14 rue Jean-Henri FABRE, 81000 Albi
Représentant Laurent CARLES
Coordonnées 05.31.81.96.10
DÉLÉGUÉ A LA PROTECTION DES DONNÉES CONSULTIL (Jean-François ESCALA)
Coordonnées 04.68.89.64.04
Email de contact dpo@tarnmobilite.fr (contact@consult-il.fr)
SOUS-TRAITANT Communauté de Communes (Opérateur de Transports) – VOIR FICHE 3
IDENTITÉ DU SOUS-TRAITANT Voir fiche 3
Adresse
Représentant
RÉFÉRENT PROTECTION DES DONNÉES Voir fiche 3
Coordonnées
Email de contact 18
FINALITE PRINCIPALE
Mettre en œuvre les actions nécessaires à l’organisation et à la réalisation des opérations de transport
SOUS-FINALITES DETAIL SOUS-FINALITES OUTILS UTILISES
ORGANISATION DU TRANSPORT Conception des plans de transport - Logiciel SIMPLICITI (SaaS) : Gestion des réservations
RÉALISATION DES TRANSPORTS Gestion / Exploitation
- Retranscription des informations de la fiche de
réservation dans le logiciel ©Excel
(transporteur) : organisation des tournées.
- Utilisation du logiciel de comptabilité pour la
facturation.
- échanges email entre le transporteur et la
COMMUNAUTÉ DE COMMUNES et entre le
transporteur et la SPL (fiche réservation et
facture).
PERSONNES CONCERNEES
Catégorie n°1 Conducteurs
TYPES DE DONNEES CONCERNEES DELAI D'EFFACEMENT
Données d'identification De manière générale : La durée du contrat de
transport + archivage
intermédiaire le temps
des durées de
prescription légale
Concernant les Feuilles de
route reçues par email de
la SPL : Suppression des
emails tous les 3 mois.
Données relatives à la vie
personnelle (professionnelle)
• Identification des véhicules affectés aux
opérations de transport à la demande.
• Pas de géolocalisation du véhicule.
• Adresses de destination
Informations d'ordre
économique et financier
• Réservation auprès la SPL
• Montant de la course
• Édition d’une facture mensuelle globale
anonymisée à destination de la COMMUNAUTÉ
DE COMMUNES et de la SPL.
• Paiement directement auprès du transporteur
Données de connexion Création d’un numéro de téléphone dédié au TAD dédié pour le lien entre le transporteur et les usagers
(Confirmation du transport).
Données de localisation Pas de géolocalisation Sans objet
Données sensibles Inscription d’une mention dans la fiche de réservation (code lettre) pour indiquer le type d’handicap et la
prise en compte d’un véhicule adapté.
Fiche transport détruite
après la course 19
PERSONNES CONCERNÉES
Catégorie n°2 Usagers
TYPES DE DONNÉES CONCERNÉES DELAI D'EFFACEMENT
Données d'identification Nom, prénom, téléphone, nom ligne, prix du ticket, heure départ, adresse postale, N° TAD, Destination,
indication nature transport (code lettre), code véhicule.
La durée requise par
les exigences liées au
droit des marchés
publics.
Les données des
usagers sont
conservées pendant la
durée de la relation
contractuelle (et
pendant 2 ans à des
fins commerciales et
statistiques).
Données relatives à la vie
personnelle
• Nom / Prénom
• Adresse postale
• Numéro de téléphone
• Code lettre indication si handicap
Informations d'ordre
économique et financier
Données de connexion Sans objet
Données de localisation Pas de géolocalisation
Données sensibles Inscription d’une mention dans la fiche de réservation (code lettre) pour indiquer un handicap nécessitant le
choix d’un véhicule adapté.
Fiche transport
détruite après la
course
DESTINATAIRE(S) – SOUS-TRAITANTS (ULTÉRIEURS) (Si hors UE) Garantie + lien
Sous-traitant (nom + pays
d'établissement)
La COMMUNAUTE DE COMMUNES
Voir FICHE 3
Données concernées Toutes les données
Sous-traitant ultérieur EXPLOITANT TAD (voir FICHE 3)
Sous-traitant (nom + pays
d'établissement)
SPL D’UN POINT A L’AUTRE
14 rue Jean-Henri FABRE, 81000 ALBI
Données concernées - Les informations relatives aux trajets
- Les informations relatives aux véhicules
- Les informations relatives à la facturation
Sous-traitant ultérieur SIMPLICITI (FOURNISSEUR LOGICIEL DE RÉSERVATION)
MESURES DE SÉCURITÉ
Concernant la fiche de
mission éditée par la SPL (lors
de la réservation)
Côté transporteur : réception par email de la fiche, retranscription dans le logiciel ©Excel pour la gestion. Stockage sur le réseau de l’entreprise, accès par les opérateurs habilités avec un mot de passe.
Concernant la fiche de
mission transmise aux
conducteurs
Copie de la fiche de mission en papier dans une pochette remise au conducteur affecté au transport. Pochette remise à la direction le soir pour mise à jour des données comptables. Destruction dans un broyeur. 20
AUTRES INFORMATIONS UTILES POUR L’ANALYSE DU RESPECT DU RGPD
Base légale (Consentement / Contrat /
obligation légale / Intérêt légitime /
Mission de service public)
Exécution contractuelle.
Mesures d’information des personnes - Sur le site internet de la Région : La Région Occitanie - Sur le site internet de la Communauté de Communes : renvoi vers
le site de la Région Occitanie
- Lors de la réservation (centrale d’appel) : Diffusion d’un message au
prédécroché par La SPL D’UN POINT A L’AUTRE
Autres droits (accès, rectification,
modification, opposition, limitation, etc..)
dpd@laregion.fr
Mesures de confidentialité Des mesures spécifiques pour faire en sorte que seules les personnes habilitées aient accès à l’information nécessaire.
RÉPARTITION DES RÔLES ENTRE LES PARTIES
ORGANISME EN CHARGE DE
L’INFORMATION DES PERSONNES
- Sur le site internet de la Région : La Région Occitanie
- Sur le site internet de la Communauté de Communes : renvoi vers
le site de la Région Occitanie
- Lors de la réservation (centrale d’appel) : Diffusion d’un message au
prédécroché par La SPL D’UN POINT A L’AUTRE
ORGANISME EN CHARGE DE RÉPONDRE
AUX DEMANDES DE DROITS DES
PERSONNES
La REGION OCCITANIE
ORGANISME EN CHARGE DE NOTIFIER
LES VIOLATIONS DE DONNÉES A
L’AUTORITÉ DE CONTRÔLE (CNIL)
La REGION OCCITANIE
ORGANISME EN CHARGE D’INFORMER
LES PERSONNES CONCERNÉES DES
VIOLATIONS DE DONNÉES
La REGION OCCITANIE
COMMENTAIRES 21
N° 3
ORGANISATION ET RÉALISATION DU TRANSPORT A LA
DEMANDE (TAD) – FICHE IDENTITE COMMUNAUTE DE
COMMUNES AO2 – OPERATEURS DE TRANSPORTS
IDENTIFICATION DU TRAITEMENT
DATE DE CREATION
DATE MISE A JOUR
VERSION, DATE DE MISE A JOUR
DESCRIPTION GÉNÉRALE DE L’ACTIVITÉ -
ACTEURS rang 2
RESPONSABLE DE TRAITEMENT COMMUNAUTÉ DE COMMUNES
Adresse
Représentant
DÉLÉGUÉ A LA PROTECTION DES DONNÉES
Coordonnées
Email de contact
SOUS-TRAITANT COMMUNAUTE DE COMMUNES (Opérateur de Transports n°1)
IDENTITÉ DU SOUS-TRAITANT
Adresse
Représentant
RÉFÉRENT PROTECTION DES DONNÉES
Coordonnées
Email de contact
SOUS-TRAITANT COMMUNAUTE DE COMMUNES (Opérateur de Transports n°2)
IDENTITÉ DU SOUS-TRAITANT
Adresse
Représentant
RÉFÉRENT PROTECTION DES DONNÉES
Coordonnées
Email de contact
SOUS-TRAITANT COMMUNAUTE DE COMMUNES (Opérateur de Transports n°3)
IDENTITÉ DU SOUS-TRAITANT
Adresse
Représentant
RÉFÉRENT PROTECTION DES DONNÉES
Coordonnées
Email de contact 22