Offres
API
Connexion
Documents similaires
unknown - Métropole - Aix-Marseille-Provence - 40758 MAMP C
unknown - Métropole - Aix-Marseille-Provence - 40767 MAMP AM
unknown - Métropole - Aix-Marseille-Provence - 40772 MAMP CO
unknown - Métropole - Aix-Marseille-Provence - 25710 25710SA
unknown - Métropole - Aix-Marseille-Provence - 119692 122913
unknown - Métropole - Aix-Marseille-Provence - 130722 133050
unknown - Métropole - Aix-Marseille-Provence - 119856 CONVEN
unknown - Métropole - Aix-Marseille-Provence - 26355 MAMP 20
unknown - Métropole - Aix-Marseille-Provence - D0D9E
unknown - Métropole - Aix-Marseille-Provence - 166379 170382
unknown - Métropole - Aix-Marseille-Provence - 40717 MAMP CAS annexe convention RGPD
Document publié le Samedi 1 janvier 2022
Lien du pdf (unknown - Métropole - Aix-Marseille-Provence - 40717 MAMP CAS annexe convention RGPD)
Thèmes du document : Données personnelles, Cybersécurité, Industrie,
1
Annexe
De la convention
Entre la Métropole Aix-
Marseille-Provence
et le Comité d'Action Sociale de
la ville de Marseille
Concernant la protection des
données personnelles
DGA RH / Direction AQVT / Service Action Sociale
Reçu au Contrôle de légalité le 16 décembre 2022 Reçu au Contrôle de légalité le 21 décembre 2022 DGAxxx – Service porteur : Xxxxx / Convention d’échnage de données personnelles 2
Entre les soussignés
La Métropole Aix-Marseille-Provence,
Située au Pharo – 58 Bd Charles Livon – 13007 MARSEILLE
Représentée par sa Présidente, Madame Martine VASSAL, ou son représentant dûment habilité par délibération du
Conseil de la Métropole en date du 3 juillet 2020
Ci-après désigné ≪ la Collectivité ≫,
D’une part,
Et
Le Comité d’Action Sociale des personnels de la Ville de Marseille, du Centre Communal d’Action Sociale de Marseille.
Situé à 13 boulevard de Dunkerque 13 002 Marseille
Représenté par son Président en exercice
Ci-après désigné « le Partenaire »
D’autre part,
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des
personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données,
dit ≪ Règlement général sur la protection des données personnelles ≫, et notamment le Chapitre IV. Responsable du
traitement et sous-traitant,
Vu l’article 2 de la convention entre le CAS et la Métropole
Vu le règlement intérieur des prestations
Il a été convenu ce qui suit :
Article 1- Objet
Les présentes clauses ont pour objet de définir les conditions dans lesquelles s’effectuent les mises à disposition de
données informatisées entre la Collectivité et le Partenaire, et les engagements réciproques des deux parties en
matière d’échanges et de protection des données.
Dans le cadre de leurs relations contractuelles, les parties s’engagent à respecter la réglementation en vigueur
applicable au traitement de données à caractère personnel et, en particulier, le règlement (UE) 2016/679 du
Parlement européen et du Conseil du 27 avril 2016 applicable à compter du 25 mai 2018 (ci-après, « le Règlement
Général sur la Protection des Données »).
Reçu au Contrôle de légalité le 16 décembre 2022 Reçu au Contrôle de légalité le 21 décembre 2022 DGAxxx – Service porteur : Xxxxx / Convention d’échnage de données personnelles 3
La Collectivité et le Partenaire reconnaissent expressément le caractère stratégique et strictement confidentiel de
toutes les données à caractère personnel et, par conséquent, que l’ensemble de ces données et fichiers sont soumis
au respect du Règlement Général à la Protection des Données et relève de la vie privée et du secret professionnel.
Article 2- Responsabilités
Dans le cadre de l’échange de données lié à cette convention, les parties s’entendent pour définir leur rôle dans la
transmission des informations :
La Métropole Aix-Marseille-Provence est :
X Responsable de Traitement
□ Co-responsable de traitement
□ Sous-traitant
Nom du Service porteur de la convention dans la collectivité : Service Action Sociale
Le CAS est :
□ Responsable de Traitement
□ Co-responsable de traitement
X Sous-traitant
Article 3 – Description du traitement
La nature des opérations réalisées sur les données est :
X Consultation (CAS)
X Collecte / Saisie (CAS)
X Analyse (CAS)
X Conservation / Stockage (CAS)
□ Communication / Partage
□ Effacement / Suppression / Destruction X Enregistrement (CAS)
X Extraction (CAS)
□ Interconnexion
□ Limitation X Modification (CAS)
□ Suivi X Envoi / Transfert / Transmission (Métropole)
Reçu au Contrôle de légalité le 16 décembre 2022 Reçu au Contrôle de légalité le 21 décembre 2022 DGAxxx – Service porteur : Xxxxx / Convention d’échnage de données personnelles 4
La ou les finalité(s) du traitement sont de permettre au CAS de délivrer les prestations sociales au regard des critères
liés à la situation individuelle et familiale de l’agent.
Les données à caractère personnel traitées sont :
X Données d’état-civil (nom, sexe, date de naissance, âge,)
X Coordonnées (adresse mail, adresse postale, numéro de téléphone, …)
X Données d’identification (identifiant, mot de passe, matricule, numéro client, …) X Données liées à la vie personnelle (habitudes de vie, situation familiale,)
X Données d’ordre économique et financier (revenus, situation fiscale, numéro de carte de crédit,) X Données de connexion (adresse IP, logs…)
X Données de localisation (déplacement, point de géolocalisation,)
□ Données sensibles : origines raciales
□ Données sensibles : origines ethniques
□ Données sensibles : opinions politiques
□ Données sensibles : convictions religieuses
□ Données sensibles : convictions philosophiques
□ Données sensibles : appartenance syndicale
□ Données sensibles : données génétiques
□ Données sensibles : données biométriques
□ Données sensibles : données de santé
□ Données sensibles : numéro de sécurité sociale
□ Données sensibles : orientation sexuelle
□ Données sensibles : condamnations pénales
□ Données sensibles : infractions
Les catégories de personnes concernées sont :
X Employés / salariés/ agents
□ Utilisateurs
□ Adhérents
□ Etudiants / élèves
□ Personnel militaire
□ Clients / usagers
□ Patients X Mineurs
X Personnes âgées
X Personnes en difficulté sociale
Pour l’exécution du service objet du présent contrat, le responsable de traitement met à la disposition du titulaire les informations nécessaires suivantes :
□ Base de données X Fichiers format tableur
Reçu au Contrôle de légalité le 16 décembre 2022 Reçu au Contrôle de légalité le 21 décembre 2022 DGAxxx – Service porteur : Xxxxx / Convention d’échnage de données personnelles 5
□ Documents papier
□ Autre (à préciser) :
Article 4 - Obligations du Partenaire vis-à-vis de la Collectivité
Le Partenaire s'engage à :
1- Traiter les données uniquement pour la ou les seule(s) finalité(s) qui fait/font l’objet de la convention ;
2- Traiter les données conformément aux instructions documentées de la Collectivité. Si le Partenaire considère
qu’une instruction constitue une violation du Règlement Général sur la Protection des Données ou de toute autre
disposition du droit de l’Union ou du droit des États membres relative à la protection des données, il en informe
immédiatement la Collectivité. En outre, si le Partenaire est tenu de procéder à un transfert de données vers un pays
tiers ou à une organisation internationale, en vertu du droit de l’Union ou du droit de l’État membre auquel il est
soumis, il doit informer la Collectivité de cette obligation juridique avant le traitement, sauf si le droit concerné interdit
une telle information pour des motifs importants d'intérêt public ;
3- Garantir la confidentialité des données à caractère personnel traitées dans le cadre de la présente
convention ;
4- Veiller à ce que les personnes autorisées à traiter les données à caractère personnel en vertu de la présente
convention s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de
confidentialité ; et reçoivent la formation nécessaire en matière de protection des données à caractère personnel.
5- Prendre en compte, s’agissant de ses outils, produits, applications ou services, les principes de protection des
données dès la conception et de protection des données par défaut.
Article 5 - Sous-traitance du Partenaire
La Collectivité accorde par la présente au Partenaire une autorisation générale de recruter un ou des sous-traitants.
En cas d’ajout ou de remplacement de tout sous-traitant, le Partenaire informe la Collectivité et lui donne ainsi la
possibilité d’émettre des objections à l’encontre de ces changements.
La partie agissant en tant que sous-traitant ne peut céder, transférer, déléguer ou sous-traiter, en tout ou partie, aucun
droit, aucune obligation ni aucune des prestations de la présente convention, notamment vers un pays qui ne serait
pas situé dans l’Union européenne, qu’après avoir obtenu l’accord préalable, écrit et exprès du ou des responsables
des traitements.
Le Partenaire est tenu de respecter les obligations du présent contrat pour le compte et selon les instructions de la
Collectivité. Il appartient au Partenaire de s’assurer que le Sous-traitant présente les mêmes garanties suffisantes
quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de manière à ce que le traitement
réponde aux exigences du Règlement Général sur la Protection des Données.
Article 6 - Droit d’information des personnes concernées
En amont de la collecte de toute donnée à caractère personnel, la formulation et le format de l’information à fournir aux personnes concernées doit être convenu entre la Collectivité et le Partenaire.
Reçu au Contrôle de légalité le 16 décembre 2022 Reçu au Contrôle de légalité le 21 décembre 2022 DGAxxx – Service porteur : Xxxxx / Convention d’échnage de données personnelles 6
Il appartient au responsable de traitement de fournir l’information aux personnes concernées par les opérations de traitement au moment de la collecte des données.
Article 7 - Exercice des droits des personnes
Dans la mesure du possible, le Partenaire doit aider la Métropole à s’acquitter de son obligation de donner suite aux
demandes d’exercice des droits des personnes concernées : droit d’accès, de rectification, d’effacement et
d’opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une
décision individuelle automatisée (y compris le profilage).
Lorsque les personnes concernées exercent auprès du Partenaire des demandes d’exercice de leurs droits, le
Partenaire doit adresser ces demandes dès réception par courrier électronique à l’adresse du CAS.
Article 8 - Notification des violations de données à caractère personnel
Le Partenaire notifie au responsable de traitement toute violation de données à caractère personnel dans un délai maximum de 24 heures après en avoir pris connaissance et par mail à Métropole Aix Marseille Provence et copie à dpo@ampmetropole.fr.
Cette notification est accompagnée de toute documentation utile afin de permettre au responsable de traitement, si nécessaire, de notifier cette violation à l’autorité de contrôle compétente (CNIL).
Après accord du responsable de traitement, le Partenaire notifie à l’autorité de contrôle compétente (la CNIL), au nom et pour le compte du responsable de traitement, les violations de données à caractère personnel dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques.
La notification contient au moins les éléments à fournir sur le formulaire de déclaration CNIL. S’il n’est pas possible de fournir toutes ces informations en même temps, elles peuvent être communiquées de manière échelonnée sans retard indu.
Après accord du responsable de traitement, le titulaire communique, au nom et pour le compte du responsable de traitement, la violation de données à caractère personnel à la personne concernée dans les meilleurs délais, lorsque cette violation est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique.
Article 9 – Etude d’impact (PIA)
Le Partenaire aide la Collectivité et participe à la réalisation d’analyse d’impact relative à la protection des données et
pour la réalisation de la consultation préalable de l’autorité de contrôle.
Article 10- Mesures de sécurité
La Collectivité communique au Partenaire les mesures générales organisationnelles et techniques qu’elle met en
œuvre dans son Système d’Information pour répondre aux exigences réglementaires.
Le Partenaire indique les mesures organisationnelles et techniques qu’il s’engage à mettre en œuvre pour assurer la
sécurité, la confidentialité, la traçabilité et l’intégrité des données à caractère personnel. Ces mesures sont décrites
dans le Plan Assurances Sécurité (PAS), formulaire fourni par la Collectivité.
Reçu au Contrôle de légalité le 16 décembre 2022 Reçu au Contrôle de légalité le 21 décembre 2022 DGAxxx – Service porteur : Xxxxx / Convention d’échnage de données personnelles 7
Article 11 - Sort des données
Au terme de la prestation de services relatifs au traitement de ces données, quelle qu’en soit la cause, le Partenaire s’engage à renvoyer toutes les données à caractère personnel au responsable de traitement. Le renvoi doit s’accompagner de la destruction de toutes les copies existantes dans les systèmes d’information du Partenaire et le cas échéant dans les systèmes d’informations du Sous-traitant.
Article 12- Délégué à la protection des données
Le Partenaire communique à la Collectivité le nom et les coordonnées de son délégué à la protection des données, s’il
en a désigné un, conformément à l’article 37 du Règlement Général sur la Protection des Données.
Article 13 - Registre des catégories d’activités de traitement
Chacune des parties s’engage à porter à son registre des activités de traitement les mentions nécessaires à l’exécution
de cette convention, conformément à l’article 30 du Règlement (UE) 2016/679.
Le Partenaire met à la disposition de la Collectivité la documentation nécessaire pour démontrer le respect de toutes
ses obligations et pour permettre la réalisation d'audits, y compris des inspections, par la Collectivité ou un autre
auditeur qu'il a mandaté, et contribuer à ces audits.
Article 14 - Obligations de la Collectivité vis-à-vis du Partenaire
La Collectivité s’engage à :
• Fournir au Partenaire les données ainsi que la documentation concernant les consignes à appliquer
• Documenter par écrit toute instruction concernant le traitement des données par le Partenaire
• Veiller, au préalable et pendant toute la durée du traitement, au respect des obligations prévues par le
Règlement Général sur la Protection des Données de la part du Partenaire
• Superviser le traitement, y compris réaliser les audits et les inspections auprès du Partenaire
Article 15 - Durée d’application de la convention
La présente convention entre en vigueur à compter du 1er janvier 2023.
Article 16 – Dénonciation
La convention pourra être résiliée à tout moment, pour convenance, par simple lettre recommandée avec accusé de
réception adressé par l’une des parties à l’autre, moyennant l’observation d’un préavis de 2 mois.
Reçu au Contrôle de légalité le 16 décembre 2022 Reçu au Contrôle de légalité le 21 décembre 2022 DGAxxx – Service porteur : Xxxxx / Convention d’échnage de données personnelles 8
La résiliation entraînera l’interruption de l’utilisation par le Partenaire des données déjà transmises. Le Partenaire
procédera en outre dans un délai maximum de 15 jours à compter de la date de résiliation à la destruction des données
déjà transmises.
Fait à , en deux exemplaires originaux le
Pour la Collectivité Pour le Partenaire
[nom du signataire et qualité] [nom du signataire et qualité]
Reçu au Contrôle de légalité le 16 décembre 2022 Reçu au Contrôle de légalité le 21 décembre 2022