Clauses Règlement Européen sur la Protection des Données personnelles

Les présentes clauses ont pour objet de définir les conditions dans lesquelles le sous-traitant s’engage à effectuer pour le compte du responsable de traitement les opérations de traitement de données à caractère personnel définies ci-après.

Dans le cadre de leurs relations contractuelles, les parties s’engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier, le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 applicable à compter du 25 mai 2018 (ci-après, « le règlement européen sur la protection des données »).

Le sous-traitant est autorisé à traiter pour le compte du responsable de traitement les données à caractère personnel nécessaires pour fournir les services objet de la présente lettre de mission.

La ou les finalité(s) du traitement sont celles définies par la lettre de mission

Les données à caractère personnel traitées dépendent du sujet traité et sont indiquées dans le tableau ci-dessous.
Les catégories de personnes concernées sont les dirigeants et les salariés.

Pour l’exécution du service objet du présent contrat, le responsable de traitement met à la disposition du sous-traitant les informations nécessaires pour réaliser la mission confiée.

Le sous-traitant s’engage à :

1. traiter les données uniquement pour les seules finalités qui font l’objet de la sous-traitance
2. traiter les données conformément aux instructions documentées du responsable de traitement. Si le sous-traitant considère qu’une instruction constitue une violation du règlement européen sur la protection des données ou de toute autre disposition du droit de l’Union ou du droit des Etats membres relative à la protection des données, il en informe immédiatement le responsable de traitement. En outre, si le sous-traitant est tenu de procéder à un transfert de données vers un pays tiers ou à une organisation internationale, en vertu du droit de l’Union ou du droit de l’Etat membre auquel il est soumis, il doit informer le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public
3. garantir la confidentialité des données à caractère personnel traitées dans le cadre du présent contrat
4. veiller à ce que les personnes autorisées à traiter les données à caractère personnel en vertu du présent contrat :

• s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité
• reçoivent la formation nécessaire en matière de protection des données à caractère personnel

5. prendre en compte, s’agissant de ses outils, produits, applications ou services, les principes de protection des données dès la conception et de protection des données par défaut
6. Sous-traitance

Le sous-traitant peut faire appel à un autre sous-traitant (ci-après, « le sous-traitant ultérieur ») pour mener des activités de traitement spécifiques. Dans ce cas, il informe préalablement et par écrit le responsable de traitement de tout changement envisagé concernant l’ajout ou le remplacement d’autres sous-traitants. Cette information doit indiquer clairement les activités de traitement sous-traitées, l’identité et les coordonnées du sous-traitant et les dates du contrat de sous-traitance. Le responsable de traitement dispose d’un délai minium de 8 jours calendaires à compter de la date de réception de cette information pour présenter ses objections. Ce délai pourra être ramener à 3 jours en cas d’urgence constatée sur le dossier. Cette sous-traitance ne peut être effectuée que si le responsable de traitement n’a pas émis d’objection pendant le délai convenu.

Le sous-traitant ultérieur est tenu de respecter les obligations du présent contrat pour le compte et selon les instructions du responsable de traitement. Il appartient au sous-traitant initial de s’assurer que le sous-traitant ultérieur présente les mêmes garanties suffisantes quant à la mise en oeuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du règlement européen sur la protection des données. Si le sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable de traitement de l’exécution par l’autre sous-traitant de ses obligations.

7. Droit d’information des personnes concernées

Il appartient au responsable de traitement de fournir l’information aux personnes concernées par les opérations de traitement au moment de la collecte des données.

8. Exercice des droits des personnes

Dans la mesure du possible, le sous-traitant doit aider le responsable de traitement à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage).

Lorsque les personnes concernées exercent auprès du sous-traitant des demandes d’exercice de leurs droits, le sous-traitant doit adresser ces demandes dès réception par courrier électronique au responsable de traitement).

Vous disposez du droit de demander l’accès à vos données à caractère personnel et la rectification des données inexactes. Vous pouvez demander l’effacement des données et la limitation du traitement, et vous pouvez également vous opposer au traitement, dans les cas et dans les limites prévues par la législation applicable. Vous disposez du droit à la portabilité des données à caractère personnel que vous avez fournies, dans les conditions prévues par la législation applicable. Vous disposez également du droit de définir des directives relatives à la conservation, à l’effacement et à la communication après votre décès de vos données à caractère personnel traitées, conformément aux dispositions législatives et réglementaires applicables.

Lorsque le traitement repose sur votre consentement, vous pouvez retirer celui-ci à tout moment.

Vous pouvez exercer les droits dont vous disposez soit en envoyant un e-mail à rgpd.socodec@exco.fr.

9. Notification des violations de données à caractère personnel

Le sous-traitant notifie au responsable de traitement toute violation de données à caractère personnel dans un délai maximum de 48 heures après en avoir pris connaissance et par courrier électronique. Cette notification est accompagnée de toute documentation utile afin de permettre au responsable de traitement, si nécessaire, de notifier cette violation à l’autorité de contrôle compétente.

10. . Mesures de sécurité

Le sous-traitant s’engage à mettre en oeuvre les mesures de sécurité appropriées en fonction de la finalité du traitement.

11. Sort et conservation des données

Au terme de la prestation de services relatifs au traitement de ces données, le sous-traitant s’engage selon le choix du responsable du traitement :

• à renvoyer toutes les données à caractère personnel au responsable de traitement ou
• à renvoyer les données à caractère personnel au sous-traitant désigné par le responsable de traitement

Vos données à caractère personnel traitées par le sous-traitant sont conservées en France, pendant une durée adaptée à la finalité de chaque traitement pendant la durée définie contractuellement avec le client.

Par exception, ces données pourront être conservées pendant des durées plus longues pour gérer les réclamations ou contentieux, ou pour répondre à des obligations légales, disciplinaires et/ou règlementaires.

12. Registre des catégories d’activités de traitement

Le sous-traitant déclare tenir par écrit un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable de traitement comprenant :

• le nom et les coordonnées du responsable de traitement pour le compte duquel il agit, des éventuels sous-traitants et, le cas échéant, du délégué à la protection des données;
• les catégories de traitements effectués pour le compte du responsable du traitement;
• le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l’article 49, paragraphe 1, deuxième alinéa du règlement européen sur la protection des données, les documents attestant de l’existence de garanties appropriées;
• dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles.

13. Documentation

Le sous-traitant met à la disposition du responsable de traitement la documentation nécessaire pour démontrer le respect de toutes ses obligations.

Le responsable de traitement s’engage à :

1. fournir au sous-traitant les données visées au II des présentes clauses et en tout état de cause nécessaires à la réalisation de la mission
2. documenter par écrit toute instruction concernant le traitement des données par le sous-traitant
3. veiller, au préalable et pendant toute la durée du traitement, au respect des obligations prévues par le règlement européen sur la protection des données de la part du sous-traitant.