Dans le cadre de la règlementation applicable aux traitements de données à caractère personnel, la Région Ile-de-France (ci-après, « la Région ») et le Candidat (ci-après, le Responsable de traitement Disjoint ») sont qualifiés de Responsables de traitement « disjoints ».
La Région et le Responsable de traitement Disjoint sont dénommés ensemble les « Parties ».
La Région n’intervient d’aucune manière dans les traitements réalisés et opérés par le Responsable de traitement Disjoint.
Ainsi, si le candidat est retenu, les Parties reconnaissent que chacune d’elles est libre de déterminer les moyens et les finalités des traitements qu’elle réalise dans le cadre de l’exécution de la convention de partenariat,
De ce fait, lorsque les Parties s’échangent des données à caractère personnel, ces transferts ont lieu d’un Responsable de traitement vers un autre, chacune des Parties étant destinataire de l’autre.
Les Parties s’engagent à respecter, dans le cadre de l’exécution de la convention de partenariat, les obligations légales et règlementaires qui leur incombent au titre de la réglementation en vigueur applicable aux traitements de données à caractère personnel et en particulier le RGPD et la Loi Informatique et libertés.
En particulier, le Responsable de traitement Disjoint, s’engage à :
- Informer les personnes concernées des traitements qu’elle réalise à partir de leurs données. Cette information devra être conforme à l’article 13 du RGPD (lorsque les Obligations relatives aux traitements de données à caractère personnel données sont collectées directement auprès de la personne concernée) et 14 du RGPD (en cas de collecte indirecte) ;
- Recueillir le consentement de la personne concernée lorsqu’il est requis ;
- Permettre à la personne concernée d’exercer ses droits en vertu de la réglementation relative à la protection des données ;
- Mettre en place des mesures techniques et organisationnelles appropriées pour protéger les données contre toute destruction fortuite ou illicite, perte accidentelle, altération, divulgation ou accès non autorisé ;
- Respecter les obligations légales en matière de flux de données hors de l’Union européenne ;
- Inscrire les traitements qu’elle met en oeuvre au registre des activités de traitements tenu en qualité de Responsable du traitement ;
- Nommer un délégué à la protection des données si elle y est astreinte en vertu de l’article 37 du RGPD et, le cas échéant, communiquer à la Région le nom et les coordonnées de celui-ci ;
- Encadrer les relations avec ses sous-traitants par un contrat conforme à l’article 28 du RGPD ;
- Assurer un niveau de sécurité adapté au risque que présentent les traitements qu'elle met en oeuvre, en tenant compte notamment de la nature des traitements et du type des données traitées.
Chacune des Parties fait son affaire de fournir, au nom de l’autre Partie, à son personnel concerné toute information relative au traitement mis en oeuvre par elle et garantit l’autre Partie de ce fait.
Lorsqu’une Partie reçoit une demande d’exercice de droit concernant les traitements mis en oeuvre par l’autre Partie, la Partie qui réceptionne cette demande doit adresser ces demandes à l’autre Partie immédiatement afin qu’elle puisse répondre dans les délais impartis par le RGPD.
