Article 23 : Protection des données a caractère personnel

Pour les besoins du présent article, les termes suivants « données à caractère personnel », « délégué à la protection des données », « traiter/traitement », « responsable du traitement », « destinataire », « sous-traitant » et « transférer/transfert » ont la même signification que celle qui leur est donnée dans le Règlement Européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (le « RGPD »).

Pour rappel, Selection Med ne saurait voir sa responsabilité engagée pour tout manquement du Client au RGPD qui ne saurait lui être imputable.

23.1 Caractéristiques du traitement
Dans le cas où Selection Med est amené à traiter des données personnelles pour le compte du Client au sens du RGPD, les caractéristiques des traitements de données à caractère personnel effectués par Selection Med pour le compte du Client, telles que l’objet, la durée, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, sont détaillées dans une annexe communiquée par le Client au Prestataire qui sera attachée aux conditions particulières afférentes à la Prestation.

23.2 Obligations du Prestataire
23.2.1 Respect des instructions du Client et de la réglementation
Selection Med s’engage à :

traiter les données à caractère personnel collectées dans le cadre strict et nécessaire des Prestations et, d’une manière générale, à n’agir que sur la seule instruction écrite et documentée du Client ;
le cas échéant, respecter la réglementation applicable aux données à caractère personnel traitées ;
informer immédiatement le Client si une de ses instructions constitue une violation de la réglementation applicable en matière de protection des données à caractère personnel et suspendre l’exécution de ladite instruction jusqu’à confirmation ou modification de l’instruction par le Client ;
s’assurer que les personnes autorisées à accéder aux données à caractère personnel ont connaissance des instructions du Client et s’engagent à ne traiter les données à caractère personnel qui leur sont confiées que dans le strict respect de celles-ci ;
veiller à ce que les personnes autorisées à accéder aux données à caractère personnel en vertu du présent contrat reçoivent la formation nécessaire en matière de protection des données à caractère personnel ;
ne pas concéder, louer, céder à une autre personne, tout ou partie des données à caractère personnel, même à titre gratuit ;

23.2.2 Sécurité, confidentialité, violation et destruction des données
Selection Med s’engage à :

prendre toutes précautions utiles afin de préserver la confidentialité et la sécurité des données à caractère personnel, et notamment, empêcher qu’elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés, et plus généralement, à mettre en œuvre les mesures techniques et d’organisation appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisés, notamment, lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que, contre toute forme de traitement illicite, étant précisé que ces mesures doivent assurer, compte tenu de l’état de l’art, un niveau de sécurité approprié au regard des risques présentés par les traitements et la nature des données à protéger ;
mettre en place des habilitations pour restreindre l’accès des personnes aux données à caractère personnel et ne communiquer les données à caractère personnel qu’aux personnes ayant besoin d’en connaître, en veillant à ce que ces personnes soient soumises à une obligation contractuelle ou légale de confidentialité et de sécurité appropriée ;
mettre à jour les mesures de sécurité compte tenu de l’évolution de la technique, sans qu’il ne puisse résulter une diminution du niveau de sécurité et/ou un impact négatif sur la fourniture des Prestations et informer le Client de toute modification substantielle des mesures de sécurité après accord des parties et présentation d’un devis associé accepté par le Client ;
notifier au Client toute violation de données à caractère personnel dans les meilleurs après en avoir pris connaissance, notamment afin de permettre au Client de se conformer à l’obligation de notifier à la CNIL toute violation de données dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, telle que visée à l’article 33 du RGPD ;
mettre en place les mesures nécessaires à la protection des données à caractère personnel en cas de violation des données, en consultation avec le Client pour limiter tout effet négatif sur les personnes affectées par la violation ;
respecter les durées de conservation des données à caractère personnel ;
selon le choix du Client, détruire toutes les données à caractère personnel ou les renvoyer au Client au terme du Contrat et détruire les copies existantes, ainsi que communiquer au Client la preuve de ces destructions.

23.2.3 Assistance et audit
Selection Med s’engage à :

répondre dans les 10 jours ouvrés à toute demande du Client portant sur les données à caractère personnel traitées, afin de permettre au Client de prendre en compte, dans les délais impartis, les éventuelles requêtes des intéressés (droit d’accès, droit de rectification, droit à l’effacement, etc.), et de manière plus générale tenir compte de la nature du traitement et aider le Client par des mesures techniques et organisationnelles appropriées à s’acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits
lorsque les personnes concernées exercent auprès du Fournisseur des demandes d’exercice de leurs droits, adresser ces demandes dès réception par courrier électronique au Client. Le Client assurera, à défaut d’instruction écrite contraire de sa part, le traitement de ces demandes;
fournir au responsable du traitement toute information et toute assistance nécessaire pour permettre à ce dernier de respecter ses obligations en cas de violation de données ;
mettre à disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans ce Contrat et lui incombant en tant que sous-traitant et permettre la réalisation d’audit, y compris des inspections par le Client ou un autre auditeur que le Client aura mandaté et contribuer à ces audits. Les audits réalisés au titre de cet article sont effectués après présentation d’un Devis et acceptation par le Client.

23.3 Sous-traitance ultérieure
Selection Med s’engage à ne pas sous-traiter l’exécution des Prestations sans l’accord préalable, écrit et spécifique du Client.