Lorsque vous devenez prospect (interlocuteur) ou client à l'UGAP, certaines informations susceptibles de contenir des données personnelles font l'objet de traitements par l'UGAP, en sa qualité de responsable de traitement.
A ce titre, peuvent être collectées vos données relatives à votre identification ; votre vie professionnelle ; vos moyens de paiement utilisés ainsi qu'aux biens ou services souscrits.
Les traitements mis en œuvre ont pour finalité la gestion de la relation commerciale, notamment la gestion des contrats et/ou gestion administrative du ou des marchés (par exemple : gestion des commandes, de la livraison, de l'exécution du service ou de la fourniture du bien, des factures et paiements); la gestion des clients-prospects de l'UGAP [en ce compris la gestion de programmes de partenariat au sein de l'UGAP, la tenue de la comptabilité générale et des comptabilités auxiliaires qui peuvent lui être rattachées ; l'établissement de statistiques financières et/ou commerciales concernant les clients ; le suivi de la relation client pour la réalisation d'enquêtes de satisfaction, la gestion des réclamations et du service après-vente ; la sélection de clients pour réaliser des études sur la qualité des produits ou des enquêtes de consommation (par exemple : des tests de produits, des statistiques de vente réalisées par l'organisme concerné) ; la réalisation d'actions de prospection commerciale (par exemple : envoi de messages publicitaires, promotion) ; et la gestion des avis des personnes sur des produits, services ou contenus] ; et la gestion des demandes d'exercice des droits.
Ces données sont conservées pendant la durée nécessaire aux finalités susvisées. Elles sont destinées à l'équipe projet de l'UGAP, et le cas échéant ses titulaires de marchés par le biais desquelles sont exécutées les offres mises à disposition des clients ou les tiers autorisés, exclusivement pour répondre aux obligations légales.
Pour plus d'informations, n'hésitez pas à consulter les documents juridiques d'adhésion et commercialisation des offres liant votre entité de rattachement à l'UGAP.
Pour exercer vos droits Informatique et Libertés et/ou pour toute information relative à « la protection des données personnelles dans nos contrats », vous pouvez contacter notre délégué à la protection des données (DPD/DPO), dont les coordonnées sont indiquées en entête de la présente rubrique « Politique de confidentialité ».
Lorsque vous êtes fournisseur (interlocuteur) en lien avec l'UGAP, soumissionnaire ou titulaire d'un marché public à l'UGAP, certaines informations susceptibles de contenir des données personnelles vous concernant ou concernant votre personnel font l'objet de traitements par l'UGAP, en sa qualité de responsable de traitement.
A ce titre, peuvent être collectées des données personnelles relatives à l'identification ; la vie professionnelle ; ou encore les éléments de facturation et de règlement.
Les traitements mis en œuvre ont pour finalité la gestion des fournisseurs de l'établissement, la passation des procédures de marchés (notamment les publication, transmission et mise à disposition par voie électronique des documents relatifs aux offres de marchés publics, la réception par l'UGAP des offres et réponses liées à la passation d'un marché public, la tenue d'un journal des évènements ainsi que la gestion sécurisée des candidatures, offres, notifications et courriers nécessaires à la passation d'un marché public) et/ou l'exécution des marchés liant l'UGAP à votre entité (notamment les opérations administratives liées aux contrats, commandes, réceptions, factures, règlements, comptabilité pour ce qui a trait à la gestion des comptes fournisseur ainsi qu'à l'édition des titres de paiement, le cas échéant la réalisation de contrôles et/ou audits conformément aux stipulations des marchés, l'établissement de statistiques financières et de chiffre d'affaires par fournisseur et l'élaboration / entretien d'une documentation sur les fournisseurs de l'UGAP).
Ces données sont conservées pendant la durée nécessaire aux finalités susvisées (durée nécessaire à la passation du marché public et/ou la durée de vie du marché), puis pour permettre à l'UGAP de se conformer à ses obligations légales en matière de durée d'utilité administrative. Elles sont destinées au personnel de l'équipe projet UGAP, aux personnes morales de droit privé ou de droit public ou aux personnes physiques auxquelles sont destinées les offres, au titulaire du marché de financement uniquement lorsque le client UGAP recourt à l'offre de financement locatif et bancaire, ainsi qu'aux tiers autorisés, exclusivement pour répondre aux obligations légales.
Pour plus d'informations, n'hésitez pas à consulter le dispositif contractuel de l'UGAP relatif à la protection des données à caractère personnel figurant au sein du marché auquel votre entité a soumissionné ou dont elle est titulaire.
Pour exercer vos droits Informatique et Libertés et/ou pour toute information relative à « la protection des données personnelles dans nos contrats », vous pouvez contacter notre délégué à la protection des données (DPD/DPO), dont les coordonnées sont indiquées en entête de la présente rubrique « Politique de confidentialité ».
Au-delà de la conformité de la passation et de l'exécution des marchés publics qu'elle conduit, l'UGAP attache une attention toute particulière à la sécurité et à la confidentialité des données.
Dans le contexte du déploiement de son programme de conformité RGPD, l'UGAP a procédé à un travail de qualification, au sens dudit règlement, des acteurs intervenant dans son activité de centrale d'achat pour revente, à savoir le client, le fournisseur et l'UGAP elle-même. Il en résulte que :
-
Concernant la gestion dite administrative des marchés (fournisseurs) et des clients, telle que la passation des procédures, la gestion des contacts au sein des fournisseurs ou des clients ou l'exécution des commandes : l'UGAP est responsable de traitement.
Pour en savoir plus, voir sur ugap.fr les rubriques « vous êtes prospect ou client à l'UGAP » ou « vous êtes fournisseur, soumissionnaire ou titulaire d'un marché public à l'UGAP »
-
Concernant l'exécution, le cas échéant, de la prestation objet du marché qui nécessite un traitement de données à caractère personnel directement entre le client et le titulaire (ou son exécutant) : le client est par principe qualifié de responsable de traitement et le titulaire du marché (ou son exécutant) de sous-traitant au sens du RGPD au sein des marchés mis à disposition par l'UGAP. Les personnes concernées sont alors les utilisateurs finaux, par exemple les employés du client et/ou les usagers. Dans cette hypothèse, l'UGAP n'a pas vocation à être qualifiée au sens du RGPD puisqu'elle n'intervient dans le traitement nécessaire à l'exécution de la prestation.
Il revient alors à chacun de ces acteurs de faire siennes leurs obligations en matière informatique et libertés, notamment la conclusion d'un accord dédié à la protection des données, conformément aux dispositions de l'article 28 du RGPD.
-
A noter : cette qualification de principe des rapports contractuels entre le client et le titulaire (ou son exécutant) en matière de traitement de données à caractère personnel doit faire l'objet d'un examen au cas par cas, traitement par traitement, avant l'exécution des prestations objets du marché. Le client et le titulaire restent donc libres de qualifier autrement leurs rôles respectifs dans les activités de traitement qu'ils sont amenés à réaliser pour l'exécution du marché.
Pour en savoir plus, voir le guide de la CNIL « La responsabilité des acteurs dans le cadre de la commande publique (PDF - 260 ko) »
Ces conclusions et leur mise en œuvre opérationnelle ont été implémentées au sein des marchés UGAP depuis 2019. En conséquence, le dispositif contractuel de l'UGAP figurant sur l'ensemble des marchés est constitué des garanties suivantes : lors de l'exécution du marché, le titulaire est engagé par le biais de l'article « Protection des données à caractère personnel » du CCAP. Ce dernier a pour objet de définir les conditions dans lesquelles le titulaire effectue pour le compte du client bénéficiaire les opérations de traitement de données personnelles rendues nécessaires pour l'exécution des prestations objets du marché et intègre les exigences standards du RGPD (ex : obligation de se conformer à la règlementation, obligation de confidentialité & sécurité, encadrement des transferts de données, etc.).
Lorsque l'exécution de la prestation objet du marché induit la mise en œuvre d'un traitement de données personnelles directement entre le client et le titulaire, la clause CCAP susvisée prévoit également le rapprochement des parties exécutant dans les faits la prestation, à savoir le titulaire, ou son exécutant, et le client bénéficiaire, en vue de la conclusion d'un accord dédié à la protection des données personnelles (l'UGAP n'intervenant pas dans ces relations de sous-traitance, elle n'a pas vocation à connaître le détail des traitements réalisés par les titulaires de marché pour le compte de ses clients, ni à en déterminer les règles).
Ces obligations, en ce qu'elles pèsent à la fois sur le titulaire et l'acheteur client bénéficiaire dans le cadre de l'exécution des prestations des marchés mis à disposition par l'UGAP, figurent également au sein des documents juridiques d'adhésion et commercialisation des offres (conditions générales de vente et conditions générales d'exécution, notamment).
Synthèse : montage contractuel de l'intégration des exigences RGPD dans les marchés mis à disposition par l'UGAP
Pour toute question relative à « la protection des données personnelles dans nos contrats », vous pouvez contacter notre délégué à la protection des données (DPD/DPO), dont les coordonnées sont indiquées en entête de la présente rubrique « Politique de confidentialité ».
Les engagements des parties (acheteur et/ou prestataire) en matière de confidentialité et de protection des données personnelles sont définis ci-après. Les présentes clauses s'appliquent sans réserve à toute commande passée, en l'absence d'accord contractuel particulier. En cas d'accord particulier, les présentes clauses présentent un caractère supplétif.
Les présentes clauses applicables sont celles en vigueur à la date de passation de la commande.
-
Confidentialité
-
Engagements généraux sur la confidentialité et le respect des lois : les parties s'engagent à respecter le secret absolu sur les informations et documents obtenus durant l'exécution des prestations, sous réserve des dispositions des articles L.311-1 et suivants du code des relations entre le public et l'administration.
-
Engagements des parties pendant l'exécution des prestations : les parties s'engagent à prendre les mesures nécessaires pour :
-
Ne pas copier les documents/informations reçus ou confiés sauf pour la stricte exécution des prestations.
-
Utiliser les documents/informations reçus ou confiés uniquement pour les besoins des prestations.
-
Éviter toute utilisation détournée ou frauduleuse des documents et/ou informations reçus ou confiés.
-
Assurer la conservation et l'intégrité des documents/informations reçus ou confiés.
-
Garantir la neutralité et le secret des correspondances des services vis-à-vis du contenu des messages transmis.
-
-
Communication/divulgation des informations : aucune information ne sera partagée avec des tiers, sauf obligation légale.
-
Exceptions à la confidentialité : les informations déjà publiques ne sont pas soumises à cette obligation de confidentialité.
-
-
Protection des données à caractère personnel :
-
Qualification des parties dans la gestion des données personnelles :
-
Dans le cadre de la gestion administrative du marché, l'UGAP est désignée comme responsable de traitement.
-
Dans le cadre de l'exécution des prestations objet du marché, si un traitement de données personnelles est nécessaire entre l'acheteur et le prestataire, les qualifications retenues sont, par principe, les suivantes :
-
L'acheteur est qualifié juridiquement de responsable de traitement.
-
Le prestataire est sous-traitant au sens du RGPD.
-
A noter : l'acheteur et le prestataire restent libres de qualifier autrement leurs rôles respectifs dans les activités de traitement qu'ils sont amenés à réaliser pour l'exécution du présent marché, en fonction de la réalité des traitements qu'ils effectuent.
-
-
Conclusion d'un accord de protection des données : le cas échéant, un accord relatif à la protection des données est conclu directement entre l'acheteur et le prestataire, conformément aux dispositions de l'article 28 du RGPD.
-
Responsabilités des parties dans la gestion des données personnelles :
-
L'acheteur et le prestataire doivent personnellement se charger des formalités qui leur incombent au titre de la réglementation applicable aux données personnelles.
-
L'UGAP ne peut être tenue responsable de tout préjudice, direct ou indirect, résultant de l'inexécution par les parties de leurs obligations respectives.
-
-
Engagements des parties pour la gestion des données personnelles :
-
Engagements de conformité : L'acheteur et le prestataire s'engagent à respecter :
-
La loi n°78-17 du 6 janvier 1978 modifiée, relative à l'informatique, aux fichiers et aux libertés
-
Le Règlement Général sur la Protection des Données, précité.
-
-
Obligations du prestataire vis-à-vis de l'acheteur : à titre supplétif des stipulations convenues, le cas échéant, entre l'acheteur et le prestataire dans un accord dédié à la protection des données, le prestataire s'engage à :
-
Collecter, traiter et héberger les données personnelles conformément aux instructions de l'acheteur et à la réglementation.
-
Assurer la conformité légale et réglementaire en matière de protection des données, y compris pour les transferts de données.
-
Mettre en place toute mesure technique et organisationnelle appropriée pour protéger les données personnelles, conformément aux dispositions du RGPD.
-
Le cas échéant, assister l'acheteur dans la réalisation d'une analyse d'impact.
-
Respecter les droits des personnes concernées par le traitement des données.
-
Notifier toute violation de données à l'acheteur dans les meilleurs délais et en informer l'UGAP.
-
-
Respect des engagements du prestataire : le prestataire s'engage à respecter et à faire respecter par son personnel et ses sous-traitants les obligations mentionnées précédemment.
-
-
Réalisation d'audit : l'UGAP se réserve le droit de réaliser des audits pour s'assurer du respect des présentes
-
-
Transmission des données personnelles de l'acheteur à Skeepers pour le service "Avis Vérifiés"
-
L'acheteur est informé que ses données à caractère personnel peuvent être transmises à Skeepers dans le cadre du service « Avis Vérifiés », qui a pour objectif de collecter son avis à la suite d'une commande effectuée sur le site ugap.fr. Ces données sont utilisées exclusivement pour la gestion de ce service et pour les finalités directement liées à la collecte et à l'analyse des avis. Skeepers s'engage à respecter la confidentialité des données personnelles de l'acheteur (pour plus d'information, voir la politique de confidentialité accessible sur le site du prestataire).
-
L'acheteur peut exercer son droit d'opposition et/ou retirer son consentement à tout moment en contactant l'UGAP à l'adresse suivante : donneespersonnelles@ugap.fr.
-