Politique de confidentialité RIP & Collectivités

Données personnelles

Dans le cadre de la mise à disposition, via un site internet sécurisé exploité par l’opérateur du RIP (ci-après l’« Opérateur »), de fichiers relatifs aux adresses IPE au bénéfice des partenaires publics du réseau, notamment les mairies, collectivités territoriales, agglomérations et établissements publics compétents (ci-après individuellement un « Partenaire public », et avec l’Opérateur, les « Parties »), des traitements de données à caractère personnel peuvent être mis en œuvre.

La présente politique a pour objet d’informer les personnes concernées sur les conditions dans lesquelles leurs données personnelles sont traitées, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD).

Responsables de traitement

L’opérateur agit en qualité de responsable de traitement pour les traitements qu’il met en œuvre dans le cadre :

de l’administration de la plateforme sécurisée ;
de la gestion des habilitations et des accès ;
de la mise à disposition des données ;
du pilotage, du suivi et de la gestion du déploiement du réseau fibre.

Le partenaire public destinataires des données agissent, pour leur part, en qualité de responsables de traitement distincts pour les traitements qu’ils réalisent pour leurs besoins propres, notamment à des fins de suivi territorial, de coordination locale et d’instruction des demandes relevant de leurs missions.

Chaque partie détermine de manière autonome les finalités et les moyens des traitements qu’elle met en œuvre et assume, à ce titre, l’entière responsabilité de sa conformité au RGPD pour son propre périmètre.

La présente mise à disposition n’emporte, sauf cas particulier expressément identifié, ni responsabilité conjointe au sens de l’article 26 du RGPD, ni relation de sous-traitance au sens de l’article 28 du RGPD, ni transfert de responsabilité entre les parties.

2- Finalités des traitements

Les données personnelles sont traitées pour les finalités suivantes :

Par l’opérateur du RIP

administration et sécurisation de l’accès au site ;
gestion des comptes utilisateurs, des habilitations et des authentifications ;
mise à disposition sécurisée des fichiers relatifs aux adresses IPE ;
traçabilité des accès et prévention des usages non autorisés ;
pilotage, gestion et suivi du déploiement du réseau fibre ;
attribution à chaque Partenaire public d’un identifiant personnel ; le Partenaire public crée, sous sa seule responsabilité, un mot de passe strictement personnel, confidentiel et connu de lui seul ;

Par le partenaire public

suivi territorial du déploiement ;
coordination locale entre les acteurs publics concernés ;
traitement et instruction des demandes relevant de leurs missions ;
consultation des informations nécessaires à l’exercice de leurs compétences.
Gestion mot de passe

3. Base légale des traitements

Les traitements mis en œuvre dans ce cadre reposent, selon leur nature, sur :

l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, conformément à l’article 6, paragraphe 1, point e) du RGPD, lorsque les traitements sont réalisés par des acteurs publics ou dans le cadre de missions d’aménagement, de suivi territorial ou de gestion d’un réseau d’initiative publique ;
l’intérêt légitime du responsable de traitement, conformément à l’article 6, paragraphe 1, point f) du RGPD, notamment pour certains traitements nécessaires à la gestion des usagers / administrés, de la gestion de l’administration technique du site internet, de la sécurisation de la plateforme, de la gestion des accès, sous réserve que cet intérêt ne porte pas une atteinte disproportionnée aux droits et libertés des personnes concernées.

4. Catégories de données traitées

Dans le cadre des traitements concernés, les catégories de données suivantes peuvent être traitées :

données d’identification des personnes habilitées ;
données de contact professionnelles ;
fonctions, organisme de rattachement et habilitations ;
identifiants de connexion ;
journaux de connexion et de traçabilité ;
données contenues dans les fichiers mis à disposition, dans la limite de ce qui est nécessaire aux finalités poursuivies.

Les données traitées sont strictement limitées à celles qui sont pertinentes, adéquates et nécessaires au regard des finalités poursuivies, conformément au principe de minimisation prévu à l’article 5.1.c du RGPD.

5. Destinataires des données

Les données sont accessibles, dans la limite de leurs attributions respectives et du besoin d’en connaître :

aux services habilités de l’opérateur du RIP ;
aux personnes dûment habilitées au sein du partenaire public destinataire ;
aux prestataires techniques intervenant pour l’hébergement, la maintenance ou la sécurisation de la plateforme, lorsqu’un tel accès est nécessaire et encadré ;
plus généralement, à toute entité légalement autorisée à en connaître.

Lorsque des prestataires interviennent pour le compte d’un responsable de traitement, ils agissent en qualité de sous-traitants et sont liés par un contrat conforme à l’article 28 du RGPD.

6. Durée de conservation

Les données personnelles sont conservées pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont traitées.

À ce titre :

les données relatives aux comptes utilisateurs sont conservées pendant la durée de l’habilitation, puis supprimées ou archivées selon les obligations applicables ;
les journaux de connexion et de traçabilité sont conservés pendant une durée limitée, proportionnée à l’objectif de sécurité ;
les données contenues dans les fichiers mis à disposition sont conservées selon les durées définies par chaque responsable de traitement, en fonction de ses obligations légales, réglementaires ou opérationnelles.

7. Droits des personnes concernées

Les personnes concernées disposent, dans les conditions prévues par le RGPD, des droits suivants :

droit d’accès à leurs données ;
droit de rectification des données inexactes ou incomplètes ;
droit à l’effacement, lorsque ce droit est applicable ;
droit à la limitation du traitement ;
droit d’opposition, lorsque le traitement repose sur l’article 6.1.e ou 6.1.f du RGPD, sous réserve de justifier de raisons tenant à leur situation particulière ;
droit à la portabilité, lorsque ce droit est applicable.

Ces droits s’exercent auprès du responsable de traitement compétent, selon le traitement concerné.

e-mail du RIP (responsable de traitement) : contact.artd@ariegetreshautdebit.fr

8. Droit d’introduire une réclamation

Les personnes concernées disposent également du droit d’introduire une réclamation auprès de l’autorité de contrôle compétente, et en particulier en France auprès de la CNIL, si elles estiment que le traitement de leurs données personnelles n’est pas conforme à la réglementation applicable.

9. Sécurité des données

Chaque responsable de traitement met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD.

Ces mesures comprennent notamment :

la sécurisation de l’accès à la plateforme ;
l’accès réservé aux seules personnes habilitées ;
l’utilisation d’identifiants individuels et de mots de passe ;
la traçabilité des accès ;
la limitation des droits d’accès aux seules données nécessaires ;
toute mesure complémentaire de protection de la confidentialité, de l’intégrité et de la disponibilité des données.

S’agissant de la gestion des accès, l’opérateur du RIP assure la création des identifiants permettant l’accès au site sécurisé. La création du mot de passe ainsi que l’organisation interne relative à la transmission des mots de passe, relèvent de la responsabilité du Partenaire Public.

Il appartient également à ce dernier de veiller à l’actualisation des habilitations et d’informer sans délai l’opérateur du RIP de toute situation nécessitant la modification, la suspension ou la suppression d’un accès.

10. Transferts de données hors de l’Union européenne

Les données personnelles sont traitées et hébergées au sein de l’Union européenne.

Si un transfert de données hors de l’Union européenne devait être mis en œuvre, il serait encadré conformément aux dispositions du chapitre V du RGPD, au moyen de garanties appropriées, telles que :

une décision d’adéquation de la Commission européenne ;
des clauses contractuelles types ;
ou tout autre mécanisme reconnu par la réglementation applicable.

11. Cookies et traceurs

Le site peut utiliser des cookies ou autres traceurs techniques nécessaires à son fonctionnement et à sa sécurisation.

Si des cookies ou traceurs non strictement nécessaires sont utilisés, ils font l’objet d’une information spécifique et, lorsque cela est requis, du recueil préalable du consentement de l’utilisateur, conformément à la réglementation applicable.

12. Documentation et responsabilité

Chaque partie tient, pour son propre périmètre, la documentation requise par la réglementation applicable, notamment son registre des activités de traitement, et veille à pouvoir démontrer sa conformité au RGPD.

Chaque partie demeure seule responsable de la conformité des traitements qu’elle met en œuvre.

Politique des données personnelles RIP & Collectivités