Commune · Article 28 RGPD
Accord de traitement des données — structure préparatoire
Cette structure recense les clauses à intégrer au DPA conclu entre la commune et l’entité contractante qui opère Urgentis. Pour les parcours configurés par la commune, celle-ci agit généralement comme responsable du traitement et Urgentis comme sous-traitant, sous réserve de l’analyse factuelle de chaque finalité.
Ce document aide à préparer le cadrage. Il ne remplace ni le contrat signé, ni une analyse d’impact, ni l’avis d’un avocat ou du DPO de l’organisation.
01
Objet, durée et instructions
Le DPA doit identifier le service concerné, la durée du traitement, les fonctionnalités activées et les instructions documentées de la commune. Urgentis ne peut traiter les données confiées pour une finalité propre incompatible.
- Lister les files, rendez-vous, notifications, tableaux de bord et intégrations réellement activés.
- Désigner les contacts autorisés à donner ou modifier une instruction.
- Prévoir la procédure applicable à une instruction qu’Urgentis estime contraire au droit.
02
Personnes et catégories de données
- Citoyens, représentants, visiteurs et personnes de contact.
- Agents, responsables de service, administrateurs et prestataires autorisés.
- Identité et coordonnées minimales, service demandé, ticket ou rendez-vous, langue, statut et traces de sécurité.
- Exclure par défaut les pièces ou données sensibles qui ne sont pas nécessaires au parcours.
À valider : La commune doit valider une annexe par parcours ; la formule générique « toutes données utiles » est insuffisante.
03
Confidentialité et personnes autorisées
Urgentis doit limiter l’accès à son personnel autorisé, lié par une obligation de confidentialité et formé aux procédures de sécurité. La commune reste responsable de l’attribution des rôles à ses propres agents.
04
Mesures techniques et organisationnelles
- Gestion des identités, comptes nominatifs, moindre privilège et authentification renforcée pour les rôles sensibles.
- Chiffrement en transit et protection adaptée des données au repos.
- Cloisonnement par organisation, journalisation, surveillance et gestion des vulnérabilités.
- Sauvegarde, reprise, continuité, tests et procédure d’incident.
À valider : Les algorithmes, régions, durées et niveaux de service doivent correspondre aux preuves techniques et contrats fournisseurs en vigueur.
05
Sous-traitants ultérieurs et transferts
Le DPA doit renvoyer à une liste exacte et maintenue des prestataires, de leur finalité, de leur lieu de traitement et des garanties applicables. Une procédure d’information et d’opposition doit encadrer tout changement.
À valider : Toute affirmation « 100 % UE » doit être retirée si un canal, support ou fournisseur implique un accès ou un transfert hors EEE.
06
Droits, AIPD et contrôles
- Assistance pour l’accès, la rectification, l’effacement, la limitation et l’opposition.
- Informations nécessaires au registre, à l’AIPD et à une éventuelle consultation de l’APD.
- Droit d’obtenir des preuves raisonnables et modalités d’audit proportionnées.
07
Violation de données
Urgentis informe la commune sans retard injustifié après avoir pris connaissance d’une violation concernant ses données et lui communique les éléments disponibles. La commune décide des notifications réglementaires qui lui incombent.
À valider : Le délai contractuel interne doit permettre à la commune de respecter son propre délai RGPD de 72 heures ; il ne faut pas le présenter comme le délai légal du sous-traitant.
08
Réversibilité, effacement et fin de service
- Choix entre restitution et suppression, sauf conservation légale documentée.
- Formats, calendrier, assistance, sauvegardes et attestation de suppression.
- Traitement des comptes, journaux, tickets actifs et intégrations après résiliation.