Déclaration de confidentialité des services numériques Microsoft 365

Dans le cadre de leurs missions de service public et de la modernisation de leurs pratiques numériques, la Communauté de communes de l’Ernée et les collectivités membres du service commun Systèmes d’Information mettent à disposition de leurs agents, élus, partenaires et usagers un ensemble de services numériques reposant notamment sur la plateforme Microsoft 365.

L’utilisation de ces outils peut nécessiter la collecte, l’enregistrement, la consultation, le partage ou la conservation de données à caractère personnel. Conscientes des enjeux liés à la protection de la vie privée et à la sécurité des informations, les collectivités concernées s’engagent à traiter ces données dans le respect du Règlement Général sur la Protection des Données (RGPD), de la loi Informatique et Libertés et des principes de transparence, de proportionnalité et de sécurité.

La présente déclaration de confidentialité a pour objet d’informer les utilisateurs des conditions dans lesquelles leurs données personnelles sont collectées et utilisées dans le cadre des services numériques mutualisés, des finalités poursuivies, des droits dont ils disposent ainsi que des moyens mis en œuvre pour assurer la protection de leurs informations.

Chaque collectivité demeure responsable des traitements qu’elle réalise dans le cadre de ses compétences et missions. Le service commun Systèmes d’Information assure pour sa part l’administration technique et la sécurisation des infrastructures numériques mutualisées mises à disposition des collectivités adhérentes.

L’utilisation des services numériques de la Communauté de communes de l’Ernée et des collectivités membres implique la prise de connaissance de la présente déclaration de confidentialité.

Table des matières

1. Protection des données personnelles 3

2. Responsable(s) de traitement 3

3. Organisation du tenant mutualisé 3

4. Services concernés 3

5. Finalités des traitements 3

6. Catégories de données traitées 4

7. Base juridique 4

8. Destinataires des données 4

9. Hébergement et sous-traitance 4

10. Durée de conservation 4

11. Sécurité 4

12. Vos droits 4

13. Exercice des droits 5

14. Réclamation 5

Implémentation technique dans le Tenant M365 : M365 Centre d’Administration > Accueil > Paramètres > Paramètres de l’organisation > Sécurité et confidentialité > Profil de confidentialité – Définissez la déclaration de confidentialité de votre organisation.

Déclaration de confidentialité des services numériques Microsoft 365

1. Protection des données personnelles

La Communauté de communes de l’Ernée et les communes membres du service commun Systèmes d’Information accordent une importance particulière à la protection des données à caractère personnel et s’engagent à respecter les dispositions du Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données (RGPD) et de la loi Informatique et Libertés.

Cette déclaration de confidentialité a pour objet d’informer les utilisateurs des traitements de données réalisés dans le cadre de l’utilisation des services numériques reposant sur la plateforme Microsoft 365.

2. Responsable(s) de traitement

Selon les usages et les traitements concernés, le responsable de traitement peut être :

La Communauté de communes de l’Ernée ;
Une commune membre du service commun Systèmes d’Information ;
Un établissement public rattaché utilisant les services du tenant mutualisé.

Chaque collectivité demeure responsable des traitements qu’elle met en œuvre dans le cadre de ses missions.

3. Organisation du tenant mutualisé

La Communauté de communes de l’Ernée met à disposition des collectivités adhérentes au service commun Systèmes d’Information une plateforme numérique mutualisée reposant sur Microsoft 365.

Dans ce cadre, le tenant Microsoft 365 est administré techniquement par le service commun Systèmes d’Information de la Communauté de communes de l’Ernée, qui assure notamment son exploitation, sa maintenance, sa sécurité et la gestion des habilitations.

Cette mutualisation des moyens techniques est sans incidence sur les responsabilités juridiques de chaque collectivité. Les communes, établissements et organismes adhérents demeurent responsables des traitements de données qu’ils mettent en œuvre dans le cadre de leurs compétences et missions respectives, conformément au Règlement Général sur la Protection des Données (RGPD).

Chaque collectivité détermine ainsi les finalités, les bases légales, les durées de conservation et les modalités de traitement applicables aux données qu’elle collecte ou exploite au moyen des services numériques mutualisés.

4. Services concernés

Cette déclaration couvre notamment les services suivants :

Microsoft Exchange Online (messagerie électronique) ;
Microsoft Outlook ;
Microsoft Teams ;
SharePoint Online ;
OneDrive Entreprise ;
Microsoft Forms ;
Microsoft Lists ;
Microsoft Planner ;
Microsoft To Do ;
Microsoft Bookings ;
Microsoft Loop ;
Microsoft Copilot pour Microsoft 365 ;
ainsi que tout autre service intégré au tenant Microsoft 365 mutualisé.

5. Finalités des traitements

Les données collectées et traitées au travers de ces services ont pour finalités :

la gestion des activités administratives des collectivités ;
la communication interne et externe ;
la gestion des projets et des dossiers ;
le partage et l’archivage de documents ;
la gestion des réunions et événements ;
la réalisation d’enquêtes, de formulaires et de démarches administratives ;
la collaboration entre agents, élus et partenaires ;
la sécurité des systèmes d’information ;
la gestion des habilitations, accès et authentification ;
la continuité de service et le support informatique.

6. Catégories de données traitées

Selon les usages, les catégories de données suivantes peuvent être traitées :

identité (nom, prénom) ;
coordonnées professionnelles ou personnelles communiquées volontairement ;
fonction, service ou collectivité d’appartenance ;
données contenues dans les messages électroniques ;
données contenues dans les documents et fichiers partagés ;
réponses à des formulaires ou enquêtes ;
journaux de connexion et données techniques nécessaires à la sécurité et à l’administration des services.

Les données collectées sont limitées à celles strictement nécessaires aux finalités poursuivies.

7. Base juridique

Les traitements sont fondés sur :

l’exécution d’une mission d’intérêt public ;
le respect des obligations légales auxquelles sont soumises les collectivités ;
l’exécution de mesures précontractuelles ou contractuelles lorsque cela est applicable ;
le consentement de la personne concernée lorsque celui-ci est requis.

8. Destinataires des données

Les données sont accessibles uniquement :

aux agents et élus habilités ;
aux prestataires intervenant pour le compte des collectivités dans la limite de leurs missions ;
aux services informatiques chargés de l’administration du tenant ;
à Microsoft, en qualité de sous-traitant au sens du RGPD, dans le cadre de la fourniture des services Microsoft 365.

9. Hébergement et sous-traitance

Les services sont fournis par Microsoft Ireland Operations Limited et ses entités affiliées conformément aux engagements contractuels de Microsoft relatifs à la protection des données personnelles. Les données sont hébergées dans les infrastructures cloud de Microsoft conformément aux engagements de localisation et de sécurité applicables aux services Microsoft 365.

10. Durée de conservation

Les données sont conservées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées.

Certaines données peuvent être conservées plus longtemps afin de satisfaire à des obligations légales, réglementaires, comptables, archivistiques ou probatoires.

11. Sécurité

La Communauté de communes de l’Ernée, les communes membres et le service commun SI mettent en œuvre des mesures techniques et organisationnelles destinées à assurer :

la confidentialité des données ;
l’intégrité des informations ;
la disponibilité des services ;
la traçabilité des accès ;
la protection contre les accès non autorisés, pertes, destructions ou divulgations accidentelles.