Le contractant aide le responsable du traitement à satisfaire aux obligations qui lui incombent en  vertu des articles 33 à 41 du règlement (UE) 2018/1725, à savoir:  Le contractant tient un registre contenant toutes les opérations de traitement de données effectuées  pour le compte du responsable du traitement, les transferts de données à caractère personnel, les  violations de la sécurité, les suites données aux demandes soumises par des personnes dont les  données à caractère personnel ont été traitées en vue d'exercer leurs droits et les demandes d'accès  aux données à caractère personnel par des tiers.  Le pouvoir adjudicateur est soumis au protocole nº 7 sur les privilèges et immunités de l'Union  européenne figurant dans le traité sur le fonctionnement de l'Union européenne, notamment en ce  qui concerne l'inviolabilité des archives (y compris la localisation physique des données et des  services comme prévu à l'article I.9.2) et la sécurité des données, ce qui comprend les données à  caractère personnel détenues pour le compte du pouvoir adjudicateur dans les locaux du contractant  ou du sous-traitant.  Le contractant informe sans délai le pouvoir adjudicateur de toute demande juridiquement  contraignante de divulgation des données à caractère personnel traitées pour le compte du pouvoir  adjudicateur qui lui est adressée par une autorité publique nationale, y compris une autorité d'un  pays tiers. Le contractant n'est pas autorisé à accorder cet accès sans l'autorisation écrite préalable  du pouvoir adjudicateur.  La durée du traitement des données à caractère personnel par le contractant n'excédera pas la  période indiquée à l'article II.22.2. À l'issue de cette période, le contractant doit, selon le choix du  responsable du traitement, restituer dans les meilleurs délais et dans un format arrêté d'un commun  accord toutes les données à caractère personnel traitées pour le compte du responsable du  traitement, ainsi que les copies de ces données, ou détruire de manière effective toutes les données à  caractère personnel à moins que le droit de l'Union ou le droit national n'exige de les conserver plus  longtemps.  Aux fins de l'article II.10, si tout ou partie du traitement des données à caractère personnel est sous- traité à un tiers, le contractant transmet par écrit à ces parties, y compris aux sous-traitants, les  obligations visées aux articles I.9.2 et II.9.2. À la demande du pouvoir adjudicateur, le contractant  doit fournir un document attestant de cet engagement.  II.10 SOUS-TRAITANCE  a)  garantir le respect de ses obligations en matière de protection des données en ce qui concerne  la sécurité du traitement et la confidentialité des communications électroniques et des  annuaires d'utilisateurs;  b)  notifier au Contrôleur européen de la protection des données toute violation de données à  caractère personnel;  c)  communiquer une violation de données à caractère personnel à la personne concernée dans les  meilleurs délais, le cas échéant;  d)  effectuer des analyses d'impact relatives à la protection des données et des consultations  préalables dans la mesure nécessaire.  II.10.1  Le contractant ne peut sous-traiter ni confier l'exécution du CC à des tiers autres que ceux  déjà mentionnés dans son offre sans autorisation écrite préalable du pouvoir adjudicateur.  II.10.2  Même si le pouvoir adjudicateur autorise la sous-traitance, le contractant reste lié par ses  obligations contractuelles et est le seul responsable de l' exécution du CC .  II.10.3  Le contractant doit veiller à ce que le contrat de sous-traitance ne porte pas atteinte aux  droits du pouvoir adjudicateur en vertu du CC, et notamment ceux visés aux articles II.8,  II.13 et II.22.  II.10.4  Le pouvoir adjudicateur peut demander au contractant de remplacer un sous-traitant se  trouvant dans une des situations visées aux points d) et e) de l'article II.18.1.  20  FR