1.Objet
Cette annexe fait partie intégrante des Conditions commerciales entre le Partenaire et Solutions RFQ. Elle encadre le traitement des renseignements personnels par Solutions RFQ, en tant que sous-traitant, pour le compte du Partenaire.
En cas de contradiction avec l'accord principal, les termes de cette Annexe priment pour tout ce qui concerne la protection des renseignements personnels.
2.Définitions principales
- Autorité de protection des renseignements personnels au Canada : OPC (Commissariat à la protection de la vie privée du Canada) et autorités provinciales (Québec, Colombie-Britannique, Alberta).
- Loi principale applicable : PIPEDA (LPRPDE) et législations provinciales équivalentes.
- Affilié : entité juridique sous contrôle commun ou direct avec une des parties.
- Lois sur la protection des renseignements personnels: PIPEDA, lois provinciales, LCAP, et réglementations relatives à la confidentialité.
3.Communication des renseignements personnels
Les renseignements personnels peuvent être transférés, stockés ou traités à l'extérieur du Canada, notamment dans des juridictions où les lois en matière de protection des données offrent un niveau de protection inférieur à celui prévu par la législation québécoise.
Afin d'assurer un niveau de protection adéquat et conforme aux exigences de la Loi sur la protection des renseignements personnels dans le secteur privé, des mesures contractuelles, techniques (telles que le chiffrement, l'anonymisation, et les contrôles d'accès) et organisationnelles rigoureuses sont mises en place.
Tout sous-traitant impliqué dans le traitement des renseignements personnels est tenu de respecter les mêmes obligations de sécurité, de confidentialité et de conformité que les nôtres.
Chaque partie impliquée dans le transfert ou le traitement des renseignements personnels est responsable de sa propre conformité légale, notamment en ce qui concerne l'information des personnes concernées, l'obtention de leur consentement lorsque requis, et la tenue de registres appropriés.
4.Responsabilités et notifications
Solutions RFQ s'engage à informer le Partenaire dans les plus brefs délais de toute demande émanant d'une autorité gouvernementale ou réglementaire, ainsi que de tout incident de sécurité ou violation de la confidentialité impliquant les renseignements personnels transférés ou traités dans le cadre de la présente entente.
Le Prestataire fournit au Partenaire une assistance raisonnable et diligente afin de lui permettre de respecter ses obligations légales
5.Description du traitement
Solutions RFQ traite les renseignements personnels uniquement aux fins de prestation des services convenus, et conformément à sa Politique de confidentialité en vigueur. Aucun traitement ne peut être effectué à d'autres fins sans instructions écrites et préalables du Partenaire.
Solutions RFQ peut, dans le cadre de l'amélioration continue de ses services, anonymiser les renseignements personnels, à condition que cette anonymisation soit irréversible et conforme aux exigences de la Loi sur la protection des renseignements personnels dans le secteur privé. Les données ainsi anonymisées ne sont plus considérées comme des renseignements personnels au sens de la loi.
6.Mesures de sécurité
Solutions RFQ met en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les renseignements personnels contre toute forme de destruction accidentelle ou illicite, perte, altération, divulgation ou accès non autorisé. Ces mesures incluent notamment le chiffrement des données, l'anonymisation lorsque possible, ainsi que des contrôles d'accès stricts.
L'accès aux renseignements personnels est limité aux seules personnes autorisées, dans le cadre de leurs fonctions, et ces personnes sont tenues à une obligation de confidentialité formelle.
Sur demande écrite du Partenaire, le Prestataire peut fournir un résumé des mesures de sécurité mises en place, incluant les principales protections techniques, physiques et organisationnelles. Ce résumé est fourni à des fins de transparence et de vérification de la conformité.
7.Incidents de confidentialité et gestion des demandes
Notification des violations
En cas d'incident de confidentialité, Solutions RFQ s'engage à informer le Partenaire sans délai, idéalement dans un délai de 72 heures suivant la découverte de l'incident, en fournissant les détails pertinents pour permettre une évaluation rapide des risques et des mesures correctives.
Demandes des personnes concernées
Toute demande reçue de la part d'une personne concernée (ex. : accès, rectification, suppression de ses renseignements personnels) doit être transmise rapidement au Partenaire. Solutions RFQ ne répond pas directement à ces demandes, sauf sur confirmation écrite du Partenaire.
Outils de gestion
Le Partenaire est responsable de la gestion des demandes des personnes concernées et doit utiliser les outils mis à disposition par Solutions RFQ à cette fin, conformément aux modalités convenues.
Assistance du Prestataire
Sur demande écrite du Partenaire, Solutions RFQ peut fournir une assistance raisonnable pour le traitement des demandes ou la gestion des incidents. Cette assistance peut faire l'objet de frais additionnels, selon les modalités prévues au contrat.
8.Sous-traitance
Des sous-traitants peuvent assister Solutions RFQ dans la prestation des services. Ces sous-traitants peuvent inclure, notamment, des opérateurs de centres de données, des fournisseurs de solutions infonuagiques (cloud) ou d'autres prestataires de services externalisés.
Solutions RFQ conclura avec chaque sous-traitant un contrat écrit incluant des clauses de protection des renseignements personnels équivalentes à celles prévues dans le présent Accord. Solutions RFQ demeure responsable envers le Partenaire de tout manquement de ses sous-traitants à ces obligations, dans les limites prévues par la loi applicable.