Convention de traitement des données (DPA)

1. Objet et champ d'application

La présente Convention de traitement des données (ci-après la « DPA ») complète les Conditions d'utilisation et de service de Flatoutserver ainsi que la Politique de confidentialité. Elle s'applique exclusivement aux relations B2B (entre entreprises) dans lesquelles Flatoutserver est amené, dans le cadre de l'exécution d'un Mandat, à traiter des données personnelles appartenant à des personnes tierces pour le compte du Client (par exemple : sources interviewées, personnes citées dans un reportage, contacts professionnels du Client).

La présente DPA ne s'applique pas aux données personnelles que le Client fournit sur lui-même à des fins contractuelles, lesquelles sont régies par la Politique de confidentialité.

En confirmant un Mandat, le Client accepte les termes de la présente DPA.

2. Définitions

Responsable du traitement

L'entité qui détermine les finalités et les moyens du traitement des données personnelles. Dans le cadre de la présente DPA, le Client est le responsable du traitement des données des tiers qu'il transmet à Flatoutserver.

Sous-traitant

L'entité qui traite des données personnelles pour le compte du responsable du traitement. Flatoutserver agit comme sous-traitant dans le cadre de la présente DPA.

Données personnelles

Tout renseignement concernant un individu identifiable, au sens de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE, L.C. 2000, ch. 5).

Violation de données

Tout incident de sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données personnelles, au sens de la LPRPDE.

3. Rôles

Dans le contexte de la présente DPA :

• Le Client est le responsable du traitement des données personnelles de tiers transmises à Flatoutserver dans le cadre d'un Mandat.
• Flatoutserver agit comme sous-traitant de ces données, en traitant exclusivement les données personnelles selon les instructions documentées du Client et uniquement dans la mesure nécessaire à l'exécution du Mandat.

Chaque Partie s'engage à respecter les obligations qui lui incombent en vertu de la LPRPDE dans l'exercice de son rôle respectif.

4. Instructions de traitement

Flatoutserver ne traite les données personnelles qui lui sont confiées que :

• Sur la base d'instructions écrites documentées du Client (courriel de mandat, cahier des charges, accord contractuel);
• Dans la limite stricte du périmètre du Mandat défini;
• Pour les finalités journalistiques ou de consultation expressément convenues.

Si Flatoutserver estime qu'une instruction du Client viole la LPRPDE ou toute autre loi applicable, il en informera le Client sans délai par écrit. Flatoutserver pourra suspendre l'exécution de l'instruction concernée jusqu'à clarification, sans que cela constitue un manquement à ses obligations contractuelles.

5. Sous-traitants

Flatoutserver fait appel aux sous-traitants suivants pour l'hébergement et la transmission des données dans le cadre de ses activités :

• Amazon Web Services Canada
  120 Bremner Blvd, Suite 2000, Toronto, Ontario M5J 0A8
  Rôle : hébergement de l'infrastructure du site Web. Les données sont traitées et stockées au Canada.
  Conformité : aws.amazon.com/fr/compliance/canada-data-privacy/
• FormSubmit.co
  Service américain de transmission de formulaires de contact.
  Rôle : acheminement des demandes de contact vers Flatoutserver. Les données transitent temporairement aux États-Unis avec les garanties adéquates de protection applicables à la LPRPDE.

Tout changement de sous-traitant sera notifié au Client avec un préavis raisonnable, lui permettant de s'y opposer si le nouveau sous-traitant présente des risques inacceptables pour la protection des données.

6. Droits des personnes concernées

Lorsqu'une personne concernée exerce ses droits (accès, rectification, suppression, retrait du consentement) auprès du Client en lien avec des données traitées par Flatoutserver dans le cadre d'un Mandat, Flatoutserver s'engage à :

• Assister le Client dans le traitement de ces demandes dans les meilleurs délais;
• Fournir les informations pertinentes dont il dispose dans un délai permettant au Client de respecter son obligation de réponse de 30 jours prévue par la LPRPDE;
• Ne pas répondre directement aux personnes concernées sans l'autorisation préalable du Client, sauf obligation légale contraire.

7. Sécurité des données

Flatoutserver met en oeuvre les mesures de sécurité techniques et organisationnelles suivantes pour protéger les données personnelles traitées dans le cadre des Mandats :

• Chiffrement en transit : toutes les communications entre le navigateur et le serveur utilisent le protocole TLS (Transport Layer Security).
• Contrôle des accès : les données des Clients ne sont accessibles qu'aux membres de Flatoutserver directement impliqués dans le Mandat concerné.
• Confidentialité du personnel : les collaborateurs de Flatoutserver sont tenus par des obligations de confidentialité dans le cadre de leurs contrats.
• Conservation limitée : les données personnelles confiées par le Client sont conservées pour une durée maximale de 24 mois après la fin du Mandat, conformément aux conditions contractuelles.

8. Violations de données

En cas de violation de données personnelles confiées par le Client, Flatoutserver s'engage à :

• Notifier le Client dans un délai de 72 heures à compter du moment où Flatoutserver en a pris connaissance;
• Fournir, dans la notification, toutes les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables et mesures prises ou envisagées;
• Coopérer pleinement avec le Client pour atténuer les effets de la violation et respecter les obligations de notification à l'OPC qui lui incombent.

Si des informations complémentaires ne sont pas disponibles dans le délai de 72 heures, Flatoutserver communiquera une première notification partielle et la complètera dès que possible.

9. Durée et suppression

La présente DPA prend effet à la confirmation du Mandat et demeure en vigueur jusqu'à l'expiration de la période de conservation des données.

À l'issue du Mandat, et sur demande écrite du Client, Flatoutserver s'engage à :

• Supprimer ou restituer l'ensemble des données personnelles des tiers transmises par le Client dans un délai de 30 jours suivant la fin du Mandat;
• Fournir une confirmation écrite de la suppression effective.

Par dérogation, les données contenues dans des documents comptables sont conservées pendant 7 ans conformément aux obligations fiscales de l'Agence du revenu du Canada. Ces documents sont protégés par des mesures de sécurité appropriées pendant toute la durée de leur conservation obligatoire.

10. Droit applicable

La présente Convention de traitement des données est régie par les lois de la province d'Ontario et les lois fédérales du Canada, notamment la LPRPDE. Tout litige découlant de la présente DPA sera soumis à la compétence exclusive de la Cour supérieure de justice de l'Ontario, division d'Ottawa.

En cas de conflit entre la présente DPA et les Conditions d'utilisation et de service, les dispositions de la présente DPA prévalent pour les questions relatives au traitement des données personnelles.