Accord de traitement des données

1. Définitions

« Responsable du traitement » désigne le client commercial qui détermine les finalités et les moyens du traitement des renseignements personnels. « Sous-traitant » désigne Seideldexa Inc. (274, avenue Spadina, bureau 301, Toronto (Ontario) M5T 2C2, NE 725891403), qui traite des renseignements personnels pour le compte du responsable du traitement. « Renseignements personnels » désigne toute information concernant une personne physique identifiable. « Traitement » désigne toute opération effectuée sur des renseignements personnels, notamment la collecte, le stockage, l'utilisation, la communication et la suppression. « Sous-traitant ultérieur » désigne un tiers mandaté par le sous-traitant pour traiter des renseignements personnels pour le compte du responsable du traitement.

2. Portée et finalité

Le présent accord de traitement des données complète les conditions d'utilisation conclues entre le responsable du traitement et le sous-traitant. Il s'applique lorsque le sous-traitant manipule des renseignements personnels fournis par le responsable du traitement, ou recueillis pour son compte, dans le cadre de services éditoriaux, d'enquête, de vérification des faits, de production ou de consultation décrits dans l'entente de service.

Le sous-traitant ne traite les renseignements personnels que sur instructions documentées du responsable du traitement, sauf si le droit canadien applicable l'exige autrement.

3. Détails du traitement

• Nature : stockage, organisation, consultation et utilisation structurée de renseignements personnels à des fins de production éditoriale.
• Finalité : exécution des services éditoriaux convenus, notamment la recherche, la création de contenu, la vérification des faits et la production médiatique.
• Catégories de données : noms, coordonnées, titres professionnels, affiliations organisationnelles, transcriptions d'entrevue, documents sources et métadonnées connexes.
• Catégories de personnes concernées : personnes interviewées, sources, contacts du responsable du traitement et personnes mentionnées dans les contenus éditoriaux.
• Durée : pendant la durée de l'entente de service, plus une période de conservation de 24 mois pour les documents archivés, sauf instruction de suppression anticipée du responsable du traitement.

4. Obligations du sous-traitant

Seideldexa Inc. s'engage à :

• traiter les renseignements personnels uniquement selon les instructions documentées du responsable du traitement et les modalités du présent accord;
• veiller à ce que les personnes autorisées à traiter les renseignements soient tenues à la confidentialité;
• mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées, décrites à l'article 7;
• aider le responsable du traitement à répondre aux demandes des personnes concernées, comme prévu à l'article 9;
• ne pas transférer de renseignements personnels à l'extérieur du Canada sans le consentement écrit préalable du responsable du traitement, sauf pour les sous-traitants ultérieurs énumérés à l'article 6;
• mettre à la disposition du responsable du traitement toute l'information nécessaire pour démontrer la conformité au présent accord.

5. Obligations du responsable du traitement

Le responsable du traitement s'engage à :

• s'assurer qu'il a un fondement légitime, y compris le consentement requis par la LPRPDE, pour transmettre des renseignements personnels au sous-traitant;
• fournir des instructions documentées pour le traitement des renseignements personnels;
• informer le sous-traitant, sans délai indu, de tout changement aux exigences de protection des renseignements personnels susceptible d'influer sur ses obligations.

6. Sous-traitants ultérieurs

Le sous-traitant recourt actuellement aux sous-traitants ultérieurs suivants :

Le sous-traitant avise le responsable du traitement au moins 30 jours à l'avance de tout ajout ou remplacement prévu d'un sous-traitant ultérieur. Le responsable du traitement peut s'y opposer par écrit dans les 14 jours. Si l'opposition ne peut être réglée, l'une ou l'autre partie peut mettre fin au service touché.

7. Mesures de sécurité

Le sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes :

• contrôle des accès limitant l'accès aux données aux membres de l'équipe autorisés, selon le principe du besoin de connaître;
• stockage chiffré des documents sensibles et des matériaux sources;
• infrastructure locale pour les enregistrements et l'archivage (et non des services infonuagiques tiers);
• mises à jour logicielles et correctifs de sécurité réguliers sur tous les postes de travail;
• procédures de suppression sécurisée des données dont la période de conservation est échue;
• mesures de sécurité physique dans les locaux du 274, avenue Spadina, bureau 301, à Toronto.

8. Avis en cas d'atteinte à la protection des données

En cas d'atteinte aux mesures de sécurité touchant des renseignements personnels, le sous-traitant avise le responsable du traitement sans délai indu et, dans tous les cas, dans les 72 heures suivant la prise de connaissance. L'avis précise la nature de l'atteinte, les catégories et le nombre approximatif de personnes touchées, les conséquences probables ainsi que les mesures prises ou proposées pour y remédier.

Le sous-traitant collabore avec le responsable du traitement à l'enquête et aux correctifs, et à l'exécution de toute obligation d'aviser le Commissariat à la protection de la vie privée du Canada (CPVP) ou les personnes touchées en vertu de la LPRPDE.

9. Demandes des personnes concernées

Le sous-traitant aide le responsable du traitement à s'acquitter de ses obligations de répondre aux demandes des personnes concernées en vertu de la LPRPDE, notamment les demandes d'accès, de rectification, de suppression et de renseignements sur le traitement. Le sous-traitant transmet promptement au responsable du traitement toute demande reçue directement d'une personne concernée et n'y répond pas de son propre chef, sauf instruction contraire.

10. Droit de vérification

Le responsable du traitement peut vérifier la conformité du sous-traitant au présent accord une fois par année civile, moyennant un préavis écrit de 30 jours. La vérification se déroule pendant les heures normales d'ouverture et ne doit pas entraver indûment les activités du sous-traitant. Le responsable du traitement assume ses propres frais de vérification. Le sous-traitant peut répondre à une demande de vérification en fournissant des certifications, rapports ou résumés pertinents de ses pratiques de sécurité.

11. Retour et suppression des données

À la fin de l'entente de service, le sous-traitant, au choix du responsable du traitement, lui retourne tous les renseignements personnels ou les supprime de façon sécurisée dans les 30 jours. Il ne peut en conserver des copies que si le droit canadien applicable l'exige (par exemple les documents fiscaux conservés sept ans selon les exigences de l'ARC). Sur demande écrite du responsable du traitement, il atteste la suppression par écrit.

Les documents de projet archivés sont conservés 24 mois après la fin du projet, comme l'indiquent les conditions d'utilisation, puis supprimés de façon sécurisée, sauf si le responsable du traitement demande une suppression anticipée ou une conservation prolongée.

12. Droit applicable

Le présent accord est régi par les lois de la province de l'Ontario et les lois fédérales du Canada qui s'y appliquent, dont la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Tout litige découlant du présent accord relève de la compétence exclusive des tribunaux de Toronto, en Ontario.

Pour toute question sur le présent accord, écrivez à la personne-ressource en protection de la vie privée du sous-traitant à [email protected] ou par la poste à l'adresse suivante :

Seideldexa Inc.
274, avenue Spadina, bureau 301
Toronto (Ontario) M5T 2C2
Canada

No de société 1283467 | NE 725891403
Courriel : [email protected]
Téléphone : +1 (416) 962-7834
Heures d'ouverture : du lundi au vendredi, de 9 h à 18 h (HNE).