Entente de traitement des données

La présente Entente de traitement des données (« ETD ») énonce certaines des obligations des Parties relativement à la protection des Données personnelles, dans le cadre de la prestation ou de la réception des Services en vertu des Conditions de service de Fourwaves. La présente ETD est intégrée par renvoi aux Conditions de service de Fourwaves.

Tout manquement des Parties à leurs engagements, déclarations ou autres obligations prévus dans la présente ETD constitue un manquement aux Conditions de service de Fourwaves et un cas de défaut en vertu de celles-ci, à l’égard duquel les Parties disposent de tous les droits et recours prévus dans les Conditions de service de Fourwaves.

1. Définitions

Dans la présente ETD, les termes suivants ont le sens qui leur est attribué ci-après. Les termes commençant par une majuscule qui sont définis dans les Conditions de service de Fourwaves ont le sens qui leur est attribué dans celles-ci.

1.1 « Données du compte » désigne le nom, l’adresse courriel et les coordonnées des Membres Fourwaves, ainsi que les autres renseignements fournis par les Membres Fourwaves qui ne sont pas associés à un Événement précis.

1.2 « Société affiliée », à l’égard du Client ou de Fourwaves, désigne toute société par actions, société de personnes, société à responsabilité limitée ou autre entité, nationale ou étrangère, (a) dont une participation majoritaire est détenue, directement ou indirectement, par une Partie aux Conditions de service de Fourwaves, ou (b) qui est contrôlée par une Partie aux Conditions de service de Fourwaves ou qui est sous contrôle commun avec celle-ci.

1.3 « Lois sur la protection des données » désigne l’ensemble des lois et règlements applicables au traitement des Données personnelles, tels qu’ils peuvent être modifiés de temps à autre, y compris, sans s’y limiter, la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) et, pour les organismes publics, la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (RLRQ, c. A-2.1), la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), le Règlement général sur la protection des données (RGPD européen et RGPD du Royaume-Uni) et la California Consumer Privacy Act (CCPA).

1.4 « Europe » désigne l’Union européenne, l’Espace économique européen et/ou leurs États membres, la Suisse et le Royaume-Uni.

1.5 « Données européennes » désigne les Données personnelles qui bénéficient de la protection des Lois européennes sur la protection des données.

1.6 « Lois européennes et britanniques sur la protection des données » désigne les lois sur la protection des données applicables en Europe et au Royaume-Uni, dans chaque cas telles qu’elles peuvent être modifiées, remplacées ou abrogées.

1.7 « Membres Fourwaves » désigne les personnes physiques qui ont créé un compte sur la Plateforme Fourwaves.

1.8 « Participant » désigne une personne physique qui s’inscrit à un Événement ou qui saisit des renseignements (y compris en remplissant un formulaire électronique) sur le site web d’un événement organisé par un Client, que ce soit par l’intermédiaire de la Plateforme Fourwaves ou autrement.

1.9 « Données personnelles » désigne toute information se rapportant à une personne physique identifiée ou identifiable. Est réputée être une personne physique identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation ou un identifiant en ligne, ou à un ou plusieurs éléments propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale, au sens des Lois sur la protection des données applicables.

1.10 « Incident de sécurité » (ou « Incident ») désigne tout accès non autorisé à des Données personnelles, toute utilisation, communication, modification, perte ou destruction non autorisée de celles-ci, ou toute autre atteinte à la protection des Données personnelles.

1.11 « Services » désigne les services fournis par Fourwaves qui sont décrits dans les Conditions de service de Fourwaves.

1.12 « Sous-traitant » désigne tout tiers mandaté par une Partie pour traiter des Données personnelles.

1.13 « Autorité de contrôle » désigne toute autorité de réglementation chargée de l’application des Lois sur la protection des données.

2. Rôles des Parties

2.1 Fourwaves agit à titre de responsable du traitement distinct à l’égard des Données du compte.

2.2 Sauf en ce qui concerne les Données du compte, Fourwaves traite les Données personnelles relatives aux Participants pour le compte du Client.

2.3 Chacune des Parties se conforme à ses obligations respectives en vertu des Lois sur la protection des données et à celles décrites dans sa propre politique de confidentialité en ce qui concerne son traitement des Données personnelles.

3. Traitement des Données personnelles

3.1 En ce qui concerne les Données personnelles traitées pour le compte du Client:

3.1.1 Fourwaves ne traite ces Données personnelles que pour le compte du Client et conformément à ses instructions, et traite ces Données personnelles comme des Renseignements confidentiels du Client.

3.1.2 Le Client donne instruction à Fourwaves de traiter ces Données personnelles aux fins suivantes:

3.1.2.1 le traitement uniquement et exclusivement conformément aux Conditions de service de Fourwaves et à la Politique de confidentialité de Fourwaves, et seulement dans la mesure nécessaire pour fournir et exécuter les Services; et

3.1.2.2 le traitement visant à se conformer aux autres instructions raisonnables données de temps à autre par le Client, lorsque ces instructions sont compatibles avec les modalités des Conditions de service de Fourwaves et de la présente ETD.

3.1.3 Fourwaves informe sans délai le Client si, selon son opinion raisonnable, elle estime qu’une instruction donnée par le Client contrevient aux Lois sur la protection des données.

3.2 Fourwaves traite les Données du compte conformément aux Lois sur la protection des données applicables.

4. Localisation des données et transferts transfrontaliers

4.1 Fourwaves héberge les Données du Client, y compris les sauvegardes, au Québec, au Canada, sur l’infrastructure d’Amazon Web Services.

4.2 Fourwaves ne communique des Données personnelles à l’extérieur du Québec que (a) aux Sous-traitants nommés dans la Liste des sous-traitants, aux fins qui y sont indiquées, certaines ne s’appliquant que lorsque le Client active la fonctionnalité concernée; et (b) au personnel de Fourwaves qui y accède depuis l’extérieur du Québec, sous les mêmes engagements de confidentialité, contrôles d’accès et mesures de sécurité que le personnel au Québec.

4.3 Fourwaves ne déplace pas l’hébergement des Données du Client à l’extérieur du Québec sans un préavis d’au moins quatre-vingt-dix (90) jours au Client, pendant lequel le Client peut résilier les Services visés sans pénalité.

4.4 Chaque Partie veille à ce que tout transfert de Données personnelles entre territoires soit autorisé par les Lois sur la protection des données.

4.5 Fourwaves ne transfère pas de Données européennes et britanniques vers un pays ou à un destinataire qui n’est pas reconnu comme assurant un niveau de protection adéquat des Données personnelles (au sens des Lois européennes et britanniques sur la protection des données applicables), à moins d’avoir préalablement pris toutes les mesures nécessaires pour garantir que le transfert est conforme aux Lois européennes et britanniques sur la protection des données applicables. Ces mesures peuvent comprendre (sans s’y limiter) le transfert de ces données à un destinataire couvert par un cadre approprié ou par un autre mécanisme de transfert juridiquement adéquat, reconnu par les autorités ou tribunaux compétents comme assurant un niveau de protection adéquat des Données personnelles, à un destinataire ayant obtenu l’approbation de règles d’entreprise contraignantes conformément aux Lois européennes et britanniques sur la protection des données, ou à un destinataire ayant conclu des clauses contractuelles types appropriées, dans chaque cas telles qu’adoptées ou approuvées conformément aux Lois européennes et britanniques sur la protection des données applicables.

5. Sécurité

5.1 Fourwaves veille à ce que toutes les personnes ou Parties participant au traitement des Données personnelles:

a) aient suivi une formation appropriée sur les Lois sur la protection des données et les pratiques de sécurité, et aient eu accès aux politiques et procédures constituant le programme de sécurité de l’information de Fourwaves;

b) aient signé une entente de confidentialité avec Fourwaves. À la demande du Client, Fourwaves fournit un engagement de confidentialité, signé par un représentant autorisé de Fourwaves, visant l’ensemble du personnel susceptible d’accéder aux Données personnelles du Client; et

c) soient soumises à des processus d’authentification des utilisateurs et d’ouverture de session lorsqu’elles accèdent aux Données personnelles.

5.2 Fourwaves préserve la confidentialité des Données personnelles et donne à son personnel et à ses Sous-traitants des instructions quant à la confidentialité des Données personnelles.

5.3 Fourwaves met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité des Données personnelles adapté au risque et prend toutes les mesures requises en vertu des Lois sur la protection des données applicables. Dans l’évaluation du niveau de sécurité approprié, chaque Partie tient compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération ou de la divulgation non autorisée de Données personnelles transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite.

6. Gestion des Incidents de sécurité

6.1 Fourwaves avise le Client de tout Incident de sécurité confirmé ou raisonnablement soupçonné impliquant des Données personnelles relatives aux Participants, sans délai indu et, pour un Incident de sécurité confirmé, au plus tard 72 heures après sa confirmation. Dès la détection d’un Incident de sécurité impliquant des Données personnelles relatives aux Participants, chaque Partie doit:

a) Coopérer pleinement avec l’autre Partie dans l’enquête sur l’Incident de sécurité et la réponse à celui-ci.

b) Identifier les Données personnelles relatives aux Participants qui sont touchées.

c) Prendre immédiatement des mesures pour contenir l’Incident de sécurité et préserver les éléments de preuve nécessaires à toute enquête.

d) Mener une enquête technico-légale approfondie sur l’Incident de sécurité, conforme aux meilleures pratiques de l’industrie, et communiquer à l’autre Partie les résultats de toutes les enquêtes, lesquels comprennent notamment, sans s’y limiter: (1) une description complète des circonstances entourant l’Incident de sécurité; (2) une description des éléments de preuve examinés et des analyses effectuées; (3) l’identification de la cause fondamentale de l’Incident de sécurité, si elle a été déterminée; et (4) une détermination quant à savoir si des Données personnelles ont fait l’objet d’un accès ou d’une acquisition non autorisés.

e) Coopérer avec l’autre Partie dans la mesure raisonnablement nécessaire pour faciliter le respect de toutes les lois et de tous les règlements applicables.

7. Sous-traitance

7.1 Fourwaves peut faire appel à des Sous-traitants pour traiter les Données personnelles sous son contrôle, conformément aux exigences des Lois sur la protection des données applicables. Les Sous-traitants actuels sont nommés dans la Liste des sous-traitants. Fourwaves donne au Client un préavis d’au moins trente (30) jours avant qu’un nouveau Sous-traitant commence à traiter les Données personnelles du Client, en mettant à jour cette liste et par courriel aux Clients qui demandent à recevoir ces avis à privacy@fourwaves.com. Lorsqu’un remplacement est nécessaire de façon urgente pour protéger la sécurité ou la continuité des Services, Fourwaves donne l’avis dès que possible après le changement.

7.2 Le Client peut s’opposer à un nouveau Sous-traitant, pour des motifs raisonnables liés à la protection des Données personnelles, dans les trente (30) jours suivant l’avis. Les Parties discutent alors de bonne foi des préoccupations du Client en vue de parvenir à une solution commercialement raisonnable. Si aucune solution ne peut être trouvée, Fourwaves, à sa seule discrétion, renonce à la nomination du nouveau Sous-traitant, veille à ce qu’aucune Donnée du Client ne soit traitée par ce nouveau Sous-traitant, ou permet au Client de résilier les Services visés sans pénalité et sans responsabilité pour l’une ou l’autre des Parties (mais sans préjudice des frais engagés par le Client avant la résiliation).

7.3 Aux fins de la clause 9(c) des Clauses contractuelles types, le Client reconnaît que les ententes conclues avec les Sous-traitants peuvent être assujetties à des obligations de confidentialité. Fourwaves déploie des efforts raisonnables pour exiger de tout Sous-traitant qu’il permette la divulgation au Client de l’entente conclue avec lui, et fournit (à titre confidentiel) tous les renseignements raisonnablement disponibles aux fins de divulgation.

8. Audit

8.1 Sur demande, chaque Partie fournit à l’autre Partie l’information raisonnablement nécessaire pour démontrer sa conformité à la présente ETD et aux Lois sur la protection des données en ce qui concerne son traitement des Données personnelles pour le compte de l’autre Partie.

8.2 Sauf disposition expresse contraire dans la présente ETD, les Parties n’ont aucune obligation d’accepter un audit par l’autre Partie relativement à leur propre traitement des Données personnelles lorsqu’elles agissent à titre de responsable du traitement.

8.3 Fourwaves fournit au Client une assistance raisonnable pour la réalisation des analyses d’impact relatives à la protection des données, y compris les évaluations des facteurs relatifs à la vie privée exigées par la loi québécoise, et dans ses échanges avec les autorités de contrôle ou les autres autorités compétentes en matière de protection des données, dans la mesure requise par les Lois sur la protection des données. Le Client reconnaît que cette assistance n’est fournie que dans la mesure nécessaire au respect des Lois sur la protection des données.

9. Droits des personnes concernées

9.1 Chaque Partie coopère avec l’autre, dans la mesure raisonnablement demandée, relativement à:

a) toute demande provenant de personnes dont les Données personnelles sont traitées par l’une ou l’autre des Parties;

b) toute autre communication d’une personne concernée ou d’un particulier au sujet du traitement de ses Données personnelles; et

c) toute communication d’une Autorité de contrôle au sujet du traitement des Données personnelles ou du respect des Lois sur la protection des données.

9.2 Fourwaves transmet sans délai au Client toute demande de renseignements concernant les Données personnelles, sauf lorsque cette demande ne concerne que les Données du compte.

9.3 Fourwaves peut répondre directement aux demandes d’une personne concernée qui souhaite faire retirer ses données personnelles de la Plateforme. Fourwaves déploie des efforts raisonnables pour en aviser les Clients touchés.

10. Suppression ou restitution des Données personnelles

10.1 Sur demande écrite du Client, Fourwaves doit, en ce qui concerne les Données personnelles traitées pour le compte du Client:

a) restituer au Client une copie complète de ces Données personnelles par transfert de fichiers sécurisé ou au moyen des fonctions d’exportation de la Plateforme; et/ou

b) supprimer de manière sécurisée toutes les copies de ces Données personnelles, y compris les versions antérieures des fichiers, de ses systèmes de production dans les trente (30) jours suivant la demande, à l’exception de ce que Fourwaves doit conserver en vertu de la loi applicable, comme les dossiers de paiement et fiscaux, qui ne sont conservés qu’à cette fin et pour cette durée. Les copies de sauvegarde qui les contiennent sont supprimées définitivement à leur expiration, au plus tard quatorze (14) jours après la suppression en production.

Sur demande, Fourwaves fournit une attestation écrite confirmant qu’elle s’est conformée au présent article 10.

10.2 La suppression prévue au présent article se fait à la demande du Client. La fin d’un Événement ou d’un forfait payant ne met pas fin à l’Entente: l’Entente demeure en vigueur tant que le compte du Client existe, y compris sur un forfait gratuit, et prend fin lorsque le Client demande par écrit la suppression de son compte ou de ses données, sous réserve de la politique de conservation des données des Conditions de service de Fourwaves.

10.3 Le présent article ne s’applique pas aux Données du compte, que Fourwaves traite à titre de responsable du traitement distinct. Chaque Membre Fourwaves peut supprimer son compte en tout temps.

11. Indemnisation

11.1 Chaque Partie convient d’indemniser, de défendre et de dégager de toute responsabilité l’autre Partie ainsi que ses dirigeants, administrateurs, employés, sous-licenciés et mandataires à l’égard de l’ensemble des réclamations, pertes, demandes, responsabilités, dommages, règlements, dépenses et frais (y compris, sans s’y limiter, les honoraires et frais d’avocats), ainsi que de l’ensemble des réclamations, pertes, demandes, responsabilités, dommages, règlements, dépenses et frais appréhendés, découlant d’allégations ou fondés sur des allégations (a) de tout Incident de sécurité causé par l’acte fautif ou la négligence de la Partie indemnisante, (b) de tout manquement à la présente ETD par la Partie indemnisante ou (c) de tout défaut de la Partie indemnisante de se conformer aux Lois sur la protection des données applicables. La responsabilité globale de chaque Partie en vertu du présent article 11 ne peut excéder deux fois (2x) les frais payés ou payables par le Client à Fourwaves au cours des douze (12) mois précédant la réclamation, sauf lorsque la loi applicable ne permet pas une telle limite, notamment en cas de faute intentionnelle ou lourde. Cette limite remplace, pour le présent article, les limites de responsabilité des Conditions de service de Fourwaves.

11.2 Aucune Partie n’est tenue d’indemniser l’autre Partie en vertu de la présente ETD pour une réclamation fondée sur la faute ou sur l’acte ou l’omission négligent de cette autre Partie ou de ses représentants ou employés.

12. Dispositions générales

12.1 Toute obligation imposée par la présente ETD relativement au traitement des Données personnelles, y compris, sans s’y limiter, l’obligation d’indemnisation prévue aux présentes, survit à la résiliation ou à l’expiration de la présente ETD et des Conditions de service de Fourwaves.

12.2 En ce qui concerne l’objet de la présente ETD, en cas d’incompatibilité entre les dispositions de la présente ETD et celles de toute autre entente entre les Parties, y compris, sans s’y limiter, les Conditions de service de Fourwaves, les dispositions de la présente ETD prévalent en ce qui concerne la protection des Données personnelles.

12.3 Si une disposition de la présente ETD est invalide ou inexécutoire, le reste de la présente ETD demeure valide et en vigueur. La disposition invalide ou inexécutoire est soit (i) modifiée dans la mesure nécessaire pour en assurer la validité et le caractère exécutoire, tout en préservant le plus fidèlement possible l’intention des Parties, soit, si cela n’est pas possible, (ii) interprétée comme si la partie invalide ou inexécutoire n’y avait jamais figuré.

12.4 La présente ETD est régie par les lois applicables aux Conditions de service de Fourwaves, et les différends relatifs à la présente ETD sont traités de la manière prévue dans les Conditions de service de Fourwaves.