La présente entente (« DPA ») complète les Conditions générales d’utilisation conclues entre le Client identifié à l’annexe I et Conformaze, exploitant la plateforme du même nom (« Conformaze »).
Elle encadre la sous-traitance par Conformaze des renseignements personnels dont le Client est responsable, conformément à l’article 18.3 de la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25) et à l’article 28 du Règlement général sur la protection des données (RGPD).
Les termes « renseignement personnel », « personne concernée », « responsable », « sous-traitant », « violation » ont le sens que leur donnent la Loi 25 et le RGPD. « Sous-traitant ultérieur » désigne tout tiers à qui Conformaze confie une partie du traitement.
Conformaze traite les renseignements personnels du Client pour les finalités d’hébergement, d’opération, de support et de journalisation des fonctionnalités décrites dans les CGU et complétées à l’annexe I, pendant la durée du contrat principal.
Conformaze ne traite les renseignements personnels que sur instructions documentées du Client, y compris en matière de transferts hors Québec ou hors Canada. Conformaze informe sans délai le Client si une instruction lui paraît contraire à la Loi 25 ou au RGPD.
Conformaze garantit que toute personne ayant accès aux renseignements personnels est tenue à un engagement de confidentialité écrit et a reçu une formation appropriée.
Conformaze met en œuvre les mesures techniques et organisationnelles décrites à l’annexe II, proportionnelles à la sensibilité des données.
Le Client autorise les sous-traitants ultérieurs listés à l’annexe III. Toute modification de cette liste est notifiée au moins 30 jours avant son entrée en vigueur. Le Client peut s’y opposer pour motif légitime ; à défaut d’accord, chaque partie pourra résilier le contrat principal.
Conformaze met à disposition du Client les fonctionnalités lui permettant de répondre aux demandes des personnes concernées dans les délais légaux. Conformaze relaie sans délai au Client toute demande qu’elle reçoit directement.
Conformaze notifie le Client sans délai injustifié dès qu’elle prend connaissance d’un incident de confidentialité touchant ses données, et au plus tard dans les 48 heures, afin que le Client puisse satisfaire à son obligation de notification CAI dans le délai de 72 heures.
Le Client peut, une fois par année et avec un préavis raisonnable, procéder à un audit des engagements du présent DPA, soit par lui-même, soit via un tiers indépendant. Conformaze peut satisfaire à cette obligation par la transmission de rapports d’audit ou de certifications équivalentes.
À l’expiration ou à la résiliation du contrat principal, Conformaze restitue ou détruit l’ensemble des renseignements personnels du Client selon le choix de celui-ci, dans un délai de 30 jours, sauf obligation légale de conservation.
Le présent DPA est régi par le droit applicable dans la province de Québec. Tout litige relève de la compétence exclusive des tribunaux du district judiciaire de Montréal.
Client — Raison sociale : __________________________
NEQ / numéro d’entreprise : __________________________
Adresse : __________________________
Représentant signataire : __________________________ (titre : __________)
Courriel de contact : __________________________
Sous-traitant — Conformaze, Montréal (Québec), Canada — RPRP : dpo@conformaze.com
Périmètre : registres ROPA, EFVP, DSAR, incidents, contrats, actifs informationnels, fichiers téléversés.
La liste des sous-traitants ultérieurs autorisés est publiée et tenue à jour sur la page Sous-traitants du site Conformaze.