Encadrer les fournisseurs et sous-traitants

Confier des renseignements personnels à un fournisseur (infonuagique, paie, courriel, analytique, IA) ne transfère pas la responsabilité : elle reste la vôtre.

Le contrat

Lorsqu'un fournisseur reçoit des renseignements pour exécuter un mandat, un contrat écrit doit notamment prévoir (art. 18.3) :

• les mesures de protection exigées;
• l'utilisation limitée aux fins du mandat;
• la non-conservation après la fin du mandat;
• l'avis sans délai de tout incident ou tentative de violation;
• la possibilité pour vous d'effectuer des vérifications.

Vérifier avant de signer

Questionnaire de sécurité, attestations indépendantes (SOC 2 Type II, ISO 27001), localisation des données, liste des sous-traitants ultérieurs, plan de sortie (récupération et suppression des données).

Hors Québec

Avant de communiquer des renseignements à l'extérieur du Québec, une EFVP conclut si la protection serait adéquate (art. 17), et une entente écrite encadre le transfert. La région d'hébergement (Canada vs États-Unis) compte donc dans la décision d'achat.

Droits d'audit

Prévoir un droit d'obtenir les rapports d'audit tiers et, au besoin, de réaliser une vérification raisonnable.

Cadre juridique détaillé : voir le guide de référence — Communication hors Québec et fournisseurs.