Addendum sur le traitement des données

Le présent addendum énonce la façon dont RapidCents traite les renseignements personnels dans le cadre des Services et la répartition des responsabilités à leur égard entre RapidCents et le commerçant. Cette répartition n’est pas la même pour chaque activité : RapidCents agit comme sous-traitant pour ce qu’elle fait sur instruction du commerçant et comme responsable du traitement pour ce qu’elle doit faire pour son propre compte. L’article 4 précise ce qui relève de l’un et de l’autre, car cette question détermine qui répond à la personne concernée, qui peut recevoir l’instruction de cesser un traitement, et qui assume l’obligation lorsqu’il ne s’agit pas de la même partie.

Partie 1 — Portée, définitions et rôles

1. Objet du présent addendum et champ d’application

Voici le document que votre responsable de la protection des renseignements personnels ou votre équipe de sécurité demande. Il indique ce que nous faisons des renseignements personnels lorsque nous les traitons pour vous, ce que vous devez faire de votre côté, et ce que nous faisons pour notre propre compte parce que la loi nous y oblige.

Le présent addendum sur le traitement des données (l’« Addendum ») énonce les conditions auxquelles RapidCents Inc. (« RapidCents ») traite des renseignements personnels dans le cadre des Services, ainsi que la répartition des responsabilités à leur égard entre RapidCents et le commerçant. Il fait partie de l’Entente de services RapidCents (l’« Entente de services ») et s’adresse à la personne appelée à l’examiner : un responsable de la protection des renseignements personnels, un évaluateur en sécurité ou un conseiller juridique à qui l’on demande si l’arrangement peut être signé.

L’Addendum vise les Données Clients, au sens que leur donne l’article D.1.1 de l’Entente de services, ainsi que tout autre renseignement personnel que RapidCents traite dans le cadre des Services. Il s’applique à chaque commerçant titulaire d’un compte RapidCents, au Canada comme aux États-Unis, et aucune signature distincte n’est nécessaire pour qu’il lie RapidCents — l’article 19 en explique la raison.

Il ne vise pas le site Web, les locaux, les systèmes ou le personnel du commerçant, ni ce que le commerçant fait des renseignements qu’il recueille auprès de ses Clients en dehors des Services. Il ne vise pas non plus un service tiers que le commerçant choisit de connecter, lequel est régi par les conditions de ce fournisseur, comme l’indique l’article 1 de la politique de confidentialité.

Il ne s’agit pas d’un document européen. Le traitement effectué par RapidCents est régi par la législation canadienne fédérale et provinciale sur la protection des renseignements personnels et, pour les personnes se trouvant aux États-Unis, par la législation d’État applicable. L’article D.1.2d) de l’Entente de services confie au commerçant la responsabilité du respect du Règlement général sur la protection des données et du California Consumer Privacy Act lorsqu’il traite avec des Clients de ces territoires. Le présent Addendum n’offre pas d’instrument de transfert ni de clauses contractuelles types tirés d’un régime qui ne lie pas RapidCents. Lorsqu’une loi d’État américaine sur la vie privée s’applique au commerçant, l’article 15 énonce les engagements de RapidCents à titre de sous-traitant ou de fournisseur de services.

2. Définitions

Les termes ci-dessous ont le sens qui leur est donné ici. Lorsqu’un terme est défini dans l’Entente de services, le présent Addendum l’emploie dans le même sens, afin qu’un mot ne change pas de sens d’un document à l’autre; lorsqu’un terme figure dans la politique de confidentialité, il est également employé ici dans le même sens.

• « Entente de services » désigne l’Entente de services RapidCents publiée à /legal/terms, y compris chaque politique et document qui y est incorporé par renvoi. Les termes « Services », « Client », « Transaction », « Utilisateur secondaire », « Acquéreur » et « Associations » ont chacun le sens que cette entente leur donne.
• « Données Clients » a le sens que lui donne l’article D.1.1 de l’Entente de services : tout renseignement personnel ou toute donnée se rapportant aux Clients du commerçant qui est recueilli, traité ou conservé dans le cadre des Services, notamment les noms, les adresses, les adresses de courriel, les numéros de téléphone, les renseignements de carte de paiement, les coordonnées de compte bancaire, les historiques d’achat et les autres renseignements liés aux transactions.
• « Données du titulaire de carte » a le sens que lui donne l’Entente de services : le numéro de compte, la date d’expiration, le nom du titulaire et le code de service d’une carte de paiement, ainsi que les données d’authentification telles qu’une valeur de vérification de carte ou un NIP. L’article 2 de la déclaration de sécurité précise lesquels de ces éléments sont conservés et lesquels ne le sont jamais.
• « Données de Transaction » a le sens que lui donne l’article D.3.1 de l’Entente de services : les données relatives aux Transactions traitées au moyen des Services.
• « Renseignement personnel » s’entend d’un renseignement concernant une personne physique identifiable, soit le terme employé par la législation canadienne. Lorsque le présent Addendum emploie l’expression « données personnelles », elle a le même sens.
• « Responsable du traitement » désigne la partie qui détermine les fins et les moyens d’une activité de traitement et qui en répond. « Sous-traitant » désigne une partie qui traite des renseignements personnels pour le compte d’un responsable du traitement, selon ses instructions, sans rien décider elle-même à leur sujet. Ces deux mots figurent ici parce que ce sont ceux que cherche un évaluateur; les articles 13 à 15 donnent les termes qu’emploient réellement les lois applicables.
• « Sous-traitant ultérieur » désigne un tiers auquel RapidCents fait appel pour traiter des Données Clients dans le cadre de la prestation des Services.
• « Demande d’une personne concernée » désigne la demande par laquelle une personne exerce un droit que la législation applicable lui confère sur ses propres renseignements personnels — accès, rectification, suppression, portabilité, retrait du consentement, désindexation —, comme le décrit l’article 8 de la politique de confidentialité.
• « Incident » vise à la fois l’atteinte aux mesures de sécurité, terme employé par la LPRPDE, et l’incident de confidentialité, terme employé par la Loi 25 du Québec pour l’accès, l’utilisation ou la communication non autorisés de renseignements personnels, leur perte ou toute autre atteinte à leur protection.

3. Articulation avec l’Entente de services

Ceci fait partie de votre entente marchande et ne constitue pas un contrat distinct. En cas de divergence, c’est l’entente marchande qui prévaut. Si le présent document et la politique de confidentialité se lisent différemment, celui-ci règle ce que nous vous devons et la politique règle ce que nous disons à la personne concernée. Rien ici ne retire un droit que la loi sur la vie privée accorde à une personne.

Le présent Addendum fait partie de l’Entente de services et ne la remplace pas. Il est rédigé pour être lu avec la Section D de cette entente, qu’il explique et applique plutôt qu’il ne la modifie.

Lorsqu’une disposition du présent Addendum et une disposition de l’Entente de services sont inconciliables, l’Entente de services prévaut. L’article 4 indique comment se lisent ensemble deux articles de la Section D qui paraîtraient autrement se contredire — D.1.1 et D.3.1 —, ce qui explique que cette règle de préséance ne soit pas atteinte à l’endroit précis où un lecteur la chercherait d’abord.

Lorsque le présent Addendum et la politique de confidentialité décrivent différemment un même traitement, le présent Addendum prévaut entre RapidCents et le commerçant, et la politique de confidentialité prévaut pour ce que RapidCents dit à la personne concernée et ce sur quoi celle-ci peut se fonder. Le critère est celui du destinataire, et non celui du rôle dont relève le traitement : le rôle est précisément la question à laquelle répond l’article 4, de sorte qu’une règle fondée sur lui ne trancherait rien dans le seul cas où les deux documents divergent réellement. Lorsque le présent Addendum et la déclaration de sécurité décrivent différemment une même mesure, la déclaration de sécurité prévaut, puisqu’elle constitue la description opérante des mesures et que le présent Addendum choisit délibérément de ne pas les reprendre, comme l’explique l’article 9.

L’exclusion de garanties de l’article E.4, la limitation de responsabilité de l’article E.5, l’indemnisation de l’article E.6, la convention d’arbitrage de l’article E.7 et la disposition sur les recours individuels de l’article H.10 s’appliquent au présent Addendum comme au reste de l’Entente de services. Le présent Addendum ne crée pas de plafond de responsabilité distinct et ne relève ni n’abaisse celui de l’article E.5.

Rien dans le présent Addendum ne limite un droit conféré à une personne par la législation applicable sur la protection des renseignements personnels, et rien n’y constitue une renonciation à une obligation incombant à l’une ou l’autre des parties en vertu de cette législation.

4. Les deux rôles, répartis selon l’activité

Pour tout ce que nous faisons parce que vous nous l’avez demandé, c’est vous qui décidez et nous agissons pour vous. Pour ce que nous faisons pour notre propre compte — vérifier votre identité, filtrer les sanctions, déclarer au CANAFE, gérer notre propre risque de fraude et de crédit, répondre aux réseaux de cartes —, c’est nous qui décidons, car il nous revient d’en décider et d’en répondre plutôt qu’à vous, et plusieurs de ces activités sont des obligations que la loi nous impose directement et dont vous ne pourriez nous soustraire par instruction. L’entente marchande dit désormais la même chose : l’article D.1.1 comporte cette répartition et renvoie ici pour le détail, de sorte qu’il s’agit de votre entente et non d’une promesse posée à côté d’elle.

L’article D.1.1 de l’Entente de services prévoit que le commerçant est le responsable du traitement des Données Clients et que RapidCents agit comme sous-traitant pour son compte, sauf pour les activités que RapidCents exerce pour son propre compte, à l’égard desquelles elle agit comme responsable du traitement et que le présent article identifie. L’article D.3.1 de la même entente énumère six finalités pour lesquelles RapidCents peut recueillir, utiliser et communiquer les Données de Transaction. La première, à l’article D.3.1a), est le traitement des paiements et la prestation des Services. Les cinq autres sont détecter et prévenir la fraude, les atteintes à la sécurité et les autres activités nuisibles; effectuer des évaluations de risque et la souscription; analyser les habitudes d’utilisation et améliorer les Services; respecter ses obligations légales, notamment en matière de lutte contre le blanchiment d’argent et de connaissance du client; et agréger et anonymiser des données à des fins d’analyse comparative sectorielle, d’analytique et de recherche.

Sans cette exception, les deux articles ne décriraient pas la même relation, et c’est précisément pourquoi elle s’y trouve. Un article qui énoncerait seulement que RapidCents traite sur instruction du commerçant décrirait un traitement effectué pour le commerçant et pour rien d’autre. L’article D.3.1 décrit ce même traitement à l’article D.3.1a), puis cinq autres finalités que RapidCents décide et poursuit pour elle-même, dont une partie lui est légalement imposée et dont aucune ne pourrait licitement faire l’objet d’une instruction du commerçant lui ordonnant de cesser. L’exception prévue à l’article D.1.1 est ce qui permet de lire les deux ensemble, et le présent article est l’endroit où la répartition à laquelle elle renvoie est énoncée intégralement.

Le présent Addendum lit les deux ensemble en répartissant les rôles selon l’activité plutôt que selon la donnée. Un même enregistrement — un enregistrement de transaction, par exemple — peut être traité par RapidCents à ces deux titres, à des moments différents et pour des motifs différents, et c’est la finalité du traitement, et non le champ où figure la donnée, qui détermine le rôle. L’article 3 de la politique de confidentialité part d’une autre question — de qui sont ces renseignements — et, prise isolément, cette question rangerait du côté du sous-traitant tout ce qui concerne les Clients du commerçant. Il n’en est rien, car l’article 3 comporte la même réserve : plusieurs des activités de responsable du traitement énumérées ci-dessous portent sur les renseignements d’un Client, et l’article 3 le dit et renvoie ici. Lus ensemble, le présent article constitue l’énoncé complet de la répartition, et l’article 3 de la politique de confidentialité, l’énoncé qui s’adresse à la personne concernée — c’est l’ordre que fixe l’article 3 du présent Addendum.

La répartition est la suivante. RapidCents agit comme sous-traitant, selon les instructions documentées du commerçant et sans finalité propre, pour les activités portant la mention « Sous-traitant » ci-dessous; elle agit comme responsable du traitement, pour son propre compte et non sur instruction du commerçant, pour celles portant la mention « Responsable du traitement » :

• Sous-traitant. Autoriser, acheminer, encaisser, régler et réconcilier une Transaction soumise par le commerçant, et appliquer un remboursement, une annulation ou un crédit qu’il demande.
• Sous-traitant. Conserver un moyen de paiement sous forme de jeton dans le coffre de cartes lorsque le commerçant a demandé que ce moyen soit gardé pour un débit ultérieur, et le débiter sur son instruction.
• Sous-traitant. Produire des factures, des liens de paiement, des calendriers de facturation récurrente et des reçus à partir du contenu fourni par le commerçant, et présenter le checkout hébergé, les pages de paiement et les invites de terminal aux Clients du commerçant selon la configuration qu’il choisit.
• Sous-traitant. Constituer les rapports, relevés, exportations et vues du tableau de bord du commerçant portant sur ses propres Données Clients.
• Sous-traitant. Exploiter les outils de risque que le commerçant a configurés pour agir automatiquement pour son compte, dont l’article H.8 de l’Entente de services précise qu’ils agissent sur son instruction et dont les paramètres et les résultats relèvent de sa responsabilité.
• Sous-traitant. Conserver, restreindre, rectifier, restituer ou supprimer des Données Clients sur instruction du commerçant, sous réserve de l’article 18.
• Responsable du traitement. Vérifier l’identité du commerçant, de ses administrateurs et de ses bénéficiaires effectifs, et les filtrer, ainsi que les parties à une Transaction, au regard des listes de sanctions mentionnées à l’article H.3 de l’Entente de services. L’article 13 énonce les inscriptions qui en font une obligation propre à RapidCents.
• Responsable du traitement. La surveillance des opérations, la déclaration des opérations douteuses et toute autre déclaration que RapidCents est tenue ou autorisée à faire à un organisme de réglementation ou à une autorité policière — déclaration dont l’article H.3 consigne que la loi peut lui interdire d’informer le commerçant.
• Responsable du traitement. La prévention de la fraude, le pointage de risque, la souscription, les décisions de réserve et de versement qui lui sont propres, ainsi que les contrôles que l’article H.8 décrit comme exercés pour son propre compte et dans l’intérêt de l’Acquéreur, des Associations et des autres commerçants plutôt qu’au bénéfice du commerçant.
• Responsable du traitement. Les déclarations et les réponses à l’Acquéreur, aux Associations et à ses propres organismes de réglementation, y compris le traitement des rétrofacturations et des contestations, les amendes et cotisations, ainsi que le processus d’expertise judiciaire prévu à l’article D.2.3.
• Responsable du traitement. Le respect de ses propres obligations de tenue de registres, fiscales, d’audit et PCI DSS, la défense de ses propres recours, ainsi que l’exploitation et la sécurisation de la plateforme elle-même, comme le décrit la déclaration de sécurité.
• Responsable du traitement. La gestion de la relation avec le commerçant : ouverture de compte, soutien, facturation, recouvrement et communications décrites à l’article D.3.2 de l’Entente de services.
• Responsable du traitement. L’analyse des habitudes d’utilisation en vue d’améliorer les Services en vertu de l’article D.3.1d), et la production d’analyses comparatives, d’analytique et de recherche agrégées et anonymisées en vertu de l’article D.3.1f).

Cette distinction n’est pas une commodité de rédaction. Lorsque RapidCents est responsable du traitement, elle ne peut recevoir du commerçant l’instruction de cesser, elle répond elle-même devant la personne concernée et devant l’autorité de contrôle, et le commerçant n’est pas rendu comptable de ce que RapidCents décide. Lorsque RapidCents est sous-traitante, elle ne décide rien pour elle-même et le commerçant demeure l’interlocuteur de la personne concernée. L’article H.8 de l’Entente de services énonce la même distinction sur le plan opérationnel : un outil de risque configuré par le commerçant agit sur son instruction, alors que les contrôles de risque, de fraude, de sanctions et de conformité que RapidCents exerce pour son propre compte ne sont expressément pas exercés au bénéfice du commerçant.

L’évaluateur a le droit de savoir quelle est la portée du présent article. L’article D.1.1 comporte la même répartition et renvoie au présent article pour son détail : les deux se lisent donc ensemble, et la règle de préséance de l’article 3 — selon laquelle l’Entente de services régirait un conflit que la lecture ne permet pas de résoudre — n’est pas atteinte. RapidCents donne en outre cette répartition comme un engagement envers le commerçant, ce qui la met entre les mains de celui-ci plutôt que de la laisser à l’état de description : RapidCents n’invoque pas l’article D.1.1 pour se soustraire aux obligations de responsable du traitement décrites ci-dessus, et n’invoque pas le présent article pour réduire les obligations de sous-traitant que lui impose l’article D.1.3.

5. Caractéristiques du traitement

Voici le tableau qu’un évaluateur consulte en premier : ce que nous traitons, pourquoi, pendant combien de temps, au sujet de qui, et quels champs.

Les tableaux ci-dessous énoncent les caractéristiques du traitement que RapidCents effectue à titre de sous-traitant du commerçant en vertu de l’article 4. Ils décrivent les Services tels que RapidCents les fournit; ce qui se produit réellement pour un commerçant donné dépend des Services qu’il utilise et de la configuration qu’il a choisie.

Caractéristiques du traitement effectué par RapidCents à titre de sous-traitant

Élément	Ce qui s’applique
Objet	La prestation des Services au commerçant en vertu de l’Entente de services : accepter, autoriser, acheminer, encaisser, régler, réconcilier, rembourser et déclarer les paiements que le commerçant reçoit de ses Clients, ainsi que l’utilisation par le commerçant du tableau de bord, du terminal virtuel, du checkout hébergé, des liens de paiement, de la facturation, de la facturation récurrente, des logiciels de point de vente, des terminaux, des API et des trousses SDK.
Durée	La durée de l’Entente de services, que l’article F.1.1 établit de mois en mois, sans durée fixe ni minimale, jusqu’à sa résiliation par l’une ou l’autre des parties, puis, après la résiliation, uniquement pendant la période que permettent l’article 18 et la conservation exigée de façon indépendante par la loi. Le présent Addendum n’a pas de durée distincte.
Nature du traitement	Collecte, enregistrement, organisation, structuration, conservation, tokenisation, extraction, consultation, utilisation, transmission à l’Acquéreur et aux Associations et en provenance de ceux-ci, communication aux destinataires énumérés à l’article 6 de la politique de confidentialité, limitation, effacement et destruction, effectués par des moyens automatisés.
Finalité du traitement	Fournir les Services selon les instructions documentées du commerçant, comme l’exige l’article D.1.3a) et comme l’article 7 définit ces instructions. Aucune autre finalité. Le traitement que RapidCents effectue à ses propres fins est énuméré à l’article 4 et est effectué à titre de responsable du traitement, non pour le commerçant.
Lieu du traitement	Le Canada et les États-Unis, ainsi que le pays de traitement qu’indique pour un fournisseur, lorsqu’il en indique un, le registre des sous-traitants publié à l’article 9 de la page des sous-traitants, à /legal/subprocessors. L’article 12 énonce la position sur les transferts transfrontaliers et la voie à suivre pour demander ce pays lorsque le registre laisse la cellule en blanc.
Fréquence	Continue pendant la durée de l’Entente de services, et en temps réel pour l’autorisation et le règlement.

Le traitement que RapidCents effectue à titre de responsable du traitement — vérification d’identité, filtrage des sanctions, déclarations réglementaires, gestion de sa propre fraude et de son propre risque, déclarations aux réseaux et les autres activités énumérées à l’article 4 — n’est pas visé par le présent tableau. Les articles 4, 5 et 7 de la politique de confidentialité le décrivent.

Catégories de personnes concernées et de renseignements personnels traités à titre de sous-traitant

Catégorie de personnes concernées	Catégories de renseignements personnels
Les Clients du commerçant — les titulaires de carte et les payeurs dont le commerçant accepte un paiement	Nom; adresse de facturation et, si le commerçant la recueille, adresse de livraison; adresse de courriel; numéro de téléphone; coordonnées de la carte de paiement ou du compte bancaire utilisés, conservées comme le décrit la déclaration de sécurité; code postal de facturation utilisé pour la vérification d’adresse; montant, devise, date et heure de la transaction; résultat d’approbation ou de refus et son motif; marque de la carte et quatre derniers chiffres; jeton représentant le moyen de paiement; commande, facture, reçu et description des biens ou services soumis par le commerçant; historique d’achat; appareil, canal et adresse IP lorsque l’intégration du commerçant les transmet; et correspondance concernant une transaction, un remboursement ou un litige.
Les personnes nommées dans les propres registres du commerçant soumis au moyen des Services — par exemple une personne-ressource inscrite sur une facture, un destinataire désigné pour une livraison ou une personne nommée dans un billet de soutien	Nom; coordonnées; et tout autre renseignement que le commerçant choisit de consigner à leur sujet dans les champs qu’il remplit.

Les Services n’exigent aucun renseignement personnel sensible. RapidCents ne demande ni n’a besoin de renseignements sur la santé, de données biométriques, d’origine raciale ou ethnique, d’opinions politiques, de convictions religieuses, d’appartenance syndicale, de vie sexuelle ou d’antécédents judiciaires pour traiter un paiement, et un commerçant ne devrait pas en transmettre au moyen d’un champ de texte libre. S’il le fait, il agit sur sa propre instruction et en demeure le responsable du traitement. Les renseignements personnels concernant le commerçant lui-même, son personnel, ses administrateurs et ses bénéficiaires effectifs sont traités par RapidCents à titre de responsable du traitement et sont décrits à l’article 4 de la politique de confidentialité plutôt qu’ici.

Partie 2 — Engagements de chaque partie

6. Obligations du commerçant à titre de responsable du traitement

C’est vous qui décidez de ce qui est recueilli et pourquoi : il vous faut donc le fondement juridique ou le consentement, et vous devez avoir informé vos clients, dans votre propre avis de confidentialité, qu’un fournisseur de traitement des paiements verra leurs renseignements.

L’article D.1.2 de l’Entente de services énonce ce qui incombe au commerçant à titre de responsable du traitement. Le présent article le reprend, parce qu’un commerçant qui examine le présent Addendum ne devrait pas avoir à garder deux documents ouverts, et précise comment chaque obligation s’applique au regard de la législation canadienne sur la protection des renseignements personnels. Il n’impose au commerçant aucune obligation qu’il n’a pas déjà acceptée en vertu de l’Entente de services.

• Droits, permissions et consentements. Le commerçant doit détenir tous les droits, permissions et consentements nécessaires pour recueillir, traiter, utiliser et communiquer les Données Clients à RapidCents et à ses fournisseurs de services, comme l’exige l’article D.1.2a) et comme le garantit l’article E.3e). Sous le régime de la législation canadienne, cela suppose un fondement juridique pour la collecte et, lorsque ce fondement est le consentement, un consentement valable : la personne doit raisonnablement comprendre ce qui est recueilli, pourquoi et à qui cela est communiqué.
• L’avis de confidentialité du commerçant. Le commerçant doit fournir à ses Clients un avis de confidentialité clair et exact indiquant comment leurs renseignements seront utilisés, y compris leur communication à RapidCents aux fins du traitement des paiements, comme l’exige l’article D.1.2b). La politique de confidentialité de RapidCents ne s’y substitue pas : elle décrit le traitement effectué par RapidCents et non celui du commerçant.
• Instructions licites et limitation de ce qui est transmis. Le commerçant ne doit pas demander à RapidCents de traiter des Données Clients d’une manière qui placerait l’une ou l’autre des parties en contravention de la législation applicable, des Règles des réseaux ou de la politique d’utilisation acceptable, et il ne devrait pas transmettre de renseignements personnels dont les Services n’ont pas besoin. Un champ de texte libre — une ligne de facture, une description de produit, un billet de soutien — n’est pas un endroit sûr pour un renseignement sensible, et ce que le commerçant y inscrit constitue un renseignement qu’il a demandé à RapidCents de traiter.
• Ses propres mesures de protection. Le commerçant doit mettre en œuvre les mesures techniques et organisationnelles appropriées pour protéger les Données Clients qui relèvent de lui, comme l’exige l’article D.1.2c), et respecter les obligations de sécurité de l’article D.2, y compris sa propre validation PCI DSS. L’article 11 de la déclaration de sécurité précise où s’arrêtent les contrôles de RapidCents et où commencent les siens.
• Respect de la législation sur la vie privée. Le commerçant doit respecter la législation applicable en matière de vie privée et de protection des données, notamment la LPRPDE, les lois provinciales et, lorsqu’il traite avec des Clients de ces territoires, le Règlement général sur la protection des données ou le California Consumer Privacy Act, comme l’exige l’article D.1.2d).
• Informer RapidCents d’un incident. Le commerçant doit aviser sans délai RapidCents de toute atteinte, réelle ou soupçonnée, visant les Données Clients, comme l’exige l’article D.1.2e), et suivre l’article D.2.3 lorsque des données de carte peuvent être en cause. L’article 16 expose les deux voies.
• Répondre à ses propres Clients. Le commerçant doit répondre aux demandes d’accès, aux demandes de suppression et aux autres droits exercés par ses Clients, et y donner suite, comme l’exige l’article D.1.2f). L’article 10 précise l’aide qu’apporte RapidCents.

7. Obligations de RapidCents à titre de sous-traitant

Lorsque nous travaillons pour vous, nous faisons ce que vous demandez et rien d’autre. Vos instructions, ce sont l’entente, le présent addendum, ainsi que les réglages que vous choisissez et les appels que vous effectuez réellement.

L’article D.1.3 de l’Entente de services énonce ce qui incombe à RapidCents à titre de sous-traitant. Le présent article reprend ces obligations et précise ce qui constitue une instruction, car l’expression « instructions documentées » est celle qui tranche les différends et elle est rarement définie.

RapidCents ne traite les Données Clients qu’aux fins de la prestation des Services et conformément à l’Entente de services ainsi qu’aux instructions documentées du commerçant, comme l’exige l’article D.1.3a). Les instructions documentées du commerçant sont :

• l’Entente de services, le présent Addendum et les autres documents incorporés à l’Entente de services;
• la configuration que le commerçant choisit dans le tableau de bord marchand, y compris son mode d’intégration, ses réglages de moyens de paiement enregistrés, ses calendriers de facturation récurrente, ses réglages de reçu et de descripteur, ainsi que les réglages d’outils de risque dont l’article H.8 précise qu’ils agissent sur son instruction;
• chaque appel d’API, transaction de terminal, saisie au terminal virtuel, lien de paiement, facture et action au tableau de bord que le commerçant ou un Utilisateur secondaire soumet; et
• toute instruction additionnelle donnée par écrit par le commerçant en vertu de l’article F.3 de l’Entente de services, que RapidCents suivra dans la mesure où elle est licite et techniquement réalisable.

RapidCents ne traite pas les Données Clients à ses propres fins lorsqu’elle agit comme sous-traitant. Elle ne vend pas de renseignements personnels, n’utilise pas le détail des transactions des titulaires pour créer des profils publicitaires et ne communique pas les données d’un commerçant à un autre; l’article 5 de la politique de confidentialité énonce les deux derniers points. Le traitement que RapidCents effectue pour son propre compte est énuméré à l’article 4, est effectué à titre de responsable du traitement et n’est ni autorisé par le commerçant ni attribuable à celui-ci.

Si RapidCents estime qu’une instruction du commerçant contreviendrait à la législation applicable sur la protection des renseignements personnels, elle en informera le commerçant plutôt que de l’exécuter en silence, et elle pourra refuser d’y donner suite tant que la question n’est pas réglée.

RapidCents mettra en œuvre les mesures de sécurité techniques et organisationnelles appropriées pour protéger les Données Clients, comme l’exige l’article D.1.3b) et comme le décrit l’article 9; veillera à ce que le personnel autorisé à traiter les Données Clients soit tenu à des obligations de confidentialité appropriées, comme l’exige l’article D.1.3e) et comme le décrit l’article 8; aidera le commerçant, dans la mesure du raisonnable, à répondre aux demandes des personnes concernées, comme l’exige l’article D.1.3c) et comme le décrit l’article 10; avisera le commerçant sans retard injustifié dès qu’elle prendra connaissance d’une atteinte visant les Données Clients, comme l’exige l’article D.1.3d) et comme le décrit l’article 16; et restituera ou supprimera les Données Clients à la fin de la relation, sauf lorsque la loi en exige la conservation, comme l’exige l’article D.1.3f) et comme le décrit l’article 18.

8. Confidentialité du personnel

Le personnel autorisé à traiter des Données Clients est tenu à des obligations de confidentialité appropriées, comme l’exige l’article D.1.3e) de l’Entente de services. La clause de confidentialité de l’article E.2 lie chaque partie à l’égard des Renseignements Confidentiels de l’autre, et les Données Clients sont traitées comme des Renseignements Confidentiels du commerçant à cette fin.

La confidentialité est assurée par le contrôle des accès et non par le seul engagement. Les accès sont accordés selon les rôles, de sorte qu’un rôle reçoit l’accès nécessaire à son travail et rien de plus; l’authentification multifacteur est exigée du personnel et ne constitue pas une option qu’un utilisateur peut refuser; les systèmes internes sont joints par un VPN qui donne accès à une sélection limitée de systèmes plutôt qu’à l’ensemble de l’environnement; et tout accès du personnel autorisé de RapidCents aux données d’un commerçant est journalisé, ce qui produit une piste de vérification consultable après coup. Les articles 2 et 4 de la déclaration de sécurité décrivent ces mesures.

Une personne qui n’a pas besoin des Données Clients pour la tâche qu’elle accomplit n’y a pas accès. Les données des différents commerçants sont logiquement séparées et inaccessibles d’un commerçant à l’autre, comme l’indique l’article 2 de la déclaration de sécurité.

9. Mesures de sécurité

Nous ne décrirons pas notre sécurité deux fois. La déclaration de sécurité en est la description; le présent addendum y renvoie afin que les deux textes ne puissent diverger.

RapidCents met en œuvre les mesures de sécurité techniques et organisationnelles appropriées pour protéger les Données Clients, comme l’exige l’article D.1.3b) de l’Entente de services. Ces mesures sont décrites dans la déclaration de sécurité, laquelle est incorporée par renvoi au présent Addendum et en constitue la description opérante.

Le présent Addendum ne reprend pas les mesures. Une seconde description dans un second document est une description qui finira par diverger de la première, et le commerçant qui se fie à la version périmée se fie à une chose qui n’est plus exacte. La déclaration de sécurité traite du traitement des données de carte et de ce qui n’est jamais conservé, du chiffrement en transit et au repos, du contrôle des accès et de l’authentification, de la sécurité des réseaux et de l’infrastructure, de la surveillance et de la détection d’intrusion, du développement sécurisé et de la gestion des changements, des tests et de l’évaluation indépendante, ainsi que de la sauvegarde et de la continuité.

Deux points intéressent directement l’évaluation du commerçant et méritent d’être énoncés ici. RapidCents est un fournisseur de services conforme à la norme PCI DSS de niveau 1, et l’article D.2.1 exige des deux parties le respect de la norme PCI DSS lorsqu’elles traitent des Données du titulaire de carte. Par ailleurs, les mesures décrites dans la déclaration de sécurité visent la plateforme RapidCents : elles ne s’étendent pas aux réseaux, aux appareils, au personnel ni aux logiciels du commerçant, et elles ne le libèrent pas de ses propres obligations PCI DSS, comme l’indiquent clairement l’article 11 de la déclaration de sécurité et les articles D.2.1a) et D.2.2.

Lorsqu’un évaluateur a besoin d’éléments de preuve plutôt que d’une description, l’article 17 indique comment les obtenir.

10. Aide relative aux demandes des personnes concernées

Votre client s’adresse à vous, pas à nous. S’il communique avec nous, nous le redirigeons vers vous et nous vous en informons. La plupart de ce qu’il peut demander, vous pouvez le faire vous-même dans le tableau de bord.

La demande d’un Client portant sur des renseignements dont le commerçant a la gestion appartient au commerçant, comme le prévoit l’article D.1.2f) de l’Entente de services et comme l’explique à la personne concernée l’article 3 de la politique de confidentialité. RapidCents apporte son aide; elle ne répond pas pour le compte du commerçant.

Cette aide prend trois formes, dans l’ordre suivant :

• D’abord le tableau de bord. La plupart des demandes peuvent être satisfaites par le commerçant sans intervention de RapidCents : il peut extraire et exporter les dossiers de transaction, de facturation et de clientèle qu’il détient, rectifier un dossier qu’il tient et supprimer une fiche client — ce qui supprime le moyen de paiement enregistré sous forme de jeton dans le coffre de cartes, comme l’indique l’article 7 de la politique de confidentialité.
• Ensuite une demande à RapidCents. Lorsque la demande ne peut être satisfaite à partir du tableau de bord, RapidCents aide le commerçant dans la mesure du raisonnable, comme l’exige l’article D.1.3c). Les demandes sont adressées au responsable de la protection des renseignements personnels à l’adresse indiquée à l’article 19, ou par écrit à [email protected]. RapidCents répondra à temps pour que le commerçant respecte son propre délai légal lorsqu’il l’indique, de sorte qu’une demande doit être transmise rapidement et non à la fin du délai de réponse du commerçant.
• Une demande adressée directement à RapidCents. Lorsqu’une personne communique avec RapidCents au sujet de renseignements que celle-ci traite pour un commerçant, RapidCents l’invite à s’adresser au commerçant, comme l’indique l’article 12 de la politique de confidentialité, et informe le commerçant de la demande. RapidCents ne communiquera, ne rectifiera ni ne supprimera ces renseignements sur la seule instruction de la personne, car la décision ne lui appartient pas.

Deux limites s’appliquent, et elles sont réelles plutôt que défensives. RapidCents peut vérifier l’identité du demandeur avant toute communication, afin que des renseignements personnels ne soient pas communiqués à un tiers; et une demande de suppression ne peut atteindre les renseignements que RapidCents est tenue de conserver de façon indépendante, ce que décrit l’article 18.

Lorsque la demande porte sur un traitement que RapidCents effectue à titre de responsable du traitement — les activités énumérées à l’article 4 —, la personne s’adresse directement à RapidCents, et l’article 8 de la politique de confidentialité énonce les droits applicables ainsi que l’engagement de répondre dans les trente (30) jours.

11. Sous-traitants ultérieurs

Nous faisons appel à d’autres entreprises pour exploiter certaines parties du service. La page des sous-traitants publie de quels types d’entreprises il s’agit et ce à quoi chacune peut accéder, et son article 9 publie le registre qui les nomme et précise leur rôle. Ce registre ne représente pas toute la chaîne d’approvisionnement, et la liste complète à jour s’obtient par la voie qu’indique cette page. Elles sont tenues à la même norme que nous, et nous demeurons responsables envers vous de leur travail.

Le commerçant autorise RapidCents à faire appel à des sous-traitants ultérieurs pour traiter des Données Clients dans le cadre de la prestation des Services. L’article D.1.2a) de l’Entente de services l’envisage, en exigeant du commerçant qu’il détienne les droits, permissions et consentements nécessaires pour communiquer les Données Clients à RapidCents et à ses fournisseurs de services.

La page des sous-traitants, à /legal/subprocessors, constitue l’énoncé faisant autorité des catégories auxquelles RapidCents fait appel, de ce que chaque catégorie peut atteindre et des engagements pris à l’égard de chaque sous-traitant ultérieur avant qu’il ne soit retenu. Les noms figurent dans un registre tenu à jour, qui indique pour chaque fournisseur sa catégorie, la mission qui lui est confiée et, lorsqu’il en consigne un, le pays où il effectue le traitement. L’article 9 de cette page publie le registre, énonce qu’il est complet quant aux parties qui y sont nommées et qu’il ne représente pas toute la chaîne d’approvisionnement, porte la date de sa dernière révision ainsi que l’engagement que prend RapidCents quant à sa révision, et indique les voies par lesquelles s’obtient la liste complète à jour — sous la forme dont une revue a besoin, notamment en annexe du présent Addendum. Le présent Addendum ne reproduit ni les catégories ni le registre, afin que les deux ne puissent diverger.

Chaque fournisseur de services qui traite des renseignements personnels pour le compte de RapidCents est lié par contrat à ne les utiliser que pour le service qu’il lui rend, à les protéger et à les restituer ou les supprimer à la fin du mandat, comme l’indique l’article 6 de la politique de confidentialité. RapidCents évalue les incidences sur la vie privée avant de confier des renseignements personnels à un fournisseur situé dans un autre territoire, comme le décrit l’article 12. RapidCents demeure responsable envers le commerçant du traitement des Données Clients par un sous-traitant ultérieur comme elle l’est du sien.

L’Acquéreur, les Associations et les banques émettrices ne sont pas des sous-traitants ultérieurs. Ils reçoivent les Données de Transaction à titre de participants au système de paiement et non de fournisseurs agissant sur les instructions de RapidCents, et ils les traitent selon leurs propres règles, notamment les règlements d’exploitation de Visa et de Mastercard, comme l’indique l’article 6 de la politique de confidentialité. RapidCents ne contrôle pas leur traitement et ne s’en porte pas garante. L’article 9 de la page des sous-traitants les nomme tout de même, dans un tableau distinct du registre et portant leur propre rôle, parce que le commerçant qui demande qui reçoit ses données s’interroge sur le parcours de paiement plutôt que sur une classification. Il en va de même d’une intégration tierce que le commerçant choisit de connecter, laquelle est régie par les conditions de ce fournisseur.

L’avis d’un changement et les recours du commerçant qui s’y oppose sont régis par l’article 10 de la page des sous-traitants et sont repris ici par renvoi plutôt qu’énoncés différemment : un préavis de trente (30) jours avant un changement qui touche de façon importante le traitement des renseignements personnels, une opposition formulée par écrit au responsable de la protection des renseignements personnels ou à [email protected], la procédure de plainte de l’article A.6 de l’Entente de services lorsque l’opposition n’est pas résolue, et la liberté de fermer le compte — sans frais de résiliation anticipée ni pénalité d’annulation d’aucune sorte, comme le prévoient les articles A.4 et F.1.2. RapidCents n’a pas fixé de délai d’opposition distinct, et le présent Addendum n’en énonce pas un qui n’existe pas; le délai d’avis de trente (30) jours est la période prévue pour s’opposer.

Partie 3 — Lieu du traitement, droit applicable et transferts

12. Lieu du traitement et transferts transfrontaliers

Nous exerçons nos activités au Canada et aux États-Unis et faisons appel à des fournisseurs infonuagiques : les renseignements de vos clients peuvent donc être traités hors de la province ou du pays où ils résident. Le cas échéant, les tribunaux et les autorités de ce pays peuvent y avoir accès. Nous ne prétendons pas le contraire.

RapidCents exerce ses activités au Canada et aux États-Unis et fait appel à une infrastructure infonuagique et à des fournisseurs qui peuvent conserver ou traiter des renseignements personnels à l’extérieur de la province ou du pays où réside une personne, y compris aux États-Unis. Le cas échéant, les renseignements sont assujettis aux lois de ce territoire et peuvent être accessibles à ses tribunaux, à ses forces de l’ordre et à ses autorités de sécurité nationale. L’article 9 de la politique de confidentialité énonce la même position à l’intention de la personne concernée.

RapidCents ne transfère de renseignements personnels qu’à des fournisseurs contractuellement tenus de les protéger selon une norme comparable à la sienne. C’est ce qu’exige le principe de responsabilité de la LPRPDE d’une organisation qui transfère des renseignements personnels à un tiers aux fins de traitement : les renseignements demeurent sous la gestion de l’organisation qui les transfère, et des moyens contractuels ou autres doivent leur assurer un degré de protection comparable pendant leur traitement.

Avant de confier des renseignements personnels à un fournisseur situé à l’extérieur du Québec, RapidCents réalise l’évaluation des facteurs relatifs à la vie privée qu’exige la Loi 25 du Québec, comme le décrit l’article 14. Lorsqu’un commerçant a besoin de connaître le pays où est traitée une catégorie précise de ses données, le registre des sous-traitants publié à l’article 9 de la page des sous-traitants indique le pays pour chaque fournisseur pour lequel il en consigne un, et le laisse visiblement en blanc lorsqu’il ne le fait pas plutôt que de le déduire. Le pays d’un fournisseur que le registre laisse en blanc se demande, comme la liste complète à jour elle-même, par les voies qu’indique cet article.

RapidCents ne publie ni clauses contractuelles types, ni règles d’entreprise contraignantes, ni instrument de transfert fondé sur une décision d’adéquation tiré d’un régime de protection de la vie privée qui ne la lie pas, et le présent Addendum n’en incorpore aucun. Le commerçant dont les obligations exigent un instrument de transfert précis doit en faire état par écrit à [email protected] avant de se fier au présent Addendum.

13. Canada : la LPRPDE et les lois provinciales du secteur privé

Voici l’article canadien; l’article 15 est celui des États-Unis, et un commerçant peut être visé par les deux, pour des personnes différentes. La LPRPDE est la loi fédérale qui nous vise, et l’Alberta, la Colombie-Britannique et le Québec ont les leurs. Deux conséquences pour vous : nous demeurons responsables des renseignements confiés à un fournisseur, et nous devons déclarer une atteinte au Commissariat à la protection de la vie privée et en aviser les personnes touchées lorsqu’elle risque de leur nuire réellement. Nos inscriptions au CANAFE et à la Banque du Canada sont les nôtres et non les vôtres : c’est pourquoi les vérifications qu’elles imposent figurent de notre côté à l’article 4.

Le présent article énonce la position au regard de la législation canadienne sur la protection des renseignements personnels. Il vise le commerçant qui exerce des activités au Canada, le traitement effectué au Canada et les renseignements personnels concernant des personnes se trouvant au Canada. L’article 15 énonce la position au regard de la législation des États américains. Les deux ne s’excluent pas : un commerçant peut être assujetti aux deux, pour des personnes différentes.

RapidCents est assujettie à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Lorsqu’une province dispose d’une loi essentiellement similaire — le Québec, l’Alberta et la Colombie-Britannique —, cette loi s’applique aux activités qui s’y déroulent : la Personal Information Protection Act en Alberta et en Colombie-Britannique, et la Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25, au Québec. L’article 2 de la politique de confidentialité l’énonce également.

Trois conséquences de la LPRPDE intéressent directement le présent Addendum. La responsabilité : une organisation demeure responsable des renseignements personnels qu’elle transfère à un tiers aux fins de traitement et doit recourir à des moyens contractuels ou autres pour leur assurer un degré de protection comparable, ce que consignent les articles 11 et 12. La limitation de l’utilisation et de la communication : les renseignements personnels ne peuvent être utilisés ou communiqués qu’aux fins pour lesquelles ils ont été recueillis, à moins que la personne n’y consente ou que la loi ne l’exige ou ne le permette, d’où le fait que le traitement effectué par RapidCents comme sous-traitante se limite aux instructions définies à l’article 7 et que son traitement comme responsable est énuméré et justifié à l’article 4. Les mesures de sécurité et la déclaration des atteintes : une organisation doit protéger les renseignements personnels par des mesures adaptées à leur sensibilité, doit déclarer au Commissariat à la protection de la vie privée du Canada toute atteinte aux mesures de sécurité et en aviser les personnes touchées lorsque l’atteinte présente un risque réel de préjudice grave, et doit tenir un registre de chacune de ces atteintes. Les articles 9 et 16 y répondent.

Les lois de l’Alberta et de la Colombie-Britannique imposent des obligations essentiellement semblables de consentement, d’utilisation limitée, de protection et de responsabilité aux organisations qui exercent des activités dans ces provinces, et l’Alberta exige en outre un avis à son commissaire lorsqu’une perte de renseignements personnels ou un accès non autorisé à ceux-ci présente un risque réel de préjudice grave.

RapidCents est inscrite auprès de la Banque du Canada à titre de fournisseur de services de paiement en vertu de la Loi sur les activités associées aux paiements de détail et auprès du Centre d’analyse des opérations et déclarations financières du Canada à titre d’entreprise de services monétaires en vertu de la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes, comme le consigne l’article H.3 de l’Entente de services. Les obligations d’identification, de tenue de registres, de surveillance, de filtrage des sanctions et de déclaration que comportent ces inscriptions lui sont propres. Elles constituent l’illustration la plus nette du traitement comme responsable décrit à l’article 4, et aucune instruction d’un commerçant ne peut les écarter. RapidCents adhère également aux principes du Code de conduite destiné à l’industrie canadienne des cartes de crédit et de débit, comme le prévoit l’article A.9.

14. Québec : la Loi 25

Si vous exercez des activités au Québec, ou si votre client s’y trouve, la Loi 25 s’ajoute. Elle exige que le présent document existe par écrit, qu’une évaluation soit faite avant que des renseignements quittent la province, et elle confère des droits supplémentaires aux personnes.

Lorsque le commerçant exploite une entreprise au Québec, ou lorsqu’une personne dont les renseignements personnels sont traités s’y trouve, la Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25, s’applique en plus de ce que décrit l’article 13.

La Loi 25 exige que, lorsque des renseignements personnels sont communiqués à une personne ou à un organisme à l’extérieur de l’entreprise dans le cadre de l’exécution d’un mandat ou d’un contrat de service, le mandat ou le contrat soit constaté par écrit et qu’il énonce les mesures que la personne doit prendre pour protéger la confidentialité des renseignements, ne les utiliser que dans l’exercice du mandat et ne pas les conserver une fois le mandat terminé. Le présent Addendum, avec l’article D.1.3 de l’Entente de services et la déclaration de sécurité, constitue cet écrit : l’article 7 en limite l’utilisation, les articles 8 et 9 énoncent les mesures de confidentialité et de sécurité, et l’article 18 indique ce qui se produit à la fin.

La Loi 25 exige également une évaluation des facteurs relatifs à la vie privée avant toute communication de renseignements personnels à l’extérieur du Québec, laquelle tient compte de la sensibilité des renseignements, des fins de leur utilisation, des mesures de protection dont ils bénéficieraient et du régime juridique du territoire visé. RapidCents réalise cette évaluation avant de confier des renseignements personnels à un fournisseur situé dans un autre territoire, comme l’indique l’article 9 de la politique de confidentialité, et un commerçant peut interroger le responsable de la protection des renseignements personnels sur ses pratiques à cet égard.

Lorsqu’un incident de confidentialité présente un risque de préjudice sérieux, RapidCents avise les personnes concernées et la Commission d’accès à l’information comme la loi l’exige, et elle tient un registre des incidents de confidentialité, comme l’indique l’article 10 de la politique de confidentialité. L’article 16 précise le fonctionnement de l’avis entre RapidCents et le commerçant.

La Loi 25 confère aux personnes se trouvant au Québec des droits qui s’ajoutent à ceux décrits à l’article 10, notamment le droit d’être informées lorsqu’une décision les concernant est prise exclusivement au moyen d’un traitement automatisé et de présenter des observations à ce sujet, ainsi que le droit à la désindexation dans les cas prévus par la loi. L’article 8 de la politique de confidentialité consigne ces deux droits. Lorsque la décision automatisée est celle que le commerçant a configurée — un outil de risque agissant sur son instruction en vertu de l’article H.8 —, c’est au commerçant d’informer la personne et de recevoir ses observations; lorsqu’il s’agit d’une décision que RapidCents prend pour son propre compte, c’est à elle de le faire.

15. États-Unis : la législation d’État sur la vie privée

Si une loi d’État américaine sur la vie privée vous vise, c’est l’article que lit votre conseiller juridique. Pour ce que nous faisons sur votre instruction, nous sommes votre sous-traitant ou fournisseur de services : nous ne vendons pas les renseignements de vos clients, nous ne les partageons pas à des fins de publicité intercontextuelle, et nous vous aidons à répondre aux demandes de vos clients. Pour ce que nous faisons pour notre propre compte, nous répondons nous-mêmes devant la personne concernée. Quant aux exemptions d’État que votre entreprise peut invoquer, la question relève de votre conseiller juridique et non de nous.

Le présent article énonce la position au regard de la législation des États américains sur la vie privée. Il s’applique lorsqu’un commerçant est assujetti à une loi d’État générale sur la vie privée à l’égard d’une personne donnée — la plupart de ces lois emploient les termes « controller » et « processor », et la Californie, « business » et « service provider » — et il s’applique en plus de l’article 13, et non à sa place, lorsque les deux sont en jeu.

Pour le traitement énuméré à l’article 4 comme traitement de sous-traitant, RapidCents agit comme sous-traitant ou fournisseur de services du commerçant et, à ce titre :

• elle ne traite les renseignements personnels qu’aux fins commerciales précisées dans l’Entente de services et le présent Addendum, et selon les instructions documentées du commerçant telles que les définit l’article 7;
• elle ne vend pas de renseignements personnels et ne les partage pas à des fins de publicité comportementale intercontextuelle;
• elle ne conserve, n’utilise ni ne communique de renseignements personnels en dehors de la relation d’affaires directe entre RapidCents et le commerçant, ni à une fin autre que l’exécution des Services, sauf lorsque la loi l’exige ou le permet;
• elle ne combine pas les renseignements personnels reçus du commerçant avec des renseignements personnels provenant d’une autre source, sauf dans la mesure où ces lois le permettent — ce qui comprend ce qui est nécessaire pour détecter les incidents de sécurité et pour prévenir, détecter et enquêter sur la fraude, et ce qui explique que le traitement comme responsable prévu à l’article 4 y soit décrit plutôt que présenté comme un traitement effectué pour le commerçant;
• elle aide le commerçant à répondre aux demandes des consommateurs visant à savoir, à supprimer, à rectifier, à se retirer et à porter une décision en appel, comme le décrit l’article 10; et
• elle informera le commerçant si elle établit qu’elle ne peut plus respecter ses obligations en vertu de la loi d’État applicable.

Lorsque RapidCents traite des renseignements personnels à titre de responsable du traitement pour son propre compte — les activités énumérées à l’article 4 —, elle répond directement de ce traitement devant la personne concernée, et l’article 8 de la politique de confidentialité décrit les droits offerts ainsi que la voie d’appel applicable.

Une partie des activités de RapidCents est encadrée par la législation fédérale américaine visant les institutions financières et les activités de paiement, notamment le Gramm-Leach-Bliley Act, en plus de la législation d’État sur la vie privée, et plusieurs lois d’État soustraient à leur application les renseignements ou les entités régis par cette législation fédérale. Le présent Addendum ne cherche pas à répartir ces exemptions. Celle qui s’applique à un commerçant donné dépend de son propre statut, et cette détermination relève de son conseiller juridique et non de RapidCents.

Partie 4 — Incidents, vérification et fin de la relation

16. Incidents touchant des renseignements personnels

Si un incident survient de notre côté, nous vous en avisons sans retard injustifié, en vous indiquant ce que nous savons et ce que nous ignorons encore. Nous ne vous promettrons pas un nombre d’heures qu’aucun autre document de RapidCents n’appuie.

RapidCents avise le commerçant sans retard injustifié dès qu’elle prend connaissance d’une atteinte visant les Données Clients, comme l’exige l’article D.1.3d) de l’Entente de services. L’article 10 de la déclaration de sécurité énonce le même engagement sur le plan opérationnel : lorsqu’un incident touche les données ou le compte d’un commerçant, RapidCents avise sans délai indu les commerçants concernés et indique ce qui est connu, ce qui n’est pas encore établi et ce que le commerçant doit faire.

Le présent Addendum ne fixe aucun nombre d’heures pour cet avis. Ni l’Entente de services ni la déclaration de sécurité n’en fixe un, et un chiffre introduit ici constituerait un engagement que le reste de la documentation de RapidCents ne comporte pas. « Sans retard injustifié » signifie dès que RapidCents est en mesure de transmettre au commerçant un renseignement sur lequel il peut agir. Cela ne permet pas d’attendre la fin d’une enquête : un premier avis qui indique clairement ce qui n’est pas encore connu est la forme attendue.

Un avis décrira, dans la mesure de ce qui est alors connu : la nature de l’incident; les catégories et le nombre approximatif de personnes et de dossiers touchés; les conséquences probables; les mesures prises ou proposées pour y remédier et en atténuer les effets; et une personne-ressource pour obtenir des précisions. Lorsque ces éléments ne sont pas disponibles au moment du premier avis, ils sont communiqués au fur et à mesure.

L’obligation joue également en sens inverse. Le commerçant doit aviser sans délai RapidCents de toute atteinte, réelle ou soupçonnée, visant les Données Clients, comme l’exige l’article D.1.2e). Lorsque des données de carte peuvent être en cause, l’article D.2.3 exige du commerçant qu’il avise immédiatement RapidCents de tout Incident de Compromission de Données soupçonné, allégué ou confirmé, quelle qu’en soit la source, y compris celui qui touche ses propres fournisseurs de services tiers, en écrivant à la fois à [email protected] et à [email protected]. Cette obligation est immédiate, et aucun document de RapidCents ne la convertit en une limite extérieure exprimée en heures : l’article 10 de la déclaration de sécurité énonce la même exigence dans les mêmes termes. L’article D.2.3 exige aussi du commerçant qu’il ne modifie ni ne détruise les registres s’y rapportant, qu’il collabore pleinement avec un expert judiciaire agréé par une Association et qu’il assume les coûts de l’enquête.

L’avis à une autorité de contrôle suit le rôle. RapidCents fait les déclarations qui lui incombent à titre de responsable du traitement, notamment au Commissariat à la protection de la vie privée du Canada en vertu de la LPRPDE et à la Commission d’accès à l’information en vertu de la Loi 25, ainsi qu’à l’Acquéreur et aux Associations selon ce qu’exigent la loi et les Règles des réseaux; elle tient le registre des atteintes qu’exige la LPRPDE et le registre des incidents de confidentialité qu’exige la Loi 25, comme l’indique l’article 10 de la politique de confidentialité. Lorsque le commerçant est le responsable du traitement des renseignements touchés, la décision d’aviser ses Clients et ses propres autorités lui appartient et il lui revient de la prendre à temps. RapidCents lui fournit les renseignements dont il a raisonnablement besoin pour le faire.

L’avis d’un incident ne constitue, pour aucune des parties, un aveu qu’elle en est la cause ou qu’elle a manqué à une obligation.

17. Droits de vérification et façon d’y satisfaire

Consultez d’abord les documents publiés : la page sur la sécurité, la page sur la conformité PCI, la page des sous-traitants et le Centre de confiance. La plupart des examens s’arrêtent là. Une vérification sur place est le dernier recours et non la première demande.

Un commerçant a le droit de s’assurer que RapidCents respecte les obligations du présent Addendum. RapidCents y satisfait selon un ordre défini, et cet ordre a son importance : une vérification sur place d’une plateforme de paiement est perturbatrice, elle a une valeur limitée pour le commerçant par rapport à une évaluation indépendante, et elle ne peut être accordée à tous les commerçants à la fois.

• D’abord l’attestation indépendante. RapidCents est un fournisseur de services conforme à la norme PCI DSS de niveau 1. Le maintien de ce statut suppose des audits sur place, des analyses de vulnérabilité, des analyses externes réalisées par des fournisseurs d’analyse agréés (ASV) et des tests d’intrusion au regard de la norme PCI DSS, comme le consigne l’article 8 de la déclaration de sécurité; les tests d’intrusion sont menés par l’équipe de sécurité de RapidCents et par des professionnels externes. L’article 8 de la page sur la conformité PCI explique comment demander l’attestation de conformité de RapidCents.
• Ensuite les documents publiés. La déclaration de sécurité, la page sur la conformité PCI, le présent Addendum et la page des sous-traitants sont publiés afin qu’un examen puisse commencer sans attendre de réponse. Le Centre de confiance, à /company/trust, réunit le matériel de sécurité et de diligence qu’un examen d’approvisionnement ou de sécurité parcourt.
• Ensuite une demande écrite. Lorsque les documents publiés et l’attestation ne répondent véritablement pas à la question, le commerçant peut adresser une demande écrite raisonnable de renseignements complémentaires sur le traitement effectué en vertu du présent Addendum, à [email protected], conformément à l’article F.3 de l’Entente de services. RapidCents donnera suite à une demande raisonnable.
• Enfin une inspection. Lorsque la législation applicable ou une autorité de contrôle exige du commerçant une inspection à laquelle les étapes précédentes ne peuvent satisfaire, RapidCents en accueillera une aux conditions énoncées ci-dessous.

Une inspection au titre du présent article est convenue par écrit à l’avance et menée à un moment qui ne perturbe pas l’exploitation des Services. Elle se limite aux systèmes, aux contrôles et aux registres qui portent les Données Clients du commerçant. Elle ne peut s’étendre aux données d’un autre commerçant, aux renseignements personnels des Clients d’un autre commerçant, aux Renseignements Confidentiels de RapidCents, ni à ce que les Règles des réseaux, une autorité de contrôle ou la loi interdisent à RapidCents de communiquer. Le vérificateur doit être indépendant, ne pas être un concurrent de RapidCents et est lié par la clause de confidentialité de l’article E.2 de l’Entente de services; RapidCents peut exiger qu’il signe un engagement de confidentialité avant l’octroi de l’accès.

La répartition du coût d’une telle inspection est convenue par écrit au moment où celle-ci est organisée. Le présent Addendum ne la fixe pas, aucun document de RapidCents ne la fixant, et énoncer ici un montant créerait des frais qui n’existent pas.

Le présent article joue au seul bénéfice du commerçant. L’article H.4 de l’Entente de services confère à RapidCents, à l’Acquéreur, à une Association et à une autorité de contrôle un droit distinct et indépendant d’exiger du commerçant des registres, leur production et une vérification, et rien dans le présent article ne le limite.

18. Restitution ou suppression des Données Clients à la fin de la relation

Exportez ce dont vous avez besoin avant de fermer le compte. Nous supprimerons le reste — sauf les dossiers que la loi oblige un fournisseur de traitement des paiements à conserver, que nous ne pouvons pas supprimer pour vous et que nous ne prétendrons pas pouvoir supprimer. La fermeture d’un compte ne coûte rien.

À la fin des Services, RapidCents restitue ou supprime les Données Clients conformément à l’Entente de services, sauf lorsque la loi en exige la conservation, comme le prévoit l’article D.1.3f).

La restitution vient en premier et relève largement du commerçant. Celui-ci peut exporter ses dossiers de transaction, de règlement, de facturation et de clientèle depuis le tableau de bord marchand tant qu’il y a accès, et il devrait le faire avant la fin de cet accès : l’article F.1.4 prévoit qu’à la résiliation, le commerçant cesse d’utiliser les Services et que toutes les licences qui lui ont été accordées prennent fin. Lorsqu’une exportation est nécessaire après ce moment, le commerçant peut la demander par écrit en vertu de l’article F.3, et RapidCents fournira les Données Clients qu’elle détient alors dans un format couramment utilisé.

La suppression suit, et c’est ici qu’un document honnête doit se nuancer. RapidCents est un fournisseur de traitement des paiements, un fournisseur de services de paiement inscrit et une entreprise de services monétaires inscrite, et une part importante de ce qu’elle détient constitue un dossier qu’elle est tenue de conserver de façon indépendante. Elle ne peut pas le supprimer sur instruction du commerçant, et le présent Addendum ne promet pas qu’elle le fera.

• Les dossiers de vérification d’identité et d’ouverture de compte sont conservés pendant la période exigée d’une entité déclarante par la législation canadienne contre le blanchiment d’argent, calculée à compter de la fin de la relation d’affaires, comme l’indique l’article 7 de la politique de confidentialité.
• Les dossiers de transaction et de règlement sont conservés pendant la période requise à des fins fiscales, d’audit et de litige auprès des réseaux de cartes.
• Un dossier se rapportant à une Transaction faisant l’objet d’une rétrofacturation, d’un litige, d’une enquête, d’une vérification ou d’une instance judiciaire est conservé jusqu’au règlement définitif de cette affaire, soit la règle même que l’article H.4 de l’Entente de services impose au commerçant.
• Les données de titulaires de carte, lorsqu’elles sont conservées, le sont jusqu’à 24 mois d’inactivité, comme l’indique l’article 2 de la déclaration de sécurité. Les codes de vérification de carte, les NIP, les données de puce EMV et les données de piste magnétique ne sont jamais conservés et ne font donc pas partie de cet exercice.
• Les préférences de marketing et les retraits sont conservés indéfiniment, puisqu’il faut un registre du retrait pour le respecter.
• Les données présentes dans les sauvegardes sont supprimées au fil de la rotation ordinaire de celles-ci plutôt que le jour où une suppression est exécutée. Les bases de données sont sauvegardées quotidiennement, entre les centres de données et hors site, comme l’indique l’article 9 de la déclaration de sécurité. Les données qui subsistent dans une sauvegarde demeurent soumises aux mêmes mesures et ne sont pas remises en service actif.

Les données conservées en vertu du présent article ne sont traitées qu’à la fin qui en exige la conservation. Elles ne servent pas à fournir les Services à quiconque d’autre, ne servent pas au marketing de RapidCents et demeurent protégées par les mesures décrites dans la déclaration de sécurité aussi longtemps qu’elles sont détenues. L’article 7 de la politique de confidentialité énonce intégralement la position en matière de conservation.

Les données agrégées et anonymisées produites en vertu de l’article D.3.1f) ne sont ni restituées ni supprimées en vertu du présent article, car dès lors qu’elles n’identifient plus personne, elles ne constituent plus des renseignements personnels. Il s’agit d’un constat sur ce que la donnée est devenue et non d’un contournement de la suppression : un renseignement encore susceptible de réidentification demeure un renseignement personnel et est traité comme tel.

La fermeture d’un compte ne coûte rien. L’article F.1.2 prévoit que le commerçant peut résilier en tout temps par avis écrit, que RapidCents n’exige aucuns frais de résiliation anticipée et qu’elle n’impose aucune pénalité pour la fermeture d’un compte, à quelque moment que ce soit. Le présent Addendum n’introduit aucuns frais, de quelque nature que ce soit, pour la restitution ou la suppression des Données Clients.

La résiliation ne met pas fin à tout. L’article F.1.4 prévoit que RapidCents peut retenir des fonds ou constituer une Réserve pendant une période raisonnable en prévision de rétrofacturations, de remboursements, de frais et d’amendes éventuels, et que le commerçant demeure responsable des obligations liées aux Transactions traitées avant la résiliation. Les obligations du présent Addendum qui visent les Données Clients conservées survivent aussi longtemps que RapidCents les détient.

19. Modification du présent addendum, avis et personnes-ressources

L’article D.1.4 de l’Entente de services incorpore la politique de confidentialité à cette entente, et l’article 3 de la politique de confidentialité précise que le présent Addendum énonce les engagements régissant le rôle de sous-traitant de RapidCents. Le présent Addendum s’applique donc à chaque commerçant et lie RapidCents sans signature distincte. Le commerçant dont le processus d’approvisionnement exige un exemplaire signé doit écrire à [email protected].

RapidCents peut réviser le présent Addendum. La date d’entrée en vigueur et la date de dernière révision figurent en tête de la présente page et ne sont pas la même chose : la date de révision change à chaque modification, la date d’entrée en vigueur seulement lorsque le fond des engagements change. L’article F.2 de l’Entente de services régit la modification de l’entente dans son ensemble. Lorsqu’une modification touche de façon importante le traitement des renseignements personnels par RapidCents, un avis est donné au moins trente (30) jours avant sa prise d’effet, par courriel ou par le tableau de bord marchand, comme le prévoit l’article 14 de la politique de confidentialité.

Les avis destinés à RapidCents en vertu du présent Addendum sont transmis par écrit à [email protected], ou par la poste avec accusé de réception à RapidCents Inc., Attention: Legal Department, 515 Consumers Road, unité 210, North York (Ontario) M2J 4Z2, comme l’exige l’article F.3 de l’Entente de services. Une compromission soupçonnée ou confirmée de données de carte est signalée à la fois à [email protected] et à [email protected], comme l’exige l’article D.2.3, et non à la seule adresse du service juridique.

Les questions de confidentialité, les demandes des personnes concernées et les plaintes sont adressées au responsable de la protection des renseignements personnels : Responsable de la protection des renseignements personnels, RapidCents Inc., 515 Consumers Road, unité 210, North York (Ontario) M2J 4Z2, Canada, téléphone +1-844-957-2743. Aux États-Unis : 43300 Southern Walk Plaza, #166, Ashburn (Virginie) 20148, téléphone +1-202-902-6226. Si la réponse de RapidCents ne vous satisfait pas, l’article 8 de la politique de confidentialité nomme les autorités auprès desquelles vous pouvez porter plainte.

Une plainte portant sur les Services plutôt que sur la vie privée suit la procédure d’escalade de l’article A.6 de l’Entente de services, qui débute auprès du soutien et se poursuit auprès du bureau de la direction.

Droit applicable

Comme le prévoit l’article E.7 de l’Entente de services applicable au commerçant : pour un commerçant situé aux États-Unis, les lois de l’État du Delaware, les différends étant tranchés par arbitrage individuel administré par l’American Arbitration Association; pour tout autre commerçant, la province d’Ontario et les lois fédérales du Canada qui s’y appliquent, les différends étant tranchés par arbitrage à Toronto (Ontario).