Sous-traitants

Un sous-traitant ultérieur est une entreprise que RapidCents engage pour accomplir une partie des Services et qui, ce faisant, traite des renseignements personnels détenus par RapidCents — y compris des renseignements personnels dont un commerçant est responsable. La présente page explique ce qu’est un sous-traitant ultérieur et en quoi il diffère d’un fournisseur que vous engagez vous-même, les catégories auxquelles RapidCents fait appel et ce à quoi chacune peut accéder, les engagements pris à l’égard de chaque sous-traitant ultérieur avant qu’il ne soit retenu, ce que signifie le fait qu’une partie du traitement se déroule à l’extérieur du Canada, le registre qui nomme les fournisseurs auxquels RapidCents fait appel et la façon d’obtenir la liste complète à jour, et ce que vous pouvez faire si vous vous opposez à un changement.

1. Ce qu’est un sous-traitant ultérieur

Aucune plateforme de paiement ne fonctionne uniquement sur ses propres machines. Un sous-traitant ultérieur est une entreprise que nous engageons et qui finit par traiter des données dont vous êtes responsable.

RapidCents n’accomplit pas elle-même chaque partie des Services. Les serveurs sur lesquels la plateforme fonctionne, les systèmes qui acheminent un message aux réseaux de cartes, les vérifications qui valident une entreprise à l’ouverture du compte, le service qui livre un courriel — une partie de tout cela est accomplie par d’autres entreprises que RapidCents engage. Lorsqu’une telle entreprise traite des renseignements personnels détenus par RapidCents, elle est un sous-traitant ultérieur.

Le terme découle de l’article D.1 des conditions d’utilisation et de l’article 3 de la politique de confidentialité. À l’égard des renseignements personnels concernant les clients d’un commerçant — les Données Clients, au sens de D.1 —, le commerçant est le responsable du traitement et décide de ce qui est recueilli et pourquoi; RapidCents est le sous-traitant et les traite selon les instructions documentées du commerçant; un sous-traitant ultérieur est une entreprise que RapidCents engage à son tour pour accomplir une partie de ce traitement. Chaque maillon est lié par celui qui le précède. C’est la position applicable au traitement que RapidCents effectue sur instruction du commerçant; l’article 4 de l’addendum sur le traitement des données énumère l’ensemble plus restreint d’activités — notamment le filtrage des sanctions, les déclarations réglementaires et les décisions de fraude et de risque propres à RapidCents — qui portent sur les mêmes renseignements, mais que RapidCents effectue comme responsable du traitement, ce qui explique que l’article 11 situe la présente page sous les deux rôles.

Un sous-traitant ultérieur n’est pas un fournisseur que vous engagez vous-même. Un logiciel comptable ou une extension de panier d’achat que vous branchez à votre compte est engagé par vous : l’article B.6 des conditions d’utilisation vous rend seul responsable de l’évaluer, de le choisir et de le mettre en œuvre, et prévoit que sa disponibilité par l’entremise de RapidCents n’implique aucune relation d’affaires avec le fournisseur. Ces services échappent à la présente page. Tout tiers qui touche à un paiement n’est pas non plus un sous-traitant ultérieur : l’Acquéreur et les réseaux de cartes agissent à leurs propres fins et selon leurs propres règles, comme l’explique l’article 2.

2. Ce que vise la présente page et ce qu’elle ne vise pas

La présente page vise les catégories de sous-traitants ultérieurs auxquelles RapidCents fait appel pour fournir la plateforme décrite dans la déclaration de sécurité — la passerelle, le checkout hébergé, les liens de paiement, Rapid.js, le tableau de bord, le terminal virtuel, la facturation et la facturation récurrente, les logiciels de point de vente, les terminaux fournis par RapidCents ainsi que les API et les trousses SDK qui y donnent accès — et les fournisseurs qui soutiennent les sites Web publics de RapidCents. Quatre choses qu’elle ne vise pas.

• L’Acquéreur et les réseaux de cartes. L’article A.2 des conditions d’utilisation désigne comme Acquéreur Elavon, LLC et Elavon Canada Company, l’institution financière et membre des Associations avec laquelle RapidCents a conclu un contrat afin de transmettre les bordereaux de vente et les renseignements sur les transactions aux Associations et d’en recevoir les fonds de règlement. Il s’agit de parties indépendantes dans le parcours de paiement, non de sous-traitants agissant sur instruction de RapidCents : l’article 6 de la politique de confidentialité consigne que leur traitement est régi par leurs propres règles, notamment les règlements d’exploitation de Visa et de Mastercard, et l’article F.5 en fait des tiers bénéficiaires des dispositions qui les concernent.
• Les services tiers qu’un commerçant choisit de brancher, dont traite l’article B.6 et que décrit l’article 1 ci-dessus.
• Les conseillers professionnels. Les auditeurs, les avocats et les assureurs reçoivent des renseignements en vertu d’un devoir de confidentialité plutôt qu’à titre de sous-traitants, comme l’énonce l’article 6 de la politique de confidentialité.
• Les communications imposées par la loi, qui constituent une obligation et non un mandat de traitement, et auxquelles aucun contrat ne peut déroger. L’article H.3 consigne que les obligations de RapidCents en vertu de la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes et de la Loi sur les activités associées aux paiements de détail peuvent exiger une déclaration à un organisme de réglementation ou à une autorité policière sans préavis et, parfois, sans que RapidCents puisse dire qu’elle l’a faite.

3. Les catégories de sous-traitants ultérieurs auxquelles RapidCents fait appel

Voici les types d’entreprises que nous engageons et ce que chacune peut voir. Le registre décrit à l’article 9 indique de quelles entreprises précises il s’agit.

Les catégories présentées dans le tableau ci-dessous correspondent aux catégories de fournisseurs divulguées à l’article 6 de la politique de confidentialité. Une catégorie indique la mission confiée à un fournisseur et les renseignements personnels auxquels il peut accéder pour l’accomplir, ce qui est l’élément déterminant du risque. L’identité des fournisseurs individuels figure au registre décrit à l’article 9.

Une seule des catégories du tableau ne peut pas être refusée tant qu’un compte est ouvert. La vérification d’identité et le filtrage des sanctions existent parce que RapidCents est inscrite auprès du Centre d’analyse des opérations et déclarations financières du Canada à titre d’entreprise de services monétaires et auprès de la Banque du Canada à titre de fournisseur de services de paiement, et assume de ce fait ses propres obligations d’identification des clients, de bénéficiaires effectifs, de tenue de registres, de surveillance des opérations, de filtrage des sanctions et de déclaration, comme l’énonce l’article H.3. La soumission d’une Transaction à l’Acquéreur et aux réseaux de cartes ne peut pas non plus être refusée, puisqu’une transaction non soumise n’est pas autorisée — mais cette soumission relève du parcours de paiement décrit à l’article 2 plutôt que d’un mandat confié par RapidCents à un sous-traitant ultérieur, et le registre de l’article 9 ne nomme aucun fournisseur dans la catégorie de la connectivité aux réseaux de cartes et à l’acquéreur.

L’analytique et la mesure publicitaire se distinguent : le visiteur des sites Web publics peut désactiver l’une ou l’autre en tout temps au moyen de la commande « Paramètres des témoins », au pied de chaque page, qui ouvre l’avis sur les témoins. Aux États-Unis et au Canada hors Québec, elles fonctionnent dès la première page du visiteur jusqu’à ce qu’il les désactive; partout ailleurs, elles ne fonctionnent qu’une fois que le visiteur les a acceptées, hormis les signaux sans témoin que la balise Google transmet quel que soit le choix du visiteur; et un signal Global Privacy Control désactive la mesure publicitaire dans toutes les régions, comme le décrit la politique sur les témoins. Et lorsque RapidCents accomplit elle-même une fonction, aucune catégorie n’apparaît : l’article 7 de la déclaration de sécurité consigne que ses systèmes et applications sont développés à l’interne, ce qui explique que le développement logiciel ne figure pas au tableau.

Catégories de sous-traitants ultérieurs, mission confiée à chacune et renseignements accessibles

Catégorie	Mission confiée	Renseignements personnels accessibles
Infrastructure et hébergement	Exploiter le calcul, le stockage, les bases de données et le réseau sur lesquels la plateforme fonctionne, conserver les sauvegardes quotidiennes, et diffuser les sites Web publics de RapidCents ainsi que les ressources que le navigateur d’un visiteur charge avec eux.	Toute catégorie conservée sur la plateforme. Les numéros de carte sont conservés sous forme de jetons, et les champs sensibles énumérés à l’article 3 de la déclaration de sécurité sont chiffrés au repos. Un fournisseur qui ne fait que servir une ressource au navigateur d’un visiteur accède aux renseignements techniques que porte cette requête et à rien de ce qui est conservé sur la plateforme.
Connectivité aux réseaux de cartes et à l’acquéreur	Acheminer jusqu’à l’Acquéreur les messages d’autorisation, de compensation, de règlement et de litige que génère une Transaction, l’Acquéreur les transmettant ensuite aux Associations en vertu de l’article A.2. Le registre de l’article 9 ne nomme aucun fournisseur dans cette catégorie : RapidCents soumet les Transactions par l’entremise de son Acquéreur, et la présente page n’affirme pas l’existence d’un intermédiaire qu’elle ne peut établir.	Renseignements de transaction et moyen de paiement nécessaire pour l’autoriser et la régler.
Vérification d’identité et filtrage des sanctions	Vérifier une entreprise et ses bénéficiaires effectifs à l’ouverture du compte et effectuer le filtrage au regard des listes de sanctions et de surveillance.	Renseignements d’entreprise et d’identité, y compris les pièces d’identité gouvernementales lorsque la vérification l’exige.
Pointage de fraude et de risque	Attribuer un pointage de risque à une transaction ou à un compte, fournir les signaux d’appareil, de vélocité et de comportement qu’utilisent les Outils de risque prévus à l’article H.8, et distinguer une personne d’une soumission automatisée sur les formulaires que publient les sites Web publics de RapidCents.	Renseignements de transaction, renseignements techniques sur l’appareil, la session et le canal et, sur un formulaire public, les renseignements techniques que transmet un navigateur lorsque la vérification s’exécute.
Transmission des communications	Livrer les courriels, les SMS et les messages intégrés au produit que RapidCents envoie, y compris les avis de service, de sécurité et de facturation.	Coordonnées, préférences de marketing et contenu du message envoyé.
Outils de soutien	Exploiter les systèmes de billetterie, de téléphonie, de clavardage et de connaissances par lesquels le soutien de RapidCents vous répond.	Coordonnées et renseignements de compte, ainsi que le contenu des communications de soutien, y compris les enregistrements lorsqu’on vous informe qu’un appel est enregistré.
Analytique	Mesurer l’utilisation des sites Web publics de RapidCents : dès la première page du visiteur aux États-Unis et au Canada hors Québec, à moins que le visiteur ne désactive la catégorie Mesure d’audience, et ailleurs uniquement une fois que le visiteur l’a acceptée, hormis les signaux sans témoin que la balise Google transmet quel que soit le choix du visiteur.	Renseignements techniques liés à l’utilisation de ces sites par un visiteur — les pages consultées, la façon dont il est arrivé et, pour l’enregistrement des sessions, les clics, le défilement et les mouvements du pointeur —, comme le décrit la politique sur les témoins.
Mesure publicitaire	Mesurer quelles publicités amènent des commerçants sur les sites Web publics de RapidCents et quelles visites deviennent des demandes : dès la première page du visiteur aux États-Unis et au Canada hors Québec, à moins que le visiteur ne désactive la catégorie Marketing, et ailleurs uniquement une fois que le visiteur l’a acceptée.	Renseignements techniques liés à l’utilisation de ces sites par un visiteur et, lorsqu’une demande ou une candidature est enregistrée, une version hachée de son numéro de référence et, pour une demande seulement et dans les cas que précise la politique sur les témoins, de l’adresse courriel, du numéro de téléphone et du nom qui y figurent.

L’Acquéreur et les réseaux de cartes figurent à la deuxième ligne parce qu’ils sont la destination des messages que cette catégorie achemine. Ils ne sont pas eux-mêmes des sous-traitants ultérieurs, pour la raison exposée à l’article 2, et ils sont nommés sous leur propre rôle dans le second tableau de l’article 9.

4. Ce que fait RapidCents avant d’engager un sous-traitant ultérieur

Avant qu’une entreprise n’approche vos données, nous l’évaluons, nous la lions par un contrat écrit qui lui impose ce à quoi nous sommes tenus, nous la limitons à la seule tâche pour laquelle elle a été retenue et nous exigeons qu’elle garde confidentiel ce qu’elle voit. Ce sont des conditions préalables à l’engagement, non des correctifs appliqués après un problème. Les services d’analytique et de publicité de nos sites Web publics font exception, et le présent article explique comment.

Cinq engagements s’appliquent à chaque sous-traitant ultérieur, avant qu’il ne soit retenu.

• Diligence raisonnable. RapidCents évalue un sous-traitant ultérieur pressenti avant de lui confier des renseignements personnels : les contrôles de sécurité qu’il exploite, le lieu et le cadre juridique dans lesquels il traiterait, et la possibilité d’accomplir le travail avec moins de renseignements personnels qu’il n’en demande. S’il traitait à l’extérieur du Canada, l’évaluation comprend l’évaluation des facteurs relatifs à la vie privée décrite à l’article 7.
• Un contrat écrit imposant des obligations équivalentes. Un sous-traitant ultérieur est engagé aux termes d’un contrat écrit qui le lie à protéger les renseignements selon une norme comparable à celle qu’applique RapidCents, à aider RapidCents à respecter ses obligations en vertu de l’article D.1, à l’aviser de tout incident de sécurité touchant ces renseignements, et à restituer ou à supprimer ce qu’il détient à la fin du mandat. L’article 6 de la politique de confidentialité énonce le même engagement.
• Limitation des finalités. Un sous-traitant ultérieur ne peut utiliser les renseignements que pour le service qu’il rend à RapidCents — non à ses propres fins, non pour constituer un profil ou un produit qui lui soit propre, et non pour une communication ultérieure sauf dans la mesure permise par le contrat. L’article 5 de la politique de confidentialité consigne que RapidCents n’utilise pas le détail des transactions des titulaires pour créer des profils publicitaires et ne communique pas les données d’un commerçant à un autre. Un sous-traitant ultérieur n’est un contournement ni de l’une ni de l’autre de ces règles.
• Confidentialité. Le personnel autorisé à traiter les renseignements est tenu à des obligations de confidentialité : l’article D.1, point 1.3(e), l’exige de RapidCents, et RapidCents l’exige à son tour d’un sous-traitant ultérieur. La définition des Renseignements Confidentiels prévue à l’article E.2, et ses quatre exceptions, s’appliquent à ce qui est communiqué sous le régime de l’entente.
• Le minimum de données, non la totalité. Un sous-traitant ultérieur reçoit les catégories que sa fonction exige plutôt que le dossier complet. Le tableau de l’article 3 indique, pour chaque catégorie, ce à quoi un fournisseur peut accéder.

Une exception est énoncée ici plutôt que laissée à découvrir. Google, Meta et Microsoft, que le registre de l’article 9 nomme pour la mesure d’audience et la mesure publicitaire des sites Web publics de RapidCents, fournissent ces services selon leurs propres conditions, et ce que chacune peut faire de ce qu’elle reçoit est déterminé par ces conditions. Meta peut utiliser ce qu’elle reçoit à ses propres fins. La limitation des finalités énoncée ci-dessus ne décrit donc pas ces trois mandats; l’article 4A de la politique de confidentialité et la politique sur les témoins précisent ce que reçoit chacune et comment un visiteur peut la désactiver.

RapidCents est validée comme fournisseur de services PCI DSS de niveau 1, et l’exigence 12.8 de la norme de sécurité des données de l’industrie des cartes de paiement s’applique directement à elle : tenir une liste des tiers avec lesquels des données de titulaires sont partagées, exercer une diligence raisonnable avant d’en engager un, détenir une entente écrite par laquelle le tiers reconnaît sa responsabilité à l’égard de ces données, surveiller l’état de conformité de chacun et consigner quelles exigences chaque partie gère. RapidCents est évaluée au regard de ces exigences.

5. L’engagement d’un sous-traitant ultérieur ne déplace pas les obligations de RapidCents

Vous n’avez jamais à courir après l’un de nos fournisseurs. Adressez-nous la demande, la plainte ou l’incident : traiter avec le fournisseur est notre travail.

L’engagement d’un sous-traitant ultérieur ne répartit pas les obligations de RapidCents entre elle et le fournisseur. Les engagements prévus à l’article D.1, points 1.3(a) à 1.3(f), des conditions d’utilisation — traiter uniquement selon les instructions documentées du commerçant, mettre en œuvre les mesures de sécurité techniques et organisationnelles appropriées, aider le commerçant à répondre aux demandes des personnes concernées, l’aviser sans retard injustifié d’une atteinte visant les Données Clients, tenir le personnel à la confidentialité, et restituer ou supprimer les données à la fin du mandat — demeurent dus au commerçant par RapidCents, quelle que soit l’entreprise qui accomplit le travail sous-jacent.

Un commerçant n’a donc pas à s’adresser à un sous-traitant ultérieur. Une demande, une plainte ou un incident est porté à RapidCents, et c’est elle qui traite avec le fournisseur : l’article 12 de la politique de confidentialité indique la voie d’une demande relative à la vie privée, l’article A.6 le parcours d’escalade d’une plainte non résolue, et l’article 10 de la déclaration de sécurité le traitement d’un incident touchant les données ou le compte d’un commerçant.

La limitation de responsabilité prévue à l’article E.5 continue de s’appliquer à ces obligations et n’est ni élargie ni restreinte par la présente page. L’addendum sur le traitement des données régit la question sur le plan contractuel, et son article 19 consigne qu’il s’applique à chaque commerçant et lie RapidCents sans signature distincte.

6. Traitement à l’extérieur du Canada

Une partie du travail se fait à l’extérieur du Canada, y compris aux États-Unis. Tant que les données s’y trouvent, elles sont assujetties aux lois de ce pays, y compris l’accès par ses tribunaux et ses autorités. Aucun contrat ne peut changer cela, et nous préférons le dire plutôt que de vous laisser le découvrir.

RapidCents exerce ses activités au Canada et aux États-Unis, et certains des sous-traitants ultérieurs qu’elle engage conservent ou traitent des renseignements personnels à l’extérieur de la province ou du pays où réside la personne concernée, y compris aux États-Unis. L’article 9 de la politique de confidentialité consigne le même fait.

La conséquence mérite d’être énoncée clairement. Tant que des renseignements personnels se trouvent dans un autre territoire, ils sont assujettis aux lois de ce territoire et peuvent être accessibles à ses tribunaux, à ses forces de l’ordre et à ses autorités de sécurité nationale par les procédures juridiques qui y existent. Un contrat entre RapidCents et un sous-traitant ultérieur ne peut écarter le droit du lieu où se déroule le traitement, et la présente page ne laisse pas entendre le contraire. Ce qu’un contrat peut faire, c’est lier le fournisseur à une norme de protection, à la limitation des finalités, à la confidentialité et à l’obligation d’aviser — les engagements de l’article 4, d’où le fait que l’évaluation prévue à l’article 7 est faite avant qu’un fournisseur situé dans un autre territoire ne soit engagé, et non après. Lorsque vous devez connaître le pays où une catégorie de vos données est traitée, le registre de l’article 9 l’indique pour chaque fournisseur pour lequel il en consigne un, et indique la voie à suivre pour le demander lorsqu’il ne le fait pas.

7. Le transfert transfrontalier en droit canadien

Le droit canadien n’interdit pas d’envoyer des données à l’étranger. Il nous oblige à en demeurer responsables, à prévoir la protection au contrat et à dire ouvertement que cela se produit. Le Québec ajoute une évaluation préalable, une entente écrite et l’obligation d’en informer les personnes au moment de la collecte.

Le présent article et le suivant décrivent des régimes différents. Celui qui s’applique à un renseignement personnel donné dépend du lieu où se trouve la personne concernée et non du lieu de constitution du commerçant. Rien ici n’affirme que le droit canadien régit les données d’un commerçant américain; l’article 8 énonce la position là-bas.

Au Canada, la Loi sur la protection des renseignements personnels et les documents électroniques n’interdit pas de transférer des renseignements personnels à un fournisseur situé dans un autre pays. Elle assimile le transfert à une utilisation aux fins de traitement et tient l’organisation qui transfère responsable des renseignements pendant qu’ils sont entre les mains du fournisseur, en exigeant des moyens contractuels ou autres assurant un degré de protection comparable. Elle comporte aussi une obligation de transparence, d’où l’existence de l’article 6 : une organisation doit indiquer clairement que des renseignements personnels peuvent être traités dans un autre territoire et être accessibles aux tribunaux, aux forces de l’ordre et aux autorités de sécurité nationale de ce territoire.

Pour une personne se trouvant au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25, va plus loin. Avant qu’un renseignement personnel ne soit communiqué à l’extérieur du Québec, une évaluation des facteurs relatifs à la vie privée doit être réalisée, en tenant compte de la sensibilité du renseignement, des fins de son utilisation, des mesures de protection — y compris contractuelles — dont il bénéficierait, et du régime juridique du territoire où il serait traité. Il ne peut être communiqué que si cette évaluation établit qu’il bénéficierait d’une protection adéquate, et la communication doit faire l’objet d’une entente écrite qui tient compte des résultats de l’évaluation. La Loi 25 comporte également une obligation de transparence distincte, à laquelle l’évaluation ne supplée pas : la personne qui recueille un renseignement personnel doit informer l’intéressé, au moment de la collecte, de la possibilité qu’il soit communiqué à l’extérieur du Québec. C’est pourquoi la présente page indique qu’une partie du traitement se déroule à l’extérieur du Canada plutôt que de se limiter à décrire les mesures de protection.

La Personal Information Protection Act de l’Alberta ajoute une exigence qui lui est propre : l’organisation qui recourt à un fournisseur situé à l’extérieur du Canada doit énoncer dans ses politiques les pays hors du Canada où la collecte, l’utilisation ou la communication se déroule ainsi que les fins pour lesquelles ce fournisseur a été autorisé à agir, et doit indiquer aux personnes comment obtenir ces renseignements et à qui s’adresser. C’est pourquoi le registre de l’article 9 comporte un pays de traitement pour chaque fournisseur, l’indique lorsqu’il en consigne un, le laisse visiblement en blanc lorsqu’il ne le fait pas plutôt que de le déduire, et précise à la fois à qui s’adresser et comment obtenir la liste complète à jour — soit la moitié de cette exigence à laquelle un registre seul ne satisfait pas. La loi équivalente de la Colombie-Britannique s’applique aux activités qui se déroulent dans cette province et, comme celle de l’Alberta, tient une organisation responsable des renseignements personnels qu’elle a confiés à la garde d’un fournisseur.

8. Le transfert transfrontalier en droit américain

Les lois d’État américaines sur la vie privée ne restreignent pas l’envoi de données à l’étranger. Elles encadrent le contenu obligatoire du contrat avec un fournisseur et ce qu’un avis de confidentialité doit divulguer. Engager un fournisseur à ces conditions ne constitue pas une vente de vos données.

Aux États-Unis, il n’existe pas de loi fédérale générale et exhaustive sur la vie privée, et les lois d’État exhaustives actuellement en vigueur ne restreignent pas en soi le transfert de données personnelles à l’extérieur du pays. Ce qu’elles encadrent, c’est le contrat et l’avis.

Un responsable du traitement qui engage un sous-traitant ou un fournisseur de services doit disposer d’un contrat écrit énonçant la nature et la finalité du traitement, le type de données personnelles, la durée ainsi que les droits et les obligations de chaque partie; astreignant le sous-traitant à une obligation de confidentialité; l’obligeant à supprimer ou à restituer les données à la fin du mandat; l’obligeant à assister le responsable en matière de sécurité et de demandes d’exercice des droits des consommateurs; et exigeant que tout sous-contractant qu’il engage soit lié par un contrat écrit imposant les mêmes obligations. Les engagements de l’article 4 sont rédigés pour satisfaire à cette norme. Ces lois exigent également qu’une entreprise divulgue dans son avis de confidentialité les catégories de tiers auxquels des renseignements personnels sont communiqués : la présente page et l’article 6 de la politique de confidentialité constituent cette divulgation au niveau des catégories, et le registre de l’article 9 fournit les identités qu’il consigne ainsi que la voie menant à la liste complète à jour.

Pour un résident d’un État américain doté d’une loi générale sur la vie privée, l’engagement d’un sous-traitant ultérieur lié par la limitation des finalités énoncée à l’article 4 ne constitue pas une vente : il reçoit les renseignements afin de rendre un service à RapidCents et pour aucune fin qui lui soit propre. Les services de mesure d’audience et de mesure publicitaire des sites Web publics ne sont pas engagés sur ce fondement, comme l’indique l’article 4; l’article 4A de la politique de confidentialité décrit ce qu’ils reçoivent et comment un visiteur peut les désactiver, et l’article 8 de cette politique précise comment un tel résident exerce les droits que ces lois accordent, y compris le droit de porter en appel une décision rendue sur une demande.

Si vous êtes un commerçant américain, les obligations de l’article 7 ne vous sont pas opposées. Elles sont énoncées parce que RapidCents est une entreprise canadienne qui traite des renseignements personnels concernant des personnes au Canada, et parce qu’un commerçant qui a des clients canadiens en hérite d’une version par son propre avis de confidentialité.

9. Le registre et comment obtenir la liste complète à jour

Les entreprises que nous engageons sont nommées ci-dessous, avec la mission confiée à chacune et, lorsque le registre l’indique, le pays où elle traite. Les parties du parcours de paiement qui ne sont pas nos fournisseurs y figurent aussi, dans un second tableau, parce que votre question est de savoir qui touche à vos données et non comment nous les classons. Le registre est complet quant aux entreprises qui y figurent, il ne représente pas toute la chaîne d’approvisionnement, et la liste complète à jour vous est remise sur demande.

RapidCents tient un registre des sous-traitants ultérieurs auxquels elle fait appel. Pour chacun, il indique le nom du fournisseur, la catégorie de l’article 3 dont il relève, la mission qui lui est confiée et, lorsqu’il en consigne un, le pays où il effectue le traitement — les renseignements dont ont besoin un avis de confidentialité, un questionnaire fournisseur et une divulgation de politique exigée par l’Alberta, conservés au même endroit afin que ces trois usages ne puissent diverger. Il est publié ci-dessous, et un pays de traitement que le registre n’indique pas est laissé visiblement en blanc plutôt que déduit; les voies énoncées ci-dessous permettent de le demander.

Le registre est complet quant aux parties qui y sont nommées, et rien n’y a été ajouté pour le faire paraître plus fourni qu’il ne l’est. Il ne représente pas toute la chaîne d’approvisionnement. RapidCents fait appel, dans les catégories de l’infrastructure et de l’hébergement, de la vérification d’identité et du filtrage des sanctions, de la transmission des communications, des outils de soutien et de l’analytique décrites à l’article 3, à des fournisseurs que le registre ci-dessous ne nomme pas, et les fournisseurs d’analyse agréés ainsi que les professionnels externes chargés des tests d’intrusion décrits à l’article 8 de la déclaration de sécurité n’y sont pas nommés non plus. La liste complète à jour est fournie sur demande, par les voies indiquées ci-dessous. Un registre court n’est pas la preuve d’une chaîne d’approvisionnement courte, et la présente page le dit plutôt que de laisser le tableau donner à penser le contraire.

Ce que RapidCents s’engage à faire pour tenir le registre à jour est le suivant, et délibérément rien de plus. Le registre porte la date de sa dernière révision, publiée sous celui-ci. RapidCents le révise chaque fois qu’un fournisseur y est ajouté, remplacé ou retiré et, en tout état de cause, au moins une fois tous les douze mois, et elle republie la présente page lorsqu’une révision le modifie. Lorsqu’un changement touche de façon importante le traitement des renseignements personnels, l’article 10 s’applique et un avis est donné avant son entrée en vigueur. RapidCents ne s’engage pas à ce que la présente page reflète un changement le jour où il est fait. Elle s’engage à ce que la date de la dernière révision soit publiée à côté du registre, de sorte que l’actualité de celui-ci puisse être lue plutôt que présumée.

Pour obtenir la liste complète à jour, faites-en la demande à /contact, par courriel à [email protected], ou par écrit au responsable de la protection des renseignements personnels à l’adresse indiquée à l’article 12 de la politique de confidentialité. Les mêmes voies permettent de demander le pays où traite un fournisseur dont le registre laisse cette case en blanc. Elle est transmise sous la forme dont la revue a besoin — intégrée à un questionnaire de sécurité fournisseur rempli, en annexe d’un addendum sur le traitement des données, ou seule. L’attestation de conformité liée à la validation PCI DSS de niveau 1 n’est pas publiée; l’article 8 de la page sur la conformité PCI indique comment la demander. Ce qui est publié, et qui se consulte sans avoir à le demander à quiconque, c’est le reste du matériel qu’une revue de sécurité ou d’approvisionnement parcourt : la déclaration de sécurité, l’addendum sur le traitement des données, la politique de confidentialité, la déclaration d’accessibilité et la voie de divulgation des vulnérabilités, que le Centre de confiance, à /company/trust, réunit en un seul endroit.

Le second tableau nomme les parties du parcours de paiement qui ne sont pas des sous-traitants ultérieurs. Elles sont présentées séparément du registre, et non à l’intérieur de celui-ci, parce qu’inscrire un réseau de cartes parmi les sous-traitants ultérieurs reviendrait à affirmer que RapidCents contracte le traitement des renseignements personnels qu’il effectue et peut y mettre fin; l’article 2 explique pourquoi ni l’un ni l’autre n’est vrai. Elles sont nommées tout de même. Le commerçant qui demande qui touche à ses données s’interroge sur le parcours de paiement plutôt que sur une classification, et une page qui n’aurait répondu qu’à la classification aurait retenu la réponse.

La présente page énonce les catégories, les engagements et le droit qui les régit; le registre indique qui. Conserver les noms dans un seul registre tenu à jour plutôt que de les répéter dans plusieurs documents est ce qui empêche les deux de se désynchroniser.

Registre des sous-traitants ultérieurs : fournisseur, catégorie, mission et pays de traitement

Fournisseur	Catégorie de l’article 3	Mission confiée	Pays de traitement
Le réseau de diffusion de contenu qui sert le site	Infrastructure et hébergement	Servir le site Web public de RapidCents depuis un réseau de diffusion. Chaque requête d’un visiteur y parvient avant d’atteindre RapidCents, de sorte qu’il reçoit nécessairement l’adresse réseau d’où provient la requête, la page demandée et l’identification transmise par le navigateur. RapidCents lit également le pays que le réseau signale, afin de servir le site canadien ou celui des États-Unis.	—
Cloudflare, Inc. (Turnstile)	Pointage de fraude et de risque	Exécuter la vérification anti-robots que le formulaire de comparaison de relevés, à /pricing/fee-check, présente avant d’accepter un relevé et, lorsque RapidCents l’a activée, la même vérification sur le formulaire de contact et le formulaire de candidature. La vérification s’exécute dans le navigateur du visiteur, lequel communique directement avec le fournisseur et lui divulgue l’adresse réseau, l’identification du navigateur et les signaux d’interaction dont la vérification se sert pour distinguer une personne d’une soumission automatisée.	—
Google LLC (reCAPTCHA)	Pointage de fraude et de risque	Exécuter la même vérification anti-robots, sur le même formulaire, lorsque la configuration de RapidCents retient ce fournisseur plutôt que l’autre. Il accède aux mêmes renseignements, aux mêmes fins.	—
Google LLC (Google Fonts)	Infrastructure et hébergement	Fournir les polices de caractères dans lesquelles sont composés les sites Web publics de RapidCents. Lorsqu’une page les demande au fournisseur plutôt qu’aux serveurs de RapidCents, la feuille de style et les fichiers de police sont demandés directement par le navigateur du visiteur, ce qui divulgue au fournisseur l’adresse réseau du navigateur et l’identification qu’il transmet avec une requête. Il n’accède à rien de ce qui est conservé sur la plateforme.	—
Google LLC (Google Analytics et Google Tag Manager)	Analytique	Charger les balises de mesure des sites Web publics de RapidCents et mesurer l’utilisation de ces sites : les pages vues, la provenance des visiteurs et les événements que le site signale — l’envoi d’une demande ou d’une candidature et le fait qu’un lien vers la page d’inscription de RapidCents ou vers son site de commande en ligne a été suivi. Le navigateur du visiteur communique directement avec le fournisseur et lui divulgue son adresse réseau, l’adresse de la page, la page de provenance et l’identification qu’il transmet. Tant que la catégorie Mesure d’audience d’un visiteur est inactive, la balise ne lit ni n’écrit les témoins de Google Analytics.	États-Unis et autres pays où le fournisseur exerce ses activités
Google LLC (publicité Google)	Mesure publicitaire	Mesurer la publicité Google qui amène des visiteurs sur les sites Web publics de RapidCents, au moyen des signaux publicitaires de la balise Google, tant que la catégorie Marketing d’un visiteur est active : stocker des témoins publicitaires, recevoir des données sur la visite à des fins publicitaires et s’en servir pour personnaliser la publicité.	États-Unis et autres pays où le fournisseur exerce ses activités
Meta Platforms, Inc. (pixel de Meta et API Conversions)	Mesure publicitaire	Mesurer la publicité Meta qui amène des visiteurs sur les sites Web publics de RapidCents, tant que la catégorie Marketing d’un visiteur est active. Le navigateur du visiteur transmet directement les pages vues au fournisseur, et le serveur de RapidCents transmet les mêmes événements, ainsi qu’un événement Lead ou SubmitApplication lorsqu’une demande ou une candidature est enregistrée, avec l’adresse de la page, les identifiants de navigateur du fournisseur, l’adresse réseau, l’identification du navigateur, un numéro de référence haché et, pour une demande seulement et dans les cas que précise la politique sur les témoins, une adresse courriel, un numéro de téléphone et un nom hachés.	États-Unis et autres pays où le fournisseur exerce ses activités
Microsoft Corporation (Clarity)	Analytique	Enregistrer la façon dont les pages des sites Web publics de RapidCents sont utilisées — clics, défilement et mouvements du pointeur — afin que les visites puissent être rejouées et résumées, tant que la catégorie Mesure d’audience d’un visiteur est active. Le navigateur du visiteur communique directement avec le fournisseur et lui divulgue son adresse réseau, l’adresse de la page et l’identification qu’il transmet.	États-Unis et autres pays où le fournisseur exerce ses activités

Désigné par son rôle plutôt que par son nom. RapidCents finalise le choix du réseau de diffusion nommé ici et publiera le nom de l’entreprise dans ce registre avant qu’il ne soit invoqué. Le rôle, les données que le réseau reçoit nécessairement et la finalité ci-dessus sont complets et exacts tels qu’énoncés. Le formulaire charge un seul fournisseur anti-robots à la fois, et celui qu’il charge est déterminé par la configuration de RapidCents et non par la page que reçoit le visiteur. Les deux fournisseurs mis en œuvre par le site sont nommés ici, car un registre qui n’en nommerait qu’un dépendrait d’un paramètre que le lecteur ne peut pas vérifier. Google, Meta et Microsoft fournissent les services de mesure d’audience et de mesure publicitaire du présent registre selon leurs propres conditions, qui déterminent ce que chacune peut faire de ce qu’elle reçoit; l’article 4 énonce cette exception. Meta peut utiliser ce qu’elle reçoit à ses propres fins, dans la mesure que permettent ses conditions. Un pays de traitement indiqué par — est un pays que le présent registre n’indique pas pour ce fournisseur. Il est laissé en blanc plutôt que déduit : un pays indiqué à tort est pire qu’un pays qu’il faut demander, puisque la Personal Information Protection Act de l’Alberta fait de la divulgation du pays une exigence et non une courtoisie. Demandez par les voies qu’indique le présent article le pays où traite un fournisseur donné. Registre révisé pour la dernière fois le 3 octobre 2026.

Participants au système de paiement, qui ne sont pas des sous-traitants ultérieurs

Partie	Rôle dans le parcours de paiement	Rôle exercé et règles applicables
Elavon, LLC et Elavon Canada Company (ensemble, l’Acquéreur)	Acquéreur	L’institution financière et membre des Associations avec laquelle RapidCents a conclu un contrat. L’article A.2 des conditions d’utilisation consigne qu’elle transmet les bordereaux de vente et les renseignements sur les transactions aux Associations pour le compte de RapidCents, qu’elle en reçoit les fonds de règlement et qu’elle verse ces fonds à RapidCents en vue du règlement au commerçant. Elle agit en vertu de sa propre adhésion aux Associations et non sur instruction de RapidCents.
Visa	Réseau de cartes	Exploite le réseau par lequel une Transaction effectuée sur ses cartes est autorisée, compensée, réglée et contestée, selon des règlements d’exploitation qu’il rédige et que RapidCents ne peut modifier.
Mastercard	Réseau de cartes	Exploite le réseau par lequel une Transaction effectuée sur ses cartes est autorisée, compensée, réglée et contestée, selon des règlements d’exploitation qu’il rédige et que RapidCents ne peut modifier.
American Express	Réseau de cartes	Exploite le réseau par lequel une Transaction effectuée sur ses cartes est autorisée, compensée, réglée et contestée, selon des règlements d’exploitation qu’il rédige et que RapidCents ne peut modifier.
Discover	Réseau de cartes	Exploite le réseau par lequel une Transaction effectuée sur ses cartes est autorisée, compensée, réglée et contestée, selon des règlements d’exploitation qu’il rédige et que RapidCents ne peut modifier.
Diners Club	Réseau de cartes	Exploite le réseau par lequel une Transaction effectuée sur ses cartes est autorisée, compensée, réglée et contestée, selon des règlements d’exploitation qu’il rédige et que RapidCents ne peut modifier.
Interac	Réseau de cartes	Exploite le réseau par lequel une Transaction effectuée sur ses cartes est autorisée, compensée, réglée et contestée, selon des règles d’exploitation qu’il rédige et que RapidCents ne peut modifier. L’article 1 de la politique de connaissance du client le nomme parmi les réseaux dont les règlements d’exploitation lient un acquéreur et son fournisseur de traitement.
La banque émettrice de la carte	Émetteur	Reçoit la demande d’autorisation d’une Transaction effectuée sur la carte qu’elle a émise et la tranche, et constitue la partie auprès de laquelle un titulaire conteste une opération. L’article 11 de l’addendum sur le traitement des données consigne que les banques émettrices reçoivent les Données de Transaction à titre de participants au système de paiement et les traitent selon leurs propres règles.

Une banque émettrice est déterminée par la carte que le Client choisit d’utiliser et non par RapidCents : cette ligne désigne donc une catégorie de partie plutôt qu’une entreprise. RapidCents ne la choisit pas et ne lui donne aucune instruction. Le présent tableau ne comporte pas de colonne « pays de traitement ». RapidCents n’engage pas ces parties et ne décide pas du lieu où elles traitent : la réponse leur appartient plutôt qu’à RapidCents, et une colonne de tirets laisserait croire qu’une réponse est retenue. Leur traitement est régi par leurs propres règles, notamment les règlements d’exploitation de Visa et de Mastercard, comme le consigne l’article 6 de la politique de confidentialité.

10. Avis de changement et recours en cas d’opposition

Si la chaîne d’approvisionnement change d’une manière qui touche de façon importante le traitement des renseignements personnels, vous recevez d’abord un avis de trente jours. Si un changement vous pose problème, dites-le-nous et nous vous l’expliquerons. Si cela ne règle rien, vous pouvez fermer votre compte : il n’y a ni frais d’annulation ni frais de résiliation anticipée.

Une chaîne d’approvisionnement évolue : un fournisseur est remplacé, une catégorie en gagne un, un fournisseur déplace la région où il traite. Lorsqu’un changement touche de façon importante le traitement des renseignements personnels, l’article 14 de la politique de confidentialité s’applique et l’avis est donné au moins trente (30) jours avant l’entrée en vigueur. L’avis vous parvient par les voies prévues à l’article F.3 des conditions d’utilisation — le tableau de bord, l’adresse de courriel de votre compte ou l’adresse figurant dans les renseignements de votre compte — et produit ses effets au moment de son envoi ou de sa publication. Aux États-Unis, l’Electronic Signatures in Global and National Commerce Act et l’Uniform Electronic Transactions Act telle qu’adoptée par votre État — ou, dans l’État de New York, la législation propre à cet État — lui confèrent le même effet juridique qu’à un avis sur papier, comme l’explique le consentement aux communications électroniques.

Si vous vous opposez à un changement, dites-le. Écrivez au responsable de la protection des renseignements personnels à l’adresse indiquée à l’article 12 de la politique de confidentialité, ou à [email protected], en précisant quel fournisseur ou quelle catégorie vous préoccupe et pourquoi. RapidCents vous indiquera la mission confiée au fournisseur, ce à quoi il peut accéder, le lieu où il traite et ce que son contrat exige de lui. Ces quatre réponses proviennent du registre de l’article 9, du tableau des catégories de l’article 3 et des engagements de l’article 4, ce qui permet de répondre à une opposition à partir d’un document plutôt que d’une assurance. Lorsqu’une opposition n’est pas réglée, la procédure de plainte prévue à l’article A.6 s’applique : d’abord le soutien, puis le bureau de la direction si l’affaire n’est ni résolue ni close dans les quatorze (14) jours ouvrables, puis la voie d’escalade finale après cinq (5) jours ouvrables supplémentaires sans réponse sur le fond.

Deux limites méritent d’être énoncées franchement. RapidCents ne peut retirer un sous-traitant ultérieur engagé pour satisfaire à une obligation qu’elle n’a pas le loisir de décliner, comme l’explique l’article 3. Et une opposition n’est pas un veto : aucun délai d’opposition distinct n’a été fixé, comme le consignent le dernier paragraphe du présent article et l’article 11 de l’addendum sur le traitement des données, et le recours que les conditions d’utilisation offrent au commerçant qui n’accepte pas un changement est celui du paragraphe suivant — fermer le compte, sans frais de résiliation anticipée ni pénalité d’annulation d’aucune sorte.

Lorsqu’un changement ne vous convient pas, vous pouvez fermer votre compte. L’article A.4 des conditions d’utilisation prévoit que RapidCents ne facture aucuns frais de résiliation anticipée et n’impose aucune pénalité d’annulation, quelle qu’elle soit, et qu’un commerçant est libre de fermer son compte à tout moment et pour quelque motif que ce soit. Lorsqu’un changement constitue une modification défavorable importante des modalités de l’entente imposée unilatéralement par RapidCents, le droit d’annulation prévu à l’article A.3 s’applique selon ses propres modalités, par avis écrit dans les quatre-vingt-dix (90) jours suivant l’avis du changement et sur retour du formulaire de fermeture de compte qu’exige cet article. L’article A.5 maintient votre responsabilité à l’égard des transactions déjà traitées, y compris les rétrofacturations et les remboursements qui surviennent après la fermeture.

RapidCents n’a pas fixé de délai d’opposition distinct pour un changement de sous-traitant ultérieur, et la présente page n’en énonce pas un qui n’existe pas. Formulez votre opposition dès que vous le pouvez et, dans la mesure du possible, avant l’entrée en vigueur du changement; le délai d’avis de trente (30) jours ci-dessus est la période prévue pour le faire.

11. Rapport entre la présente page et les autres documents

La présente page est une description de pratiques. Elle n’est pas le contrat et ne crée aucun droit qui lui soit propre. En cas de divergence entre un élément qui s’y trouve et les conditions d’utilisation, ce sont ces dernières qui prévalent; l’article F.6 consigne que l’entente, avec les politiques et les documents qui y sont incorporés par renvoi, constitue l’intégralité de l’entente entre les parties quant à son objet.

L’addendum sur le traitement des données est l’instrument par lequel les clauses relatives aux sous-traitants ultérieurs sont contractuelles. L’article 3 de la politique de confidentialité prévoit que, lorsque RapidCents agit à titre de sous-traitant, l’addendum énonce les engagements applicables à ce rôle, et l’article 19 de l’addendum consigne qu’il s’applique à chaque commerçant et lie RapidCents sans signature distincte; le commerçant dont le processus d’approvisionnement exige un exemplaire signé en fait la demande à [email protected]. Ses clauses régissent l’autorisation des sous-traitants ultérieurs, l’avis donné en cas de changement et les droits du commerçant en cas d’opposition, et priment sur la présente page.

La politique de confidentialité régit le traitement, par RapidCents et à ses propres fins, des renseignements personnels concernant les commerçants, leur personnel, les demandeurs, les visiteurs du site Web et les personnes qui communiquent avec elle, ainsi que l’ensemble plus restreint d’activités que l’article 3 de cette politique range du côté du responsable du traitement bien qu’elles portent sur les Clients d’un commerçant — traitement à l’égard duquel RapidCents est responsable du traitement. La présente page se situe sous ces deux rôles, puisqu’un même sous-traitant ultérieur peut traiter des renseignements personnels relevant de l’un comme de l’autre.

La déclaration de sécurité décrit les contrôles en vigueur dans l’environnement de RapidCents et la page sur la conformité PCI précise ce que couvre la validation de niveau 1 et là où elle s’arrête. Ni l’une ni l’autre ne dit quoi que ce soit de l’environnement propre à un sous-traitant ultérieur; c’est l’article 4 qui le régit. Et comme la déclaration de sécurité le dit d’elle-même, la présente page décrit des pratiques : elle ne constitue ni un niveau de service, ni une garantie, ni une déclaration voulant qu’un système soit exempt de vulnérabilités, et l’exclusion de garanties prévue à l’article E.4 s’y applique au même titre.

12. Ce qui demeure votre responsabilité

Vous devez tout de même informer vos propres clients que leurs données nous sont transmises, ainsi qu’aux entreprises que nous engageons, et détenir les consentements nécessaires. Nous ne pouvons pas les obtenir à votre place.

La publication de la présente page par RapidCents ne libère pas un commerçant des obligations qu’il a envers ses propres clients. Le commerçant qui la traiterait comme si elle l’en libérait sera la partie à qui un organisme de réglementation s’adressera.

• Détenir les consentements. L’article D.1, point 1.2(a), vous oblige à détenir tous les droits, permissions et consentements nécessaires pour recueillir, traiter, utiliser et communiquer les Données Clients à RapidCents et à ses fournisseurs. C’est à vous d’obtenir le consentement.
• Donner l’avis. Le point 1.2(b) exige des avis de confidentialité clairs et exacts à vos clients indiquant comment leurs données seront utilisées, y compris leur communication à RapidCents aux fins du traitement des paiements. Lorsque vos clients se trouvent au Québec, cet avis doit en outre les informer, au moment de la collecte, de la possibilité que les renseignements soient communiqués à l’extérieur du Québec.
• Divulguer les catégories lorsque la loi vous l’impose. Une loi d’État américaine qui vous oblige à divulguer les catégories de tiers auxquels vous communiquez des renseignements personnels fait peser cette obligation sur vous et non sur RapidCents. L’article 3 vous fournit les catégories; l’article 9 nomme les fournisseurs que consigne le registre et indique la voie menant à la liste complète à jour, si votre avis en a besoin.
• Répondre à vos propres clients. Le point 1.2(f) vous rend responsable de répondre aux demandes d’accès, de suppression et aux autres droits exercés par vos clients. RapidCents vous aidera dans la mesure du raisonnable, comme l’exige le point 1.3(c), mais c’est vous qui répondez à la demande.
• Aviser RapidCents lorsqu’un incident survient. Le point 1.2(e) exige un avis sans délai de toute atteinte, réelle ou soupçonnée, visant les Données Clients, et l’article D.2, point 2.3, exige un avis immédiat de tout incident de compromission de données soupçonné, allégué ou confirmé, par courriel à la fois à [email protected] et à [email protected] — y compris un incident survenant chez l’un de vos propres fournisseurs tiers.
• Tenir votre propre liste. L’article B.6 vous rend seul responsable d’évaluer, de choisir et de mettre en œuvre tout service tiers que vous branchez, et l’exigence 12.8 de la norme PCI DSS s’applique à vous à l’égard de vos propres fournisseurs exactement comme elle s’applique à RapidCents à l’égard des siens.