Déclaration de traitement à l’étranger
Dites aux gens où vont leurs données, comme l’attend le droit canadien de la vie privée.
Lavawall® rédige pour vous une déclaration de traitement à l’étranger en langage simple, établie à partir des fournisseurs et des flux de données déjà consignés dans votre analyse d’impact sur les affaires, avec l’avis de traitement hors Canada que la PIPA de l’Alberta et la loi 25 du Québec vous amènent à donner. Quand un client demande « où nos renseignements sont-ils réellement traités? », la plupart des organisations ne savent pas répondre clairement, et le droit canadien de la vie privée s’attend à ce qu’elles le sachent.
Elle utilise des données que vous avez déjà et elle est rédigée en langage simple que vos clients, votre personnel et leurs avocats peuvent lire. Pas de page blanche, pas de rédaction juridique à partir de zéro.
Commencer avec l’assistant GRC Voir toute la plateforme GRC
Rempli automatiquement à partir de votre BIA · avis de traitement hors Canada · langage simple · peu courant sur les plateformes axées sur les États-Unis
La déclaration qui manque à la plupart des organisations canadiennes
Vos données sont presque certainement traitées quelque part que vous n’avez pas consigné : une région d’hébergement dans un autre pays, un centre d’assistance dans un autre fuseau horaire ou une fonction d’IA qui envoie du texte à un modèle à l’étranger. Le droit canadien de la vie privée s’attend à ce que vous soyez transparent à ce sujet. La plupart des plateformes de conformité sont bâties autour de cadres américains et ne produisent jamais cet avis. Lavawall le fait.
Deux thèmes traversent toute la déclaration
Premièrement, elle utilise des données que vous avez déjà. Lavawall lit les fournisseurs et les flux de données de votre analyse d’impact sur les affaires et indique qui traite quoi, et où : vous confirmez la réalité au lieu de deviner. Deuxièmement, elle est rédigée en langage simple, de sorte que les personnes dont vous détenez les renseignements peuvent réellement comprendre où ils vont et qui y touche.
Rempli automatiquement à partir des fournisseurs et des flux de données de votre BIA
Chaque fournisseur que vous avez consigné dans l’analyse d’impact sur les affaires, et chaque flux de données entre vos systèmes, devient une ligne de la déclaration : quels renseignements personnels sont concernés, quel service les traite et dans quel pays. Vous révisez et ajustez plutôt que de tout saisir.
Un véritable avis de traitement hors Canada
Lorsqu’un fournisseur de services à l’extérieur du Canada peut traiter des renseignements personnels, Lavawall rédige l’avis dans le style qu’attend la PIPA de l’Alberta : ce qui sera traité à l’extérieur du pays, comment une personne peut s’informer de vos politiques et pratiques relatives au recours à des fournisseurs de services à l’extérieur du Canada, et à qui s’adresser pour poser des questions.
Un langage simple, pas du jargon juridique
La déclaration se lit comme quelque chose qu’un client peut comprendre, et non comme une clause de contrat. C’est délibéré. La transparence ne fonctionne que si les personnes à qui elle s’adresse peuvent la comprendre.
Pourquoi l’avis de traitement hors Canada fait la différence
Le droit canadien de la vie privée considère que l’envoi de renseignements personnels à l’extérieur de la province ou du pays est une chose que les gens méritent de savoir. Voici ce qu’attendent les principaux régimes, et pourquoi une plateforme centrée sur les États-Unis le couvre rarement.
PIPA de l’Alberta
Lorsqu’une organisation recourt à un fournisseur de services à l’extérieur du Canada pour recueillir, utiliser ou communiquer des renseignements personnels, la PIPA s’attend à ce qu’elle en avise les personnes : ce qui sera traité à l’extérieur du Canada, comment obtenir de l’information sur ses politiques et pratiques à l’égard des fournisseurs de services à l’extérieur du Canada, et le nom ou le poste d’une personne qui peut répondre aux questions. Lavawall rédige cet avis pour vous.
Loi 25 du Québec
Avant que des renseignements personnels ne soient communiqués à l’extérieur du Québec, la loi 25 s’attend à ce que l’organisation évalue les incidences du transfert sur la vie privée, y compris la question de savoir si les renseignements bénéficieraient d’une protection adéquate. Les flux de données de votre BIA fournissent à Lavawall la matière première pour vous aider à documenter cette évaluation.
Responsabilité en vertu de la LPRPDE
En vertu de la LPRPDE, lorsque vous transférez des renseignements personnels à un tiers aux fins de traitement, votre organisation en demeure responsable et doit être transparente quant à cette pratique. La déclaration rend cette transparence concrète.
La plupart des plateformes de conformité sont axées sur les États-Unis et ne produisent aucune déclaration canadienne de traitement hors Canada. Celle-ci le fait, à partir des dossiers que vous tenez déjà. Les avis ci-dessus sont rédigés pour être exacts et mesurés, et non comme des promesses absolues de conformité, afin que votre conseiller juridique puisse les réviser et les finaliser.
Ce qu’il vous en coûte de ne pas en avoir
Une question à laquelle vous ne pouvez pas répondre lors d’une transaction
Les acheteurs d’entreprise et les clients du secteur public demandent où leurs données sont traitées. « Nous ne sommes pas certains » fait caler la vente. Une déclaration claire y répond selon vos conditions et garde la transaction en marche.
Une lacune qu’un organisme de réglementation ou un client peut pointer du doigt
Si quelqu’un se plaint qu’on ne lui a jamais dit que ses renseignements sont traités à l’étranger, une organisation sans déclaration n’a rien à présenter. Une déclaration générée à partir de vos véritables fournisseurs démontre que vous avez pris l’obligation au sérieux.
Un angle mort qui grandit avec chaque nouvel outil
Chaque application SaaS et chaque fonction d’IA que vous adoptez peut déplacer discrètement des données au-delà d’une frontière. Comme la déclaration est bâtie à partir de votre BIA, elle évolue avec votre liste de fournisseurs au lieu de moisir dans un tiroir.
Ce que comprend la déclaration générée
Qui traite vos données
Chaque fournisseur et sous-traitant de votre BIA, décrit en langage simple plutôt que par nom de marque dans le texte public.
Quelle information est concernée
Les catégories de renseignements personnels liées à chaque flux de données, pour que les gens sachent ce qui est réellement en jeu.
Où elle est traitée
Le pays ou la région où chaque service traite les données, avec tout ce qui se trouve hors Canada clairement signalé.
L’avis de traitement hors Canada
L’avis de style albertain et un point de contact pour les questions, ainsi que de l’espace pour consigner votre évaluation de transfert au titre de la loi 25.
Avant de vous y fier
Cette déclaration est une ébauche de départ générée à partir de vos dossiers. Elle est conçue pour vous éviter la page blanche et refléter ce qu’attend le droit canadien de la vie privée, mais elle ne constitue pas un avis juridique. Faites-la réviser et finaliser par votre conseiller juridique ou votre conseiller en protection de la vie privée avant de vous y fier ou de la publier à l’intention de vos clients.
Un volet de la plateforme GRC élargie
Analyse des répercussions sur les activités
Les fournisseurs et les flux de données qui remplissent votre déclaration, saisis une seule fois en langage simple.
En savoir plus →Documentation des flux de données
Le registre interne des flux de données et des sous-traitants derrière chaque déclaration publique.
En savoir plus →Addenda à la politique de confidentialité
L’addenda public qui réunit les sous-traitants, le traitement à l’international et l’utilisation de l’IA.
En savoir plus →Questions courantes
- Qu’est-ce qu’une déclaration de traitement à l’étranger?
- Un énoncé en langage simple qui indique à vos clients et à votre personnel où leurs renseignements personnels sont traités et par qui, y compris tout traitement à l’extérieur de leur province ou à l’extérieur du Canada. Lavawall établit le vôtre automatiquement à partir des fournisseurs et des flux de données de votre analyse d’impact sur les affaires, puis y ajoute un avis de traitement hors Canada dans le style qu’attend le droit canadien de la vie privée.
- Pourquoi l’avis de traitement hors Canada est-il important au Canada?
- Le droit canadien de la vie privée s’attend à ce que les organisations soient transparentes quant au traitement des renseignements personnels à l’extérieur de la province ou du pays de la personne. La PIPA de l’Alberta s’attend à ce que vous avisiez les personnes lorsqu’un fournisseur de services à l’extérieur du Canada peut traiter leurs renseignements personnels, y compris la façon de joindre quelqu’un au sujet de vos politiques. La loi 25 du Québec s’attend à une évaluation des incidences sur la vie privée avant que des renseignements ne soient communiqués à l’extérieur du Québec. La LPRPDE vous maintient responsable des renseignements transférés à un tiers aux fins de traitement.
- Dois-je la remplir à partir de zéro?
- Non. Elle est remplie automatiquement à partir de données que vous avez déjà. Lavawall lit les fournisseurs et les flux de données de votre analyse d’impact sur les affaires et rédige pour vous le qui, le quoi et le où : vous confirmez au lieu de partir d’une page blanche.
- Est-ce courant sur les autres plateformes de conformité?
- C’est peu courant parmi les plateformes axées sur les États-Unis, qui se concentrent sur les cadres américains et ne produisent pas de déclaration canadienne de traitement hors Canada. Lavawall la génère à partir de dossiers que vous détenez déjà. Considérez-la comme une ébauche de départ et faites-la réviser par votre conseiller juridique ou votre conseiller en protection de la vie privée avant de la publier.
Commencer avec l’assistant GRC →Voir toute la plateforme GRC