Entente sur le traitement des données

MyLittleWorld Inc. (« MyLittleWorld », « Sous-traitant », « nous ») Contact : privacy@mylittleworld.ca | Montréal, Québec, Canada

La présente entente sur le traitement des renseignements personnels (l'« Entente ») fait partie intégrante des conditions d'utilisation (les « Conditions ») conclues entre MyLittleWorld et l'organisation de services de garde titulaire d'un permis qui s'inscrit et utilise la plateforme MyLittleWorld (l'« Organisation », le « Responsable du traitement », « vous »). Elle s'applique chaque fois que MyLittleWorld traite des renseignements personnels pour le compte de l'Organisation dans le cadre des Services. Lorsqu'une copie signée ou contresignée de la présente Entente est requise aux fins des dossiers de conformité propres à l'Organisation, elle est disponible sur demande à privacy@mylittleworld.ca; les clients en libre-service sont autrement liés par les présentes conditions dès l'acceptation des Conditions d'utilisation.

1. Définitions

« Responsable du traitement » désigne la partie qui détermine les finalités et les moyens du traitement des renseignements personnels — en l'occurrence, l'Organisation.

« Sous-traitant » désigne la partie qui traite des renseignements personnels pour le compte du Responsable du traitement et selon ses instructions documentées — en l'occurrence, MyLittleWorld.

« Renseignement personnel » désigne tout renseignement concernant une personne physique identifiée ou identifiable que MyLittleWorld traite pour le compte de l'Organisation par l'entremise des Services, y compris les catégories décrites à l'article 2.3.

« Personne concernée » désigne la personne physique identifiée ou identifiable à laquelle se rapporte un renseignement personnel, y compris les enfants inscrits, leurs parents/tuteurs, et le personnel de l'Organisation.

« Traitement » désigne toute opération effectuée sur des renseignements personnels, automatisée ou non, y compris la collecte, l'enregistrement, la conservation, l'organisation, la structuration, l'adaptation, l'extraction, l'utilisation, la divulgation, la combinaison, la limitation, l'effacement ou la destruction.

« Sous-traitant ultérieur » désigne tout tiers engagé par MyLittleWorld pour traiter des renseignements personnels pour le compte de MyLittleWorld afin de fournir les Services, tel que décrit dans la Liste des sous-traitants ultérieurs distincte.

« Incident de confidentialité » désigne une atteinte confirmée à la sécurité entraînant la destruction, la perte, l'altération accidentelle ou illicite, ou la divulgation ou l'accès non autorisés à des renseignements personnels.

« Loi applicable en matière de protection des renseignements personnels » désigne, selon le cas applicable au Responsable du traitement et au traitement en cause : la *Loi sur la protection des renseignements personnels dans le secteur privé* du Québec, telle que modifiée par la Loi 25; la *Loi sur la protection des renseignements personnels et les documents électroniques* (LPRPDE) fédérale; le Règlement général sur la protection des données de l'UE/du Royaume-Uni (RGPD); et toute autre loi applicable au traitement visé par la présente Entente.

2. Portée et rôles

2.1 Relation entre les parties. Entre MyLittleWorld et l'Organisation, l'Organisation est le Responsable du traitement des renseignements personnels soumis ou générés dans les Services, et MyLittleWorld en est le Sous-traitant. MyLittleWorld traite les renseignements personnels uniquement pour fournir, maintenir, sécuriser et soutenir les Services, et pour aucune fin qui lui serait propre.

2.2 Personnes concernées. Les catégories de personnes concernées dont les renseignements personnels peuvent être traités sont : (a) les enfants inscrits à l'Organisation; (b) les parents et tuteurs légaux des enfants inscrits; et (c) le personnel de l'Organisation et les utilisateurs autorisés des Services.

2.3 Catégories de renseignements personnels. Selon les fonctionnalités activées par l'Organisation, les renseignements personnels traités peuvent inclure : les données de profil de l'enfant (nom, date de naissance, groupe, présences, personnes autorisées à récupérer l'enfant, coordonnées d'urgence); les données de santé (allergies, médicaments, restrictions alimentaires et notes médicales — une catégorie de données sensibles, traitée uniquement lorsque l'Organisation active la fonctionnalité pertinente et saisit ces données); les données de rapport quotidien (siestes, repas, changements de couche/apprentissage à la propreté, humeur et activités, y compris les photos associées); les photos et autres contenus multimédias des enfants; les coordonnées des parents/tuteurs et l'historique de paiement; et les données d'emploi et d'horaire du personnel.

2.4 Durée. MyLittleWorld traite les renseignements personnels pendant la durée des Conditions, puis uniquement dans la mesure nécessaire pour se conformer à l'article 8 (Retour/suppression des données) ou à une obligation légale de conservation.

3. Obligations du Sous-traitant

3.1 Traitement sur instructions uniquement. MyLittleWorld ne traite les renseignements personnels que selon les instructions documentées de l'Organisation, y compris celles intégrées aux Conditions, à la configuration des Services par l'Organisation, et à toute instruction écrite additionnelle fournie par l'Organisation, sauf si le traitement est autrement exigé par une loi applicable à MyLittleWorld, auquel cas MyLittleWorld informera l'Organisation de cette exigence légale avant le traitement, sauf interdiction légale.

3.2 Absence d'utilisation indépendante. MyLittleWorld n'utilise, ne vend, ne loue, ne divulgue ni ne traite autrement les renseignements personnels à ses propres fins, à des fins de publicité ou de marketing sans lien avec les Services, ni au bénéfice d'un tiers, sauf dans la mesure nécessaire pour fournir les Services ou selon les instructions de l'Organisation.

3.3 Confidentialité du personnel. MyLittleWorld s'assure que le personnel autorisé à traiter des renseignements personnels est lié par une obligation de confidentialité contraignante (contractuelle ou légale) et reçoit une formation adaptée à son rôle, et limite l'accès aux renseignements personnels au personnel qui en a besoin pour exécuter les Services (accès selon le principe du moindre privilège).

3.4 Assistance. MyLittleWorld fournit à l'Organisation l'assistance raisonnable nécessaire pour se conformer à ses propres obligations en vertu de la Loi applicable en matière de protection des renseignements personnels, y compris en matière d'évaluations des facteurs relatifs à la vie privée et de consultations avec les autorités de surveillance ou de réglementation, dans la mesure où cette assistance est raisonnablement requise et se rapporte au traitement effectué par MyLittleWorld.

4. Mesures de sécurité

MyLittleWorld met en œuvre et maintient des mesures techniques et organisationnelles adaptées au risque, notamment :

• Le chiffrement des renseignements personnels en transit (TLS) et au repos.
• L'isolation des données par organisation, appliquée au niveau de la base de données grâce à la sécurité au niveau des lignes (Row-Level Security) de Postgres, de sorte que les données d'une Organisation ne soient pas accessibles à une autre.
• Le hachage des mots de passe avec bcrypt; l'authentification multifacteur (AMF) offerte en option pour les comptes du personnel.
• Un contrôle d'accès basé sur les rôles régissant ce que chaque type d'utilisateur peut consulter ou modifier dans les Services.
• Un accès selon le principe du moindre privilège aux systèmes et données de production par le personnel de MyLittleWorld, limité à ceux ayant un besoin opérationnel.
• Une journalisation et une surveillance conçues pour détecter et répondre aux incidents de sécurité.
• Une diligence raisonnable à l'égard des fournisseurs et sous-traitants ultérieurs, tel que décrit à l'article 5.

Ces mesures peuvent être mises à jour périodiquement, pourvu qu'une telle mise à jour ne réduise pas de façon importante le niveau global de protection.

5. Sous-traitants ultérieurs

5.1 Autorisation. L'Organisation autorise de façon générale MyLittleWorld à engager les sous-traitants ultérieurs identifiés dans la Liste des sous-traitants ultérieurs en vigueur, aux fins qui y sont décrites.

5.2 Obligations des sous-traitants ultérieurs. MyLittleWorld impose à chaque sous-traitant ultérieur des obligations de protection des données substantiellement conformes à celles énoncées dans la présente Entente, y compris des obligations de confidentialité et de sécurité, et demeure responsable envers l'Organisation du traitement effectué par chaque sous-traitant ultérieur comme s'il était effectué directement par MyLittleWorld.

5.3 Modifications aux sous-traitants ultérieurs. MyLittleWorld avise l'Organisation au moins trente (30) jours à l'avance avant d'ajouter un nouveau sous-traitant ultérieur ou d'en remplacer un existant, en mettant à jour la Liste des sous-traitants ultérieurs et, lorsque l'Organisation s'est abonnée aux avis de mise à jour, par courriel. L'Organisation peut s'opposer à un nouveau sous-traitant ultérieur pour des motifs raisonnables liés à la protection des données en avisant privacy@mylittleworld.ca dans le délai de préavis; les parties travailleront de bonne foi à résoudre l'objection, à défaut de quoi l'Organisation pourra résilier les Services concernés comme unique recours.

6. Assistance relative aux droits des personnes concernées

Lorsqu'une personne concernée présente une demande d'exercice de ses droits en vertu de la Loi applicable en matière de protection des renseignements personnels (comme l'accès, la rectification, la suppression ou la portabilité des renseignements personnels), MyLittleWorld, compte tenu de la nature du traitement : (a) avise promptement l'Organisation de la demande si elle est reçue directement par MyLittleWorld, sans répondre à la personne concernée si ce n'est pour la diriger vers l'Organisation, sauf obligation légale de répondre; et (b) fournit une assistance technique et administrative raisonnable pour permettre à l'Organisation de répondre à la demande dans les délais requis par la Loi applicable, y compris par des fonctionnalités des Services permettant à l'Organisation d'accéder aux renseignements personnels, de les exporter, de les corriger ou de les supprimer directement.

7. Avis d'incident de confidentialité

7.1 Avis. MyLittleWorld avise l'Organisation sans délai injustifié, et vise dans tous les cas un délai maximal de soixante-douze (72) heures après avoir confirmé un incident de confidentialité touchant les renseignements personnels de l'Organisation, en décrivant, dans la mesure alors connue : la nature de l'incident; les catégories et le nombre approximatif de personnes concernées et de dossiers touchés; les conséquences probables; et les mesures prises ou proposées pour remédier à l'incident et en atténuer les effets.

7.2 Collaboration. MyLittleWorld collabore avec l'Organisation et fournit les renseignements raisonnablement demandés pour permettre à l'Organisation de respecter ses propres obligations d'avis envers les personnes concernées touchées et les organismes de réglementation applicables (y compris, le cas échéant, la Commission d'accès à l'information du Québec, le Commissariat à la protection de la vie privée du Canada, ou une autorité de surveillance de l'UE/du Royaume-Uni).

7.3 Absence d'aveu. L'avis ou la réponse à un incident de confidentialité en vertu du présent article ne constitue pas une reconnaissance de faute ou de responsabilité par MyLittleWorld.

8. Retour et suppression des données à la résiliation

À la résiliation ou à l'expiration des Conditions, ou à la demande écrite préalable de l'Organisation, MyLittleWorld, au choix de l'Organisation, supprime ou retourne tous les renseignements personnels traités pour le compte de l'Organisation dans un délai de quatre-vingt-dix (90) jours, sauf dans la mesure où MyLittleWorld est tenue de conserver des copies en vertu de la loi applicable, auquel cas MyLittleWorld continue de protéger ces renseignements personnels conformément à la présente Entente et limite tout traitement ultérieur à la fin de cette obligation légale de conservation.

9. Audits et preuves de conformité

9.1 Preuves en remplacement d'un audit sur place. Compte tenu de la nature et de l'échelle des Services, MyLittleWorld, sur demande écrite raisonnable au plus une fois par année civile (ou à la suite d'un incident de confidentialité), fournit à l'Organisation des preuves raisonnables de sa conformité à la présente Entente, pouvant inclure un résumé des pratiques de sécurité de MyLittleWorld, les certifications ou attestations pertinentes des sous-traitants ultérieurs, et les réponses complétées à un questionnaire raisonnable d'audit de sécurité/vie privée d'un tiers. MyLittleWorld ne refusera pas déraisonnablement de compléter un tel questionnaire.

9.2 Audits sur place ou par un tiers. MyLittleWorld n'accorde généralement pas de droits d'audit sur place illimités. Lorsque l'Organisation a une obligation réglementaire précise qui ne peut être satisfaite par les preuves décrites à l'article 9.1, les parties discuteront de bonne foi d'une solution de rechange raisonnable et proportionnée (pouvant inclure un vérificateur indépendant mutuellement convenu), aux frais de l'Organisation.

10. Transferts internationaux de données

Les renseignements personnels traités en vertu de la présente Entente peuvent être transférés et traités au Canada, aux États-Unis et dans d'autres territoires où opèrent les sous-traitants ultérieurs de MyLittleWorld, tel qu'indiqué dans la Liste des sous-traitants ultérieurs. MyLittleWorld s'assure que tout tel transfert est assorti des garanties appropriées exigées par la Loi applicable en matière de protection des renseignements personnels, ce qui peut inclure : (a) le recours aux propres certifications et engagements contractuels de protection des données du sous-traitant ultérieur; (b) des clauses contractuelles types ou des mécanismes de transfert équivalents lorsque requis pour les renseignements personnels provenant de l'UE/du Royaume-Uni; et (c) une évaluation du cadre juridique du territoire de destination conforme aux exigences de la Loi 25 relatives aux renseignements personnels transférés hors Québec, y compris un facteur d'évaluation des facteurs relatifs à la vie privée comparable à la protection qui s'appliquerait au Québec.

11. Responsabilité

La présente Entente ne crée pas de régime de responsabilité distinct ou additionnel à celui prévu par les Conditions d'utilisation (y compris toute limitation ou exclusion de responsabilité et tout plafond de responsabilité). La responsabilité de chaque partie découlant de la présente Entente ou s'y rapportant est assujettie aux limitations et exclusions de responsabilité énoncées dans les Conditions d'utilisation, lesquelles sont intégrées à la présente Entente par renvoi. Rien dans le présent article ne limite une responsabilité qui ne peut être limitée ou exclue en vertu de la Loi applicable en matière de protection des renseignements personnels.

12. Durée et résiliation

La présente Entente entre en vigueur à la date à laquelle l'Organisation accepte pour la première fois les Conditions d'utilisation (ou, pour une copie signée, à la date du contreseing) et demeure en vigueur tant que MyLittleWorld traite des renseignements personnels pour le compte de l'Organisation en vertu des Conditions, malgré la résiliation des Conditions, jusqu'à ce que ce traitement prenne fin conformément à l'article 8.

13. Loi applicable

La présente Entente est régie et interprétée conformément aux lois de la province de Québec et aux lois fédérales du Canada qui s'y appliquent, sans égard aux principes de conflits de lois. Ce choix de loi applicable ne prive pas une personne concernée ou un Responsable du traitement des protections auxquelles il ne peut être dérogé en vertu de la Loi applicable en matière de protection des renseignements personnels, lorsque celle-ci s'applique par ailleurs.

14. Signature

Les Organisations en libre-service sont automatiquement liées par les termes de la présente Entente dès l'acceptation des Conditions d'utilisation; aucune signature distincte n'est requise pour que la présente Entente prenne effet. Lorsqu'une Organisation requiert une copie signée ou contresignée pour ses propres dossiers internes de conformité ou d'audit, MyLittleWorld en fournira une sur demande à privacy@mylittleworld.ca.