Accord de traitement des données

L'organisation Utilisateur (« Responsable du traitement »), qu'elle agisse en tant que Fournisseur (entreprise de métiers, désignée « Fournisseur » sur la Plateforme) ou en tant que Demandeur (entrepreneur en construction, désigné « Client » sur la Plateforme), est le Responsable du traitement à l'égard des renseignements personnels de son propre personnel, de ses travailleurs, de ses contacts d'affaires et de toute autre Personne concernée dont les renseignements personnels sont introduits ou stockés sur la Plateforme par le Responsable du traitement.

En tant que Responsable du traitement, l'organisation Utilisateur détermine de manière indépendante les finalités pour lesquelles les renseignements personnels sont traités et les moyens par lesquels ils le sont. Les décisions du Responsable du traitement comprennent, sans s'y limiter : les travailleurs à intégrer sur la Plateforme ; les offres d'emploi à publier ou à accepter ; les personnes affectées à des engagements spécifiques ; et les communications envoyées via les fonctions de messagerie de la Plateforme.

Le Responsable du traitement est indépendamment et seul responsable de : (a) s'assurer qu'il dispose d'une base légale appropriée pour le traitement en vertu du droit applicable avant de soumettre des renseignements personnels à la Plateforme ; (b) fournir les avis de confidentialité requis aux Personnes concernées conformément à la LPRPDE et à la Loi 25 du Québec ; (c) répondre aux demandes d'exercice de droits des Personnes concernées conformément au droit applicable ; (d) se conformer à toutes les obligations applicables en matière de protection de la vie privée dans son rôle de Responsable du traitement ; et (e) s'assurer de l'exactitude, de l'exhaustivité et de l'actualité des renseignements personnels qu'il soumet à la Plateforme.

Le Responsable du traitement reconnaît que Crewd, dans son rôle de Sous-traitant, ne vérifie pas la légalité des instructions du Responsable du traitement et s'appuie entièrement sur les déclarations et garanties du Responsable du traitement concernant son autorité légale à traiter les renseignements personnels qu'il soumet à la Plateforme.

Crewd Inc. agit à titre de Sous-traitant, traitant les renseignements personnels uniquement pour le compte du Responsable du traitement, sous son autorité et conformément à ses instructions documentées. Le rôle de Crewd en tant que Service informatique passif signifie que Crewd fournit l'infrastructure technique, les algorithmes et le soutien opérationnel nécessaires pour exécuter les instructions du Responsable du traitement, sans exercer de jugement indépendant sur la finalité ultime du traitement.

En tant que Sous-traitant, Crewd devra : (a) traiter les renseignements personnels uniquement sur instruction documentée du Responsable du traitement, y compris pour les transferts transfrontaliers de données, sauf si la loi applicable l'y oblige ; (b) s'assurer que le personnel autorisé à traiter les renseignements personnels est tenu par des obligations de confidentialité ; (c) mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées telles que décrites à l'article 5 du présent ATD ; (d) respecter les conditions d'engagement des Sous-traitants ultérieurs telles qu'établies à l'article 7 du présent ATD ; (e) aider le Responsable du traitement à assurer le respect des obligations relatives aux droits des Personnes concernées ; (f) aider le Responsable du traitement à assurer le respect des obligations en matière de sécurité, de notification d'atteinte, d'évaluation des incidences sur la vie privée et de consultation préalable ; (g) supprimer ou retourner tous les renseignements personnels au Responsable du traitement à la fin de la prestation des services ; et (h) mettre à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer la conformité au présent ATD.

Lorsque Crewd traite des renseignements personnels à ses propres fins au-delà de celles strictement nécessaires à la fourniture des services de la Plateforme (par exemple, pour la prévention de la fraude, la surveillance anti-contournement, l'analyse agrégée ou la conformité légale), Crewd agit à titre de Responsable du traitement indépendant pour ce traitement, et ce traitement est régi par la Politique de confidentialité de Crewd plutôt que par le présent ATD.

Dans des circonstances limitées et spécifiques, Crewd et le Responsable du traitement peuvent être considérés comme des responsables conjoints du traitement à l'égard de certaines activités de traitement. Ces circonstances comprennent, sans s'y limiter : (a) la prévention de la fraude et la surveillance anti-contournement, où les deux parties partagent un intérêt à détecter et prévenir les embauches hors plateforme en violation des dispositions de non-contournement des Conditions d'utilisation principales ; (b) les obligations de déclaration réglementaire, où les deux parties sont indépendamment tenues de conserver et de divulguer les mêmes renseignements personnels à la même autorité (p. ex., ARC, Revenu Québec, CNESST, WSIB) ; et (c) les procédures de règlement de différends initiées par ou contre l'une ou l'autre des parties, où les deux parties nécessitent l'accès et la conservation des mêmes renseignements personnels.

Dans les scénarios de responsabilité conjointe du traitement, Crewd et le Responsable du traitement sont indépendamment responsables du respect du droit applicable en matière de protection de la vie privée à l'égard de leurs propres activités de traitement. Les parties conviennent de coopérer de bonne foi pour établir et documenter, par arrangement écrit distinct si nécessaire, les responsabilités respectives de chaque partie pour la conformité aux obligations applicables en matière de protection de la vie privée dans les scénarios de responsabilité conjointe, y compris en particulier les obligations relatives à la fourniture d'avis de confidentialité aux Personnes concernées.

Indépendamment de tout arrangement de responsabilité conjointe du traitement, les Personnes concernées peuvent exercer leurs droits contre l'une ou l'autre des parties. Chaque partie s'engage à renvoyer promptement à l'autre toute demande d'une Personne concernée relative aux activités de traitement de l'autre partie.

Dans le cas où Crewd prendrait connaissance d'une Atteinte aux renseignements personnels impliquant des renseignements personnels traités dans le cadre du présent ATD, Crewd en informera le Responsable du traitement sans délai indu, et en tout état de cause dans les soixante-douze (72) heures suivant la prise de connaissance de l'Atteinte. Lorsque la notification ne peut être fournie dans les 72 heures, Crewd fournira les informations disponibles au moment de la notification initiale et complétera la notification avec des informations supplémentaires au fur et à mesure qu'elles deviennent disponibles.

La notification au Responsable du traitement sera fournie par courriel à l'adresse courriel principale du compte enregistrée, avec l'objet du courriel indiquant clairement une notification d'atteinte aux données. Les Responsables du traitement sont responsables de s'assurer que leur adresse courriel principale du compte est à jour et surveillée. Crewd maintient également un contact ATD à privacy@crewd.ai pour les escalades et les demandes de suivi.

Suite à la notification du Responsable du traitement, les obligations respectives de notification réglementaire sont les suivantes : (a) en vertu de la Loi 25 du Québec, article 3.5, lorsqu'une atteinte présente un « risque réel de préjudice sérieux » aux Personnes concernées, Crewd (ou le Responsable du traitement, selon le rôle dans l'atteinte) est tenu d'aviser la Commission d'accès à l'information (CAI) et les personnes touchées ; (b) en vertu de la LPRPDE, lorsqu'une atteinte présente un « risque réel de préjudice important » aux personnes touchées, l'organisation responsable est tenue d'aviser le Commissariat à la protection de la vie privée du Canada (OPC) dès que possible et d'aviser directement les personnes touchées ; (c) les parties coopéreront de bonne foi pour déterminer qui assume l'obligation de notification principale dans chaque scénario en fonction de leurs rôles respectifs et des circonstances de l'atteinte.

Lorsque Crewd détermine qu'une Atteinte nécessite une notification à la CAI ou à l'OPC en vertu du droit applicable et que le Responsable du traitement est la partie notifiante principale, Crewd fournira au Responsable du traitement toutes les informations en sa possession pertinentes aux obligations de notification. Lorsque Crewd est la partie notifiante principale en vertu du droit applicable, Crewd avisera les autorités de réglementation et en informera simultanément le Responsable du traitement.

Crewd fournira au Responsable du traitement un préavis écrit d'au moins trente (30) jours avant toute modification prévue de la liste des Sous-traitants ultérieurs autorisés, y compris l'ajout de nouveaux Sous-traitants ultérieurs et le remplacement de Sous-traitants ultérieurs existants. L'avis sera fourni par courriel à l'adresse courriel principale du compte du Responsable du traitement et comprendra : (a) le nom et la juridiction du nouveau Sous-traitant ultérieur proposé ou de remplacement ; (b) une description des activités de traitement à déléguer au Sous-traitant ultérieur ; (c) les catégories de renseignements personnels à traiter ; et (d) les garanties de protection des données en place ou à mettre en œuvre.

Le Responsable du traitement peut s'opposer à une modification proposée d'un Sous-traitant ultérieur en fournissant un avis écrit d'opposition à privacy@crewd.ai dans les quinze (15) jours suivant la réception de l'avis de modification. L'avis d'opposition doit préciser les motifs légitimes de protection des données sur lesquels le Responsable du traitement s'oppose. Crewd n'engagera pas le Sous-traitant ultérieur proposé tant que l'opposition du Responsable du traitement n'aura pas été résolue.

Dès réception d'une opposition écrite, les parties engageront une discussion de bonne foi pendant une période allant jusqu'à quinze (15) jours supplémentaires pour tenter de résoudre l'opposition. Si l'opposition ne peut être résolue à la satisfaction raisonnable du Responsable du traitement dans ce délai, le Responsable du traitement peut, à titre de seul recours, résilier les services spécifiques de la Plateforme qui dépendent du Sous-traitant ultérieur contesté sur préavis écrit. Les oppositions générales sans motifs de protection des données spécifiés, ou les oppositions à des Sous-traitants ultérieurs autorisés par le Responsable du traitement dans le cadre d'une version antérieure du présent ATD sans opposition, ne constituent pas des motifs valables de résiliation.

Le silence suite à la réception d'un avis de modification (c'est-à-dire le défaut de s'opposer dans le délai d'opposition de 15 jours) constitue le consentement présumé du Responsable du traitement à la modification proposée du Sous-traitant ultérieur.

Le Responsable du traitement reconnaît que les Services nécessitent que Crewd transfère des renseignements personnels vers les États-Unis d'Amérique et les y traite, où les principaux Sous-traitants ultérieurs de Crewd (Clerk, Convex, Stripe, Vercel, Twilio et Google) exploitent leur infrastructure principale. Les parties reconnaissent que les États-Unis ne bénéficient pas d'une décision d'adéquation émise par le Commissaire à la protection de la vie privée du Canada ou par la Commission d'accès à l'information du Québec à la date d'entrée en vigueur du présent ATD.

Pour assurer un niveau de protection approprié aux renseignements personnels transférés aux États-Unis et dans d'autres juridictions sans décisions d'adéquation, Crewd s'appuie sur les mécanismes de transfert suivants : (a) Clauses contractuelles types (CCT) : les Clauses contractuelles types UE 2021 (telles qu'émises par la Commission européenne le 4 juin 2021) sont incorporées par référence dans les accords de traitement des données avec chaque Sous-traitant ultérieur applicable, adaptées si nécessaire pour refléter les exigences du droit canadien (LPRPDE et Loi 25 du Québec) en tant que loi de la juridiction exportatrice ; (b) Garanties contractuelles : les accords de traitement des données avec tous les Sous-traitants ultérieurs comprennent des dispositions contractuelles traitant des exigences spécifiques de la Loi 25 du Québec concernant les transferts transfrontaliers, y compris les obligations de protection équivalente ; (c) Règles d'entreprise contraignantes (BCR) : pour Stripe, les transferts sont également régis par les BCR de Stripe approuvées par les autorités de surveillance compétentes.

Des Évaluations de l'impact du transfert (EIT) ont été réalisées par Crewd pour chaque Sous-traitant ultérieur basé aux États-Unis. Les EIT ont évalué : (a) le cadre juridique applicable dans le pays de destination concernant l'accès gouvernemental aux renseignements personnels ; (b) l'efficacité pratique du mécanisme de transfert à la lumière du cadre juridique ; et (c) les mesures techniques et organisationnelles supplémentaires mises en œuvre pour faire face aux risques identifiés. Les conclusions des EIT et les mesures supplémentaires mises en œuvre sont décrites à l'article 8.2 du présent ATD. La documentation des EIT est disponible pour examen par le Responsable du traitement sur demande écrite sous des obligations de confidentialité appropriées.

Le Responsable du traitement a le droit de réaliser des audits des activités de traitement des données de Crewd en vertu du présent ATD, y compris des inspections physiques ou virtuelles des installations, systèmes et dossiers pertinents, pour vérifier la conformité de Crewd aux obligations énoncées dans le présent ATD et au droit applicable en matière de protection des données. Ce droit d'audit est une composante fondamentale des obligations de responsabilité du Responsable du traitement en vertu de la LPRPDE et de la Loi 25 du Québec.

Les audits peuvent être réalisés par : (a) le propre personnel du Responsable du traitement ayant une expertise appropriée en matière de protection des données ; ou (b) un auditeur tiers indépendant nommé par le Responsable du traitement et acceptable pour Crewd (agissant raisonnablement), à condition que cet auditeur soit lié par des obligations de confidentialité écrites au moins aussi strictes que celles énoncées dans le présent ATD avant d'être autorisé à accéder aux systèmes ou informations de Crewd.

Crewd coopérera avec les audits en : (a) fournissant aux auditeurs du Responsable du traitement un accès raisonnable à la documentation, aux politiques, aux procédures, aux dossiers et aux certifications pertinents ; (b) mettant à disposition le personnel pertinent de Crewd pour des entrevues raisonnables ; (c) fournissant un accès aux systèmes techniques et à l'infrastructure pertinents dans la mesure techniquement faisable et compatible avec les obligations de sécurité de Crewd envers d'autres clients ; et (d) fournissant des réponses écrites aux questionnaires d'audit raisonnables dans un délai mutuellement convenu.

Dans des circonstances normales, le Responsable du traitement peut réaliser un (1) audit formel par année civile. Le Responsable du traitement devra fournir à Crewd un préavis écrit d'au moins trente (30) jours de son intention de réaliser un audit, en précisant la portée, le calendrier et la méthodologie d'audit proposée. Les parties coopéreront de bonne foi pour planifier l'audit à un moment mutuellement convenable et d'une manière qui minimise les perturbations des opérations de Crewd et des opérations d'autres clients de Crewd.

Le Responsable du traitement peut réaliser des audits supplémentaires (au-delà du seul audit annuel autorisé dans des circonstances normales) dans les circonstances suivantes : (a) à la suite d'une Atteinte aux renseignements personnels confirmée affectant les données du Responsable du traitement, où l'audit est raisonnablement limité en portée aux circonstances de l'Atteinte ; ou (b) lorsque le Responsable du traitement a une base raisonnable et documentée (non de la simple spéculation) pour soupçonner une non-conformité matérielle de Crewd aux obligations du présent ATD. Dans ces cas, Crewd répondra à la demande d'audit de bonne foi et proposera un calendrier qui équilibre les besoins d'audit légitimes du Responsable du traitement avec les exigences opérationnelles de Crewd.

Le Responsable du traitement reconnaît que Crewd peut, au lieu d'accorder l'accès à ses propres systèmes et dossiers, fournir au Responsable du traitement des copies des certifications, attestations et rapports d'audit pertinents provenant d'auditeurs de sécurité tiers indépendants (tels que les rapports SOC 2 Type II), lorsque ces rapports couvrent la portée de l'audit demandé. Le Responsable du traitement peut examiner ces rapports pour satisfaire à ses obligations d'audit, sous réserve des obligations de confidentialité applicables.

À l'expiration ou à la résiliation des Conditions d'utilisation principales pour quelque raison que ce soit, et sur demande écrite du Responsable du traitement soumise à privacy@crewd.ai dans les soixante (60) jours civils suivant la date de résiliation, Crewd devra, au choix du Responsable du traitement : (a) retourner tous les renseignements personnels traités dans le cadre du présent ATD dans un format structuré, couramment utilisé et lisible par machine (JSON), livré au Responsable du traitement via un lien de téléchargement sécurisé ou un transfert chiffré ; ou (b) supprimer ou détruire définitivement et de manière sécurisée tous les renseignements personnels traités dans le cadre du présent ATD, y compris toutes les copies détenues par Crewd sur ses propres systèmes et, dans la mesure techniquement faisable, par ses Sous-traitants ultérieurs (sous réserve des propres obligations légales de conservation des Sous-traitants ultérieurs).

Si le Responsable du traitement ne soumet pas d'élection écrite dans les soixante (60) jours civils suivant la date de résiliation, Crewd procédera à la suppression sécurisée des renseignements personnels du Responsable du traitement.

La suppression ou le retour sera complété dans les quatre-vingt-dix (90) jours civils suivant l'élection du Responsable du traitement ou, si aucune élection n'est faite, dans les quatre-vingt-dix (90) jours civils suivant la fin de la période d'élection de soixante jours. Crewd déploiera des efforts commercialement raisonnables pour amener ses Sous-traitants ultérieurs à supprimer ou retourner les renseignements personnels dans le même délai, sous réserve des propres obligations contractuelles et légales des Sous-traitants ultérieurs.

Nonobstant les obligations de suppression ci-dessus, Crewd est autorisée à conserver des renseignements personnels dans la mesure et pour la durée requises par la loi applicable, y compris : (a) les dossiers financiers et fiscaux, qui doivent être conservés pendant l'exercice fiscal au cours duquel ils ont été créés plus sept (7) ans, conformément à la Loi de l'impôt sur le revenu (Canada) et à la Loi sur l'administration fiscale (Québec) ; (b) les dossiers de projets de construction, qui doivent être conservés pendant un minimum de sept (7) ans pour s'aligner sur les délais de prescription applicables pour les réclamations de vices de construction et les exigences d'audit réglementaire ; (c) les dossiers requis pour la défense de réclamations juridiques en cours ou raisonnablement anticipées, pour la durée du délai de prescription applicable à ces réclamations ; et (d) les dossiers requis pour se conformer à toute ordonnance réglementaire, enquête gouvernementale ou procédure judiciaire signifiée à Crewd. Les renseignements personnels conservés uniquement en vertu du présent paragraphe seront séparés des systèmes de traitement actifs, marqués comme archivés et consultés uniquement pour les fins permises spécifiques.

Crewd n'utilisera pas les renseignements personnels conservés en vertu des exceptions de conservation obligatoire du paragraphe (p4) ci-dessus à d'autres fins que la fin spécifique de conformité légale pour laquelle ils sont conservés. Ces renseignements conservés demeureront soumis aux obligations de sécurité du présent ATD.

Crewd sera responsable envers le Responsable du traitement pour tout dommage, perte ou préjudice matériel (y compris les amendes administratives, les sanctions réglementaires et les frais juridiques raisonnables) causé au Responsable du traitement comme résultat direct du manquement de Crewd à ses obligations en vertu du présent ATD ou du droit applicable en matière de protection des données, dans la mesure de la faute directe de Crewd. La responsabilité de Crewd en vertu du présent article 12 s'ajoute à, et ne se substitue pas à, toute responsabilité que Crewd peut avoir en vertu des Conditions d'utilisation principales.

Pour éviter tout doute, Crewd ne sera pas responsable des dommages découlant de : (a) le manquement du Responsable du traitement à ses propres obligations en vertu du présent ATD ou du droit applicable en matière de protection de la vie privée ; (b) le traitement effectué par le Responsable du traitement ou par tout tiers non engagé par Crewd ; (c) le traitement effectué par Crewd conformément à une instruction documentée du Responsable du traitement ultérieurement déterminée comme illicite, à condition que Crewd ait informé le Responsable du traitement de l'illicéité potentielle de l'instruction avant le traitement ; (d) les incidents de sécurité inévitables découlant de circonstances échappant au contrôle raisonnable de Crewd, y compris les exploits de type « zéro jour » pour lesquels aucun correctif n'était disponible au moment de l'incident, à condition que Crewd ait appliqué des pratiques de sécurité commercialement raisonnables ; ou (e) les dommages indirects, consécutifs, spéculatifs ou punitifs.

La répartition de la responsabilité entre les responsables conjoints du traitement (telle que décrite à l'article 2.3 du présent ATD) sera déterminée conformément au droit applicable. Lorsqu'une autorité de surveillance, un tribunal ou une juridiction détermine la responsabilité respective des parties dans un scénario de responsabilité conjointe du traitement, cette détermination sera contraignante pour les parties.

La responsabilité totale agrégée de Crewd envers le Responsable du traitement au titre du présent ATD ou en lien avec celui-ci (qu'elle découle d'un contrat, d'un délit, d'une obligation légale ou autre) ne dépassera pas, sur toute période glissante de douze mois, un montant égal aux frais agrégés payés par le Responsable du traitement à Crewd au cours des douze (12) mois civils immédiatement précédant la date à laquelle la réclamation est survenue pour la première fois. Ce plafond de responsabilité est compatible avec, et soumis à, les dispositions générales de limitation de responsabilité énoncées dans les Conditions d'utilisation principales.

Le plafond de responsabilité du paragraphe (p1) ne s'appliquera pas à : (a) la responsabilité pour la fraude ou l'inconduite délibérée de Crewd ; (b) la responsabilité pour le décès ou les blessures corporelles causés par la négligence de Crewd ; ou (c) toute autre responsabilité ne pouvant être exclue ou limitée en vertu du droit applicable. Rien dans le présent ATD ne sera interprété comme une tentative d'exclure ou de limiter la responsabilité de Crewd dans des circonstances où une telle exclusion ou limitation est interdite par des dispositions obligatoires du droit applicable.