Le présent Accord sur le traitement des données (l'« ATD ») est conclu entre KP Management ltée (« KP Management » ou le « Sous-traitant ») et le Client qui accepte les Conditions d'utilisation du Service (le « Responsable du traitement »). Il complète les Conditions d'utilisation du Service (les « Conditions ») et s'applique lorsque KP Management traite des Renseignements personnels pour le compte du Client. En cas de conflit sur un sujet régi par l'ATD, l'ATD prévaut.
1. DÉFINITIONS
« Atteinte » : un accès, une utilisation ou une communication non autorisés de Renseignements personnels, leur perte ou toute autre atteinte à leur protection, notamment une destruction, altération ou divulgation accidentelle ou illicite.
« Groupe KP » : KP Management et toute société qui la contrôle, qu'elle contrôle ou qui est sous contrôle commun ou sous direction commune avec elle.
« Lois sur la protection des données » : les lois, règlements, ordonnances et exigences réglementaires applicables à la protection des renseignements personnels, à la vie privée et à la sécurité des données, notamment, selon le cas, les lois du Québec et du Canada et le Règlement général sur la protection des données de l'Union européenne (« RGPD »).
« Personne concernée » : une personne physique identifiée ou identifiable à laquelle se rapporte un Renseignement personnel.
« Renseignement personnel » : tout renseignement concernant une personne physique qui permet, directement ou indirectement, de l'identifier, y compris toute notion équivalente prévue par les Lois sur la protection des données.
« Responsable du traitement » : le Client ou toute autre personne ou organisation qui détermine, seule ou conjointement, les fins et les moyens du Traitement.
« Service » : le Service défini dans les Conditions.
« Sous-traitant ultérieur » : un membre du Groupe KP ou un tiers engagé par KP Management pour traiter des Renseignements personnels pour le compte du Responsable du traitement.
« Traitement » : toute opération effectuée sur des Renseignements personnels, par un procédé automatisé ou non, notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation, l'extraction, la consultation, l'utilisation, la communication, la combinaison, la restriction, l'anonymisation, l'effacement ou la destruction.
2. RÔLES, OBJET ET DURÉE
2.1 Rôles. Le Client agit comme Responsable du traitement des Renseignements personnels qu'il soumet au Service ou fait traiter par KP Management. KP Management agit comme Sous-traitant selon les instructions documentées du Client, sauf lorsqu'elle traite certains renseignements pour ses propres fins légitimes et distinctes conformément à la Politique de confidentialité et aux Lois sur la protection des données.
2.2 Objet et fins. Le Traitement a pour objet de fournir, configurer, héberger, soutenir, sécuriser, maintenir et améliorer le Service, d'exécuter les fonctions demandées par le Client et de respecter les obligations applicables.
2.3 Durée. Le Traitement commence lorsque KP Management reçoit ou accède aux Renseignements personnels et se poursuit pendant la durée du Service, puis pendant toute période de restitution, de sauvegarde, de conservation ou de suppression requise par les Conditions, les instructions du Client ou la loi.
2.4 Nature du Traitement. La nature des opérations peut comprendre la collecte, la transmission, l'hébergement, l'organisation, l'analyse, l'extraction, la classification, la génération de rapports, l'automatisation, l'affichage, la sauvegarde, la restitution, l'effacement et les autres opérations nécessaires au Service.
3. RENSEIGNEMENTS ET PERSONNES CONCERNÉES
Les catégories de Renseignements personnels peuvent notamment comprendre :
les renseignements d'identification et de contact;
les renseignements de compte, d'authentification, de rôle et de sécurité;
les renseignements immobiliers, locatifs, d'occupation et de gestion d'immeubles ou d'unités;
les demandes de location, baux, communications, demandes de service, inspections, documents, photographies et vidéos;
les renseignements financiers, comptables, de facturation, de paiement et de transaction;
les renseignements techniques, journaux d'utilisation et traces d'audit; et
tout autre renseignement téléversé ou transmis par le Client ou en son nom dans le Service.
Les catégories de Personnes concernées peuvent notamment comprendre :
les utilisateurs et représentants du Client;
les propriétaires, gestionnaires, investisseurs, exploitants et employés;
les locataires, candidats locataires, occupants, garants et personnes à contacter;
les fournisseurs, entrepreneurs, professionnels et autres prestataires; et
toute autre personne reliée aux immeubles, comptes, dossiers ou activités du Client.
4. OBLIGATIONS DU RESPONSABLE DU TRAITEMENT
4.1 Conformité et licéité. Le Client respecte les Lois sur la protection des données, fournit des instructions licites et documentées et demeure responsable de la licéité, de l'exactitude, de la qualité, de la pertinence et de la mise à jour des Renseignements personnels.
4.2 Avis et consentements. Le Client confirme avoir fourni les avis requis et obtenu les consentements, autorisations ou autres bases juridiques nécessaires pour la collecte, l'utilisation, la communication et le Traitement, y compris pour permettre à KP Management et aux Sous-traitants ultérieurs d'exécuter le Service.
4.3 Mesures du Client. Le Client configure les droits d'accès, protège ses comptes, limite les données téléversées à ce qui est nécessaire et met en œuvre des mesures appropriées pour les systèmes et composantes qu'il contrôle.
4.4 Évaluation indépendante. Le Client évalue si le Service et les mesures décrites par KP Management répondent à ses besoins et à ses obligations, compte tenu de la nature, de la sensibilité, du volume, du contexte et des risques du Traitement.
4.5 Responsabilités réglementaires. Le Client répond aux demandes des Personnes concernées et aux autorités, effectue les évaluations d'impact ou de facteurs relatifs à la vie privée requises et donne à KP Management les instructions nécessaires.
5. OBLIGATIONS DU SOUS-TRAITANT
5.1 Instructions. KP Management traite les Renseignements personnels uniquement selon les instructions documentées du Client, qui comprennent l'ATD, les Conditions, la configuration du Service, les demandes de soutien et toute instruction écrite compatible. Si une instruction contrevient manifestement à une loi applicable, KP Management en informe le Client et peut suspendre son exécution jusqu'à clarification.
5.2 Exigence légale. Si une loi oblige KP Management à traiter ou communiquer des Renseignements personnels autrement, KP Management en informe le Client avant le Traitement, sauf interdiction légale.
5.3 Confidentialité. KP Management veille à ce que les personnes autorisées à traiter les Renseignements personnels soient liées par une obligation de confidentialité et reçoivent une formation appropriée selon leurs fonctions.
5.4 Sécurité. KP Management met en œuvre et maintient des mesures administratives, physiques et technologiques raisonnables et adaptées aux risques, lesquelles peuvent comprendre :
des contrôles d'accès fondés sur les rôles, l'authentification et la gestion des privilèges;
le chiffrement en transit et, lorsque approprié, au repos;
la journalisation, la surveillance, la gestion des vulnérabilités et les sauvegardes;
des mécanismes visant la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes;
des processus de reprise et de restauration après un incident; et
des évaluations et améliorations périodiques de l'efficacité des mesures.
5.5 Droits des Personnes concernées. Compte tenu de la nature du Traitement, KP Management aide raisonnablement le Client, au moyen des fonctions du Service et de mesures appropriées, à répondre aux demandes d'accès, de rectification, de suppression, de cessation de diffusion, de désindexation, de portabilité, d'opposition, de limitation ou relatives aux décisions automatisées, lorsque ces droits sont applicables. Si KP Management reçoit directement une demande concernant les données contrôlées par le Client, elle la transmet au Client ou dirige la personne vers celui-ci, sauf obligation contraire.
5.6 Assistance. KP Management fournit une assistance raisonnable au Client pour ses obligations en matière de sécurité, d'Atteinte, d'évaluation des facteurs relatifs à la vie privée, de consultation d'une autorité et de documentation de conformité, compte tenu de la nature du Traitement et des renseignements dont elle dispose. Les travaux exceptionnels peuvent être facturés aux tarifs convenus, sauf lorsque l'assistance est rendue nécessaire par un manquement de KP Management.
6. SOUS-TRAITANTS ULTÉRIEURS ET GROUPE KP
6.1 Autorisation générale. Le Client donne une autorisation générale à KP Management pour engager des Sous-traitants ultérieurs, y compris des sociétés du Groupe KP, afin de fournir le Service.
6.2 Information et objection. KP Management peut communiquer la liste ou les catégories de Sous-traitants ultérieurs dans le Service, la Documentation ou sur demande et informe le Client de tout ajout ou remplacement important par un moyen raisonnable. Le Client peut formuler une objection motivée fondée sur la protection des données. Les parties collaborent de bonne foi afin de trouver une solution raisonnable; à défaut, l'une ou l'autre peut mettre fin à la partie affectée du Service selon les Conditions.
6.3 Obligations équivalentes. KP Management impose au Sous-traitant ultérieur des obligations de protection des données substantiellement équivalentes pour le Traitement qui lui est confié. KP Management demeure responsable de l'exécution de ces obligations par le Sous-traitant ultérieur, sous réserve des limites permises par la loi et les Conditions.
7. TRANSFERTS TRANSFRONTALIERS
Le Client autorise KP Management et ses Sous-traitants ultérieurs à traiter des Renseignements personnels à l'extérieur du Québec ou du Canada lorsque cela est nécessaire au Service, sous réserve des Lois sur la protection des données.
KP Management met en place les évaluations, contrats et autres garanties raisonnablement requis pour assurer une protection adéquate. Lorsque le RGPD s'applique, les parties collaborent pour mettre en œuvre un mécanisme de transfert reconnu, notamment des clauses contractuelles types, si nécessaire.
8. GESTION DES ATTEINTES
8.1 Avis. KP Management avise le Client sans retard indu après avoir pris connaissance d'une Atteinte touchant les Renseignements personnels traités pour le Client. Cet avis ne constitue pas une reconnaissance de faute ou de responsabilité.
8.2 Contenu. Dans la mesure où les renseignements sont disponibles, l'avis indique :
la nature de l'Atteinte;
les catégories et le nombre approximatif de Personnes concernées et de dossiers touchés;
les conséquences ou risques probables;
les mesures prises ou proposées pour contenir, corriger et atténuer les effets; et
un point de contact pour obtenir des renseignements supplémentaires.
8.3 Collaboration. Lorsque toute l'information ne peut être fournie en même temps, KP Management la transmet par étapes sans retard indu. Les parties collaborent afin de permettre au Client de respecter ses obligations de notification, de tenue de registre et de communication.
9. RESTITUTION, DESTRUCTION ET SAUVEGARDES
À la fin du Service et selon le choix raisonnablement offert au Client, KP Management restitue ou détruit les Renseignements personnels, sauf lorsqu'une conservation est exigée ou permise par la loi. Le Client doit utiliser les fonctions d'exportation et respecter les délais indiqués dans les Conditions ou le Service.
Les copies de sauvegarde peuvent être conservées jusqu'à leur remplacement ou leur expiration selon les cycles normaux. Elles demeurent protégées et ne sont pas restaurées autrement que pour la continuité, la sécurité ou une obligation légale.
10. DONNÉES DÉPERSONNALISÉES, AGRÉGÉES ET ANONYMISÉES
KP Management peut dépersonnaliser ou agréger des données afin de fournir, sécuriser et améliorer le Service, sous réserve des Lois sur la protection des données. Les données dépersonnalisées demeurent protégées lorsqu'elles permettent encore une réidentification et ne doivent pas être réidentifiées, sauf pour vérifier les mesures de dépersonnalisation ou lorsque la loi le permet.
Une fois les données anonymisées conformément à la loi de façon qu'il soit raisonnable de prévoir, dans les circonstances, qu'elles ne permettent plus d'identifier une personne de manière irréversible, KP Management et le Groupe KP peuvent les utiliser pour les statistiques, l'analyse, l'étalonnage, la recherche, l'amélioration des Services et le développement ou la commercialisation de produits analytiques. L'ATD ne s'applique plus à ces données anonymisées.
11. INFORMATION, AUDITS ET CONFORMITÉ
Sur demande raisonnable, KP Management fournit au Client l'information disponible nécessaire pour démontrer sa conformité à l'ATD. KP Management peut répondre au moyen de politiques, questionnaires, attestations, rapports d'audit indépendants ou autres documents appropriés.
Si cette documentation est insuffisante pour une obligation légale précise, le Client peut demander un audit raisonnable, au plus une fois par période de douze mois sauf Atteinte ou exigence d'une autorité. L'audit doit être planifié à l'avance, respecter la sécurité et la confidentialité des autres clients, ne pas perturber les activités et être effectué par un auditeur indépendant lié par la confidentialité. Les coûts sont assumés par le Client, sauf si l'audit révèle un manquement important de KP Management.
12. RESPONSABILITÉ, DURÉE ET DROIT APPLICABLE
12.1 Responsabilité. La responsabilité des parties découlant de l'ATD est assujettie aux exclusions et limitations prévues dans les Conditions, dans toute la mesure permise par la loi.
12.2 Durée. L'ATD demeure en vigueur tant que KP Management traite des Renseignements personnels pour le compte du Client. Les obligations de confidentialité, de sécurité, de restitution, de destruction, d'audit et celles qui doivent survivre par leur nature demeurent applicables après la fin du Service.
12.3 Droit applicable. L'ATD est régi par les lois du Québec et les lois fédérales du Canada qui s'y appliquent, sous réserve de toute Loi sur la protection des données impérative. Les tribunaux du district judiciaire de Montréal, Québec, ont compétence exclusive, sous réserve de toute règle impérative contraire.
12.4 Modifications. KP Management peut mettre à jour l'ATD lorsque cela est raisonnablement nécessaire pour refléter une modification du Service, des Sous-traitants ultérieurs ou des exigences légales. Toute modification importante est communiquée selon le mécanisme prévu aux Conditions.
13. COORDONNÉES
Pour toute question concernant l'ATD ou le Traitement :
KP Management ltée
225-2075 av victoria, Saint-Lambert, J4S 1H1, Qc, Canada
admin@kpmplatform.com