Le caviardage des renseignements personnels pour les entreprises SaaS au Canada : ce que vos conditions d'utilisation ne protègent pas

L'illusion des conditions d'utilisation

Les entreprises SaaS au Canada occupent une position particulière sous la LPRPDE que bien des fondateurs et des équipes de produit ne comprennent pas pleinement. La plupart se rassurent avec leurs conditions d'utilisation : les utilisateurs acceptent que l'entreprise puisse traiter leurs données, les clients d'entreprise signent des annexes de traitement des données, et tout le monde passe à autre chose. La paperasse juridique est en place.

La paperasse ne résout pas les obligations sous-jacentes. La LPRPDE s'applique à la collecte, à l'utilisation et à la communication de renseignements personnels dans le cadre d'activités commerciales — et si votre produit SaaS traite des renseignements personnels que les utilisateurs ou les clients téléversent, saisissent ou génèrent, vous êtes assujetti à la LPRPDE peu importe ce que disent vos conditions.

Les conditions d'utilisation peuvent régir la relation entre votre entreprise et vos utilisateurs. Elles ne changent rien à ce que la LPRPDE exige de votre entreprise à l'égard des renseignements personnels que vous traitez.

Là où les produits SaaS touchent réellement aux renseignements personnels

L'exposition aux renseignements personnels dans les produits SaaS varie énormément selon la catégorie, mais certaines tendances sont quasi universelles.

Les téléversements générés par les utilisateurs. Tout produit qui accepte les téléversements de fichiers — documents, images, exportations de données — recevra des renseignements personnels dans ces téléversements. Un outil de gestion de projet reçoit des CV, des contrats et des documents des RH. Un produit de stockage infonuagique reçoit des dossiers financiers et des documents médicaux. Un générateur de formulaires reçoit toutes les données que les répondants saisissent, y compris les champs que votre client a ajoutés et que vous n'aviez pas prévus.

Les champs de texte libre. Les notes de GRC, les descriptions de billets de soutien, les réponses à des sondages, les commentaires et tout autre champ de texte non structuré contiendront des renseignements personnels que vos utilisateurs y ont placés. Les champs qui préoccupent le plus les équipes de protection de la vie privée sont ceux conçus pour des données d'affaires mais effectivement remplis de données personnelles — les champs « notes sur ce client » qui contiennent des renseignements sur la santé, des détails relationnels ou d'autres renseignements bien au-delà de ce pour quoi le produit a été conçu.

Les données de journaux. Les journaux d'application, les journaux d'erreurs et les événements analytiques saisissent fréquemment des renseignements personnels par inadvertance — adresses courriel dans les URL, noms dans les paramètres de requête, adresses IP dans tous les types de journaux. La plupart des infrastructures de journalisation saisissent bien plus de données personnelles que les équipes d'ingénierie ne le réalisent, et les politiques de conservation des journaux sont généralement guidées par les besoins de débogage plutôt que par les exigences de vie privée.

Les données des clients utilisées pour l'amélioration du produit. La pratique consistant à utiliser les données des clients pour entraîner des algorithmes de recommandation, améliorer la pertinence des recherches ou tester de nouvelles fonctionnalités est courante et crée des enjeux précis sous la LPRPDE. La fin pour laquelle les clients ont fourni leurs données — utiliser votre produit — n'inclut pas nécessairement l'amélioration de votre produit par l'analyse de leurs données. Utiliser les données des clients pour l'amélioration du produit sans consentement approprié constitue une violation d'utilisation secondaire.

La complexité du B2B

Pour le SaaS B2B — des produits vendus à des entreprises, et non à des consommateurs — l'analyse de la LPRPDE comporte une couche additionnelle. Votre client est une entreprise. Les renseignements personnels que ses employés ou ses utilisateurs finaux saisissent dans votre produit appartiennent à ces personnes, et non à votre client. Votre client peut avoir ses propres obligations sous la LPRPDE régissant ces données, et le traitement des données de votre produit influe sur sa capacité à respecter ces obligations.

Les clients d'entreprise exigent de plus en plus des annexes de traitement des données qui précisent exactement comment vous traitez les données personnelles, où elles sont stockées, quels sous-traitants vous utilisez et comment vous soutenez leurs obligations sous la LPRPDE, y compris les demandes d'accès, la notification des incidents et la suppression des données. Une entreprise SaaS canadienne sans réponses claires à ces questions perd des contrats d'entreprise au profit de concurrents qui y ont réfléchi.

Ce que signifie le caviardage des renseignements personnels dans un contexte SaaS

Le caviardage dans les produits SaaS relève moins du modèle mental de la « boîte noire sur un document » que de l'identification et du traitement systématiques des renseignements personnels à mesure qu'ils circulent dans votre produit.

Le caviardage entrant — le traitement du contenu téléversé par l'utilisateur ou des données saisies au moyen de la détection des renseignements personnels avant qu'ils ne soient stockés ou indexés — crée une couche interrogeable qui vous indique quelles catégories de renseignements personnels vivent dans chaque enregistrement, permettant des contrôles d'accès appropriés, une gestion de la conservation et une journalisation d'audit.

Le caviardage au niveau de l'API — la détection et le signalement des renseignements personnels dans les requêtes et les réponses d'API avant qu'ils n'atteignent les systèmes en aval — empêche les renseignements personnels de se propager vers les plateformes d'analyse, les agrégateurs de journaux et les intégrations tierces qui n'ont pas de contrôles appropriés.

L'épuration des journaux — l'exécution de la détection des renseignements personnels sur les données de journaux avant qu'elles ne soient stockées ou expédiées vers les plateformes de gestion de journaux — s'attaque à la plus grande source unique d'exposition par inadvertance de renseignements personnels dans la plupart des produits SaaS.

Rien de tout cela ne concerne la destruction des données. Il s'agit de savoir où se trouvent les renseignements personnels, de contrôler qui peut y accéder et d'appliquer des protections appropriées en fonction de ces connaissances. Une entreprise qui peut vous dire exactement quels enregistrements de son système contiennent des NAS, des numéros de carte d'assurance maladie ou des détails de comptes financiers est dans une posture de conformité complètement différente de celle qui traite tout de façon uniforme sans différenciation.

Le risque de fournisseur que vous créez pour vos clients

Lorsqu'un client d'entreprise choisit votre produit SaaS, vous devenez un sous-traitant dans son programme de conformité à la LPRPDE. Vos pratiques de traitement des données influent sur sa capacité à satisfaire au principe de responsabilité de la LPRPDE — qui le tient responsable des renseignements personnels qu'il a communiqués à des tiers à des fins de traitement.

Les clients posent de plus en plus aux fournisseurs SaaS les questions auxquelles la LPRPDE exige qu'ils puissent répondre : Où mes données sont-elles stockées? Qui y a accès? Comment gérez-vous la notification des incidents? Qu'advient-il de mes données lorsque j'annule?

Ce ne sont pas des questions déraisonnables. Ce sont des questions que le responsable de la vie privée ou l'équipe juridique de votre client pose parce que la LPRPDE exige qu'il y ait des réponses. Les entreprises SaaS qui peuvent y répondre de façon concise et complète obtiennent des contrats d'entreprise. Les entreprises SaaS qui considèrent ces questions comme des obstacles perdent des contrats au profit de concurrents qui ont intégré la protection de la vie privée dès la conception de leur produit plutôt que de la traiter comme une formalité juridique.