Vos fournisseurs SaaS sont une responsabilité au titre de la LPRPDE. La plupart des entreprises canadiennes n'en ont aucune idée.

L'écart de responsabilité

Le principe de responsabilité de la LPRPDE est clair sur un point que la plupart des organisations ratent : vous demeurez responsable des renseignements personnels que vous transférez à un tiers aux fins de traitement. Les manquements à la protection de la vie privée du tiers sont votre problème de conformité.

Cela compte énormément pour l'entreprise canadienne moyenne en 2026, parce que l'entreprise canadienne moyenne fonctionne sur une pile d'outils SaaS — un GRC, un fournisseur de paie, une plateforme de marketing, du stockage infonuagique, un outil de gestion de projet, un système de billetterie de soutien, la visioconférence, une plateforme comptable — chacun traitant des renseignements personnels. Chacun d'eux est un sous-traitant tiers recevant des renseignements personnels sous le parapluie de responsabilité de votre organisation.

Avec combien de ces outils avez-vous une entente de traitement des données? Si la réponse honnête est « la plupart, je pense, quelque part dans leurs conditions d'utilisation » — vous avez le problème de risque lié aux fournisseurs.

Ce qu'exige réellement le principe de responsabilité

Les directives du CPVP sur la responsabilité et les transferts à des tiers sont précises : les organisations doivent recourir à des moyens contractuels ou autres pour assurer un niveau de protection comparable aux renseignements pendant qu'ils sont entre les mains d'un tiers.

« Moyens contractuels » signifie une entente de traitement des données — un contrat qui précise ce que le fournisseur peut faire de vos données, quelles normes de sécurité il doit respecter, comment il gérera une atteinte, ce qu'il fera à la fin du contrat et s'il peut faire appel à des sous-traitants ultérieurs.

La plupart des fournisseurs SaaS d'entreprise disposent d'addendas de traitement des données standards. Pour les fournisseurs basés aux États-Unis assujettis au RGPD par l'entremise de clients de l'UE, ceux-ci sont souvent déjà rédigés et offerts sur demande. Pour les plus petits fournisseurs ou ceux qui ne traitent pas avec les marchés du RGPD, ils peuvent ne pas exister — ce qui est un signal qui mérite d'être pris au sérieux.

Les conditions d'utilisation que vous avez acceptées en vous inscrivant à un outil ne sont pas une entente de traitement des données. Les conditions d'utilisation régissent la relation commerciale. Une ETD régit les obligations de traitement des données. Ce sont des documents différents, et la présence de l'un ne signifie pas la présence de l'autre.

Les outils SaaS les plus susceptibles d'être négligés

Plateformes de marketing par courriel. Votre plateforme de marketing détient votre liste d'abonnés — noms, adresses courriel, historiques d'achat, données comportementales. Si vous utilisez une plateforme basée aux États-Unis sans ETD, ces données sont traitées aux États-Unis sans protection contractuelle au sens du cadre de la LPRPDE. Les plateformes basées aux États-Unis relevant du Data Privacy Framework UE–États-Unis disposent d'ETD pour la conformité au RGPD — demandez-en une et vérifiez si elle satisfait aux exigences de la LPRPDE.

Systèmes de GRC. Votre GRC est probablement votre concentration la plus dense de renseignements personnels de clients — coordonnées, historique de communications, historique de transactions, notes sur des clients individuels qui peuvent être assez personnelles. L'accès au GRC est souvent plus large qu'il ne devrait l'être (tous les représentants commerciaux voient tous les clients), et les conditions de traitement des données du fournisseur méritent un examen attentif.

Logiciels de RH et de paie. Les fournisseurs de paie manipulent des NAS, des détails bancaires, des renseignements salariaux et des données fiscales. C'est la catégorie la plus sensible dans la plupart des organisations. La plupart des fournisseurs de paie disposent d'ETD — mais bien des PME utilisant des logiciels de paie n'en ont jamais demandé ni examiné une.

Stockage infonuagique et partage de fichiers. Dropbox, Google Drive, OneDrive, Box — partout où vivent vos fichiers, c'est là que vivent vos renseignements personnels. Les forfaits d'entreprise incluent généralement des ETD. Les forfaits grand public ou PME, souvent non. Vérifiez sur quel palier vous êtes et si les conditions de traitement des données vous couvrent.

Outils et assistants d'IA. C'est la catégorie la plus récente et la moins traitée. Les outils de productivité d'IA — des outils que votre équipe utilise pour résumer des documents, rédiger des courriels, traiter des commentaires de clients — traitent généralement le contenu qu'on leur donne. Si ce contenu inclut des renseignements personnels de clients, l'outil d'IA est un sous-traitant. La plupart des ententes des fournisseurs d'outils d'IA n'ont pas rattrapé cette réalité, et la plupart des organisations n'ont pas réfléchi à savoir si ces outils devraient figurer dans leur inventaire de fournisseurs.

Comment régler cela réellement

Bâtissez un inventaire de fournisseurs. Dressez la liste de chaque outil SaaS qu'utilise votre organisation. Notez quels renseignements personnels chaque outil traite, où le fournisseur a son siège social et si vous avez une ETD en place. C'est le point de départ — vous ne pouvez régler des lacunes que vous n'avez pas identifiées.

Priorisez selon la sensibilité. Tous les outils n'exigent pas le même niveau d'examen. Un logiciel de paie traitant des NAS et des détails bancaires a besoin d'une ETD de toute urgence. Un outil qui affiche les disponibilités du calendrier de votre équipe en a besoin moins. Priorisez d'abord les outils traitant des renseignements personnels sensibles — données financières, renseignements de santé, identifiants gouvernementaux.

Demandez des ETD aux fournisseurs. La plupart des fournisseurs SaaS réputés ont des ETD. Certains exigent que vous les demandiez explicitement plutôt que de les inclure dans le processus d'inscription par défaut. Écrivez à vos contacts chez les fournisseurs et demandez. Pour les fournisseurs qui n'en ont pas, demandez quelle protection contractuelle ils offrent pour les données des clients.

Examinez les listes de sous-traitants ultérieurs. Une ETD devrait inclure une liste de sous-traitants ultérieurs — des fournisseurs auxquels votre fournisseur fait appel pour livrer le service. Chaque sous-traitant ultérieur est un autre maillon de votre chaîne de responsabilité. Une plateforme de marketing pourrait utiliser AWS pour l'infrastructure, Twilio pour la livraison de SMS et plusieurs fournisseurs d'analytique. Vous devriez savoir qui ils sont.

Comprenez où les données sont stockées. La LPRPDE exige que les renseignements personnels transférés hors du Canada bénéficient d'une protection équivalente. La plupart des fournisseurs SaaS américains traitent les données aux États-Unis. Certains offrent des options de résidence des données au Canada. Sachez où sont vos données et si la protection contractuelle en place tient compte du transfert transfrontalier.

L'inventaire du risque lié aux fournisseurs n'est pas un projet ponctuel. De nouveaux outils sont adoptés par les équipes sans passer par aucun processus d'examen. L'inventaire doit être maintenu, ce qui signifie que quelqu'un doit en être responsable. Dans la plupart des PME, c'est la personne responsable de la responsabilité LPRPDE en général — et documenter le processus d'examen des fournisseurs fait partie de la démonstration de cette responsabilité en pratique.