Entente de traitement des renseignements personnels

Modèle · Régi par la Loi 25 (Québec) · Version 5.0.0 — 7 novembre 2026

Entre Solutions iCivic inc. (« iCivic » ou « le Sous-traitant »), société établie à Gatineau, Québec, Canada, et [NOM DE L’ORGANISATION] (« le Client » ou « le Responsable »), ci-après collectivement désignées « les Parties ».

Article 1 — Objet, définitions et préséance

1.1 Objet

La présente entente régit le traitement par iCivic, à titre de mandataire, des renseignements personnels confiés par le Client dans le cadre de l’utilisation du tableau de bord institutionnel iCivic. Elle constitue le mandat écrit exigé par l’article 18.3 de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) ou, lorsque le Client est un organisme public, par l’article 67.2 de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (RLRQ, c. A-2.1). Elle complète le contrat de service conclu entre les Parties (les Conditions de service institutions).

1.2 Définitions

Dans la présente entente :

• « Renseignements » désigne les renseignements personnels que le Client confie à iCivic ou que ses opérateurs produisent en utilisant le tableau de bord, décrits à l’Annexe A;
• « Journaux » désigne l’ensemble des traces produites par les systèmes d’iCivic au sujet du Client et de ses opérateurs, soit :
  1. le journal d’audit, qui consigne les actions des opérateurs du Client dans le tableau de bord et les interventions d’iCivic sur le compte de l’organisation (par exemple son ouverture);
  2. le journal des accès d’iCivic, qui consigne les accès du personnel d’iCivic aux Renseignements selon les modalités de l’article 5.8;
  3. les journaux techniques : requêtes web, traces d’erreur, compteurs de limitation des tentatives de connexion et registres d’envoi de courriels.

Le terme « Journaux » est employé dans ce sens unique partout dans la présente entente et ses annexes. Aucune catégorie de journal n’est exclue de la présente entente.

1.3 Préséance

Pour toute matière touchant le traitement des Renseignements, la présente entente prévaut sur les Conditions de service institutions, sur tout bon de commande et sur tout autre document contractuel liant les Parties, quelle que soit leur date. Seule une modification écrite, signée par les deux Parties et qui renvoie expressément au présent article, peut y déroger.

Article 2 — Durée

La présente entente entre en vigueur à la date de sa signature par les deux Parties et demeure en vigueur pour toute la durée du contrat de service, et au-delà tant qu’iCivic détient des Renseignements. Les obligations de confidentialité et de destruction des données survivent à la résiliation pour une période de cinq (5) ans.

Article 3 — Nature, finalité et base légale des traitements

iCivic traite les Renseignements aux fins suivantes :

• Gestion des comptes opérateurs — création, authentification, attribution des rôles (RBAC) et désactivation des accès au tableau de bord;
• Journal d’audit — consignation des actions administratives et des accès aux données pour des fins de sécurité et de traçabilité;
• Notifications opérationnelles — envoi d’alertes de seuil et de rapports périodiques aux adresses courriel désignées par le Client;
• Assistant IA — traitement des requêtes qu’un opérateur choisit de soumettre à l’assistant intégré au tableau de bord.

Le Client est responsable de s’assurer que le traitement repose sur une base légale valide (consentement des opérateurs ou intérêt légitime dans le cadre du contrat de travail) avant de confier ces renseignements à iCivic.

iCivic n’utilise les Renseignements qu’aux fins de l’exécution du contrat de service; il ne les utilise pas à ses propres fins et ne les vend pas.

Article 4 — Instructions documentées

iCivic ne traite les Renseignements que selon les instructions documentées du Client, telles qu’elles ressortent du contrat de service, de la présente entente et de la configuration effectuée par les opérateurs du Client dans le tableau de bord. Si iCivic est tenu par la loi de procéder à un traitement non prévu, il en informe le Client au préalable, sauf si la loi l’interdit.

Si iCivic estime qu’une instruction du Client enfreint une disposition légale applicable, il en informe le Client sans délai.

Article 5 — Obligations d’iCivic (mandataire)

5.1 Confidentialité

iCivic s’assure que toute personne autorisée à traiter les Renseignements est liée par un engagement de confidentialité ou soumise à une obligation légale de confidentialité appropriée. Cet engagement survit à la fin du contrat.

5.2 Sécurité

iCivic met en œuvre et maintient les mesures techniques et organisationnelles suivantes :

• Chiffrement TLS 1.3 de toutes les communications;
• Chiffrement des données au repos (AES-256);
• Contrôle d’accès par rôle (RBAC) et isolement multi-organisations par Row Level Security (RLS), vérifié par tests automatisés;
• Traitement des adresses IP : hachage salé (SHA-256) avant tout stockage sur les surfaces grand public; dans le journal d’audit, conservation en clair pendant quatre-vingt-dix (90) jours au maximum aux fins de sécurité et de traçabilité, puis troncature automatique du dernier segment (/24 en IPv4, /48 en IPv6), qui supprime définitivement l’identification de l’hôte;
• Tenue des Journaux définis à l’article 1.2, dont le journal des accès d’iCivic (article 5.8);
• Gestion centralisée des secrets (aucun secret en clair dans le code);
• Audits de sécurité périodiques.

5.3 Sous-traitants ultérieurs

Le Client autorise iCivic à faire appel aux sous-traitants ultérieurs énumérés à l’Annexe B.

iCivic donne au Client un préavis d’au moins trente (30) jours avant d’ajouter ou de remplacer un sous-traitant ultérieur appelé à traiter des Renseignements. Le Client peut s’y opposer par écrit, pour un motif raisonnable, dans ce délai. À défaut d’entente entre les Parties, le Client peut résilier, sans pénalité ni frais de résiliation, les services touchés par le changement.

iCivic impose à chaque sous-traitant ultérieur des obligations de protection au moins équivalentes à celles de la présente entente. Un sous-traitant ultérieur ne peut confier à son tour le traitement de Renseignements à un tiers qu’aux mêmes conditions; ce tiers est alors soumis au présent article comme s’il avait été désigné directement.

iCivic demeure responsable envers le Client de l’exécution des obligations de ses sous-traitants ultérieurs et des tiers auxquels ceux-ci font appel. Lorsque les conditions standard d’un sous-traitant ultérieur n’atteignent pas le niveau de la présente entente, iCivic répond de l’écart envers le Client comme de son propre fait.

5.4 Assistance pour les droits des personnes

iCivic assiste le Client, dans la mesure du raisonnable et selon la nature des traitements, pour répondre aux demandes d’exercice des droits (accès, rectification, effacement, portabilité, cessation de diffusion) formulées par les personnes concernées, dans les délais prévus par la loi.

5.5 Avis de violation, de tentative de violation et d’incident

iCivic avise le Client sans délai, et au plus tard dans les soixante-douze (72) heures suivant sa prise de connaissance, de :

• toute violation ou tentative de violation, par toute personne, de l’une ou l’autre des obligations relatives à la confidentialité des Renseignements;
• tout incident de confidentialité touchant les Renseignements, soit un accès, une utilisation ou une communication non autorisés par la loi, une perte, ou toute autre atteinte à leur protection.

Cet avis n’est pas conditionné à l’existence d’un risque de préjudice sérieux. Ce seuil régit l’avis à la Commission d’accès à l’information du Québec (CAI) et aux personnes concernées; il ne limite pas l’avis dû au Client.

L’avis précise la nature de l’événement, les Renseignements touchés ou visés, les mesures prises ou envisagées et les coordonnées du point de contact chez iCivic. Les éléments encore inconnus au moment de l’avis sont transmis dès qu’ils sont établis.

iCivic assiste le Client dans l’évaluation du risque de préjudice et dans ses obligations d’avis à la CAI et aux personnes concernées, et inscrit l’incident dans son registre des incidents.

5.6 Vérification

iCivic permet au responsable de la protection des renseignements personnels du Client d’effectuer toute vérification relative à la confidentialité des Renseignements. À cette fin, iCivic fournit sur demande écrite les informations nécessaires pour démontrer le respect de la présente entente, notamment les Journaux pertinents et les attestations de sécurité disponibles.

iCivic peut facturer des frais raisonnables pour la préparation de rapports d’audit dépassant le cadre habituel, sans que ces frais restreignent le droit de vérification prévu à l’alinéa précédent ni le droit d’obtenir l’extrait prévu à l’article 5.8.

5.7 Demandes d’une autorité publique

Si iCivic reçoit d’une autorité publique, québécoise, canadienne ou étrangère, une demande contraignante visant des Renseignements (ordonnance, mandat, assignation ou demande équivalente), iCivic :

• en avise le Client sans délai, sauf si la loi applicable le lui interdit; dans ce cas, il l’en avise dès que l’interdiction cesse;
• ne communique que le minimum exigé par la demande;
• conteste la demande, ou en fait restreindre la portée, lorsqu’il existe un motif raisonnable de le faire;
• ne communique jamais de Renseignements à une autorité de façon volontaire, en l’absence d’une demande contraignante.

Le présent article s’applique aussi aux demandes reçues par un sous-traitant ultérieur, dans la mesure où celui-ci en informe iCivic.

5.8 Accès du personnel d’iCivic

Qui. L’accès technique aux Renseignements est réservé aux personnes d’iCivic désignées nommément à cette fin, toutes situées au Québec et liées par une obligation de confidentialité. À la date de la présente version, une seule personne détient cet accès. iCivic communique au Client, sur demande écrite, le nombre et l’identité des personnes qui le détiennent.

Par quels moyens. Cet accès s’exerce uniquement au moyen de la console d’administration interne d’iCivic, protégée par une authentification à deux facteurs, ou d’un accès direct à la base de données, ouvert par le compte nominatif de la personne désignée auprès de l’hébergeur, protégé par une authentification à deux facteurs. iCivic n’ouvre jamais de session au nom d’un opérateur du Client.

Quand. Un accès n’a lieu que pour un besoin documenté : demande de soutien du Client, diagnostic ou traitement d’un incident, ou obligation légale.

Journalisation. Chaque inscription au journal des accès d’iCivic porte l’identité de la personne, l’organisation visée, l’horodatage, le moyen utilisé et le motif. Pour la console d’administration, l’inscription est faite par le système avant tout accès, et la console ne donne pas accès aux Renseignements si l’inscription échoue. Pour l’accès direct à la base de données, l’inscription est faite par la personne désignée, avant de s’y connecter. Cette inscription est déclarative : à la date de la présente version, aucun mécanisme ne détecte automatiquement un accès direct qui n’aurait pas été inscrit. Ce journal est protégé contre la modification et la suppression, et il est conservé sept (7) ans (article 8).

Extrait. Sur demande écrite du Client, iCivic lui transmet, dans les dix (10) jours, l’extrait du journal des accès d’iCivic qui le concerne, pour la période demandée. Ce droit s’exerce sans frais et indépendamment de l’article 5.6.

Avis. iCivic avise le Client, dans les soixante-douze (72) heures, de tout accès à ses Renseignements qu’il n’a pas lui-même sollicité. Lorsque l’accès a eu lieu dans le cadre d’un incident, l’avis prévu à l’article 5.5 en tient lieu.

Article 6 — Obligations du Client (responsable)

• Fournir des instructions de traitement conformes à la loi applicable;
• Établir et documenter la base légale des traitements avant de confier des renseignements personnels à iCivic;
• Informer ses opérateurs du traitement de leurs renseignements personnels par iCivic, conformément à ses propres obligations d’information;
• Désigner les comptes opérateurs autorisés et procéder sans délai à leur révocation en cas de départ ou de changement de rôle;
• Aviser iCivic sans délai de tout incident de confidentialité dont il aurait connaissance et qui pourrait affecter les systèmes d’iCivic.

Article 7 — Communications de renseignements personnels hors Québec

Certains sous-traitants ultérieurs d’iCivic sont établis ou traitent des Renseignements hors du Québec. L’Annexe B énumère chacune de ces communications, avec le destinataire, le territoire, les Renseignements visés et la condition dans laquelle elle a lieu. Aucune communication hors Québec n’a lieu en dehors de celles qui y figurent.

Pour chacune, iCivic documente une évaluation des facteurs relatifs à la vie privée tenant compte de la sensibilité des Renseignements, de la finalité, des mesures de protection et du régime juridique de l’État concerné, et en remet un résumé au Client sur demande, afin de l’appuyer dans ses propres obligations.

Le Client, en signant la présente entente, autorise ces communications aux conditions décrites à l’Annexe B.

Article 8 — Durées de conservation et destruction

• Comptes opérateurs actifs — conservés tant que le compte est actif.
• Comptes opérateurs désactivés — l’accès est révoqué immédiatement. Les renseignements du compte sont conservés pendant la durée du contrat de service, afin que les actions déjà consignées au journal d’audit demeurent attribuables; ils sont supprimés ou anonymisés sur demande écrite du Client, ou d’office à la résiliation selon la modalité ci-dessous.
• Journal d’audit et journal des accès d’iCivic — conservés sept (7) ans, durée retenue aux fins de traçabilité et de conformité (SOC 2). L’adresse IP du journal d’audit n’est en clair que pendant les quatre-vingt-dix (90) premiers jours : au-delà, elle est automatiquement tronquée (/24 en IPv4, /48 en IPv6) et ne permet plus d’identifier un poste.
• Journaux techniques — conservés pour la durée propre à chaque outil, qu’iCivic communique au Client sur demande.
• À la résiliation du contrat de service — tous les renseignements personnels des opérateurs du Client sont supprimés ou anonymisés dans les trente (30) jours suivant la résiliation. iCivic remet au Client, sur demande, une attestation de destruction.

Article 9 — Droits des personnes concernées

Le Client étant responsable de ces traitements, l’opérateur exerce ses droits auprès de lui. iCivic assiste le Client conformément à l’article 5.4.

Un opérateur peut également écrire directement à legal@icivic.app; iCivic accuse réception et répond dans les trente (30) jours, en coordination avec le Client. Le tableau de bord permet par ailleurs à chaque opérateur de mettre à jour lui-même ses paramètres d’authentification (mot de passe, double facteur).

Deux limites, énoncées ici plutôt que découvertes à l’usage : un opérateur ne peut pas supprimer son propre compte, celui-ci relevant de la gestion des accès du Client (article 6); et les entrées du journal d’audit ne sont pas effaçables à sa seule initiative, leur conservation répondant aux finalités de sécurité et de traçabilité décrites à l’article 8.

Article 10 — Responsabilité

Chaque Partie est responsable des dommages causés par ses propres manquements à la présente entente ou à la loi applicable. La responsabilité d’iCivic est limitée, dans la mesure permise par la loi, aux montants payés par le Client au cours des douze (12) mois précédant l’événement dommageable. Cette limitation ne s’applique pas en cas de faute lourde ou intentionnelle.

Article 11 — Droit applicable et règlement des différends

La présente entente est régie par les lois du Québec et les lois fédérales du Canada applicables. Tout différend sera soumis aux tribunaux compétents du Québec, district de Gatineau. Les Parties s’engagent à tenter une résolution amiable dans les trente (30) jours suivant la notification d’un différend.

Article 12 — Version française et primauté linguistique

La présente entente est rédigée en français. Une version anglaise est mise à la disposition du Client pour sa commodité. En cas de divergence entre la version française et la version anglaise, la version française prévaut.

La version faisant foi est celle dont le numéro et l’empreinte figurent à l’exemplaire signé par les Parties.

Article 13 — Modifications

iCivic peut modifier la présente entente pour refléter des changements réglementaires ou opérationnels, avec un préavis de trente (30) jours. Si le Client s’y oppose, il peut résilier le contrat de service selon les modalités prévues aux Conditions de service institutions.

Article 14 — Contact — Responsable de la protection des renseignements personnels

iCivic — Responsable RPP
Gatineau, Québec, Canada
legal@icivic.app

Annexe A — Renseignements traités

Les données de temps d’attente accessibles dans le tableau de bord sont des statistiques agrégées et anonymisées ne contenant aucun renseignement personnel et ne sont pas visées par la présente entente.

Annexe B — Sous-traitants ultérieurs et communications hors Québec

B.1 Communications hors Québec

B.2 Sous-traitants traitant les Renseignements au Québec

Signatures

Les Parties reconnaissent avoir lu et accepté la présente entente. Elle prend effet à la date de la dernière signature apposée ci-dessous.

Pour toute question : legal@icivic.app · Solutions iCivic inc. — Responsable de la protection des renseignements personnels · Gatineau, Québec, Canada