POLITIQUE SUR LA SÉCURITÉ DES DONNÉES À L’INTENTION DES FOURNISSEURS 

Politique sur la sécurité des données à l’intention des fournisseurs 

L’entrepreneur ou le fournisseur, selon le cas (ci-après, chacun étant désigné par « entrepreneur »), convient que sa collecte, sa gestion et son utilisation des données de CLEAResult, comme défini à la section 1 ci-dessous, pendant la Durée, doivent être conformes à la présente Politique sur la sécurité des données. Les termes en majuscules qui ne sont pas définis dans la présente Politique sur la sécurité des données sont définis dans le Contrat-cadre de services, l’Entente de fournisseur, l’Accord de licence, l’Entente de participation de l’entrepreneur ou toute autre entente principale entre CLEAResult et l’entrepreneur (le « Contrat-cadre »). 

1. Données de CLEAResult. Par « données de CLEAResult » s’entendent : 
   1. Toutes les données ou informations fournies, transférées, téléversées, migrées ou autrement envoyées à l’entrepreneur par ou pour le compte de CLEAResult, tout client de CLEAResult ou un client d’un client de CLEAResult; 
   2. Tout numéro de compte, toute prévision ou tout autre renseignement semblable divulgué à l’entrepreneur ou autrement mis à sa disposition par ou au nom de CLEAResult, tout client de CLEAResult ou un client d’un client de CLEAResult. 
       
2. Utilisation et stockage des données de CLEAResult. 
   1. L’entrepreneur peut recevoir des données de CLEAResult aux fins de l’exécution de ses obligations en vertu du Contrat-cadre. Sous réserve des modalités du Contrat-cadre, CLEAResult accorde à l’entrepreneur une licence limitée personnelle, non exclusive, non cessible et non transférable pour utiliser les données de CLEAResult uniquement aux fins limitées d’exécution de ses obligations en vertu du Contrat-cadre pendant la Durée. L’entrepreneur ne doit divulguer les données de CLEAResult qu’à ses employés qui ont un besoin de connaître ces renseignements pour l’exécution du Contrat-cadre et sous réserve des modalités de la présente Politique sur la sécurité des données. L’entrepreneur convient de protéger les données de CLEAResult avec au moins le même degré de précaution que celui utilisé pour protéger ses renseignements les plus confidentiels. 
   2. L’entrepreneur convient que les données de CLEAResult ne seront pas (i) utilisées par l’entrepreneur à d’autres fins que celles d’exécuter les obligations de l’entrepreneur en vertu du Contrat-cadre, (ii) divulguées, vendues, cédées, louées ou autrement éliminées ou mises à la disposition de tiers par l’entrepreneur; (iii) exploitées commercialement par ou pour le compte de l’entrepreneur; ou (iv) fournies ou mises à la disposition d’un tiers sans autorisation écrite préalable de CLEAResult. 
   3.   L’entrepreneur doit se conformer à (i) l’ensemble des lois, règles, règlements, directives et exigences gouvernementales internationales, fédérales, étatiques, provinciales et locales applicables actuellement en vigueur et au fur et à mesure de leur entrée en vigueur en ce qui concerne la protection de la vie privée, la confidentialité ou la sécurité des données de CLEAResult (« Loi sur la protection de la vie privée et la sécurité des données »); (ii) toutes les normes applicables de l’industrie concernant la protection de la vie privée, la protection des données, la confidentialité ou la sécurité de l’information; (iii) toutes les dispositions applicables de chaque politique, énoncé ou avis de l’entrepreneur sur la protection de la vie privée; et (iv) toutes les politiques de protection de la vie privée de CLEAResult, ou à tout énoncé ou avis similaire fourni à l’entrepreneur par écrit. 
      CLEAResult Privacy Policies, or any similar statement or notice that is provided to Contractor in writing.
      1. Politique de confidentialité CLEAResult aux États-Unis
      2. Politique de confidentialité CLEAResult au Canada
3. L’entrepreneur ne doit pas stocker, tenir à jour ou traiter des données de CLEAResult associées à un client des États-Unis d’Amérique, à l’extérieur des États-Unis d’Amérique, sans autorisation écrite préalable de CLEAResult. L’entrepreneur ne doit pas stocker, tenir à jour ou traiter des données de CLEAResult associées à un client canadien, à l’extérieur du Canada, sans autorisation écrite préalable de CLEAResult. 
4. Toute utilisation du nuage doit respecter les normes de sécurité reconnues par l’industrie, comme la norme ISO/CEI 27001, SOC 2 Type II, et inclure le chiffrement approprié des données (en transit et au repos). L’entrepreneur ne doit pas stocker, tenir à jour ou traiter autrement des données de CLEAResult dans un service ou une installation infonuagique. 
5. L’entrepreneur ne doit pas entrer ni téléverser de données de CLEAResult dans un environnement d’intelligence artificielle non protégé. Les données de CLEAResult ne doivent en aucun cas être utilisées pour former ou autrement influencer le comportement ou les résultats de toute technologie d’intelligence artificielle. 
    
6. Accès au système.
   1. L’entrepreneur convient qu’il peut avoir accès aux données de CLEAResult sur le réseau de CLEAResult, y compris, sans toutefois s’y limiter, à tout serveur, à l’intranet ou à un autre type de canal ou de dispositif de stockage et de partage d’information détenu ou exploité par CLEAResult (le « réseau de CLEAResult »), uniquement dans le but de respecter ses obligations en vertu du Contrat-cadre. 
   2. L’entrepreneur convient que l’accès à d’autres fins, ou l’utilisation du réseau de CLEAResult pour accéder à d’autres réseaux sont strictement interdits et que l’entrepreneur est responsable de tous les dommages ou accès non autorisés résultant de ces actions. Une telle activité entraînera l’interruption de toute connexion au réseau de CLEAResult.
   3. L’entrepreneur convient que toute utilisation du réseau de CLEAResult sera faite uniquement à des fins professionnelles nécessaires. Conformément aux politiques existantes d’utilisation du réseau de CLEAResult, l’entrepreneur et ses employés ne doivent pas accéder à des sites de pari, de pornographie, de propagande haineuse ou de violence, introduire des virus, des vers, des chevaux de Troie ou d’autres bogues ou erreurs dans le réseau, ou transmettre des chaînes de courriels, des fichiers exécutables ou d’autres fichiers qui pourraient endommager CLEAResult, son système ou le réseau de CLEAResult. CLEAResult se réserve le droit de surveiller l’utilisation du réseau de CLEAResult par l’entrepreneur. L’entrepreneur convient en outre que tous les renseignements qu’il obtient du réseau de CLEAResult sont des données de CLEAResult. 
   4. CLEAResult et l’entrepreneur conviennent qu’en cas de violation ou de menace de violation de la présente section, CLEAResult a le droit d’exiger le respect des dispositions de la présente Politique sur la sécurité des données et du Contrat-cadre, y compris un droit d’injonction interdisant une telle violation. Une telle réparation viendra s’ajouter, et sans s’y substituer, à toute autre réparation appropriée, sous forme de dommages-intérêts pécuniaires ou autres. CLEAResult se réserve le droit, à sa seule discrétion, de mettre fin à l’accès de l’entrepreneur au réseau de CLEAResult et à son utilisation en tout temps, pour quelque raison que ce soit et sans préavis à l’entrepreneur. 
       
7. Contrôles de sécurité. 
   1. En plus de toute autre exigence énoncée aux présentes, l’entrepreneur établira et mettra en œuvre des mesures de protection administratives, techniques et physiques appropriées (i) pour assurer la sécurité et la confidentialité des données de CLEAResult; (ii) pour se protéger contre toute menace prévue à la sécurité ou à l’intégrité des données de CLEAResult; et (iii) pour veiller à ce que les données de CLEAResult ne soient pas divulguées contrairement aux dispositions de la présente section ou de toute loi applicable sur la protection de la vie privée et la sécurité des données. 
   2. En plus des exigences particulières de la présente section, l’entrepreneur élaborera, mettra en œuvre et tiendra à jour un programme complet de sécurité des données et des systèmes (le « programme de sécurité »). Ce programme de sécurité doit comprendre, sans toutefois s’y limiter, des mesures, des procédures et des pratiques de sécurité organisationnelles et techniques raisonnables et appropriées contre l’accès non autorisé aux données de CLEAResult ainsi que leur destruction, perte ou modification, y compris, sans s’y limiter : 
      1. Des politiques écrites concernant la sécurité de l’information, la reprise après sinistre, la vérification d’assurance par un tiers, les tests de pénétration; 
      2. Des postes de travail protégés par mot de passe dans les locaux de l’entrepreneur, tous les locaux où l’entrepreneur s’acquitte de ses obligations en vertu du Contrat-cadre, et tous les locaux de tout tiers qui a accès aux données de CLEAResult; 
      3. Le chiffrement des renseignements confidentiels, tel que défini dans le Contrat-cadre, y compris, sans s’y limiter, les renseignements personnels identifiables des clients de CLEAResult ou de tout client d’un client de CLEAResult. 
      4. Des mesures de protection contre l’accès non autorisé aux données de CLEAResult, leur destruction, utilisation, modification ou divulgation, y compris, mais sans s’y limiter, la restriction de l’accès physique aux données de CLEAResult, la mise en œuvre de contrôles d’accès logiques, le nettoyage ou la destruction des supports, y compris les disques durs; et l’établissement d’un programme de sécurité de l’information qui est en tout temps conforme aux exigences normatives actuelles de l’industrie.
   3. CLEAResult a le droit de surveiller la conformité de l’entrepreneur aux modalités de la présente section. Pendant les heures normales d’ouverture et moyennant un préavis de vingt-quatre (24) heures, CLEAResult ou ses représentants autorisés peuvent inspecter les installations et l’équipement de l’entrepreneur ainsi que tout renseignement ou contenu en sa possession, sous sa garde ou son contrôle, se rapportant de quelque façon que ce soit aux obligations de l’entrepreneur en vertu de la présente section. 
   4. Dans le cas où CLEAResult détermine que l’entrepreneur ne s’est pas conformé à la présente section, CLEAResult doit fournir un avis écrit à l’entrepreneur décrivant les lacunes. L’entrepreneur dispose de soixante (60) jours civils à compter de la réception de l’avis pour prendre des mesures correctives. Si l’entrepreneur n’a pas corrigé les lacunes dans les soixante (60) jours civils, CLEAResult peut annuler le Contrat-cadre.
       
8. Maintien de la sécurité. 
   1.   Avant le premier transfert des données de CLEAResult par CLEAResult à l’entrepreneur, l’entrepreneur doit fournir à CLEAResult les documents (jugés satisfaisants par CLEAResult) attestant qu’il a entrepris un programme de sécurité de l’information. 
   2. L’entrepreneur doit fournir à CLEAResult un avis écrit de tout changement important dans son programme de sécurité de l’information.
   3.  L’entrepreneur et CLEAResult conviennent de se rencontrer à la demande de CLEAResult pour évaluer le programme de sécurité de l’information et discuter, de bonne foi, des moyens par lesquels les parties peuvent améliorer cette protection, si nécessaire. 
   4. L’entrepreneur doit mettre à jour son programme de sécurité de l’information, y compris les procédures, les pratiques, les politiques et les contrôles, afin d’être toujours conforme aux normes applicables de l’industrie. 
       
9. Atteinte à la sécurité. 
   1. L’entrepreneur doit informer immédiatement CLEAResult (et, dans tous les cas, dans les vingt-quatre [24] heures) par courriel à l’adresse : [email protected] de toute menace de violation, violation réelle ou imminente de la présente section (qu’il y ait eu divulgation, compromission, perte ou détérioration déterminée des données de CLEAResult) ou de toute autre utilisation, divulgation, acquisition non autorisée ou perte de données de CLEAResult ou tout accès non autorisé à celles-ci dont l’entrepreneur prend connaissance. Cet avis doit résumer de façon raisonnablement détaillée les conséquences pour CLEAResult, si elles sont connues, de la violation ou de l’utilisation, la divulgation, l’acquisition non autorisée ou la perte de données de CLEAResult ou de tout accès non autorisé à celles-ci, ainsi que les mesures correctives prises par l’entrepreneur ou qu’il doit encore prendre. L’entrepreneur prendra rapidement toutes les mesures correctives nécessaires et collaborera pleinement avec CLEAResult en déployant tous les efforts raisonnables et légaux pour prévenir, atténuer ou corriger une telle violation ou utilisation, divulgation ou acquisition non autorisée, perte de données de CLEAResult ou un tel accès non autorisé à celles-ci, le tout à ses propres frais, y compris l’élaboration et la distribution, par écrit, d’avis aux personnes touchées, comme l’exigent les lois, les règles, les règlements ou les décrets applicables ou comme CLEAResult peut autrement le juger nécessaire ou opportun. 
       
10. Aucune renonciation. Le défaut de l’une ou l’autre des parties d’imposer une stricte exécution par l’autre partie de toute disposition de la présente Politique sur la sécurité des données, ou d’exercer tout droit dont elle dispose, ne doit pas être interprété comme une renonciation au droit de cette partie d’imposer une stricte exécution dans la même instance ou dans toute autre instance. 

@CLEAResult. Tous droits réservés. (Rév. 29/05/2025)