Avis sur la protection de la vie privée et des renseignements personnels

1. Introduction et champ d’application

1.1 Comme Crown Intelligence compile des données sur les sanctions, les personnes politiquement vulnérables (« PEP »), l’interdiction de contracter, les registres d’entreprises et les bénéficiaires effectifs, une partie du Contenu comprend des renseignements personnels concernant des personnes identifiables (par exemple, le nom, le poste et les liens familiaux ou d’association d’une PEP, ou le nom et le pourcentage de participation d’un bénéficiaire effectif) (les « Données individuelles »). Le présent avis explique comment Crown Stack Systems Inc., exerçant ses activités sous le nom de Crown Intelligence, située au 1230 Oakhill Avenue, Oshawa (Ontario) L1K 2R4, Canada (« Crown », « nous »), recueille, utilise, communique et protège les Données individuelles, ainsi que les droits dont disposent les personnes qu’elles décrivent.

1.2 Le présent avis ne s’applique pas aux renseignements que vous fournissez à Crown à votre sujet en tant qu’utilisateur du Site (renseignements de compte, renseignements de facturation) ; ceux-ci sont traités dans une politique de confidentialité distincte relative au site et aux comptes, qui couvre les données du site Web et de facturation et qui est distincte de l’avis portant sur les renseignements personnels figurant dans les données compilées elles-mêmes.

2. Fondement juridique : renseignements accessibles au public

2.1 La collecte, l’utilisation et la communication des Données individuelles par Crown s’appuient sur les dispositions relatives aux « renseignements accessibles au public » des lois canadiennes applicables en matière de protection de la vie privée, notamment :

a) la Loi sur la protection des renseignements personnels et les documents électroniques fédérale (« PIPEDA ») et son Règlement précisant les renseignements auxquels le public a accès ;

b) la Loi sur la protection des renseignements personnels dans le secteur privé du Québec, telle que modifiée par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels du Québec (« Law 25 ») ; et

c) la Personal Information Protection Act de l’Alberta et la Personal Information Protection Act de la Colombie-Britannique (chacune, une « PIPA provinciale »),

dans chaque cas, dans la mesure où les Données individuelles ont été publiées par un Éditeur source en vertu d’un mandat légal ou réglementaire, ou figurent autrement dans un document mis à la disposition du public (par exemple, une gazette officielle, un dépôt judiciaire ou réglementaire, un registre d’entreprises ou une liste de sanctions).

2.2 Lorsque des Données individuelles ne relèvent pas d’une exception relative aux « renseignements accessibles au public » prévue par la loi applicable — par exemple, lorsque les propres recherches de Crown complètent un document public par des détails supplémentaires —, Crown s’appuie plutôt sur les autres fondements prévus par la loi applicable (comme une fin raisonnable, ou le consentement lorsqu’il est possible en pratique de l’obtenir) et signale ces champs complétés de la manière décrite dans l’avis d’attribution.

2.3 Conformément à la position adoptée par des fournisseurs canadiens comparables, Crown considère que les données sur les proches et associés des PEP ainsi que les pourcentages de propriété effective relèvent du fondement des « renseignements accessibles au public » prévu par la Law 25 lorsque ces données ont elles-mêmes été publiées par l’Éditeur source en vertu d’un mandat légal ou réglementaire (par exemple, un dépôt dans un registre de propriété effective ou une divulgation officielle relative à une PEP), plutôt que compilées par Crown à partir de sources privées ou non visées par un mandat. Puisque le traitement de cette catégorie de données par Crown constitue, sur ce fondement, le prolongement d’une divulgation publique existante plutôt qu’une nouvelle activité de collecte, Crown estime, selon son évaluation interne, qu’une évaluation des facteurs relatifs à la vie privée distincte au titre de la Law 25 n’est pas requise avant le lancement destiné au Québec.

3. Fins de la collecte, de l’utilisation et de la communication

3.1 Crown recueille, utilise et communique les Données individuelles uniquement aux fins suivantes :

a) conformité réglementaire — permettre aux Utilisateurs, en vertu de leurs propres obligations légales (par exemple, en matière de lutte contre le blanchiment d'argent, de lutte contre le financement du terrorisme, de conformité aux sanctions et de connaissance du client), d’effectuer la vérification de personnes et d’entités au regard des Documents publics ;

b) diligence raisonnable — appuyer la diligence raisonnable commerciale, en matière d’investissement, juridique et journalistique à l’égard de personnes et d’entités nommées dans des Documents publics ;

c) utilisations juridiques et d’enquête, notamment par les forces de l’ordre, les organismes de réglementation et les journalistes d’enquête, conformément au fondement d’intérêt public sur lequel les Documents publics sous-jacents ont eux-mêmes été publiés ; et

d) l’exploitation, la sécurisation et l’amélioration du Site et de la Compilation.

3.2 Crown n’utilise pas les Données individuelles à des fins de publicité comportementale et ne vend pas de Données individuelles à des courtiers en données à des fins de marketing.

4. Exactitude et demandes de correction

4.1 Crown prend des mesures raisonnables pour que les Données individuelles soient aussi exactes, complètes et à jour que l’exigent les fins énoncées à l’article 3, compte tenu des limites décrites dans l’avis d’attribution.

4.2 Toute personne qui estime que des Données individuelles la concernant sont inexactes ou périmées peut en demander la correction ou l’annotation en communiquant avec le responsable de la protection de la vie privée conformément à l’article 7. Crown :

a) transmettra à l’Éditeur source concerné les demandes de correction portant sur le fond d’une désignation (par exemple, une inscription sur une liste de sanctions ou une interdiction de contracter), puisque Crown n’a pas le pouvoir de modifier la décision d’une autre autorité, et annotera la fiche Crown pour indiquer une correction en attente ou réglée lorsque l’Éditeur source en confirme une ; et

b) corrigera, sans s’en remettre à l’Éditeur source, toute erreur introduite par le propre processus de compilation de Crown (par exemple, une erreur de correspondance ou de transcription), dans les 30 jours suivant la réception de la demande, conformément à l’engagement de réponse publié par des fournisseurs canadiens comparables et au délai de réponse par défaut prévu par la PIPEDA.

5. Conservation

5.1 Crown conserve les Données individuelles compilées à partir de la fiche active et à jour d’un Éditeur source aussi longtemps que cette fiche fait partie de la Compilation, et conserve indéfiniment les versions historiques, chacune assortie d’une date de « dernière observation » ou de radiation de la liste, afin de préserver une piste de vérification des modifications. Cette approche reflète celle publiée par des fournisseurs comparables en matière de conservation, au motif qu’une désignation historique demeure un fait de notoriété publique même après qu’un Éditeur source a retiré l’inscription en vigueur.

5.2 Lorsqu’un Éditeur source retire une inscription, Crown met à jour la Compilation selon son cycle d’actualisation habituel et conserve la fiche historique datée plutôt que de la supprimer, conformément à l’article 5.1 et aux pratiques de piste de vérification courantes chez les fournisseurs de vérification. Toute personne dont l’inscription a été retirée par l’Éditeur source peut demander que la fiche de Crown soit annotée pour indiquer la date de radiation de la liste conformément à l’article 4 ; la Law 25 et les PIPA provinciales n’exigent pas la suppression d’un fait historique qui demeure partie intégrante du document public dont il est tiré.

6. Communication à des tiers

6.1 Crown communique des Données individuelles aux Utilisateurs au moyen des Services gratuits et en vertu des licences d’Utilisation commerciale décrites dans le résumé de la licence commerciale, sous réserve des limites quant aux fins prévues à l’article 3 et de l’exigence interdisant d’en faire le seul fondement d’une décision défavorable prévue à l’alinéa 6.1c) des Conditions d’utilisation.

6.2 Crown peut communiquer des Données individuelles à des fournisseurs de services (par exemple, des fournisseurs d’hébergement et d’infrastructure) qui les traitent uniquement pour le compte de Crown et en vertu d’obligations contractuelles de confidentialité et de sécurité, et qui peuvent être situés, ou traiter des données, à l’extérieur du Canada, notamment aux États-Unis. Conformément à la pratique de fournisseurs canadiens comparables, Crown, avant la publication : a) publiera une liste à jour des sous-traitants et de leurs emplacements, mise à jour au fil des changements ; et b) s’appuiera sur la reconnaissance du caractère adéquat de la PIPEDA au Canada et, pour les transferts non visés par une décision d’adéquation applicable, sur des clauses contractuelles types ou une garantie contractuelle équivalente, afin de divulguer et d’encadrer tout transfert transfrontalier, chaque fois divulgué sur la page Confiance/Sous-traitants mentionnée dans le présent avis une fois l’infrastructure finalisée.

7. Responsable de la protection de la vie privée et demandes de renseignements

7.1 Le responsable de la protection de la vie privée de Crown, chargé de veiller au respect du présent avis et des lois applicables en matière de protection de la vie privée, peut être joint à l’adresse [email protected] ou par écrit à Crown Stack Systems Inc., à l’attention du responsable de la protection de la vie privée, 1230 Oakhill Avenue, Oshawa (Ontario) L1K 2R4, Canada. Conformément à la pratique de fournisseurs canadiens comparables, Crown désigne ce rôle par un titre et une boîte de courriel fonctionnelle plutôt qu’en nommant une personne, afin que l’exigence relative à la personne responsable désignée prévue par la PIPEDA et la Law 25 soit respectée indépendamment des changements de personnel.

7.2 Les personnes ayant des questions, des demandes de correction ou des plaintes concernant le traitement des Données individuelles peuvent communiquer avec le responsable de la protection de la vie privée à l’adresse indiquée à l’article 7.1. Une personne insatisfaite de la réponse de Crown peut déposer une plainte auprès du Commissariat à la protection de la vie privée du Canada et, pour les résidents du Québec, de la Commission d'accès à l'information du Québec, ou du commissaire provincial compétent en Alberta ou en Colombie-Britannique.

8. Sécurité

8.1 Crown maintient des mesures de protection administratives, techniques et physiques adaptées à la sensibilité des Données individuelles, notamment le chiffrement des données en transit et au repos, un accès limité au personnel selon le principe du besoin de savoir, ainsi qu’une formation en sécurité pour le personnel et les sous-traitants. Conformément à la pratique de fournisseurs comparables, Crown entend publier, avant le lancement ou peu après, une page Centre de confiance / documentation sur la sécurité résumant ses mesures de protection et les certifications visées.

9. Note pour les États-Unis : il ne s’agit pas d’un rapport sur les consommateurs

9.1 Ce service, y compris le Contenu et tout résultat de vérification qui en découle, n’est pas un « consumer report » au sens de la Fair Credit Reporting Act des États-Unis (« FCRA »), et Crown n’est pas une « consumer reporting agency » aux fins de la FCRA.

9.2 Vous ne devez pas utiliser le Contenu, ni aucun résultat obtenu au moyen du Site ou en vertu d’une licence, comme facteur pour déterminer l’admissibilité à : a) un emploi (y compris l’embauche, la promotion, la réaffectation ou le congédiement); b) du crédit ou de l’assurance destinés principalement à des fins personnelles, familiales ou domestiques; c) des permis ou des prestations gouvernementaux lorsque des critères d’admissibilité de type FCRA s’appliquent; ou d) des décisions en matière de location ou de logement — dans chaque cas lorsqu’un rapport sur le consommateur serait exigé en vertu de la FCRA ou d’une loi d’un État analogue.

9.3 L’Utilisateur qui a besoin de données à l’une des fins permises par la FCRA énumérées à l’article 9.2 doit les obtenir auprès d’une agence d’évaluation du consommateur qui respecte les obligations de la FCRA en matière d’exactitude, de contestation et de communication; la Compilation de Crown ne satisfait pas à ces obligations et n’est pas conçue pour y satisfaire.

9.4 Les articles 9.1 à 9.3 sont rédigés, conformément à la pratique du marché des compilateurs qui ne produisent pas de rapports sur les consommateurs, de manière à s’appliquer, selon leurs propres termes, à tout équivalent de la FCRA au niveau d’un État, d’une province ou autre, et ne se limitent pas à la loi fédérale; il incombe à l’Utilisateur de déterminer si un régime d’un État s’applique à l’utilisation qu’il envisage.