Addenda sur la confidentialité et la protection des données pour les fournisseurs de services de Verisk

Dernière mise à jour : 16 novembre 2022

Le présent Addenda sur la confidentialité et la protection des données de l’État (l’« Addenda ») énonce les conditions générales, le cas échéant, relatives au traitement des renseignements personnels de Verisk (ci-après, « Verisk » ou la « Société »), par des fournisseurs tiers ou des fournisseurs de services (ci-après, « Fournisseur de services ») en lien avec les produits, les services ou activités fournis, ou à fournir, par le Fournisseur de services à la Société en vertu d’ententes ou de suppléments de produits, et avec tout énoncé de travail, bons de commande, ou d’autres instruments émis en vertu des présentes entre les parties (collectivement, « Entente » ou « Ententes »).

En cas de conflit entre une Entente et le présent Addenda, ce dernier prévaudra en ce qui concerne son objet.

Attendu que la Société est responsable du traitement des renseignements personnels et qu’elle a conclu une Entente avec le Fournisseur de services pour le traitement de ces renseignements personnels pour le compte de la Société;

Attendu que l’Entente précise le ou les objectifs du traitement des renseignements personnels, le ou les types de renseignements personnels devant être traités ainsi que la durée de ce traitement, ou que ces renseignements figurent autrement à l’annexe 1 ci-jointe;

Attendu que ces renseignements personnels sont nécessaires à une fin d’entreprise, ou à des fins commerciales, ainsi qu’à toute autre fin convenue entre la Société et le Fournisseur de services dans les Ententes; et

Attendu que la Société et le Fournisseur de services souhaitent mutuellement préserver et maintenir la vie privée, la confidentialité et la sécurité de ces renseignements personnels.

En conséquence, en contrepartie des engagements et ententes réciproques contenus dans le présent Addenda et dans les Ententes, ainsi que pour toute autre contrepartie valable et suffisante dont la recevabilité est par les présentes reconnue, la Société et le Fournisseur de services conviennent de ce qui suit :

I. Définitions

« Loi applicable » désigne les lois, règles et règlements adoptés qui s’appliquent aux renseignements personnels, y compris la California Consumer Privacy Act, la California Privacy Rights Act, la Colorado Privacy Act, la Connecticut Data Privacy Act, la Utah Consumer Privacy Act et la Virginia Consumer Data Protection Act.

« Fin d’entreprise » désigne l’utilisation des renseignements personnels aux fins opérationnelles de la Société, ou à d’autres fins communiquées, ou aux fins opérationnelles du Fournisseur de services, pourvu que l’utilisation de ces renseignements personnels soit raisonnablement nécessaire et proportionnelle à l’objectif pour lequel les renseignements personnels ont été recueillis ou traités, ou à une autre fin compatible avec le contexte dans lequel ils ont été recueillis.

« Fins commerciales » désigne le fait de promouvoir les intérêts fondamentaux commerciaux ou économiques d’une personne, notamment en incitant une autre personne à acheter, louer, prendre en bail, adhérer, s’abonner, fournir ou échanger des produits, biens, propriétés, renseignements ou services, ou en permettant ou réalisant, directement ou indirectement, une transaction commerciale.

« Responsable du traitement » désigne l’entité qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement des renseignements personnels.

« Publicité comportementale intercontextuelle » désigne le ciblage publicitaire fondé sur les renseignements personnels obtenus à partir de l’activité d’un individu ou d’une personne physique auprès de différentes entreprises, sites Web, applications ou services distinctement identifiés, autres que la Société, le site Web, l’application ou le service distinctement identifié avec lequel l’individu ou la personne physique interagit intentionnellement.

« Renseignements personnels » désigne les renseignements qui identifient, concernent, décrivent, peuvent raisonnablement être associés, sont liés ou pourraient raisonnablement être liés, directement ou indirectement, à une personne physique ou à un ménage particulier, sous réserve de toute exception ou exclusion prévue par la loi applicable.

« Traiter », « traite » ou « traitement » désigne toute opération, ou tout ensemble d’opérations, effectué(e) sur des Renseignements personnels par des moyens automatisés ou manuels, y compris la collecte, l’utilisation, le stockage, la divulgation, l’analyse, la suppression ou la modification de ces Renseignements personnels.

« Fournisseur de services » désigne l’entité qui traite des renseignements personnels pour le compte du Responsable du traitement.

« Vente » ou « Vendre » désigne le fait de vendre, louer, divulguer, échanger, disséminer, transférer ou autrement communiquer, oralement, par écrit, électroniquement ou autrement, des renseignements personnels contre une contrepartie monétaire ou autre valeur.

« Partager » désigne le fait de partager, louer, divulguer, disséminer, mettre à disposition, transférer ou autrement communiquer, oralement, par écrit, électroniquement ou autrement, des renseignements personnels à des fins de publicité comportementale intercontextuelle, que ce soit ou non contre une contrepartie monétaire ou autre valeur.

« Sous-traitant » désigne tout tiers engagé par le Fournisseur de services, ou pour son compte, afin de traiter des renseignements personnels.

II. Obligations du Fournisseur de services applicables au traitement des renseignements personnels de la Société

(A) Le Fournisseur de services ne doit pas vendre ni partager les renseignements personnels de la Société.

(B) Le Fournisseur de services ne doit pas conserver, utiliser ni divulguer les renseignements personnels de la Société : (i) à des fins autres que les fins d’entreprise prévues par les Ententes, telles qu’autrement convenues par la Société et le Fournisseur de services, ou telles qu’autrement permises par la Loi applicable, y compris la conservation, l’utilisation ou la divulgation des renseignements personnels à des fins commerciales du Fournisseur de services; et (ii) en dehors de la relation d’affaires directe entre la Société et le Fournisseur de services.

(C) Le Fournisseur de services ne doit pas combiner les renseignements personnels reçus de la Société ou pour son compte avec des renseignements personnels reçus d’une autre personne ou de plusieurs personnes, ou recueillis à partir de ses propres interactions avec une telle personne physique, sauf si cela est nécessaire pour une fin d’entreprise ou autrement conformément à la Loi applicable.

(D) Le Fournisseur de services ne doit pas engager de sous-traitants ultérieurs pour traiter les renseignements personnels pour son compte sans avoir d’abord fourni au Client un préavis écrit de 30 jours concernant ces sous-traitants ultérieurs et une possibilité de s’y opposer.

(E) Les employés, agents, entrepreneurs et sous-traitants ultérieurs du Fournisseur de services qui traitent des renseignements personnels pour le compte de la Société sont soumis à une obligation de confidentialité à l’égard de ces renseignements personnels, et ces personnes sont contractuellement tenues d’assurer une protection de la vie privée comparable à celle exigée du Fournisseur de services en vertu du présent addenda.

(F) Le Fournisseur de services doit, à la demande raisonnable de la Société, supprimer ou retourner tous les renseignements personnels à la fin de la prestation de services prévue par l’Entente, à moins qu’il n’en soit autrement convenu par les parties ou que la conservation des renseignements personnels ne soit requise par la Loi applicable.

(G) Le Fournisseur de services doit coopérer raisonnablement et aider la Société à respecter les obligations relatives aux droits des consommateurs conformément à la Loi applicable.

(H) Le Fournisseur de services doit mettre à la disposition de la Société les renseignements en sa possession qui sont nécessaires pour démontrer le respect des obligations prévues au présent addenda et permettre à la Société de prendre des mesures raisonnables et appropriées pour aider à garantir que le traitement des renseignements personnels de la Société est conforme aux obligations énoncées aux présentes. Cela inclut les vérifications ou évaluations effectuées par la Société ou par un évaluateur indépendant convenu d’un commun accord afin d’évaluer les mesures techniques et organisationnelles du Fournisseur de services en appui aux obligations du présent addenda. Toute vérification ou évaluation effectuée conformément au présent paragraphe (H) est limitée à une fois par année civile, moyennant un préavis de 30 jours au Fournisseur de services.

(I) Le Fournisseur de services doit aviser rapidement la Société s’il détermine qu’il ne peut plus respecter les obligations du présent addenda.

(J) Le présent addenda peut être mis à jour de temps à autre, au besoin, afin de respecter les modifications des lois applicables existantes, ainsi que les nouvelles lois adoptées. Verisk donnera un avis lorsque l’addenda aura été mis à jour et, en l’absence d’opposition du Fournisseur de services dans les 30 jours suivant cet avis, les conditions de l’addenda mis à jour seront réputées effectives. Les parties conviennent également de négocier de bonne foi afin de modifier le présent addenda, selon les besoins, ou de conclure toute entente ou tout addenda supplémentaire, pour maintenir la conformité aux lois et règlements en évolution et pour s’adapter aux changements des normes et pratiques exemplaires de l’industrie.