AVIS DE CONFIDENTIALITÉ

Ce document, désigné ci-après sous le nom d“” Avis de confidentialité “, décrit les pratiques de confidentialité de Spendbase («Nous", "nous", "notre", "Base de données Spendbase”) et régit le traitement des renseignements personnels dans le cadre de la fourniture de nos services de banque en ligne, de paiement et de technologie financière (“Services”) aux clients canadiens (“Clients” ») définis ci-dessous. 

Votre utilisation continue des Services constitue votre reconnaissance et votre acceptation des pratiques de confidentialité décrites dans le présent Avis de confidentialité. En cas de préoccupation relative à cet Avis de confidentialité ou à la manière dont nous traitons vos Renseignements personnels, n'hésitez pas à nous contacter à l'adresse suivante :

Responsable de la protection de la vie privée, Spendbase Ltd. À l'attention de : E-mail Confidentialité et Conformité : privacy@test-domain-partnerway.prod.spendbase.co

Nota bene ! À la date d'entrée en vigueur, Spendbase n'exerce pas d'activités au Québec. Par conséquent, une version française de cet Avis de confidentialité n'est pas disponible.

Spendbase fournit des services de technologie financière interentreprises, y compris des programmes de cartes d'entreprise et des services de plateforme connexes. Tous les comptes Spendbase sont ouverts et tenus exclusivement à des fins professionnelles. Par conséquent, le présent Avis de confidentialité s'applique aux Clients, à savoir : 

• Les Clients professionnels qui concluent une relation contractuelle avec Spendbase, qui sont traités comme des entités commerciales (“ “Client professionnel” »), et
• Les personnes physiques qui accèdent aux services de Spendbase ou les utilisent pour le compte d'un Client professionnel, y compris les employés, les dirigeants et les titulaires de cartes, qui agissent uniquement à titre professionnel ou dans le cadre de leur emploi (“ “Utilisateur autorisé”)
  

Conformément à la loi applicable, Spendbase agit en tant qu'Organisation (ou une “ Entreprise ” telle que définie au Québec) vis-à-vis du Client commercial. Le traitement des Renseignements personnels des Utilisateurs autorisés est effectué par Spendbase en tant que Prestataire de services (ou un “ Mandataire ” tel que défini au Québec), agissant selon les instructions du Client commercial en tant qu'Organisation (ou une “ Entreprise ” telle que définie au Québec), consignées dans le contrat respectif.

Pour des informations détaillées sur la manière dont cela peut influencer le traitement des Renseignements personnels de l'Utilisateur autorisé, veuillez vous reporter à la Section 12 (UTILISATEURS AUTORISÉS) des présentes.

Spendbase collecte et traite les Renseignements personnels uniquement dans la mesure nécessaire pour fournir les Services, se conformer aux obligations légales et réglementaires applicables, prévenir la fraude et les abus, et exploiter et sécuriser la plateforme Spendbase.

Selon la définition du client dans les présentes, nous collectons les Renseignements personnels comme suit :

Tous les Renseignements personnels de l'Utilisateur autorisé sont traités uniquement dans le cadre de sa relation professionnelle avec le Client commercial concerné. Spendbase ne collecte pas sciemment de Renseignements personnels auprès de personnes de moins de 18 ans. Pour les résidents du Québec, le consentement des parents ou du tuteur est requis pour les personnes de moins de 14 ans. Les données agrégées ou dépersonnalisées peuvent être utilisées à des fins d'analyse et d'amélioration des services et ne sont pas traitées comme des Renseignements personnels. Spendbase ne collecte pas de Renseignements personnels sur la santé.

Spendbase collecte des Renseignements personnels auprès d'un nombre limité de sources licites et transparentes dans le cadre de la fourniture de ses services aux Clients commerciaux et aux Utilisateurs autorisés.

Toutes les finalités sont déterminées au moment de la collecte ou avant celle-ci, conformément au principe de détermination des fins de la LPRPDE. Les Renseignements personnels ne sont pas utilisés à des fins incompatibles avec la raison initiale pour laquelle ils ont été collectés. Lorsqu'une nouvelle finalité apparaît, elle sera définie et tout consentement requis sera obtenu avant de poursuivre.

En vertu de la loi canadienne sur la protection de la vie privée, le consentement est la base juridique par défaut pour tout traitement. Lorsqu'une exemption spécifique de l'article 7 de la LPRPDE s'applique, cela est explicitement mentionné ci-dessous. Il n'existe pas de base d“” intérêt légitime “ ou d”« exécution de contrat » en vertu de la LPRPDE ou des lois provinciales applicables.

Spendbase obtient, enregistre et gère le consentement conformément au principe du consentement de la LPRPDE et aux Lignes directrices pour l'obtention d'un consentement significatif du CPVP.

• Le consentement exprès est obtenu auprès des Clients Commerciaux lors de l'inscription via un accord signé ou une acceptation numérique équivalente, horodatée et liée à la version de cet Avis de confidentialité en vigueur à ce moment-là.
• Le consentement est granulaire lorsque les finalités sont présentées individuellement, et le consentement aux Services essentiels n'est jamais groupé avec le consentement au marketing. 
• Le consentement implicite n'est invoqué que pour des finalités non sensibles qui découlent évidemment de la relation commerciale (par ex., amélioration du service à l'aide de données dépersonnalisées). 

Pour les Utilisateurs Autorisés, Spendbase exige contractuellement des Clients Commerciaux qu'ils confirment que toutes les notifications et consentements nécessaires ont été obtenus avant que les Renseignements Personnels de l'Utilisateur Autorisé ne soient soumis à la plateforme.

Suivi. Spendbase tient des registres internes de traitement qui documentent, pour chaque finalité : la base juridique, la date et la forme du consentement, la version de l'Avis de confidentialité en vigueur, et toute modification ultérieure du statut du consentement.

Retrait. Le consentement peut être retiré à tout moment en contactant privacy@test-domain-partnerway.prod.spendbase.co. Spendbase confirmera la réception sous 5 jours ouvrables et cessera tout traitement non obligatoire sous 15 jours ouvrables, en mettant à jour le registre des consentements en conséquence. Le retrait n'affecte pas la licéité du traitement antérieur, ni ne l'emporte sur les obligations de conservation légalement requises (par ex., les dossiers CANAFE, KYC/KYB).

Messages électroniques commerciaux. Lorsque Spendbase envoie des messages électroniques commerciaux (MEC), elle le fait conformément à la Loi canadienne anti-pourriel (LCAP). Spendbase s'appuie sur le consentement exprès pour le marketing auprès de nouveaux contacts et sur le consentement implicite pour les Clients Commerciaux existants (valable 2 ans à compter de la dernière transaction). Chaque MEC identifie Spendbase comme l'expéditeur et comprend un mécanisme de désabonnement ; les demandes soumises à privacy@test-domain-partnerway.prod.spendbase.co  sont traitées sous 10 jours ouvrables. Les messages transactionnels et opérationnels (alertes de compte, avis de sécurité, divulgations réglementaires) ne sont pas des MEC et sont envoyés indépendamment du consentement marketing.

Spendbase ne vend pas de Renseignements Personnels. Tout partage est soumis au principe de responsabilité de la LPRPDE et à ses équivalents provinciaux. Les destinataires sont contractuellement tenus de maintenir des protections de la vie privée comparables à la LPRPDE. Les accords avec des tiers sont régis par des garanties contractuelles conformes aux obligations de Spendbase en vertu de la LPRPDE et de la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes (LRPCFAT).

Partage d'informations relatives à la lutte contre le blanchiment d'argent et le financement du terrorisme (LBA/FT): Lorsque Spendbase participe à un accord de partage de gré à gré approuvé par CANAFE en vertu de la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes (LRPCFAT), les Renseignements Personnels peuvent être partagés avec d'autres entités déclarantes en vertu d'un code de pratique approuvé par le Commissariat à la protection de la vie privée du Canada à des fins de LBA/FT, sans consentement comme le permettent la LPRPDE et la LRPCFAT.

Les Renseignements Personnels ne sont conservés qu'aussi longtemps que nécessaire pour réaliser les finalités de la collecte, conformément au principe de limitation de l'utilisation, de la communication et de la conservation de la LPRPDE et de ses équivalents provinciaux.

Les durées de conservation varient en fonction de la nature des Informations Personnelles, de la finalité pour laquelle elles ont été collectées et des exigences légales ou réglementaires applicables. Dans le contexte des services financiers, certains dossiers doivent être conservés pendant des durées minimales requises par la loi, y compris les exigences relatives à la lutte contre le blanchiment d'argent, au respect des sanctions, à la prévention de la fraude, à la fiscalité, à la comptabilité et à la tenue des registres réglementaires. Lorsque de telles obligations s'appliquent, Spendbase conserve les Informations Personnelles pendant la durée prescrite par la loi applicable ou les directives réglementaires.

Les Informations Personnelles relatives aux Clients Professionnels et aux Utilisateurs Autorisés sont généralement conservées pendant la durée de la relation contractuelle et, après sa résiliation, pendant une période limitée par la suite, nécessaire pour se conformer aux obligations légales, soutenir les audits et les enquêtes, résoudre les litiges et faire valoir les droits contractuels. Lorsque la conservation n'est plus requise, les Informations Personnelles sont supprimées de manière sécurisée, anonymisées ou dépersonnalisées conformément aux politiques et contrôles techniques applicables.

Les informations agrégées ou dépersonnalisées peuvent être conservées pendant des périodes plus longues lorsque la loi le permet, car ces données n'identifient pas les individus et sont utilisées à des fins commerciales légitimes telles que l'analyse, le reporting et l'amélioration des services.

Spendbase met en œuvre et maintient des mesures de protection administratives, techniques et physiques conçues pour protéger les Informations Personnelles contre l'accès, la divulgation, l'altération ou la destruction non autorisés.

Notre programme de sécurité est fondé sur le risque et prend en compte la sensibilité des Informations Personnelles que nous traitons, la nature de nos services, les risques prévisibles et l'évolution des menaces à la sécurité. Les mesures de protection sont régulièrement examinées et mises à jour pour tenir compte des changements technologiques, des directives réglementaires et du risque opérationnel.

Les mesures de protection administratives comprennent des politiques et des procédures régissant l'accès aux données, la confidentialité, la formation des employés, la réponse aux incidents, la gestion des fournisseurs et la surveillance de la conformité. L'accès aux Informations Personnelles est limité au personnel et aux prestataires de services qui ont besoin de cet accès à des fins commerciales légitimes et qui sont soumis à des obligations de confidentialité et de sécurité.

Les mesures de protection techniques comprennent des mesures telles que les contrôles d'accès, les mécanismes d'authentification, le chiffrement, la journalisation et la surveillance, les contrôles de sécurité réseau et la gestion des vulnérabilités conçues pour protéger les Informations Personnelles lors du traitement, du stockage et de la transmission.

Spendbase maintient également des procédures pour détecter les incidents de sécurité, y répondre et s'en rétablir, y compris les incidents de sécurité des données impliquant des Informations Personnelles. Lorsque la loi applicable l'exige, Spendbase fournira des notifications relatives aux violations de données ou aux incidents de sécurité conformément aux exigences légales et réglementaires applicables.

Bien que Spendbase prenne des mesures raisonnables et appropriées pour protéger les Informations Personnelles, aucun système ou méthode de transmission ne peut être garanti comme étant totalement sécurisé. Les Clients Professionnels et les Utilisateurs Autorisés sont responsables du maintien de la confidentialité de leurs identifiants d'accès et de l'utilisation des services de manière sécurisée.

Spendbase fournit ses Services aux Clients Professionnels et traite les Données Personnelles relatives aux Utilisateurs Autorisés uniquement. Les Utilisateurs Autorisés accèdent à la plateforme Spendbase et aux services connexes au nom de, et sous le contrôle de, le Client Professionnel concerné.

Les Clients Professionnels sont responsables de déterminer quelles personnes sont autorisées à accéder aux services, d'attribuer et de gérer les droits d'accès, de délivrer et de révoquer les identifiants, et de s'assurer que les informations des Utilisateurs Autorisés fournies à Spendbase sont exactes, à jour et licites. Les Clients Professionnels sont également responsables d'informer les Utilisateurs Autorisés de la manière dont leurs Données Personnelles sont collectées, utilisées et partagées dans le cadre de l'utilisation des services, y compris par le biais de politiques et d'avis internes lorsque la loi l'exige.

Spendbase traite les Informations Personnelles des Utilisateurs Autorisés conformément aux instructions du Client Professionnel concerné, aux conditions contractuelles applicables et à la loi applicable. Les Clients Professionnels contrôlent et déterminent la manière dont les données des Utilisateurs Autorisés sont utilisées au sein de leur organisation, notamment pour la gestion des dépenses, le reporting, les contrôles internes, la surveillance de la conformité et à des fins liées à l'emploi. Spendbase ne contrôle pas et n'est pas responsable des pratiques internes des Clients Professionnels en matière de données.

Les Utilisateurs Autorisés doivent adresser leurs demandes relatives à l'accès, à la rectification ou à la suppression de leurs Informations Personnelles principalement au Client Professionnel qui a autorisé leur accès aux services. Lorsque la loi ou le contrat l'exige, Spendbase peut aider les Clients Professionnels à répondre à ces demandes.

Les Clients Professionnels sont responsables de s'assurer que leur utilisation des Services, y compris leur traitement des données des Utilisateurs Autorisés obtenues via la plateforme, est conforme aux lois applicables en matière d'emploi, de protection de la vie privée et de protection des données.

Spendbase peut transférer des Informations Personnelles hors du Canada à des entités affiliées, des prestataires de services et des partenaires bancaires opérant dans des juridictions comprenant, sans s'y limiter, les États-Unis et l'Union européenne/EEE. Nous, ainsi que nos principaux prestataires de services (par exemple, pour les besoins de KYC), stockons vos données sur Amazon Web Services (AWS), Google Cloud Platform (GCP) et Hetzner, qui fournissent tous des services d'hébergement dans l'Union européenne/EEE, à savoir au Luxembourg, en Allemagne et en Finlande. Lorsque des Données Personnelles doivent être traitées dans d'autres pays offrant une protection moins stricte, nous veillons à l'applicabilité du mécanisme transfrontalier pertinent et évaluons la législation du pays cible afin d'éviter d'éventuelles intrusions gouvernementales. Quoi qu'il en soit, vous devez savoir que lorsque des informations personnelles sont stockées ou traitées dans un autre pays, elles sont soumises aux lois de cette juridiction. Par conséquent, elles peuvent être accessibles au gouvernement, aux tribunaux, aux organismes d'application de la loi, aux agences de sécurité nationale ou aux autorités de réglementation de ce pays.

Tous les transferts sont régis par des contrats écrits exigeant que les sous-traitants destinataires maintiennent des protections comparables à celles de la LPRPDE, utilisent les données uniquement aux fins spécifiées et informent Spendbase de tout incident de sécurité. Spendbase reste responsable en tout temps des Informations Personnelles transférées, conformément au principe de responsabilité de la LPRPDE et aux Lignes directrices du CPVP concernant le traitement transfrontalier des données personnelles (2009). Un transfert aux fins de traitement constitue une utilisation d'Informations Personnelles — et non une divulgation — et ne nécessite pas de consentement supplémentaire, à condition que les données soient utilisées uniquement aux fins initialement collectées.

Notes spécifiques aux provinces: Les résidents de l'Alberta et de la Colombie-Britannique peuvent demander de plus amples détails sur les destinations des transferts et les mesures de protection applicables. Si Spendbase devait étendre ses Services au Québec, les transferts transfrontaliers feraient l'objet d'une évaluation des facteurs relatifs à la vie privée, d'accords écrits intégrant les mesures de protection requises et d'une conformité totale avec la Loi 25.

Pour exercer tout droit, soumettez une demande écrite à privacy@test-domain-partnerway.prod.spendbase.co. Une vérification d'identité peut être requise avant le traitement. Spendbase n'exercera aucune représailles contre toute personne qui exerce ses droits à la vie privée ou dépose une plainte.

Les Utilisateurs Autorisés doivent généralement adresser leurs demandes au Client Professionnel qui a autorisé leur accès. Spendbase peut, à la demande du Client Professionnel, aider à satisfaire les demandes des Utilisateurs Autorisés respectifs. En cas de réception de toute demande par Spendbase directement de l'Utilisateur Autorisé, Spendbase fera de son mieux pour transférer la demande sans délai indu et/ou soumettre les informations demandées dans la mesure permise par la loi.

Les plaintes non résolues peuvent être portées devant le régulateur compétent :

Le cas échéant, Spendbase traite les informations personnelles conformément à :

• • Le la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et ses règlements d'application ;
  • les 10 principes de protection des renseignements personnels énoncés à l'annexe 1 de la LPRPDE, sous la surveillance du Commissariat à la protection de la vie privée du Canada (CPVP) ;
  • la Loi anti-pourriel canadienne (Lcap) ;
  • les lois provinciales applicables en matière de protection des renseignements personnels jugées substantiellement similaires à la LPRPDE, notamment la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25) du Québec, la Loi sur la protection des renseignements personnels (PIPA de l'Alberta), et la Loi sur la protection des renseignements personnels (PIPA de la C.-B.), le cas échéant ; et

• Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes (LRPCFAF) ;

• les obligations contractuelles avec nos partenaires bancaires et prestataires de services, qui sont tenus de fournir un niveau de protection de la vie privée comparable à celui requis par la LPRPDE.

Interaction des lois: Lorsque la Loi 25 du Québec, la PIPA de l'Alberta ou la PIPA de la C.-B. s'appliquent aux activités de traitement de Spendbase au sein de ces provinces, ces lois l'emportent sur la LPRPDE pour les activités intraprovinciales. La LPRPDE continue de s'appliquer en tout temps à Spendbase en tant que prestataire de services réglementé par le gouvernement fédéral et à tous les transferts interprovinciaux et internationaux d'informations personnelles.

Spendbase peut mettre à jour cette politique de confidentialité de temps à autre pour refléter les changements dans ses pratiques, ses services, ses exigences légales ou réglementaires, ou ses besoins opérationnels. Lorsque nous apportons des modifications substantielles, nous en informerons les utilisateurs via la plateforme Spendbase en mettant à jour la “ Date d'effet ”.

En cas de modifications importantes susceptibles d'avoir un impact sur votre utilisation des Services, nous vous en informerons par les moyens de communication disponibles.

Aux fins de la présente Charte de Confidentialité, les termes suivants ont les significations définies ci-dessous :

"Utilisateur autorisé” » désigne une personne physique, y compris les employés, les dirigeants et les titulaires de cartes autorisés, qu'un Client commercial autorise à accéder ou à utiliser les services de Spendbase au nom du Client commercial.

"Client professionnel” » désigne une personne morale ou une organisation qui conclut une relation contractuelle avec Spendbase pour la fourniture de services financiers ou de paiement axés sur les entreprises.

"Informations personnelles” » désigne toute information qui identifie, se rapporte à, décrit ou pourrait raisonnablement être liée à une personne physique identifiée ou identifiable, telle que définie par la LPRPDE applicable et/ou les lois provinciales applicables par ailleurs, et telle que décrite plus en détail dans cette politique de confidentialité.

“ Renseignements personnels sur la santé ” désigne toute information concernant la santé physique ou mentale d'une personne, les services de santé qui lui sont fournis et les informations connexes.

"Organisation” » désigne une entité responsable des informations personnelles collectées et contrôlées directement via la plateforme et les services de Spendbase

"Services” » désigne les services bancaires numériques, de paiement, de carte d'entreprise et les technologies financières associées de Spendbase fournis aux Clients commerciaux.

"Prestataire de services» fait référence à une organisation qui collecte, utilise ou divulgue des informations personnelles pour le compte d'une autre organisation