Ententes de traitement des données

Oui, dans deux situations. D'abord, si un fournisseur traite des données personnelles pour vous (analytique, hébergement, IA, CRM), le California Consumer Privacy Act exige des termes de service-provider dans votre contrat, sinon le fournisseur compte comme tiers avec des obligations plus larges. Ensuite, si un client grand compte vous remet son DPA, signer une version conforme est généralement une condition préalable à la conclusion du contrat.

Ils servent trois publics différents. La politique de confidentialité est votre avis public aux utilisateurs ; cela vit sur notre page Conditions d'utilisation et politique de confidentialité. Le DPA est le contrat entre vous et une contrepartie (fournisseur ou client) régissant le traitement des données personnelles dans le mandat. L'entente d'abonnement SaaS est l'entente commerciale principale qui licencie le service ; cela vit sur notre page Ententes SaaS et entreprise sous Contrats et transactions. Cette page se concentre sur les DPA et la couche de transfert transfrontalier.

Probablement oui, si vous traitez les données personnelles de résidents californiens et atteignez l'un de trois seuils : 26,6 millions de dollars de revenus annuels (le chiffre 2026 ajusté à l'inflation), les renseignements personnels de 100 000 résidents ou ménages californiens ou plus par année, ou 50 % ou plus des revenus provenant de la vente ou du partage de renseignements personnels. Les seuils complets et les définitions sont publiés par la California Privacy Protection Agency. Une présence physique en Californie n'est pas requise.

Le CPRA a élargi le CCPA original de trois façons importantes : il a ajouté une nouvelle catégorie de renseignements personnels sensibles, il a ajouté un droit de correction des données inexactes et il a élargi le partage pour couvrir la publicité comportementale intercontextuelle même sans vente. Les règlements CCPA de janvier 2026 ont ajouté des obligations détaillées de divulgation, de contrats et d'évaluation des risques par-dessus.

Le RGPD s'applique à votre entreprise si vous offrez des biens ou services à des personnes dans l'Union européenne, ou si vous surveillez leur comportement, peu importe où votre entreprise est basée. La portée territoriale est énoncée à l'article 3 du RGPD. Beaucoup d'entreprises SaaS américaines sont visées sans le réaliser parce que leur analytique, leurs pixels marketing ou leurs pages d'inscription en libre-service rejoignent des utilisateurs de l'UE.

La Loi 25 du Québec impose des exigences de consentement, de transparence et d'évaluation de transfert transfrontalier à toute entreprise qui manipule les données personnelles de résidents québécois. Le texte complet est publié sur LégisQuébec et l'orientation d'application vient de la Commission d'accès à l'information. Elle s'applique séparément du régime canadien fédéral de la LPRPDE. SGL gère la conformité québécoise directement étant donné l'admission québécoise du cabinet.

Le DPA doit (1) limiter l'usage par le fournisseur des données personnelles au but commercial précis du contrat, (2) interdire au fournisseur de vendre ou partager les données, (3) interdire la rétention ou l'usage des données au-delà du mandat, et (4) exiger que le fournisseur se conforme si vous lui demandez de supprimer ou corriger des données à la demande d'un consommateur. Les DPA génériques RGPD seulement n'incluent presque jamais les quatre.

Les Clauses contractuelles types sont des termes de transfert de données préapprouvés qui permettent aux données personnelles de circuler légalement de l'Union européenne vers les États-Unis. Le texte CCT actuel est publié par la Commission européenne. Vous en avez besoin quand les données d'un utilisateur de l'UE sont transmises à votre infrastructure américaine ou à un fournisseur localisé aux États-Unis. Le US-EU Data Privacy Framework peut substituer les CCT dans certains cas, mais pas tous.

Avec chaque fournisseur traitant des données personnelles pour vous, oui. Cela inclut l'analytique, les outils de support client, les fournisseurs IA, les CRM, les plateformes courriel et l'hébergement. L'inventaire fournisseurs est généralement la lacune que la plupart des entreprises SaaS découvrent lors de leur premier audit, incident de brèche ou diligence d'acquéreur.

Chaque palier est à forfait, facturé à l'engagement. Après l'appel stratégique, nous envoyons la lettre de mandat, vous payez à l'avance et le travail commence. Le calendrier de livraison est fixé lors de l'appel stratégique selon la portée, l'urgence et la capacité actuelle. Un traitement urgent est disponible ; nous vous donnons le coût avant l'ajout.