Retour aux guides
Loi 25Gabarit
Gabarit de clause de sous-traitant Loi 25
Avant de confier des renseignements personnels, le contrat écrit dit ce que le fournisseur peut en faire, et ce qu'il doit signaler.
7 min de lecture28 septembre 2026Direction stratégie GRC, CapGRC
Une entreprise peut confier un mandat ou un contrat de service à un tiers. Le contrat écrit encadre la confidentialité. Sans ces engagements, la communication repose sur une promesse verbale que vous ne pourrez pas montrer.
Engagements à insérer
Le fournisseur s'engage à : 1. Prendre les mesures suivantes pour protéger la confidentialité : [mesures]. 2. Utiliser les renseignements uniquement pour exécuter le contrat, soit [description du mandat]. 3. Ne pas conserver les renseignements après la fin du contrat. Les restituer ou les détruire au plus tard le [délai], et confirmer par écrit. 4. Aviser sans délai le responsable de la protection des renseignements personnels de toute violation, ou tentative de violation, de l'obligation de confidentialité, à [courriel]. 5. Permettre les vérifications relatives à la confidentialité demandées par le client. 6. Ne pas confier le mandat à un autre tiers sans autorisation écrite. Ce tiers est tenu aux mêmes engagements.
Ce que la clause ne règle pas seule
- Si le fournisseur héberge hors du Québec, y compris dans une autre province, l'évaluation écrite du transfert reste à faire.
- La clause ne remplace pas la diligence : questionnaire, preuves de sécurité, revue du dossier critique.
- Le responsable nommé dans votre politique est celui qui reçoit l'avis d'incident.
Faites relire le texte par la personne qui signe vos contrats. Les mesures du point 1 doivent être celles que le fournisseur applique vraiment.
Le contrat et le dossier fournisseur au même endroit
CapTRISK suit les mandats, les clauses et les revues des fournisseurs critiques.