Attestation de souveraineté de PaymentEvolution

PaymentEvolution délivre cette attestation à ses clients, à ses clients potentiels ainsi qu'à leurs équipes d'approvisionnement, d'audit et de protection des renseignements personnels afin de répondre, à l'aide d'un seul document, aux questions relatives à la nationalité de l'entreprise, à l'emplacement des données et à la portée juridique étrangère, et ce, à n'importe quelle étape d'un achat. Toutes les déclarations ci-dessous sont à jour à la date d'entrée en vigueur et sont remplacées par l'accord conclu entre les parties en cas de divergence.

Date d'entrée en vigueur : 3 septembre 2026. Version 1.2.
Dernière révision : 3 septembre 2026. Cette attestation est révisée chaque trimestre et lors de tout changement de propriété, de résidence des données ou du registre des sous-traitants ultérieurs.

Constitution en société et statut juridique

Propriété et contrôle

Résidence des données

Sous-traitants ultérieurs

PaymentEvolution informe ses clients au moins 30 jours à l'avance avant d'ajouter ou de remplacer un sous-traitant ultérieur qui traite les données de paie, de RH ou de paiement des clients.

Lois étrangères applicables

PaymentEvolution est constituée en société au Canada, ne maintient aucun établissement aux États-Unis et ne fournit pas de services de communication électronique ou de services informatiques à distance au sens des articles 18 U.S.C. §2510 et §2711. Par conséquent, elle n'est pas un fournisseur visé par la loi américaine Clarifying Lawful Overseas Use of Data (CLOUD) Act et ne peut être contrainte par un tribunal américain à produire des données clients conservées au Canada. Les données de paie, de RH et de paiement de production sont traitées dans des centres de données sous contrôle canadien en Ontario et au Québec, et aucune entreprise américaine ne fournit cette infrastructure. Microsoft Corporation fournit l'infrastructure hébergeant les copies de sauvegarde et de reprise après sinistre de ces données, ainsi que certains services d'analyse et de sécurité. Microsoft étant une entreprise américaine soumise aux procédures judiciaires des États-Unis, quelle que soit la région dans laquelle les données sont stockées, PaymentEvolution s'appuie sur les engagements publiés par Microsoft pour contester les ordonnances visant les données des clients d'entreprise et pour rediriger l'autorité requérante vers le client partout où la loi le permet.

L'article 702 de la loi Foreign Intelligence Surveillance Act (FISA), 50 U.S.C. §1881a, autorise l'envoi de directives aux fournisseurs américains de services de communication électronique à des fins de renseignement étranger, et l'analyse ci-dessus s'y applique de la même manière. L'article 215 de la loi USA PATRIOT Act, au sujet duquel les questionnaires d'approvisionnement canadiens continuent de s'enquérir, a expiré le 15 mars 2020, et l'autorité américaine opérationnelle en matière de production forcée est désormais le CLOUD Act.

Le Règlement général sur la protection des données (RGPD) ne s'applique à PaymentEvolution que lorsqu'elle traite les données personnelles de personnes situées dans l'Union européenne (ce qu'elle ne fait pas aujourd'hui). Les sanctions américaines administrées par l'Office of Foreign Assets Control s'appliquent à PaymentEvolution par le biais des relations de correspondance bancaire qui soutiennent le règlement en dollars américains, et l'entreprise vérifie ses contreparties par rapport aux listes de sanctions canadiennes et américaines dans le cadre de son programme de conformité de CANAFE.

Demandes d'organismes d'application de la loi étrangers reçues : 0 en 2025, 0 en 2026 à ce jour. Demandes satisfaites : 0.

Loi applicable

FAQ

Les données des clients sont-elles stockées à l'extérieur du Canada?

Les données de paie, de RH et de paiement de production sont stockées et traitées dans des centres de données sous contrôle canadien en Ontario et au Québec, et les copies de sauvegarde et de reprise après sinistre sont conservées dans les régions Canada Centre et Canada Est de Microsoft Azure. Certains services d'analyse et de sécurité s'exécutent également dans ces régions Azure canadiennes. Un client peut choisir des services de télémétrie ou des services tiers supplémentaires qui sont traités à l'extérieur du Canada; ces choix sont facultatifs, divulgués à l'avance et nécessitent le consentement du client.

PaymentEvolution est-elle assujettie à la loi américaine CLOUD Act?

PaymentEvolution n'est pas un fournisseur visé par la loi Clarifying Lawful Overseas Use of Data (CLOUD) Act, car elle est constituée en société au Canada, n'a aucun établissement aux États-Unis et ne fournit pas de services de communication électronique ou de services informatiques à distance au sens des articles 18 U.S.C. §2510 et §2711. Ainsi, un tribunal américain n'a pas l'autorité de la contraindre à produire des données clients conservées au Canada. Microsoft Corporation fournit l'infrastructure sur laquelle reposent les données de sauvegarde et d'analyse, et Microsoft est une entreprise américaine soumise aux procédures judiciaires des États-Unis, quelle que soit la région détenant les données. PaymentEvolution s'appuie donc sur les engagements publiés par Microsoft pour contester les ordonnances visant les données de clients d'entreprise et pour rediriger l'autorité requérante vers le client partout où la loi le permet.

PaymentEvolution est-elle assujettie à l'article 702 de la FISA?

L'article 702 de la loi Foreign Intelligence Surveillance Act, 50 U.S.C. §1881a, autorise l'envoi de directives aux fournisseurs américains de services de communication électronique à des fins de renseignement étranger, et PaymentEvolution n'entre pas dans cette définition pour les mêmes raisons qu'elle n'est pas visée par le CLOUD Act. L'article 215 du USA PATRIOT Act, auquel font encore référence de nombreux questionnaires d'approvisionnement canadiens, a expiré le 15 mars 2020, et les autorités américaines opérationnelles pour la production forcée sont désormais le CLOUD Act et l'article 702.

PaymentEvolution est-elle détenue ou contrôlée par des intérêts étrangers?

Non. Les actions de PaymentEvolution sont détenues à 100 % par des résidents canadiens et à 0 % par des non-résidents. L'entreprise est contrôlée par son fondateur, et aucune personne ou entité non canadienne ne détient d'actions avec droit de vote. En vertu de la Loi sur Investissement Canada, l'entreprise n'est pas une entreprise canadienne sous contrôle étranger, et aucune transaction sujette à notification ou à examen n'a eu lieu. PaymentEvolution n'a accepté aucun investissement de la part d'actionnaires non résidents.

Certains des sous-traitants ultérieurs de PaymentEvolution sont-ils situés à l'extérieur du Canada?

Deux sous-traitants ultérieurs sont domiciliés à l'extérieur du Canada, et tous deux traitent les données des clients au Canada. Microsoft Corporation, domiciliée aux États-Unis, fournit l'hébergement de sauvegarde et de reprise après sinistre, le stockage, la gestion des clés ainsi que l'infrastructure d'analyse et de sécurité. Elle traite les copies de sauvegarde et de reprise après sinistre des données de paie, de RH et de paiement, ainsi que la télémétrie et certaines données de services de sécurité, dans des régions canadiennes. PostHog, domiciliée aux États-Unis, fournit des services d'analyse de produits et traite la télémétrie pseudonymisée de compte et d'utilisation au Canada. L'exécution des paiements s'effectue par l'intermédiaire d'institutions financières canadiennes, notamment BMO, la CIBC et la RBC, qui sont domiciliées et effectuent le traitement au Canada.

PaymentEvolution utilise-t-elle les données des clients pour entraîner des modèles d'IA?

PaymentEvolution n'utilise pas les données de paie, de RH ou de paiement des clients pour entraîner ou perfectionner des modèles d'IA, et aucune donnée de paie des clients n'est transmise à des fournisseurs de modèles tiers. L'inférence sur les données réglementées des clients s'exécute sur du matériel exploité par PaymentEvolution situé au Canada.

Où réside le personnel ayant un accès à la production?

Tout le personnel ayant accès aux systèmes de production réside au Canada, et l'accès est basé sur les rôles, consigné et révisé en permanence.

Quel est le processus de PaymentEvolution concernant les demandes d'application de la loi étrangères?

PaymentEvolution valide chaque demande émanant d'une autorité étrangère au regard de la loi canadienne, conteste toute demande excessive ou dépourvue d'effet juridique au Canada, et en informe le client concerné, à moins qu'une ordonnance du tribunal ne l'interdise. Les contrats sont régis par les lois de l'Ontario et les lois fédérales du Canada, et les tribunaux de l'Ontario constituent le forum pour tout différend.