Attestation de souveraineté de PaymentEvolution

PaymentEvolution délivre cette attestation aux clients, aux clients potentiels ainsi qu'à leurs équipes d'approvisionnement, d'audit et de protection de la vie privée, afin de répondre aux questions concernant la nationalité de l'entreprise, l'emplacement des données et la portée juridique étrangère à l'aide d'un document unique, à n'importe quelle étape d'un achat. Toutes les déclarations ci-dessous sont à jour à la date d'entrée en vigueur et sont remplacées par l'accord signé entre les parties en cas de divergence.

Date d'entrée en vigueur : 3 septembre 2026. Version 1.2.
Dernière révision : 3 septembre 2026. Cette attestation est révisée chaque trimestre et lors de tout changement de propriété, de résidence des données ou du registre des sous-traitants ultérieurs.

Constitution en société et statut juridique

Propriété et contrôle

Résidence des données

Sous-traitants ultérieurs

Lois étrangères applicables

PaymentEvolution est constituée en société au Canada, ne possède aucun établissement aux États-Unis et ne fournit pas de services de communication électronique ou de services informatiques à distance au sens des articles 18 U.S.C. §2510 et §2711. Par conséquent, elle n'est pas un fournisseur visé par la loi Clarifying Lawful Overseas Use of Data Act (CLOUD Act) et ne peut être contrainte par un tribunal américain à produire des données clients stockées au Canada. Les données de production de paie, de RH et de paiement sont hébergées dans des centres de données sous contrôle canadien en Ontario et au Québec, et aucune entreprise américaine ne fournit cette infrastructure. Microsoft Corporation fournit l'infrastructure hébergeant les copies de sauvegarde et de reprise après sinistre de ces données, ainsi que certains services d'analyse et de sécurité. Microsoft étant une entreprise américaine assujettie aux procédures judiciaires des États-Unis, quelle que soit la région où les données sont stockées, PaymentEvolution s'appuie sur les engagements publics de Microsoft de contester les ordonnances visant les données des clients d'affaires et de rediriger l'autorité requérante vers le client chaque fois qu'il est légal de le faire.

L'article 702 de la Foreign Intelligence Surveillance Act (FISA), 50 U.S.C. §1881a, autorise l'envoi de directives aux fournisseurs américains de services de communication électronique à des fins de renseignement étranger, et l'analyse ci-dessus s'y applique de la même manière. L'article 215 du USA PATRIOT Act, au sujet duquel certains questionnaires d'approvisionnement canadiens posent encore des questions, a expiré le 15 mars 2020, et l'autorité américaine en vigueur pour la production forcée est désormais le CLOUD Act.

Le Règlement général sur la protection des données (RGPD) ne s'applique à PaymentEvolution que lorsqu'elle traite des données personnelles de personnes situées dans l'Union européenne (ce qu'elle ne fait pas actuellement). Les sanctions américaines administrées par l'Office of Foreign Assets Control s'appliquent à PaymentEvolution par le biais des relations de correspondance bancaire qui soutiennent le règlement en dollars américains, et l'entreprise filtre les contreparties par rapport aux listes de sanctions canadiennes et américaines dans le cadre de son programme de conformité de CANAFE.

Demandes reçues d'autorités d'application de la loi étrangères : 0 en 2025, 0 à ce jour en 2026. Demandes acceptées : 0.

Loi applicable

Foire aux questions

Les données des clients sont-elles stockées en dehors du Canada?

Les données de production de paie, de RH et de paiement sont stockées et traitées dans des centres de données sous contrôle canadien en Ontario et au Québec, et les copies de sauvegarde et de reprise après sinistre sont conservées dans les régions Canada Centre et Canada Est de Microsoft Azure. Certains services d'analyse et de sécurité s'exécutent également dans ces régions Azure canadiennes. Un client peut choisir d'utiliser des services de télémétrie ou de tiers supplémentaires qui sont traités à l'extérieur du Canada; ces options sont facultatives, divulguées à l'avance et nécessitent le consentement du client.

PaymentEvolution est-elle assujettie au CLOUD Act des États-Unis?

PaymentEvolution n'est pas un fournisseur visé par la loi Clarifying Lawful Overseas Use of Data Act (CLOUD Act), car elle est constituée au Canada, ne possède aucun établissement aux États-Unis et ne fournit pas de services de communication électronique ou de services informatiques à distance au sens des articles 18 U.S.C. §2510 et §2711. Par conséquent, un tribunal américain n'a pas le pouvoir de la contraindre à produire des données clients conservées au Canada. Microsoft Corporation fournit l'infrastructure sur laquelle résident les données de sauvegarde et d'analyse. Microsoft étant une entreprise américaine assujettie aux procédures judiciaires des États-Unis, quelle que soit la région détenant les données, PaymentEvolution s'appuie sur les engagements publics de Microsoft de contester les ordonnances visant les données des clients d'affaires et de rediriger l'autorité requérante vers le client dans la mesure où la loi le permet.

PaymentEvolution est-elle assujettie à l'article 702 de la FISA?

L'article 702 de la Foreign Intelligence Surveillance Act (FISA), 50 U.S.C. §1881a, autorise l'envoi de directives aux fournisseurs américains de services de communication électronique à des fins de renseignement étranger, et PaymentEvolution n'entre pas dans cette définition pour les mêmes raisons qu'elle n'est pas visée par le CLOUD Act. L'article 215 du USA PATRIOT Act, auquel font encore référence de nombreux questionnaires d'approvisionnement canadiens, a expiré le 15 mars 2020, et les autorités américaines en vigueur pour la production forcée sont désormais le CLOUD Act et l'article 702.

L'entreprise PaymentEvolution est-elle détenue ou contrôlée par des intérêts étrangers?

Non. Les actions de PaymentEvolution sont détenues à 100 % par des résidents canadiens et à 0 % par des non-résidents. L'entreprise est contrôlée par son fondateur et aucune personne ou entité non canadienne ne détient d'actions avec droit de vote à elle seule. En vertu de la Loi sur Investissement Canada, l'entreprise n'est pas une entreprise canadienne sous contrôle étranger, et aucune transaction sujette à notification ou à examen n'a eu lieu. PaymentEvolution n'a accepté aucun investissement d'actionnaires non résidents.

Certains des sous-traitants ultérieurs de PaymentEvolution sont-ils situés à l'extérieur du Canada?

Deux sous-traitants ultérieurs sont domiciliés à l'extérieur du Canada, et tous deux traitent les données des clients à l'intérieur du Canada. Microsoft Corporation, domiciliée aux États-Unis, fournit l'hébergement pour la sauvegarde et la reprise après sinistre, le stockage, la gestion des clés ainsi que l'infrastructure d'analyse et de sécurité, et traite les copies de sauvegarde et de reprise après sinistre des données de paie, de RH et de paiement, ainsi que la télémétrie et certaines données de services de sécurité, dans des régions canadiennes. PostHog, domiciliée aux États-Unis, fournit des services d'analyse de produits et traite la télémétrie pseudonymisée des comptes et de l'utilisation au Canada. L'exécution des paiements passe par des institutions financières canadiennes, notamment BMO, la CIBC et la RBC, qui sont domiciliées au Canada et effectuent le traitement au Canada.

PaymentEvolution utilise-t-elle les données de ses clients pour entraîner des modèles d'IA?

PaymentEvolution n'utilise pas les données de paie, de RH ou de paiement des clients pour entraîner ou perfectionner des modèles d'IA, et aucune donnée de paie des clients n'est transmise à des fournisseurs de modèles tiers. L'inférence sur les données client réglementées s'exécute sur du matériel exploité par PaymentEvolution situé au Canada.

Où réside le personnel ayant un accès à la production?

Tout le personnel ayant accès aux systèmes de production réside au Canada, et cet accès est basé sur les rôles, consigné dans des journaux et révisé en continu.

Quel est le processus de PaymentEvolution concernant les demandes des autorités d'application de la loi étrangères?

PaymentEvolution valide chaque demande d'une autorité étrangère par rapport au droit canadien, conteste toute demande excessive ou dénuée d'effet juridique au Canada, et en informe le client concerné à moins qu'une ordonnance du tribunal n'interdise cette notification. Les contrats sont régis par les lois de l'Ontario et les lois fédérales du Canada applicables, et les tribunaux de l'Ontario sont compétents pour tout litige.