# Le risque fournisseur fait partie de votre conformité > Vos fournisseurs traitent des renseignements personnels pour vous, mais vous en restez responsable. Voyez quoi exiger d’eux et comment les classer. - URL: https://nextit.tech/fr/blogue/le-risque-fournisseur-fait-partie-de-votre-conformite/ - Language: Français - Other language: https://nextit.tech/blog/vendor-risk-is-part-of-your-compliance/ - Publisher: NextIT (https://nextit.tech/) --- [Blog](https://nextit.tech/fr/blogue/) # Le risque fournisseur fait partie de votre conformité Équipe Confidentialité NextIT 15 oct. 2026 6 min de lecture Votre entreprise répond des renseignements personnels qu’elle détient, y compris de ceux qu’un fournisseur traite pour elle. Une entreprise de paie, un hébergeur infonuagique ou un outil d’intelligence artificielle (IA) de rédaction peut traiter des données de clients pour vous. Lorsqu’un fournisseur a une faille de sécurité, cette faille devient une partie de votre travail de conformité. ## Ce qu’est le risque fournisseur Le risque fournisseur est la possibilité qu’un fournisseur traite mal les données que vous lui confiez. Pensez à un entrepreneur qui a la clé de votre bureau. Il travaille dans votre immeuble, mais l’immeuble et ce qu’il contient restent votre responsabilité. Vos fournisseurs fonctionnent de la même façon : ils traitent les données, mais vous en restez responsable. ## Pourquoi cela compte pour une petite entreprise La Loi 25 s’applique à toute entreprise qui détient des renseignements personnels sur des personnes au Québec. Elle exige de désigner une personne responsable de la protection de ces renseignements. La LPRPDE, la loi fédérale sur la protection des renseignements personnels dans le secteur privé, compte la responsabilité parmi ses dix principes. En vertu des deux lois, vous demeurez responsable des renseignements personnels qu’un fournisseur traite pour vous. L’exposition financière est importante. La Loi 25 prévoit des sanctions administratives pécuniaires pouvant atteindre 10 millions $ ou 2 % du chiffre d’affaires mondial de l’exercice précédent, selon le montant le plus élevé. Les amendes pénales peuvent atteindre 25 millions $ ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé. Les personnes peuvent aussi réclamer des dommages-intérêts, et des dommages punitifs peuvent s’appliquer en cas d’atteinte intentionnelle ou de faute lourde. Vos clients posent aussi des questions. Le rapport SOC 2 est courant dans les ventes entre entreprises (B2B) en Amérique du Nord, et un client peut le demander avant de signer. La norme internationale ISO/IEC 27001 porte sur le système de gestion de la sécurité de l’information (SMSI). Si vos fournisseurs ne peuvent pas montrer leurs propres contrôles, vous aurez du mal à répondre à ces questions. Vos clients peuvent aussi vouloir savoir quels fournisseurs détiennent leurs données. Si vous offrez des biens ou des services à des personnes dans l’Union européenne, ou si vous suivez leur comportement, le Règlement général sur la protection des données (RGPD) s’applique aussi. Ses amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel. Traitez un incident chez un fournisseur comme s’il était le vôtre. Si un fournisseur vous signale une atteinte qui touche les données de vos clients, consignez-la dans votre registre des incidents. La Loi 25 exige un registre des incidents de confidentialité, quelle que soit leur gravité. Si l’incident présente un risque de préjudice sérieux, avisez la Commission d’accès à l’information (CAI) et les personnes concernées rapidement. ## Comment aborder le sujet Suivez ces étapes une fois, puis gardez-les à un calendrier régulier. 1. Dressez la liste de vos fournisseurs. Partez de votre inventaire de logiciels. Ajoutez les outils que le personnel utilise sans en informer l’équipe TI. On les appelle l’informatique fantôme, et ils peuvent aussi contenir des renseignements personnels. 2. Classez chaque fournisseur selon les données qu’il touche. Un niveau élevé détient des renseignements personnels sensibles ou de grands volumes de données de clients ou d’employés. Un niveau moyen ne détient que des coordonnées. Un niveau faible ne touche à aucun renseignement personnel. 3. Demandez des preuves aux fournisseurs de niveau élevé. Utilisez les questions ci-dessous et conservez chaque réponse avec le contrat. 4. Signez une entente de traitement des données (DPA) avec chaque fournisseur qui traite des renseignements personnels pour vous. 5. Réalisez une évaluation des facteurs relatifs à la vie privée (EFVP) avant de transférer des données hors du Québec, et avant d’ajouter un système qui traite des renseignements personnels. 6. Révisez chaque fournisseur selon un calendrier fixe. Révisez les fournisseurs de niveau élevé une fois par année. Révisez tout fournisseur au renouvellement de son contrat, quand il ajoute un sous-traitant ultérieur, ou quand les données qu’il détient changent. ### Ce que doit couvrir une entente de traitement des données L’entente (DPA) est un contrat écrit entre vous et un fournisseur qui traite des renseignements personnels pour vous. Elle fixe les règles que le fournisseur doit suivre. Une bonne entente couvre : - La finalité : ce que le fournisseur peut faire des données, et rien de plus. - Les types de renseignements personnels et les personnes concernées. - Les mesures de sécurité utilisées, comme le contrôle d’accès et le chiffrement. - L’endroit où les données sont conservées et traitées. - Les sous-traitants ultérieurs et l’avis préalable avant l’ajout d’un nouveau. - La façon et le moment où le fournisseur vous signale une atteinte. - La façon dont le fournisseur supprime vos données ou vous les remet à la fin du contrat. ### Ce qu’il faut demander à un fournisseur Posez ces questions avant de signer, puis à chaque révision : - Pouvez-vous nous transmettre votre plus récent rapport SOC 2 ou votre certificat ISO/IEC 27001 ? - Où nos données sont-elles conservées et traitées ? - Comment et quand nous avertirez-vous d’une atteinte touchant nos données ? - Quels sous-traitants ultérieurs peuvent accéder à nos données ? - Que deviennent nos données à la fin du contrat, et comment sont-elles supprimées ? Un rapport SOC 2 de type I vérifie la conception des contrôles à un moment précis. Un rapport de type II vérifie que les contrôles ont fonctionné pendant une période, souvent de 3 à 12 mois. Une certification ISO/IEC 27001 est délivrée par un organisme accrédité et porte sur le système de gestion de la sécurité de l’information. ### Évaluer avant que des données quittent le Québec La Loi 25 exige une évaluation des facteurs relatifs à la vie privée (EFVP) avant de communiquer des renseignements personnels à l’extérieur du Québec. La même évaluation s’applique aux projets qui acquièrent, développent ou refondent un système d’information ou une prestation électronique de services impliquant des renseignements personnels. Un fournisseur qui reçoit vos données à l’extérieur du Québec entre dans cette règle. Conservez l’évaluation, la décision et la date avec le contrat. ## Erreurs courantes - Accepter une page de marketing comme preuve. Demandez le rapport lui-même. - Signer les conditions standard du fournisseur sans lire les clauses sur les données. - Supposer qu’un rapport couvre chaque service du fournisseur. Lisez la portée du rapport. - Oublier les outils que le personnel adopte seul. - Conserver les données d’un ancien fournisseur après avoir cessé de l’utiliser. - Faire l’évaluation une seule fois, puis ne plus jamais la revoir. - Considérer une atteinte chez un fournisseur comme le problème d’un autre. **Bon à savoir :** Cet article présente une information générale, et non un avis juridique. Pour vos obligations, consultez un avocat qualifié. ## Comment NextIT vous aide NextIT regroupe vos fournisseurs au même endroit. L’inventaire de logiciels indique le coût de chaque outil, et le module Fournisseurs conserve leurs fiches. Dans Confidentialité et conformité, vous suivez les ententes de traitement des données, réalisez des évaluations des facteurs relatifs à la vie privée et tenez votre registre des activités de traitement (ROPA). Le [guide Confidentialité et conformité](https://nextit.tech/fr/docs/confidentialite-et-conformite/) présente chaque étape. Pour voir comment cela s’applique à votre entreprise, [réservez une démonstration](https://nextit.tech/fr/reserver-une-demo/). Rapport de posture gratuit ### Votre PME est-elle exposée? Sachez-le en 5 minutes. Entrez votre domaine. Confirmez la propriété par courriel, puis obtenez gratuitement votre rapport de posture de sécurité et de conformité. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) - Aucune carte requise - Hébergé au Canada Équipe Confidentialité NextIT Sécurité, conformité à la loi 25 et gouvernance informatique pour les PME. ### À propos de l’auteur L’équipe Confidentialité NextIT aide les PME québécoises et canadiennes à respecter la Loi 25 et la LPRPDE sans service de conformité dédié, de la première liste de contrôle jusqu’à l’audit. ### Plus d’articles de NextIT - [La Loi 25 expliquée : ce que la loi québécoise exige des PME 27 oct. 2026](https://nextit.tech/fr/blogue/la-loi-25-expliquee-ce-que-la-loi-quebecoise-exige-des-pme/) - [Le cadre de cybersécurité 2.0 du NIST expliqué aux PME 27 oct. 2026](https://nextit.tech/fr/blogue/le-nist-csf-2-explique-aux-pme/) - [Le RGPD pour les PME canadiennes : quand il s’applique et ce qu’il exige 27 oct. 2026](https://nextit.tech/fr/blogue/le-rgpd-pour-les-pme-canadiennes-quand-il-s-applique-et-ce-qu-il-exige/) - [SOC 2 expliqué aux PME : ce que couvre le rapport et comment s’y préparer 27 oct. 2026](https://nextit.tech/fr/blogue/soc-2-explique-aux-pme/) - [Ce que coûte vraiment la non-conformité 15 oct. 2026](https://nextit.tech/fr/blogue/ce-que-coute-vraiment-la-non-conformite/) ## Scannez votre entreprise. Ou parlons stratégie. Obtenez votre rapport de posture gratuit en 5 minutes — ou réservez une rencontre stratégique avec notre équipe. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) Aucune carte requise · Bilingue FR / EN · Hébergé au Canada