Entente de traitement des données
Version 2026-07-22 · Dernière mise à jour : 20 juillet 2026
La présente entente de traitement des données (le « DPA ») encadre le traitement des données personnelles réalisé par Leeva Inc., société constituée le 23 février 2024, dont le siège est situé au 651 rue de la Montagne, appartement 506, Montréal (Québec) H3C 0G2, Canada (NEQ 1179571261), pour le compte de l'Organisation cliente, dans le cadre de la plateforme Coea.
1. Champ et incorporation
Le présent DPA fait partie intégrante des conditions d'utilisation de la plateforme. Il s'applique dès la création de l'organisation, sans qu'une signature distincte soit requise.
Aux fins du présent DPA, l'Organisation agit comme responsable de traitement et Leeva Inc. comme sous-traitant, au sens du Règlement général sur la protection des données (RGPD), de la Loi 25 québécoise et de la Loi sur la protection des renseignements personnels et les documents électroniques (PIPEDA). L'Organisation détermine les finalités et les moyens du traitement des Données des Contacts ; Leeva Inc. traite ces données pour son compte et sur ses instructions.
Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données personnelles » ont le sens que leur donne le droit applicable au traitement. Les termes propres aux conditions d'utilisation, notamment « Organisation » et « Données des Contacts », conservent le sens qui leur est donné dans ces conditions.
L'Organisation demeure responsable de la licéité du traitement qu'elle confie à Leeva Inc., de l'existence d'une base légale valable et du recueil des consentements requis auprès des personnes concernées.
2. Description du traitement (annexe intégrée)
Les caractéristiques du traitement sont les suivantes.
Objet : la fourniture de la plateforme Coea à l'Organisation.
Durée : la durée du contrat conclu entre l'Organisation et Leeva Inc., y compris la période de conservation postérieure à la résiliation prévue à l'article 3.
Nature du traitement : l'hébergement, la structuration et l'organisation des données, l'envoi de courriels pour le compte de l'Organisation et le traitement technique des paiements liés aux dons.
Personnes concernées : les contacts, les donateurs, les participants aux événements et les membres des Organisations.
Catégories de données : les données d'identité, les coordonnées, l'historique des dons, les présences et inscriptions, les préférences et les notes associées aux contacts par l'Organisation.
Sensibilité. Par le contexte communautaire, ces données peuvent révéler une appartenance ou une conviction religieuse. Elles appellent, à ce titre, les mesures renforcées prévues à l'article 3 et détaillées dans la politique de confidentialité.
3. Obligations de Leeva Inc.
Leeva Inc. s'engage envers l'Organisation à respecter les obligations suivantes.
Instructions documentées. Traiter les Données des Contacts uniquement sur instructions documentées de l'Organisation, y compris en matière de transferts, sauf obligation légale contraire, auquel cas Leeva Inc. en informe l'Organisation avant le traitement lorsque la loi le permet. Les conditions d'utilisation, le présent DPA et l'usage normal de la plateforme constituent de telles instructions. Leeva Inc. informe l'Organisation si elle estime qu'une instruction constitue une violation du droit applicable.
Confidentialité. Veiller à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et limiter l'accès aux données aux seules personnes qui en ont besoin pour la fourniture du service.
Sécurité. Mettre en œuvre les mesures techniques et organisationnelles appropriées, dans l'esprit de l'article 32 du RGPD, notamment le chiffrement des données en transit et au repos, le cloisonnement strict des données par organisation, le contrôle d'accès fondé sur les rôles et la journalisation des écritures.
Assistance aux droits des personnes. Assister l'Organisation, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, pour répondre aux demandes d'exercice des droits des personnes concernées, notamment les droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Lorsqu'une personne concernée adresse directement une demande à Leeva Inc., celle-ci la transmet à l'Organisation sans y répondre elle-même, sauf instruction contraire.
Assistance à la conformité. Assister l'Organisation, compte tenu des informations dont elle dispose, dans le respect de ses obligations de sécurité, de notification des violations, d'analyse d'impact relative à la protection des données et de consultation préalable de l'autorité de contrôle.
Notification des violations. Notifier à l'Organisation toute violation de Données des Contacts dans un délai de soixante-douze heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le volume approximatif des données et des personnes concernées, les conséquences probables et les mesures prises ou proposées pour y remédier. Il appartient à l'Organisation, en sa qualité de responsable de traitement, de notifier le cas échéant l'autorité de contrôle et les personnes concernées.
Fin du contrat. Supprimer ou restituer les Données des Contacts à la fin du contrat, au choix de l'Organisation, dans une fenêtre de quatre-vingt-dix jours, puis en effacer les copies existantes, sous réserve des obligations légales de conservation et des durées propres aux sauvegardes techniques.
4. Sous-traitants ultérieurs
L'Organisation autorise de manière générale Leeva Inc. à faire appel à des sous-traitants ultérieurs pour la fourniture du service. Les catégories de ces sous-traitants, leur finalité et leur localisation sont publiées dans la politique de confidentialité ; l'identité de chacun est communiquée à l'Organisation qui en fait la demande.
Leeva Inc. informe l'Organisation, par courriel, de tout ajout ou remplacement de sous-traitant ultérieur. L'Organisation dispose d'un délai de trente jours pour formuler une objection motivée. En cas d'objection qui ne peut être résolue de manière raisonnable, l'Organisation peut résilier son contrat sans pénalité, pour la seule partie du service concernée par le sous-traitant en cause.
Leeva Inc. impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données substantiellement équivalentes à celles du présent DPA. Leeva Inc. demeure responsable envers l'Organisation de l'exécution, par ces sous-traitants, de leurs obligations de protection des données.
5. Transferts
Pour tout transfert de données hors de l'Union européenne ou de l'Espace économique européen, les clauses contractuelles types adoptées par la Commission européenne sont incorporées au présent DPA par référence et s'appliquent de plein droit. Leeva Inc. met en œuvre les mesures complémentaires nécessaires à assurer un niveau de protection adéquat. Pour les données relevant du droit québécois et canadien, Leeva Inc. procède, avant tout transfert hors du Québec, à l'évaluation requise par la Loi 25 et s'assure d'une protection adéquate compte tenu de la sensibilité des données et des mesures en place.
6. Audits
Leeva Inc. démontre le respect de ses obligations en remettant à l'Organisation, sur demande raisonnable et au plus une fois par an sauf incident, la documentation et les rapports pertinents relatifs à ses mesures de sécurité et de conformité. L'Organisation traite ces documents de manière confidentielle. Le présent DPA ne prévoit pas d'audit sur site des installations de Leeva Inc., la sécurité et la continuité du service justifiant que la démonstration de conformité se fasse par la voie documentaire.
7. Responsabilité et hiérarchie
La responsabilité de Leeva Inc. au titre du présent DPA est soumise au plafond de responsabilité prévu par les conditions d'utilisation.
En cas de contradiction entre le présent DPA et les conditions d'utilisation sur une question relative à la protection des données personnelles, les stipulations du présent DPA prévalent. Pour toute autre question, les conditions d'utilisation s'appliquent. Le présent DPA est régi par le même droit et relève de la même compétence juridictionnelle que les conditions d'utilisation.