Que signifie la résidence des données au Canada pour un système de formation?

Quelles données la résidence couvre-t-elle habituellement?

Les données que le système conserve, plutôt que celles qu’il transmet. Pour une plateforme de formation, cela vise les dossiers de complétion, l’historique des inscriptions, le contenu et les paquets SCORM téléversés, les résultats d’évaluation, les attestations émises, et l’annuaire des apprenants.

Les sauvegardes et les copies de reprise font partie de la même question. On les oublie facilement. Un fournisseur peut garder les données primaires dans un pays et répliquer les sauvegardes ailleurs. Demandez où vivent les sauvegardes, pas seulement la base de données.

La résidence des données équivaut-elle à la souveraineté?

Non. La résidence des données est un énoncé sur le lieu physique où les données sont au repos. La souveraineté des données est la question de savoir quel système juridique peut atteindre les données. Cela dépend du lieu de constitution de l’exploitant et de sa société mère, pas seulement du lieu du disque.

Le tableau qui suit compare les deux notions.

Le droit américain montre pourquoi les deux diffèrent. En vertu du 18 U.S.C. 2713, ajouté par la CLOUD Act en 2018, un fournisseur soumis à cette loi doit communiquer les données qu’il a en sa possession, sous sa garde ou sous son contrôle, qu’elles se trouvent aux États-Unis ou ailleurs. Le livre blanc du gouvernement du Canada sur le nuage public trace la même ligne. Selon lui, le Canada, lorsqu’il stocke des données dans le nuage, ne peut pas assurer la pleine souveraineté de ses données.

Une région infonuagique au Canada exploitée par une société constituée ailleurs vous donne la résidence. Savoir si elle vous donne la souveraineté est une question juridique. Elle dépend de votre secteur et de votre tolérance au risque. Cette page n’y répond pas.

Qu’est-ce qui sort de la région malgré une garantie de résidence?

Trois flux traversent souvent une frontière, même quand l’affirmation de base est honnête.

1. Le courriel transactionnel. Les avis et les rappels passent par un fournisseur de courriel. Le message et l’adresse voyagent avec.
2. L’accès du soutien technique. Une personne du soutien située ailleurs qui consulte un dossier constitue un transfert, même sans copie.
3. La télémétrie et les rapports d’erreur. Les traces d’incident vont souvent vers un service hébergé ailleurs et peuvent contenir des identifiants.

Aucun de ces flux ne rend l’affirmation fausse. Ils la rendent partielle. Un fournisseur qui les nomme décrit son système. Un fournisseur sans aucune exception n’a généralement pas cherché.

Comment vérifier une affirmation de résidence?

Demandez trois choses par écrit. Considérez le reste comme du marketing.

1. La région infonuagique nommée, pas le pays. « Hébergé au Canada » n’est pas vérifiable. « AWS ca-central-1 » l’est.
2. La liste à jour des sous-traitants, avec le rôle et le lieu de chacun.
3. Les exceptions, c’est-à-dire tout flux qui quitte la région déclarée, avec le motif.

Vérifiez ensuite que la liste est datée et que quelqu’un l’entretient. Une page de sous-traitants inchangée depuis trois ans vous renseigne sur le processus du fournisseur, pas sur ses sous-traitants.

Comment EmbayLMS gère-t-il cela?

EmbayLMS conserve les données d’apprentissage au repos dans AWS ca-central-1, la région publiée par Amazon comme Canada Central, à Montréal. Cela vise les dossiers, le contenu des cours, les évaluations, les attestations et l’annuaire.

Les exceptions connues touchent le traitement, non le stockage. Le courriel transactionnel est acheminé depuis les États-Unis, et la couche de tâches en arrière-plan fonctionne sur une plateforme hébergée aux États-Unis. Chacune est déclarée plutôt qu’enfouie. La liste à jour des tiers qui traitent les données des clients est publiée, avec le rôle et le lieu de chacun.

Cette page explique des notions générales et décrit la configuration d’un produit. Elle ne constitue pas un avis juridique. Consultez un conseiller juridique au sujet de vos propres obligations avant de vous y fier.