Startup legal playbook
Speakers
Torys’ Emerging Companies and VC Group
Watch this if: you want to know key steps to protect your customers’ information
You might also like: Data governance strategies for founders
Go deeper: Operating your startup
Video
Tyler Cassack (00:05): Protecting customer privacy is a key element to a successful startup, regardless of the industry that you operate in. Failure to ensure your customers data is safe can have significant legal, financial and reputational consequences. I'm Tyler Cassack, and I'm here with Molly Reynolds to discuss key questions your startup should ask itself about protecting customer information, and the questions you should be ready to answer from customers and regulators.
Tyler Cassack (00:30): So, Molly, what should founders be focusing on when they're thinking about protecting their customer data?
Molly Reynolds (00:35): The first thing at its most basic is ask yourself what type of customer data do you handle? If your customers are individual consumers, you probably have their personal information. So you should check if it's basic data like an email address or name, or more sensitive information like financial or payment data, copies of IDs or health details. If your customers are businesses, you've probably got basic contact information about their representatives.
But you also need to check if you have more sensitive, confidential commercial information like trade secrets, business financials, or even data about your customer’s employees. Now, once you have that type of data mapped, then we can determine what data protection laws apply to that information. So for customer personal information, you need to look at where individuals themselves are located and where your company is located.
In Canada, you're likely subject to the federal privacy law known as PIPEDA and if you're a startup or your customers are based in British Columbia, Alberta or Québec, then you might also be subject to additional provincial privacy laws. All of those laws impose certain obligations on your startup, such as you need to have a privacy policy that describes how you use and share personal information.
Your customers need to consent to that policy. You need to apply security safeguards that are appropriate to the sensitivity of the data. And here, it's important to keep in mind that those security safeguards aren't scaled down based on the size of your company. Now, if you have business customer information, those customers might pass on confidentiality obligations and contracts or ask you to comply with laws that they themselves are subject to.
For example, financial institutions might ask you to comply with banking laws. Medical clinics might expect you to comply with provincial health care laws. And if you have customers globally, you also need to think about what other countries’ laws might apply. And it's impossible to comply with every country's privacy law. So what you might do is identify a high standard like the European GDPR and decide to apply that to all of your data handling globally.
Now lastly, you need to map out which of your vendors are handling customers’ data and how they're handling it. Ask yourself if the contracts you have with vendors contain data protection terms that allow you to meet legal requirements. Do they spell out the ways that the vendors can use your customer data for their own purposes like analytics? Do you know what countries the vendors process your customer data in?
Tyler Cassack (03:13): And if that wasn't enough, you also need to be prepared for common customer questions about how to handle their information and also have answers or even written summaries ready to give them that type of comfort. You're going to get questions from business customers about data protection. And companies are often going to ask you to explain what laws you comply with and what industry standards you align to, such as the ISO 27000-series, or the NIST Privacy Framework.
You can expect to be asked to describe your security framework, including whether data is encrypted in transit and at rest, what type of threat detection and cyber monitoring tools you use, whether you use multi-factor authentication on email, and customers will also expect to be notified about any actual or potential data breaches. You'll also likely be asked what type of security and cybersecurity insurance you have and what the coverage limit is.
When your customers are individuals expect them to ask for copies of their personal information, whether you've sent their data to third parties or not, and to remove them from marketing lists. You may also be asked to stop sending customers’ data to third parties or posting it publicly, for example, in instances where you have an online forum for customers.
Molly, we've gone through the questions that founders should ask themselves and those they can expect from customers. But what about data protection questions that they should be prepared to answer from regulators?
Molly Reynolds (04:31): So, in the privacy context, customers could make complaints to a federal or a provincial privacy regulator who can then start an investigation. But those regulators can also initiate their own investigations. For example, if they see media stories about an app that raises privacy concerns or about a data breach. Now a privacy commissioner might reach out to the company and ask for more information, as well as who your designated privacy officer is, so which employee is responsible for privacy compliance in the company?
They might also ask for copies of your privacy policy, your internal procedures, for proof that you obtained consent from customers for how to handle their information, or for details of the third parties who have access to your customer data. You'll want to have this type of information documented so that you can show the regulator you have a privacy management program in place. Even if your company is relatively small.
Tyler Cassack (05:29): And if you have a data breach, the regulators may ask for details of what happened, what type of information was affected, how many individuals are impacted, and what you've done to protect these people and prevent a breach from happening again in the future.
Safeguarding your customers' data is a crucial part of building a successful startup, with major legal and reputational implications.
In this video, Molly Reynolds and Tyler Cassack discuss key steps every startup should take when assessing how best to protect their customers’ information, including:
- considerations for individual vs. business customers
- data protection laws
- common questions customers have
Le mois dernier, le Canada a publié sa première Stratégie industrielle de défense (la Stratégie), qui souligne l’engagement du Canada à développer une base industrielle de défense solide et à stimuler la croissance économique. Ces efforts pourraient aussi comprendre le renforcement de l’état de préparation à la biodéfense et aux contre-mesures médicales, ce qui pourrait constituer des débouchés pour le secteur canadien des sciences de la vie en raison de l’importance accordée aux capacités nationales en ce sens et de la nécessité d’atténuer les risques d’urgences sanitaires.
Développement de contre-mesures médicales au Canada
Comme indiqué dans les bulletins précédents, le quatrième pilier de la Stratégie est axé sur la « sécurisation des chaînes d’approvisionnement pour les intrants et les biens clés » par le renforcement de la production nationale et le stockage de ressources. L’accent est mis tout particulièrement sur les contre-mesures médicales, en précisant que nos « alliés ont établi un lien explicite entre l’état de préparation à la biodéfense et aux contre-mesures médicales et leur sécurité économique et nationale, en élaborant de nouvelles stratégies et de nouveaux mécanismes pour faire progresser ces travaux ». Les contre-mesures médicales désignent divers produits réglementés pouvant être utilisés pour protéger la population lors d’une situation d’urgence de grande ampleur, comme l’éclosion d’une maladie ou une attaque impliquant des armes chimiques, biologiques ou nucléaires. Il peut s’agir de vaccins, de médicaments thérapeutiques et produits biologiques, de dispositifs de tests diagnostiques, des équipements de protection individuelle ou industrielle, et d’autres dispositifs médicaux. Les contre-mesures médicales sont essentielles à la réduction et à l’atténuation des dommages lors d’une urgence de santé publique.
Exploiter les voies réglementaires mises en place lors de la pandémie de COVID-19
Pendant et après la pandémie de COVID-19, le Canada a mis en place plusieurs nouvelles voies réglementaires comme mécanismes d’accélération des approbations de produits médicaux, ce qui pourrait offrir au gouvernement des options pour déployer des contre-mesures médicales afin de faire face aux risques pour la santé publique. Au début de la pandémie, Santé Canada a émis diverses ordonnances provisoires pour permettre l’importation et la vente de médicaments et de dispositifs médicaux qui n’avaient pas eu l’approbation des voies réglementaires traditionnelles. Or, Santé Canada a plutôt fait confiance aux voies d’approbation réglementaire et de l’exemption de certaines exigences en homologation de produits des pays impliqués dans la transaction. Beaucoup de ces règles provisoires ont depuis été officiellement intégrées à la réglementation en vertu de la Loi sur les aliments et drogues et ont été appliquées bien après la COVID-19. Conformément au Règlement sur les aliments et drogues, Santé Canada tient à jour la Liste des maladies qui menacent la santé publique et utilisera une procédure d’autorisation modifiée pour les médicaments d’urgence de santé publique pouvant traiter les affections figurant sur la liste. De même, le Règlement sur les instruments médicaux a établi une liste d’instruments médicaux répondant à un besoin urgent de santé publique, ce qui permet à Santé Canada d’autoriser la commercialisation de ces instruments de manière accélérée. Ces outils réglementaires sont utilisés automatiquement quand une situation médicale présente un grand risque pour la santé publique au Canada et nécessite une action immédiate pour contrer ce risque.
Le rôle de la Stratégie dans le renforcement du régime réglementaire de la santé au Canada
La stratégie prévoit que le Canada adoptera une approche proactive en matière de planification en amont des crises sanitaires. Le gouvernement entend s’assurer que les produits médicaux sont déjà disponibles au Canada afin qu’ils puissent être distribués rapidement en cas d’urgence. D’autres modifications récentes au Règlement sur les aliments et drogues permettent de prépositionner au Canada tous les médicaments d’urgence en santé publique, ce qui signifie qu’ils peuvent être importés dans des installations d’entreposage canadiennes avant que leur mise sur le marché n’ait été autorisée. La Stratégie s’appuie sur ces fondements, en faisant référence à l’organisme existant Préparation aux crises sanitaires Canada (PCSC), un organisme opérationnel spécial au sein d’Innovation, Sciences et Développement économique Canada (ISDE), et à un nouveau Fonds des sciences de la vie, lesquels « collaborent avec des partenaires internationaux et de soutenir l’élaboration et la production de contre-mesures médicales ». PCSC supervise la Stratégie en matière de biofabrication et de sciences de la vie du Canada, qui vise à développer un secteur national des sciences de la vie fort et compétitif doté de capacités de biofabrication de pointe, en mettant l’accent sur la capacité à se préparer et à faire face aux futures priorités et crises sanitaires. Dans cette optique, il y aura des occasions pour les fabricants de nouer des collaborations de recherche et des accords commerciaux ou d’approvisionnement liés aux contre-mesures médicales financées par des programmes fédéraux.
Étroitement lié aux capacités nationales, le pilier III de la stratégie implique « Investissement ciblé pour renforcer un secteur canadien de la défense novateur », avec la promesse que le gouvernement fédéral « soutiendr[a] la recherche et le développement, protéger[a] la propriété intellectuelle, soutiendr[a] les petites et moyennes entreprises, investir[a] dans les compétences et la formation, et encourager[a] les exportations afin de créer un secteur de la défense agile et concurrentiel à l’échelle mondiale ». La nécessité de favoriser le développement de la propriété intellectuelle (PI) et la conservation des droits du Canada est mentionnée à plusieurs reprises dans la Stratégie. Par exemple, la Stratégie prévoit l’établissement de partenariats officiels avec l’industrie canadienne qui « [assureront] la propriété et le contrôle nationaux de la propriété intellectuelle (PI) et des capacités essentielles. » La Stratégie reconnaît l’immense talent des établissements canadiens et la précieuse recherche qui y est menée actuellement et qui est déjà financée par des subventions de recherche d’organismes tels que le Conseil de recherches en sciences naturelles et en génie et les Instituts de recherche en santé du Canada, et fait aussi référence à l’engagement de 1,6 milliard de dollars pour de nouveaux fonds de recherche dans le budget de 2025. Cette prise de conscience de la nécessité de promouvoir et de soutenir l’innovation au Canada laisse présager des possibilités de financement, notamment dans les domaines où le Canada accuse un retard en matière de production nationale et où des engagements d’investissement et de fabrication au Canada peuvent être pris.
Prochaines étapes
Dans les prochains mois, nous prévoyons que le gouvernement du Canada publiera d’autres directives et des mesures de suivi. L’équipe de défense des conservateurs poursuivra sa couverture de perspectives sur la défense au Canada en publiant une analyse supplémentaire pour donner des précisions sur l’incidence de la Stratégie sur de multiples secteurs.
Get to know our ECVC practice
We work closely with players across the startup ecosystem to advise founders on formation, scaling and exits, as well as connect investors to high-growth opportunities.
Learn the ins and outs of the commonly used terms in the startup and VC ecosystem.