## Data Protection Legislation
The Company’s processing of personal data imposes regulatory risks and legal requirements relating to the collection, storage, handling and transfer of personal data continue to develop. The Company may become subject to new legislation or regulation concerning the personal data they may process (as defined in the GDPR), including the requirements of the GDPR. The GDPR had direct effect from 25 May 2018, and introduced a range of new compliance obligations regarding the processing of personal data and new obligations on data controllers and data processors and rights for data subjects, including, among others:
- accountability and transparency requirements, which will require data controllers to demonstrate and record compliance with the GDPR and to provide more detailed information to data subjects regarding processing;
- enhanced data consent requirements, which includes “explicit” consent in relation to the processing of sensitive data;
- obligations to consider data privacy as any new products or services are developed and limit the amount of information collected, processed, stored and its accessibility;
- constraints on using data to profile data subjects;
- providing data subjects with personal data in a useable format on request and erasing personal data in certain circumstances; and
- reporting of breaches without undue delay (72 hours where feasible).

Translation (ENFR, 2020-11-30):
## Loi sur la protection des données
Le traitement des données personnelles par la Société est assujetti à des risques réglementaires et des exigences juridiques sans cesse en évolution, qui se rapportent à la collecte, au stockage, au traitement et au transfert de telles données. La Société peut se voir imposer de nouvelles lois ou réglementations concernant les données personnelles qu’elle peut traiter (au sens du RGPD), y compris les exigences du RGPD. Le RGPD est entré en vigueur le 25 mai 2018 et prévoit une série de nouvelles obligations en matière de conformité à l’égard du traitement de données personnelles et impose de nouvelles obligations aux responsables du traitement et aux sous- traitants tout en conférant des droits aux personnes concernées, notamment :
- les exigences en matière de responsabilité et de transparence, qui obligeront les responsables du traitement à faire preuve de conformité avec le RGPD et à consigner cette conformité et à fournir des informations plus détaillées aux personnes concernées relativement au traitement ;
- les exigences renforcées en matière de consentement au traitement de données, qui comprennent le consentement « explicite » quant au traitement des données sensibles ;
- l’obligation de tenir compte de la confidentialité des données avec le développement de nouveaux produits ou services et de limiter la quantité d’informations recueillies, traitées et stockées de même que l’accès à celles-ci ;
- des contraintes liées à l’utilisation des données en vue de dresser le profil des personnes concernées ;
- la mise à disposition des personnes concernées des données personnelles dans un format utilisable sur demande et les effacer dans certaines circonstances ; et
- le signalement des violations sans retard injustifié (dans les 72 heures si possible).