Avenant relatif au traitement des données

Ceci est une traduction de courtoisie fournie à titre purement pratique. En cas de divergence ou de conflit, la version anglaise fait foi et prévaut.

Le présent Avenant relatif au traitement des données (le « DPA ») fait partie intégrante et est incorporé aux Conditions d'utilisation ou à tout autre contrat écrit (le « Contrat ») conclu entre Encore Interactive Inc. (« Encore Interactive », le « Sous-traitant », « nous » ou « nos ») et le client identifié dans le Contrat (le « Client » ou le « Responsable du traitement »), et régit le traitement des Données à caractère personnel par Encore Interactive pour le compte du Client dans le cadre du service ChatOpsPro (le « Service »). En cas de conflit entre le présent DPA et le Contrat concernant le traitement des Données à caractère personnel, le présent DPA prévaut.

1. Définitions

Les termes en majuscules non définis dans les présentes ont le sens qui leur est donné dans le Contrat. « Données à caractère personnel », « Responsable du traitement », « Sous-traitant », « Sous-traitant ultérieur », « Personne concernée », « Traitement » et « Violation de données à caractère personnel » ont le sens qui leur est donné par le droit de la protection des données applicable. « Droit de la protection des données » désigne l'ensemble des lois applicables au traitement des Données à caractère personnel dans le cadre du Contrat, y compris la Loi canadienne sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et les lois provinciales applicables, le Règlement général sur la protection des données de l'UE 2016/679 (le « RGPD ») ainsi que les lois américaines applicables en matière de protection de la vie privée, y compris le California Consumer Privacy Act tel que modifié (« CCPA/CPRA »). Le UK GDPR n'est pas visé : comme l'indique la Section 12, le Service n'est pas offert aux personnes situées au Royaume-Uni et Encore Interactive ne s'engage pas à se conformer au UK GDPR. « Données à caractère personnel du Client » désigne les Données à caractère personnel qu'Encore Interactive traite pour le compte du Client dans le cadre du Contrat.

2. Rôles et portée du traitement

Entre les parties, le Client est le Responsable du traitement (ou, lorsque le Client est lui-même sous-traitant pour un autre responsable du traitement, le sous-traitant) et Encore Interactive est le Sous-traitant (ou sous-traitant ultérieur) des Données à caractère personnel du Client. Dans le cadre du CCPA/CPRA, Encore Interactive agit en tant que « prestataire de services » et ne vend ni ne partage les Données à caractère personnel du Client, et ne les conserve, n'utilise ni ne divulgue à des fins autres que l'exécution du Service. L'objet, la durée, la nature et la finalité du traitement, les types de Données à caractère personnel et les catégories de Personnes concernées sont décrits à l'Annexe I.

3. Traitement sur instructions documentées

Encore Interactive ne traite les Données à caractère personnel du Client que sur instructions documentées du Client, y compris celles énoncées dans le Contrat, le présent DPA, et la configuration et l'utilisation du Service par le Client, sauf si la loi l'exige (auquel cas, dans la mesure permise, nous informerons le Client de cette obligation légale). Le Client est responsable de l'exactitude et de la licéité de ses instructions, ainsi que de disposer d'une base légale pour soumettre des Données à caractère personnel du Client au Service et les faire traiter comme décrit ici. Le Client ne doit pas soumettre de données sensibles ou de catégorie particulière, sauf lorsque cela est expressément pris en charge par le Service et configuré par le Client.

4. Confidentialité

Encore Interactive veille à ce que le personnel autorisé à traiter les Données à caractère personnel du Client soit soumis à des obligations de confidentialité appropriées et informé de la nature confidentielle des données. L'accès est limité selon le principe du besoin d'en connaître.

5. Mesures de sécurité

Encore Interactive met en œuvre et maintient des mesures techniques et organisationnelles appropriées destinées à protéger les Données à caractère personnel du Client contre la destruction accidentelle ou illicite, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé, en tenant compte de l'état de l'art, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement. Les mesures actuelles sont décrites à l'Annexe II. Nous pouvons les mettre à jour à condition que le niveau de protection ne soit pas sensiblement réduit.

6. Sous-traitants ultérieurs

Le Client accorde une autorisation générale à Encore Interactive d'engager les Sous-traitants ultérieurs énumérés à l'Annexe III, Partie A, ainsi que d'engager des Sous-traitants ultérieurs supplémentaires pour exécuter le Service. Encore Interactive impose à chaque Sous-traitant ultérieur des obligations de protection des données substantiellement équivalentes à celles du présent DPA et demeure responsable de la performance de chaque Sous-traitant ultérieur. Nous mettrons à disposition la liste actuelle des Sous-traitants ultérieurs (y compris sur cette page) et notifierons l'ajout ou le remplacement d'un Sous-traitant ultérieur avant que celui-ci ne commence à traiter les Données à caractère personnel du Client, donnant au Client la possibilité de s'y opposer pour des motifs raisonnables liés à la protection des données. Si les parties ne parviennent pas à résoudre une objection raisonnable, le Client peut résilier le Service concerné comme unique recours.

Destinations choisies par le Client. Indépendamment de nos Sous-traitants ultérieurs, le Service peut transmettre des Données à caractère personnel du Client à des systèmes tiers que le Client connecte et autorise lui-même — par exemple son propre CRM, ses outils de marketing, de tableur, de calendrier, de prise de rendez-vous, de commerce électronique, de gestion des connaissances ou son point de terminaison webhook. Ces transferts sont effectués sur instruction du Client, et le fournisseur destinataire traite les données en vertu de la propre entente du Client avec ce fournisseur, et non à titre de Sous-traitant ultérieur d'Encore Interactive. L'Annexe III, Partie B énumère les intégrations disponibles à titre informatif pour le Client ; il appartient au Client de s'assurer de la licéité de toute intégration qu'il active. Il est précisé que nous appliquons la même pratique de préavis décrite ci-dessus lorsque nous ajoutons un fournisseur à l'une ou l'autre des Parties de l'Annexe III.

7. Transferts internationaux de données

Les Données à caractère personnel du Client sont hébergées au Canada (région AWS ca-central-1). Certains Sous-traitants ultérieurs peuvent traiter des Données à caractère personnel limitées en dehors du Canada, y compris aux États-Unis (voir l'Annexe III). Lorsque des Données à caractère personnel protégées par le RGPD sont transférées vers un pays n'ayant pas fait l'objet d'une décision d'adéquation, les parties s'appuient sur des garanties appropriées, y compris les clauses contractuelles types de la Commission européenne (CCT) (Module deux, responsable du traitement à sous-traitant, et Module trois, sous-traitant à sous-traitant, selon le cas), ainsi que des mesures supplémentaires lorsque requis. Le Canada bénéficie d'une décision d'adéquation partielle de l'UE pour les données soumises à la LPRPDE. En concluant le présent DPA, les parties sont réputées avoir signé les CCT lorsqu'elles s'appliquent, les rôles d'exportateur et d'importateur de données étant complétés conformément aux rôles définis à la Section 2, et les Annexes du présent DPA venant compléter les appendices correspondants des CCT. Le Client peut demander une copie du mécanisme de transfert exécuté.

8. Assistance au Responsable du traitement

Compte tenu de la nature du traitement, Encore Interactive aidera le Client, par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, à remplir ses obligations de répondre aux demandes des Personnes concernées exerçant leurs droits (accès, rectification, effacement, limitation, portabilité et opposition). Le Service fournit également des outils en libre-service (y compris l'exportation et la suppression des conversations et, lorsqu'il est activé, le caviardage automatique) que le Client peut utiliser pour répondre directement à ces demandes. Encore Interactive assistera en outre le Client, en tenant compte des informations dont nous disposons, en ce qui concerne les obligations de sécurité des données, les notifications de violations de données à caractère personnel, les analyses d'impact relatives à la protection des données et les consultations préalables des autorités de contrôle.

9. Violation de données à caractère personnel

Encore Interactive informera le Client sans délai injustifié après avoir pris connaissance d'une Violation de données à caractère personnel affectant les Données à caractère personnel du Client, et fournira au Client les informations raisonnablement disponibles pour l'aider à remplir ses propres obligations de notification des violations. Notre notification ne constitue pas une reconnaissance de faute ou de responsabilité.

10. Restitution et suppression des données

Les Données à caractère personnel du Client sont conservées conformément à la configuration du Client (y compris la période de conservation définie dans le tableau de bord) et au statut du compte du Client. À la résiliation ou à l'expiration du Service, et au choix du Client, Encore Interactive supprimera ou restituera les Données à caractère personnel du Client et supprimera les copies existantes, sauf si la conservation est requise par la loi. Les sauvegardes sont supprimées dans le cours normal de notre rotation des sauvegardes.

11. Audits et registres

Encore Interactive mettra à la disposition du Client les informations raisonnablement nécessaires pour démontrer la conformité au présent DPA et permettra et contribuera aux audits, y compris les inspections, menés par le Client ou un auditeur qu'il mandate. Les audits sont soumis à un préavis raisonnable, à des obligations de confidentialité et à des limites de fréquence, et ne doivent pas compromettre la sécurité des données des autres clients. Dans un premier temps, nous pouvons satisfaire à une demande d'audit en fournissant la documentation pertinente, des résumés de sécurité ou des rapports de tiers, lorsqu'ils sont disponibles.

12. Représentant UE et portée relative au Royaume-Uni

Royaume-Uni. Le Service n'est ni offert, ni commercialisé, ni destiné à des personnes ou à des entreprises situées au Royaume-Uni. Encore Interactive ne prétend pas se conformer au UK GDPR et n'a pas désigné de représentant au sens de l'article 27 du UK GDPR. En conséquence, le Client ne doit pas utiliser le Service pour traiter des Données à caractère personnel de personnes concernées situées au Royaume-Uni, ni déclarer à ses propres utilisateurs finaux que le Service est conforme au UK GDPR. Si le Client a besoin d'une couverture pour le Royaume-Uni, il doit communiquer avec nous avant de soumettre de telles Données à caractère personnel ; nous pouvons refuser, et toute non-conformité résultant d'une utilisation par le Client en violation de la présente Section relève de la responsabilité du Client.

13. Responsabilité et droit applicable

La responsabilité de chaque partie découlant du présent DPA ou s'y rapportant est soumise aux limitations et exclusions de responsabilité énoncées dans le Contrat. Le présent DPA est régi par les lois de la province du Nouveau-Brunswick et les lois fédérales du Canada qui y sont applicables, sauf que, lorsque les CCT s'appliquent, elles sont régies par le droit qui y est spécifié. Lorsqu'un tribunal ou une autorité de contrôle exige que les CCT soient régies par le droit d'un État membre de l'UE ou que les litiges soient résolus dans un for particulier, cette exigence prévaut pour les CCT uniquement.

Annexe I — Détails du traitement

Annexe II — Mesures techniques et organisationnelles

• Chiffrement en transit : TLS pour toutes les connexions externes, et connexions authentifiées et chiffrées en transit vers les services de données internes au sein de notre réseau privé.
• Chiffrement au repos : la base de données de production (y compris ses sauvegardes et instantanés automatisés), le compartiment de stockage d'objets contenant les fichiers téléversés et les volumes disque de chaque instance de serveur sont chiffrés au repos.
• Contrôle d'accès selon le principe du moindre privilège et du besoin d'en connaître ; isolation des données par locataire ; API authentifiées avec autorisation limitée au locataire ; sous-réseaux privés sans accès public à la base de données.
• Sécurité des comptes d'opérateur : authentification à deux facteurs (TOTP) et connexion par clé d'accès (WebAuthn) facultatives, que le Client peut rendre obligatoires dans l'ensemble de son espace de travail ; appariement par appareil pour l'application mobile destinée aux opérateurs.
• Minimisation facultative des données : caviardage automatique des identifiants avant le traitement par IA et/ou avant le stockage, configurable par locataire.
• Protections réseau : protections contre la falsification de requête côté serveur (SSRF) sur les récupérations/explorations sortantes, restriction aux destinations publiques, et restrictions de protocole.
• Contrôles anti-abus et d'intégrité : limitation du débit par adresse IP et par locataire, CAPTCHA à l'inscription, vérification de l'e-mail, vérification de la propriété du domaine, liste blanche des origines du widget, blocage d'adresses IP, et quotas d'utilisation par locataire.
• Contrôles de conservation : conservation configurable par locataire avec purge automatisée en fonction de l'ancienneté ; exportation et suppression des conversations en libre-service ; élagage automatique des fiches de navigation des visiteurs après 90 jours.
• Journalisation de diagnostic : un petit échantillon aléatoire de requêtes d'IA et de leurs réponses peut être consigné dans le service de journalisation de notre fournisseur infonuagique aux fins de diagnostic des anomalies et d'analyse de la complexité, conservé 30 jours puis supprimé automatiquement. Cette journalisation est désactivée par défaut et n'est jamais appliquée aux locataires ayant activé un profil de confidentialité de caviardage ou santé.
• Résilience : infrastructure infonuagique gérée avec sauvegardes chiffrées et alternées.
• Personnel : obligations de confidentialité et accès limité au personnel autorisé.

Annexe III — Sous-traitants ultérieurs et destinations autorisées par le Client

Partie A — Sous-traitants ultérieurs engagés par Encore Interactive

Les Sous-traitants ultérieurs suivants peuvent traiter les Données à caractère personnel du Client afin de fournir le Service, conformément à la Section 6. Les fournisseurs marqués « lorsqu'activé » ne traitent des données que pour les Clients qui connectent ce canal ou cette fonction. Certains tiers (par exemple les plateformes de messagerie et le prestataire de paiement) peuvent également agir en tant que responsables du traitement indépendants pour leurs propres finalités, selon leurs propres conditions.

Fournisseur d’IA propre à un espace de travail. Lorsque les parties ont convenu par écrit qu’un espace de travail du Client est servi par un autre fournisseur d’IA, ce fournisseur remplace OpenAI comme Sous-traitant ultérieur pour le contenu des conversations de cet espace, et son entité juridique ainsi que sa région de traitement sont enregistrées et mises à la disposition du Client. La pratique de préavis de la Section 6 s’applique. L’indexation et la recherche dans la base de connaissances ne passent à ce fournisseur qu’une fois la base reconstruite avec son modèle ; jusque-là, OpenAI continue de traiter le texte des questions des visiteurs à cette fin. L’assistant vocal n’est pas disponible pour un espace de travail exigeant que tout traitement ait lieu hors des États-Unis.

Partie B — Destinations connectées par le Client

Lorsque le Client active l'une des intégrations suivantes, le Service échange des Données à caractère personnel du Client avec celle-ci sur instruction du Client. Le compte et l'entente propres du Client avec ce fournisseur régissent le traitement effectué par ce dernier ; il n'agit pas à titre de Sous-traitant ultérieur d'Encore Interactive (voir la Section 6). Il appartient au Client de s'assurer de la licéité de chaque intégration qu'il active.