Addendum sur le traitement des données

1. Définitions

Aux fins du présent DPA :

« Lois applicables sur la vie privée » désigne toutes les lois sur la protection des données et de la vie privée applicables au Traitement de Données personnelles, notamment : la Loi sur la protection des renseignements personnels et les documents électroniques (Canada) (« LPRPDE »); la Loi sur la protection des renseignements personnels dans le secteur privé (Québec) (« Loi 25 »); la Loi de 2004 sur la protection des renseignements personnels sur la santé (Ontario) (« LPRPS »); la Loi canadienne anti-pourriel (« LCAP »); la California Consumer Privacy Act / California Privacy Rights Act (« CCPA/CPRA »); le Règlement général sur la protection des données de l’UE et du Royaume-Uni (« RGPD »); et la Telephone Consumer Protection Act des États-Unis (« TCPA »).

« Responsable du traitement », « Sous-traitant », « Personne concernée », « Données personnelles », « Traitement » et les autres termes de protection des données qui prennent une majuscule ont le sens que leur donne le RGPD et un sens équivalent en vertu de la LPRPDE, de la Loi 25 et du CCPA.

« Consommateur final » désigne une Personne concernée dont les Données personnelles sont traitées par FluxFront pour le compte du Locataire, généralement un client du Locataire.

« Sous-traitant ultérieur » désigne tout tiers engagé par FluxFront pour traiter des Données personnelles pour le compte du Locataire.

« Atteinte à la protection des données personnelles » désigne une atteinte à la sécurité entraînant la destruction, la perte ou l’altération accidentelle ou illicite de Données personnelles, ou leur divulgation ou l’accès non autorisé à celles-ci.

« Clauses contractuelles types » ou « CCT » désigne les clauses contractuelles types adoptées par la Commission européenne dans la décision d’exécution (UE) 2021/914 du 4 juin 2021 (Module deux : de responsable du traitement à sous-traitant), telles que modifiées.

2. Objet, durée, nature et finalité

• Objet et durée du Traitement : la durée de l’Entente, et toute période subséquente pendant laquelle FluxFront conserve des Données personnelles visées par le présent DPA.
• Nature du Traitement : telle que décrite à l’Annexe A (Description du traitement).
• Finalité du Traitement : fournir les Services, y compris les communications vocales et par texto automatisées par l’IA, la planification, la gestion de la relation client, la facilitation des paiements et les rapports d’intégration publicitaire.
• Catégories de Personnes concernées : les Consommateurs finaux (les clients du Locataire).
• Catégories de Données personnelles : telles que décrites à l’Annexe A.

3. Rôles des parties

Les parties reconnaissent et conviennent de ce qui suit :

• Le Locataire est le Responsable du traitement des Données personnelles des Consommateurs finaux.
• FluxFront est le Sous-traitant des Données personnelles des Consommateurs finaux.
• Pour les Données personnelles du propre personnel du Locataire ou des titulaires de comptes (p. ex. les employés du Locataire qui se connectent au portail FluxFront), FluxFront et le Locataire peuvent chacun agir à titre de Responsable du traitement pour leur Traitement respectif.

FluxFront traitera les Données personnelles uniquement selon les instructions documentées du Responsable du traitement, telles qu’exprimées par a) l’Entente et le présent DPA, b) la configuration et l’utilisation des Services par le Responsable du traitement, et c) toute autre instruction écrite remise à FluxFront par un représentant autorisé du Responsable du traitement.

Si les Lois applicables sur la vie privée exigent que FluxFront traite des Données personnelles autrement que selon les instructions du Responsable du traitement, FluxFront en informera le Responsable du traitement avant le Traitement, à moins que cette loi n’interdise cette information pour des motifs importants d’intérêt public.

4. Obligations du Responsable du traitement

Le Responsable du traitement déclare et garantit :

• qu’il a établi un fondement licite (y compris le consentement lorsque requis) pour la collecte, l’utilisation et le Traitement de toutes les Données personnelles soumises aux Services;
• qu’il a obtenu tous les consentements nécessaires des Personnes concernées, y compris (sans s’y limiter) le consentement écrit exprès pour les textos de marketing lorsque la TCPA l’exige, le consentement exprès (adhésion) en vertu de la LCAP pour les messages électroniques commerciaux, le consentement des deux parties pour l’enregistrement vocal lorsque la loi du territoire l’exige, et des avis conformes à la BIPA, le cas échéant;
• que, lorsque les Données personnelles comprennent des renseignements personnels sur la santé régis par la LPRPS, par les dispositions de la Loi 25 du Québec sur les renseignements de santé ou par une loi équivalente, le Responsable du traitement a déterminé de façon indépendante que les Services répondent à ses obligations réglementaires et a signé tout Addendum sur les fournisseurs de services électroniques requis ou son équivalent;
• que ses instructions à FluxFront sont légales et conformes aux Lois applicables sur la vie privée.

5. Obligations de FluxFront

5.1 Confidentialité

FluxFront veillera à ce que tout le personnel autorisé à traiter des Données personnelles soit lié par des obligations de confidentialité appropriées.

5.2 Mesures de sécurité

FluxFront mettra en œuvre et maintiendra des mesures techniques et organisationnelles appropriées pour protéger les Données personnelles, comme détaillé à l’Annexe B. Ces mesures comprennent le chiffrement en transit, les contrôles d’accès, des identifiants protégés, la séparation des données de chaque Locataire et la diligence raisonnable à l’égard des Sous-traitants ultérieurs.

5.3 Aide pour les demandes des Personnes concernées

FluxFront fournira une aide technique raisonnable pour permettre au Responsable du traitement de répondre aux demandes des Personnes concernées qui exercent leurs droits en vertu des Lois applicables sur la vie privée (y compris l’accès, la rectification, l’effacement, la portabilité et l’opposition). Lorsque FluxFront reçoit directement une demande d’une Personne concernée, elle la transmettra rapidement au Responsable du traitement et ne répondra pas directement, sauf pour accuser réception et orienter la Personne concernée vers le Responsable du traitement, à moins d’y être autorisée par écrit.

5.4 Aide pour les évaluations d’impact sur la protection des données

FluxFront fournira une aide raisonnable au Responsable du traitement pour réaliser des évaluations d’impact sur la protection des données et consulter les organismes de réglementation lorsque les Lois applicables sur la vie privée l’exigent.

5.5 Registres de traitement

FluxFront tient des registres de ses activités de Traitement comme l’exigent les Lois applicables sur la vie privée et les mettra à la disposition du Responsable du traitement sur demande raisonnable.

6. Atteintes à la protection des données personnelles

FluxFront avisera le Responsable du traitement de toute Atteinte à la protection des données personnelles confirmée touchant les données des Consommateurs finaux du Responsable du traitement, sans retard injustifié et, en tout état de cause, dans les 72 heures suivant la prise de connaissance de l’atteinte. L’avis comprendra, dans la mesure connue :

• la nature de l’atteinte, y compris les catégories et le nombre approximatif de Personnes concernées et de dossiers visés;
• les conséquences probables de l’atteinte;
• les mesures prises ou proposées pour remédier à l’atteinte et en atténuer les effets négatifs possibles;
• un point de contact pour obtenir plus d’information.

FluxFront fournira au Responsable du traitement l’information suffisante pour lui permettre de remplir ses propres obligations de notification d’atteinte en vertu des Lois applicables sur la vie privée (y compris l’évaluation du risque réel de préjudice grave de la LPRPDE, les exigences de déclaration de la Loi 25 du Québec et les articles 33 et 34 du RGPD).

7. Sous-traitants ultérieurs

7.1 Autorisation générale

Le Responsable du traitement accorde à FluxFront une autorisation générale de recourir à des Sous-traitants ultérieurs pour traiter des Données personnelles, sous réserve des conditions de la présente section 7.

7.2 Sous-traitants ultérieurs actuels

Les catégories de Sous-traitants ultérieurs engagés par FluxFront et les fonctions qu’ils exercent sont décrites à l’Annexe C. FluxFront fournira, sur demande écrite raisonnable du Responsable du traitement, des précisions suffisantes pour lui permettre d’évaluer ses propres obligations de conformité.

7.3 Avis et opposition

FluxFront avisera le Responsable du traitement par courriel au moins 30 jours avant d’engager un nouveau Sous-traitant ultérieur ou d’en remplacer un de façon à modifier sensiblement les catégories de l’Annexe C. Le Responsable du traitement peut s’opposer à un nouveau Sous-traitant ultérieur pour des motifs raisonnables de protection des données dans les 30 jours suivant l’avis. Si les parties ne peuvent s’entendre sur une solution, le Responsable du traitement peut résilier l’Entente et le présent DPA à l’égard des Services qui ne peuvent être fournis sans le nouveau Sous-traitant ultérieur.

7.4 Obligations des Sous-traitants ultérieurs

FluxFront conclura avec chaque Sous-traitant ultérieur une entente écrite qui impose des obligations de protection des données au moins aussi protectrices que celles du présent DPA. FluxFront demeure responsable envers le Responsable du traitement des actes et omissions de ses Sous-traitants ultérieurs.

8. Transferts internationaux de données

Lorsque des Données personnelles sont transférées depuis un territoire qui restreint les transferts transfrontaliers (y compris l’EEE, le Royaume-Uni et le Québec) vers un territoire non visé par une décision d’adéquation (y compris les États-Unis) :

• Les parties s’appuieront sur les Clauses contractuelles types (Module deux : de responsable du traitement à sous-traitant), qui sont incorporées au présent DPA par renvoi. Lorsque des exemplaires signés des CCT sont requis, les parties les signeront en annexe distincte.
• Pour les Données personnelles du Québec transférées à des Sous-traitants ultérieurs à l’extérieur du Canada, FluxFront a réalisé des évaluations d’impact des transferts qui documentent les mesures de protection contractuelles et techniques en place. Ces évaluations sont à la disposition du Responsable du traitement sur demande.
• Pour les données visées par la LPRPDE, FluxFront assure une protection comparable au moyen d’ententes contractuelles avec les Sous-traitants ultérieurs.

9. Vérifications et conformité

Le Responsable du traitement peut, à ses frais et moyennant un préavis raisonnable (d’au moins 30 jours), vérifier la conformité de FluxFront au présent DPA. Les vérifications se dérouleront pendant les heures d’ouverture, d’une manière qui ne nuit pas de façon déraisonnable aux activités de FluxFront, et sous réserve d’obligations de confidentialité raisonnables.

À la place d’une vérification sur place, FluxFront peut remplir cette obligation en fournissant au Responsable du traitement : a) une attestation ou certification de conformité à jour (comme SOC 2 ou ISO 27001) lorsqu’elle est disponible; ou b) des réponses à un questionnaire de sécurité raisonnable.

10. Suppression ou restitution des données personnelles

À la résiliation de l’Entente, FluxFront, au choix du Responsable du traitement, supprimera ou lui restituera toutes les Données personnelles et supprimera les copies existantes, sous réserve :

• d’un délai de grâce raisonnable d’au plus 30 jours pour l’exportation;
• de la conservation des sauvegardes décrite dans la politique de confidentialité;
• des obligations légales de conservation (comme les dossiers financiers exigés par l’ARC).

11. Responsabilité

La responsabilité de chaque partie en vertu du présent DPA est régie par les limitations et exclusions prévues dans l’Entente, sauf lorsque les Lois applicables sur la vie privée interdisent de telles limitations.

12. Conflits et ordre de préséance

En cas de conflit entre le présent DPA, les Clauses contractuelles types et l’Entente, l’ordre de préséance est le suivant :

1. Les Clauses contractuelles types (le cas échéant).
2. Le présent DPA.
3. L’Entente.

13. Durée et résiliation

Le présent DPA entre en vigueur à la même date que l’Entente et demeure en vigueur pendant la durée de l’Entente et pendant toute période subséquente où FluxFront conserve des Données personnelles visées par le présent DPA.

14. Dispositions générales

• Modifications. Le présent DPA ne peut être modifié que par une entente écrite des parties ou par un avis de mise à jour de FluxFront donné au moins 30 jours à l’avance pour les changements importants.
• Droit applicable. Le présent DPA est régi par les lois de la province de l’Ontario et les lois fédérales du Canada applicables en Ontario.
• Entrepreneurs indépendants. Les parties sont des entrepreneurs indépendants. Rien dans le présent DPA ne crée de société de personnes, de coentreprise, de mandat ou de relation d’emploi.

15. Contact

Annexe A : description du traitement

Objet : fourniture de la plateforme FluxFront.

Durée : durée de l’Entente, plus les périodes de conservation précisées dans la politique de confidentialité.

Nature et finalité : communications vocales, par texto et par clavardage automatisées par l’IA; planification des rendez-vous; gestion de la relation client; facilitation des paiements par le processeur de paiement du Locataire; et intégration aux services de calendrier, d’avis et de comptabilité que le Locataire connecte.

Catégories de Personnes concernées : Consommateurs finaux (les clients du Locataire); utilisateurs du personnel du Locataire.

Catégories de Données personnelles : noms; numéros de téléphone; adresses courriel; transcriptions d’appels vocaux et résumés de l’IA; journaux de conversations par texto; journaux de clavardage; métadonnées de rendez-vous; métadonnées de paiement (marque de la carte et quatre derniers chiffres seulement); notes de clients (texte libre); documents téléversés par les clients; (le cas échéant) notes liées à la santé; (le cas échéant) numéros d’identification de véhicule (NIV).

Annexe B : mesures techniques et organisationnelles

Conformément à l’article 32 du RGPD et au principe des mesures de sécurité de la LPRPDE, FluxFront met en œuvre :

Chiffrement

• Chiffrement des données en transit.
• Mots de passe et sessions de connexion conservés sous une forme protégée, jamais en clair.

Contrôle d’accès

• Accès fondé sur les rôles, avec des niveaux de permission échelonnés.
• Les données de chaque Locataire sont tenues séparées de celles de tous les autres Locataires.
• Protection contre les requêtes falsifiées.

Sécurité opérationnelle

• Protection contre les tentatives de connexion répétées.
• Journalisation des événements de connexion et d’accès.
• Diligence raisonnable à l’égard des Sous-traitants ultérieurs et engagements contractuels de sécurité.
• Cycle de développement sécurisé, y compris la revue de code.

Protection des données

• Les données de carte ne sont jamais conservées dans les systèmes de FluxFront (elles sont traitées exclusivement par notre processeur de paiement).
• Les périodes de conservation sont appliquées selon le calendrier de la politique de confidentialité.

Intervention en cas d’incident

• Engagement d’aviser dans les 72 heures d’une Atteinte à la protection des données personnelles.
• Procédures documentées d’intervention en cas d’atteinte.

Annexe C : catégories de sous-traitants ultérieurs

FluxFront recourt à des fournisseurs de services tiers (les « Sous-traitants ultérieurs ») pour fournir les Services. Chaque Sous-traitant ultérieur est lié par une entente écrite qui comprend des obligations de protection des données conformes au présent DPA et à la politique de confidentialité. Les Sous-traitants ultérieurs se répartissent dans les catégories fonctionnelles suivantes. La liste actuelle des Sous-traitants ultérieurs nommés est à la disposition du Responsable du traitement sur demande à [email protected].

Annexe D : addenda propres au Locataire (le cas échéant)

Lorsque le Locataire exerce ses activités dans un secteur réglementé (comme les soins de santé en vertu de la LPRPS, ou les télécommunications en vertu de cadres propres à un territoire comme la TCPA et la LCAP), les parties peuvent signer des addenda additionnels qui complètent le présent DPA par des obligations propres au secteur. Ces addenda sont intégrés au présent DPA dès leur signature.

Bloc de signatures