Addenda sur le traitement des données

2.Définitions

« Renseignements personnels du client »

Les renseignements personnels figurant dans les Données du client que nous traitons pour votre compte, comme les renseignements concernant vos appelants, vos contacts, les destinataires de vos communications sortantes et les personnes qui clavardent avec vous ou vous écrivent par courriel. Ils ne comprennent pas les renseignements que nous traitons à nos propres fins, comme les renseignements relatifs à votre compte et à votre facturation, qui relèvent de notre Politique de confidentialité.

« Traitement »

Toute opération effectuée sur des renseignements personnels, notamment leur collecte, leur enregistrement, leur transcription, leur stockage, leur utilisation, leur transmission, leur communication et leur suppression.

« Incident de sécurité »

Une atteinte aux mesures de sécurité qui entraîne l’accès non autorisé à des Renseignements personnels du client que nous détenons, ou leur perte, leur vol, leur communication ou leur altération (au Québec, un « incident de confidentialité »).

3.Rôles

Vous avez le contrôle des Renseignements personnels du client et décidez pourquoi et comment ils sont traités; vous êtes l’organisation qui en est responsable en vertu des Lois sur la protection des renseignements personnels. Nous sommes votre fournisseur de services (parfois appelé sous-traitant) et ne les traitons que pour vous, conformément à la Convention. Lorsque la loi québécoise exige une entente écrite avec la personne à qui des renseignements personnels sont confiés pour l’exercice d’un mandat ou l’exécution d’un contrat de service, le présent Addenda constitue, avec les Conditions, cette entente. Pour les renseignements que nous traitons à nos propres fins, nous sommes responsables de la manière décrite dans notre Politique de confidentialité.

4.Traitement selon vos instructions

Nous ne traitons les Renseignements personnels du client que :

• pour vous fournir le Service, le maintenir, le sécuriser et en assurer le soutien;
• selon vos instructions documentées, soit la Convention, votre configuration et votre utilisation du Service (vos paramètres, demandes, campagnes et intégrations connectées) et toute autre instruction écrite dont nous convenons avec vous; et
• lorsque la loi l’exige, auquel cas nous vous en informons au préalable, à moins que la loi ne l’interdise.

Nous vous aviserons si, à notre avis, une instruction contrevient à la loi, mais nous ne sommes pas tenus de vérifier la conformité de vos instructions à la loi. Nous ne vendons pas les Renseignements personnels du client, et nous ne les utilisons pas à des fins publicitaires ni à nos propres fins, sauf dans la mesure permise par la Convention (Données de service, données dépersonnalisées et agrégées, et sécurité et prévention de la fraude et des abus).

5.Précisions sur le traitement

• Objet : le Service, soit la réponse par IA aux appels et aux messages, la prise de rendez-vous, les textos, le courriel et (pour une entreprise dont l’expéditeur WhatsApp est approuvé) WhatsApp, les communications sortantes par IA, et le tableau de bord.
• Durée : pendant que la Convention est en vigueur, puis jusqu’à la suppression des renseignements, comme le décrit la section Restitution et suppression.
• Nature et finalité : recevoir, enregistrer, transcrire et résumer les appels; comprendre et répondre au moyen de l’IA; prendre des rendez-vous; envoyer des textos, des messages WhatsApp et des courriels; mener des campagnes de communications sortantes; conserver, afficher et exporter les dossiers; et les supprimer.
• Personnes concernées : vos appelants, clients, patients, prospects, électeurs, sympathisants et destinataires de communications sortantes, les personnes qui utilisent le clavardage de votre site Web ou qui écrivent à votre adresse courriel de réception, et les membres de votre personnel nommés dans les dossiers.
• Renseignements : noms; numéros de téléphone, y compris le numéro à partir duquel un appel a été renvoyé; adresses courriel; adresses que les personnes fournissent; enregistrements vocaux; transcriptions et résumés produits par l’IA; textos, clavardages et courriels; détails des rendez-vous; motifs des appels et notes; langue; registres de consentement et de désabonnement; heures, durées et coûts des appels; et tout autre élément que les personnes choisissent de dire ou d’écrire.
• Renseignements sensibles : non prévus. Vous ne devez pas configurer le Service pour les recueillir (voir notre Politique d’utilisation acceptable), mais des personnes peuvent les fournir spontanément, y compris des renseignements sur leur santé, et ils sont alors traités dans le cadre de l’enregistrement et de la transcription.

6.Vos obligations

Vous vous engagez à :

• disposer du consentement ou de tout autre fondement légal, et donner les avis, qu’exigent les Lois sur la protection des renseignements personnels pour tout traitement effectué selon vos instructions, y compris l’enregistrement, le traitement par l’IA et le traitement à l’extérieur du Canada;
• veiller à l’exactitude des Renseignements personnels du client et ne donner que des instructions licites;
• traiter les demandes et les plaintes des personnes concernées;
• décider de tout avis à transmettre aux organismes de réglementation et aux personnes concernées au sujet d’Incidents de sécurité touchant des Renseignements personnels du client, et transmettre ces avis (nous vous aiderons, comme il est prévu ci-dessous);
• réaliser toute évaluation des facteurs relatifs à la vie privée que la loi vous impose, y compris celle qu’exige la loi québécoise avant que des renseignements personnels soient communiqués à l’extérieur du Québec; et
• ne pas nous donner pour instruction de recueillir les renseignements sensibles qu’interdit notre Politique d’utilisation acceptable.

7.Obligation de confidentialité de notre personnel

Nous ne donnons accès aux Renseignements personnels du client qu’aux membres de notre personnel qui en ont besoin pour fournir le Service, en assurer le soutien ou le sécuriser et qui sont liés par des obligations de confidentialité, et uniquement à ces fins.

8.Mesures de sécurité

Nous maintenons des mesures techniques et organisationnelles adaptées à la sensibilité des renseignements, notamment celles qui sont décrites sur notre page Sécurité : le chiffrement en transit (TLS 1.2 ou version supérieure) et au repos (AES-256), la sécurité au niveau des lignes pour chaque espace de travail, l’accès fondé sur les rôles, des webhooks Twilio vérifiés par signature, un relais vocal authentifié et des données de carte détenues uniquement par Helcim. Ces mesures assurent la protection du caractère confidentiel des renseignements et font en sorte qu’ils ne soient utilisés que pour fournir le Service. Nous pouvons les mettre à jour, pourvu que nous ne réduisions pas de façon importante la protection globale.

9.Sous-traitants

Vous nous autorisez à faire appel aux Sous-traitants figurant sur notre liste des Sous-traitants. Nous exigeons de chacun d’eux, par contrat, qu’il protège les Renseignements personnels du client d’une manière essentiellement aussi protectrice que le présent Addenda et adaptée au service qu’il fournit, et nous demeurons responsables du traitement qu’ils effectuent comme l’exigent les Lois sur la protection des renseignements personnels, sous réserve des limites de responsabilité prévues dans les Conditions.

Nous annonçons tout nouveau Sous-traitant en mettant la liste à jour et en écrivant par courriel au Propriétaire du compte au moins 15 jours avant que ce Sous-traitant commence à traiter des Renseignements personnels du client, sauf si nous devons agir plus tôt pour assurer le fonctionnement ou la sécurité du Service (par exemple, en cas de défaillance d’un fournisseur), auquel cas nous vous en informons dès que nous le pouvons raisonnablement. Vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données en nous écrivant par courriel dans ce délai. Nous discuterons de votre préoccupation de bonne foi; si nous ne parvenons pas à la résoudre, votre seul recours est de résilier votre abonnement conformément aux Conditions.

10.Stockage et traitement à l’extérieur du Canada

Les Renseignements personnels du client sont stockés au Canada et traités aux États-Unis (et, pour un courriel, dans l’Union européenne uniquement lorsque c’est notre fournisseur de courriel de repli qui l’envoie), ainsi que par Google et Meta, à l’échelle mondiale, si vous activez leurs fonctionnalités, comme le décrivent notre Politique de confidentialité et notre liste des Sous-traitants. Certains Sous-traitants conservent leurs propres copies pendant une durée limitée : notre fournisseur de téléphonie conserve les registres des appels et des textos jusqu’à la fin de votre période de conservation, date à laquelle nous les supprimons chez lui; notre fournisseur d’IA conserve ce qu’il traite pendant au plus 30 jours; notre plateforme de courriel conserve les relevés de livraison pendant au plus 24 mois; et nos fournisseurs d’hébergement conservent les journaux pendant au plus 30 jours. Vous autorisez ces transferts. Les renseignements qui se trouvent à l’extérieur du Canada sont assujettis aux lois des pays où ils sont traités, et les tribunaux ainsi que les autorités chargées de l’application de la loi et de la sécurité nationale de ces pays peuvent y avoir accès. Nous recourons à des contrats avec nos fournisseurs pour les protéger. Il vous incombe d’informer les personnes concernées de ces transferts.

11.Demandes des personnes concernées

Si une personne nous adresse une demande concernant des Renseignements personnels du client (accès, rectification, suppression, retrait du consentement ou plainte), nous n’y répondrons pas nous-mêmes, sauf pour lui indiquer de communiquer avec vous, et nous vous la transmettrons promptement, à moins que la loi ne nous en empêche. Compte tenu de la nature du traitement, nous vous aiderons à y répondre au moyen des fonctionnalités du Service lorsqu’elles le permettent (par exemple, l’exportation des journaux d’appels) et, autrement, en vous prêtant une assistance raisonnable à votre demande. Nous pouvons facturer l’assistance qui va au-delà des fonctionnalités du Service, lorsque la loi le permet.

12.Incidents de sécurité

Si nous prenons connaissance d’un Incident de sécurité, nous vous en aviserons sans délai indu (et, lorsque la loi québécoise s’applique, sans délai) par courriel au Propriétaire du compte. Notre avis décrira, dans la mesure de ce que nous savons alors, ce qui s’est produit et à quel moment, les types et la quantité approximative de renseignements et de personnes en cause, les conséquences probables, ainsi que les mesures que nous avons prises ou que nous proposons. Nous vous transmettrons des mises à jour à mesure que nous en apprendrons davantage, nous prendrons des mesures raisonnables pour circonscrire l’incident et y remédier, et nous collaborerons à votre enquête et à tout avis que vous donnerez.

Comme vous avez le contrôle des renseignements, c’est vous qui décidez d’aviser ou non les organismes de réglementation et les personnes concernées, à moins que la loi ne nous oblige à les aviser directement. Nous tenons le registre des incidents qu’exige la loi. Le fait de vous aviser d’un incident ne constitue pas une reconnaissance de faute ou de responsabilité.

13.Restitution et suppression

Lorsque votre compte est fermé, nous indiquons par courriel au propriétaire du compte la date à laquelle les données du compte seront supprimées. D’ici là, un administrateur peut exporter toutes vos données à partir du tableau de bord, et nous pouvons rouvrir le compte à votre demande; pendant les 30 jours suivant sa fermeture, vous pouvez aussi nous demander une copie de vos Données du client. Nous supprimons les Renseignements personnels du client comme le décrit la section sur la conservation de notre Politique de confidentialité :

• tant que le compte est ouvert, les enregistrements d’appels à la fin de leur période de conservation : 90 jours par défaut, ou la période que vous avez choisie entre 7 jours et 2 ans (pour un compte politique ou de campagne, la période de départ est de 400 jours, comme l’exige la Loi électorale du Canada pour les appels électoraux); un enregistrement qui capte le consentement verbal d’une personne est conservé comme preuve aussi longtemps que ce consentement demeure en vigueur, et jusqu’à 3 ans après son retrait;
• à la fermeture du compte, la totalité de ces renseignements dans les 60 jours suivant la fermeture (pour un compte politique ou de campagne, une fois que ses enregistrements d’appels électoraux ont été conservés pendant leur période de 400 jours) : enregistrements, transcriptions, résumés, journaux d’appels, messages, contacts, rendez-vous, événements de communications sortantes, et registres de consentement et de désabonnement;
• les copies que conservent nos Sous-traitants, comme le décrit la section Stockage et traitement à l’extérieur du Canada; et
• les sauvegardes, à mesure qu’elles expirent. Notre fournisseur de base de données conserve des sauvegardes quotidiennes pendant 7 jours; elles sont ensuite supprimées.

Nous pouvons conserver les renseignements que la loi nous oblige à conserver, aussi longtemps qu’elle l’exige, et ils demeurent protégés par le présent Addenda. Sur demande écrite, nous confirmerons la suppression par écrit.

14.Démonstration de la conformité

Nous mettrons à votre disposition les informations raisonnablement nécessaires pour démontrer que nous respectons le présent Addenda : le présent Addenda, notre page Sécurité et notre liste des Sous-traitants, des résumés des attestations de sécurité de nos fournisseurs (comme des rapports SOC 2 de type II ou ISO 27001, lorsque le fournisseur le permet) et les réponses à un questionnaire de sécurité raisonnable par année. JULY Call ne détient pas encore, en son nom propre, de rapport SOC 2 ni de certification ISO 27001.

Les audits et inspections sur place ne sont pas inclus, sauf si la loi ou un organisme de réglementation les exige. Lorsqu’ils sont exigés, ils ont lieu moyennant un préavis d’au moins 30 jours, pendant les heures ouvrables, à vos frais, sous le sceau de la confidentialité, au plus une fois par année, et d’une manière qui n’expose ni les renseignements des autres clients ni notre sécurité. Lorsque la loi québécoise s’applique, vous pouvez aussi effectuer, aux mêmes conditions, les vérifications relatives à nos mesures de confidentialité auxquelles elle vous donne droit.

15.Données dépersonnalisées et agrégées

Nous pouvons créer des données dépersonnalisées ou agrégées à partir des Renseignements personnels du client et les utiliser dans la mesure permise par les Conditions. Nous ne tenterons pas de réidentifier qui que ce soit à partir de ces données, et nous ne les publierons pas sous une forme qui vous identifie ou qui identifie une personne.

16.Responsabilité

Notre responsabilité aux termes du présent Addenda est assujettie aux exclusions et aux limites de responsabilité prévues dans les Conditions, qui s’appliquent globalement à l’ensemble des réclamations fondées sur la Convention; le présent Addenda ne crée aucun plafond distinct ou supplémentaire. Votre obligation d’indemnisation prévue dans les Conditions couvre les réclamations découlant de vos instructions, de l’absence de tout consentement ou fondement légal, et de votre manquement au présent Addenda.

17.Durée et ordre de préséance

Le présent Addenda s’applique tant que nous traitons des Renseignements personnels du client. En cas de conflit avec les Conditions en ce qui concerne le traitement des renseignements personnels, le présent Addenda l’emporte. Nous pouvons le mettre à jour de la manière décrite dans les Conditions, notamment pour tenir compte de l’évolution de la loi, et nous donnons avis des modifications importantes comme l’exigent les Conditions.

18.Nous joindre

Responsable de la protection des renseignements personnels, JULY Marketing Inc., 666, rue Burrard, bureau 500, Vancouver (Colombie-Britannique), Canada. Courriel : support@july.ca.