Accord de traitement des données

1. Rôles et portée

Pour les renseignements personnels que Dutiva recueille directement à ses propres fins d’administration des comptes, de facturation, de soutien, de sécurité, d’analytique lorsqu’elle est activée, d’exploitation du produit et de conformité juridique, Dutiva est responsable de ce traitement comme il est décrit dans la Politique de confidentialité.

Pour les renseignements personnels qu’un client soumet, téléverse, génère ou rend autrement disponibles à Dutiva aux fins de processus RH, de documents générés, de contexte du Conseiller, de processus de signature électronique, de dossiers enregistrés ou d’utilisation connexe de l’espace de travail, le client détermine les fins du traitement et Dutiva traite les renseignements à titre de fournisseur de services ou de sous-traitant, selon la loi applicable en matière de protection des renseignements personnels.

Dans le présent Accord, les « Renseignements personnels du client » désignent les renseignements personnels contenus dans les Données du client que Dutiva traite pour le compte d’un client au moyen du service. Les « Données du client » ont le sens qui leur est attribué dans les Conditions d’utilisation.

Le client est responsable de s’assurer qu’il dispose de l’autorité, du consentement, des avis, du fondement légal, des approbations internes, des politiques en milieu de travail et des contrôles de conformité requis pour soumettre des Renseignements personnels du client à Dutiva et pour donner instruction à Dutiva de les traiter.

2. Objet, durée et nature du traitement

Dutiva traite les Renseignements personnels du client afin de fournir, sécuriser, soutenir, administrer, maintenir, dépanner et améliorer le service souscrit pendant la durée du compte du client et pendant toute période de conservation suivant la résiliation décrite dans la Politique de conservation et de suppression des données.

Le traitement peut comprendre l’hébergement, la conservation, la récupération, la génération, l’affichage, la transmission, l’exportation, la suppression, la sécurisation, la surveillance, le dépannage, la mesure de l’utilisation, la journalisation, le soutien et l’administration des processus RH du client, des documents, des interactions avec le Conseiller, des processus de signature électronique et des activités connexes dans l’espace de travail.

Dutiva ne traitera pas les Renseignements personnels du client à des fins matériellement différentes de celles décrites dans le présent Accord, les Conditions d’utilisation, la Politique de confidentialité, la configuration et l’utilisation du service par le client ou d’autres instructions documentées acceptées par Dutiva.

3. Catégories de Renseignements personnels du client

Selon la configuration et l’utilisation du service par le client, les Renseignements personnels du client peuvent comprendre :

• des renseignements relatifs aux utilisateurs, à l’organisation et à l’espace de travail, comme les noms, les adresses courriel professionnelles, les noms d’organisations, les rôles, la province, le territoire, le régime fédéral sélectionné, la langue, le forfait, l’état du compte et les paramètres ;
• le profil de l’employeur et le contexte des processus RH saisis par le client, y compris la taille de l’organisation, les faits propres au milieu de travail, les détails de rôle, le contexte des politiques, les réponses d’intégration et les renseignements utilisés dans les processus liés au cycle de vie de l’employé ;
• les renseignements documentaires, y compris les choix de modèles, les titres de documents, les données saisies dans les documents, les ébauches enregistrées, les documents générés, les notes de révision, les dossiers d’exportation, les dossiers de signature électronique et les métadonnées liées aux processus documentaires ;
• les renseignements du Conseiller, y compris les requêtes, le contexte limité de conversations récentes, la province, le territoire ou le régime fédéral sélectionné, le contexte d’accompagnement récupéré et le contexte limité de l’espace de travail nécessaire pour produire une réponse utile ;
• les renseignements de signature électronique, lorsque cette fonctionnalité est activée, y compris les dossiers de processus de signature, les renseignements sur les destinataires, les événements d’audit, l’état de livraison, l’état d’achèvement et les métadonnées connexes ;
• les renseignements de soutien, de sécurité et d’exploitation associés aux processus du client, aux utilisateurs autorisés, aux rapports d’erreurs, aux demandes de dépannage, aux journaux de sécurité et aux dossiers d’utilisation.

Les personnes dont les renseignements peuvent être traités comprennent les utilisateurs et administrateurs du client, les employés, les candidats, les contractuels, les destinataires de documents, les signataires, les contacts RH et toute autre personne dont le client choisit d’inclure les renseignements dans les processus Dutiva.

Les clients ne devraient pas soumettre de numéros d’assurance sociale, de numéros d’identification gouvernementaux, de numéros de carte de paiement, d’identifiants bancaires, de dossiers médicaux, de renseignements médicaux protégés, de communications juridiques privilégiées, de dossiers de griefs syndicaux ou de dossiers d’employés hautement sensibles, sauf si un processus Dutiva précis prend expressément en charge ce type de données et que le client dispose d’un fondement légal pour les fournir.

4. Instructions du client et responsabilités

Dutiva traitera les Renseignements personnels du client uniquement selon les instructions documentées du client. Les instructions documentées comprennent les Conditions d’utilisation, le présent Accord, la configuration et l’utilisation du service par le client, les choix de processus, les paramètres du compte, les demandes de soutien, les demandes de suppression et toute instruction écrite acceptée par Dutiva.

Le client est responsable de la légalité, de l’exactitude, de l’exhaustivité et de la pertinence des Renseignements personnels du client qu’il soumet à Dutiva, ainsi que de la gestion des utilisateurs autorisés, des autorisations d’accès, des approbations en milieu de travail et de l’utilisation interne des résultats de Dutiva.

Si Dutiva croit raisonnablement qu’une instruction du client contrevient à la loi applicable, dépasse la portée du service, crée un risque important en matière de sécurité, de protection des renseignements personnels, de droit ou d’exploitation, ou pourrait nuire à Dutiva, à un autre client, à une personne ou à un tiers, Dutiva peut suspendre le traitement visé et demander des précisions.

5. Obligations de traitement de Dutiva

Dutiva traitera les Renseignements personnels du client uniquement dans la mesure nécessaire pour fournir, sécuriser, soutenir, administrer, maintenir, dépanner, améliorer et exploiter le service, se conformer à la loi, appliquer les Conditions d’utilisation et exécuter les instructions documentées du client.

Dutiva ne vend pas les Renseignements personnels du client. Dutiva n’utilise pas les documents RH des clients ni les messages envoyés au Conseiller à des fins de publicité de tiers.

Dutiva n’utilise pas les requêtes des clients au Conseiller ni les documents générés des clients pour entraîner des modèles fondamentaux de tiers, sauf si le client y consent séparément ou adhère expressément à un programme particulier d’entraînement ou d’amélioration.

6. Confidentialité et contrôles d’accès

Dutiva limite l’accès aux Renseignements personnels du client au personnel, aux contractants et aux sous-traitants qui ont besoin d’y accéder pour fournir, sécuriser, soutenir, administrer ou améliorer le service et qui sont assujettis à des obligations de confidentialité appropriées à leur rôle.

Dutiva ne communiquera pas les Renseignements personnels du client, sauf si le client l’autorise, si cela est nécessaire pour fournir le service, si la loi l’exige, si les Conditions d’utilisation, la Politique de confidentialité ou le présent Accord le permettent, ou si cela est raisonnablement nécessaire pour protéger le service, les utilisateurs, les droits, la sécurité ou la sûreté.

Dutiva peut utiliser des renseignements agrégés, dépersonnalisés ou anonymisés aux fins d’exploitation du service, de sécurité, d’analytique, de dépannage et d’amélioration du produit lorsque ces renseignements n’identifient plus une personne ou un client de manière raisonnablement prévisible.

7. Mesures de sécurité

Dutiva maintient des mesures de protection administratives, techniques et organisationnelles adaptées à la sensibilité des Renseignements personnels du client. Les mesures actuelles comprennent :

• le chiffrement TLS en transit et les mesures de protection de l’infrastructure gérées par les fournisseurs ;
• les contrôles d’authentification, les contrôles d’accès aux comptes, les contrôles de propriété des dossiers, la séparation des rôles de service et l’accès administratif restreint ;
• la limitation du débit, les limites d’entrée, les appels aux modèles côté serveur, l’isolation des secrets d’API et les contrôles de prévention des abus ;
• la surveillance opérationnelle, la journalisation, le triage des incidents et les dossiers de suppression orientés vers l’audit ;
• les pratiques de développement sécurisé, la validation avant les changements en production et la révision périodique des processus pertinents pour la sécurité ;
• la sélection de sous-traitants et les engagements contractuels visant à soutenir la confidentialité, l’intégrité, la disponibilité et la résilience du service.

Aucun système n’est parfaitement sécurisé. Les mesures de Dutiva sont conçues pour réduire les risques et soutenir les engagements liés au service décrits dans le présent Accord, la Politique de confidentialité et les Conditions d’utilisation.

8. Sous-traitants et fournisseurs de services

Dutiva peut utiliser des sous-traitants et fournisseurs de services pour fournir l’hébergement, l’authentification, la base de données, le stockage, les fonctions en périphérie, l’inférence par IA, la facturation, la sécurité réseau, l’analytique lorsqu’elle est activée, la journalisation, la surveillance, le soutien et les fonctions opérationnelles connexes.

Les principaux sous-traitants ou catégories de fournisseurs actuels peuvent comprendre Supabase, Vercel, DigitalOcean Gradient AI, Stripe, Cloudflare, Google Analytics si activé, ainsi que d’autres fournisseurs qui soutiennent l’exploitation, la sécurité, la fiabilité ou l’administration du service.

Dutiva demeure responsable du traitement des Renseignements personnels du client par ses sous-traitants dans la mesure exigée par la loi applicable et utilise des engagements contractuels visant à protéger les Renseignements personnels du client à un niveau adapté au service. Dutiva maintiendra des renseignements sur les sous-traitants dans ses pages juridiques ou les rendra disponibles sur demande raisonnable.

Dutiva peut mettre à jour les sous-traitants de temps à autre. Lorsque la loi applicable ou une entente écrite distincte l’exige, Dutiva fournira un avis ou des renseignements au sujet des changements importants apportés aux sous-traitants par une méthode raisonnable, comme une mise à jour des pages juridiques, un avis de compte ou une réponse par un canal de soutien.

9. Traitement transfrontalier et transferts du Québec

Les Renseignements personnels du client peuvent être traités ou conservés au Canada, aux États-Unis et dans d’autres lieux où Dutiva ou ses sous-traitants exercent leurs activités. Les renseignements traités à l’extérieur d’une province ou à l’extérieur du Canada peuvent être assujettis aux lois de ce territoire.

Dutiva utilise des mesures contractuelles, techniques et organisationnelles conçues pour protéger les Renseignements personnels du client lors du traitement transfrontalier.

Pour les renseignements personnels du Québec, Dutiva examine les transferts à l’extérieur du Québec au moyen d’un processus d’évaluation des facteurs relatifs à la vie privée lorsque la loi applicable l’exige et utilise des accords écrits visant à tenir compte des risques relevés par l’évaluation.

Les clients demeurent responsables de déterminer si leur propre utilisation de Dutiva déclenche des obligations propres à leur organisation en matière d’avis transfrontaliers, d’évaluation, d’approbation, de tenue de dossiers ou de politiques. Dutiva fournira des renseignements raisonnables sur ses sous-traitants, les lieux de traitement et les mesures de protection afin de soutenir ces évaluations.

10. Traitement par IA et fournisseurs de modèles

Les fonctionnalités du Conseiller et les processus documentaires peuvent transmettre des Renseignements personnels du client limités à des fournisseurs de modèles d’IA ou à des fournisseurs de routage agissant comme sous-traitants, uniquement dans la mesure raisonnablement nécessaire pour générer des réponses, récupérer du contexte, soutenir les processus documentaires ou appliquer les contrôles de sécurité et de fiabilité.

Les requêtes d’IA peuvent comprendre le texte du message, un contexte récent limité de conversation, la province, le territoire ou le régime fédéral sélectionné, le contexte d’accompagnement récupéré, le contexte du processus ou du modèle et des champs limités de l’espace de travail nécessaires pour rendre le résultat utile.

Dutiva n’inclut pas intentionnellement les renseignements de carte de paiement, les identifiants complets de facturation, les mots de passe de compte, les secrets d’authentification internes ou les identifiants de compte non nécessaires dans les requêtes aux fournisseurs d’IA. Les utilisateurs ne devraient pas soumettre de renseignements hautement sensibles aux fonctionnalités d’IA, sauf si Dutiva fournit expressément un processus contrôlé pour ce type de renseignements.

11. Incidents de sécurité et soutien en cas d’atteinte

Dutiva évaluera les incidents de sécurité soupçonnés mettant en cause des Renseignements personnels du client. Dutiva avisera les clients touchés sans délai déraisonnable après avoir confirmé un incident qui exige une action, une évaluation, une notification ou une mesure d’atténuation de la part du client en vertu de la loi applicable ou des obligations du client.

Dutiva fournira les renseignements raisonnablement disponibles pour aider le client à évaluer ses obligations juridiques et opérationnelles, ce qui peut comprendre la nature de l’incident, les catégories de données touchées, les délais connus, les conséquences probables, les mesures correctives et les mesures d’atténuation recommandées lorsque cela est approprié.

Le client demeure responsable de déterminer et de remplir ses propres obligations de notification, de déclaration, de tenue de dossiers, de communication aux employés, de communication aux organismes de réglementation et de remédiation, sauf si la loi applicable attribue directement cette responsabilité à Dutiva.

12. Assistance relative aux demandes de droits en matière de protection des renseignements personnels

Lorsque Dutiva traite des Renseignements personnels du client pour le compte d’un client, le client est généralement responsable de répondre aux demandes des personnes en matière d’accès, de rectification, de suppression, de portabilité, de désindexation ou d’effacement, de retrait du consentement, de plainte et de renseignements concernant le traitement automatisé, sauf si la loi applicable attribue directement cette responsabilité à Dutiva.

Dutiva fournira une assistance technique raisonnable au moyen des fonctionnalités existantes du produit, des canaux de soutien, des outils d’exportation, des processus de suppression de compte et des renseignements raisonnablement disponibles à Dutiva.

Si Dutiva reçoit une demande d’une personne qui semble se rapporter à des Renseignements personnels du client contrôlés par un client, Dutiva peut diriger cette personne vers le client ou aviser le client lorsque cela est légalement approprié, sauf si Dutiva est tenue par la loi de répondre directement.

13. Retour, exportation, suppression et conservation

Les clients peuvent exporter les Données du client prises en charge pendant que leur compte est actif et que la fonctionnalité d’exportation pertinente est disponible selon leur forfait.

Lors de la suppression du compte, Dutiva supprime les lignes de compte détenues et les documents générés au moyen de son processus de suppression, sous réserve de la conservation requise ou permise pour des raisons juridiques, fiscales, de facturation, comptables, de sécurité, de différend, d’audit, de sauvegarde, d’analytique anonymisée ou d’exploitation.

Dutiva peut conserver des entrées d’audit anonymisées liées à la suppression, des dossiers de sécurité, des dossiers de facturation et d’autres dossiers limités lorsque cela est raisonnablement nécessaire pour la responsabilité, la prévention de la fraude, le règlement des différends, la conformité juridique ou l’intégrité du service. Les périodes opérationnelles de conservation sont décrites dans la Politique de conservation et de suppression des données.

14. Droits d’audit et d’information

Sur demande écrite raisonnable, Dutiva fournira les renseignements raisonnablement nécessaires pour démontrer la conformité au présent Accord, comme des résumés de politiques, des renseignements sur les sous-traitants, des descriptions des contrôles de sécurité, des renseignements sur les transferts transfrontaliers, des détails sur les processus de suppression ou d’autres documents pertinents dont dispose Dutiva.

Toute demande d’audit ou d’information doit être raisonnable quant à sa portée, planifiée à l’avance, assujettie à des protections de confidentialité appropriées et menée de manière à éviter de perturber l’exploitation du service ou de compromettre la sécurité de Dutiva, ses renseignements confidentiels ou les renseignements d’autres clients.

Dutiva peut refuser, restreindre ou reporter les demandes qui sont répétitives, excessives, techniquement dangereuses, restreintes par la loi, sans lien avec les Renseignements personnels du client ou susceptibles de compromettre la sécurité ou la confidentialité.

15. Préséance, modifications et contact

En cas de conflit entre le présent Accord et les Conditions d’utilisation, le présent Accord régit uniquement le traitement des Renseignements personnels du client pour le compte du client. Les Conditions d’utilisation régissent toutes les autres questions, y compris les abonnements, l’utilisation acceptable, la propriété intellectuelle, les avis de non-responsabilité, la limitation de responsabilité, l’indemnisation, le droit applicable et les modalités de règlement des différends.

Dutiva peut mettre à jour le présent Accord de temps à autre afin de refléter les changements apportés au service, aux fournisseurs, aux contrôles de sécurité, aux pratiques de protection des renseignements personnels ou aux obligations juridiques. Pour les modifications importantes, Dutiva fournira un avis par courriel, avis dans l’application, avis sur le site Web ou autre méthode raisonnable.

Les questions concernant le présent Accord ou le traitement des Renseignements personnels du client par Dutiva peuvent être transmises à privacy@dutiva.ca.

Dutiva Canada Inc.

Courriel : privacy@dutiva.ca

Site Web : dutiva.ca