Politique de confidentialité

1. Qui nous sommes

Dutiva Canada Inc. fournit un logiciel de conformité RH conçu pour les employeurs et les équipes RH au Canada. Pour les renseignements relatifs aux comptes, au site Web, à la facturation, au soutien et à l’utilisation du produit que nous recueillons directement auprès des utilisateurs, Dutiva est responsable de ces renseignements personnels en vertu des lois canadiennes applicables en matière de protection des renseignements personnels.

Lorsqu’un employeur, un professionnel des RH ou une organisation saisit dans Dutiva des renseignements personnels concernant des employés, des candidats, des contractuels ou d’autres personnes, cette organisation est généralement responsable de s’assurer qu’elle dispose de l’autorité, du consentement, des avis et des politiques internes nécessaires pour utiliser Dutiva à l’égard de ces renseignements. Dutiva traite ces renseignements afin de fournir le service, sous réserve de la présente Politique et de tout accord applicable avec le client.

Notre responsable de la protection des renseignements personnels traite les questions et demandes relatives à la confidentialité. Voir la section 10 pour vos droits et les coordonnées.

2. Renseignements que nous recueillons

Nous recueillons les catégories ci-dessous pour exploiter Dutiva aux fins décrites à la section 3. Nous les communiquons uniquement aux fournisseurs de services et dans les circonstances décrites à la section 4.

Selon votre utilisation de Dutiva, nous pouvons recueillir les catégories suivantes de renseignements personnels :

• Renseignements de compte — nom, adresse courriel professionnelle, renseignements d’authentification, nom de l’organisation, province ou territoire, rôle, forfait, état du compte et paramètres connexes du compte.
• Renseignements de l’espace de travail — réponses d’intégration, renseignements sur le profil de l’employeur, province, territoire ou régime fédéral applicable sélectionné, taille de l’organisation, langue préférée, préférences liées aux processus, paramètres enregistrés et choix de configuration dans l’application.
• Renseignements liés aux documents — titres de documents, choix de modèles, codes de territoire ou de contexte de couverture, données saisies dans les documents, ébauches enregistrées, documents générés, état du cycle de vie, dossiers d’exportation et dossiers liés aux processus de signature électronique.
• Messages au Conseiller — messages que vous soumettez au Conseiller Dutiva, historique limité de conversation nécessaire pour fournir la réponse, province, territoire ou régime fédéral applicable sélectionné, contexte d’accompagnement récupéré et contexte limité de l’espace de travail nécessaire pour rendre la réponse utile.
• Données d’utilisation, d’appareil et de sécurité — données de journalisation, adresse IP, renseignements sur le navigateur et l’appareil, pages ou fonctionnalités utilisées, horodatages, signaux de limitation de débit, journaux d’erreurs, événements d’authentification et événements de sécurité générés par notre infrastructure.
• Données de facturation — état de l’abonnement, factures, paiements, taxes et renseignements liés au portail de facturation traités par Stripe. Dutiva ne conserve pas les numéros complets de carte ni les identifiants bancaires.
• Données liées à la bêta, au soutien et aux communications — inscriptions à la liste d’attente bêta, consentement aux commentaires, messages de soutien, réponses à des sondages, dossiers de courriels transactionnels et préférences de communication.

3. Comment nous utilisons les renseignements

Nous utilisons les renseignements personnels uniquement aux fins nécessaires pour exploiter, sécuriser, soutenir et améliorer Dutiva, notamment pour :

• fournir, authentifier, exploiter, maintenir et sécuriser le service Dutiva;
• créer des comptes, gérer les accès, appliquer les limites des forfaits et soutenir l’administration au niveau de l’organisation;
• générer, enregistrer, réviser, exporter et administrer des documents RH et des processus de signature électronique;
• fournir les réponses du Conseiller, récupérer le contexte d’accompagnement pertinent et améliorer la fiabilité et la sécurité des processus de conformité RH;
• traiter les abonnements, factures, reçus, avis de compte, demandes de soutien et mises à jour du service;
• mesurer l’utilisation globale des fonctionnalités, résoudre les erreurs, prévenir les abus, appliquer les limites de débit et surveiller le rendement du service;
• protéger la sécurité, la disponibilité, l’intégrité et l’exploitation licite de Dutiva;
• respecter les obligations juridiques, fiscales, comptables, de sécurité, réglementaires, de règlement des différends et d’audit.

Nous ne vendons pas de renseignements personnels. Nous n’utilisons pas les documents RH des clients ni les messages au Conseiller à des fins de publicité de tiers.

4. Fournisseurs de services et communication

Nous communiquons des renseignements personnels uniquement dans la mesure nécessaire pour exploiter le service, respecter la loi, réaliser des opérations commerciales ou protéger les droits, la sécurité et l’intégrité du service.

Nous utilisons les catégories de fournisseurs de services suivantes. Chaque fournisseur ne reçoit que les renseignements nécessaires à son rôle :

• Infrastructure et hébergement — Supabase (base de données, authentification, stockage et fonctions en périphérie) et Vercel (hébergement, fonctions sans serveur, déploiement et journaux opérationnels) stockent et traitent les données de compte, d’espace de travail, de documents et opérationnelles nécessaires au fonctionnement de Dutiva.
• Inférence par IA — DigitalOcean Gradient AI traite le contenu des messages au Conseiller et un contexte limité pour produire des réponses. Les données ne sont transmises que dans la mesure nécessaire à l’inférence. Selon l’entente de Dutiva, le contenu des clients n’est pas utilisé pour entraîner des modèles de fondation de tiers.
• Paiements — Stripe traite les données d’abonnement, de paiement, de facturation, de taxes et du portail de facturation. Dutiva ne conserve pas les numéros complets de carte ni les identifiants bancaires.
• Courriel — Resend (ou un fournisseur équivalent de courriels transactionnels) transmet les courriels liés au compte, à la facturation, aux documents et au soutien.
• Réseau, sécurité et disponibilité — Cloudflare fournit les services DNS, de sécurité réseau, de performance et de disponibilité, et peut fournir une protection contre les robots sur les formulaires publics lorsqu’elle est configurée.
• Analytique de site Web — Google Tag Manager et Google Analytics ne se chargent que lorsqu’ils sont configurés et que la personne a accepté l’analytique au moyen de la bannière de consentement.
• Analytique de support interne — recherches dans le Centre d’aide, consultations d’articles, votes d’utilité et événements liés aux billets de support sont facultatifs, désactivés par défaut, envoyés à une fonction edge exploitée par Dutiva au Canada et n’utilisent pas de témoins tiers.
• Signaux de confiance — TrustedSite (Halo Security) se charge uniquement sur le site marketing public pour que les visiteurs puissent voir l’état du balayage de sécurité. Il n’est pas chargé dans l’espace de travail authentifié et n’est pas utilisé à des fins publicitaires.

Nous pouvons également communiquer des renseignements lorsque la loi, une ordonnance d’un tribunal, une demande d’un organisme de réglementation, une procédure judiciaire, une vérification diligente liée à une fusion ou à un financement, une opération d’entreprise ou la protection raisonnablement nécessaire de la sécurité et de l’intégrité de Dutiva, de nos utilisateurs ou du public l’exige.

Consultez notre Liste des sous-traitants pour les sous-traitants, les lieux de traitement et les catégories de données.

5. Consentement et choix

Nous nous appuyons sur le consentement, la nécessité contractuelle, l’exploitation légitime du service et les obligations légales, selon ce qui est approprié en vertu des lois canadiennes applicables en matière de protection des renseignements personnels. Nous indiquons les fins de la collecte avant ou au moment de la collecte, sauf lorsque la fin est évidente selon le contexte ou permise par la loi.

• Traitement requis — les données de compte, d’espace de travail, de documents, de facturation, de sécurité et les données essentielles au produit sont nécessaires pour fournir Dutiva, maintenir la sécurité, compléter la facturation, conserver des dossiers d’audit et respecter les obligations légales. Vous ne pouvez pas utiliser le service principal sans ce traitement.
• Traitement facultatif — les communications liées aux commentaires sur la bêta, les communications de marketing facultatives, l’analytique de site Web de tiers (Google Tag Manager et Google Analytics) et l’analytique de support interne sont facultatives. Elles ne se chargent ou ne s’exécutent que lorsque vous avez accordé votre consentement au moyen de la bannière de consentement ou d’un contrôle de préférences explicite, sauf lorsqu’une communication est transactionnelle et nécessaire au service demandé.
• Données contrôlées par le client — lorsqu’un employeur ou une organisation saisit des renseignements personnels concernant des employés, des candidats, des contractuels ou d’autres personnes, cette organisation est responsable de disposer de l’autorité, du consentement, des avis et des politiques internes requis pour utiliser Dutiva à l’égard de ces renseignements.
• Retrait — vous pouvez retirer un consentement facultatif en utilisant les mécanismes de désabonnement ou de préférences lorsqu’ils sont disponibles, en ajustant le consentement au moyen de la bannière de consentement le cas échéant, ou en communiquant avec nous à l’adresse privacy@dutiva.ca. Le retrait d’un consentement facultatif n’affecte pas le traitement requis pour fournir le service, maintenir la sécurité, compléter la facturation ou respecter les obligations légales.
• Conseiller — le Conseiller Dutiva est une fonctionnalité principale du produit. Vous ne pouvez pas refuser le traitement du Conseiller tout en l’utilisant; vous pouvez choisir de ne pas utiliser le Conseiller. Voir les sections 7 et 8 pour les avis relatifs à l’IA et au traitement automatisé.

6. Traitement transfrontalier

Certains fournisseurs de services peuvent traiter ou conserver des renseignements à l’extérieur du Canada, y compris aux États-Unis. Lorsque des renseignements sont traités à l’extérieur de votre province ou à l’extérieur du Canada, ils peuvent être assujettis aux lois de ce territoire.

Nous utilisons des mesures contractuelles, techniques et organisationnelles conçues pour protéger les renseignements personnels lors du traitement transfrontalier. Pour les renseignements personnels du Québec, les transferts à l’extérieur du Québec sont examinés au moyen d’un processus d’évaluation des facteurs relatifs à la vie privée avant l’approbation du transfert, lorsque la loi applicable l’exige.

7. Avis relatif au Conseiller assisté par l’IA

Le Conseiller Dutiva est une fonctionnalité d’accompagnement des processus assistée par l’IA. Les messages au Conseiller sont envoyés à notre point de terminaison serveur du Conseiller puis, au besoin, à un fournisseur tiers de modèles d’IA aux fins de produire la réponse. Nous n’incluons pas les renseignements de paiement dans les requêtes d’IA, et nous limitons le contexte de l’espace de travail aux champs nécessaires pour rendre la réponse utile.

Lorsque vous utilisez le Conseiller, gardez les points suivants à l’esprit :

• Ne soumettez pas de numéros d’assurance sociale, de dossiers médicaux, d’identifiants bancaires, de renseignements personnels sur la santé ou de dossiers d’employés hautement sensibles au Conseiller, sauf si Dutiva fournit expressément un processus contrôlé pour ce type de renseignements.
• Les réponses du Conseiller sont générées par l’IA et ne sont pas examinées par un avocat avant leur transmission.
• Les réponses du Conseiller fournissent un soutien général aux processus RH et un accompagnement axé sur la conformité. Elles ne constituent pas des conseils juridiques et ne doivent pas être traitées comme un substitut à un examen professionnel.
• Dutiva ne prend pas de décisions d’emploi pour vous. Les employeurs, professionnels des RH et utilisateurs autorisés demeurent responsables de réviser les résultats et de prendre les décisions relatives au milieu de travail.

Dutiva n’utilise pas les messages au Conseiller ni les documents RH générés des clients pour entraîner des modèles de fondation de tiers, sauf si un accord écrit distinct ou un consentement explicite prévoit autrement.

Consultez notre Divulgation relative à l’utilisation de l’IA, notre Politique relative à l’IA et aux technologies et notre Avis de non-responsabilité juridique pour plus de détails.

8. Prise de décision automatisée

Dutiva peut utiliser des systèmes automatisés pour générer des ébauches, récupérer un contexte d’accompagnement, suggérer des prochaines étapes, appliquer des limites de débit, surveiller la sécurité et soutenir les fonctionnalités du produit. Dutiva est conçu pour assister les processus des employeurs et des RH; il n’est pas conçu pour prendre des décisions finales d’embauche, de discipline, d’accommodement, de cessation d’emploi, de rémunération ou d’autres décisions d’emploi au nom des clients.

Lorsqu’un traitement automatisé produit une recommandation, une ébauche ou un résultat d’accompagnement, les utilisateurs devraient examiner le résultat avant de s’y fier. Dutiva n’est pas conçu pour prendre des décisions exclusivement automatisées qui produisent des effets juridiques ou des effets similaires importants à l’égard de personnes au nom des clients.

Si vous avez des questions au sujet du traitement automatisé associé à vos renseignements personnels, ou souhaitez obtenir des renseignements sur la façon dont il est utilisé, communiquez avec nous à l’adresse privacy@dutiva.ca.

Pour demander un examen humain d’un résultat d’IA lorsque la loi applicable ou notre Politique d’escalade vers un examen humain le prévoit, communiquez avec privacy@dutiva.ca ou suivez les voies d’escalade décrites dans cette politique.

9. Conservation et suppression

Nous conservons les renseignements personnels seulement aussi longtemps que nécessaire aux fins décrites dans la présente Politique, sauf si une période plus longue est requise ou permise pour des raisons juridiques, fiscales, comptables, de sécurité, de différend, réglementaires ou d’audit. Les périodes ci-dessous décrivent notre approche actuelle. La durée exacte peut varier selon la configuration du produit, les instructions du client, les exigences légales et le fait qu’un compte demeure actif.

• Données de compte et d’espace de travail — conservées tant que le compte est actif, puis supprimées ou anonymisées après la suppression du compte, sauf conservation requise à des fins juridiques, de facturation, de sécurité, de soutien, d’audit ou de différend.
• Documents générés, données saisies et ébauches enregistrées — conservés jusqu’à ce qu’un utilisateur ou un administrateur autorisé les supprime ou les archive, que le compte soit supprimé, ou qu’une période de conservation requise prenne fin, sous réserve des limitations juridiques, de sécurité et de sauvegarde.
• Messages au Conseiller et contexte de processus d’IA — les processus actuels dans le navigateur peuvent conserver l’état de conversation pour l’expérience utilisateur en session. Les appels côté serveur peuvent traiter un contexte limité aux fins d’inférence, de sécurité, de dépannage, de limitation de débit et de fiabilité du service.
• Données brutes d’événements d’analytique de support interne — conservées pendant 90 jours, puis supprimées. Les agrégats quotidiens, qui ne permettent plus d’identifier une personne de façon raisonnablement prévisible, sont conservés indéfiniment.
• Dossiers de facturation, de taxes, de sécurité et d’audit — conservés pendant les périodes statutaires ou opérationnelles requises.
• Sauvegardes — conservées jusqu’à leur expiration dans le cycle normal de sauvegarde. Les sauvegardes peuvent ne pas permettre une suppression sélective avant l’expiration, mais elles sont protégées par des contrôles d’accès et ne sont pas utilisées pour l’accès ordinaire en production.
• Suppression de compte — la suppression de compte initiée par l’utilisateur supprime les lignes de compte détenues et les documents générés, puis enregistre une entrée d’audit anonymisée liée à la suppression.

Consultez notre Politique de conservation et de suppression des données pour plus de détails.

10. Vos droits à la confidentialité

Sous réserve des limites prévues par la loi, vous pouvez demander l’accès aux renseignements personnels que nous détenons à votre sujet, la rectification de renseignements inexacts, le retrait du consentement pour un traitement facultatif, la suppression du compte et des renseignements sur nos pratiques en matière de protection des renseignements personnels et sur la façon dont nous avons utilisé ou communiqué vos renseignements.

Les résidents du Québec peuvent également disposer de droits à la portabilité, à la désindexation ou à l’effacement dans certaines circonstances, ainsi qu’à des renseignements sur la prise de décision automatisée qui produit des effets juridiques ou des effets similaires importants.

Pour exercer ces droits :

• Courriel — envoyez les demandes relatives à la confidentialité à l’adresse privacy@dutiva.ca.
• Formulaire de contact — utilisez dutiva.ca/fr/contact et sélectionnez la catégorie Demande de confidentialité.
• Vérification de l’identité — nous pourrions devoir vérifier votre identité avant de répondre. N’ajoutez pas de documents d’identité à un message de soutien ordinaire, sauf si nous vous le demandons.
• Délai de réponse — nous visons à répondre dans un délai de 30 jours lorsque la loi l’exige, sauf si une prolongation est permise ou requise.
• Organismes de réglementation — vous pouvez communiquer avec le Commissariat à la protection de la vie privée du Canada à priv.gc.ca ou avec la Commission d’accès à l’information du Québec à cai.gouv.qc.ca.

Les demandes de confidentialité sont traitées séparément du soutien ordinaire.

11. Témoins, stockage local et analytique

Dutiva utilise le stockage d’authentification strictement nécessaire et le stockage local du navigateur pour des paramètres comme la langue, le thème, la progression de l’intégration et l’état des processus dans le navigateur. Les outils d’analytique facultatifs ne sont chargés que lorsqu’ils sont configurés dans l’environnement de l’application.

Nous n’utilisons pas de témoins publicitaires de tiers ni de traceurs publicitaires intersites. Consultez notre Politique relative aux témoins pour plus de détails.

12. Sécurité et réponse aux incidents

Nous utilisons des mesures de protection adaptées à la sensibilité des renseignements, notamment le chiffrement TLS en transit, les contrôles d’accès, l’authentification, la séparation des rôles de service, la limitation du débit, les dossiers de suppression orientés vers l’audit et la surveillance opérationnelle. Ces mesures sont conçues pour protéger les renseignements personnels contre la perte, le vol et l’accès, l’utilisation ou la communication non autorisés.

Si une atteinte à la vie privée crée un risque réel de préjudice grave, nous aviserons les personnes touchées et ferons rapport au Commissariat à la protection de la vie privée du Canada dès que possible, et nous conserverons les dossiers d’atteinte requis. Les incidents de confidentialité du Québec sont traités conformément aux exigences québécoises de notification et de tenue de registre lorsqu’elles s’appliquent.

13. Mises à jour de la présente Politique

Nous pouvons mettre à jour la présente Politique de temps à autre afin de refléter les changements apportés à notre service, à nos fournisseurs, à nos obligations légales ou à nos pratiques en matière de protection des renseignements personnels. Si nous apportons des changements importants, nous fournirons un avis d’une manière appropriée au changement, par exemple en mettant à jour la date ci-dessus, en publiant un avis dans le service ou en envoyant un avis de compte lorsque cela est approprié.

14. Contact

• Responsable de la protection des renseignements personnels — Dutiva Canada Inc.
• Courriel — privacy@dutiva.ca
• Site Web — dutiva.ca

Pour vos droits en matière de confidentialité et la façon de soumettre une demande, voir la section 10.