Accord de traitement des données (DPA)

1. Définitions

• Client / Responsable du traitement : la personne morale ou physique ayant souscrit aux Services et déterminant les finalités et les moyens du traitement.
• SignalOrange / Sous-traitant : SignalOrange Inc., traitant les Données personnelles pour le compte du Client.
• Données personnelles : tout renseignement concernant une personne physique identifiée ou identifiable, traité par SignalOrange dans le cadre des Services.
• Lois applicables : LPRPDE (PIPEDA) fédérale, Loi 25 du Québec, et toute autre loi provinciale ou fédérale applicable en matière de protection des renseignements personnels.
• Violation : tout incident de confidentialité au sens de la Loi 25 (accès, utilisation, communication ou perte non autorisés).
• Sous-processeur : tiers engagé par SignalOrange pour traiter des Données personnelles pour le compte du Client.

2. Objet et portée

Cet Accord encadre le traitement par SignalOrange des Données personnelles fournies par le Client ou générées dans le cadre des Services (Meridian, Router et Estrade). Il s'applique pour toute la durée des Services et survit aux fins prévues à la section 11.

3. Rôles et responsabilités

• Le Client agit comme responsable du traitement : il détermine quelles Données personnelles sont traitées, pour quelles finalités, et obtient les consentements requis auprès des personnes concernées.
• SignalOrange agit comme sous-traitant : il ne traite les Données personnelles que sur instruction documentée du Client, en conformité avec les présentes.
• Chaque partie demeure responsable du respect des Lois applicables pour les aspects qui la concernent.

4. Nature, durée et finalité du traitement

SignalOrange traite les Données personnelles uniquement aux fins de fournir, maintenir, sécuriser et améliorer les Services, et conformément aux instructions du Client.

• Nature : stockage, organisation, consultation, utilisation, communication par transmission, diffusion, rapprochement, limitation, effacement.
• Durée : pour toute la durée des Services, plus les périodes de conservation prévues aux Conditions d'utilisation.
• Finalité : exécution des Services souscrits par le Client.

5. Catégories de Données personnelles et de personnes concernées

Selon l'usage des Services par le Client, les catégories suivantes peuvent être traitées :

• Identité : nom, adresse courriel, numéro de téléphone, titre, organisation.
• Professionnelles : historique de communications, interactions commerciales, propositions, factures, contrats.
• Financières : montants facturés, historiques de paiement (sans données de carte).
• Techniques : adresse IP, agent utilisateur, logs d'accès.
• Contenu : tout contenu que le Client téléverse, saisit ou génère dans les Services.

Personnes concernées : prospects, clients, partenaires, fournisseurs, employés du Client, ainsi que toute autre personne dont les Données personnelles sont traitées dans les Services.

6. Obligations de SignalOrange

SignalOrange s'engage à :

• Ne traiter les Données personnelles que sur instruction documentée du Client (la souscription aux Services constituant une instruction générale).
• Garantir que les personnes autorisées à traiter les Données personnelles sont tenues à la confidentialité (contractuellement ou légalement).
• Prendre toutes les mesures de sécurité décrites à notre page Sécurité, incluant chiffrement, contrôle d'accès, journalisation et formation.
• Aider le Client à répondre aux demandes d'exercice de droits des personnes concernées (accès, rectification, suppression, portabilité).
• Aider le Client à se conformer à ses obligations en matière d'évaluation des facteurs relatifs à la vie privée, de notification de violation et de consultation de l'autorité de contrôle.
• Au terme des Services, supprimer ou restituer au Client toutes les Données personnelles, selon son choix, sous réserve des obligations légales de conservation.
• Mettre à disposition du Client toutes les informations nécessaires pour démontrer le respect des présentes obligations.

7. Sous-processeurs

Le Client autorise SignalOrange à engager les sous-processeurs listés ci-dessous. SignalOrange imposera à chaque sous-processeur des obligations substantiellement équivalentes aux présentes et demeure pleinement responsable envers le Client de leurs prestations.

7.1 Liste actuelle des sous-processeurs

• OVH Canada — Hébergement (Beauharnois, Québec, Canada).
• Stripe — Traitement des paiements (Canada et États-Unis). PCI DSS niveau 1.
• Anthropic, PBC — Modèles IA Claude (États-Unis). Entente zéro rétention. Accessible uniquement via Router avec Guard activé.
• OpenAI, LLC — Modèles IA GPT (États-Unis). Entente zéro rétention. Accessible uniquement via Router avec Guard activé.
• Google LLC — Modèles IA Gemini (États-Unis / UE). Accessible uniquement via Router avec Guard activé.
• Umami Software — Analytique web, auto-hébergée par SignalOrange au Canada.

7.2 Changements

SignalOrange notifiera le Client au moins 30 jours avant l'ajout ou le remplacement d'un sous-processeur traitant des Données personnelles. Le Client peut s'opposer à l'engagement d'un nouveau sous-processeur pour des motifs raisonnables liés à la protection des Données personnelles ; en cas d'opposition, les parties collaboreront de bonne foi pour trouver une solution, à défaut de quoi le Client pourra résilier les Services concernés sans pénalité.

8. Transferts hors Québec et hors Canada

Certains sous-processeurs (notamment les fournisseurs d'IA) peuvent traiter des Données personnelles hors du Québec et hors du Canada, principalement aux États-Unis et dans l'Union européenne.

Conformément à la Loi 25, SignalOrange réalise une évaluation des facteurs relatifs à la vie privée avant tout transfert hors Québec, couvrant notamment :

• Les renseignements personnels concernés et leur sensibilité.
• La finalité du transfert.
• Le régime juridique du lieu de destination.
• Les garanties contractuelles et techniques (clauses de protection, chiffrement, Guard, zéro rétention).

Les évaluations sont documentées et disponibles sur demande écrite raisonnable du Client.

9. Notification de violation

SignalOrange notifiera le Client sans délai indu, et dans tous les cas dans les 72 heures suivant la confirmation d'une Violation concernant les Données personnelles du Client. La notification inclura :

• La nature de la violation, les catégories et le nombre approximatif de personnes concernées.
• Les conséquences probables.
• Les mesures prises ou proposées pour y remédier et en atténuer les effets.
• Le point de contact pour plus d'informations.

Il appartient au Client, en tant que responsable du traitement, de notifier l'autorité de contrôle (CAI du Québec ou autre) et les personnes concernées conformément aux Lois applicables. SignalOrange l'assistera raisonnablement dans cet exercice.

10. Assistance aux droits des personnes concernées

SignalOrange fournit au Client, dans la mesure du possible via des fonctionnalités des Services, les outils nécessaires pour répondre aux demandes des personnes concernées :

• Accès et portabilité : exports de données via l'interface d'administration.
• Rectification et suppression : directement via les fonctionnalités d'édition et de suppression.
• Désindexation : sur demande écrite pour les contenus publiquement indexés.

Pour toute demande qui ne peut être satisfaite directement par le Client, SignalOrange apportera son assistance dans un délai raisonnable à [email protected].

11. Résiliation et fin du traitement

À la résiliation des Services, SignalOrange :

• Permet au Client d'exporter les Données personnelles pendant 30 jours.
• Supprime définitivement les Données personnelles des systèmes de production dans les 30 jours suivant la résiliation.
• Supprime les Données personnelles des sauvegardes dans un délai maximal de 90 jours supplémentaires.
• Conserve uniquement les renseignements strictement nécessaires au respect des obligations légales (p. ex. factures pour l'obligation fiscale canadienne de 7 ans).

12. Audits

Le Client peut demander, au plus une fois par période de 12 mois et à ses frais, un audit documentaire des mesures de sécurité de SignalOrange. SignalOrange répondra par écrit avec un rapport ou une attestation (p. ex. SOC 2 lorsque disponible). Pour les audits sur site, les parties conviendront préalablement des modalités (préavis minimum 30 jours, confidentialité, coûts).

13. Responsabilité

Les limites de responsabilité prévues aux Conditions d'utilisation s'appliquent, sous réserve des exceptions prévues par la loi pour les matières de protection des renseignements personnels.

14. Divers

• Préséance : en cas de divergence entre cet Accord et les Conditions d'utilisation sur le traitement des Données personnelles, le présent Accord prévaut.
• Modifications : SignalOrange peut modifier cet Accord pour refléter des évolutions légales ou techniques, avec préavis d'au moins 30 jours par courriel.
• Langue : les parties ont expressément demandé que le présent Accord soit rédigé en français. The parties have expressly required that the present Agreement be drawn up in French.
• Loi applicable : lois de la province de Québec et lois fédérales canadiennes applicables.

15. Nous joindre

Pour toute question relative à cet Accord ou au traitement de vos Données personnelles : [email protected].