Avenant relatif au traitement des données

1. Champ d’application

Cet avenant fait partie des Conditions d’utilisation de Simplest1. Il s’applique dès que vous conservez des données personnelles concernant d’autres personnes sur un site Simplest1 : les commentateurs et abonnés d’un blog, les clients d’un service d’assistance, les candidats de Hiring, les contacts d’un CRM, les réponses à un formulaire.

2. Rôles

• Vous, le client titulaire du compte Simplest1, décidez quelles données personnelles votre site collecte et dans quel but. Vous êtes le responsable du traitement.
• Nous, Intelliworks Inc., une société canadienne exerçant sous le nom Simplest1, conservons et traitons ces données uniquement pour faire fonctionner votre site pour vous. Nous sommes le sous-traitant.
• Les personnes sur lesquelles votre site conserve des données (vos lecteurs, clients, candidats et contacts) sont les personnes concernées.

3. Traitement sur vos instructions

• Nous traitons les données personnelles uniquement sur vos instructions. Vos instructions sont les présentes conditions, vos réglages, et ce que vous et votre équipe faites sur votre site ou par son API.
• Nous ne les vendons pas, ne les louons pas, ne les utilisons pas à des fins publicitaires et ne les utilisons pour entraîner aucun modèle. Nous ne les consultons que pour faire fonctionner, sécuriser, assister ou sauvegarder le service, ou lorsque la loi l’exige.
• Si l’une de vos instructions enfreignait la loi selon nous, nous vous en informons et pouvons refuser de la suivre.

4. Ce que nous traitons et pourquoi

• Coordonnées : noms, adresses e-mail et numéros de téléphone que vous ou vos visiteurs saisissez, pour tenir les fiches que tient votre application et envoyer les e-mails que vous lui demandez d’envoyer.
• Contenu : articles, commentaires, tickets, messages, notes, candidatures et réponses à des formulaires, pour stocker et afficher ce que contient votre site.
• Fichiers : fichiers téléversés, pièces jointes, CV et images, pour les stocker et les servir aux personnes que vous autorisez.
• E-mails : les e-mails que votre site envoie, pour les distribuer.
• E-mails envoyés à votre site : le courrier envoyé aux adresses de votre site, ou qui y est transféré depuis l’une de vos adresses, reçu par l’intermédiaire de Cloudflare, pour le recevoir et le regrouper en conversations.
• Données techniques : adresses IP, informations sur le navigateur et un hachage quotidien du visiteur pour compter les pages vues, afin de sécuriser le service, limiter les abus et compter les visites sans suivre personne.

Les données de chaque site se trouvent dans leur propre fichier de base de données, séparé de celui de tout autre site.

5. Confidentialité

Seules les personnes qui en ont besoin pour faire fonctionner le service y ont accès, et elles sont tenues de garder les données confidentielles.

6. Sécurité

Nous protégeons les données par des mesures adaptées au risque, notamment : une base de données distincte pour chaque site ; des connexions chiffrées (TLS) pour chaque requête ; une connexion par lien envoyé par e-mail ou par clé d’accès, sans mot de passe à voler ; une protection contre la falsification de requêtes intersites, l’injection et le cross-site scripting ; des limites de requêtes ; un journal d’audit indiquant qui a modifié quoi ; et des sauvegardes hors site. Notre page sur la sécurité décrit comment nous protégeons le service.

7. Sous-traitants ultérieurs

Vous nous autorisez à faire appel aux sous-traitants ultérieurs ci-dessous. Chacun est lié par un accord écrit qui protège les données au moins aussi bien que le présent avenant.

• Cloudflare, Inc. : la périphérie du réseau par laquelle passe chaque requête (TLS, protection contre les attaques), l’envoi d’e-mails, la protection des formulaires (Turnstile) et le stockage des sauvegardes (R2). Elle reçoit aussi le courrier envoyé aux adresses de votre site. Où : son réseau mondial ; les sauvegardes dans R2.
• Leaseweb : le serveur qui exécute Simplest1 et conserve les données actives de chaque site. Où : Montréal, Canada.
• Stripe, Inc. : les paiements de votre forfait Simplest1 (vos informations de facturation uniquement, jamais les données de votre site). Où : les États-Unis et ailleurs.
• OpenAI : lorsque vous activez Assist, le texte ou l’image sur lequel un rédacteur interroge Assist, ou les messages d’une conversation à laquelle un membre de l’équipe demande à Assist de répondre ou qu’il lui demande de résumer, ceux d’un client compris, pour rédiger la suggestion. Rien d’autre n’est envoyé, et OpenAI ne s’en sert pas pour entraîner ses modèles. Elle le conserve 30 jours au plus, pour détecter les abus. Où : les États-Unis.

Nous vous prévenons au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur, par e-mail et sur cette page. Si vous vous y opposez pour des motifs raisonnables et que nous ne pouvons pas résoudre le problème, vous pouvez fermer votre compte.

8. Demandes des personnes que vous servez

Votre site vous donne les outils pour répondre à une personne qui demande à voir, corriger, exporter ou supprimer ses données : l’export de tout votre site, et Réglages, Effacement, qui oublie en une seule étape tout ce que votre site conserve sous une adresse e-mail. Là où un outil ne suffit pas, nous vous aidons sur demande.

Si une personne nous écrit directement au sujet de votre site, nous vous transmettons la demande et n’y répondons pas nous-mêmes, sauf si vous nous le demandez.

9. Suppression et sauvegardes

• Vous pouvez supprimer n’importe quelle fiche à tout moment. Une fiche effacée par Effacement reste effacée : si votre site est un jour restauré à partir d’une sauvegarde, les personnes effacées sont de nouveau effacées avant que le site ne rouvre.
• Lorsque vous fermez un site, vous disposez de 30 jours pour tout exporter. Ensuite, les données du site sont supprimées, et les sauvegardes qui les contiennent encore expirent 30 jours plus tard.
• Les sauvegardes sont conservées 30 jours puis supprimées. Pendant ces 30 jours, elles ne servent qu’à restaurer le service ou votre site.

10. Violations de sécurité

Si nous avons connaissance d’une violation de sécurité entraînant la perte, la modification ou la divulgation non autorisées des données personnelles de votre site, ou un accès non autorisé à celles-ci, nous vous en informons dans les meilleurs délais et, en tout état de cause, dans les 72 heures après en avoir pris connaissance, par e-mail au titulaire du compte.

La notification indique ce qui s’est passé, quelles données et combien de personnes sont concernées, dans la mesure où nous le savons, ce que nous avons fait et ce que vous pourriez avoir à faire. Nous vous tenons informé à mesure que nous en apprenons davantage et vous aidons à remplir vos propres obligations de notification auprès des autorités de contrôle et des personnes concernées.

11. Audits

Sur demande, une fois par an, nous répondons à un questionnaire de sécurité raisonnable et vous fournissons les informations nécessaires pour démontrer que nous respectons le présent avenant.

12. Transferts internationaux

Vos données sont stockées sur des serveurs au Canada et aux États-Unis. Les données actives de votre site sont conservées sur notre serveur à Montréal, au Canada. Vos informations de facturation sont conservées par Stripe, aux États-Unis et ailleurs. Ce qu’un rédacteur ou un membre de l’équipe demande à Assist est traité par OpenAI aux États-Unis. Les requêtes, les e-mails et les sauvegardes transitent par le réseau mondial de Cloudflare ou y sont stockés, et peuvent être traités hors du Canada. Lorsque la loi de votre pays exige des garanties pour un tel transfert, nous nous appuyons sur les garanties qu’offre chaque sous-traitant ultérieur.

13. Durée

Le présent avenant s’applique aussi longtemps que nous traitons des données personnelles pour vous. Lorsqu’il prend fin, la section 9 s’applique.

14. Contact

Des questions sur cet avenant ? Écrivez-nous à [email protected].

Pour de l’aide sur votre compte, un site ou la facturation, écrivez-nous sur support.simplest1.com.