Entente sur le traitement des données

1. Définitions

• « Lois sur la protection des données » désigne les lois sur la protection de la vie privée qui s’appliquent au traitement, par exemple le RGPD de l’UE, le RGPD du Royaume-Uni, la LPD suisse, la LPRPDE du Canada, la Loi sur la protection des renseignements personnels dans le secteur privé du Québec et les lois des États américains comme la CCPA.
• « Renseignements personnels du client » désigne les renseignements personnels de votre espace de travail que Cook traite pour vous : vos clients, prospects et contacts, les personnes qui remplissent vos formulaires, les personnes présentes dans vos messages et vos réunions, et les membres de votre équipe.
• « Responsable du traitement », « sous-traitant », « personne concernée », « traitement », « business » et « service provider » ont le sens que leur donnent les lois sur la protection des données.
• « Sous-traitant ultérieur » désigne un fournisseur auquel Cook fait appel pour traiter des renseignements personnels du client.
• « Incident de sécurité » désigne une atteinte à la sécurité qui entraîne la destruction, la perte, l’altération ou la communication non autorisée de renseignements personnels du client, ou un accès non autorisé à ceux-ci, de façon accidentelle ou illicite.

2. Rôles et portée

Pour les renseignements personnels du client, vous êtes le responsable du traitement (ou un sous-traitant qui agit pour votre propre client) et Cook est votre sous-traitant (ou sous-traitant ultérieur). Cook est un responsable distinct uniquement pour les données de compte, de facturation et d’utilisation que décrit sa Politique de confidentialité. La présente Entente demeure en vigueur tant que Cook traite des renseignements personnels du client, y compris après la fin des conditions.

3. Vos instructions

Cook traite les renseignements personnels du client uniquement selon vos instructions documentées. Les conditions, la présente Entente, vos paramètres et les demandes que vous et vos membres adressez à Cook et à ses agents constituent vos instructions. Si Cook estime qu’une instruction enfreint les lois sur la protection des données, il vous en informe. Cook ne vend pas les renseignements personnels du client, ne les communique pas à des fins de publicité comportementale entre contextes, ne les utilise à aucune autre fin que la fourniture du service pour vous et ne les utilise pas pour entraîner des modèles d’IA.

4. Vos responsabilités

• Vous disposez d’un fondement légal pour le traitement, et vous donnez aux personnes concernées les avis et obtenez les consentements qu’exigent les lois sur la protection des données.
• Vous ne versez pas dans Cook de données de catégories particulières ou sensibles (par exemple des données de santé, des données biométriques, des numéros de pièces d’identité gouvernementales ou des numéros de carte de paiement), sauf si nous l’acceptons d’abord par écrit.
• Vous protégez les identifiants de votre compte et configurez le service, par exemple qui a accès à votre espace de travail, d’une façon adaptée au risque que présentent vos données.

5. Confidentialité et sécurité

Cook veille à ce que les personnes qui peuvent accéder aux renseignements personnels du client soient tenues à la confidentialité. Cook maintient des mesures techniques et organisationnelles adaptées au risque, notamment :

• le chiffrement des données en transit (TLS) et au repos, et le chiffrement AES-GCM des identifiants des intégrations;
• un accès aux systèmes de production réservé au personnel qui en a besoin pour son travail;
• la séparation des données de chaque espace de travail et la vérification des autorisations à chaque requête;
• des sauvegardes quotidiennes conservées 14 jours, et un processus pour les restaurer;
• la journalisation et la surveillance aux fins de sécurité et de débogage.

Cook peut mettre à jour ces mesures, mais ne les rendra pas moins protectrices dans l’ensemble.

6. Incidents de sécurité

Cook vous avise sans délai indu après avoir pris connaissance d’un incident de sécurité touchant vos renseignements personnels du client. L’avis décrit ce que Cook sait à ce moment : ce qui s’est produit, les données touchées, les mesures prises par Cook et celles que Cook vous recommande. Cook vous transmet d’autres renseignements à mesure qu’il les obtient et vous aide à remplir vos propres obligations d’avis. Un avis ne constitue pas une reconnaissance de faute.

7. Sous-traitants ultérieurs

Vous autorisez Cook à faire appel aux sous-traitants ultérieurs énumérés ci-dessous. Cook conclut avec chacun un contrat écrit dont les conditions de protection des données sont au moins aussi protectrices que la présente Entente, et Cook est responsable de leur travail. Avant d’ajouter ou de remplacer un sous-traitant ultérieur, Cook met à jour cette liste et vous en avise dans l’application ou par courriel au moins 15 jours à l’avance. Si vous avez une objection raisonnable liée à la protection des données, faites-la-nous connaître pendant ce délai; si nous ne pouvons pas la résoudre, vous pouvez mettre fin au service visé et obtenir un remboursement au prorata des frais payés d’avance pour celui-ci.

Les fournisseurs que vous connectez à votre propre espace de travail (par exemple votre CRM, votre compte Google ou Zoom, ou vos applications de messagerie) agissent en vertu de votre propre entente avec eux, et non à titre de sous-traitants ultérieurs de Cook.

8. Demandes des personnes concernées

Le service vous permet de trouver, d’exporter, de corriger et de supprimer les renseignements personnels du client. Si Cook reçoit d’une personne concernée une demande au sujet de vos données, Cook vous en informe (lorsque la loi le permet) et dirige la personne vers vous. Cook vous aide de façon raisonnable pour les demandes, les évaluations des facteurs relatifs à la vie privée et les consultations des autorités de contrôle, dans la mesure où vous ne pouvez pas les faire vous-même au moyen du service.

9. Transferts internationaux

Cook et ses sous-traitants ultérieurs traitent les données principalement aux États-Unis et au Canada. Lorsque des renseignements personnels du client provenant de l’EEE, du Royaume-Uni ou de la Suisse sont transférés vers un pays qui ne bénéficie pas d’une décision d’adéquation, les parties s’appuient sur les clauses contractuelles types de la Commission européenne (module 2, responsable du traitement à sous-traitant, ou module 3, sous-traitant à sous-traitant), avec l’addenda du Royaume-Uni sur les transferts internationaux de données et les modifications suisses lorsqu’ils s’appliquent; ces clauses sont intégrées par renvoi. Pour ces clauses : la clause 7 (clause d’adhésion) s’applique; l’option 2 de la clause 9 (autorisation générale) s’applique, avec le délai d’avis prévu à l’article 7 ci-dessus; le texte facultatif de la clause 11 ne s’applique pas; les clauses 17 et 18 désignent le droit et les tribunaux de l’Irlande. Les annexes des clauses sont complétées par les articles 2 à 7 et l’article 12 de la présente Entente.

10. Audits

Sur demande écrite, Cook vous fournit les renseignements dont vous avez raisonnablement besoin pour confirmer qu’il respecte la présente Entente, par exemple des réponses à un questionnaire de sécurité. Si cela ne suffit pas, ou si une autorité de contrôle l’exige, vous pouvez auditer Cook une fois par année, à vos frais, avec un préavis de 30 jours, pendant les heures d’ouverture, par un auditeur tenu à la confidentialité, d’une façon qui ne met pas en danger les données des autres clients.

11. Restitution et suppression

Vous pouvez exporter les données de votre espace de travail à partir des Paramètres en tout temps avant la fin de votre compte. Lorsque vous supprimez votre espace de travail ou votre compte, Cook supprime les renseignements personnels du client de sa base de données active, et les copies dans les sauvegardes expirent dans un délai de 14 jours. Les fichiers (fichiers téléversés, médias générés, fichiers du lecteur de l’espace de travail et transcriptions) sont retirés du stockage en quelques minutes, conservés 30 jours dans une archive privée, puis supprimés définitivement; les vidéos de cours sont supprimées 30 jours après la suppression de l’espace de travail ou de la leçon. Tant que l’espace de travail existe, un fichier qu’aucun dossier n’utilise plus, et une ancienne version d’un fichier du lecteur, est retiré 30 jours après la fin de son utilisation ou son remplacement, puis supprimé définitivement 30 jours plus tard. Cook peut conserver les données que la loi l’oblige à conserver, et les protège selon la présente Entente tant qu’il les conserve.

12. Description du traitement

• Objet et finalité : fournir le service Cook décrit dans les conditions : agents d’IA, CRM, tunnels et formulaires, messagerie, réservations et intégrations.
• Nature : collecte, stockage, organisation, analyse, génération, transmission et suppression de données, selon vos instructions.
• Personnes concernées : vos clients, prospects et contacts, les personnes qui remplissent vos formulaires, les personnes présentes dans vos messages et vos réunions, et les membres de votre équipe.
• Catégories de données : noms et coordonnées, messages et contenu, fiches et notes CRM, détails des réunions et des réservations, registres de consentement et identifiants techniques.
• Données sensibles : aucune, sauf entente écrite.
• Fréquence et durée : continues, pendant toute la durée de votre compte, puis selon l’article 11.
• Personne-ressource de Cook pour la protection des données : responsable de la protection des renseignements personnels, [email protected], ClientAcquisition.io, 6740 Rue Briand, Montreal QC, H4E 3L5, Canada.

13. Lois des États américains

Lorsque les lois des États américains sur la protection de la vie privée s’appliquent, Cook est votre « service provider » ou « processor ». Cook traite les renseignements personnels du client uniquement pour la fin commerciale de la fourniture du service, ne les combine pas avec des données provenant d’autres sources sauf dans la mesure requise par le service et permise par la loi, respecte ces lois et vous informe s’il ne peut plus remplir ses obligations en vertu de celles-ci.

14. Dispositions générales

La limitation de responsabilité prévue aux conditions s’applique à la présente Entente. En cas de conflit entre la présente Entente et les conditions, la présente Entente l’emporte pour le traitement des renseignements personnels du client. En cas de conflit entre les clauses contractuelles types et la présente Entente, les clauses l’emportent.