Accord de traitement des données

1. Parties, intégration et priorité

Le présent ATD encadre le traitement effectué par InnuCloud Experts Inc. (le « sous-traitant ») pour le client identifié dans l’entente d’abonnement ou de services applicable (le « responsable du traitement »). L’adresse d’InnuCloud est le 2020 Trans-Canada Hwy, Dorval, Montreal, QC H9P 2N4, Canada; contact : info@innucloud.com.

L’ATD fait partie de l’entente lorsqu’il y est intégré ou signé selon ses modalités. Un ATD client signé prévaut sur la présente présentation publique. En cas de contradiction concernant le traitement des renseignements personnels, l’ATD applicable prévaut sur les modalités commerciales générales; les règles impératives et les clauses de transfert applicables demeurent prioritaires.

2. Rôles et instructions documentées

Le client détermine les fins, fondements légaux, avis, permissions et destinataires autorisés. InnuCloud traite les renseignements uniquement sur instructions documentées afin de fournir, maintenir, sécuriser et soutenir le Service convenu, y compris les transferts autorisés, sauf obligation légale contraire. Lorsque la loi le permet, nous avisons le client d’une telle obligation avant le traitement.

InnuCloud informe le client si, à son avis, une instruction contrevient au droit applicable en matière de protection des données. Une référence générale à l’amélioration du produit n’autorise pas un traitement hors des instructions du client. InnuCloud ne vend pas les renseignements qu’elle traite pour le client.

3. Description du traitement — annexe I

Objet et durée

Exploitation de MigiHub pendant l’entente et la période applicable de restitution, suppression ou conservation légalement requise.

Activités

Collecte sur instruction, hébergement, stockage, organisation, consultation, transmission, communication autorisée, soutien, examen de sécurité et suppression.

Personnes concernées

Administrateurs, employés, contractuels, interprètes, candidats, clients, bénéficiaires de services et autres personnes dont les renseignements sont soumis légalement.

Catégories de données

Identité et coordonnées; comptes et permissions; dossiers professionnels, RH et qualifications; projets, réservations, affectations, horaires, heures, dépenses, approbations et signatures; métadonnées de communication et d’audit; fichiers du client; localisation et intégrations facultatives.

Données sensibles

Uniquement lorsque nécessaires, licites et convenues avec les protections appropriées. Ne transmettez pas de détails médicaux, identifiants gouvernementaux ou renseignements sensibles sans lien avec le service simplement parce qu’un champ le permet.

Fréquence des transferts

Selon les besoins du Service configuré. L’exportateur, l’importateur, l’établissement pertinent et l’autorité compétente doivent être identifiés dans l’annexe de transfert signée applicable.

4. Personnel et confidentialité

L’accès est limité au personnel autorisé pour ses fonctions et soumis à des obligations de confidentialité. Nous appliquons le moindre privilège, des permissions par rôle et des vérifications d’accès adaptées au service. Le client demeure responsable de la création de ses comptes et des permissions de ses utilisateurs.

5. Mesures de sécurité — annexe II

Les mesures techniques et organisationnelles sont proportionnées aux risques du traitement et comprennent, selon le cas :

• Gouvernance de sécurité, sensibilisation du personnel et confidentialité.
• Contrôles d’identité et de session, prise en charge de l’authentification unique, permissions par rôle et accès administratif restreint.
• TLS en transit, chiffrement des espaces de production visés et accès restreint aux clés et secrets.
• Développement sécurisé, revue de code, gestion des dépendances et vulnérabilités, correctifs et durcissement.
• Séparation logique des clients, minimisation et utilisation restreinte hors production.
• Traçabilité, surveillance, alertes et procédures de réponse aux incidents.
• Sauvegardes protégées, procédures de restauration et continuité.
• Évaluation des fournisseurs et obligations contractuelles de protection.

L’annexe de sécurité convenue précise la mise en œuvre applicable et les exigences d’assurance supplémentaires. Cette liste publique ne crée aucune certification ni objectif fixe de reprise.

6. Sous-traitants ultérieurs — annexe III

Sous réserve de l’entente applicable, le client autorise généralement le recours à des sous-traitants ultérieurs pour l’infrastructure et le stockage, l’envoi de communications, le soutien et le suivi des erreurs ainsi que la télémétrie de sécurité du service. La liste nominative à jour, les fins et les lieux pertinents sont disponibles sur demande; les catégories seules ne constituent pas un registre complet des fournisseurs.

Nous imposons des obligations au moins aussi protectrices que celles de l’ATD applicable et demeurons responsables selon la loi. Nous donnons un préavis des ajouts ou remplacements prévus et permettons les objections raisonnables relatives à la protection des données selon l’entente. Les intégrations indépendantes choisies par le client doivent être évaluées selon leur rôle réel; elles ne sont pas automatiquement des sous-traitants d’InnuCloud.

7. Droits, évaluations et incidents

Compte tenu du traitement et des renseignements dont nous disposons, nous apportons une assistance raisonnable pour les demandes d’exercice de droits, évaluations d’impact, consultations et obligations de sécurité du client. Les demandes reçues directement sont acheminées au client responsable, sauf réponse différente exigée par la loi.

Nous avisons le client sans délai indu après avoir pris connaissance d’une violation de données et fournissons les renseignements disponibles sur sa nature, les catégories touchées, les conséquences probables, les mesures d’atténuation et le point de contact. Ces renseignements peuvent être transmis progressivement. Le client demeure responsable de ses avis aux autorités et aux personnes concernées.

8. Transferts internationaux

Un transfert doit reposer sur un mécanisme valide pour les parties, données et destinations concernées. Lorsqu’une décision d’adéquation ne couvre pas le transfert, les clauses contractuelles types de l’UE et des mesures supplémentaires peuvent être nécessaires. Les transferts britanniques peuvent utiliser l’IDTA ou l’addendum britannique aux clauses de l’UE; les transferts suisses exigent les adaptations appropriées.

Les clauses de transfert applicables et leurs annexes complétées doivent être intégrées à l’entente. Une simple référence sur ce site ne les rend pas exécutées. Consultez Transferts internationaux et DPF.

9. Registres et audits

Nous tenons les registres de traitement pertinents et fournissons les renseignements raisonnablement nécessaires pour démontrer le respect des obligations. Les audits utilisent la documentation et les rapports indépendants disponibles lorsque cela convient, avec des protections de confidentialité, de sécurité et de continuité.

Sauf exigence contraire d’une règle impérative, d’une clause de transfert applicable ou d’une entente signée, les audits clients se font sur préavis raisonnable pendant les heures ouvrables, normalement au plus une fois par période de 12 mois, avec examen supplémentaire justifié après une violation confirmée. Les limites d’audit ne doivent pas empêcher les vérifications exigées par la loi.

10. Restitution, suppression et autres modalités

À la fin du Service, les renseignements sont restitués ou supprimés au choix du client selon l’ATD applicable. Dans le cadre du mécanisme publié de 90 jours, le client transmet rapidement ses instructions écrites afin que l’export dans un format courant lisible par machine et la suppression puissent être traités dans les 90 jours suivant la résiliation ou l’expiration. Un ATD signé peut fixer une autre période et prévaut.

Les obligations légales de conservation et les sauvegardes protégées en attente d’écrasement planifié constituent des exceptions; l’accès demeure restreint et les données ne sont pas réutilisées à d’autres fins. La responsabilité, le droit applicable et les dispositions générales suivent l’entente, sans écarter les règles impératives de protection des données ou les clauses de transfert applicables. Contactez-nous pour obtenir un ATD prêt à signer et compléter les annexes requises.