Addenda sur le traitement des données

Le présent addenda sur le traitement des données (l'« Addenda ») fait partie intégrante des Conditions d'utilisation conclues entre Kodless.ai (entreprise individuelle d’Özge Savasci, numéro d’entreprise du Québec 2282178096), Montréal, Québec, Canada (« Aillo », le sous-traitant ou prestataire de services) et l'entreprise ou l'agence qui utilise le Service (le « Client », le responsable du traitement ou l'organisation responsable). Il s'applique automatiquement chaque fois qu'Aillo traite des renseignements personnels pour le compte du Client et satisfait aux exigences de l'article 28 du RGPD et du RGPD du Royaume-Uni, des articles 18.3 et 17 de la Loi 25 du Québec, de la LPRPDE et de l'article 12 de la KVKK de la Türkiye. Lorsqu'une agence utilise le Service pour ses clients, l'agence est le Client et répercute ces engagements sur ses clients.

1. Objet, nature et durée

• Finalité : répondre aux appels téléphoniques du Client et les renvoyer, prendre des rendez-vous, prendre des messages, envoyer des avis et fournir le tableau de bord, selon les instructions données par le Client au moyen de ses paramètres.
• Personnes concernées : les personnes qui appellent le Client; les clients, les membres du personnel et les utilisateurs du Client.
• Renseignements personnels : numéros de téléphone, noms, métadonnées des appels, transcriptions des appels (l'audio est traité en temps réel et n'est pas conservé), détails des rendez-vous, messages et tout ce qu'un appelant choisit de dire. Le Client ne devrait pas configurer le Service pour recueillir des catégories particulières de données ou des renseignements sensibles, à moins de disposer d'un fondement légal pour le faire.
• Durée : la durée du compte du Client, plus la période de suppression prévue à la section 9.

2. Instructions

Aillo traite ces renseignements personnels uniquement sur instructions documentées du Client — les Conditions d'utilisation, le présent Addenda et la configuration du Client — et non à ses propres fins, à moins que la loi n'en dispose autrement, auquel cas Aillo en informe d'abord le Client, sauf si la loi l'interdit. Aillo informe le Client si elle estime qu'une instruction contrevient à la législation sur la protection des données.

3. Confidentialité

Aillo veille à ce que les personnes autorisées à traiter les renseignements personnels soient tenues à la confidentialité et n'y accèdent que dans la mesure nécessaire pour fournir le Service, en assurer la sécurité ou offrir du soutien.

4. Sécurité

Aillo maintient des mesures techniques et organisationnelles adaptées au risque, notamment :

• le chiffrement en transit (TLS) et le chiffrement des identifiants d'agenda conservés;
• le cloisonnement des locataires appliqué dans la base de données, afin que chaque Client ne voie que ses propres données;
• un accès selon le principe du moindre privilège pour le personnel et les comptes de service, avec journalisation des actions administratives;
• l'absence de conservation de l'audio des appels et la suppression automatique des transcriptions, des messages et des détails des rendez-vous selon le calendrier prévu à la section 9;
• un développement logiciel sécurisé, des examens des dépendances et de sécurité, et des procédures de reprise mises à l'essai.

5. Incidents de confidentialité

Aillo avise le Client dans les meilleurs délais, et en tout état de cause dans les 48 heures après en avoir pris connaissance, de tout incident touchant les renseignements personnels du Client, en lui fournissant les renseignements dont il a besoin pour l'évaluer, aviser les autorités et les personnes lorsque la loi l'exige (par exemple dans un délai de 72 heures en vertu du RGPD) et tenir son propre registre des incidents. Aillo consigne également l'incident dans son propre registre et prend des mesures pour réduire le risque qu'un préjudice soit causé.

6. Sous-traitants ultérieurs

Le Client autorise Aillo à recourir aux sous-traitants ultérieurs suivants. Aillo impose à chacun, par entente écrite, des obligations de protection des données au moins aussi protectrices que le présent Addenda et demeure responsable à leur égard.

• Supabase — base de données et authentification — Canada.
• Railway — hébergement de l'application — États-Unis; service vocal — Union européenne.
• Cloudflare — acheminement réseau et sécurité — mondial.
• Telnyx — téléphonie et vérification des numéros — États-Unis.
• Google (API Gemini) — compréhension de la parole et réponse en temps réel — États-Unis.
• Resend — avis par courriel — États-Unis.
• Google Agenda / Microsoft Outlook — seulement si le Client les connecte.

Aillo annoncera tout sous-traitant ultérieur nouveau ou de remplacement par courriel ou dans le Service au moins 30 jours à l'avance. Le Client peut s'y opposer pour des motifs raisonnables liés à la protection des données; si les parties ne parviennent pas à résoudre la question, le Client peut résilier le Service visé sans pénalité.

7. Transferts internationaux

Les renseignements personnels peuvent être traités au Canada, dans l'Union européenne et aux États-Unis. Pour les données personnelles provenant de l'Espace économique européen, du Royaume-Uni ou de la Suisse, les transferts reposent sur des décisions d'adéquation (notamment celle visant le Canada), sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) et ses extensions lorsque le destinataire est certifié, ou sur les clauses contractuelles types de la Commission européenne (module 2 ou 3, selon le cas) accompagnées de l'addendum du Royaume-Uni, lesquelles sont intégrées par renvoi au présent Addenda pour ces transferts. Pour le Québec, Aillo a évalué la protection accordée à l'extérieur du Québec comme l'exige l'article 17 de la Loi 25. Pour la Türkiye, les transferts respectent l'article 9 de la KVKK et recourent aux contrats types qu'elle prévoit lorsque cela est requis.

8. Assistance

Compte tenu de la nature du traitement, Aillo aide le Client à répondre aux demandes des personnes qui exercent leurs droits (accès, rectification, suppression, portabilité, opposition), à réaliser des évaluations des facteurs relatifs à la vie privée et des consultations préalables, et à remplir ses obligations en matière de sécurité et d'incidents. Aillo transmet au Client toute demande qu'elle reçoit de l'un des appelants du Client et n'y répond pas directement, sauf sur instructions du Client.

9. Suppression et restitution

Pendant la durée du compte, les transcriptions sont effacées après 90 jours, les messages lus après 12 mois et les renseignements sur les appelants figurant dans les rendez-vous après 24 mois, et le Client peut supprimer des éléments plus tôt dans le tableau de bord. À la fin du compte, Aillo supprime les renseignements personnels du Client dans un délai de 30 jours, ou les restitue sur demande présentée avant l'expiration de ce délai, à l'exception des registres de facturation que la loi oblige Aillo à conserver.

10. Audits

Aillo met à disposition les renseignements nécessaires pour démontrer le respect du présent Addenda et répond aux questionnaires écrits raisonnables. Lorsque cela ne suffit pas, le Client peut, à ses frais et moyennant un préavis de 30 jours, faire réaliser un audit une fois par année par un auditeur indépendant tenu à la confidentialité, d'une manière qui ne perturbe pas le Service et n'expose pas les données d'autres clients.

11. Préséance et coordonnées

En cas de conflit entre le présent Addenda et les Conditions d'utilisation, le présent Addenda prévaut pour les renseignements personnels traités pour le compte du Client; les clauses contractuelles types prévalent sur les deux lorsqu'elles s'appliquent. Questions : [email protected].