Entente de traitement des données

1. Rôles des parties

À l’égard des renseignements personnels que vous et vos utilisateurs téléversez dans le Service ou y générez (les « Renseignements personnels du client »), le Client est le responsable du traitement (ou l’équivalent, tel qu’une « entreprise » au sens de la loi applicable) et Jobyo est le sous-traitant ou prestataire de services. Jobyo ne traite les Renseignements personnels du client que suivant les instructions documentées du Client, lesquelles comprennent les Conditions d’utilisation, la présente Entente, ainsi que votre configuration et votre utilisation du Service.

Aux fins de la Loi sur la protection des renseignements personnels dans le secteur privé (Québec) (la « Loi »), le Client est l’entreprise qui recueille et détient les Renseignements personnels du client, y compris les renseignements personnels de ses employés, et Jobyo agit à titre de mandataire et de prestataire de services du Client au sens de l’article 18.3 de la Loi. Jobyo n’utilise les Renseignements personnels du client que pour exécuter ce mandat et fournir le Service, en assure la confidentialité et applique les mesures de protection prévues à l’article 7.

L’assistant d’IA intégré à Jobyo se distingue d’un outil d’IA que vous connectez. Pour l’assistant intégré, Jobyo choisit le fournisseur d’IA, conclut l’entente avec lui et lui transmet les données nécessaires pour répondre aux demandes de vos utilisateurs, dans les limites des permissions de chacun. Ce fournisseur est un sous-traitant ultérieur de Jobyo (article 5). Il incombe à Jobyo d’évaluer cette communication à l’extérieur du Québec et de conclure l’entente avec ce fournisseur. L’assistant intégré ne fait pas de recherche dans l’historique des actions. Il ne reçoit les identifiants internes des personnes qui ont créé, modifié, approuvé, fermé ou annulé un dossier qu’après que votre entreprise a accepté la version 1.7 ou une version ultérieure de l’avis sur le partage de données avec l’IA.

2. Portée et détails du traitement

• Objet : la fourniture de la plateforme Jobyo de services sur le terrain et d’établissement des coûts de projet.
• Durée : pour la durée de votre abonnement, plus toute période limitée de conservation postérieure à la résiliation.
• Nature et finalité : l’hébergement, le stockage, la transmission et le traitement des Renseignements personnels du client afin de fournir, de sécuriser, de soutenir et d’améliorer le Service.
• Types de données : coordonnées, dossiers d’employés et d’utilisateurs, dossiers de clients et de fournisseurs, bons de travail, tâches, projets, soumissions, factures, pièces jointes, géolocalisation (enregistrée lors des pointages lorsque l’appareil le permet), données d’utilisation et historique des actions : pour chaque modification qu’un utilisateur enregistre ou tente d’enregistrer dans le Service, l’utilisateur concerné, le moment, le type et l’identifiant du dossier, l’action et son résultat, ainsi que l’adresse IP de la requête (les valeurs des champs ne sont pas consignées). L’historique des actions consigne aussi chaque requête d’un outil d’IA connecté au Service : l’utilisateur qui l’a connecté, la fonction utilisée, le dossier demandé, l’identifiant de l’application connectée, l’adresse IP et, pour les recherches dans l’historique des actions, les filtres de recherche, y compris l’identifiant de tout utilisateur recherché.
• Conservation : les entrées de l’historique des actions, y compris le journal des requêtes des outils d’IA connectés et leurs filtres de recherche, sont supprimées automatiquement 12 mois après leur date. L’historique n’est disponible qu’à partir de la date où Jobyo a commencé à le consigner.
• Catégories de personnes concernées : vos utilisateurs autorisés, employés, entrepreneurs, clients et fournisseurs.

3. Obligations du client

Vous êtes responsable de l’exactitude et de la licéité des Renseignements personnels du client, ainsi que de disposer d’un fondement juridique valide et de tout avis ou consentement requis pour les recueillir et nous les faire traiter. Vos instructions doivent être conformes aux lois applicables en matière de protection des renseignements personnels.

4. Obligations de Jobyo

• Ne traiter les Renseignements personnels du client que suivant vos instructions documentées, sauf lorsque la loi l’exige (auquel cas nous vous en aviserons, à moins d’une interdiction légale).
• Ne pas vendre les Renseignements personnels du client et ne pas les utiliser à nos propres fins, y compris à des fins de publicité ou (sauf dans la mesure nécessaire à la fourniture du Service) de développement de nos propres produits.
• Veiller à ce que le personnel autorisé à traiter les Renseignements personnels du client soit tenu à la confidentialité.
• Mettre en œuvre des mesures de protection techniques et organisationnelles appropriées (article 7).
• Vous aider, compte tenu de la nature du traitement, à l’égard des demandes des personnes concernées, de la sécurité, de la notification des incidents de confidentialité et, le cas échéant, des évaluations des facteurs relatifs à la vie privée (ÉFVP).
• N’utiliser l’historique des actions, y compris le journal des requêtes de vos outils d’IA connectés, que pour fournir, sécuriser et soutenir le Service et respecter nos obligations prévues à la présente Entente, et non pour évaluer, profiler ou classer une personne à nos propres fins. Les adresses IP ne servent qu’à la sécurité et ne sont affichées ni dans le Service, ni dans son API, ni aux outils d’IA connectés.

5. Sous-traitants ultérieurs

Vous autorisez Jobyo à faire appel à des sous-traitants ultérieurs pour l’aider à fournir le Service. Nous imposons à chaque sous-traitant ultérieur des obligations en matière de protection des renseignements personnels substantiellement équivalentes à celles de la présente Entente, et nous demeurons responsables de leur exécution. Nos sous-traitants ultérieurs actuels comprennent :

• Google (Firebase et Google Cloud) — authentification, notifications, hébergement, stockage et autocomplétion d’adresses (Google Maps).
• MongoDB, Inc. (MongoDB Atlas) — hébergement géré des bases de données du Service contenant les Données client.
• Amazon Web Services (SES / S3) — réception et stockage temporaire des courriels envoyés à votre adresse d’importation de factures, lorsque vous activez cette fonction.
• Anthropic — fonctions d’IA exploitées par Jobyo : extraction par ROC des documents que vous téléversez et assistant d’IA intégré. L’assistant reçoit les données d’affaires nécessaires pour répondre aux demandes de vos utilisateurs dans les limites de leurs permissions, y compris, une fois que votre entreprise a accepté la version 1.7 de l’avis, les identifiants internes des personnes qui ont créé, modifié, approuvé, fermé ou annulé un dossier. Anthropic traite ces données selon ses conditions commerciales et l’addenda de traitement des données conclus avec Jobyo, ne les utilise pas pour entraîner ses modèles et les supprime conformément à ses modalités de conservation. Les requêtes partent de l’hébergement Google Cloud de Jobyo (Google, ci-dessus). Ni l’un ni l’autre ne reçoit les recherches dans l’historique des actions.
• Stripe — facturation des abonnements et, si vous activez l’encaissement, traitement des paiements de vos clients.
• Services de courriel Microsoft / Google — importation facultative de la boîte de réception des factures lorsqu’elle est connectée par vous.
• Fournisseur de courriels transactionnels (Resend) — envoi des courriels du Service.

Nous vous aviserons de tout sous-traitant ultérieur nouveau ou de remplacement. Si vous formulez une objection raisonnable fondée sur la protection des renseignements personnels à l’égard d’un nouveau sous-traitant ultérieur, vous pouvez nous en aviser; si nous ne pouvons raisonnablement accéder à l’objection, votre recours consiste à cesser d’utiliser la fonctionnalité visée ou à résilier l’abonnement visé.

Communications dirigées par le Client. Lorsqu’un de vos utilisateurs connecte au Service un outil d’IA que vous ou cet utilisateur avez choisi (par exemple un compte Claude ou ChatGPT), les données que l’outil obtient, y compris les résultats de recherche dans l’historique des actions, sont communiquées par le Client à ce fournisseur d’IA, selon l’entente du Client avec lui, possiblement à l’extérieur du Québec. Ce fournisseur n’est pas un sous-traitant ultérieur de Jobyo. Jobyo ne le choisit pas, n’y achemine pas les données de sa propre initiative et ne conclut aucune entente avec lui. Il incombe au Client de procéder à toute évaluation et de conclure toute entente écrite requises par l’article 17 de la Loi, et il répond du traitement des données par ce fournisseur. Les données déjà transmises à ce fournisseur se trouvent hors du Service et ne sont pas supprimées par les mesures de conservation ou de suppression de Jobyo.

6. Demandes des personnes concernées

Compte tenu de la nature du traitement, nous vous fournirons une assistance raisonnable et les outils appropriés pour vous aider à répondre aux demandes des personnes concernées souhaitant exercer leurs droits (tels que l’accès, la rectification, la suppression et la portabilité). Si nous recevons une telle demande directement au sujet des Renseignements personnels du client, nous dirigerons, dans la mesure permise, la personne vers vous.

7. Mesures de protection

Nous maintenons des mesures de protection techniques et organisationnelles appropriées visant à protéger les Renseignements personnels du client, notamment le chiffrement en transit et au repos, des contrôles d’accès fondés sur les rôles, l’isolation des données en environnement multilocataire, la sécurité du réseau et de l’infrastructure assurée par Google Cloud et MongoDB Atlas, la journalisation et des restrictions d’accès internes. Nous révisons et mettons à jour ces mesures périodiquement.

8. Notification des incidents de confidentialité

Si nous prenons connaissance d’un incident de confidentialité — ou d’une tentative ou d’un manquement soupçonné à nos obligations de confidentialité — touchant les Renseignements personnels du client, nous vous en aviserons sans délai (au responsable de la protection des renseignements personnels que vous avez désigné, le cas échéant) et vous fournirons les renseignements raisonnablement à notre disposition pour vous aider à respecter vos propres obligations de notification. Notre notification ne constitue pas une reconnaissance de faute ou de responsabilité.

Notre avis précisera, si l’information est connue, si l’incident touche l’historique des actions ou le journal des requêtes des outils d’IA connectés, lesquels portent sur vos employés. Nous vous fournirons les renseignements dont nous disposons pour appuyer votre propre évaluation du risque de préjudice sérieux et vos avis à la Commission d’accès à l’information et aux personnes concernées, et nous tiendrons notre propre registre de l’incident. Jobyo ne répond pas des incidents survenant chez un fournisseur d’IA que vous avez choisi (article 5), mais vous aidera à déterminer, à partir du journal et pendant les 12 mois de sa conservation, quelles données le connecteur a obtenues.

9. Transferts internationaux

Les Renseignements personnels du client sont traités et stockés sur les infrastructures de Google Cloud et de MongoDB Atlas, principalement situées aux États-Unis, et peuvent être traités par des sous-traitants ultérieurs dans d’autres pays. Lorsque cela est requis, nous nous appuyons sur des mécanismes de transfert appropriés, tels que les clauses contractuelles types, afin d’assurer un niveau de protection adéquat pour les transferts transfrontaliers.

10. Vérifications

Sur demande écrite raisonnable, et sous réserve de confidentialité, nous mettrons à disposition les renseignements raisonnablement nécessaires pour démontrer notre conformité à la présente Entente. Lorsque la loi applicable exige davantage, les parties collaboreront de bonne foi pour convenir d’une portée de vérification raisonnable qui ne compromette pas la sécurité ou la confidentialité des autres clients.

11. Restitution et destruction des données

À la résiliation du Service, nous mettrons les Données client à disposition pour exportation pendant une période limitée (habituellement jusqu’à 30 jours), après quoi nous détruirons ou anonymiserons les Renseignements personnels du client, sauf lorsque la loi exige leur conservation. Les copies de sauvegarde sont détruites dans le cours normal de notre cycle de conservation.

À la résiliation, l’historique des actions et le journal des requêtes des connecteurs sont supprimés avec le reste des Renseignements personnels du client conformément au présent article. Lorsque les renseignements personnels d’un utilisateur sont supprimés à la suite d’une demande, les entrées de l’historique des actions qui le concernent sont anonymisées et leur adresse IP est retirée.

12. Coordonnées

Pour toute question au sujet de la présente Entente ou pour soumettre une demande en matière de protection des renseignements personnels, communiquez avec nous à l’adresse info@jobyo.io.
NidSons Inc. (faisant affaire sous le nom de Jobyo), Montréal (Québec) Canada