Accord de traitement des donnees

Introduction

En vous abonnant aux services d'ATEK ou en fournissant des donnees a ATEK dans le cadre de l'utilisation de la Plateforme, vous (le « Client » ou « Responsable du traitement ») reconnaissez avoir lu, compris et accepte les termes du present Accord de traitement des donnees (« ATD »). Cet ATD fait partie de l'accord entre vous et ATEK et complete les obligations enoncees dans notre Politique de confidentialite, Conditions generales et Accord de confidentialite et de non-divulgation.

Cet ATD doit etre lu conjointement avec le Contrat de licence utilisateur final, les Conditions generales, l'Accord de niveau de service, l'Accord de confidentialite et de non-divulgation, la Politique de confidentialite et la Politique relative aux temoins.

1. Definitions

1.1 « ATEK » designe 10007668 CANADA INC., faisant affaire sous le nom d'ATEK, dont le siege social est situe au 5490, boulevard Thimens, bureau 240, Saint-Laurent, Quebec, H4R 2K9, Canada.

1.2 « Client » designe toute personne physique ou morale qui souscrit aux Services d'ATEK, fournit des donnees a ATEK ou utilise la Plateforme dans le cadre d'une relation commerciale avec ATEK.

1.3 « Responsable du traitement » designe la personne physique ou morale qui determine les finalites et les moyens du traitement des donnees personnelles. Dans le cadre du present ATD, le Client agit en qualite de responsable du traitement pour les donnees du Client.

1.4 « Sous-traitant » designe la personne physique ou morale qui traite les donnees personnelles pour le compte du responsable du traitement. Dans le cadre du present ATD, ATEK agit en qualite de sous-traitant pour les donnees du Client.

1.5 « Sous-traitant ulterieur » designe tout tiers engage par ATEK pour traiter les donnees du Client dans le cadre de la fourniture des Services. Les sous-traitants ulterieurs autorises sont enumeres a l'Annexe A.

1.6 « Donnees personnelles » designe toute information se rapportant a une personne physique identifiee ou identifiable, telle que definie par la legislation applicable en matiere de protection de la vie privee, y compris la LPRPDE, la Loi 25 et le RGPD.

1.7 « Donnees du Client » designe l'ensemble des donnees soumises par le Client ou en son nom dans le cadre de l'utilisation des Services, notamment :

• Les donnees environnementales collectees par les capteurs (temperature, humidite, pression, CO2, etc.)
• Les informations relatives aux comptes utilisateurs et les donnees d'identification
• Les journaux d'audit et les historiques d'activite
• Les configurations, les seuils d'alerte et les preferences de la plateforme
• Les donnees d'etalonnage et les certificats associes
• Les rapports de conformite et les enregistrements de surveillance
• Toute autre donnee transmise via la plateforme ATEK ou les capteurs associes

1.8 « Legislation sur la protection de la vie privee » designe l'ensemble des lois et reglements applicables en matiere de protection des donnees personnelles, notamment la Loi sur la protection des renseignements personnels et les documents electroniques (LPRPDE), la Loi modernisant des dispositions legislatives en matiere de protection des renseignements personnels du Quebec (Loi 25), et, le cas echeant, le Reglement general sur la protection des donnees (RGPD) de l'Union europeenne.

1.9 « Services » designe la plateforme de surveillance environnementale d'ATEK, les capteurs connectes, le tableau de bord, les systemes d'alerte et tous les services connexes fournis par ATEK au Client.

2. Portee et nature du traitement

2.1 ATEK traite les donnees du Client exclusivement aux fins de la fourniture des Services convenus et conformement aux instructions documentees du Client, sauf obligation legale contraire.

2.2 Les categories de donnees traitees par ATEK comprennent les donnees de surveillance environnementale en temps reel, les donnees des comptes utilisateurs, les journaux systeme, les configurations de la plateforme et les rapports generes dans le cadre des Services.

2.3 Le traitement est effectue dans le but de fournir une surveillance environnementale continue, de generer des alertes et des notifications, d'assurer la conformite reglementaire, de maintenir les journaux d'audit et de produire des rapports de surveillance a l'intention du Client.

2.4 ATEK ne traite pas les donnees du Client a des fins autres que celles enoncees dans le present ATD et dans les contrats de service applicables, sauf instruction contraire du Client ou obligation legale.

2.5 Dans la mesure ou les donnees du Client comprennent des donnees personnelles, ATEK les traite en qualite de sous-traitant agissant sur instructions du Client, qui est le responsable du traitement. ATEK ne vend pas les donnees personnelles du Client et ne les utilise pas a des fins commerciales independantes.

3. Obligations d'ATEK en tant que sous-traitant

3.1 Traitement conforme aux instructions

ATEK traite les donnees du Client uniquement conformement aux instructions documentees du Client, tel que convenu dans le present ATD et les contrats de service applicables. Si ATEK est tenu, en vertu du droit applicable, de traiter les donnees d'une maniere non conforme aux instructions du Client, ATEK en informera le Client dans la mesure permise par la loi.

3.2 Mesures de securite

ATEK met en oeuvre des mesures techniques et organisationnelles appropriees pour proteger les donnees du Client contre la destruction accidentelle ou illicite, la perte, la modification, la divulgation non autorisee ou l'acces non autorise. Ces mesures comprennent notamment :

• Le chiffrement des donnees en transit et au repos
• Des controles d'acces bases sur les roles et l'authentification multifactorielle
• Des evaluations regulieres de la vulnerabilite et des tests de penetration
• La journalisation des acces et la surveillance continue
• Des plans de reprise apres sinistre et de continuite des activites

3.3 Confidentialite du personnel

ATEK veille a ce que le personnel autorise a traiter les donnees du Client soit soumis a des obligations de confidentialite appropriees et ait recu une formation sur les pratiques de protection des donnees.

3.4 Cooperation

ATEK coopere avec le Client, dans la mesure du raisonnable, pour lui permettre de s'acquitter de ses obligations en vertu de la legislation sur la protection de la vie privee, notamment en ce qui concerne les demandes d'acces des personnes concernees, les evaluations d'impact sur la protection des donnees et les consultations aupres des autorites de controle.

3.5 Registre des activites de traitement

ATEK tient un registre interne des activites de traitement effectuees pour le compte du Client, conformement aux exigences de la legislation applicable en matiere de protection de la vie privee.

4. Sous-traitance ulterieure

4.1 Le Client autorise ATEK a engager les sous-traitants ulterieurs enumeres a l'Annexe A du present ATD pour le traitement des donnees du Client dans le cadre de la fourniture des Services.

4.2 ATEK informe le Client de tout changement relatif aux sous-traitants ulterieurs, y compris l'ajout ou le remplacement de sous-traitants, en mettant a jour l'Annexe A et en notifiant le Client au moins trente (30) jours avant que le changement entre en vigueur. Le Client dispose d'un droit de refus raisonnable a l'egard de tout nouveau sous-traitant ulterieur.

4.3 ATEK impose a tous les sous-traitants ulterieurs des obligations de protection des donnees equivalentes a celles du present ATD, par voie contractuelle. ATEK demeure entierement responsable envers le Client des actes et omissions de ses sous-traitants ulterieurs dans l'exercice de leurs obligations.

4.4 La liste actuelle des sous-traitants ulterieurs autorises est disponible a l'Annexe A du present document. Cette liste est mise a jour periodiquement pour refleter les changements apportes a l'infrastructure de traitement d'ATEK.

5. Hebergement des donnees et transferts

5.1 Les donnees du Client sont principalement stockees et traitees au Canada, conformement aux exigences de souverainete des donnees applicables aux clients canadiens. ATEK utilise des regions canadiennes de Google Cloud Platform et de MongoDB Atlas pour l'hebergement des donnees persistantes.

5.2 Certaines donnees peuvent transiter par des systemes d'infrastructure situes aux Etats-Unis dans le cadre de la fourniture des Services, notamment pour la livraison de notifications SMS et courriel via Twilio et SendGrid. Dans ces cas, les donnees sont traitees en transit uniquement et ne font l'objet d'aucun stockage persistant en dehors du Canada, sauf indication contraire dans l'Annexe A.

5.3 Tout transfert de donnees personnelles vers des pays tiers est effectue conformement aux exigences de la legislation applicable en matiere de protection de la vie privee, notamment au moyen de clauses contractuelles types ou d'autres mecanismes de transfert reconnus par les autorites competentes.

6. Notification de violation de donnees

6.1 ATEK notifie le Client dans les meilleurs delais, et au plus tard dans les soixante-douze (72) heures suivant la prise de connaissance d'une violation de donnees susceptible d'affecter les donnees du Client, conformement aux obligations prevues par la legislation applicable en matiere de protection de la vie privee.

6.2 La notification comprend, dans la mesure ou l'information est disponible au moment de la notification : une description de la nature de la violation, les categories et le volume approximatif de donnees concernees, les coordonnees du responsable de la protection des donnees d'ATEK, une description des consequences probables de la violation et les mesures prises ou envisagees pour y remedier.

6.3 ATEK coopere avec le Client pour l'investigation de la violation et la mise en oeuvre des mesures correctives appropriees. ATEK fournit au Client les informations raisonnablement necessaires pour lui permettre de s'acquitter de ses obligations de notification aupres des autorites de controle competentes et des personnes concernees.

6.4 La notification par ATEK au titre du present article ne constitute pas une reconnaissance de faute ou de responsabilite de la part d'ATEK.

7. Conservation et suppression des donnees

7.1 ATEK conserve les donnees du Client pendant la duree d'abonnement active et pour une periode supplementaire de quatre-vingt-dix (90) jours apres la resiliation ou l'expiration du contrat de service, afin de permettre au Client d'exporter ses donnees.

7.2 A l'expiration de la periode de conservation, ATEK supprime de facon permanente ou anonymise les donnees du Client conformement a ses pratiques de securite en vigueur, sauf obligation legale de conservation plus longue.

7.3 Sur demande ecrite du Client, ATEK peut supprimer les donnees du Client avant l'expiration de la periode de conservation standard, sous reserve des exigences legales et reglementaires applicables. ATEK confirme par ecrit la suppression effective des donnees sur demande du Client.

7.4 Le Client peut exporter ses donnees a tout moment via les fonctionnalites d'exportation disponibles dans la plateforme ATEK, ou en adressant une demande ecrite a l'equipe de support d'ATEK.

8. Droits des personnes concernees

8.1 Dans la mesure ou les donnees du Client comprennent des donnees personnelles, le Client, en sa qualite de responsable du traitement, est responsable de repondre aux demandes d'exercice de droits formulees par les personnes concernees (droit d'acces, de rectification, d'effacement, de portabilite, d'opposition, etc.) en vertu de la legislation applicable.

8.2 ATEK coopere avec le Client en repondant rapidement aux demandes raisonnables visant a aider le Client a s'acquitter de ses obligations envers les personnes concernees. Si ATEK recoit directement une demande d'une personne concernee relative aux donnees du Client, ATEK en informe le Client dans les meilleurs delais et lui transmet la demande pour traitement.

8.3 ATEK met a la disposition du Client les outils et mecanismes raisonnables permettant de repondre aux demandes d'acces, de correction et de suppression des donnees personnelles des personnes concernees, dans la mesure ou ces fonctionnalites sont disponibles dans la plateforme.

9. Evaluations d'impact sur la protection des donnees

Sur demande ecrite du Client, ATEK coopere raisonnablement a la realisation d'evaluations d'impact relatives a la protection des donnees (EIPD) concernant les activites de traitement effectuees par ATEK pour le compte du Client, lorsque de telles evaluations sont requises par la legislation applicable en matiere de protection de la vie privee. ATEK fournit les informations pertinentes relatives a ses pratiques de securite, a son infrastructure de traitement et a ses mesures de protection des donnees dans la mesure raisonnablement necessaire a la conduite de l'evaluation.

10. Responsabilite

La responsabilite de chaque partie au titre du present ATD est soumise aux limitations et exclusions prevues dans les Conditions generales et le contrat de service applicable. Dans tous les cas, la responsabilite totale d'ATEK au titre du present ATD ne peut exceder les montants payes par le Client au cours des douze (12) mois precedant l'evenement donnant lieu a la reclamation. Les parties reconnaissent que les limitations de responsabilite prevues dans le present ATD refletent une repartition raisonnable du risque compte tenu des Services fournis et des frais associes.

11. Duree et resiliation

11.1 Le present ATD entre en vigueur a la date de souscription du Client aux Services d'ATEK et demeure en vigueur pendant toute la duree du contrat de service applicable entre le Client et ATEK.

11.2 En cas de resiliation ou d'expiration du contrat de service, le present ATD prend fin automatiquement, sous reserve des dispositions relatives a la conservation et a la suppression des donnees prevues a l'article 7, qui continuent de s'appliquer pendant la periode de conservation applicable. Les obligations de confidentialite et de securite des donnees prevues au present ATD survivent a sa resiliation pour la duree necessaire a la protection des donnees du Client.

12. Droit applicable

Le present ATD est regi par les lois de la Province de Quebec et les lois federales du Canada qui y sont applicables, notamment la Loi sur la protection des renseignements personnels et les documents electroniques (LPRPDE) et la Loi modernisant des dispositions legislatives en matiere de protection des renseignements personnels (Loi 25). Tout litige decoulant du present ATD sera soumis a la juridiction exclusive des tribunaux competents de la Province de Quebec.

Annexe A - Sous-traitants ulterieurs autorises

Le tableau suivant repertorie les sous-traitants ulterieurs actuellement autorises par ATEK pour le traitement des donnees des clients dans le cadre de la fourniture des Services.

Aucune donnee patient

ATEK ne traite pas de donnees de sante des patients, de dossiers medicaux electroniques (DME) ni d'autres renseignements de sante proteges dans le cadre de la fourniture standard des Services. La plateforme surveille les conditions environnementales (temperature, humidite, etc.) et non les donnees personnelles des patients. Les clients oeuvrant dans le secteur de la sante sont responsables de s'assurer que leurs pratiques de surveillance sont conformes aux lois applicables sur la sante, notamment la LPRPS en Ontario et les lois provinciales equivalentes.

Stockage et transit

La distinction entre « stockage » et « transit uniquement » est importante : les sous-traitants ulterieurs classes comme « transit uniquement » traitent les donnees momentanement lors de leur acheminement et ne les conservent pas apres la livraison du message ou la completion du transfert. Les donnees persistantes des clients sont uniquement stockees par les sous-traitants de type « stockage » (GCP et MongoDB Atlas), tous deux disposant de regions canadiennes.

Souverainete des donnees canadiennes

ATEK s'engage a maintenir le stockage primaire des donnees clients au Canada. Les donnees environnementales, les configurations, les journaux d'audit et les rapports sont heberges dans des regions canadiennes (GCP Montreal et MongoDB Atlas Canada). Les seules donnees transitant par des systemes situes aux Etats-Unis sont les notifications SMS et courriel, qui ne font l'objet d'aucun stockage persistant hors du Canada.

Garanties contractuelles

ATEK a conclu des accords de traitement des donnees avec chacun des sous-traitants ulterieurs enumeres ci-dessus. Ces accords comprennent des obligations de protection des donnees, des mesures de securite, des exigences de notification en cas de violation et des restrictions sur l'utilisation des donnees conformes aux normes de la legislation applicable en matiere de protection de la vie privee.