Accord de traitement des données

Introduction

En vous abonnant aux services d'ATEK ou en fournissant des données à ATEK dans le cadre de l'utilisation de la Plateforme, vous (le « Client » ou « Responsable du traitement ») reconnaissez avoir lu, compris et accepté les termes du présent Accord de traitement des données (« ATD »). Cet ATD fait partie de l'accord entre vous et ATEK et complète les obligations énoncées dans notre Politique de confidentialité, Conditions générales et Accord de confidentialité et de non-divulgation.

Cet ATD doit être lu conjointement avec le Contrat de licence utilisateur final, les Conditions générales, l'Accord de niveau de service, l'Accord de confidentialité et de non-divulgation, la Politique de confidentialité et la Politique relative aux témoins.

1. Définitions

1.1 « ATEK » désigne 10007668 CANADA INC., faisant affaire sous le nom d'ATEK, dont le siège social est situé au 5490, boulevard Thimens, bureau 240, Saint-Laurent, Québec, H4R 2K9, Canada.

1.2 « Client » désigne toute personne physique ou morale qui souscrit aux Services d'ATEK, fournit des données à ATEK ou utilise la Plateforme dans le cadre d'une relation commerciale avec ATEK.

1.3 « Responsable du traitement » désigne la personne physique ou morale qui détermine les finalités et les moyens du traitement des données personnelles. Dans le cadre du présent ATD, le Client agit en qualité de responsable du traitement pour les données du Client.

1.4 « Sous-traitant » désigne la personne physique ou morale qui traite les données personnelles pour le compte du responsable du traitement. Dans le cadre du présent ATD, ATEK agit en qualité de sous-traitant pour les données du Client.

1.5 « Sous-traitant ultérieur » désigne tout tiers engagé par ATEK pour traiter les données du Client dans le cadre de la fourniture des Services. Les sous-traitants ultérieurs autorisés sont énumérés à l'Annexe A.

1.6 « Données personnelles » désigne toute information se rapportant à une personne physique identifiée ou identifiable, telle que définie par la législation applicable en matière de protection de la vie privée, y compris la LPRPDE, la Loi 25 et le RGPD.

1.7 « Données du Client » désigne l'ensemble des données soumises par le Client ou en son nom dans le cadre de l'utilisation des Services, notamment :

• Les données environnementales collectées par les capteurs (température, humidité, pression, CO2, etc.)
• Les informations relatives aux comptes utilisateurs et les données d'identification
• Les journaux d'audit et les historiques d'activité
• Les configurations, les seuils d'alerte et les préférences de la plateforme
• Les données d'étalonnage et les certificats associés
• Les rapports de conformité et les enregistrements de surveillance
• Toute autre donnée transmise via la plateforme ATEK ou les capteurs associés

1.8 « Législation sur la protection de la vie privée » désigne l'ensemble des lois et règlements applicables en matière de protection des données personnelles, notamment la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels du Québec (Loi 25), et, le cas échéant, le Règlement général sur la protection des données (RGPD) de l'Union européenne.

1.9 « Services » désigne la plateforme de surveillance environnementale d'ATEK, les capteurs connectés, le tableau de bord, les systèmes d'alerte et tous les services connexes fournis par ATEK au Client.

2. Portée et nature du traitement

2.1 ATEK traite les données du Client exclusivement aux fins de la fourniture des Services convenus et conformément aux instructions documentées du Client, sauf obligation légale contraire.

2.2 Les catégories de données traitées par ATEK comprennent les données de surveillance environnementale en temps réel, les données des comptes utilisateurs, les journaux système, les configurations de la plateforme et les rapports générés dans le cadre des Services.

2.3 Le traitement est effectué dans le but de fournir une surveillance environnementale continue, de générer des alertes et des notifications, d'assurer la conformité réglementaire, de maintenir les journaux d'audit et de produire des rapports de surveillance à l'intention du Client.

2.4 ATEK ne traite pas les données du Client à des fins autres que celles énoncées dans le présent ATD et dans les contrats de service applicables, sauf instruction contraire du Client ou obligation légale.

2.5 Dans la mesure où les données du Client comprennent des données personnelles, ATEK les traite en qualité de sous-traitant agissant sur instructions du Client, qui est le responsable du traitement. ATEK ne vend pas les données personnelles du Client et ne les utilise pas à des fins commerciales indépendantes.

3. Obligations d'ATEK en tant que sous-traitant

3.1 Traitement conforme aux instructions

ATEK traite les données du Client uniquement conformément aux instructions documentées du Client, tel que convenu dans le présent ATD et les contrats de service applicables. Si ATEK est tenu, en vertu du droit applicable, de traiter les données d'une manière non conforme aux instructions du Client, ATEK en informera le Client dans la mesure permise par la loi.

3.2 Mesures de sécurité

ATEK met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données du Client contre la destruction accidentelle ou illicite, la perte, la modification, la divulgation non autorisée ou l'accès non autorisé. Ces mesures comprennent notamment :

• Le chiffrement des données en transit et au repos
• Des contrôles d'accès basés sur les rôles et l'authentification multifactorielle
• Des évaluations régulières de la vulnérabilité et des tests de pénétration
• La journalisation des accès et la surveillance continue
• Des plans de reprise après sinistre et de continuité des activités

3.3 Confidentialité du personnel

ATEK veille à ce que le personnel autorisé à traiter les données du Client soit soumis à des obligations de confidentialité appropriées et ait reçu une formation sur les pratiques de protection des données.

3.4 Coopération

ATEK coopère avec le Client, dans la mesure du raisonnable, pour lui permettre de s'acquitter de ses obligations en vertu de la législation sur la protection de la vie privée, notamment en ce qui concerne les demandes d'accès des personnes concernées, les évaluations d'impact sur la protection des données et les consultations auprès des autorités de contrôle.

3.5 Registre des activités de traitement

ATEK tient un registre interne des activités de traitement effectuées pour le compte du Client, conformément aux exigences de la législation applicable en matière de protection de la vie privée.

4. Sous-traitance ultérieure

4.1 Le Client autorise ATEK à engager les sous-traitants ultérieurs énumérés à l'Annexe A du présent ATD pour le traitement des données du Client dans le cadre de la fourniture des Services.

4.2 ATEK informe le Client de tout changement relatif aux sous-traitants ultérieurs, y compris l'ajout ou le remplacement de sous-traitants, en mettant à jour l'Annexe A et en notifiant le Client au moins trente (30) jours avant que le changement entre en vigueur. Le Client dispose d'un droit de refus raisonnable à l'égard de tout nouveau sous-traitant ultérieur.

4.3 ATEK impose à tous les sous-traitants ultérieurs des obligations de protection des données équivalentes à celles du présent ATD, par voie contractuelle. ATEK demeure entièrement responsable envers le Client des actes et omissions de ses sous-traitants ultérieurs dans l'exercice de leurs obligations.

4.4 La liste actuelle des sous-traitants ultérieurs autorisés est disponible à l'Annexe A du présent document. Cette liste est mise à jour périodiquement pour refléter les changements apportés à l'infrastructure de traitement d'ATEK.

5. Hébergement des données et transferts

5.1 Les données du Client sont principalement stockées et traitées au Canada, conformément aux exigences de souveraineté des données applicables aux clients canadiens. ATEK utilise des régions canadiennes de Google Cloud Platform et de MongoDB Atlas pour l'hébergement des données persistantes.

5.2 Certaines données peuvent transiter par des systèmes d'infrastructure situés aux États-Unis dans le cadre de la fourniture des Services, notamment pour la livraison de notifications SMS et courriel via Twilio et SendGrid. Dans ces cas, les données sont traitées en transit uniquement et ne font l'objet d'aucun stockage persistant en dehors du Canada, sauf indication contraire dans l'Annexe A.

5.3 Tout transfert de données personnelles vers des pays tiers est effectué conformément aux exigences de la législation applicable en matière de protection de la vie privée, notamment au moyen de clauses contractuelles types ou d'autres mécanismes de transfert reconnus par les autorités compétentes.

6. Notification de violation de données

6.1 ATEK notifie le Client dans les meilleurs délais, et au plus tard dans les soixante-douze (72) heures suivant la prise de connaissance d'une violation de données susceptible d'affecter les données du Client, conformément aux obligations prévues par la législation applicable en matière de protection de la vie privée.

6.2 La notification comprend, dans la mesure où l'information est disponible au moment de la notification : une description de la nature de la violation, les catégories et le volume approximatif de données concernées, les coordonnées du responsable de la protection des données d'ATEK, une description des conséquences probables de la violation et les mesures prises ou envisagées pour y remédier.

6.3 ATEK coopère avec le Client pour l'investigation de la violation et la mise en œuvre des mesures correctives appropriées. ATEK fournit au Client les informations raisonnablement nécessaires pour lui permettre de s'acquitter de ses obligations de notification auprès des autorités de contrôle compétentes et des personnes concernées.

6.4 La notification par ATEK au titre du présent article ne constitute pas une reconnaissance de faute ou de responsabilité de la part d'ATEK.

7. Conservation et suppression des données

7.1 ATEK conserve les données du Client pendant la durée d'abonnement active et pour une période supplémentaire de quatre-vingt-dix (90) jours après la résiliation ou l'expiration du contrat de service, afin de permettre au Client d'exporter ses données.

7.2 À l'expiration de la période de conservation, ATEK supprime de façon permanente ou anonymise les données du Client conformément à ses pratiques de sécurité en vigueur, sauf obligation légale de conservation plus longue.

7.3 Sur demande écrite du Client, ATEK peut supprimer les données du Client avant l'expiration de la période de conservation standard, sous réserve des exigences légales et réglementaires applicables. ATEK confirme par écrit la suppression effective des données sur demande du Client.

7.4 Le Client peut exporter ses données à tout moment via les fonctionnalités d'exportation disponibles dans la plateforme ATEK, ou en adressant une demande écrite à l'équipe de support d'ATEK.

8. Droits des personnes concernées

8.1 Dans la mesure où les données du Client comprennent des données personnelles, le Client, en sa qualité de responsable du traitement, est responsable de répondre aux demandes d'exercice de droits formulées par les personnes concernées (droit d'accès, de rectification, d'effacement, de portabilité, d'opposition, etc.) en vertu de la législation applicable.

8.2 ATEK coopère avec le Client en répondant rapidement aux demandes raisonnables visant à aider le Client à s'acquitter de ses obligations envers les personnes concernées. Si ATEK reçoit directement une demande d'une personne concernée relative aux données du Client, ATEK en informe le Client dans les meilleurs délais et lui transmet la demande pour traitement.

8.3 ATEK met à la disposition du Client les outils et mécanismes raisonnables permettant de répondre aux demandes d'accès, de correction et de suppression des données personnelles des personnes concernées, dans la mesure où ces fonctionnalités sont disponibles dans la plateforme.

9. Évaluations d'impact sur la protection des données

Sur demande écrite du Client, ATEK coopère raisonnablement à la réalisation d'évaluations d'impact relatives à la protection des données (EIPD) concernant les activités de traitement effectuées par ATEK pour le compte du Client, lorsque de telles évaluations sont requises par la législation applicable en matière de protection de la vie privée. ATEK fournit les informations pertinentes relatives à ses pratiques de sécurité, à son infrastructure de traitement et à ses mesures de protection des données dans la mesure raisonnablement nécessaire à la conduite de l'évaluation.

10. Responsabilité

La responsabilité de chaque partie au titre du présent ATD est soumise aux limitations et exclusions prévues dans les Conditions générales et le contrat de service applicable. Dans tous les cas, la responsabilité totale d'ATEK au titre du présent ATD ne peut excéder les montants payés par le Client au cours des douze (12) mois précédant l'événement donnant lieu à la réclamation. Les parties reconnaissent que les limitations de responsabilité prévues dans le présent ATD reflètent une répartition raisonnable du risque compte tenu des Services fournis et des frais associés.

11. Durée et résiliation

11.1 Le présent ATD entre en vigueur à la date de souscription du Client aux Services d'ATEK et demeure en vigueur pendant toute la durée du contrat de service applicable entre le Client et ATEK.

11.2 En cas de résiliation ou d'expiration du contrat de service, le présent ATD prend fin automatiquement, sous réserve des dispositions relatives à la conservation et à la suppression des données prévues à l'article 7, qui continuent de s'appliquer pendant la période de conservation applicable. Les obligations de confidentialité et de sécurité des données prévues au présent ATD survivent à sa résiliation pour la durée nécessaire à la protection des données du Client.

12. Droit applicable

Le présent ATD est régi par les lois de la Province de Québec et les lois fédérales du Canada qui y sont applicables, notamment la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25). Tout litige découlant du présent ATD sera soumis à la juridiction exclusive des tribunaux compétents de la Province de Québec.

Annexe A - Sous-traitants ultérieurs autorisés

Le tableau suivant répertorie les sous-traitants ultérieurs actuellement autorisés par ATEK pour le traitement des données des clients dans le cadre de la fourniture des Services.

Aucune donnée patient

ATEK ne traite pas de données de santé des patients, de dossiers médicaux électroniques (DME) ni d'autres renseignements de santé protégés dans le cadre de la fourniture standard des Services. La plateforme surveille les conditions environnementales (température, humidité, etc.) et non les données personnelles des patients. Les clients œuvrant dans le secteur de la santé sont responsables de s'assurer que leurs pratiques de surveillance sont conformes aux lois applicables sur la santé, notamment la LPRPS en Ontario et les lois provinciales équivalentes.

Stockage et transit

La distinction entre « stockage » et « transit uniquement » est importante : les sous-traitants ultérieurs classés comme « transit uniquement » traitent les données momentanément lors de leur acheminement et ne les conservent pas après la livraison du message ou la complétion du transfert. Les données persistantes des clients sont uniquement stockées par les sous-traitants de type « stockage » (GCP et MongoDB Atlas), tous deux disposant de régions canadiennes.

Souveraineté des données canadiennes

ATEK s'engage à maintenir le stockage primaire des données clients au Canada. Les données environnementales, les configurations, les journaux d'audit et les rapports sont hébergés dans des régions canadiennes (GCP Montréal et MongoDB Atlas Canada). Les seules données transitant par des systèmes situés aux États-Unis sont les notifications SMS et courriel, qui ne font l'objet d'aucun stockage persistant hors du Canada.

Garanties contractuelles

ATEK a conclu des accords de traitement des données avec chacun des sous-traitants ultérieurs énumérés ci-dessus. Ces accords comprennent des obligations de protection des données, des mesures de sécurité, des exigences de notification en cas de violation et des restrictions sur l'utilisation des données conformes aux normes de la législation applicable en matière de protection de la vie privée.