Mentions légales

Avenant relatif au traitement des données

Cette traduction est fournie à titre de commodité. En cas de différence avec la version anglaise, la version anglaise prévaut. Lire la version anglaise

Dernière mise à jour : 21 octobre 2026

Le présent avenant relatif au traitement des données (« ATD ») fait partie des Conditions d’utilisation intervenues entre CIPHRA SOFTWARE INC. (« Ciphra », « nous »), qui exploite ReceptionWorks, et l’entreprise qui utilise ReceptionWorks (« vous »). Il s’applique lorsque nous traitons des renseignements personnels pour votre compte et que le GDPR, le UK GDPR, la Loi fédérale suisse sur la protection des données ou une autre loi sur la protection des données s’applique à ce traitement (« droit de la protection des données »). Vous acceptez l’ATD lorsque vous acceptez les Conditions ; aucune signature n’est requise. Si l’ATD et les Conditions entrent en conflit au sujet du traitement des renseignements personnels, l’ATD s’applique.

1. Définitions

• Renseignements personnels des clients : renseignements personnels que vous, votre équipe ou vos clients soumettez à ReceptionWorks et que nous traitons pour votre compte, comme les conversations et les dossiers clients.
• Sous-traitant ultérieur : un tiers que nous engageons pour traiter les renseignements personnels des clients.
• Atteinte aux données personnelles : une atteinte à la sécurité qui entraîne la destruction, la perte, la modification ou la divulgation non autorisée, accidentelle ou illicite, de renseignements personnels des clients, ou l’accès à ceux-ci.
• Responsable du traitement, sous-traitant, personne concernée et traitement ont le sens que leur donne le droit de la protection des données.

2. Rôles et instructions

• Vous êtes le responsable du traitement des renseignements personnels des clients, ou un sous-traitant agissant pour un autre responsable du traitement. Nous sommes votre sous-traitant.
• Nous ne traitons les renseignements personnels des clients que sur vos instructions documentées. Vos instructions sont les Conditions, l’ATD, les paramètres que vous choisissez et les gestes que vous posez dans ReceptionWorks, comme configurer les employés IA, connecter des canaux et supprimer des données, ainsi que toute autre instruction écrite que nous convenons de suivre. Si la loi nous oblige à traiter les renseignements personnels des clients autrement, nous vous en informerons au préalable, sauf si la loi l’interdit.
• Nous vous indiquerons si nous estimons qu’une instruction contrevient au droit de la protection des données.
• Vous êtes responsable d’avoir un fondement juridique pour le traitement, de remettre à vos clients les avis que la loi exige, y compris le fait de les informer qu’ils parlent à une IA lorsque la loi l’exige, et de la licéité des renseignements que vous fournissez.

3. Détails du traitement

• Objet et durée : fourniture de ReceptionWorks pendant votre utilisation, et délai de suppression prévu à l’article 9.
• Nature et finalité : hébergement et stockage des données ; réception et livraison des messages sur les canaux que vous connectez ; production de réponses, de résumés et de traductions par l’IA ; tenue des réservations, des demandes et des dossiers clients ; notification de votre équipe ; soutien ; et sécurisation du service.
• Personnes concernées : vos clients et autres personnes qui communiquent avec vous par l’intermédiaire de ReceptionWorks, les membres de votre équipe et les personnes mentionnées dans le contenu que vous ajoutez.
• Catégories de renseignements personnels : noms ; coordonnées, comme les adresses courriel, les numéros de téléphone et les identifiants et noms d’utilisateur de messagerie ; contenu des messages et pièces jointes ; détails des réservations et des demandes ; notes et résumés rédigés par l’IA au sujet des clients ; renseignements techniques, comme les identifiants de canal et les heures des messages ; et tout autre renseignement que vous ou vos clients choisissez de communiquer.
• Catégories particulières : ReceptionWorks n’est pas conçu pour recueillir des catégories particulières de renseignements personnels, comme des renseignements sur la santé. Vous décidez si vos clients peuvent vous communiquer de tels renseignements par l’intermédiaire de ReceptionWorks et vous êtes responsable d’avoir un fondement juridique pour ce faire.

4. Confidentialité

Les personnes que nous autorisons à traiter les renseignements personnels des clients sont liées par des obligations de confidentialité et n’y accèdent que dans la mesure nécessaire à la fourniture du service.

5. Sécurité

Nous maintenons des mesures techniques et organisationnelles adaptées au risque, notamment :

• le chiffrement des données en transit entre les utilisateurs, les canaux, nos services et nos fournisseurs ;
• le chiffrement des jetons d’accès aux canaux stockés ;
• des environnements de production et de développement distincts qui ne partagent ni bases de données, ni stockage, ni identifiants ;
• l’accès à nos outils d’administration uniquement au moyen de Cloudflare Access, pour le personnel qui en a besoin ;
• un accès aux données de chaque entreprise limité aux membres de son équipe, selon leurs rôles ;
• des sauvegardes régulières de la base de données dans un stockage privé distinct des serveurs de base de données, les points de sauvegarde étant protégés contre toute modification ou suppression par Object Lock.

Nous pouvons mettre à jour ces mesures, à condition que le niveau global de protection ne diminue pas.

6. Sous-traitants ultérieurs

• Vous nous donnez une autorisation générale de recourir à des sous-traitants ultérieurs. La liste actuelle figure sur notre page Sous-traitants ultérieurs.
• Nous exigeons que chaque sous-traitant ultérieur protège les renseignements personnels des clients au moins aussi bien que l’ATD l’exige pour le service qu’il fournit, et nous demeurons responsables envers vous de son travail.
• Nous envoyons un courriel au propriétaire de votre entreprise au moins 30 jours avant qu’un nouveau sous-traitant ultérieur ne commence à traiter les renseignements personnels des clients. Vous pouvez vous y opposer, pour des motifs raisonnables de protection des données, en nous écrivant pendant cette période. Nous discuterons de vos préoccupations de bonne foi. Si nous ne pouvons pas les résoudre, vous pouvez cesser d’utiliser le service touché, et nous rembourserons les frais payés d’avance pour la période postérieure à la cessation de votre utilisation.
• Si nous devons remplacer d’urgence un sous-traitant ultérieur pour assurer la sécurité ou le fonctionnement du service, nous vous en informerons dès que possible après le changement, et vous pourrez vous y opposer de la même manière.

7. Aide relative aux demandes et à la conformité

• ReceptionWorks vous permet de consulter, de corriger et de supprimer les données d’un client dans le dossier de ce client. Si vous avez besoin d’une aide supplémentaire pour répondre à la demande d’une personne concernée, nous vous assisterons, en tenant compte de la nature du traitement.
• Si une personne concernée communique directement avec nous au sujet des renseignements personnels des clients, nous transmettrons la demande à vous ou lui demanderons de communiquer avec vous, et nous n’y répondrons pas nous-mêmes, sauf si vous nous le demandez ou si la loi l’exige.
• Nous vous fournirons des renseignements et une aide raisonnables pour les analyses d’impact relatives à la protection des données et les consultations des autorités de contrôle qui concernent le service.

8. Atteintes aux données personnelles

Nous vous aviserons dans les meilleurs délais après avoir pris connaissance d’une atteinte aux données personnelles touchant les renseignements personnels des clients. Nous décrirons sa nature, ses conséquences probables et les mesures prises ou proposées, dans la mesure où ces renseignements sont disponibles, et nous vous tiendrons informé à mesure que nous en apprendrons davantage. Nous prendrons des mesures raisonnables pour contenir l’atteinte et en limiter les conséquences.

9. Suppression et restitution

• Lorsqu’une entreprise est supprimée d’un compte, ses renseignements personnels de clients sont conservés pendant 90 jours afin que nous puissions les restaurer à la demande du propriétaire, puis supprimés de façon permanente.
• Lorsque votre compte est fermé, nous supprimons les renseignements personnels des clients dans un délai de 30 jours, sauf les données que la loi nous oblige à conserver. Avant la fermeture du compte, vous pouvez demander une copie des renseignements personnels des clients, dans un format couramment utilisé, en écrivant à contact@ciphra.ca.
• Les données supprimées peuvent demeurer dans les sauvegardes jusqu’à leur expiration selon leur calendrier glissant. Nous conservons les sauvegardes protégées et ne les utilisons que pour restaurer le service.

10. Audits

Nous mettrons à disposition les renseignements raisonnablement nécessaires pour démontrer que nous respectons nos obligations en vertu de l’ATD, comme les réponses à des questionnaires de sécurité. Si ces renseignements ne suffisent pas, ou si une autorité de contrôle l’exige, vous ou un auditeur indépendant lié par la confidentialité pourrez auditer notre conformité moyennant un préavis d’au moins 30 jours, à vos frais, pendant les heures ouvrables et au plus une fois par année, sauf si une atteinte aux données personnelles ou une autorité de contrôle rend un autre audit nécessaire.

11. Transferts internationaux

• Nous sommes établis au Canada, et notre base de données est hébergée au Canada. La Commission européenne, le Royaume-Uni et la Suisse reconnaissent que le Canada offre une protection adéquate aux organisations assujetties à sa loi fédérale sur la protection des renseignements personnels dans le secteur privé, comme nous ; les transferts de renseignements personnels des clients de votre part vers nous ne nécessitent donc aucune garantie supplémentaire.
• Lorsqu’un sous-traitant ultérieur traite des renseignements personnels des clients dans un pays qui ne bénéficie pas d’une telle reconnaissance, nous nous appuyons sur un mécanisme de transfert permis par le droit de la protection des données, comme la certification du sous-traitant ultérieur au titre du cadre EU–U.S. Data Privacy Framework et de ses extensions britannique et suisse, ou les clauses contractuelles types adoptées par la Commission européenne avec les ajouts britanniques et suisses.
• Si la reconnaissance du Canada cesse de s’appliquer, les clauses contractuelles types (module deux, du responsable du traitement au sous-traitant) s’appliquent entre vous, en tant qu’exportateur de données, et nous, en tant qu’importateur de données, complétées par les renseignements de l’ATD, ainsi que par les ajouts britanniques et suisses pour les transferts en provenance de ces pays.

12. Lois étatiques américaines en matière de protection de la vie privée

Lorsque des lois étatiques américaines sur la protection de la vie privée, comme la California Consumer Privacy Act, s’appliquent, nous agissons à titre de fournisseur de services ou de sous-traitant. Nous ne vendons ni ne partageons les renseignements personnels des clients, et nous ne les conservons, utilisons ni divulguons à aucune autre fin que la fourniture de ReceptionWorks à vous, ni en dehors de notre relation d’affaires directe avec vous, sauf si ces lois le permettent.

13. Durée et responsabilité

L’ATD s’applique tant que nous traitons des renseignements personnels des clients pour votre compte. La responsabilité de chaque partie en vertu de l’ATD est soumise à la limitation de responsabilité prévue aux Conditions, dans la mesure où le droit de la protection des données le permet.

14. Modifications de l’ATD

Nous pouvons mettre à jour l’ATD de la même manière que les Conditions. Nous ne réduirons pas la protection qu’il accorde aux renseignements personnels des clients, sauf si la loi l’exige.

Contact

CIPHRA SOFTWARE INC., Colombie-Britannique, Canada. Courriel : contact@ciphra.ca.