Entente de traitement des renseignements personnels

1. Parties et objet

La présente entente est conclue entre Kitobiz (« Kitobiz », « nous ») et l'entreprise qui utilise le service Kitobiz (« l'Entreprise »). Elle fait partie des Conditions d'utilisation et s'applique dès que l'Entreprise enregistre, reçoit ou envoie des renseignements personnels au moyen de Kitobiz.

Pour les renseignements personnels de ses propres clients, prospects, visiteurs, répondants et appelants, l'Entreprise décide pourquoi et comment ils sont recueillis : elle en est responsable. Kitobiz les traite uniquement pour son compte et selon ses instructions, comme le prévoit l'article 18.3 de la Loi sur la protection des renseignements personnels dans le secteur privé (Québec). Cette entente précise les obligations de chacun.

2. Renseignements et traitements visés

• Personnes concernées : clients et prospects de l'Entreprise ; visiteurs de sa carte professionnelle ; personnes qui remplissent ses formulaires, demandent un devis ou prennent rendez-vous ; personnes qui appellent son assistant téléphonique ; membres de son équipe.
• Renseignements : coordonnées (nom, courriel, téléphone, adresse), contenu des demandes, devis, factures, paiements et relances, messages, fichiers joints, rendez-vous, voix et transcriptions d'appels, statistiques de visite anonymisées.
• Traitements : hébergement, affichage, production et envoi des documents et messages que l'Entreprise prépare ou programme, encaissement des paiements, prise de rendez-vous, réponse téléphonique automatisée, synchronisation avec les outils que l'Entreprise connecte, sauvegarde et suppression.
• Durée : pendant toute l'utilisation du service, jusqu'à la suppression des données prévue à la section 9.

3. Instructions de l'Entreprise

Kitobiz traite les renseignements seulement pour fournir le service, selon les réglages et les actions de l'Entreprise dans l'application, qui constituent ses instructions. Kitobiz ne les utilise pas à ses propres fins, ne les vend pas, ne les loue pas et ne s'en sert pas pour de la publicité. Si une instruction paraît contraire à la loi, Kitobiz en avise l'Entreprise.

4. Confidentialité

Les personnes de Kitobiz qui peuvent accéder aux renseignements sont tenues à la confidentialité et n'y accèdent que lorsque c'est nécessaire : soutien demandé par l'Entreprise, correction d'un problème, sécurité. Leurs accès sont limités par rôle, enregistrés dans un journal et, pour les actions sensibles, motivés.

5. Mesures de sécurité

• Chiffrement des échanges (HTTPS) et des données au repos chez l'hébergeur.
• Cloisonnement par entreprise dans l'application et dans la base de données (sécurité au niveau des lignes) : une entreprise ne voit jamais les données d'une autre.
• Double authentification obligatoire ; nouvelle vérification avant les actions sensibles ; permissions selon le rôle de chaque membre.
• Fichiers des clients dans des espaces privés, ouverts par des liens temporaires ; liens publics qui expirent après un délai.
• Jetons d'accès aux outils connectés (Google, QuickBooks, Sage) chiffrés.
• Surveillance des erreurs et des tâches automatiques ; journal des actions sensibles.

6. Sous-traitants ultérieurs

L'Entreprise autorise Kitobiz à faire appel aux fournisseurs ci-dessous. Chacun ne reçoit que les renseignements nécessaires à sa tâche et est lié par une entente de traitement offrant une protection au moins équivalente à la présente.

Kitobiz avise l'Entreprise par courriel au moins 30 jours avant d'ajouter ou de remplacer un fournisseur. Si l'Entreprise s'y oppose pour un motif raisonnable lié à la protection des renseignements, elle peut fermer son compte sans frais avant l'entrée en vigueur du changement.

7. Communications hors Québec

Plusieurs fournisseurs sont situés hors du Québec. Avant de leur communiquer des renseignements, Kitobiz a évalué les facteurs relatifs à la vie privée et conclu que la protection est adéquate, compte tenu des ententes et des mesures en place (article 17 de la loi). Cette évaluation est publiée : Évaluation des communications hors Québec.

8. Droits des personnes et incidents

• Demandes des personnes : si une personne s'adresse à Kitobiz pour ses renseignements détenus par l'Entreprise, Kitobiz la dirige vers l'Entreprise et l'en avise. Kitobiz aide l'Entreprise à répondre (consultation, correction, exportation, suppression) dans le délai de 30 jours prévu par la loi.
• Incidents de confidentialité : Kitobiz avise l'Entreprise sans délai indu, au plus tard 72 heures après en avoir pris connaissance, lui décrit l'incident, les renseignements visés et les mesures prises, et l'aide à évaluer le risque de préjudice sérieux et à aviser la Commission d'accès à l'information et les personnes concernées. Kitobiz tient un registre des incidents.

9. Fin du service

L'Entreprise peut en tout temps exporter ses données (Paramètres > Mon compte). À la fermeture du compte, Kitobiz détruit immédiatement les renseignements de l'Entreprise, sauf ceux qu'un fournisseur de paiement doit conserver selon ses propres obligations légales. Les copies de sauvegarde de l'hébergeur sont écrasées selon son cycle normal.

10. Obligations de l'Entreprise

• Recueillir les renseignements de ses clients de façon licite et les informer de l'usage qu'elle en fait.
• Obtenir les consentements requis, notamment pour les courriels et SMS commerciaux (Loi canadienne anti-pourriel), et respecter les désabonnements.
• Ne pas enregistrer dans Kitobiz de renseignements sans lien avec le service (santé, numéros d'assurance sociale, données bancaires de ses clients, etc.).
• Garder ses accès confidentiels et donner à chaque membre de son équipe seulement le rôle nécessaire.
• Répondre aux demandes des personnes concernées, avec l'aide de Kitobiz au besoin.

11. Information et vérification

Sur demande raisonnable, Kitobiz fournit à l'Entreprise les renseignements nécessaires pour démontrer le respect de la présente entente, notamment la description des mesures de sécurité et la liste à jour des fournisseurs.

12. Modifications, droit applicable et contact

Kitobiz peut modifier cette entente ; en cas de changement important, l'Entreprise en est avisée et l'accepte à sa prochaine visite. Cette entente est régie par les lois du Québec et du Canada qui s'y appliquent.

Personne responsable de la protection des renseignements personnels : Marie-Andrée Aubergiste, responsable de la protection des renseignements personnels, info@kitobiz.com.