Résidence et transferts des données

Le présent document Résidence et transferts des données est publié par la Société. L'identité complète de la Société, son adresse et ses coordonnées légales figurent au bas de la présente page.

Cette politique explique où vos données sont hébergées, dans quelles circonstances certains sous-traitants peuvent les traiter à l'extérieur du Québec, et quelles garanties encadrent ces transferts. Elle s'adresse à nos Clients organisationnels ainsi qu'aux utilisateurs qui interagissent avec le Service. Elle complète notre Politique de confidentialité et notre Entente de traitement des données, auxquelles il est fait renvoi tout au long du texte.

> En bref — Vos données sont hébergées en Amérique du Nord. Certains fournisseurs spécialisés (notamment ceux liés à l'intelligence artificielle) peuvent traiter des données ailleurs dans le monde, toujours sous contrat encadrant leur protection. Vous conservez vos droits en tout temps, peu importe où une donnée transite.

Table des matières

1. Où vos données sont hébergées
2. Transferts vers des sous-traitants situés ailleurs
3. Garanties encadrant ces transferts
4. Vos droits en lien avec les transferts internationaux
5. Modifications de la présente politique

1. Où vos données sont hébergées

> En bref — L'infrastructure principale du Service — base de données, authentification, stockage et hébergement applicatif — est située en Amérique du Nord, chez des fournisseurs d'infrastructure infonuagique reconnus.

L'infrastructure principale sur laquelle repose le Service, incluant la base de données, les mécanismes d'authentification, le stockage des fichiers et l'hébergement applicatif, est opérée en Amérique du Nord, par l'entremise de nos fournisseurs d'infrastructure infonuagique.

Ces fournisseurs exploitent des centres de données répartis selon leurs propres pratiques d'ingénierie, notamment à des fins de redondance et de continuité de service. La Société ne confirme pas publiquement de région d'hébergement précise (par exemple une zone géographique spécifique à l'intérieur de l'Amérique du Nord), cette information relevant de l'architecture technique interne de ses fournisseurs et pouvant évoluer dans le temps sans que cela n'affecte l'emplacement général décrit ci-dessus.

Le choix de nos fournisseurs d'infrastructure repose sur des critères de fiabilité, de sécurité et de performance reconnus dans l'industrie. Nous encourageons les Clients ayant des exigences particulières en matière d'emplacement de données à nous en faire part avant de conclure une entente, afin que nous puissions préciser ce qui peut raisonnablement être confirmé selon leur contexte.

2. Transferts vers des sous-traitants situés ailleurs

> En bref — Pour offrir certaines fonctionnalités, notamment celles reposant sur l'intelligence artificielle, nous faisons appel à des sous-traitants spécialisés dont certains peuvent traiter des données à l'extérieur du Québec, voire à l'extérieur du Canada.

Le Service intègre, pour certaines fonctionnalités précises, des sous-traitants spécialisés dont l'infrastructure ne se limite pas nécessairement à l'Amérique du Nord. C'est notamment le cas des catégories suivantes :

• les fournisseurs de modèles d'intelligence artificielle utilisés pour le traitement du texte et de la voix dans le cadre des agents conversationnels ;
• les fournisseurs de synthèse vocale ;
• les fournisseurs de génération d'avatars vidéo ;
• la passerelle de messagerie tierce, lorsque le Client choisit de connecter un compte de messagerie externe au Service.

Ces catégories de sous-traitants peuvent, selon leur propre architecture et leurs propres opérations, traiter des données à l'extérieur de la province de Québec, voire à l'extérieur du Canada. Il s'agit d'une réalité générale au traitement de données par des fournisseurs spécialisés à l'échelle internationale, et non d'une pratique propre à un fournisseur en particulier. La Société ne rend pas publique, dans la présente politique, la liste des pays précis concernés, cette information évoluant avec les technologies utilisées.

La liste à jour des sous-traitants susceptibles de traiter des données personnelles pour le compte de la Société, incluant leur rôle respectif, est disponible dans notre Liste des sous-traitants. Nous vous invitons à la consulter pour connaître les catégories de fournisseurs concernées par un traitement hors Québec ou hors Canada.

3. Garanties encadrant ces transferts

> En bref — Avant tout transfert, chaque sous-traitant fait l'objet d'une évaluation contractuelle, et des clauses de protection des données lui sont imposées, conformément aux exigences de la Loi 25 et de la LPRPDE.

Conformément à la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25, Québec) et à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE/PIPEDA, fédérale), tout transfert de données personnelles vers un tiers situé à l'extérieur du Québec, ou vers un tiers qui pourrait lui-même traiter des données à l'extérieur du Canada, est soumis à une évaluation préalable.

Cette évaluation vise à s'assurer que les renseignements personnels bénéficieront, chez le destinataire, d'une protection jugée équivalente à celle qui leur serait accordée s'ils demeuraient traités au Québec. Concrètement, cela signifie que :

• chaque sous-traitant fait l'objet d'une évaluation contractuelle avant tout transfert de données ;
• des clauses de protection des données appropriées sont intégrées aux ententes conclues avec ces sous-traitants, encadrant notamment l'usage, la conservation, la sécurité et la sous-traitance ultérieure éventuelle des données ;
• chaque sous-traitant est tenu à des obligations précises quant à la confidentialité, à la sécurité technique et organisationnelle des données, et à la notification en cas d'incident touchant les données qu'il traite pour notre compte ;
• ces obligations s'appliquent peu importe l'emplacement physique où le sous-traitant exerce ses activités.

L'ensemble de ce cadre contractuel est détaillé dans notre Entente de traitement des données, qui régit la relation entre la Société et ses Clients organisationnels agissant à titre de responsables du traitement des données de leurs propres contacts, et qui impose à la Société de faire respecter, par contrat séparé, des obligations substantiellement équivalentes à chacun de ses propres sous-traitants.

4. Vos droits en lien avec les transferts internationaux

> En bref — Le fait qu'une donnée soit traitée par un sous-traitant situé ailleurs ne réduit en rien vos droits. Ceux-ci demeurent décrits en détail dans notre Politique de confidentialité.

Le fait qu'une catégorie de sous-traitants puisse traiter des données à l'extérieur du Québec ou du Canada n'a pas pour effet de diminuer les droits dont vous disposez à l'égard de vos renseignements personnels. Ces droits — notamment ceux d'accès, de rectification, de retrait du consentement et, le cas échéant, de portabilité — s'exercent de la même façon, peu importe l'emplacement où une donnée particulière a été traitée à un moment donné.

Le détail de ces droits, ainsi que la marche à suivre pour les exercer, est décrit dans notre Politique de confidentialité.

Par ailleurs, lorsque le Client utilise le Service pour interagir avec ses propres contacts ou utilisateurs finaux (par exemple par l'entremise d'un agent conversationnel), le Client peut lui-même être considéré comme responsable du traitement des données de ces personnes. Il lui revient alors de s'assurer que ses propres pratiques de transfert de données, y compris celles découlant de son utilisation du Service, respectent les obligations qui lui incombent en vertu des lois applicables. La présente politique décrit le cadre mis en place par la Société à l'égard de sa propre infrastructure et de ses propres sous-traitants ; elle ne remplace pas l'évaluation que le Client doit effectuer quant à ses propres obligations.

5. Modifications de la présente politique

> En bref — Cette politique peut être mise à jour de temps à autre. La version en vigueur est toujours celle publiée sur cette page.

Nous pouvons modifier la présente politique de temps à autre, notamment pour refléter l'évolution de notre infrastructure, l'ajout ou le remplacement de sous-traitants, ou des changements au cadre réglementaire applicable. La version en vigueur est celle publiée sur la présente page, laquelle indique sa date de dernière mise à jour.

En cas de changement significatif touchant l'emplacement général de traitement de vos données ou les catégories de sous-traitants impliquées, nous ferons des efforts raisonnables pour porter ce changement à l'attention des Clients concernés, par les moyens de communication habituels prévus à nos ententes. Nous vous invitons à consulter cette page périodiquement.