Addenda relatif au traitement des données

Le présent addenda relatif au traitement des données (l'« Addenda ») fait partie des Modalités de service (les « Modalités ») conclues entre BEEM Technologies Inc. (« BEEM ») et le client désigné dans le Devis (le « Client »); il s'applique dans la mesure où BEEM traite des Renseignements personnels pour le compte du Client dans le cadre des Services. Les termes commençant par une majuscule qui ne sont pas définis aux présentes ont le sens qui leur est attribué dans les Modalités.

1. Définitions

• « Lois applicables en matière de protection des données » désigne l'ensemble des lois qui s'appliquent au traitement des Renseignements personnels dans le cadre des Modalités, y compris, selon le cas : la Loi sur la protection des renseignements personnels dans le secteur privé (Québec) (la « Loi 25 »); la Loi sur la protection des renseignements personnels et les documents électroniques (Canada) (la « LPRPDE »); le Règlement général sur la protection des données 2016/679 de l'UE (le « RGPD ») et son équivalent du Royaume-Uni; et la California Consumer Privacy Act (la « CCPA »).
• « Renseignements personnels » a le sens qui lui est attribué dans les Modalités et comprend les « données personnelles » et les « renseignements personnels » au sens des Lois applicables en matière de protection des données.
• « Traitement » (et ses dérivés) désigne toute opération effectuée sur des Renseignements personnels, par des moyens automatisés ou non.
• « Sous-traitant ultérieur » désigne un tiers dont BEEM retient les services pour traiter des Renseignements personnels pour le compte du Client.
• « Incident de sécurité » désigne un incident de confidentialité au sens de la Loi 25 ou une violation de données personnelles au sens du RGPD qui touche des Renseignements personnels traités par BEEM pour le compte du Client.

2. Rôles et étendue du traitement

2.1 Dans les rapports entre les parties, le Client agit à titre de responsable du traitement (ou, sous le régime de la Loi 25 et de la LPRPDE, de personne ou d'organisation qui a le contrôle des Renseignements personnels) et BEEM agit à titre de sous-traitant / fournisseur de services. Sous le régime de la CCPA, BEEM est un « fournisseur de services » (« service provider ») et certifie qu'elle comprend les restrictions applicables aux fournisseurs de services et qu'elle s'y conformera.

2.2 BEEM ne traite les Renseignements personnels que : (i) pour fournir, sécuriser, maintenir et améliorer les Services conformément aux Modalités; (ii) conformément aux instructions écrites et documentées du Client, y compris les choix de configuration que celui-ci effectue dans la Plateforme; et (iii) lorsque la Loi applicable l'exige, auquel cas BEEM informe le Client de cette exigence légale avant le traitement, sauf si la Loi le lui interdit. BEEM informe le Client dans les meilleurs délais si, à son avis, une instruction contrevient aux Lois applicables en matière de protection des données.

2.3 L'objet, la durée, la nature et les finalités du traitement, ainsi que les catégories de Renseignements personnels et de personnes concernées, sont décrits à l'Annexe A.

2.4 BEEM ne peut vendre ni partager (au sens de la CCPA) les Renseignements personnels, ni les conserver, les utiliser ou les communiquer à d'autres fins que la fourniture des Services, ni les combiner avec des Renseignements personnels provenant d'autres sources, sauf dans la mesure permise pour la fourniture des Services.

2.5 BEEM avise le Client si elle détermine qu'elle ne peut plus respecter ses obligations de fournisseur de services au titre de la CCPA. Sur réception d'un tel avis, le Client peut prendre des mesures raisonnables et appropriées pour faire cesser et corriger toute utilisation non autorisée de Renseignements personnels, et il peut vérifier la conformité de BEEM conformément à l'article 9.

3. Confidentialité

BEEM veille à ce que les personnes autorisées à traiter des Renseignements personnels (y compris l'Équipe ADS, au sens des Conditions des Services professionnels (ADS)) soient tenues à des obligations de confidentialité appropriées et ne traitent ces renseignements que dans la mesure nécessaire à la fourniture des Services.

4. Sécurité

4.1 BEEM met en œuvre et maintient des mesures techniques et organisationnelles conformes aux normes reconnues du secteur et conçues pour protéger la confidentialité, la disponibilité et l'intégrité des Renseignements personnels, décrites à l'Annexe B. Le programme de sécurité de l'information de BEEM suit des processus alignés sur la norme SOC 2.

4.2 Les Données du client sont hébergées dans un environnement infonuagique dédié, dans la région AWS correspondant à l'emplacement ou à la préférence du Client (par exemple, AWS Canada ca-central-1 pour les clients canadiens, ou une région AWS américaine pour les clients américains), tel que confirmé au moment du déploiement. Les fonctionnalités d'IA de la Plateforme sont exploitées au sein de cet environnement; les Renseignements personnels qu'elles traitent ne sont ni transmis à des fournisseurs tiers de modèles d'IA à l'extérieur de cet environnement, ni utilisés pour entraîner des modèles d'intelligence artificielle.

4.3 Il incombe au Client de configurer et d'utiliser les Services conformément à ses propres obligations en vertu des Lois applicables en matière de protection des données, notamment quant à la gestion des accès, aux contrôles de partage et à l'activation des intégrations.

5. Sous-traitants ultérieurs

5.1 Le Client autorise de façon générale BEEM à retenir les services des Sous-traitants ultérieurs énumérés à la section C.1 de l'Annexe C. BEEM impose à chaque Sous-traitant ultérieur des obligations de protection des données essentiellement équivalentes à celles prévues au présent Addenda.

5.2 BEEM donne au Client un préavis écrit d'au moins 30 jours (lequel peut être transmis par courriel à l'Adresse courriel de notification) avant d'ajouter ou de remplacer un Sous-traitant ultérieur appelé à traiter des Renseignements personnels. Dans ce délai, le Client peut s'y opposer pour des motifs raisonnables et documentés liés à la protection des données; les parties collaborent alors de bonne foi à la recherche d'une solution et, à défaut d'en trouver une, le Client peut résilier les Services visés conformément aux Modalités.

5.3 BEEM demeure responsable de l'exécution, par ses Sous-traitants ultérieurs, de leurs obligations découlant du présent Addenda.

6. Assistance

6.1 Compte tenu de la nature du traitement, BEEM fournit au Client une assistance commercialement raisonnable pour répondre aux demandes des personnes qui exercent leurs droits en vertu des Lois applicables en matière de protection des données (accès, rectification, suppression, portabilité, retrait du consentement). Si une telle demande lui parvient directement, BEEM dirige la personne vers le Client dans les meilleurs délais.

6.2 BEEM fournit au Client une assistance commercialement raisonnable pour la réalisation des analyses d'impact relatives à la protection des données et des évaluations des facteurs relatifs à la vie privée prévues par la Loi 25 qui se rapportent aux Services, ainsi que pour les consultations auprès des autorités de contrôle, dans la mesure où elle dispose des renseignements requis.

6.3 Compte tenu de la nature du traitement et des renseignements dont elle dispose, BEEM fournit au Client une assistance raisonnable pour l'exécution des obligations du Client en matière de sécurité du traitement et de notification des Incidents de sécurité aux autorités et aux personnes concernées (articles 32 à 36 du RGPD et dispositions équivalentes de la Loi 25 et de la LPRPDE).

7. Incidents de sécurité

7.1 BEEM avise le Client de tout Incident de sécurité dans les meilleurs délais, et au plus tard dans les 72 heures, après en avoir pris connaissance, par l'entremise de l'Adresse courriel de notification, et lui fournit les renseignements dont elle dispose raisonnablement sur la nature de l'incident, les catégories et le nombre approximatif de personnes et d'enregistrements visés, les conséquences probables ainsi que les mesures prises ou proposées. BEEM fournit ensuite au Client des mises à jour au fur et à mesure que l'information devient disponible.

7.2 BEEM tient un registre des Incidents de sécurité (incidents de confidentialité) conformément aux exigences de la Loi 25. Dans les rapports entre les parties, il incombe au Client d'effectuer les notifications aux personnes concernées et aux autorités qui relèvent d'un responsable du traitement, et à BEEM d'effectuer celles qui relèvent d'un sous-traitant.

8. Transferts transfrontaliers

8.1 Les Renseignements personnels sont traités au Canada et aux États-Unis, comme l'indique l'Annexe C. Avant toute communication à l'extérieur du Québec de Renseignements personnels assujettis à la Loi 25, BEEM réalise et documente, avant une telle communication, l'évaluation des facteurs prévus par la Loi 25 et que les garanties contractuelles du présent Addenda appuient la conclusion selon laquelle ces renseignements bénéficient d'une protection adéquate.

8.2 Lorsque BEEM traite, à l'extérieur de l'EEE ou du Royaume-Uni, des Renseignements personnels qui en proviennent, les parties incorporent par renvoi les Clauses contractuelles types (module responsable du traitement à sous-traitant) ou l'addenda applicable du Royaume-Uni, tel qu'il est prévu à l'Annexe D; en cas de conflit entre les Clauses contractuelles types et le présent Addenda, les Clauses contractuelles types ont préséance.

9. Audits et renseignements

9.1 Sur demande écrite, au plus une fois par période de 12 mois, BEEM met à la disposition du Client les renseignements raisonnablement nécessaires pour démontrer le respect du présent Addenda, y compris une description de son programme de sécurité de l'information, des questionnaires de sécurité remplis ainsi que les attestations de tiers ou les sommaires d'audit disponibles.

9.2 Le Client (ou un auditeur indépendant qu'il mandate et qui est tenu à la confidentialité) peut auditer la conformité de BEEM au présent Addenda, moyennant un préavis écrit d'au moins 30 jours, au plus une fois par période de 12 mois (sauf à la suite d'un Incident de sécurité ou d'une non-conformité avérée au présent Addenda), pendant les heures ouvrables, et sans accès aux données des autres clients ni aux renseignements protégés par la loi ou par des obligations de confidentialité. Les audits se déroulent à distance et sur examen de la documentation dans la mesure du possible. Les coûts de l'auditeur du Client sont à la charge du Client et, si un audit mobilise le personnel de BEEM pendant plus d'un jour ouvrable, le Client rembourse à BEEM les coûts raisonnables du temps additionnel, aux taux ADS de BEEM alors en vigueur.

10. Restitution et suppression

À la résiliation des Modalités, BEEM restitue ou supprime les Renseignements personnels conformément à l'article 19 c) des Modalités (délai de 30 jours pour transmettre des instructions, transfert ou remise d'une copie sur demande, suppression par la suite), à moins que la Loi applicable n'en exige la conservation, auquel cas BEEM continue de protéger les renseignements conservés conformément au présent Addenda et les supprime dès que la loi le permet. Sur demande écrite du Client, BEEM certifie la suppression par écrit. Les Renseignements personnels résidant dans des sauvegardes chiffrées sont supprimés selon les cycles normaux de rotation des sauvegardes de BEEM et demeurent protégés par le présent Addenda jusqu'à leur écrasement.

11. Responsabilité; ordre de préséance

La responsabilité de chaque partie au titre du présent Addenda est assujettie aux limitations et exclusions prévues dans les Modalités. En cas de conflit entre le présent Addenda et les Modalités quant au traitement des Renseignements personnels, le présent Addenda a préséance; les Clauses contractuelles types, lorsqu'elles s'appliquent, ont préséance sur les deux.

Annexe A - Description du traitement

• Objet : fourniture de la plateforme de données BEEM (BEEM Data Platform) et des Services connexes dans le cadre des Modalités.
• Durée : la Période d'abonnement, à laquelle s'ajoute la période de restitution et de suppression prévue à l'article 10.
• Nature et finalités : ingestion, stockage, transformation, analyse, visualisation et exportation des Données du client; administration des comptes; soutien; surveillance de la sécurité.
• Catégories de personnes concernées : les employés, les entrepreneurs et les autres Utilisateurs finaux du Client, ainsi que toute personne dont les Renseignements personnels figurent dans les données que le Client soumet à la Plateforme (ce qui relève de la seule décision du Client, p. ex. ses clients, sa clientèle, ses fournisseurs ou ses employés).
• Catégories de Renseignements personnels : données de compte (noms, coordonnées professionnelles, identifiants, données de journalisation et données d'appareil des Utilisateurs finaux), ainsi que toute catégorie de Renseignements personnels figurant dans les Données du client, ce qui relève de la seule décision du Client. Le Client s'engage à ne pas soumettre de Renseignements personnels sensibles à moins de s'être assuré que les Services conviennent à ce type de données au regard des Lois applicables en matière de protection des données.

Annexe B - Mesures techniques et organisationnelles (sommaire)

Mesures maintenues dans le cadre du Programme de sécurité de l'information de BEEM (descriptions complètes offertes au Client sur demande) :

• Gouvernance : politiques de sécurité documentées et révisées périodiquement; responsable désigné de la sécurité; politique d'éthique d'entreprise et de signalement d'actes répréhensibles; cadre de contrôle aligné sur la norme SOC 2; éditeur de logiciels indépendant (ISV) validé dans le cadre de l'AWS Foundational Technical Review (FTR) et revendeur autorisé AWS (distribution), assujetti à des exigences techniques et de sécurité examinées par AWS.
• Contrôle des accès : accès fondés sur les rôles (administrateur d'organisation / éditeur / lecteur); octroi des accès selon le principe du moindre privilège, encadré par des approbations documentées à l'intégration; révocation rapide des accès au départ; authentification multifacteur (MFA) sur les systèmes traitant des données confidentielles; prise en charge de l'authentification unique (SSO); politique de mots de passe.
• Infrastructure : environnements infonuagiques dédiés à chaque client; hébergement dans la région AWS correspondant à l'emplacement ou à la préférence du client; isolation des espaces de travail; chiffrement en transit et au repos selon les normes du fournisseur infonuagique.
• Exploitation : politique de gestion des changements comportant des approbations et une revue post-implantation; application des correctifs; surveillance des erreurs et de la sécurité; piste d'audit complète des événements de la plateforme (Monitor).
• Résilience : politique de sauvegarde et de restauration; politique de continuité des activités et de reprise après sinistre comprenant une analyse des répercussions sur les activités, une stratégie de reprise et des tests périodiques.
• Cycle de vie des données : politique de conservation et d'élimination des données; pratiques de suppression sécurisée; politique d'utilisation acceptable pour le personnel et les entrepreneurs; exigences de sécurité des appareils.
• Réponse aux incidents : identification des incidents, transmission aux paliers supérieurs, registre des incidents de confidentialité, procédures de notification.

Annexe C - Sous-traitants ultérieurs et fournisseurs de services

Les fournisseurs énumérés à la section C.1 sont des Sous-traitants ultérieurs qui traitent des Renseignements personnels du Client pour le compte de celui-ci au titre du présent Addenda; les fournisseurs énumérés à la section C.2 traitent des données de compte, de facturation et de communication pour les fins propres de BEEM, qui agit alors à titre de responsable du traitement, et ne sont donc pas des Sous-traitants ultérieurs au sens du présent Addenda.

C.1 Sous-traitants ultérieurs traitant des Renseignements personnels du Client

C.2 Fournisseurs de services de BEEM agissant à titre de responsable du traitement (données de compte, de facturation et de communication)

Note : les fournisseurs tiers de modèles d'IA ne sont pas des Sous-traitants ultérieurs : les modèles sont déployés au sein de l'environnement infonuagique dédié du Client et les Données du client ne leur sont pas transmises.

Annexe D - Clauses contractuelles types (UE) et addenda du Royaume-Uni

Lorsque le transfert de Renseignements personnels provenant de l'EEE exige un mécanisme de transfert en vertu du RGPD, les Clauses contractuelles types adoptées par la Commission européenne en vertu de la décision (UE) 2021/914 (les « CCT »), module deux (responsable du traitement à sous-traitant), sont réputées conclues entre le Client (à titre d'exportateur de données) et BEEM (à titre d'importateur de données) et sont incorporées au présent Addenda par renvoi, complétées comme suit :

• Clause 7 (clause d'adhésion, ou « docking clause ») : incluse.
• Clause 9 a) : l'option 2 (autorisation écrite générale) s'applique, avec un délai de préavis de 30 jours, conformément à l'article 5 du présent Addenda.
• Clause 11 a) : l'option relative à un organisme indépendant de règlement des différends n'est pas retenue.
• Clause 13 : l'autorité de contrôle compétente est celle de l'État membre de l'UE où l'exportateur de données est établi.
• Clauses 17 et 18 : à défaut de choix valide de l'exportateur de données, les CCT sont régies par le droit de l'Irlande et les différends sont soumis aux tribunaux de l'Irlande.
• L'Annexe I des CCT est complétée par les renseignements figurant à l'Annexe A du présent Addenda ainsi que par l'identité et les coordonnées des parties indiquées au Devis; l'Annexe II est complétée par l'Annexe B du présent Addenda; l'Annexe III est complétée par la section C.1 de l'Annexe C du présent Addenda.

Pour les transferts assujettis au droit de la protection des données du Royaume-Uni, l'International Data Transfer Addendum aux Clauses contractuelles types de l'UE publié par l'Information Commissioner du Royaume-Uni (dans sa version en vigueur) s'applique mutatis mutandis, complété par les renseignements ci-dessus. Pour les transferts assujettis à la loi fédérale suisse sur la protection des données (LPD), les CCT s'appliquent avec les adaptations requises par la LPD, y compris quant à l'autorité de contrôle suisse compétente et au droit suisse applicable, lorsque requis.