Addenda de traitement des données

1. Rôles et portée

Pour les renseignements personnels contenus dans les Données du client, le Client est le responsable (ou un sous-traitant intermédiaire pour ses propres clients) et Metiix est un sous-traitant et fournisseur de services agissant selon les instructions documentées du Client. Ces instructions se composent des Conditions d'utilisation, du présent Addenda et de la configuration et de l'utilisation du Service par le Client. Metiix n'est responsable du traitement que pour ses propres dossiers de compte, de facturation et de sécurité, comme il est décrit dans la Politique de confidentialité.

2. Limitation des fins et instructions

Metiix ne traite les renseignements personnels contenus dans les Données du client que pour fournir, sécuriser et soutenir le Service et selon les instructions du Client. Metiix ne vend pas de renseignements personnels; ne les communique pas à des fins de publicité comportementale intercontextuelle; et ne les conserve, n'utilise ni ne divulgue à d'autres fins que les fins commerciales précisées dans les Conditions ou permises par la loi applicable. Metiix ne combine pas ces renseignements personnels avec des données provenant d'autres sources, sauf dans la mesure permise à un fournisseur de services, et ne les utilise pas en dehors de la relation d'affaires directe avec le Client. Metiix informera le Client s'il détermine qu'il ne peut plus respecter ses obligations en vertu de la loi applicable sur la vie privée, et le Client peut prendre des mesures raisonnables pour faire cesser et corriger un traitement non autorisé.

3. Confidentialité

Metiix limite l'accès aux renseignements personnels au personnel qui en a besoin pour fournir le Service et qui est lié par des obligations de confidentialité.

4. Sous-traitants ultérieurs

Le Client autorise Metiix à faire appel aux sous-traitants énumérés dans la Politique de confidentialité — hébergement infonuagique et infrastructure de base de données, Stripe, Twilio, Amazon SES, OpenRouteService, Google Places et Honeybadger. Metiix lie chaque sous-traitant à des obligations de protection des données substantiellement équivalentes à celles du présent Addenda et demeure responsable de leur traitement. Metiix donnera un avis (par la Politique de confidentialité ou par courriel) avant d'ajouter ou de remplacer un sous-traitant; si le Client s'y oppose raisonnablement pour des motifs de protection des données, son seul recours est de résilier la partie du Service concernée.

5. Mesures de sécurité

Metiix maintient des mesures de protection administratives, techniques et physiques appropriées au risque, y compris le chiffrement en transit, le contrôle des accès, le hachage des jetons de session, l'isolement des données entre organisations, la journalisation et la surveillance.

6. Incidents de confidentialité

Metiix avisera le Client sans délai indu après avoir pris connaissance d'une atteinte confirmée à la sécurité touchant des renseignements personnels contenus dans les Données du client, et fournira les renseignements raisonnablement disponibles pour aider le Client à remplir ses propres obligations d'avis envers les personnes et les autorités (dont la Commission d'accès à l'information du Québec, le Commissariat à la protection de la vie privée du Canada et les autorités étatiques américaines). Metiix n'avise pas les utilisateurs finaux du Client, sauf sur instruction du Client ou si la loi l'exige.

7. Assistance pour les demandes individuelles et les évaluations

Compte tenu de la nature du traitement, Metiix fournira une assistance raisonnable (aux frais du Client lorsque l'effort est important) pour que le Client puisse répondre aux personnes qui exercent leurs droits d'accès, de rectification, de suppression, de portabilité et droits semblables, et réaliser des évaluations relatives à la vie privée. Les demandes que Metiix reçoit directement des personnes concernées du Client au sujet des Données du client sont acheminées au Client dans un délai raisonnable; le Client est responsable de la réponse sur le fond.

8. Transferts internationaux

Les renseignements personnels sont traités aux États-Unis et par des sous-traitants comme il est décrit dans la Politique de confidentialité. Lorsque des renseignements personnels sont transférés à l'étranger, y compris du Canada ou du Québec vers les États-Unis, le transfert est assujetti aux garanties contractuelles et techniques décrites dans la Politique de confidentialité, et Metiix appuie les évaluations de transfert du Client.

9. Conservation, retour et suppression

Metiix conserve les renseignements personnels contenus dans les Données du client comme il est décrit dans la Politique de confidentialité — y compris la suppression automatique des signaux GPS à haute fréquence environ 72 heures après leur enregistrement. À la résiliation, Metiix rend les Données du client disponibles pour exportation pendant trente (30) jours, après quoi il les supprime ou les dépersonnalise dans le cours normal, sauf lorsque la loi exige leur conservation. Metiix confirmera la suppression sur demande.

10. Audit

Metiix démontrera sa conformité au présent Addenda en mettant à disposition la documentation pertinente et des sommaires écrits de ses pratiques de sécurité, et en répondant à un questionnaire de sécurité raisonnable au plus une fois par année. Cela satisfait aux droits d'audit du Client dans toute la mesure permise par la loi applicable.

11. Dispositions des lois étatiques américaines et canadiennes

Lois étatiques américaines sur la vie privée. Metiix agit comme « fournisseur de services » (CCPA) ou « sous-traitant » du Client et certifie qu'il comprend et respectera les restrictions énoncées à la section 2. Le Client mettra à la disposition des personnes les avis exigés d'une entreprise ou d'un responsable.

Canada. Pour les renseignements personnels régis par la LPRPDE ou la Loi 25 du Québec, le présent Addenda constitue le mandat écrit en vertu duquel Metiix traite les renseignements personnels pour le Client; Metiix ne les traite qu'aux fins convenues, applique les mesures de sécurité ci-dessus, aide au traitement des incidents de confidentialité et à l'exercice des droits individuels, et les retourne ou les détruit à la fin du mandat, le tout comme il est décrit dans le présent Addenda et la Politique de confidentialité.

12. Durée, responsabilité et préséance

Le présent Addenda est en vigueur aussi longtemps que Metiix traite des renseignements personnels contenus dans les Données du client et prend fin en même temps que les Conditions d'utilisation. La responsabilité de chaque partie en vertu du présent Addenda est assujettie aux limitations de responsabilité prévues dans les Conditions d'utilisation. Le présent Addenda est incorporé aux Conditions d'utilisation; en cas de conflit concernant le traitement des renseignements personnels, le présent Addenda prévaut, et à tous autres égards les Conditions d'utilisation continuent de s'appliquer.