Entente de traitement des données

La politique de confidentialité explique ce que Runday fait des renseignements personnels. Les conditions d'utilisation énoncent ce que vous acceptez. Ce document est le troisième morceau manquant : ce que nous vous devons au sujet des renseignements personnels que vous versez dans Runday concernant votre clientèle.

Lorsque le nom et le numéro de téléphone d'un de vos clients entrent dans Runday, c'est vous qui demeurez responsable de cette personne. Nous les détenons pour vous. Le droit canadien de la vie privée s'attend à ce que cette relation soit écrite plutôt que présumée, et c'est ici qu'elle l'est.

• Vous — l'entreprise qui utilise Runday. Vous décidez quels renseignements sur votre clientèle sont recueillis et pourquoi. Vous en répondez auprès de votre propre clientèle.
• Runday — le prestataire de services. Nous traitons ces renseignements uniquement pour vous fournir le service, et uniquement dans la mesure permise par la présente entente.

Pour les renseignements que vous nous donnez sur vous-même et votre personnel — détails du compte, facturation, dossiers du personnel — nous en sommes directement responsables, et c'est la politique de confidentialité qui s'applique.

Uniquement ce dont le produit a besoin pour fonctionner : noms et coordonnées des clients, dossiers de rendez-vous et de sans rendez-vous, services rendus, montants des ventes, pourboires et la commission qui en découle, ainsi que toute note que votre personnel choisit d'écrire.

Nous les traitons pour exploiter la plateforme pour vous, vous soutenir lorsque vous le demandez, assurer la sécurité du service et respecter nos obligations légales. Rien d'autre. Concrètement, nous n'utilisons pas les renseignements de votre clientèle pour notre propre marketing, nous ne les vendons pas, et nous ne les utilisons pas pour entraîner des modèles.

• Traiter les renseignements de votre clientèle uniquement pour fournir le service, ou lorsque la loi nous y contraint
• En préserver la confidentialité et limiter l'accès interne aux personnes qui en ont besoin pour leur travail
• Maintenir les mesures de protection décrites à la section 5, et ne pas les affaiblir de façon importante tant que vous êtes client
• Vous informer de tout incident de confidentialité touchant vos données, selon la section 8
• Vous aider à répondre lorsqu'un de vos clients exerce un droit, selon la section 7
• Retourner ou supprimer les données à votre départ, selon la section 9

Voici les mesures réellement en place aujourd'hui, et non des intentions :

• Chiffrées en transit par HTTPS/TLS, et au repos par nos hébergeurs
• Sécurité au niveau des lignes dans la base de données : vos dossiers sont inaccessibles depuis le compte d'une autre entreprise en vertu d'une propriété de la couche de données, et non d'une restriction d'interface
• Mots de passe hachés par notre fournisseur d'authentification; jamais conservés en clair
• Les accès du personnel que vous créez doivent être changés par la personne concernée dès la première utilisation
• Limitation du débit sur les points d'accès publics, et validation du type de fichier au téléversement
• Pas encore en place : authentification multifacteur obligatoire, journalisation formelle des accès et tests de sécurité indépendants.

Runday fait appel aux tiers ci-dessous. Chacun est tenu de protéger les renseignements et de les utiliser uniquement pour nous fournir son service. Tout nouveau sous-traitant est inscrit à cette liste avant qu'il ne commence à traiter les renseignements de votre clientèle, et non après. Il en va de même lorsqu'un sous-traitant déjà inscrit commence à traiter une catégorie de renseignements qu'il ne traitait pas auparavant.

Nous vous informerons avant qu'un nouveau sous-traitant ne commence à traiter les renseignements de votre clientèle, et vous pourrez vous y opposer. Si vous vous y opposez et que nous n'avons pas de solution de rechange raisonnable à vous offrir, vous pouvez tout exporter et fermer votre compte plutôt que d'être transféré vers un sous-traitant que vous n'avez pas accepté.

Nous n'avons volontairement pas encore fixé de délai de préavis en nombre de jours. Runday est gratuit et ajoute encore des intégrations : un délai que nous manquerions régulièrement vaut moins pour vous qu'un délai que nous pouvons respecter. Un délai précis, assorti de l'exception usuelle pour le remplacement d'un sous-traitant en urgence, sera fixé au passage de Runday aux comptes payants. L'engagement de vous informer et votre droit de vous y opposer s'appliquent dès maintenant.

Les renseignements de votre clientèle sont maintenant conservés en majorité au Canada. Certains quittent tout de même le Canada — le serveur applicatif se trouve en France, et des sous-traitants comme Stripe, Resend et Google Analytics exercent leurs activités aux États-Unis. La section 6 en donne le détail, et la politique de confidentialité explique ce que cela signifie. Vous devriez le savoir avant de décider que Runday convient à votre clientèle.

La Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant qu'un renseignement personnel soit communiqué à l'extérieur du Québec. Aucune n'a été réalisée pour les transferts qui subsistent. Cela vous concerne autant que nous, puisque c'est vous qui répondez auprès de votre clientèle.

Lorsqu'un de vos clients demande à consulter, corriger, supprimer ou recevoir une copie de ses renseignements, cette demande s'adresse à vous : c'est votre client. Nous vous fournirons ce dont vous avez besoin pour y répondre, sans frais et dans un délai raisonnable. Si une demande nous parvient directement, nous la dirigerons vers vous plutôt que d'y donner suite nous-mêmes.

Si les renseignements de votre clientèle font l'objet d'un accès, d'une communication ou d'une perte non autorisés, nous vous en informerons dans les 72 heures suivant le moment où nous en prenons connaissance, avec ce que nous savons : ce qui s'est passé, quelles données sont visées, ce que nous faisons, et ce que nous vous suggérons de faire.

Si nous n'avons pas encore le portrait complet à ce moment-là, vous recevrez à temps ce que nous savons, puis le reste au fur et à mesure. Un rapport complet qui arrive en retard vous sert moins qu'un rapport partiel qui arrive pendant que vous pouvez encore agir.

Nous vous en informerons même lorsque nous jugeons le risque faible, parce que cette appréciation vous revient pour votre propre clientèle; ce n'est pas à nous de la faire à votre place.

Vous pouvez tout exporter en tout temps depuis les Réglages, dans un seul fichier, sans frais et sans nous le demander. Supprimer votre compte efface les données de nos systèmes actifs immédiatement, sauf ce que la loi nous oblige à conserver. Les copies de sauvegarde expirent selon leur propre cycle en 30 jours.

Comme l'exportation est en libre-service, il n'y a aucun délai pendant lequel vous dépendez de nous pour récupérer vos données. Prenez-les avant de supprimer le compte et rien n'est perdu.

La présente entente s'applique tant que vous utilisez Runday, et ses obligations de confidentialité et de suppression se poursuivent ensuite jusqu'à leur exécution. En cas de conflit avec les conditions d'utilisation quant au traitement des renseignements personnels de votre clientèle, c'est le présent document qui prévaut.

À rédiger : États-Unis — clauses de sous-traitance et obligations des prestataires au niveau des États.

• Runday, exploité depuis le Québec, Canada
• Responsable de la protection des renseignements personnels (le fondateur de Runday) — [email protected]
• Runday est mené par ses deux fondateurs et n'est pas encore une entreprise immatriculée. Une dénomination sociale et une adresse d'affaires seront ajoutées ici une fois l'immatriculation faite.

Voir aussi notre politique de confidentialité, notre politique de gouvernance, notre politique de témoins et nos conditions d'utilisation.