Addenda sur le traitement des données

Le présent addenda sur le traitement des données (l’« addenda ») fait partie des Conditions d’utilisation d’AttestLayer (les « conditions ») seulement lorsqu’un client admissible accepte valablement la version exacte indiquée dans son dossier de commande. Il régit les données personnelles du client que Services AttestLayer, exerçant sous le nom AttestLayer (« AttestLayer »), traite pour le compte du client dans le cadre de cette commande. Les termes définis dans les conditions ont le même sens ici, sauf s’ils sont définis dans le présent addenda.

1. Définitions et rôles

Données personnelles du client désigne les données personnelles ou renseignements personnels qu’AttestLayer traite pour le compte du client au moyen du service direct activé. Loi applicable sur la protection des données désigne la loi sur la protection de la vie privée ou des données qui s’applique à ce traitement. Sous-traitant ultérieur désigne un tiers engagé par AttestLayer pour traiter des données personnelles du client pour le compte d’AttestLayer.

Le client est le responsable du traitement ou l’entreprise, et AttestLayer est le sous-traitant ou le fournisseur de services pour les données personnelles du client, sauf lorsque la loi applicable sur la protection des données attribue un rôle différent pour une activité donnée. Chaque partie demeure responsable de ses obligations légales propres. AttestLayer agit comme responsable indépendant pour ses propres dossiers de compte, de paiement, de prévention de la fraude, de sécurité, de fiscalité et de conformité juridique lorsque la loi le prévoit.

2. Portée, objet et durée

Le présent addenda couvre les offres admissibles Integrity Check, Buyer Review Essentials, Full Buyer Review Pack, forfait de trois et forfait de cinq expressément activées dans la commande. Le traitement se limite à la réception autorisée par la Vérification d’admissibilité, à la validation, à la génération du dossier, à l’examen et à la finalisation par le client, à la livraison privée, au soutien, à la vérification de l’intégrité, à la sécurité et aux autres finalités de l’annexe A. Il commence lorsqu’une commande valide est activée et prend fin à la fin du Service et des durées de conservation applicables, sous réserve des obligations légales de conservation et des cycles des sauvegardes protégées.

3. Instructions documentées

AttestLayer ne traite les données personnelles du client que selon les instructions documentées du client, exprimées par les conditions, le présent addenda, la commande acceptée, l’usage autorisé du Service et les instructions écrites de soutien. AttestLayer informe le client sans délai si elle estime raisonnablement qu’une instruction viole la loi applicable sur la protection des données, et peut suspendre cette instruction pendant que les parties règlent la question. Si la loi exige un traitement en dehors des instructions du client, AttestLayer en informe le client avant le traitement, sauf si la loi interdit cet avis pour des motifs importants d’intérêt public.

AttestLayer ne vend pas les données personnelles du client et ne les communique pas à des fins de publicité comportementale intercontextuelle; elle ne les conserve, ne les utilise et ne les communique pas en dehors des finalités d’affaires directes décrites dans le présent addenda; et elle ne les combine pas avec des renseignements personnels reçus d’une autre personne, sauf dans la mesure permise par la loi applicable sur la protection des données pour fournir ou sécuriser le Service.

4. Confidentialité et personnel

AttestLayer limite l’accès au personnel qui en a besoin pour fournir, sécuriser ou soutenir le Service. Le personnel autorisé est lié par des obligations de confidentialité ou par une obligation légale appropriée, reçoit des instructions de sécurité et de confidentialité adaptées à son rôle et ne traite les données personnelles du client que dans la mesure autorisée.

5. Mesures de sécurité

Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que du risque pour les personnes, AttestLayer maintient les mesures techniques et organisationnelles de l’annexe B. Ces mesures sont des exigences contractuelles pour une commande activée; elles ne constituent ni une certification ni une affirmation qu’un contrôle non disponible, un audit ou une évaluation par un tiers a été réalisé. AttestLayer peut mettre à jour une mesure sans réduire de façon importante la protection globale des données personnelles du client.

6. Sous-traitants ultérieurs

Le client donne une autorisation écrite générale pour les sous-traitants ultérieurs indiqués à la page Sous-traitants en vigueur. AttestLayer leur impose par écrit des obligations de protection des données offrant une protection adaptée au traitement et demeure responsable de l’exécution de ces obligations par un sous-traitant ultérieur, comme l’exige la loi applicable sur la protection des données.

Anthropic, PBC · Inférence d'IA (API Claude) pour sélectionner et vérifier les preuves · États-Unis · Extraits des documents du client et texte du questionnaire · Jusqu'à 30 jours; non utilisés pour l'entraînement.

Pour vérifier chaque question, nous transmettons uniquement les extraits pertinents de vos documents et le texte de la question, jamais les fichiers entiers, à l’API Claude d’Anthropic, qui les traite aux États-Unis. Selon les conditions commerciales d’Anthropic, ces données ne servent pas à entraîner des modèles sans autorisation (nous ne l’avons pas donnée) et sont supprimées des systèmes d’Anthropic dans les 30 jours, sauf si un examen lié à sa politique d’utilisation exige une conservation plus longue. Anthropic figure parmi nos sous-traitants.

AttestLayer publie tout ajout ou remplacement prévu avant que ce sous-traitant ultérieur commence à traiter des données personnelles du client lorsque la loi applicable exige une possibilité d’objection. Le client peut envoyer une objection raisonnable fondée sur la loi à privacy@attestlayer.com. Les parties chercheront de bonne foi une solution commercialement raisonnable. À défaut, l’une ou l’autre partie peut mettre fin au traitement visé non encore exécuté, tout remboursement étant régi par la Politique de remboursement et de facturation acceptée et par la loi impérative.

7. Demandes des personnes concernées

Compte tenu de la nature du traitement, AttestLayer fournit une assistance technique et organisationnelle raisonnable pour permettre au client de répondre aux demandes d’accès, de rectification, de suppression, de limitation, de portabilité ou d’opposition au traitement des données personnelles du client. Si AttestLayer reçoit une demande relative aux données personnelles du client, elle dirige le demandeur vers le client lorsque cela est permis et ne répond pas au nom du client, sauf sur instruction ou si la loi l’exige.

8. Assistance à la conformité

Compte tenu du traitement et des renseignements dont elle dispose, AttestLayer fournit une assistance raisonnable relativement aux obligations de sécurité, à l’évaluation et à la notification des atteintes aux données personnelles, aux évaluations des facteurs relatifs à la vie privée et à la consultation préalable d’une autorité lorsque la loi applicable sur la protection des données exige cette assistance. Une assistance allant au-delà de la documentation et du soutien standard peut exiger une portée convenue séparément et des frais raisonnables, sauf si le besoin découle d’un manquement d’AttestLayer au présent addenda.

9. Incidents touchant des données personnelles

AttestLayer avise le client concerné sans délai indu, et dans tous les cas dans les 72 heures, après avoir confirmé une atteinte à la sécurité entraînant la destruction, la perte, l’altération, la communication non autorisée ou l’accès non autorisé, accidentels ou illicites, aux données personnelles du client. L’avis comprend les renseignements disponibles raisonnablement nécessaires aux obligations du client et peut être fourni par étapes à mesure que les faits sont connus. L’avis ne constitue pas une reconnaissance de faute ou de responsabilité.

10. Restitution, suppression et conservation

Au choix du client et sous réserve des fonctions du Service, AttestLayer restitue ou met à disposition les données personnelles du client et supprime les copies restantes après la période applicable de Service et de conservation. La Politique de conservation et de suppression énonce le cycle de vie standard. Les copies qu’AttestLayer doit conserver en vertu de la loi et les sauvegardes protégées en attente de leur cycle normal de suppression demeurent isolées de l’usage courant et protégées selon le présent addenda.

11. Information et audits

AttestLayer met à disposition les renseignements raisonnablement nécessaires pour démontrer le respect du présent addenda au moyen de son matériel publié de sécurité, de confidentialité, de sous-traitants, de conservation et de vérification, et de réponses écrites raisonnables. Si ce matériel est insuffisant au regard d’une exigence applicable au traitement, le client peut demander un audit par année, réalisé par un auditeur indépendant qualifié, sur préavis raisonnable, pendant les heures d’ouverture, sous confidentialité, sans accès aux données d’un autre client et sans perturbation importante. Le client assume les coûts de son audit, sauf si l’audit révèle un manquement important d’AttestLayer. Aucun audit sur place ni aucune évaluation de sécurité personnalisée n’est inclus dans le prix libre-service standard, mais la présente phrase ne limite pas un droit légal auquel on ne peut renoncer.

AttestLayer informe le client sans délai si, à son avis, une instruction contrevient à la loi applicable sur la protection des données. Rien dans la présente section ne représente un rapport SOC, une certification ISO, un test d’intrusion, une certification ou un rapport d’assurance indépendant réalisé.

12. Transferts internationaux et interprovinciaux

Les lieux de traitement et les rôles des fournisseurs sont indiqués à la page Sous-traitants. Chaque partie satisfait aux exigences de transfert qui s’appliquent à elle. Le client est responsable de toute évaluation des facteurs relatifs à la vie privée requise avant d’ordonner un transfert à l’extérieur du Québec ou d’un autre territoire soumis à des restrictions. AttestLayer fournit des renseignements raisonnables sur les mesures de protection contractuelles et techniques aux fins de cette évaluation. Si un transfert exige des clauses contractuelles types, un addenda du Royaume-Uni ou un autre mécanisme légal non inclus dans la commande standard, le client ne doit pas soumettre les données visées tant que le mécanisme requis n’est pas valablement conclu.

13. Communication exigée par la loi

AttestLayer évalue toute demande gouvernementale ou légale contraignante visant des données personnelles du client, ne communique que ce qu’elle est légalement tenue de communiquer et avise le client avant la communication lorsque la loi le permet. AttestLayer prend des mesures raisonnables pour contester une demande trop large lorsqu’il existe des motifs légitimes et une perspective raisonnable de la limiter.

14. Responsabilités du client et données interdites

Le client garantit qu’il a le pouvoir et un fondement licite pour fournir les données et donner ses instructions, qu’il donne les avis requis, qu’il répond aux personnes concernées et qu’il limite ses soumissions à ce qui est nécessaire. Le service standard n’autorise pas les identifiants, secrets, clés privées, données de carte de paiement, numéros d’identification gouvernementaux, données de santé ou médicales, données personnelles hautement sensibles, dossiers réglementés, code source ni les données d’une autre personne que le client n’est pas autorisé à communiquer. Le client doit utiliser la Console sécurisée, et non le courriel ou les formulaires de soutien, pour les données autorisées destinées au Service.

15. Conditions applicables aux fournisseurs de services en Californie

Dans la mesure où la California Consumer Privacy Act s’applique et qu’AttestLayer est un fournisseur de services ou un entrepreneur, le client communique les données personnelles du client uniquement aux fins d’affaires limitées et précises de l’annexe A. AttestLayer respecte les restrictions applicables aux fournisseurs de services, offre le niveau de protection de la vie privée exigé par la loi applicable, avise le client si elle ne peut plus respecter ces obligations et permet au client de prendre des mesures raisonnables pour faire cesser et corriger un usage non autorisé.

16. Durée, conflit et responsabilité

Le présent addenda demeure en vigueur tant qu’AttestLayer traite des données personnelles du client pour la commande. En cas de conflit avec les conditions quant à la protection ou au traitement des données personnelles du client, le présent addenda prévaut dans cette mesure. Une entente signée séparément ne prévaut que si elle désigne expressément la condition et la commande visées. Les limitations de responsabilité des conditions s’appliquent au présent addenda dans toute la mesure permise par la loi; le présent addenda ne réduit aucun droit ni aucune obligation qui ne peut légalement être limité.

17. Acceptation et version applicable

Le téléchargement du présent document ne crée pas de commande et n’autorise aucun traitement. Pour une commande standard admissible, l’acceptation est enregistrée avec l’organisation qui accepte, l’adresse courriel d’affaires vérifiée, le moment de l’acceptation, la version et l’empreinte source de l’addenda, la révision de l’artefact et l’empreinte du PDF, l’empreinte du manifeste des politiques, la version et l’empreinte du catalogue, la référence de paiement et l’empreinte inviolable du dossier d’acceptation. L’addenda ne lie les parties que lorsqu’il est intégré à une commande admissible acceptée. Écrivez à privacy@attestlayer.com pour les questions de confidentialité ou à security@attestlayer.com pour les questions de sécurité.

Annexe A — Détails du traitement

Objet : le flux de dossier de revue fondé sur les documents, destiné aux clients directs, pour le produit exact indiqué dans la commande acceptée.

Durée : la commande activée et le cycle de conservation et de suppression documenté.

Nature et finalités : recevoir les documents autorisés; valider le format, la portée, l’absence de logiciel malveillant, le contenu caché et la provenance; conserver ou générer le résultat propre au produit; soutenir l’examen et la correction par le client; finaliser, signer, livrer de façon privée et vérifier le dossier; prévenir les abus; fournir du soutien; et tenir les dossiers de sécurité, de facturation, fiscaux et juridiques.

Personnes concernées : le personnel du client, ses clients d’affaires ou clients potentiels, les personnes-ressources d’affaires et les personnes dont des renseignements d’affaires limités figurent dans les documents autorisés.

Catégories de données personnelles : noms, coordonnées d’affaires, titres de poste, renseignements sur l’employeur et le rôle, dossiers de commande et d’accès, texte de la demande client, contenu des documents sources autorisés, texte des réponses remplies par le client, communications de soutien et métadonnées de sécurité ou d’audit.

Données de catégories particulières et données réglementées : non autorisées dans le service standard.

Droits et obligations du client : déterminer les finalités et le fondement licite, donner des instructions et des avis licites, assurer l’exactitude et la minimisation, contrôler les utilisateurs autorisés, répondre aux personnes concernées et télécharger les résultats avant leur expiration.

Annexe B — Mesures techniques et organisationnelles

• Transport réseau chiffré et chiffrement géré au repos pour le stockage et les bases de données pris en charge.
• Stockage d’objets privé, prévention de l’accès public, accès authentifié aux dossiers, accès signé limité et autorisation par client.
• Identités de service selon le principe du moindre privilège, secrets gérés séparément, accès administratif restreint et séparation des rôles public, paiement, Console, vérification et traitement interne.
• Vérification de l’accès par courriel d’affaires, vérification des webhooks signés, contrôles de rejeu et de déduplication, contrôles des droits exécutés une seule fois et contrôles de la capacité des commandes.
• Validation de la taille, du type, du schéma, du contenu caché, des logiciels malveillants et du contenu interdit, qui refuse le traitement en cas d’échec.
• Manifestes de dossier déterministes, empreintes de fichiers, reçus signés, séparation des clés de l’émetteur, vérification en ligne et hors ligne, et rejet des altérations intentionnelles.
• Journalisation de la sécurité et des accès, gestion des incidents, rapprochement, retour arrière et procédures contrôlées de suspension du service.
• Sauvegardes gérées et restauration à un instant donné lorsque applicable, procédures de restauration documentées, calendriers de conservation et contrôles de suppression.
• Contrôles de disponibilité, d’isolement des charges de travail et de concurrence adaptés à la capacité de service achetée.
• Vérification diligente des fournisseurs et obligations écrites des sous-traitants ultérieurs proportionnées aux services qu’ils fournissent.

Contrôle du document

Page canonique : https://buy.attestlayer.com/fr/dpa
Page anglaise de contrôle : https://buy.attestlayer.com/dpa
PDF standard (anglais) : https://buy.attestlayer.com/api/legal/dpa/pdf
Métadonnées lisibles par machine : https://buy.attestlayer.com/api/legal/dpa/metadata
Services AttestLayer est le nom d’entreprise enregistré de Rabie-Abdollah Macbahi, entrepreneur individuel immatriculé au Québec (NEQ 2282022963), 360, rue Saint-Jacques, bureau G101, Montréal (Québec) H2Y 1P5.
Un PDF contresigné du présent addenda est disponible sur demande : security@attestlayer.com.