Entente de traitement des données

La présente entente de traitement des données (l'« Entente ») fait partie des conditions d'utilisation conclues entre Peich Technologies Inc. (« Caribooks », « nous ») et le client (« vous »). Elle s'applique chaque fois que Caribooks traite des renseignements personnels pour votre compte dans le cadre du Service. Les termes définis dans les conditions d'utilisation ont le même sens ici. En cas de désaccord entre la présente Entente et les conditions d'utilisation au sujet des renseignements personnels, la présente Entente l'emporte.

1. Rôles

1.1. Vous décidez pourquoi et comment les renseignements personnels sont traités dans le Service : vous êtes responsable de vos propres renseignements. Lorsque vous connectez les livres ou les comptes de vos clients, vous agissez pour eux, et Caribooks agit comme votre sous-traitant.

1.2. Caribooks traite les renseignements personnels uniquement pour votre compte, à titre de prestataire de services (au sens des lois sur la protection des renseignements personnels qui emploient ce terme).

1.3. Les « Renseignements personnels » sont tout renseignement contenu dans les Données du client qui concerne une personne identifiée ou identifiable, comme le nom, l'adresse courriel ou les coordonnées bancaires d'un fournisseur, d'un client, d'un employé ou de l'un de vos Utilisateurs.

1.4. La « Loi applicable » désigne les lois sur la protection des renseignements personnels qui s'appliquent au traitement, notamment la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25), la Loi sur la protection des renseignements personnels et les documents électroniques du Canada (LPRPDE) et, lorsqu'elles s'appliquent, les lois des États américains en la matière.

2. Traitement selon vos seules instructions

2.1. Caribooks traite les Renseignements personnels uniquement pour fournir le Service, selon vos instructions documentées. Vos instructions sont les conditions d'utilisation, la présente Entente, les fonctions que vous activez et les paramètres que vous choisissez, et ce que vous ou votre assistant IA demandez au Service. L'annexe 1 décrit le traitement.

2.2. Caribooks ne vend ni ne partage les Renseignements personnels, ne les utilise ni à ses propres fins ni à des fins publicitaires, ne les combine pas avec des renseignements d'autres sources sauf pour vous fournir le Service, et ne les utilise pas pour entraîner des modèles d'IA.

2.3. Si nous estimons qu'une instruction contrevient à la Loi applicable, nous vous en informons et pouvons refuser de la suivre.

2.4. Si la loi nous oblige à traiter ou à communiquer des Renseignements personnels autrement que selon vos instructions, nous vous en informons d'abord, à moins que la loi ne l'interdise.

3. Personnes ayant accès

Seules les personnes qui en ont besoin pour fournir le Service ont accès aux Renseignements personnels. Chacune est tenue à la confidentialité. Ce sont aujourd'hui deux personnes : le président et un développeur. Chaque compte qu'elles utilisent pour accéder aux systèmes de production ou aux Données du client est protégé par une authentification multifacteur.

4. Sécurité

Caribooks applique les mesures techniques et organisationnelles décrites à l'annexe 2 et les maintient au moins à ce niveau pendant toute la durée de la présente Entente. Nous pouvons les mettre à jour, à condition que le niveau global de protection ne diminue pas.

5. Sous-traitants

5.1. Vous autorisez Caribooks à faire appel aux sous-traitants énumérés à l'annexe 3. Chacun est lié par des conditions écrites qui l'obligent à protéger les renseignements qu'il reçoit et à ne les utiliser que pour fournir son service.

5.2. Nous écrivons au titulaire du compte au moins 15 jours avant qu'un nouveau sous-traitant commence à recevoir des Renseignements personnels, et mettons à jour la liste de l'annexe 3 le même jour.

5.3. Lorsqu'un sous-traitant fait défaut ou présente un risque pour la sécurité, nous pouvons le remplacer immédiatement, puis vous en informer dans les 5 jours.

5.4. Vous pouvez vous opposer à un nouveau sous-traitant, pour des motifs raisonnables liés à la protection des Renseignements personnels, dans les 15 jours suivant notre avis. Nous chercherons alors une solution, comme désactiver pour votre compte la fonction qui fait appel à ce sous-traitant. Si nous n'en trouvons pas, vous pouvez mettre fin à la partie visée du Service, ou à l'entente entière, et nous remboursons la partie inutilisée de toute période payée.

5.5. Caribooks demeure responsable envers vous du traitement de vos Renseignements personnels par ses sous-traitants.

6. Modèles d'IA

6.1. Votre assistant IA n'est pas notre sous-traitant. L'assistant que vous connectez (Claude, ChatGPT ou Microsoft Copilot) est un service que vous avez choisi, régi par votre propre entente avec son fournisseur. Lorsque vous lui posez une question, les données nécessaires pour y répondre lui sont transmises selon vos instructions. Les conditions de son fournisseur et vos paramètres chez lui déterminent ce qu'il conserve.

6.2. Les modèles qu'utilise Caribooks. Certaines fonctions utilisent des modèles d'IA choisis par Caribooks : Autopilote, la lecture et le classement des documents, la recherche de reçus dans une boîte courriel connectée et les noms des commerçants des transactions bancaires. Ces requêtes passent par OpenRouter vers les hébergeurs énumérés à l'annexe 3. Nous n'utilisons que des points d'accès qu'OpenRouter indique comme ne conservant aucune donnée et ne s'en servant pas pour l'entraînement, et chaque requête que nous envoyons exige les deux. Si aucun de ces points d'accès n'est disponible, la requête échoue; elle n'est jamais envoyée à un autre point d'accès.

6.3. Caribooks n'utilise jamais les Données du client pour entraîner des modèles d'IA.

7. Incidents de confidentialité

7.1. Caribooks avise le titulaire du compte par courriel sans délai injustifié, et au plus tard 72 heures après avoir pris connaissance d'une atteinte à la sécurité touchant vos Renseignements personnels (un « incident de confidentialité » au sens de la Loi 25).

7.2. L'avis décrit, selon ce que nous savons à ce moment : ce qui s'est passé, les renseignements et le nombre de personnes visés, les conséquences probables, ce que nous avons fait et ferons, et la personne à joindre. Nous transmettons ce que nous apprenons ensuite au fur et à mesure.

7.3. Nous prenons des mesures raisonnables pour contenir l'incident et réduire le risque de préjudice, le consignons dans un registre et vous aidons à respecter vos propres obligations d'aviser les autorités et les personnes concernées. Nous n'avisons pas vos clients ou les personnes visées par vos données en votre nom sans votre accord, sauf si la loi nous y oblige.

8. Notre aide

8.1. Si une personne demande à Caribooks l'accès à ses Renseignements personnels dans votre compte, leur rectification ou leur suppression, nous vous transmettons la demande et n'y répondons pas nous-mêmes, sauf si la loi nous y oblige.

8.2. Nous vous aidons, dans une mesure raisonnable, à répondre à ces demandes, à réaliser des évaluations des facteurs relatifs à la vie privée et à répondre aux questions d'une autorité de contrôle au sujet du Service.

9. Lieu du traitement

9.1. Caribooks conserve les Données du client au Canada : la base de données et les fichiers sont hébergés par Supabase dans la région AWS Canada (Centre), et l'application fonctionne sur Vercel au Canada.

9.2. Certains sous-traitants traitent des Renseignements personnels à l'extérieur du Canada, surtout aux États-Unis, aux fins indiquées à l'annexe 3.

10. Suppression

10.1. Une entreprise déconnectée. Lorsque vous déconnectez une entreprise QuickBooks, ou révoquez l'accès de Caribooks depuis votre compte Intuit, l'accès cesse aussitôt. Tout ce que Caribooks conserve pour cette entreprise est gardé 29 jours, afin qu'une reconnexion rétablisse vos réglages, puis supprimé le 29e jour.

10.2. Fin de l'accès. Lorsque votre accès au Service prend fin (résiliation, essai terminé sans forfait ou fin de l'entente), les Données du client sont conservées 90 jours. Nous écrivons au titulaire du compte 30 jours et 7 jours avant. Le 90e jour, Caribooks déconnecte chaque entreprise, banque, compte Stripe et boîte courriel, révoque son accès auprès de chaque fournisseur et supprime les Données du client qu'elle détient, y compris celles des entreprises.

10.3. Sur demande. Vous pouvez nous demander en tout temps, à support@caribooks.com, de supprimer votre compte et ses Données du client. Nous effectuons la suppression dans les 30 jours et vous la confirmons par écrit.

10.4. Copies dans les sauvegardes et les journaux. Les sauvegardes de la base de données sont gardées 7 jours, puis détruites. Les copies que les sous-traitants conservent dans leurs journaux et leurs registres de courriels envoyés expirent selon leurs propres calendriers, en 96 jours au plus.

10.5. Votre copie. Vos livres restent dans QuickBooks, que Caribooks ne modifie pas lors de la suppression. Avant la suppression, vous pouvez télécharger vos documents de la boîte de documents. Caribooks ne garde que les registres de facturation qu'exigent les lois fiscales canadiennes, conservés par Stripe, qui ne contiennent aucune donnée QuickBooks ni bancaire.

11. Vérifications

11.1. Une fois par année, et après un incident qui a touché vos Renseignements personnels, Caribooks répond par écrit à un questionnaire de sécurité raisonnable et vous transmet sa politique de sécurité de l'information et sa politique de conservation et de destruction des données en vigueur.

11.2. Les rapports de sécurité indépendants de nos hébergeurs (comme SOC 2) s'obtiennent auprès de ces fournisseurs.

11.3. Lorsqu'une autorité de contrôle l'exige, ou après un incident qui a touché vos Renseignements personnels, vous pouvez faire effectuer une vérification par vous-même ou par un vérificateur indépendant tenu à la confidentialité, avec un préavis de 30 jours, pendant les heures d'ouverture, à vos frais et sans exposer les données d'autres clients.

11.4. Lorsque Caribooks détiendra son propre rapport de sécurité indépendant, comme SOC 2, sa transmission remplacera le questionnaire prévu à l'article 11.1.

12. Responsabilité et durée

12.1. La responsabilité de chaque partie selon la présente Entente est soumise aux limites prévues dans les conditions d'utilisation. Il n'existe aucun plafond distinct ou supplémentaire.

12.2. La présente Entente s'applique tant que Caribooks traite des Renseignements personnels pour votre compte, y compris pendant les périodes prévues à l'article 10.

12.3. Une copie de la présente Entente signée par Caribooks, au nom de votre organisation, est offerte sur demande à support@caribooks.com. L'Entente lie les deux parties dès votre acceptation des conditions d'utilisation, avec ou sans copie signée.

Annexe 1. Description du traitement

Finalité. Fournir le Service : répondre à vos questions et à celles de votre assistant IA à partir de vos livres connectés, exécuter les tâches d'Autopilote que vous activez, conserver et lire les documents que vous envoyez, connecter des banques, des comptes Stripe, des boîtes courriel et des portails fournisseurs, envoyer les courriels que vous demandez, facturer et vous offrir du soutien.

Nature. Collecte auprès des services connectés, conservation, organisation, lecture par des modèles d'IA, rapprochement, transmission à votre assistant IA, inscription dans QuickBooks selon vos instructions, et suppression.

Personnes concernées. Vos Utilisateurs; vos clients et leurs employés, fournisseurs, clients et autres contacts dont les renseignements figurent dans les livres, documents, transactions bancaires ou boîtes courriel connectés; les personnes qui soumettent des demandes de remboursement de dépenses ou des documents par un lien que vous partagez.

Renseignements. Noms, adresses courriel et postales, numéros de téléphone, numéros de taxe, transactions financières (montants, dates, descriptions, comptes), factures et reçus, renseignements sur les comptes bancaires (nom, type, quatre derniers chiffres, soldes, transactions), ventes Stripe (noms et courriels des clients), courriels des fournisseurs que Caribooks recherche dans une boîte courriel connectée, et renseignements de connexion. Caribooks ne demande pas de renseignements sensibles, comme des données de santé ou des numéros d'identité gouvernementaux; ils peuvent toutefois figurer dans les documents que vous envoyez.

Durée. Tant que le Service est fourni, puis selon l'article 10.

Annexe 2. Mesures de sécurité

• Chiffrement. TLS 1.2 ou plus récent sur chaque connexion. Chiffrement AES-256 au repos de la base de données, des fichiers et des sauvegardes. Jetons d'accès QuickBooks, Plaid, Stripe et des boîtes courriel chiffrés une seconde fois dans l'application en AES-256-GCM, avec une clé conservée hors du code source.
• Cloisonnement. Sécurité au niveau des lignes sur chaque table contenant des Données du client, selon le compte. La base de données est fermée au navigateur : seul le code serveur y accède, et chaque requête est limitée au compte connecté. Les fichiers sont dans un compartiment privé, sous des chemins propres à chaque compte.
• Accès aux services connectés. QuickBooks, Plaid, Stripe, Gmail et Outlook sont joints par l'autorisation propre à chaque fournisseur; Caribooks ne voit jamais les mots de passe. L'accès peut être révoqué en tout temps depuis Caribooks ou chez le fournisseur.
• Moindre privilège dans le produit. Chaque entreprise QuickBooks commence en lecture seule. L'accès en écriture est activé entreprise par entreprise par le titulaire du compte. Supprimer, annuler et envoyer exigent une confirmation explicite.
• Connexion. Connexion sans mot de passe par lien ou code envoyé par courriel, ou avec Google ou Microsoft. Vérification anti-robot sur la page de connexion. Deuxième étape par application d'authentification pour chaque Utilisateur qui l'active, obligatoire pour l'accès bancaire. Les assistants IA se connectent par OAuth 2.1 avec PKCE.
• Accès du personnel. Accès à la production limité à des personnes nommées, avec authentification multifacteur sur chaque système qui donne accès aux Données du client. Secrets conservés dans un gestionnaire de mots de passe.
• Développement. Code dans un dépôt privé; une suite de tests automatisés bloque toute mise en production qui y échoue; alertes de sécurité des dépendances examinées et corrigées.
• Surveillance. Rapports d'erreurs dépouillés du contenu QuickBooks, des jetons, du corps des requêtes et des requêtes aux modèles d'IA avant de quitter l'application. Utilisation de l'API QuickBooks mesurée chaque jour.
• Continuité. Sauvegardes quotidiennes de la base de données gardées 7 jours; l'application peut être redéployée à partir de son dépôt en tout temps.
• Politiques. Une politique de sécurité de l'information et une politique de conservation et de destruction des données écrites, révisées au moins une fois par année, et un registre des incidents de confidentialité comme l'exige la Loi 25.

Annexe 3. Sous-traitants