Addenda de traitement des données

Vous êtes le responsable du traitement des renseignements personnels que vous versez dans Ringfully et de ceux que le service produit au sujet de vos appels. [TBD] est votre sous-traitant et agit selon vos instructions documentées.

Au sens du California Consumer Privacy Act, nous sommes un « service provider ». Nous ne vendons ni ne communiquons de renseignements personnels, nous ne les conservons à aucune fin autre que la prestation du service, et nous ne les combinons avec les renseignements de personne d’autre.

Le présent addenda fait partie des conditions d’utilisation et s’applique automatiquement. Vous n’avez rien à signer séparément, bien que nous contresignions une copie si votre processus l’exige.

Objet et durée

La fourniture d’un service téléphonique infonuagique, pour la durée de votre abonnement, plus la fenêtre de trente jours qui suit sa fin.

Nature et finalité

Établir, acheminer, enregistrer et mesurer les appels téléphoniques et les messages texte, et en tenir le registre pour vous.

Catégories de personnes concernées

Vos employés et sous-traitants qui utilisent le service, et les membres du public qui vous appellent ou que vous appelez.

Catégories de renseignements personnels

Noms, adresses courriel professionnelles, numéros de téléphone, métadonnées d’appel, enregistrements d’appels, audio et transcriptions des messages vocaux, contenu des messages texte, fiches de contact, historique de disponibilité et registres de session, y compris les adresses IP. Exposés en entier dans la politique de confidentialité.

Catégories particulières

Aucune prévue. Un appelant peut néanmoins dire quelque chose de sensible durant un appel enregistré, ce qui est une raison de réfléchir avant d’enregistrer plutôt qu’une catégorie que nous traitons à dessein.

Nous nous engageons à :

1. traiter les renseignements personnels uniquement selon vos instructions, et vous prévenir si nous estimons qu’une instruction contrevient à la loi ;
2. soumettre chaque personne y ayant accès à une obligation de confidentialité ;
3. appliquer les mesures de sécurité de la clause 5 ;
4. ne recourir à des sous-traitants ultérieurs que selon la clause 4 ;
5. vous aider à répondre à une demande d’une personne concernée, selon la clause 6 ;
6. vous signaler sans retard injustifié toute atteinte aux renseignements personnels, selon la clause 7 ; et
7. supprimer ou restituer les données à la fin, selon la clause 8.

Vous donnez une autorisation générale pour les sous-traitants énumérés à la page des sous-traitants. Nous mettrons cette page à jour et vous préviendrons avant qu’un nouveau ne commence à traiter vos données, et vous pourrez vous y opposer.

Tout est traité aux États-Unis : nos serveurs et notre base de données dans AWS US East (Virginie du Nord), et l’audio des appels chez Twilio sans région fixée. Il n’existe aucune option d’hébergement canadienne ni européenne.

Si vous êtes une entreprise québécoise, la Loi 25 vous oblige à évaluer cette communication avant de l’effectuer. Le présent addenda, la page des sous-traitants et la page sur la sécurité constituent la matière de cette évaluation, et nous répondrons par écrit à des questions précises.

Mots de passe hachés avec bcrypt ; chiffrement en transit ; isolation des données par organisation appliquée sur un identifiant lu dans le jeton de session vérifié, avec une suite de tests qui tente un accès entre organisations et vérifie qu’il échoue ; jetons d’accès de courte durée avec jetons de rafraîchissement rotatifs et détection de réutilisation ; verrouillage de compte ; limitation de débit dans l’application et en périphérie ; pare-feu de sortie à refus par défaut sur les requêtes sortantes des flux d’appel ; secrets dans un coffre géré. La page sur la sécurité décrit chacune de ces mesures.

Les actions administratives sont inscrites dans un journal en ajout seul. Il consigne les modifications de comptes, de rôles et de permissions ; les connexions, les échecs de connexion, les verrouillages et les réinitialisations de mot de passe ; les modifications des numéros de téléphone, des flux d’appel, de la politique d’enregistrement et de la politique de conservation ; les exportations et les effacements effectués pour une personne concernée ; et chaque lecture ou téléchargement d’un enregistrement, d’un message vocal ou d’une transcription. Rien dans le produit ne modifie ni ne supprime une entrée. Une personne détenant la permission d’audit peut consulter le journal dans le portail d’administration et exporter la même vue filtrée en fichier CSV.

Énoncé tout aussi franchement, parce qu’un addenda qui les omettrait serait trompeur :

1. Nous ne détenons aucun rapport soc 2, aucun certificat ISO 27001 et aucune attestation hipaa ou pci. Les utilisateurs peuvent activer la connexion à deux facteurs ; une organisation ne peut pas encore l’exiger de tous ses utilisateurs. Le multifacteur est obligatoire sur notre propre console d’exploitation seulement.
2. Ce journal est tenu au mieux. Une écriture qui échoue est abandonnée plutôt que d’annuler l’action qu’elle décrit : il atteste donc les accès qu’il a consignés et ne prouve rien au sujet de ceux qu’il aurait manqués. Il n’est pas inviolable, et il ne convient pas comme seule preuve pour une attestation qui exige une exhaustivité démontrable. Une exportation retourne au plus 10 000 entrées, des plus récentes aux plus anciennes ; un historique plus long s’exporte une plage de dates à la fois.

Si une personne concernée s’adresse directement à nous, nous ne répondrons pas sur le fond ; nous vous transmettrons la demande, vous dirons que nous l’avons fait, et vous aiderons à y répondre.

Vous pouvez répondre vous-même à l’essentiel. Le portail d’administration comporte un écran des demandes des personnes concernées : identifier la personne par son numéro de téléphone, par sa fiche de contact ou par son compte d’utilisateur, confirmer qu’il s’agit de la bonne personne avant toute lecture, exporter tout ce qui est détenu à son sujet en un fichier JSON ou une section à la fois en CSV, et l’effacer. L’effacement s’exécute par défaut en répétition et rapporte ce qu’il retirerait ; une exécution réelle exige que l’identifiant soit ressaisi avant de se poursuivre.

L’effacement n’est pas total, et le rapport nomme ce qui a été conservé. Les registres d’utilisation et de facturation demeurent, parce que la loi fiscale exige de conserver six ans les livres ayant servi au calcul d’une facture. L’entrée de journal qui consigne l’effacement demeure, parce qu’elle est la preuve que la demande a été honorée, ce qui signifie aussi que le nom et le courriel d’un employé effacé survivent dans les entrées décrivant ce qu’il a fait. Les registres d’appel demeurent, les identifiants de la personne remplacés plutôt que la ligne supprimée. L’audio des enregistrements et des messages vocaux est supprimé chez notre fournisseur de téléphonie avant la ligne qui y renvoie ; si le fournisseur ne confirme pas, rien n’est marqué comme supprimé, l’exécution se déclare partielle, et la demande n’est pas terminée.

Ce qui demeure manuel, c’est la demande elle-même. Rien ne consigne qu’une demande est arrivée, qui l’a faite, ni comment son identité a été vérifiée, et rien ne suit le délai de trente jours. Notre engagement reste ces trente jours. Si vos obligations vous imposent de répondre plus vite que cela de façon courante, dites-le-nous avant d’acheter.

Nous vous préviendrons sans retard injustifié après avoir pris connaissance d’une atteinte aux renseignements personnels touchant vos données, avec ce que nous savons à ce moment-là : ce qui s’est produit, quelles catégories et approximativement combien d’enregistrements, les conséquences probables, et ce que nous faisons. Nous vous tiendrons au courant à mesure plutôt que d’attendre un portrait complet. Nous tenons un registre des incidents, qu’ils atteignent ou non un seuil de notification.

Pendant la durée du contrat, les données sont supprimées selon un calendrier. Votre organisation dispose d’une fenêtre de conservation pour chaque type de registre qu’elle détient : enregistrements d’appels, messages vocaux, registres d’appel, messages texte, journal administratif, registres de notification et historique de disponibilité, entre autres. Si vous n’avez rien réglé, les valeurs par défaut de la plateforme s’appliquent : trente jours pour les enregistrements, quatre-vingt-dix jours pour les messages vocaux, un an pour les messages texte, les registres de notification et l’historique de disponibilité, et sept ans pour les registres d’appel et le journal administratif. Une personne détenant la permission de politique peut modifier chacune de ces valeurs dans le portail d’administration, et une tâche nocturne supprime ce qui a dépassé la fenêtre en vigueur.

Raccourcir une fenêtre entraîne une suppression dès l’exécution suivante et cette suppression est irréversible : il n’existe aucune archive ni aucune copie distincte de l’audio des appels à partir de laquelle restaurer. Une exception au calendrier est énoncée plutôt que cachée, parce qu’elle laisse un registre survivre à sa fenêtre : un registre d’appel ayant comporté un enregistrement est laissé en place, puisque la ligne qui atteste la suppression de l’audio y renvoie encore.

À la résiliation, sur demande faite dans les trente jours, nous fournirons une copie de vos données dans un format couramment utilisé puis les supprimerons, y compris des sauvegardes selon leur cycle ordinaire. Passé ce délai, nous pouvons les supprimer sans autre préavis. Nous confirmerons la suppression par écrit si vous le demandez.

Nous mettrons à disposition les renseignements nécessaires pour démontrer que nous respectons le présent addenda, et nous répondrons à un questionnaire de sécurité. Nous n’offrons pas pour l’instant d’audit sur place, et il n’existe aucun rapport indépendant pour y suppléer. Lorsque cela ne suffit pas à votre processus, dites-le tôt. La réponse pourrait être que Ringfully n’atteint pas encore votre seuil, et il vaut mieux l’établir avant un contrat qu’après.

[email protected], à l’attention de [TBD]. Pour une copie contresignée, envoyez la vôtre et nous vous la retournerons.