Addenda sur le traitement des données
Le présent addenda fait partie des Conditions d'utilisation, ou de l'entente-cadre, entre le client et eSora Labs. Il s'applique lorsque nous traitons des renseignements personnels pour le compte du client. Les clients Entreprise peuvent demander une copie signée.
Sur cette page · 8 sections
1. Rôles
Le client est le responsable du traitement (ou l'entreprise) et eSora Labs est le sous-traitant (ou le fournisseur de services) à l'égard des renseignements personnels du client.
2. Nos engagements
- Traiter les renseignements personnels des clients uniquement selon les instructions documentées du client, qui comprennent les conditions et l'utilisation que fait le client du Service.
- Assurez-vous que toutes les personnes ayant accès sont tenues à la confidentialité.
- Appliquer les mesures de sécurité de l’annexe 2 (notre page Sécurité).
- Faire appel à des sous-traitants uniquement en vertu d'un contrat écrit offrant une protection équivalente; nous tenons une liste publique et donnons un préavis de 30 jours pour tout nouveau sous-traitant, afin que le client puisse s'y opposer.
- Aider le client à répondre aux demandes d'exercice des droits des personnes et à réaliser des évaluations des facteurs relatifs à la vie privée.
- Aviser le client sans retard indu, et dans les 48 heures, après avoir pris connaissance d'une atteinte à la protection des données personnelles touchant ses renseignements.
- À la fin du service, supprimer ou retourner les renseignements personnels du client, au choix de celui-ci.
- Mettre à disposition les renseignements nécessaires pour démontrer la conformité, y compris nos rapports de sécurité, et permettre des audits une fois par année moyennant un préavis raisonnable.
- Ne pas traiter les renseignements personnels du client à nos propres fins, sauf des données d'utilisation agrégées et dépersonnalisées pour exploiter et améliorer le Service.
2a. Suppression à la fin du service
Lorsqu'un espace de travail est fermé, son contenu reste accessible au client pendant 1 an, puis il est supprimé, sauf les dossiers sous conservation légale. Les sauvegardes expirent dans les 35 jours suivants. Sur demande, nous confirmons la suppression par écrit.
2b. Demandes gouvernementales
Si une autorité nous demande des renseignements personnels d'un client, nous suivons notre politique sur les demandes du gouvernement et des forces de l'ordre et informons d'abord le client, sauf si la loi l'interdit.
3. Transferts internationaux
Lorsque des renseignements personnels sont transférés hors de l'UE, du Royaume-Uni, de la Suisse ou du Canada, les clauses contractuelles types de l'UE (module 2 ou 3), l'addenda du Royaume-Uni et les modifications suisses sont intégrés par renvoi.
4. Lois des États américains
Nous ne vendrons ni ne communiquerons les renseignements personnels des clients, ne les conserverons, ne les utiliserons ni ne les divulguerons en dehors de la relation d'affaires directe, et ne les combinerons pas avec d'autres renseignements, sauf dans la mesure permise par la loi.
Annexe 1. Détails du traitement
| Article | Détails |
|---|---|
| Objet | Fourniture de services de signature électronique, de documents et de PDF |
| Durée | La durée de l'entente, plus les délais de suppression |
| Personnes | Membres des clients, signataires, destinataires et personnes nommées dans les documents |
| Types de renseignements | Coordonnées, signatures, résultats des vérifications d’identité, données sur l’appareil et le réseau, et tout ce qui figure dans les documents |
| Catégories particulières | Seulement si le client les inclut dans des documents |
| Opérations | Stockage, transmission, affichage, scellement, vérification, suppression |
| Conservation | Comme le prévoit la section Avis de confidentialité, article 7, et les règles de conservation du client |
Annexe 2. Mesures de sécurité
- Chiffrement en transit (TLS 1.2 ou plus récent) et au repos (AES-256); jetons d'accès des importations infonuagiques chiffrés séparément.
- Chaque document scellé par une signature numérique et un journal des événements chaîné par hachage, en ajout seulement.
- Séparation stricte des espaces de travail, vérifiée par des tests automatisés sur chaque route.
- Analyse antivirus de chaque fichier téléversé; téléversements refusés lorsque l'analyseur est indisponible.
- Accès du personnel selon le rôle, avec authentification multifacteur, journalisé.
- Sauvegardes nocturnes de la base de données conservées 35 jours, stockage d'objets versionné et restaurations testées.
- Limites de débit et blocages sur les codes de connexion et les liens de signature.