Avis de confidentialité
Le présent avis explique comment eSora Labs Ltd. traite les renseignements personnels lorsque vous utilisez eSora Sign, eSora PDF et nos sites Web. Nous respectons la Personal Information Protection and Electronic Documents Act du Canada (Loi sur la protection des renseignements personnels et les documents électroniques [LPRPDE]), la Loi 25 du Québec lorsqu'elle s'applique, le RGPD de l'UE et du Royaume-Uni pour les personnes qui se trouvent dans ces régions, ainsi que les lois des États américains sur la protection de la vie privée comme la CCPA.
Sur cette page · 13 sections
- 1. Qui est responsable
- 2. Ce que nous recueillons
- 3. Pourquoi nous les utilisons
- 3a. Décisions automatisées
- 4. Ce que nous ne faisons jamais
- 5. Avec qui nous les communiquons
- 6. Lieu de stockage
- 7. Durée de conservation
- 8. Vos droits
- 9. Sécurité
- 9a. Divulgations exigées par les États américains
- 10. Enfants
- 11. Modifications du présent avis
1. Qui est responsable
Pour les renseignements liés au compte, à la facturation et au site Web, eSora Labs Ltd. est le responsable du traitement. Pour les documents et les renseignements sur les signataires qu'un client envoie au moyen du Service, le client est le responsable du traitement, et nous traitons ces renseignements pour son compte en vertu de notre Addenda sur le traitement des données.
Vous pouvez joindre notre responsable de la protection des renseignements personnels à privacy@esorasign.com ou par la poste à eSora Labs Ltd., Toronto (Ontario), Canada.
2. Ce que nous recueillons
| Qui | Renseignements | D'où elle provient |
|---|---|---|
| Expéditeurs et membres | Nom, courriel professionnel, entreprise, rôle, événements de connexion, images de la signature et des initiales, préférences | Vous, votre administrateur, la connexion de votre entreprise |
| Signataires | Nom, courriel, numéro de cellulaire si les codes sont envoyés par texto, adresse IP, appareil et navigateur, heure de chaque étape, signature, valeurs des champs, pièces jointes | L'expéditeur, et vous pendant la signature |
| Signataires à qui l'on demande une vérification d'identité | Le résultat, le nom inscrit sur la pièce, son type et le pays de délivrance. Les images de la pièce et l'égoportrait sont recueillis et conservés par Stripe Identity, pas par nous | Stripe Identity, une fois sa vérification terminée |
| Contacts de facturation | Nom, adresse de facturation, numéro de taxe, quatre derniers chiffres et date d'expiration de la carte | Vous et notre fournisseur de paiement; nous ne voyons jamais le numéro de carte complet |
| Visiteurs du site Web | Pages consultées, emplacement approximatif selon l'adresse IP, type d'appareil et choix relatifs aux témoins | Votre navigateur, uniquement avec votre consentement pour l'analytique |
| Les personnes qui communiquent avec nous | Nom, courriel, message et tout ce que vous joignez | Vous |
| Utilisateurs des outils PDF | Fichiers que vous téléversez dans les outils serveur et les outils d'IA, pendant le temps nécessaire à leur traitement | Vous |
| Dossiers scellés | Une empreinte (SHA-256) de chaque dossier scellé est envoyée à une autorité d'horodatage. Aucun contenu ni renseignement personnel n'est envoyé | Le Service |
3. Pourquoi nous les utilisons
- Pour exploiter le Service : envoyer des documents, confirmer l'identité des signataires, sceller les documents, produire des certificats et tenir des dossiers.
- Pour assurer la sécurité du Service et de ses utilisateurs : détecter la fraude, les abus et les attaques.
- Pour facturer les forfaits payants et respecter les règles fiscales et comptables.
- Pour offrir du soutien et vous informer des changements apportés au Service.
- Pour améliorer le Service à l'aide de données d'utilisation agrégées. Nous n'utilisons pas le contenu des documents à cette fin.
- Pour envoyer des nouvelles sur nos produits, seulement si vous y consentez, comme l'exige la Loi canadienne anti-pourriel. Vous pouvez vous désabonner dans chaque courriel.
- Pour envoyer des codes à usage unique par texto, lorsqu'un expéditeur le choisit. Nous n'utilisons jamais les numéros de téléphone pour du marketing.
En vertu du RGPD, nos fondements juridiques sont : l'exécution de notre contrat avec vous, nos intérêts légitimes à exploiter un service sécurisé, le respect de la loi et votre consentement pour le marketing et les témoins facultatifs.
3a. Décisions automatisées
Lorsqu'un expéditeur demande une vérification d'identité avec photo, le nom inscrit sur votre pièce est comparé automatiquement avec celui que l'expéditeur a saisi. Les accents et les majuscules ne sont pas pris en compte. Si les noms ne correspondent pas, vous ne pouvez pas signer tant que l'expéditeur n'a pas corrigé votre nom et que vous n'avez pas refait la vérification.
Vous pouvez demander quels renseignements ont été utilisés et comment fonctionne la comparaison, et demander qu'une personne révise le résultat, en écrivant à privacy@esorasign.com ou à l'expéditeur. Aucune autre décision vous concernant n'est prise uniquement par des moyens automatisés.
4. Ce que nous ne faisons jamais
- Nous ne vendons pas de renseignements personnels et ne les communiquons pas à des fins de publicité comportementale intercontextuelle.
- Nous n'utilisons pas les documents ni les renseignements des signataires pour entraîner des modèles d'IA.
- Nous ne lisons pas vos documents, sauf de la manière décrite dans nos Conditions d'utilisation, article 9.
5. Avec qui nous les communiquons
Nous communiquons des renseignements personnels uniquement : aux personnes qui participent à un processus de signature (par exemple, les autres parties voient le nom et l'adresse courriel de chaque signataire ainsi que le certificat); aux fournisseurs de services qui nous aident à exploiter le Service, énumérés sur notre Sous-traitants et liés par contrat; nos conseillers professionnels; un acquéreur de notre entreprise, avec les mêmes protections; et les autorités lorsque la loi l'exige. Nous examinons les demandes gouvernementales et contestons celles qui sont trop larges, comme l'explique notre politique sur les demandes du gouvernement et des forces de l'ordre .
6. Lieu de stockage
Nous stockons le contenu au Canada. Certains fournisseurs de services traitent des renseignements limités dans d'autres pays, comme les États-Unis. Lorsque des renseignements quittent le Canada, l'UE ou le Royaume-Uni, nous les protégeons au moyen de contrats comme les clauses contractuelles types de l'UE et l'addenda du Royaume-Uni.
Avant que des renseignements personnels sur des personnes au Québec ne quittent le Québec, nous évaluons les risques pour la vie privée, comme l'exige la Loi 25 du Québec.
7. Durée de conservation
| Renseignements | Durée |
|---|---|
| Documents terminés et certificats | Tant que l'espace de travail est ouvert, sauf si le client les supprime ou qu'une règle de conservation (Teams et Enterprise) les supprime plus tôt; puis 1 an après la fermeture de l'espace de travail |
| Brouillons et demandes annulées | Tant que l'espace de travail est ouvert, sauf si le client les supprime ou qu'une règle de conservation les supprime plus tôt; puis 1 an après la fermeture de l'espace de travail |
| Preuves de signature (journal des événements, IP, appareil, numéro de téléphone, résultat de la vérification d'identité) | Avec le document auquel elles se rapportent. Lorsqu'une règle de conservation supprime un document, son résumé de preuve (noms, adresses courriel, heures, adresses IP et empreintes des fichiers, sans le contenu du document) est conservé jusqu'à la suppression de l'espace de travail |
| Photos des pièces d'identité et égoportraits | Jamais stockées par nous; Stripe Identity les conserve selon sa propre politique de conservation |
| Numéros de cellulaire et textos | Le numéro est conservé avec le document. Twilio conserve les registres de livraison selon sa propre politique. Le texte d'un code n'est jamais stocké |
| Renseignements sur l'espace de travail et ses membres | Tant que l'espace de travail est ouvert, puis 1 an après sa fermeture |
| Dossiers de facturation | 7 ans, comme l'exige la législation fiscale |
| Fichiers téléversés dans les outils PDF | Supprimés dès que le résultat vous est remis |
| PDF partagés par lien depuis les outils PDF | Jusqu'à l'expiration du lien (1, 7 ou 30 jours, selon votre choix), puis supprimés |
| Messages à l'équipe des ventes et candidatures | 2 ans, puis supprimés avec le CV éventuel |
| Sauvegardes | Jusqu'à 35 jours |
8. Vos droits
- Accès : demandez une copie des renseignements personnels que nous détenons à votre sujet.
- Rectification : demandez-nous de corriger des renseignements inexacts.
- Suppression : nous demander de supprimer des renseignements, sauf si nous devons les conserver, par exemple comme preuve d'une signature sur laquelle les autres parties s'appuient.
- Portabilité : obtenir vos renseignements dans un format lisible par machine.
- Opposition et limitation : vous opposer à un traitement fondé sur des intérêts légitimes, ou nous demander de le limiter.
- Retirer votre consentement : pour le marketing ou les témoins facultatifs, en tout temps.
- Révision d'une décision automatisée : demander qu'une personne réexamine la comparaison des noms lors d'une vérification d'identité.
- Refus de la vente ou du partage : nous ne vendons ni ne partageons vos renseignements, alors il n'y a rien à refuser; nous respectons tout de même les signaux Global Privacy Control.
Courriel privacy@esorasign.com. Nous répondons dans un délai de 30 jours. Si une demande porte sur un document qu'une personne vous a envoyé, nous pouvons la transmettre à cet expéditeur, qui en a le contrôle. Nous ne vous traiterons pas différemment parce que vous exercez vos droits.
Si notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès du Commissariat à la protection de la vie privée du Canada, de la Commission d'accès à l'information du Québec, de votre autorité de protection des données de l'UE ou du Royaume-Uni, ou du procureur général de votre État.
9. Sécurité
Nous chiffrons les renseignements en transit (TLS 1.2 ou version ultérieure) et au repos (AES-256), limitons l'accès du personnel selon les rôles, exigeons l'authentification multifacteur pour le personnel, journalisons les accès, testons régulièrement nos systèmes et formons notre équipe. Si une atteinte crée un risque réel de préjudice grave, nous en informerons les personnes touchées et les organismes de réglementation, comme l'exige la loi.
Nous tenons un registre des incidents de confidentialité, comme l'exigent les lois canadiennes et québécoises.
9a. Divulgations exigées par les États américains
Ce tableau constitue notre avis au moment de la collecte au sens de la CCPA et de lois d'État semblables. Nous ne vendons pas de renseignements personnels et ne les partageons pas à des fins de publicité comportementale intercontextuelle, et ne l'avons pas fait au cours des 12 derniers mois.
| Catégorie | Exemples | Pourquoi |
|---|---|---|
| Identifiants | Nom, courriel, numéro de téléphone, adresse IP | Pour exploiter et sécuriser le Service |
| Renseignements commerciaux | Forfait, factures, historique des paiements | Facturation |
| Activité Internet | Événements de signature, appareil et navigateur | Preuve de signature, sécurité |
| Emplacement approximatif | Pays ou région déduits de l'adresse IP | Sécurité, taxes |
| Renseignements professionnels | Entreprise et rôle | Administration du compte |
| Renseignements sensibles | Images de pièces d'identité officielles, traitées par Stripe Identity seulement lorsqu'un expéditeur demande une vérification d'identité avec photo | Vérifications d'identité; jamais utilisées pour déduire des caractéristiques |
Chaque catégorie est conservée comme le prévoit l'article 7.
10. Enfants
Le Service n'est pas destiné aux enfants, et nous ne recueillons pas sciemment de renseignements sur les personnes de moins de 16 ans. Un parent ou un tuteur peut signer au nom d'un enfant lorsqu'un document l'exige. Si vous croyez qu'un enfant nous a fourni des renseignements, écrivez-nous et nous les supprimerons.
11. Modifications du présent avis
Nous publierons les modifications ici et mettrons à jour la date en haut de la page. Si une modification est importante, nous enverrons un courriel aux titulaires de compte avant son entrée en vigueur.