Entente sur le traitement des données (ETD)
Dernière mise à jour : 2026-11-02
1. Introduction
La présente Entente sur le traitement des données (« ETD ») est conclue entre Hivi (Hivi-x) (le « Sous-traitant », « nous ») et l’utilisateur professionnel (le « Responsable du traitement », « vous ») qui utilise Hivi-x (le « Service ») pour recueillir et traiter des données personnelles concernant ses clients ou utilisateurs finaux.
Lorsque vous utilisez le Service à titre professionnel pour recueillir des données personnelles, y compris des pièces d’identité, des renseignements sur la santé ou d’autres renseignements personnels auprès de vos clients, vous agissez comme responsable du traitement et nous agissons comme sous-traitant à l’égard de ces données. La présente ETD définit les conditions selon lesquelles nous traitons ces données pour votre compte.
2. Définitions
- Responsable du traitement : L’utilisateur professionnel (vous) qui détermine les finalités et les moyens du traitement des données personnelles de ses clients ou utilisateurs finaux via le Service.
- Sous-traitant : Hivi (Hivi-x), qui traite les données personnelles pour le compte du Responsable du traitement.
- Données personnelles : Toute information relative à une personne physique identifiée ou identifiable que le Responsable du traitement fournit ou qui est soumise au Service par ou pour le compte de ses clients ou utilisateurs finaux.
- Traitement : Toute opération effectuée sur des Données personnelles (collecte, stockage, utilisation, divulgation, etc.).
- Personne concernée : La personne à laquelle se rapportent les Données personnelles (p. ex. votre client ou utilisateur final).
- Sous-traitant ultérieur : Tout tiers engagé par le Sous-traitant pour traiter des Données personnelles pour le compte du Sous-traitant.
- Utilisateurs autorisés : Les personnes que le Responsable du traitement invite dans son espace de travail d’équipe du Service (propriétaire, administrateurs et personnel). Leurs actions dans l’espace sont faites pour le compte du Responsable du traitement.
3. Portée et rôles
3.1 La présente ETD s’applique à tout Traitement de Données personnelles par le Sous-traitant pour le compte du Responsable du traitement lorsque celui-ci utilise le Service pour recueillir, stocker ou traiter des données concernant ses clients ou utilisateurs finaux.
3.2 Le Responsable du traitement est responsable de s’assurer qu’il dispose d’une base légale et qu’il a fourni un avis approprié (y compris un avis de confidentialité) aux Personnes concernées avant de recueillir leurs Données personnelles via le Service. Le Responsable du traitement ne doit pas utiliser le Service pour recueillir des Données personnelles en violation de la loi applicable ou sans le consentement ou la base légale nécessaires.
3.3 Le Sous-traitant ne traite les Données personnelles que sur instructions documentées du Responsable du traitement, y compris celles prévues dans la présente ETD et dans les Conditions d’utilisation, sauf si la loi applicable l’exige autrement.
3.4 Si le Responsable du traitement active les fonctions de calendrier (y compris la synchronisation Google Calendar), il donne instruction au Sous-traitant de traiter les données d’événements de calendrier, les métadonnées de rappels et les métadonnées de synchronisation dans la mesure nécessaire pour fournir ces fonctions dans le cadre du Service.
3.5 Si le Responsable du traitement active un portail client personnalisé ou un domaine personnalisé, il donne instruction au Sous-traitant d’afficher les éléments de marque et le lien vers la politique de confidentialité fournis, de vérifier le contrôle du domaine, d’acheminer les demandes des clients par le Service et d’envoyer les messages transactionnels connexes. La personnalisation ne change pas les rôles des parties au titre de la présente ETD. Le Responsable du traitement est responsable de son avis aux clients et de l’URL de politique de confidentialité qu’il fournit.
3.6 Espaces de travail d’équipe. Le Responsable du traitement décide qui devient Utilisateur autorisé, son rôle et la fin de son accès. Le Sous-traitant traite les renseignements de compte des Utilisateurs autorisés pour fournir la connexion, les invitations, les rôles et le journal d’activité de l’espace. Les instructions données dans le Service par un Utilisateur autorisé sont celles du Responsable du traitement. Les données de l’espace appartiennent au Responsable du traitement et demeurent dans son compte lorsqu’un Utilisateur autorisé part.
3.7 Webhooks. Si le Responsable du traitement configure un point de terminaison webhook, il demande au Sous-traitant d’envoyer à ce point de terminaison les données d’événements choisies, telles que décrites dans la documentation du Service. Le point de terminaison et tout service qui se trouve derrière sont choisis par le Responsable du traitement et agissent pour lui; ils ne sont pas des Sous-traitants ultérieurs du Sous-traitant, et le Responsable du traitement en est responsable. Le Sous-traitant envoie les requêtes webhook uniquement en HTTPS vers des adresses publiques, les signe, n’y inclut pas le contenu des fichiers et conserve les registres d’envoi pendant 30 jours. Il en va de même d’une application que le Responsable du traitement ou ses utilisateurs autorisés connectent au Service (par exemple Zapier) : le Responsable du traitement demande au Sous-traitant de rendre accessibles à cette application les données couvertes par les autorisations approuvées et de donner suite à ses demandes. Ces applications ne sont pas des Sous-traitants ultérieurs. Le Sous-traitant ne fournit aux applications connectées ni le contenu des fichiers, ni les numéros d’identité gouvernementaux, ni les numéros de compte bancaire ou de carte, et conserve les registres d’envoi de ces événements pendant 7 jours.
4. Sécurité et confidentialité
4.1 Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les Données personnelles contre l’accès non autorisé, la perte, la destruction ou l’altération, conformément à la Politique de confidentialité et aux pratiques de sécurité du Sous-traitant.
4.2 Le Sous-traitant s’assure que toute personne autorisée à traiter des Données personnelles est liée par des obligations de confidentialité.
5. Sous-traitants ultérieurs
5.1 Le Responsable du traitement reconnaît que le Sous-traitant peut faire appel à des sous-traitants ultérieurs (p. ex. infrastructure, hébergement, traitement des paiements) pour fournir le Service. Une liste des principaux sous-traitants ultérieurs figure dans la Politique de confidentialité du Sous-traitant.
5.2 Le Sous-traitant s’assure que tout sous-traitant ultérieur est lié par des obligations contractuelles substantiellement équivalentes à celles de la présente ETD.
5.3 Sous-traitants ultérieurs actuels. En date d’octobre 2026 :
| Sous-traitant ultérieur | Finalité | Données personnelles reçues | Lieu |
|---|---|---|---|
| Stripe | Facturation des abonnements | L’adresse courriel du compte du Responsable du traitement et un identifiant interne de compte. Aucun dossier, document ou fichier de Personne concernée. | États-Unis |
| Facultatif. Connexion, et synchronisation du calendrier si le Responsable du traitement connecte un Google Calendar | Courriel du compte et profil de base; titres, descriptions et heures des événements de calendrier | États-Unis | |
| OVHcloud | Infrastructure d’hébergement du serveur de messagerie du Sous-traitant | Courriel en transit, y compris les pièces jointes que le Responsable du traitement demande au Sous-traitant d’envoyer. OVHcloud fournit la machine; le Sous-traitant exploite le logiciel de messagerie. | Beauharnois, Québec, Canada |
5.4 Résidence des données et livraison. Les dossiers clients et les documents téléversés par le portail invité sécurisé sont reçus et stockés sur le serveur du Sous-traitant au Canada; les copies de sauvegarde chiffrées sont conservées au Canada. Un domaine de portail personnalisé n’est activé qu’après vérification de la propriété, de l’acheminement vers l’entrée canadienne approuvée et de HTTPS. Nous ne pouvons pas garantir que le trafic Internet chiffré ne franchit jamais une frontière nationale. Le Sous-traitant exploite son propre serveur de messagerie au Québec et n’utilise pas de relais de courriel tiers pour ces messages. Une fois le courriel sorti de ce serveur, le fournisseur du destinataire et les réseaux de livraison peuvent le traiter hors du Canada. Si le Responsable du traitement active la synchronisation Google Calendar, les renseignements de calendrier décrits ci-dessus sont partagés avec Google dans le cadre de cette intégration facultative. Des données ne sont transmises à une application connectée que si le Responsable du traitement ou ses utilisateurs autorisés en connectent une en vertu de l’article 3.7; Zapier, par exemple, traite les données aux États-Unis. Un point de terminaison webhook configuré par le Responsable du traitement peut aussi se trouver hors du Canada. Les divulgations distinctes concernant les données de compte transmises à Stripe et à Google figurent dans la Politique de confidentialité.
Nos adresses habituelles, my-id.ca et hivi-x.ca, utilisent .ca, le domaine national du Canada, et donnent accès à notre service hébergé au Canada. Une entreprise peut choisir son propre domaine avec une autre extension et utiliser un registraire ou un fournisseur DNS hors du Canada. Nous n’exigeons pas que son domaine personnalisé ou ses fournisseurs de services de domaine soient canadiens. Le nom de domaine ne détermine pas à lui seul où les documents sont stockés : un domaine connecté à notre portail doit toujours mener à notre serveur canadien approuvé. Son utilisation ne déplace pas le stockage des documents du portail hors du Canada. Les services de domaine/DNS et le transit Internet peuvent impliquer d’autres pays avec l’une ou l’autre adresse, comme expliqué ci-dessous.
5.5 Le Sous-traitant n’engagera aucun nouveau sous-traitant ultérieur qui traite des dossiers ou documents de Personnes concernées sans en aviser au préalable le Responsable du traitement et lui laisser un délai raisonnable pour s’y opposer.
5.6 Services techniques de domaine. La configuration d’un domaine personnalisé utilise des recherches DNS et Let's Encrypt (Internet Security Research Group, États-Unis) pour les certificats HTTPS. Ces services reçoivent le nom d’hôte et des données techniques de validation, comme les adresses des serveurs et les enregistrements DNS; nous fournissons notre contact d’exploitation pour gérer les certificats. Les noms des certificats sont publiés dans des journaux publics Certificate Transparency et peuvent y rester après le retrait du domaine. Ces services peuvent traiter ces métadonnées hors du Canada; nous ne leur envoyons ni documents clients ni codes de vérification. N’incluez pas le nom d’un client ou d’autres renseignements confidentiels dans le nom d’hôte du portail. Consultez l’avis de confidentialité de Let's Encrypt.
Ces services ne reçoivent pas les documents clients pour les traiter. Leurs rôles et règles de conservation propres sont décrits dans leurs avis; la présente ETD ne promet pas l’effacement des journaux publics de certificats.
6. Droits des personnes concernées
6.1 Le Sous-traitant assiste le Responsable du traitement dans la réponse aux demandes des Personnes concernées exerçant leurs droits (p. ex. accès, correction, suppression, portabilité), dans la mesure nécessaire et dans les limites des fonctionnalités du Service. Le Responsable du traitement demeure responsable de répondre aux demandes des Personnes concernées; le Sous-traitant apporte son soutien selon ce qui est prévu dans le Service et la documentation.
7. Atteinte à la protection des données
7.1 Le Sous-traitant avise le Responsable du traitement sans délai indu dès qu’il prend connaissance d’une atteinte à la protection des données personnelles touchant les données du Responsable du traitement, et fournit les renseignements raisonnablement nécessaires pour permettre au Responsable du traitement de respecter ses obligations légales de déclaration ou d’avis.
8. Restitution et suppression des données
8.1 À la fin de l’utilisation du Service par le Responsable du traitement ou à sa demande, le Sous-traitant, conformément aux procédures de conservation et de suppression des données du Service, supprime ou restitue les Données personnelles traitées pour son compte, sauf si la loi exige de les conserver.
9. Audits et conformité
9.1 Le Sous-traitant met à la disposition du Responsable du traitement les renseignements raisonnablement nécessaires pour démontrer le respect de la présente ETD et permet des audits ou inspections lorsque la loi applicable l’exige, sous réserve d’un préavis raisonnable et d’obligations de confidentialité.
10. Droit applicable
10.1 La présente ETD est régie par les lois de la province de l’Ontario, Canada, et est assujettie aux Conditions d’utilisation. En cas de conflit entre la présente ETD et les Conditions d’utilisation, la présente ETD prévaut en ce qui concerne le traitement des Données personnelles pour le compte du Responsable du traitement.
11. Contact
Les questions concernant la présente ETD peuvent être envoyées à : support@hivi-x.ca.
Date d’entrée en vigueur : 2026-11-02
Dernière mise à jour : 2026-11-02