1. Objet et rôles
Le client est responsable des renseignements personnels de ses clients finaux et de ses utilisateurs qu’il confie au service. doue les traite pour son compte, comme prestataire, uniquement pour fournir le service.
Les renseignements que doue traite pour ses propres activités, comme le compte, la facturation et la sécurité de la plateforme, relèvent de sa politique de confidentialité. Lorsqu’un journal ou une donnée de sécurité concerne les traitements du client, il est traité selon cet accord. doue respecte en tout temps les obligations que la loi lui impose directement.
2. Renseignements et traitements visés
Le tableau ci-dessous décrit les renseignements traités pour le compte du client.
| Renseignements | Personnes concernées | Traitement |
|---|---|---|
| Conversations, messages et pièces jointes | Clients finaux et utilisateurs | Réception, stockage, affichage, recherche et réponses |
| Contacts et identifiants de conversation | Clients finaux | Regroupement des conversations et relais vers une personne |
| Données de commande autorisées (Shopify, WooCommerce) | Clients finaux | Lecture pour afficher le contexte dans la conversation; avec Shopify, exécution des actions assistées que le client active et approuve |
| Sources de connaissances et index de recherche | Selon le contenu fourni par le client | Préparation des réponses de Sol |
| Journaux liés au compte du client | Utilisateurs et clients finaux | Sécurité, traçabilité et correction d’erreurs |
3. Instructions du client
doue traite les renseignements selon les instructions documentées du client : les conditions de service, les réglages du compte, y compris ceux des actions assistées (actions permises, approbateurs et limites), et les demandes écrites. doue informe le client si une instruction lui paraît contraire à la loi.
4. Usages permis et exclus
doue n’utilise pas les renseignements du client à ses propres fins. En particulier, doue ne les vend pas, ne les utilise pas pour de la publicité et ne les utilise pas pour entraîner des modèles d’IA. doue peut produire des statistiques sur l’utilisation du service à partir de renseignements anonymisés, qui ne permettent d’identifier ni une personne ni le client.
5. Confidentialité et sécurité
Seules les personnes autorisées qui en ont besoin ont accès aux renseignements, et elles sont tenues à la confidentialité. doue applique des mesures de sécurité adaptées à la sensibilité des renseignements, décrites à la section 12.
6. Sous-traitants
doue peut faire appel à des sous-traitants liés par une entente écrite qui offre une protection équivalente. La liste à jour, avec leur rôle et le lieu de traitement, est remise au client sur demande à privacy@doue.ai. doue avise le client au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant. Le client peut s’y opposer pour un motif raisonnable lié à la protection des renseignements et résilier sans frais si aucune solution n’est trouvée.
7. Communication à l’extérieur du Québec
Avant de communiquer des renseignements à l’extérieur du Québec, y compris ailleurs au Canada, doue évalue les facteurs relatifs à la vie privée et conclut une entente écrite avec le destinataire.
8. Demandes des personnes concernées
Si doue reçoit directement une demande d’une personne concernée visant les renseignements du client, doue la transmet au client dans un délai de 10 jours et l’aide à y répondre, notamment pour extraire, rectifier ou supprimer les renseignements. Cette aide ne limite pas les obligations légales qui s’appliquent directement à doue.
9. Incidents de confidentialité
doue avise le client sans délai de toute violation, ou tentative de violation, des obligations relatives à la confidentialité des renseignements du client, dès qu’elle en a connaissance et sans attendre la fin de son enquête. L’avis décrit ce qui est connu, puis il est complété : nature de l’incident, renseignements et personnes touchés, conséquences possibles, mesures prises et personne-ressource. doue conserve les preuves et aide le client à donner les avis aux autorités compétentes et aux personnes concernées que les lois applicables exigent selon son rôle.
10. Vérifications
doue fournit au client l’information raisonnablement nécessaire pour vérifier le respect de cet accord. Une vérification sur place ou par un tiers est organisée d’un commun accord, avec un préavis raisonnable, de façon à protéger la sécurité et la confidentialité des autres clients.
11. Fin du mandat
La fin de l’abonnement ouvre une phase de restitution et de clôture qui fait partie du mandat. Pendant 30 jours, le client peut exporter ses renseignements. doue les détruit ensuite dans ses systèmes actifs au plus tard 60 jours après la fin de l’abonnement. Les copies de sauvegarde disparaissent par rotation au plus tard 90 jours après cette date, et une suppression est réappliquée après toute restauration : aucune copie ne subsiste au-delà de 90 jours. Pendant cette phase, les renseignements servent uniquement à l’export et à leur destruction. Le mandat de traitement prend fin lorsque la destruction est terminée.
Le contenu du client, y compris les traces de l’IA qui en contiennent, suit ce calendrier même lorsqu’une durée générale plus longue figure dans la page de gouvernance. doue conserve seulement, pour ses propres obligations et hors mandat, des journaux minimaux sans contenu de conversation et les documents de facturation exigés par la loi. Une demande de suppression du compte suit un parcours distinct, décrit dans la page de gouvernance.
12. Mesures de sécurité
Contrôles d’accès par rôle et limitation des privilèges; chiffrement des communications; séparation des données de chaque compte client; journalisation des accès et des actions; suppression planifiée selon le calendrier de conservation; procédure de gestion des incidents.