Avenant de traitement des données

• « Lois applicables en matière de protection de la vie privée » désigne toutes les lois sur la protection de la vie privée et des données applicables au traitement des Données personnelles du Client, notamment la Loi sur la protection des renseignements personnels dans le secteur privé (Québec) (« Loi 25 »), la Loi sur la protection des renseignements personnels et les documents électroniques (Canada) (« LPRPDE »), et, le cas échéant, le RGPD de l'UE et du Royaume-Uni ainsi que les lois américaines sur la protection de la vie privée.
• « Données personnelles du Client » désigne les renseignements personnels que Vatel traite pour le compte du Client dans le cadre de la fourniture du Service, tels que décrits à l'Annexe A.
• « Sous-traitant ultérieur » désigne un tiers engagé par Vatel qui traite les Données personnelles du Client.
• « Incident de sécurité » désigne tout accès, utilisation, communication ou perte de Données personnelles du Client non autorisé par la loi ou le présent ATD, ou toute autre atteinte à leur protection, y compris un « incident de confidentialité » au sens de la Loi 25.
• « Anonymisé » désigne des renseignements qui ne permettent plus, de façon irréversible, d'identifier directement ou indirectement une personne, conformément aux meilleures pratiques généralement reconnues.

2.1 Le Client est responsable des Données personnelles du Client et détermine les finalités de leur traitement. Vatel traite les Données personnelles du Client à titre de prestataire de services pour le compte du Client.

2.2 Le Client est responsable de disposer d'une base légale pour collecter les Données personnelles du Client et les partager avec Vatel, notamment en fournissant les avis requis aux appelants, en obtenant tout consentement requis à l'enregistrement des appels, et en réalisant toute évaluation des facteurs relatifs à la vie privée requise pour les transferts hors Québec.

3.1 Vatel traitera les Données personnelles du Client uniquement pour fournir le Service et conformément aux instructions documentées du Client. L'Accord, tout bon de commande et la configuration du Service par le Client constituent les instructions complètes du Client.

3.2 Vatel informera le Client si, à son avis, une instruction viole les Lois applicables en matière de protection de la vie privée.

3.3 Vatel ne vendra pas les Données personnelles du Client et ne les utilisera pas à d'autres fins que la fourniture du Service, sauf dans les cas prévus à la section 11.

Vatel veillera à ce que toute personne autorisée à accéder aux Données personnelles du Client soit soumise à une obligation de confidentialité et n'y ait accès que dans la mesure nécessaire à la fourniture du Service.

5.1 Vatel mettra en oeuvre et maintiendra les mesures techniques et organisationnelles décrites à l'Annexe B, adaptées à la sensibilité des Données personnelles du Client.

5.2 Vatel peut mettre à jour ces mesures au fil du temps, à condition que le niveau global de protection ne soit pas réduit.

6.1 Le Client autorise Vatel à faire appel aux Sous-traitants ultérieurs listés sur vatel.ai/security, y compris ceux identifiés à l'Annexe C.

6.2 Vatel informera le Client de tout nouveau Sous-traitant ultérieur au moins 30 jours avant qu'il commence à traiter les Données personnelles du Client, par courriel aux clients ayant demandé un avis à privacy@vatel.ai et en mettant à jour la liste. Le Client peut s'y opposer pour des raisons valables de protection de la vie privée dans ce délai. Si les parties ne parviennent pas à résoudre l'objection, le Client peut résilier le Service concerné sans pénalité et obtenir le remboursement des frais prépayés pour la période non utilisée.

6.3 Vatel imposera à chaque Sous-traitant ultérieur des obligations écrites de protection des données au moins aussi protectrices que le présent ATD, et demeure responsable de leur exécution.

6.4 Les fournisseurs que le Client choisit d'utiliser avec ses agents (par exemple, une voix ou un modèle de langage spécifique, ou les intégrations et webhooks du Client) sont traités sous la direction du Client.

7.1 Les Données personnelles du Client peuvent être traitées au Canada et aux États-Unis, comme décrit à l'Annexe A et à l'Annexe C. Les fournisseurs sélectionnés par le Client peuvent traiter des données dans d'autres lieux, tels que listés sur vatel.ai/security.

7.2 Vatel fournira au Client les informations raisonnablement nécessaires pour évaluer un transfert de Données personnelles du Client hors Québec en vertu de la Loi 25.

7.3 Lorsque le RGPD s'applique, les transferts hors de l'Espace économique européen sont effectués en vertu des clauses contractuelles types de la Commission européenne ou d'un autre mécanisme de transfert valide.

8.1 Vatel informera le Client sans délai excessif, et en tout état de cause dans les 72 heures, après avoir pris connaissance d'un Incident de sécurité affectant les Données personnelles du Client.

8.2 L'avis décrira, dans la mesure du connu : la nature de l'incident, les catégories d'informations concernées, les mesures prises ou proposées, et un contact pour plus d'informations. Vatel mettra à jour le Client au fur et à mesure que de plus amples informations deviendront disponibles.

8.3 Vatel prendra des mesures raisonnables pour contenir et atténuer l'incident et coopérera avec le Client afin qu'il puisse s'acquitter de ses propres obligations, notamment la tenue d'un registre des incidents et la notification à la Commission d'accès à l'information et aux personnes concernées lorsque requis. Sauf si la loi l'exige, Vatel ne notifiera pas les autorités de réglementation ou les personnes au nom du Client sans l'approbation de celui-ci.

9.1 Compte tenu de la nature du traitement, Vatel aidera le Client à répondre aux demandes des personnes exerçant leurs droits en vertu des Lois applicables en matière de protection de la vie privée, notamment l'accès, la correction, la suppression et la portabilité des données. Si Vatel reçoit directement une telle demande, il redirigera la personne vers le Client.

9.2 Vatel fournira une aide raisonnable pour les évaluations des facteurs relatifs à la vie privée du Client et les consultations avec les autorités de réglementation concernant le Service.

10.1 Le Client peut configurer la conservation des enregistrements d'appels, transcriptions et données connexes par agent, de 24 heures à 2 ans, et peut désactiver les enregistrements d'appels.

10.2 À la résiliation de l'Accord, Vatel conservera les Données personnelles du Client pendant 30 jours afin que le Client puisse les exporter, puis les supprimera, sauf si la loi en exige la conservation. Les données dans les sauvegardes seront supprimées lors du cycle normal de sauvegarde et conservées protégées entre-temps.

10.3 Vatel ne conservera pas les Données personnelles du Client après la fin de l'Accord, sauf dans les cas décrits à la présente section.

Vatel peut créer des données Anonymisées et agrégées à partir des Données personnelles du Client pour exploiter, sécuriser et améliorer le Service. Vatel ne tentera pas de réidentifier ces données et n'utilisera pas de Données personnelles du Client identifiables pour entraîner des modèles d'intelligence artificielle. Le Client peut se désabonner de cette utilisation à tout moment en contactant privacy@vatel.ai.

Sur demande écrite du Client, Vatel configurera le Service de sorte que ses Sous-traitants ultérieurs de parole, de voix et de modèle de langage ne conservent pas les Données personnelles du Client au-delà de ce qui est nécessaire pour traiter chaque demande, sous réserve de tout frais supplémentaire prévu dans un bon de commande.

13.1 Sur demande, Vatel mettra à disposition les informations raisonnablement nécessaires pour démontrer la conformité au présent ATD, notamment la documentation de sécurité et, une fois disponible, son rapport SOC 2 Type II, sous couvert de confidentialité.

13.2 Si ces informations sont insuffisantes, le Client peut mener un audit au maximum une fois par an, avec un préavis écrit d'au moins 30 jours, pendant les heures ouvrables, aux frais du Client, et d'une manière qui ne perturbe pas déraisonnablement les opérations de Vatel ni ne compromette les données d'autres clients.

La responsabilité de chaque partie découlant du présent ATD ou liée à celui-ci est soumise aux limitations de responsabilité prévues dans l'Accord.

15.1 Le présent ATD reste en vigueur aussi longtemps que Vatel traite des Données personnelles du Client.

15.2 En cas de conflit entre le présent ATD et l'Accord concernant le traitement des renseignements personnels, le présent ATD prévaut.

15.3 Le présent ATD est régi par les lois de la province de Québec et les lois fédérales du Canada qui y sont applicables.

15.4 Vatel peut mettre à jour le présent ATD de temps à autre. Les modifications importantes seront notifiées par courriel au moins 30 jours avant leur entrée en vigueur et ne réduiront pas la protection des Données personnelles du Client.

Objet : fourniture de la plateforme d'agents vocaux IA Vatel.

Durée : pendant la durée de l'Accord, plus la période de 30 jours prévue à la section 10.2.

Nature et finalité : répondre et passer des appels téléphoniques pour le compte du Client, transcrire la parole, générer des réponses vocales, résumer les appels, réserver des rendez-vous, envoyer des notifications, synchroniser les données avec les intégrations du Client, assurance qualité, analytique et support.

Catégories de personnes concernées :

• Personnes qui appellent ou sont appelées par les agents du Client
• Employés et utilisateurs autorisés du Client
• Contacts dans les systèmes intégrés du Client (CRM, calendrier, billetterie)

Catégories de renseignements personnels :

• Numéros de téléphone, noms, adresses courriel
• Enregistrements audio, transcriptions et résumés d'appels
• Renseignements partagés par les appelants pendant les appels, pouvant inclure des renseignements sensibles selon le cas d'utilisation du Client (par exemple, questions de santé ou juridiques)
• Détails de rendez-vous et de réservations
• Métadonnées d'appels (heure, durée, résultat)
• Informations de compte des utilisateurs du Client

Données vocales : Vatel traite l'audio vocal uniquement pour transcrire et répondre aux appels. Vatel ne crée pas d'empreintes vocales et n'utilise pas les données vocales pour identifier les individus.

Lieux : Canada (traitement du modèle de langage) et États-Unis (reconnaissance vocale, synthèse vocale, téléphonie, base de données et stockage). Les fournisseurs sélectionnés par le Client peuvent traiter des données dans d'autres lieux, tels que listés sur vatel.ai/security.

• Chiffrement : données chiffrées en transit via TLS et au repos via AES-256 (bases de données, fichiers audio, transcriptions).
• Contrôle d'accès : accès basé sur les rôles, authentification multifacteur pour les accès administratifs internes et les comptes de la console client, accès selon le besoin de connaître pour le personnel.
• Gestion des secrets : clés API, identifiants de base de données et jetons SIP stockés dans des coffres chiffrés avec rotation.
• Séparation des environnements : développement, préproduction et production séparés; les données de production ne sont pas utilisées en tests hors production.
• Protection réseau : pare-feu applicatif et limitation de débit.
• Contrôles de rétention : rétention configurable par agent et option de désactivation des enregistrements.
• Gestion des changements : CI/CD automatisé avec capacité de retour arrière.
• Surveillance et journalisation : journalisation centralisée de l'activité système.
• Gestion des fournisseurs : clauses contractuelles de protection des données avec les Sous-traitants ultérieurs.
• Programme de conformité : programmes SOC 2 Type II et ISO 27001 en cours.

La liste complète et à jour est disponible sur vatel.ai/security.