Entente sur le traitement des données

1. Portée et acceptation

1.1. La présente Entente sur le traitement des données (l’« Entente ») fait partie des Conditions d’utilisation conclues entre Vision Digitale TI Inc. (« VDTI », le « Sous-traitant ») et le Client professionnel (le « Client », le « Responsable du traitement »).

1.2. Elle s’applique lorsque VDTI traite des Données personnelles du client pour le compte du Client et qu’une Loi sur la protection des données s’applique à ce traitement. « Loi sur la protection des données » désigne, selon le cas : le RGPD (Règlement (UE) 2016/679) ; le RGPD du Royaume-Uni et la Data Protection Act 2018 du Royaume-Uni ; la Loi fédérale suisse sur la protection des données ; la Loi sur la protection des renseignements personnels dans le secteur privé du Québec ; la Loi sur la protection des renseignements personnels et les documents électroniques du Canada ; et les lois des États américains sur la protection de la vie privée, dont le California Consumer Privacy Act.

1.3. Le Client accepte la présente Entente en acceptant les Conditions. Le Client qui a besoin d’un exemplaire contresigné peut en faire la demande à privacy@nodelodge.com.

2. Définitions

• Données personnelles du client : les données personnelles contenues dans le Contenu client que VDTI traite pour le compte du Client.
• Sous-traitant ultérieur : un tiers engagé par VDTI qui peut traiter des Données personnelles du client, y compris les partenaires d’infrastructure Secure et les Hôtes Community.
• Violation de données personnelles : une atteinte à la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données personnelles du client ou l’accès non autorisé à celles-ci, y compris un « incident de confidentialité » au sens de la loi québécoise.
• CCT : les clauses contractuelles types approuvées par la décision d’exécution (UE) 2021/914 de la Commission.
• Addendum du Royaume-Uni : l’addendum relatif aux transferts internationaux de données joint aux CCT, publié par l’Information Commissioner du Royaume-Uni.

Les autres termes portant une majuscule ont le sens que leur donnent les Conditions ou la Loi sur la protection des données.

3. Rôles

3.1. À l’égard des Données personnelles du client, le Client est le responsable du traitement (ou un sous-traitant agissant pour son propre responsable du traitement) et VDTI est le sous-traitant, ou le fournisseur de services au sens des lois des États américains.

3.2. À l’égard des données de compte, de facturation, de sécurité et du site Web, VDTI est un responsable du traitement indépendant, comme le décrit la Politique de confidentialité. La présente Entente ne s’applique pas à ces données.

4. Instructions

4.1. VDTI traite les Données personnelles du client uniquement selon les instructions documentées du Client, soit les Conditions, la présente Entente et l’utilisation et la configuration du Service par le Client, y compris le niveau et le pays de chaque Session. VDTI suit les autres instructions écrites compatibles avec les Conditions.

4.2. Si la loi oblige VDTI à traiter autrement les Données personnelles du client, VDTI en informe d’abord le Client, sauf si la loi l’interdit.

4.3. VDTI informe le Client si, à son avis, une instruction contrevient à la Loi sur la protection des données.

4.4. À titre de fournisseur de services au sens des lois des États américains, VDTI ne vend ni ne communique les Données personnelles du client, ne les conserve, ne les utilise ni ne les divulgue en dehors de la relation d’affaires directe avec le Client ou à une autre fin que la fourniture du Service, et ne les combine pas avec d’autres données, sauf dans la mesure permise par ces lois.

4.5. Le Client est responsable de la licéité de ses instructions, y compris de son fondement juridique, de l’information donnée aux personnes concernées et du choix du niveau et du pays. Le Client ne traitera pas sur Community les catégories de données énumérées à la section 5 des Conditions du service Community.

5. Confidentialité et sécurité

5.1. VDTI veille à ce que les personnes autorisées à traiter les Données personnelles du client soient tenues à la confidentialité.

5.2. VDTI met en œuvre les mesures techniques et organisationnelles de l’annexe 2. Elle peut les mettre à jour, pourvu que le niveau global de protection ne diminue pas.

5.3. Le Client reconnaît les caractéristiques de sécurité de chaque niveau décrites dans les Conditions du service Secure et les Conditions du service Community, en particulier le fait qu’un Hôte Community conserve un accès physique et administrateur à sa machine.

6. Sous-traitants ultérieurs

6.1. Le Client accorde à VDTI une autorisation générale d’engager des Sous-traitants ultérieurs. Les Sous-traitants ultérieurs actuels sont énumérés par catégorie et par pays sur notre page Sous-traitants, qui constitue l’annexe 3. Les Hôtes Community sont engagés pour chaque Session, parmi les Hôtes examinés situés dans le pays choisi par le Client.

6.2. VDTI impose à chaque Sous-traitant ultérieur, par contrat écrit, des obligations de protection des données offrant au moins le même niveau de protection que la présente Entente, dans la mesure applicable à son service. VDTI demeure responsable envers le Client de l’exécution de ces obligations par ses Sous-traitants ultérieurs.

6.3. VDTI donne un préavis d’au moins 30 jours avant qu’une nouvelle catégorie de Sous-traitant ultérieur, ou un Sous-traitant ultérieur situé dans un nouveau pays, commence à traiter des Données personnelles du client, en mettant à jour la page Sous-traitants et son flux, et par courriel aux Clients qui s’y sont abonnés. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données pendant cette période. Si les parties ne peuvent résoudre l’opposition, le Client peut cesser d’utiliser la partie du Service visée, ou résilier les Conditions et obtenir le remboursement du Crédit acheté non utilisé.

7. Violation de données personnelles

7.1. VDTI avise le Client sans retard injustifié, et au plus tard 48 heures après avoir pris connaissance d’une Violation de données personnelles.

7.2. L’avis décrit, dans la mesure où ces éléments sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements visés, les conséquences probables et les mesures prises ou proposées, et désigne une personne-ressource. VDTI le complète à mesure que l’information devient disponible.

7.3. VDTI consigne toute Violation de données personnelles dans son registre des incidents et aide le Client à effectuer ses propres avis.

7.4. Un avis ne constitue pas une reconnaissance de faute.

8. Assistance

8.1. Compte tenu de la nature du traitement et de l’information dont elle dispose, VDTI aide le Client à répondre aux demandes des personnes qui exercent leurs droits, à réaliser les analyses d’impact relatives à la protection des données et les évaluations des facteurs relatifs à la vie privée, à mener les consultations préalables, et à respecter ses obligations en matière de sécurité et de violations.

8.2. VDTI n’accède pas au Contenu client. Les demandes visant les Données personnelles du client sont traitées par le Client directement sur ses Machines, pendant l’exécution de la Session.

9. Transferts internationaux

9.1. Les Données personnelles du client sont traitées dans le pays de la Machine choisie par le Client, affiché avant le lancement, et transitent par le relais de Session et par les exploitants de réseau entre le Client et la Machine.

9.2. Transferts depuis l’UE. Dans la mesure où le traitement de VDTI comporte un transfert de Données personnelles du client assujetties au RGPD vers un pays ne faisant pas l’objet d’une décision d’adéquation, les CCT sont intégrées par renvoi : le module 2 lorsque le Client est responsable du traitement, le module 3 lorsqu’il est sous-traitant. La clause 7 s’applique. Pour la clause 9, point a), l’option 2 s’applique, avec le délai de préavis de la section 6.3. Le libellé facultatif de la clause 11, point a), ne s’applique pas. Pour les clauses 17 et 18, le droit et les tribunaux de l’Irlande s’appliquent. L’annexe I est complétée par l’annexe 1 de la présente Entente, l’annexe II par l’annexe 2, et l’annexe III par la page Sous-traitants. Les transferts vers le Canada reposent sur la décision d’adéquation visant le Canada.

9.3. Transferts depuis le Royaume-Uni. Pour les transferts assujettis au RGPD du Royaume-Uni, l’Addendum du Royaume-Uni s’applique, complété par l’information de la présente Entente. Chaque partie peut y mettre fin comme le permet son tableau 4.

9.4. Transferts depuis la Suisse. Pour les transferts assujettis à la Loi fédérale suisse sur la protection des données, les CCT s’appliquent avec les adaptations exigées par le Préposé fédéral à la protection des données et à la transparence : le Préposé est l’autorité compétente, et « État membre » comprend la Suisse.

9.5. Transferts depuis le Québec. Avant de communiquer des Données personnelles du client à l’extérieur du Québec, VDTI procède à l’évaluation des facteurs relatifs à la vie privée exigée par la loi québécoise pour ses propres communications aux Sous-traitants ultérieurs, et s’appuie sur une entente écrite avec chacun d’eux.

10. Audits

10.1. Sur demande écrite, au plus une fois par année, VDTI fournit l’information raisonnablement nécessaire pour démontrer le respect de la présente Entente, comme une description de ses mesures et des réponses à un questionnaire de sécurité.

10.2. Si cette information ne suffit pas, ou si une autorité de contrôle l’exige, le Client peut effectuer un audit à ses frais, moyennant un préavis de 30 jours, pendant les heures ouvrables, sous le sceau de la confidentialité, sans accès aux données des autres clients ni aux installations des Sous-traitants ultérieurs au-delà de ce que permettent leurs propres conditions. Les parties conviennent de sa portée à l’avance.

11. Suppression et restitution

11.1. Le Contenu client est supprimé à la fin de chaque Session : les Machines Secure et leurs disques sont supprimés chez le partenaire et la suppression est confirmée ; les disques de travail Community sont rendus illisibles par l’effacement de leur clé de chiffrement, puis supprimés. VDTI ne conserve aucune sauvegarde des Machines.

11.2. Le Client copie les données dont il a besoin avant la fin de chaque Session. VDTI ne conserve aucune Donnée personnelle du client après la fin d’une Session, sauf si la loi l’exige.

12. Responsabilité, durée et préséance

12.1. Les limitations de responsabilité des Conditions s’appliquent à la présente Entente, sauf dans la mesure où la Loi sur la protection des données ou les CCT ne le permettent pas.

12.2. La présente Entente demeure en vigueur tant que VDTI traite des Données personnelles du client.

12.3. En cas de conflit entre la présente Entente et les Conditions, la présente Entente prévaut. En cas de conflit avec les CCT ou l’Addendum du Royaume-Uni, ceux-ci prévalent.

Annexe 1. Description du traitement

Annexe 2. Mesures techniques et organisationnelles

Toutes les Sessions

• Chaque Session s’exécute dans une machine virtuelle qui lui est dédiée, ses GPU étant rattachés à cette seule VM.
• Accès SSH avec la clé publique du Client, installée pour cette seule Session. VDTI n’installe aucune clé qui lui appartient et ne s’y connecte pas.
• Port TCP 25 sortant bloqué.
• Arrêt fondé sur le budget et suppression à la fin de chaque Session ; suppressions confirmées et reprises jusqu’à confirmation ; machines résiduelles détectées et supprimées.

Secure

• Machines situées dans des centres de données partenaires dotés d’un contrôle d’accès physique.
• Pare-feu devant chaque Machine, autorisant le SSH entrant uniquement depuis l’adresse ou la plage IP du Client.

Community

• Micro-VM par Session, isolée sur l’hôte, le GPU étant attribué à elle seule.
• Image système signée, en lecture seule, vérifiée bloc par bloc.
• Disque de travail chiffré dans la VM ; la clé est remise par la plateforme au moyen d’un tunnel chiffré, n’est jamais écrite sur le disque de l’hôte et est détruite à la fin de la Session.
• Aucun port entrant sur l’hôte ; accès par le relais Node Lodge.
• Hôtes examinés avant leur inscription ; interdiction contractuelle d’accéder aux Sessions ; registres réseau limités aux métadonnées pour le traitement des abus.

Plateforme

• Plateforme et base de données hébergées au Canada ; base de données non exposée à Internet ; administration des serveurs par un réseau privé seulement.
• Chiffrement en transit pour le site Web, la console, l’API, les agents et le relais.
• Mots de passe hachés avec argon2id ; jetons, liens, codes d’appariement, clés d’API et codes de récupération conservés sous forme de hachage ; secrets d’authentification chiffrés avec AES-256-GCM.
• Authentification à deux facteurs obligatoire pour les administrateurs de VDTI, avec second facteur récent, motif et entrée d’audit pour chaque modification administrative.
• Témoin de session HttpOnly, Secure, SameSite=Strict, limité à notre hôte ; vérification de l’origine contre les requêtes intersites.
• Clés d’API limitées par portée, date d’expiration, plafonds de dépenses et plafonds de simultanéité.
• Journal d’activité et registre en ajout seul.
• Journaux expurgés des mots de passe, témoins, en-têtes d’autorisation, signatures et jetons.
• Sauvegardes quotidiennes de la base de données avec une copie hors site dans un compartiment privé, au moyen d’une clé limitée à ce compartiment.
• Suivi des incidents, interrupteur d’arrêt des nouveaux lancements Secure et registre des incidents de confidentialité.

Annexe 3. Sous-traitants ultérieurs

Consultez la page Sous-traitants.