1. Définitions

• Renseignements personnels (RP) : toute information concernant une personne physique identifiable, au sens de la Loi 25 et de la LPRPDE.
• Responsable du traitement : le Client, qui détermine les finalités et les moyens du traitement des RP.
• Sous-traitant : Modèle BI Inc., qui traite les RP pour le compte du Client.
• Sous-traitant ultérieur : tiers auquel Modèle BI confie certaines opérations (ex. : Stripe, Microsoft, OVH, Anthropic pour l'Assistant IA).
• Personne concernée : la personne physique à qui se rapportent les RP.
• Incident de confidentialité : tout accès, utilisation, communication ou perte non autorisée de RP.

2. Objet et durée

La présente DPA a pour objet de définir les conditions dans lesquelles Modèle BI traite les RP pour le compte du Client dans le cadre de la fourniture du Service.

Elle entre en vigueur à l'acceptation des Conditions d'utilisation et prend fin à la résiliation du Service, sauf pour les obligations qui survivent (confidentialité, restitution/destruction des données, conservation légale).

3. Nature et finalité du traitement

4. Obligations de Modèle BI (sous-traitant)

Modèle BI s'engage à :

• Traiter les RP uniquement sur instruction documentée du Client, conformément aux présentes et aux Conditions d'utilisation
• Ne pas utiliser les RP à d'autres fins que la fourniture du Service (notamment : pas de profilage, pas d'entraînement d'IA, pas de commercialisation)
• Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées (voir Annexe 1)
• Imposer à son personnel une obligation de confidentialité écrite
• Assister raisonnablement le Client pour répondre aux demandes des personnes concernées et aux obligations de notification d'incidents
• Tenir un registre des traitements effectués pour le compte du Client
• Restituer ou détruire les RP à la fin du Service, selon le choix du Client
• Se soumettre aux audits raisonnables du Client (voir section 9)

5. Obligations du Client (responsable)

Le Client s'engage à :

• Obtenir les consentements valides des personnes concernées lorsque requis
• Ne pas importer de RP qu'il n'a pas le droit de traiter
• Respecter la minimisation des données : ne charger que ce qui est nécessaire
• Informer les personnes concernées de l'existence du traitement et de l'identité de son sous-traitant (Modèle BI)
• Configurer les permissions Embera conformément au principe du moindre privilège
• Gérer les demandes des personnes concernées dont il est responsable (accès, rectification, suppression, portabilité)
• Notifier sans délai tout incident de confidentialité dont il aurait connaissance

6. Sous-traitants ultérieurs

6.1 Consentement général

Le Client autorise de manière générale Modèle BI à recourir aux sous-traitants ultérieurs figurant sur la page Liste des sous-traitants.

6.2 Modification

Modèle BI informera le Client de tout ajout ou remplacement de sous-traitant ultérieur avec un préavis d'au moins 30 jours, permettant au Client de s'y opposer pour motif légitime. En cas d'opposition persistante, le Client peut résilier la portion affectée du Service avec remboursement prorata.

6.3 Équivalence des obligations

Modèle BI impose à chaque sous-traitant ultérieur des obligations contractuelles équivalentes à celles des présentes, notamment en matière de sécurité et de confidentialité.

6.4 Responsabilité

Modèle BI demeure responsable vis-à-vis du Client de l'exécution par ses sous-traitants ultérieurs, dans les limites prévues au Contrat.

7. Transferts hors Québec

Conformément à l'article 17 de la Loi 25, le Client est informé des transferts actuellement effectués, dont la liste figure sur la page Liste des sous-traitants.

Pour chacun, une évaluation des facteurs relatifs à la vie privée (EFVP) a été menée. Les rapports d'EFVP sont disponibles sur demande pour les clients sous DPA.

Lorsque l'Assistant IA est activé pour le Client, les contenus nécessaires à la génération des réponses (questions, contexte, métadonnées des modèles, résultats de requêtes, fichiers déposés) sont transmis à Anthropic, PBC (États-Unis) selon les garanties décrites à la liste des sous-traitants et à la Politique de confidentialité. Le Client peut demander la désactivation de cette fonction en tout temps.

8. Sécurité

Les mesures techniques et organisationnelles mises en œuvre par Modèle BI sont décrites en Annexe 1 de la présente DPA et dans la Politique de confidentialité.

Elles incluent notamment : chiffrement TLS 1.2+ en transit, AES-256 au repos pour les sauvegardes, isolation multi-tenant stricte, permissions granulaires, rate limiting, journalisation, sauvegardes quotidiennes avec test mensuel de restauration, certifications ISO 27001 de l'hébergeur OVHcloud Canada.

9. Droit d'audit

Le Client peut demander, une fois par an civil et sur préavis raisonnable :

• Option 1 (par défaut) : la communication des rapports d'audit indépendants récents (SOC 2, ISO 27001 de nos sous-traitants)
• Option 2 : un questionnaire de sécurité détaillé pré-rempli
• Option 3 (Enterprise uniquement) : un audit sur site ou à distance par un tiers qualifié et tenu à la confidentialité, aux frais du Client, sans perturbation du Service

Les audits ne donnent pas accès à des données d'autres clients.

10. Notification d'incident de confidentialité

En cas d'incident de confidentialité affectant les RP du Client, Modèle BI :

• Notifie le Client sans délai indu, dans un délai raisonnable après la détection et au plus tard dans les 72 heures
• Fournit les informations suivantes : nature et circonstances de l'incident; catégories et volume de RP concernés; conséquences probables; mesures prises ou envisagées; coordonnées du RPRP
• Collabore avec le Client pour ses propres obligations de notification à la CAI et aux personnes concernées
• Documente l'incident dans un registre conservé au moins 5 ans

Le Client est responsable de sa propre analyse du préjudice et de la notification aux autorités et personnes concernées, conformément à la Loi 25.

11. Assistance aux demandes des personnes concernées

Modèle BI met à disposition du Client des outils et procédures pour lui permettre de répondre aux demandes d'exercice de droits (accès, rectification, suppression, portabilité, opposition) dans les délais légaux.

Lorsqu'une personne s'adresse directement à Modèle BI pour des RP dont le Client est responsable, Modèle BI redirige la demande vers le Client dans les meilleurs délais.

12. Restitution et destruction des données

À la résiliation ou sur demande du Client :

• Période de grâce : 30 jours pour exporter les données via le portail
• Formats d'export : rapports .pbix, dumps PostgreSQL (.sql), CSV
• Destruction : passé le délai, les RP sont détruits de manière sécurisée ou anonymisés de façon irréversible
• Sauvegardes : purgées selon le cycle normal (30 jours glissants)
• Attestation : sur demande, Modèle BI fournit une attestation écrite de destruction
• Exceptions : conservation de certaines métadonnées pour obligations fiscales/légales (7 ans pour les données de facturation)

13. Responsabilité et indemnisation

Chaque partie assume la responsabilité de ses manquements aux obligations de la présente DPA et des législations applicables, dans les limites prévues aux Conditions d'utilisation.

Les obligations de notification et d'assistance prévues à la présente DPA ne constituent pas une reconnaissance de responsabilité.

14. Ordre de priorité

En cas de contradiction entre la présente DPA et les Conditions d'utilisation, la DPA prévaut pour les questions relatives à la protection des renseignements personnels.

Annexe 1 — Mesures de sécurité techniques et organisationnelles

A. Contrôles d'accès

• Authentification par mot de passe haché (bcrypt)
• Jetons JWT avec expiration courte (24h)
• Rate limiting anti-force brute
• Rôles hiérarchiques (SUPER_ADMIN, TENANT_ADMIN, ANALYST, VIEWER)
• Permissions granulaires sur workspace, dossier, rapport, page
• Journalisation des connexions et actions sensibles

B. Chiffrement

• TLS 1.2 minimum pour toutes les communications
• AES-256 pour les sauvegardes
• Chiffrement au repos pour Power BI (AES-256)
• Jetons d'API stockés en hash SHA-256 (non réversible)

C. Isolation multi-tenant

• Filtrage automatique par tenant_id au middleware
• Tests automatisés avec 100 % de couverture sur le code d'isolation
• Rejet HTTP 403 et journalisation de toute tentative cross-tenant

D. Infrastructure

• Hébergement OVHcloud Canada (Beauharnois) - ISO 27001, SOC 2/3, HDS
• Microsoft Power BI / Fabric - ISO 27001/27017/27018, SOC 2, FedRAMP High
• Sauvegardes quotidiennes, rétention 30 jours, test restauration mensuel
• RTO / RPO : 2 heures pour panne standard, 24 heures acceptables pour perte

E. Gestion des vulnérabilités

• Mises à jour de sécurité appliquées dans les meilleurs délais
• Scans automatisés des dépendances (CVE)
• Programme de divulgation responsable pour chercheurs en sécurité

F. Personnel

• Accords de confidentialité signés par tous les employés et contractants
• Sensibilisation annuelle aux obligations de confidentialité et sécurité
• Accès aux systèmes selon le principe du moindre privilège
• Révocation immédiate des accès au départ

G. Continuité

• Plan de reprise d'activité (PRA) documenté
• Séquestre de code source disponible pour clients Enterprise
• Notification de cessation d'activité : 90 jours minimum

15. Contact