Traitement des données

Vous décidez. Nous exécutons. Cette division est toute l’entente, et tout le reste en découle.

• Votre entreprise décide quels renseignements entrent dans Spirit, à quelles fins, quels systèmes Spirit peut joindre, et quelles sont les règles de chaque Procédure. En vertu des lois canadiennes, vous demeurez l’organisation responsable envers les personnes concernées.
• Nous les traitons sur votre instruction, pour fournir Spirit, et pour aucune fin qui nous soit propre. Nous sommes votre fournisseur de services — un sous-traitant au sens du RGPD, là où il s’applique à votre entreprise; un prestataire de services et non un vendeur, au sens des lois américaines des États.
• Vos instructions sont : cette entente, les conditions d’utilisation, la configuration de votre espace de travail, et les règles que vous écrivez dans vos Procédures. Nous n’irons pas au-delà, et si nous estimons qu’une instruction nous mettrait en contravention d’une loi, nous vous le dirons plutôt que de l’exécuter en silence.

• Traiter uniquement sur votre instruction, et uniquement pour faire fonctionner Spirit pour vous.
• Ne jamais utiliser votre contenu pour entraîner des modèles — ni les nôtres, ni ceux d’un fournisseur. C’est l’engagement, pas seulement la configuration actuelle.
• Ne jamais le vendre, ni le partager à des fins publicitaires. Il n’existe aucune circonstance où votre contenu devient un de nos produits.
• Ne jamais le mettre en commun avec celui d’un autre client. Ce que Spirit apprend de vos Corrections reste dans votre espace de travail.
• Le garder confidentiel, et lier à la même obligation toute personne chez Aslynx qui pourrait y toucher, y compris après son départ.
• Le protéger avec les mesures de l’annexe C, et ne pas les affaiblir pendant la durée de votre entente.
• Vous aider à répondre aux personnes concernées — §9.
• Vous signaler une atteinte dans le délai prévu à §8.
• Le supprimer quand vous en avez fini avec nous — §14.
• Tenir un registre de ce que nous traitons pour vous, comme la loi sur la protection des données l’exige d’un sous-traitant, et vous en remettre la partie qui vous concerne sur demande.
• Ne laisser aucun sous-traitant y toucher s’il n’est pas à l’annexe B et lié par des engagements au moins aussi forts que ceux-ci.

Tout ce qui est à §2 se produit parce que vous l’avez demandé. Il y a une exception, et nous préférons la nommer ici plutôt que vous la laisser découvrir.

Nous produisons des données d’exploitation agrégées sur l’usage de Spirit : combien d’exécutions un espace de travail a lancées, si son travail courant tourne encore, combien de temps les choses ont pris, ce qui a échoué et à quelle fréquence. Elles servent à garder le service en marche, à dimensionner la capacité, à trouver ce qui est brisé, et à remarquer que le travail d’un client s’est tu — ce qui est d’ordinaire le premier signe que quelque chose cloche et que personne ne nous l’a encore dit.

La frontière n’est pas une politique. C’est ce que la base de données permet à ce processus de lire :

• Des décomptes, des statuts et des horodatages. C’est tout.
• Jamais un document, jamais le résultat d’une exécution, jamais les règles d’une Procédure, jamais les mots d’une Correction, jamais un jeton de déclenchement, jamais un identifiant de facturation. Le processus n’a aucune permission sur ces colonnes : il ne pourrait pas les inclure dans un agrégat même si on le lui demandait.
• Rien de ce qui en découle n’identifie une personne, et rien de ce qui en découle n’est vendu, partagé ou publié.

L’annexe C indique comment cette frontière de permissions est appliquée, et §12 est la façon de nous demander de vous le montrer.

Rien de générique ici : chacun de ces points est une chose que nous n’avons aucun moyen de faire à votre place.

• Avoir le droit de les fournir. Vous confirmez pouvoir légalement nous remettre les renseignements que vous nous remettez, y compris détenir le consentement ou l’autorité que la situation de vos propres clients exige.
• Avoir le droit de connecter ce que vous connectez. Les identifiants que vous fournissez doivent être les vôtres à fournir.
• Configurer qui voit quoi. Les services, les rôles et la barrière d’approbation des écritures vous appartiennent. Si chaque membre de votre entreprise peut voir chaque Procédure, c’est un choix qu’a fait votre espace de travail.
• Garder la liste à jour. Retirez les personnes qui partent. Retirez notre siège de `soutien` quand nous avons terminé — nous vous le demanderons, mais la liste est la vôtre.
• Ne pas nous envoyer plus que le travail n’exige. Si une Procédure n’a besoin que d’une facture, ne lui remettez pas tout le dossier client. Si vous pouvez masquer un identifiant avant qu’il nous parvienne et que le travail se fait quand même, masquez-le.
• Prévenez les gens à l’autre bout. Si vous publiez un formulaire Spirit ou un lien qui déclenche du travail, ou si vous faites surveiller une boîte de courriel, des personnes qui n’ont aucun lien avec nous — vos clients, leurs parties adverses, des sous-traitants sur le terrain — voient leurs renseignements traités par nous pour votre compte. C’est à vous de les prévenir : c’est votre avis de confidentialité qu’elles auront vu, pas le nôtre.
• Vérifiez si les règles sur les décisions automatisées vous visent. Le travail de Spirit est automatisé par conception, et la loi québécoise oblige une organisation à informer une personne lorsqu’une décision la concernant est prise exclusivement par un traitement automatisé, et à lui permettre de présenter ses observations. Que cela s’applique ou non dépend de ce que vos Procédures décident réellement, ce que vous savez et que nous ignorons. La barrière d’approbation des écritures est le contrôle qui garde une personne dans la boucle là où il vous en faut une.
• Ne pas faire passer de numéros de carte de paiement par Spirit. Il n’est pas conçu pour les données de titulaires de cartes et n’est pas évalué selon la norme PCI DSS. Les renseignements de santé et les identifiants gouvernementaux sont possibles lorsque le travail l’exige vraiment — dites-le-nous d’abord, pour que nous soyons francs sur ce que l’annexe C couvre et ne couvre pas.

Objet

Fournir Spirit : lire les documents et les messages que votre entreprise lui remet, produire le travail que décrivent vos Procédures, classer les résultats là où vous le dites, et écrire dans les systèmes que vous connectez.

Durée

Aussi longtemps que dure votre entente avec nous, plus le délai de suppression prévu à §14.

Nature et finalité

Lecture, extraction, rédaction, classification, classement, organisation et transmission automatisées, effectuées par de grands modèles de langage et par notre logiciel, suivant des règles que votre entreprise écrit.

Types de renseignements personnels

Ceux que le travail de votre entreprise comporte, puisque ce n’est pas nous qui les choisissons. En pratique : noms, adresses, numéros de téléphone et adresses de courriel; références de dossiers, de mandats, de comptes et de factures; détails financiers et transactionnels; renseignements d’emploi et de paie; identifiants figurant dans les documents que vous traitez; le texte libre de la correspondance; et, si votre pratique le comporte, des renseignements sur des affaires juridiques, sur la santé ou sur d’autres sujets sensibles. Nous ne les inspectons pas pour savoir lesquels.

Catégories de personnes

Les clients de votre entreprise et leurs représentants; les parties adverses, tribunaux, assureurs, fournisseurs et organismes que votre travail implique; vos propres employés et sous-traitants; et toute personne qui remplit un formulaire ou utilise un lien publié par votre entreprise, ou qui écrit à une boîte de courriel que votre entreprise fait surveiller par Spirit — des gens qui peuvent n’avoir aucun lien avec votre entreprise, et certainement aucun avec nous.

Où c’est conservé

L’application, la base de données et la file d’attente au Canada. Les fichiers dans Cloudflare R2, en Amérique du Nord. Les fournisseurs de l’annexe B traitent là où l’annexe B l’indique.

C’est la section sur laquelle nous aimerions le plus que vous nous vérifiiez.

Personne chez Aslynx ne lit le contenu de votre espace de travail sans que vous nous y invitiez. L’invitation est un siège de `soutien` que vous accordez depuis votre propre page d’équipe. Pendant que nous l’occupons :

• il est visible dans votre liste d’équipe, nommé, pour que n’importe qui chez vous voie que nous sommes là;
• vous pouvez le retirer à tout moment, sans nous le dire et sans notre accord;
• il est exclu de l’approbation des écritures dans vos systèmes, de sorte que nous ne pouvons pas autoriser Spirit à inscrire quelque chose dans vos logiciels à votre place;
• nous le demandons quand il y a une raison, nous disons laquelle, et nous y renonçons quand la raison est épuisée.

Ce n’est pas qu’une politique. La console que nos propres gens utilisent est en lecture seule sur les données des clients, à part l’ajout de crédits à un registre, et elle ne peut pas lire le contenu d’un espace de travail. Le processus qui nous dit si votre travail courant a cessé de tourner détient des droits accordés colonne par colonne : décomptes, statuts et horodatages, et non les règles d’une Procédure, le résultat d’une exécution, les mots d’une Correction, un jeton de déclenchement ou un identifiant de facturation. L’assistant qui rédige la configuration d’un nouveau client n’a aucun accès aux données des clients. L’annexe C indique comment chacune de ces limites est appliquée.

Les exceptions, énoncées plutôt qu’enfouies : le contenu que vous nous envoyez vous-même dans un message de soutien, et une ordonnance légale à laquelle nous sommes contraints d’obéir (§11).

Nous demeurons responsables envers vous de chacune d’elles, comme si nous avions fait la chose nous-mêmes. Chacune est liée par des engagements au moins aussi forts que cette entente.

Les changements. Cette page est la liste à jour; nous la tenons exacte, et nous écrivons aux propriétaires d’espaces de travail lorsque nous ajoutons un sous-traitant qui traitera du contenu de clients.

Ne sont pas des sous-traitants : les systèmes que vous connectez. Votre Microsoft 365, votre SharePoint, vos logiciels comptables ou de répartition sont les vôtres, joints sur votre instruction avec vos identifiants, selon votre entente avec eux. Nous ne les contrôlons pas et nous ne répondons pas de ce qu’ils font de ce que vous dites à Spirit de leur envoyer.

Une atteinte, ici, désigne des renseignements personnels dont nous avons la garde qui sont perdus, détruits, modifiés, pris, ou vus par quelqu’un qui n’avait rien à y voir.

• Nous vous le disons sans délai injustifié et, dans tous les cas, dans les 72 heures suivant le moment où nous en prenons connaissance. Pas à la fin de l’enquête : un premier avis avec ce que nous savons, puis des mises à jour.
• L’avis indique ce qui s’est passé, quand, quels renseignements et ceux de qui, ce que nous avons fait pour contenir la situation, ce que nous faisons ensuite, et à qui parler chez Aslynx.
• Nous vous aidons à remplir vos obligations — envers le commissaire, votre ordre professionnel, vos clients, votre assureur — y compris en vous remettant par écrit ce dont vous avez besoin.
• Nous n’aviserons pas vos clients à votre place, sauf si vous nous le demandez par écrit. Ce sont vos clients, ce devrait être votre voix, et un fournisseur qui apparaît dans la boîte de courriel de votre client rend une mauvaise journée pire.
• Nous consignons les atteintes pendant les 24 mois exigés par la loi canadienne, et nous vous montrerons celles qui vous concernent.

Les personnes ont le droit de demander leurs renseignements, de les faire corriger et parfois de les faire supprimer. Ces demandes sont à vous d’y répondre, parce que c’est vous qui en êtes responsable envers elles.

• Si une demande qui porte en réalité sur votre espace de travail nous parvient, nous vous la transmettons rapidement et nous n’y répondons pas nous-mêmes.
• Nous vous aidons à y répondre, avec les outils du produit et avec nous si cela ne suffit pas.
• Nous ne corrigerons ni ne supprimerons quoi que ce soit dans votre espace de travail sur la parole d’une personne. C’est vous qui décidez; vous pouvez avoir l’obligation légale de conserver précisément le document qu’elle veut faire disparaître.

Avant que des renseignements personnels sortent du Québec, la loi québécoise exige que votre entreprise évalue la communication. Notre stockage d’objets est en Amérique du Nord : pour un cabinet québécois, cette évaluation n’est donc pas hypothétique, elle vise l’utilisation même de Spirit. Là où le RGPD s’applique à vous, une analyse d’impact peut être exigée pour le même travail.

• C’est votre évaluation et nous ne prétendrons pas le contraire. Nous ne la faisons pas, ne la signons pas, et ne vous disons pas ce qu’elle devrait conclure.
• Nous vous donnerons tout ce qu’il vous faut pour la faire : ce que nous traitons et pourquoi, où se trouve chaque sous-traitant, quelles sont les mesures de sécurité, combien de temps les choses sont conservées, et des réponses écrites à des questions précises.
• Demandez-le et nous remplirons votre formulaire plutôt que de vous envoyer le nôtre. Un questionnaire que vous devez traduire dans notre vocabulaire n’est pas de l’aide.
• Si votre conclusion est que quelque chose doit changer avant que vous puissiez poursuivre, dites-nous quoi. Une partie, nous pouvons la changer.

• Nous vérifions que la demande est valide et qu’elle couvre réellement ce qu’elle réclame.
• Nous vous prévenons avant de produire quoi que ce soit, sauf interdiction légale — et alors dès que nous en avons le droit.
• Quand c’est possible, nous renvoyons le demandeur vers vous, parce que les arguments sur le privilège, la pertinence et la portée vous appartiennent et non à nous.
• Nous produisons le strict minimum qui satisfait à l’ordonnance, et nous consignons ce qui a été produit.

À savoir pour un cabinet d’avocats : en raison de §6, la réponse véridique à la plupart des demandes est que nous ne détenons aucun accès lisible au contenu réclamé. C’est une meilleure position pour votre client que n’importe quelle clause.

Une fois l’an, sur demande, nous répondrons à un questionnaire de sécurité écrit et nous vous remettrons notre description à jour des mesures de l’annexe C. Nous préférons le faire correctement plutôt que de faire croire que nous détenons une certification que nous n’avons pas : Spirit n’a pas été audité SOC 2 ni certifié ISO 27001. Si quelqu’un vous dit le contraire, il se trompe, et nous aimerions savoir qui.

Si vous avez une préoccupation précise et documentée que le questionnaire ne peut pas régler, nous conviendrons avec vous d’une vérification proportionnée, à vos frais, sur préavis raisonnable, et sans exposer les données d’un autre client. Nous n’accepterons pas un droit de vérification sans limite, parce qu’à notre taille c’est un engagement que nous ne pourrions pas tenir pour tout le monde.

L’annexe B indique où se trouve chaque fournisseur. Notre application, notre base de données, notre file d’attente et nos sauvegardes sont au Canada; les fichiers d’un espace de travail sont dans un stockage objet nord-américain; les fournisseurs de modèles, Stripe et notre service de courriel traitent aux États-Unis.

Là où des renseignements se trouvent hors du Canada, ils sont assujettis aux lois du lieu où ils sont, y compris l’accès légal des autorités locales, et aucun contrat n’écarte cela. Là où le RGPD s’applique à votre entreprise, nous conclurons les clauses contractuelles types avec vous sur demande.

En tout temps, sans nous le demander : vous pouvez exporter votre contenu et en supprimer n’importe quelle partie depuis le produit. Supprimer un espace de travail purge ses fichiers du stockage et supprime ses enregistrements.

À la fin de votre entente : vous avez 30 jours pour tout sortir. Après quoi nous supprimons votre contenu dans les 30 jours suivants.

Quatre choses survivent à cela, et vous devriez connaître les quatre :

• Les sauvegardes, jusqu’à 14 jours après la suppression. Les sauvegardes sont quotidiennes et expirent selon leur propre cycle; nous n’y faisons pas de retouche chirurgicale, parce qu’une sauvegarde dans laquelle quelqu’un est intervenu n’est plus une sauvegarde.
• Votre registre de crédits et vos factures, archivés six ans, parce que la loi fiscale nous oblige à pouvoir les produire. Ce sont des pièces comptables : montants, dates et identifiants, sans contenu d’espace de travail.
• Les journaux d’exploitation, pendant 30 jours. Ils consignent quel espace de travail, quelle Procédure et quelle exécution ont fait quoi, et si cela a échoué, les identifiants étant retirés par une règle centrale — ils ne contiennent ni vos documents ni vos résultats.
• Une empreinte à sens unique de l’adresse de courriel de chaque compte, conservée indéfiniment pour que les crédits gratuits ne puissent pas être réclamés deux fois. Elle n’est ni réversible, ni utilisable pour écrire, ni rapprochable de quoi que ce soit, et le produit lui-même n’a pas la permission de lire la table où elle se trouve.

Nous confirmerons la suppression par écrit si vous le demandez.

Pour les cabinets dont les dossiers sont protégés par le privilège ou le secret professionnel, ce qui est le cas de la plupart des cabinets avec qui nous travaillons :

• Rien dans l’utilisation de Spirit n’est une renonciation. Nous sommes votre fournisseur de services, traitant vos dossiers sur votre instruction, comme le fait un système documentaire en nuage ou un service de tenue de livres externe.
• Nous ne révisons pas votre contenu. Il n’y a chez Aslynx aucun processus de qualité, aucun échantillonnage, et aucune lecture humaine de vos dossiers. §6 montre comment c’est appliqué plutôt que promis.
• Nos employés ne peuvent pas voir de contenu privilégié sans votre invitation, laquelle paraît dans votre liste d’équipe et peut être retirée à tout moment.
• Nous vous préviendrons avant de produire quoi que ce soit sous contrainte, pour que le privilège puisse être invoqué par la personne qui a qualité pour le faire (§11).
• Si votre barreau, votre ordre ou votre assureur exige quelque chose de précis par écrit avant que vous puissiez utiliser Spirit sur des dossiers de clients, demandez-le. Nous préférons écrire une lettre que de vous voir nous contourner.

Chacune de ces mesures est en place aujourd’hui. Quand l’une change, cette annexe change avec elle.

Garder les clients séparés

• Chaque table contenant des données d’espace de travail est soumise à la sécurité au niveau des lignes imposée dans PostgreSQL — y compris pour le propriétaire de la table, de sorte qu’aucun rôle ne la contourne en silence.
• L’espace de travail qu’une requête peut toucher est fixé à l’intérieur de la transaction, à partir de la session authentifiée, et jamais à partir de ce que le navigateur a envoyé.
• Un test de notre chaîne de construction prouve que la protection est active sur chacune de ces tables, au lieu de compter sur la mémoire de quelqu’un.

Chiffrement

• En transit : TLS partout, avec HSTS pour qu’un navigateur ne rétrograde pas.
• Les identifiants de vos systèmes connectés : AES-256-GCM, la clé conservée hors de la base de données.
• Les fichiers : chiffrés au repos par le fournisseur de stockage, atteints seulement par des liens signés de courte durée, limités au préfixe du seul espace de travail concerné.
• Les jetons d’invitation, de changement d’adresse et de connexion : conservés hachés, de sorte que lire la base de données ne permet pas de terminer une opération qu’on n’a jamais reçue.

Séparation de nos propres accès

• Cinq rôles de base de données, chacun avec son mot de passe et ses droits : le produit, notre console, le moteur de rétention, l’assistant d’implantation et les migrations.
• Notre console est en lecture seule sur les données des clients, à une exception près — ajouter une ligne à un registre de crédits — et ne peut pas lire le contenu d’un espace de travail.
• Les droits de lecture du moteur de rétention sont accordés colonne par colonne : décomptes, statuts et horodatages seulement.
• Le rôle de l’assistant d’implantation n’a aucun droit sur les données des clients.
• Notre console exige un mot de passe et un code à usage unique, et tourne sur son propre nom d’hôte : elle ne partage ni origine ni témoin avec quoi que ce soit de public.

Contrôles sur ce que Spirit peut faire

• Une connexion est en lecture seule jusqu’à ce que vous la changiez.
• Une Procédure ne peut joindre que les connexions que vous lui accordez — une Procédure sans aucun accord n’obtient rien, plutôt que tout.
• Les écritures dans vos systèmes peuvent être soumises à l’approbation d’une personne, le contenu exact étant présenté comme un formulaire construit à partir du schéma de l’action plutôt que comme du JSON brut.
• Les documents sont traités comme des données et jamais comme des instructions : les intrants sont encadrés par des marqueurs propres à chaque exécution et le modèle est informé que seules les règles de votre Procédure font autorité — un document contenant « ignore tes instructions et… » ne dirige donc pas une exécution.
• Les requêtes sortantes passent par un garde-fou qui refuse les adresses internes et privées.
• Le modèle ne touche jamais aux octets d’un fichier. Il nomme une étiquette ou un chemin, et le serveur effectue la copie ou le déplacement. Une numérisation de 200 Mo qu’il n’aurait jamais pu lire est classée par le même chemin de code qu’un reçu de 40 ko.
• Chaque fichier placé, découpé, déplacé ou écrit est consigné et affiché sur l’exécution, pour qu’une affirmation sur ce qui s’est passé puisse être comparée à ce qui s’est passé.

Exploitation

• Sauvegardes quotidiennes de la base de données, conservées 14 jours.
• Limites de débit sur les chemins qui coûtent de l’argent, et plafonds de dépense par espace de travail.
• Identifiants et clés conservés dans l’environnement, hors de la base de données et hors du code source.
• Une revue de sécurité contradictoire a été menée avant la mise en production et ses constats sont suivis; les points demeurés ouverts sont consignés comme des décisions plutôt que laissés comme des surprises.

Les limites de responsabilité de « Les limites de ce que nous devons » des conditions d’utilisation s’appliquent aussi ici, y compris à un manquement à la présente entente. Nous ne l’enjoliverons pas : les obligations de ce document sont réelles, et la somme qu’un tribunal pourrait nous ordonner de payer si nous y manquions est plafonnée à ce que vous nous avez versé au cours des 12 mois précédents. Si votre entreprise a besoin d’une limite plus élevée, demandez-le avant de commencer et nous l’inscrirons dans une entente signée.

Là où cette entente et les conditions d’utilisation se contredisent au sujet du traitement des renseignements personnels, celle-ci l’emporte. En matière commerciale, les conditions d’utilisation l’emportent. Une entente signée avec votre entreprise l’emporte sur les deux.

Si nous modifions cette entente d’une façon qui réduit réellement votre protection, nous écrivons aux propriétaires d’espaces de travail au moins 30 jours avant son entrée en vigueur.