Entente sur le traitement des données de Cargizon (DPA)

La présente Entente sur le traitement des données (« DPA ») fait partie de l’entente conclue entre 9485-2068 Québec Inc. (« Cargizon », le « Sous-traitant ») et le client désigné dans la commande applicable ou l’inscription du compte (« Client », le « Responsable du traitement »), qui régit l’utilisation du Service Cargizon (l’« Entente »). Elle s’applique dans la mesure où Cargizon traite des Renseignements personnels contenus dans les Données du Client pour le compte de celui-ci.

1. Définitions

« Renseignements personnels », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « autorité de contrôle » ont le sens que leur donne la Législation sur la protection des données applicable. « Législation sur la protection des données » désigne l’ensemble des lois applicables au traitement des Renseignements personnels dans le cadre de l’Entente, notamment le RGPD de l’UE, le RGPD du Royaume-Uni, la LPRPDE, la Loi 25 du Québec et les lois applicables des États américains en matière de protection de la vie privée. « Sous-traitant ultérieur » désigne un tiers dont Cargizon retient les services pour traiter des Renseignements personnels pour le compte du Client. « SCCs » désigne les clauses contractuelles types de l’UE (décision d’exécution (UE) 2021/914 de la Commission). « UK Addendum » désigne l’International Data Transfer Addendum aux SCCs, publié par l’ICO du Royaume-Uni.

2. Portée et rôles

2.1 Le Client est le responsable du traitement (ou un sous-traitant agissant pour le compte d’un autre responsable du traitement, auquel cas le Client garantit que ses instructions sont conformes à celles du responsable du traitement ultime); Cargizon est le sous-traitant.

2.2 Détails du traitement (art. 28(3) du RGPD) :

• Objet et durée : la fourniture du Service pendant la durée de l’Entente, plus la période de récupération/suppression suivant la résiliation.
• Nature et finalité : l’hébergement, le stockage, la transmission, l’affichage, l’extraction et la classification assistées par IA, l’analyse et le soutien connexe des Données du Client, afin d’offrir la visibilité des expéditions, la gestion des commandes, la gestion des documents et le rapprochement des coûts de fret.
• Catégories de personnes concernées : le personnel et les utilisateurs autorisés du Client; le personnel des vendeurs, des fournisseurs, des transporteurs, des transitaires, des courtiers en douane et des destinataires du Client; les autres personnes dont le Client verse les renseignements dans les Données du Client.
• Catégories de Renseignements personnels : les coordonnées professionnelles (noms, courriels, numéros de téléphone, titres de poste, employeurs, adresses); les identifiants figurant dans les documents commerciaux (p. ex. les signatures, les lignes de coordonnées sur les factures, les connaissements, les listes de colisage); les métadonnées de communication provenant de l’importation de courriels; les registres de compte et d’utilisation. Non destinés au Service : les catégories particulières de données (art. 9 du RGPD), les pièces d’identité délivrées par un gouvernement ou les numéros de comptes financiers de personnes physiques; le Client s’engage à ne pas les soumettre.

3. Obligations du sous-traitant

Cargizon s’engage à : (a) ne traiter les Renseignements personnels que sur les instructions documentées du Client (l’Entente, la présente DPA et l’utilisation des fonctions du Service constituent des instructions), y compris pour les transferts internationaux, sauf si la loi l’exige, auquel cas Cargizon en informera le Client à moins que la loi ne l’interdise; (b) informer immédiatement le Client si, à son avis, une instruction contrevient à la Législation sur la protection des données; (c) veiller à ce que les personnes autorisées à traiter des Renseignements personnels soient tenues à la confidentialité; (d) mettre en œuvre les mesures techniques et organisationnelles énoncées à l’Annexe II et maintenir un niveau de sécurité adapté au risque (art. 32 du RGPD); (e) aider le Client, compte tenu de la nature du traitement, à répondre aux demandes des personnes concernées (art. 12 à 23) et à se conformer aux art. 32 à 36 (sécurité, notification des violations, AIPD, consultation préalable), aux frais raisonnables du Client lorsque les demandes sont excessives; (f) aviser le Client sans délai indu après avoir pris connaissance d’une violation de Renseignements personnels touchant les Renseignements personnels du Client, en fournissant les renseignements raisonnablement nécessaires aux propres obligations de notification du Client (y compris en vertu de la règle des 72 heures du RGPD), et collaborer aux mesures correctives; (g) au choix du Client, supprimer ou retourner les Renseignements personnels après la fin des services (exportation possible pendant 30 jours après la résiliation; suppression des systèmes actifs par la suite, les copies de sauvegarde expirant selon le calendrier prévu), sauf si la loi en exige la conservation; (h) mettre à disposition les renseignements raisonnablement nécessaires pour démontrer le respect de la présente DPA et, au plus une fois par période de 12 mois (ou à la suite d’un manquement important), permettre des vérifications par le Client ou son vérificateur mandaté, dans le respect de la confidentialité, pendant les heures d’ouverture, moyennant un préavis de 30 jours, aux frais du Client; Cargizon peut d’abord répondre aux demandes de vérification au moyen de rapports ou de certifications de tiers récents, lorsqu’ils sont disponibles.

4. Sous-traitants ultérieurs

4.1 Le Client donne une autorisation générale au recours de Cargizon à des Sous-traitants ultérieurs. La liste à jour est publiée à /subprocessors (au 18 juillet 2026 : Vercel (hébergement); Supabase (base de données, authentification, stockage); Stripe (paiements); Resend (courriels transactionnels et importation de courriels); Anthropic (traitement par IA); Sentry (surveillance des erreurs); AISStream (données sur les navires); PostHog (analyse de produit); Google Workspace (courriel d’entreprise)).

4.2 Cargizon donnera un préavis (par la page des Sous-traitants ultérieurs ou par courriel, ou les deux) d’au moins 14 jours avant d’ajouter ou de remplacer un Sous-traitant ultérieur. Le Client peut s’y opposer pour des motifs raisonnables de protection des données pendant ce délai; si les parties ne peuvent régler l’opposition, le Client peut résilier les services touchés et obtenir un remboursement au prorata des frais payés d’avance.

4.3 Cargizon imposera aux Sous-traitants ultérieurs des obligations de protection des données essentiellement équivalentes à celles de la présente DPA et demeure responsable de leur exécution.

5. Transferts internationaux

5.1 Les Renseignements personnels sont traités au Canada, aux États-Unis et dans les autres territoires où Cargizon ou ses Sous-traitants ultérieurs exercent leurs activités.

5.2 Pour les transferts de Renseignements personnels de l’EEE vers des pays sans décision d’adéquation : le module deux des SCCs (responsable du traitement → sous-traitant) (ou le module trois lorsque le Client est un sous-traitant) est incorporé par renvoi, avec : la clause 7 (amarrage) incluse; la clause 9(a), option 2 (autorisation générale, 14 jours); la clause 11, recours facultatif non retenu; la clause 17 régie par les lois de l’Irlande; la clause 18, tribunaux de l’Irlande; l’Annexe I complétée par l’article 2.2 et les coordonnées des parties figurant dans l’Entente; l’Annexe II complétée par l’Annexe II ci-dessous; l’Annexe III par la liste des Sous-traitants ultérieurs.

5.3 Pour les transferts vers le Royaume-Uni, le UK Addendum s’applique, ses entrées de tableau étant complétées par les choix SCC correspondants ci-dessus. Pour les transferts vers la Suisse, les SCCs s’appliquent, adaptées comme l’exige la LPD.

5.4 Loi 25 du Québec : les transferts de Renseignements personnels à l’extérieur du Québec sont assujettis à l’évaluation de Cargizon confirmant une protection adéquate compte tenu de la sensibilité, des finalités et des mesures de protection; les détails sont disponibles sur demande.

6. Responsabilité

La responsabilité de chaque partie en vertu de la présente DPA est assujettie aux limitations et aux exclusions de responsabilité prévues dans l’Entente, sauf lorsque la Législation sur la protection des données ne permet pas une telle limitation.

7. Ordre de priorité; durée

La présente DPA prévaut sur les stipulations contradictoires de l’Entente en ce qui concerne le traitement des Renseignements personnels; les SCCs prévalent sur la présente DPA en cas de conflit. La présente DPA demeure en vigueur tant que Cargizon traite des Renseignements personnels pour le compte du Client.

---

Annexe II : Mesures techniques et organisationnelles

• Contrôle d’accès et cloisonnement entre locataires : modèle de données délimité par organisation, appliqué par la sécurité au niveau des lignes de la base de données sur toutes les tables des clients; permissions fondées sur les rôles au sein des organisations; actions administratives réservées aux propriétaires et aux administrateurs.
• Authentification : authentification gérée (Supabase Auth) avec identifiants hachés; accès fondé sur la session; clés d’API stockées sous forme de hachages salés, avec des portées à privilège minimal.
• Chiffrement : TLS 1.2+ en transit; chiffrement au repos pour la base de données et le stockage (clés gérées par le fournisseur).
• Sécurité des documents : compartiments de stockage privés; documents servis au moyen d’URL signées, authentifiées et de courte durée; partage externe uniquement au moyen de jetons expirables et non devinables.
• Mesures de protection applicatives : validation des entrées; limitation du débit par utilisateur et par adresse IP; mesures de protection des dépenses d’IA par organisation; atténuation des attaques à la couche de périphérie et protection DDoS de la plateforme.
• Surveillance et journalisation : surveillance centralisée des erreurs (Sentry); journaux d’exploitation pertinents pour la vérification; alertes en cas de défaillances anormales.
• Gestion des changements : migrations de base de données en infrastructure en tant que code, sous contrôle de version; suites de tests automatisées (y compris les tests d’isolation de la sécurité au niveau des lignes) exécutées avant le déploiement; séparation des identifiants de production.
• Sauvegardes et résilience : sauvegardes quotidiennes gérées par le fournisseur (conservation de 7 jours); capacité de restauration documentée.
• Personnel : accès limité au personnel autorisé tenu à la confidentialité; accès administratif à privilège minimal, avec authentification multifacteur sur les comptes d’infrastructure.
• Réponse aux incidents : processus documenté de détection, d’évaluation, de confinement, de notification aux clients et d’examen après incident.
• Minimisation et conservation des données : gestion des données configurable par le Client; processus de suppression et d’exportation décrits à l’article 3(g).