Entente de traitement des données

Ce document résume l’entente de traitement des données entre une communauté et Savoir : qui fait quoi, pour quelles fins, avec quels sous-traitants, sous quelles mesures de sécurité, et ce qui arrive aux données à la fin. L’entente complète s’obtient en nous écrivant.

Les rôles

La communauté est responsable des documents qu’elle dépose et des renseignements personnels de ses membres. C’est elle qui décide ce qui est déposé, qui y a accès et pendant combien de temps elle en a besoin.

Savoir est sous-traitant. Il traite ces renseignements pour le compte de la communauté, selon ses instructions, et pour rien d’autre. Les instructions d’une communauté sont ce qu’elle fait dans la console : déposer un document, inviter un membre, accorder ou retirer un droit, supprimer un document, fermer la communauté.

Savoir demeure responsable des renseignements de son propre compte client — le nom et l’adresse de la personne qui a créé la communauté, et ce qui est nécessaire à la facturation.

Les fins du traitement

• Héberger les documents d’une communauté et les rendre consultables par ses membres.
• Répondre aux questions à partir de ces documents, en nommant le document et la section dont chaque réponse provient.
• Tenir la liste des membres, leurs rôles et leurs droits.
• Envoyer les messages du produit : liens de connexion, invitations, résumé hebdomadaire au conseil.
• Garder la trace des changements faits dans la console.

Rien d’autre. Les documents d’une communauté ne servent pas à entraîner un modèle, ne sont pas communiqués à une autre communauté, et ne sont vendus à personne.

Les sous-traitants ultérieurs

Quatre services, et aucun autre : la base de données, les comptes et le stockage des fichiers ; l’envoi des courriels ; le moteur qui lit les documents et compose les réponses ; la plateforme qui déploie l’application et reçoit ses rapports d’incident.

La page Sécurité les nomme un par un, dit ce que chacun fait et où il se trouve, et porte la date à laquelle une personne l’a vérifiée pour la dernière fois. Cette liste est tenue à jour par une personne, et l’entente complète la nomme au long.

Les mesures de sécurité

Telles que la page Sécurité les énonce :

• tout ce qui circule entre un navigateur, l’application et la base de données passe par HTTPS ;
• les fichiers déposés vivent dans un stockage privé et ne s’ouvrent que par un lien signé et temporaire, fabriqué pour la personne qui a le droit de les lire ;
• chaque ligne et chaque fichier portent l’identifiant de leur communauté, et la base de données refuse toute lecture qui franchirait cette frontière ;
• les droits sont accordés clé par clé à trois groupes d’accès, et leur retrait peut mettre fin aux sessions ouvertes dans le même geste ;
• on entre par un lien envoyé à son adresse ; il n’y a pas de mot de passe à voler.

Savoir ne détient aucune certification et n’a fait l’objet d’aucun audit externe. Ce qui est écrit ici est ce que le code fait.

En cas d’atteinte

Si Savoir constate une atteinte à la protection des renseignements d’une communauté, il en avise l’administrateur de cette communauté sans délai injustifié, et lui dit ce qu’il sait : ce qui s’est passé, quand, quelles données sont en cause et ce qui a été fait. La communauté demeure celle qui décide des avis qu’elle doit elle-même donner à ses membres et aux autorités.

Aucun délai chiffré n’est promis ici. S’il doit y en avoir un, il sera écrit dans l’entente complète avant le lancement.

La durée et l’effacement

L’entente dure aussi longtemps que la communauté existe.

• Un document supprimé cesse d’être lu et d’être cité dès sa suppression.
• Une communauté qui part télécharge son archive complète depuis la console : les données de chaque table et le fichier courant de chaque document, en un seul fichier.
• À la fermeture d’une communauté, ce qu’elle contient est effacé trente jours plus tard, fichiers compris.
• Les fenêtres de conservation qui s’appliquent avant cela — vingt-quatre mois pour les questions et pour la trace des changements — sont dans la politique de confidentialité et sur la page Sécurité.

Obtenir l’entente complète

Écrivez par le formulaire de contact : le sujet et la première phrase sont déjà remplis, et une personne répond avec l’entente et la liste des sous-traitants.