English

ÉBAUCHE — doit être révisée par un avocat canadien spécialisé en protection de la vie privée avant publication. Non en vigueur.

Politique de confidentialité de Nysroc

Version : 0.9 (ébauche) · Dernière mise à jour : 1er novembre 2026 · En vigueur le : [DATE DE PUBLICATION]
Autre langue : English
Documents connexes : Résumé de confidentialité · Avis sur les témoins et le suivi · Sous-traitants · Addenda sur le traitement des données des clients (« ATD ») · Conditions d'utilisation

Table des matières

1. Qui nous sommes et ce que couvre la présente politique
2. Nos engagements en matière de confidentialité
3. Nos deux rôles : quand nous décidons, et quand nos clients décident
4. Les renseignements personnels que nous traitons
5. D'où proviennent les renseignements
6. Pourquoi nous les utilisons, et nos fondements juridiques
7. Consentement et choix
8. Nysroc IA (intelligence artificielle)
9. Décisions automatisées et profilage
10. Mesure d'audience des sites, témoins et mesure publicitaire
11. Avec qui nous communiquons des renseignements
12. Lieu de conservation et communications à l'extérieur du Canada
13. Durée de conservation
14. Comment nous protégeons les renseignements
15. Incidents de confidentialité et atteintes
16. Vos droits et comment les exercer
17. Renseignements propres aux provinces, pays et États
18. Renseignements de santé et HIPAA
19. Enfants
20. Messages de marketing et Loi canadienne anti-pourriel (LCAP)
21. Ce que nous attendons de nos clients
22. Services et liens d'autres entreprises
23. Modifications de la présente politique
24. Nous joindre, notre responsable de la protection des renseignements personnels et comment porter plainte

Annexe A — Application des dix principes relatifs à l'équité dans le traitement de l'information (LPRPDE)
Annexe B — États-Unis : catégories de renseignements personnels (tableau CCPA/CPRA)

1. Qui nous sommes et ce que couvre la présente politique

Nysroc est une plateforme d'affaires tout-en-un destinée aux petites entreprises canadiennes : création et hébergement de sites Web, comptabilité, connexions aux terminaux de point de vente, gestion de la relation client (CRM), centre d'assistance, téléphonie d'affaires, fichiers, publicité, vidéo et autres outils, offerts sous forme d'un seul service en ligne (le « Service »).

Nysroc est exploitée par Scopien Technologies Inc., société immatriculée en Ontario, 416, North Service Road East, bureau 300, Oakville (Ontario) L6H 5R2, Canada (« Nysroc », « nous », « notre », « nos »).

Où le Service est offert. Au lancement, Nysroc est offerte uniquement aux entreprises situées au Canada et aux États-Unis; l'inscription n'accepte qu'une province ou un territoire du Canada ou un État américain. Nous n'offrons pas le Service aux clients de l'Union européenne, de l'Espace économique européen, de la Suisse ou du Royaume-Uni. Les passages de la présente politique portant sur le RGPD et le RGPD du Royaume-Uni décrivent comment nous traiterons les renseignements si cela change, et ne s'appliquent aujourd'hui que lorsque ces lois visent des renseignements que nous détenons de toute façon (par exemple une personne en Europe qui communique avec nous).

La présente politique explique comment nous recueillons, utilisons, communiquons, conservons et protégeons les renseignements personnels lorsque vous :

• visitez nysroc.com ou l'une de ses pages, ou communiquez avec nous;
• vous inscrivez, vous connectez, payez ou gérez un compte Nysroc;
• utilisez le Service dans un espace de travail Nysroc (par exemple à votreentreprise.nysroc.com/app ou sur votre propre domaine), l'éditeur de site Web, Nysroc Ads, Nysroc Video, Nysroc Phone ou Nysroc IA;
• visitez un site Web qu'un de nos clients a créé et héberge sur Nysroc (dans les limites décrites aux sections 3 et 10);
• communiquez avec notre équipe de soutien, clavardez avec notre assistant de soutien, ou participez à nos événements, sondages ou recherches.

Ce que la présente politique ne couvre pas. Elle ne décrit pas la façon dont nos clients (les entreprises qui utilisent Nysroc) traitent les renseignements de leurs propres clients; chaque entreprise en est responsable et devrait avoir sa propre politique de confidentialité (voir la section 3). Elle ne couvre pas les services distincts des entreprises que vous connectez vous-même à Nysroc (par exemple votre propre compte Square, Clover, Stripe, Google Ads, Meta ou Microsoft Advertising), qui ont leurs propres politiques. Les renseignements concernant nos employés et les candidats à un emploi font l'objet d'avis distincts.

Termes utilisés. « Renseignement personnel » désigne tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier (appelé « données personnelles » dans certaines lois). Un « client » est une entreprise ou une organisation titulaire d'un compte Nysroc. Un « utilisateur » est une personne qui se connecte au compte d'un client. Une « personne concernée finale » est une personne dont un client saisit ou recueille les renseignements au moyen de Nysroc — par exemple la clientèle, les appelants, les visiteurs du site Web, les employés ou les fournisseurs du client. Les « Données du client » désignent le contenu et les renseignements personnels qu'un client et ses utilisateurs saisissent ou recueillent au moyen du Service.

2. Nos engagements en matière de confidentialité

Voici nos promesses; le reste de la politique explique comment nous les tenons :

1. Nous ne vendons ni ne louons de renseignements personnels, et nous ne les « partageons » pas à des fins de publicité comportementale intercontextuelle. Nous ne l'avons pas fait au cours des 12 derniers mois.
2. Les données de votre entreprise vous appartiennent. Nous utilisons les Données du client uniquement pour fournir le Service selon vos instructions, pour en assurer la sécurité et pour respecter nos obligations légales. Vous pouvez les exporter en tout temps et les emporter.
3. Aucun traceur tiers sur les sites que nous hébergeons. Les sites Web créés sur Nysroc n'utilisent que notre script de mesure interne, servi depuis le propre domaine du site. La mesure publicitaire est désactivée tant que le visiteur n'y consent pas, et les signaux Global Privacy Control et Do Not Track sont respectés automatiquement.
4. Nous ne voyons jamais les numéros de carte. Les cartes de paiement des abonnements Nysroc sont saisies uniquement sur la page de notre fournisseur de traitement des paiements.
5. Nysroc n'entraîne aucun modèle d'IA avec les Données du client. La section 8 explique clairement où notre fournisseur d'IA gérée traite les données et ce que vous pouvez choisir à la place.
6. Le Canada d'abord. Notre plateforme est hébergée au Canada. Chaque exception — et sa raison — est nommée à la section 12 et dans notre liste des sous-traitants.
7. Confidentialité par défaut. Les traitements facultatifs (témoins de mesure d'audience, mesure publicitaire, courriels de marketing) sont désactivés jusqu'à ce que la personne y consente.
8. Une personne responsable. Une personne désignée est responsable de la protection des renseignements personnels (section 24).

3. Nos deux rôles : quand nous décidons, et quand nos clients décident

Les lois sur la protection des renseignements personnels traitent différemment l'organisation qui décide pourquoi et comment les renseignements sont utilisés et celle qui ne fait que les traiter pour le compte d'une autre. Nysroc joue les deux rôles.

Lorsque nous agissons comme sous-traitant, nous n'utilisons pas les Données du client à nos propres fins, sauf pour sécuriser et exploiter le Service, produire des statistiques de service agrégées et dépersonnalisées (par exemple le nombre total de pages servies, jamais combinées pour identifier quiconque), ou lorsque la loi l'exige. Nous ne réidentifierons pas des données dépersonnalisées.

4. Les renseignements personnels que nous traitons

Nous ne recueillons que ce qui est nécessaire aux fins énoncées à la section 6. Ci-dessous, les éléments marqués (sous-traitant) sont des Données du client que nous traitons pour le compte d'un client.

4.1 Compte et identité

• Votre nom, votre adresse courriel d'affaires, votre mot de passe (conservé uniquement par notre service de connexion, Nysroc Login, sous forme de hachage salé à sens unique — jamais lisible par notre personnel), le nom de l'entreprise, la province ou le territoire, la langue préférée, l'adresse Web choisie (par exemple votreentreprise.nysroc.com) et, au besoin, un domaine personnalisé.
• Si vous vous connectez avec Google : le nom, l'adresse courriel et l'identifiant unique de votre compte Google. Nous ne recevons pas votre mot de passe Google.
• Les paramètres d'authentification multifacteur (par exemple le fait qu'une application d'authentification est inscrite; le secret lui-même est conservé chiffré par Nysroc Login).
• Les utilisateurs que vous invitez : leur nom, leur courriel, leurs rôles et leurs autorisations.

4.2 Facturation et abonnement

• Le forfait, les dates de l'essai, les factures, l'état des paiements, les numéros d'inscription aux taxes (TPS/TVH/TVQ) si vous les fournissez, l'adresse ou le code postal de facturation, ainsi que les quatre derniers chiffres, la marque et la date d'expiration de la carte au dossier.
• Les numéros de carte et les codes de sécurité ne sont jamais transmis à Nysroc ni conservés par Nysroc. Vous les saisissez uniquement sur la page sécurisée de notre fournisseur de traitement des paiements, Stripe, qui les traite dans le cadre de son propre programme PCI DSS de niveau 1. Nous recevons un jeton et les détails limités ci-dessus.

4.3 Données du client dans les espaces de travail (sous-traitant)

• Les dossiers d'affaires tels que clients, contacts, pistes, fournisseurs, articles, prix, soumissions, commandes, factures, paiements, écritures de journal, inventaire, projets, employés (si vous utilisez les fonctions RH et paie), documents et fichiers, calendriers et réservations, billets et conversations d'assistance, contenu du site Web, formulaires, conversations par courriel et messagerie, et notes.
• Le contenu est choisi par le client. Il peut comprendre des renseignements sensibles (par exemple des données de paie ou des numéros d'assurance sociale). Les renseignements de santé ne doivent pas être conservés dans Nysroc (section 18). Le client est responsable de leur collecte légale; voir les sections 18 et 21.

4.4 Téléphonie et appels — Nysroc Phone (sous-traitant)

• Numéros de téléphone, identification de l'appelant, postes, heure et durée des appels, sens et résultat des appels, messagerie vocale, lien entre un appel et une fiche CRM ou un billet d'assistance, et enregistrements d'appels lorsque le client active l'enregistrement.
• Résumés d'appels par IA, si le client les active (voir la section 8).
• Les renseignements dont notre fournisseur de télécommunications a besoin pour acheminer les appels, dont l'adresse municipale 911 inscrite pour chaque numéro.

4.5 Connexions aux applications de point de vente et de paiement (sous-traitant)

• Lorsqu'un client connecte son propre compte Square ou Clover (ou, plus tard, d'autres systèmes de point de vente), nous recevons les ventes, remboursements, articles, prix, inventaires, emplacements, modes de paiement et frais de traitement, ainsi que les renseignements sur la clientèle que le système de point de vente associe à une vente, et nous les inscrivons dans les livres du client.
• Lorsqu'un client connecte son propre compte Stripe à ses livres, nous recevons les paiements, frais, remboursements et virements.
• Nous conservons chiffrés les jetons d'accès de ces connexions. Aucun de ces systèmes ne nous transmet de numéros de carte complets.

4.6 Mesure d'audience des sites — Nysroc Analytics (sous-traitant)

Sur les sites hébergés par Nysroc, notre script interne (/_n/a.js, servi depuis le propre domaine du site) enregistre :

• Toujours, sans témoin et sans identifiant soumis au consentement : la page visitée, le site de provenance, les étiquettes de campagne du lien (paramètres UTM), le fait qu'un lien publicitaire a été suivi (mais pas l'identifiant de clic publicitaire lui-même), les envois de formulaires, les achats en boutique (montant en dollars canadiens), les clics sur les liens téléphoniques, et une clé de visiteur quotidienne calculée à partir du site, de l'adresse IP et du type de navigateur du visiteur avec un secret qui change chaque jour. La clé est irréversible, ne permet pas de relier les visites d'un jour à l'autre, et l'adresse IP n'est jamais conservée.
• Seulement si le visiteur accepte « Mesure d'audience » : un témoin interne _nya contenant un identifiant aléatoire (conservé jusqu'à 13 mois) et la première source qui a amené le visiteur sur le site, afin de mesurer les visites répétées et l'attribution au premier contact.
• Seulement si le visiteur accepte « Publicité (attribution) » : l'identifiant de clic publicitaire présent dans le lien (par exemple d'annonces Google, Microsoft ou Meta), afin que l'entreprise sache quelle annonce a fonctionné et, si elle diffuse des annonces au moyen de Nysroc Ads, déclare les conversions à son propre compte publicitaire (section 4.7).
• Les robots et indexeurs connus sont ignorés. Les détails figurent dans l'avis sur les témoins et le suivi.

4.7 Publicité — Nysroc Ads (sous-traitant)

• Lorsqu'un client connecte son propre compte Google Ads, Meta (Facebook et Instagram) ou Microsoft Advertising, nous conservons les jetons de connexion chiffrés (chiffrement authentifié de type AES, clé gardée dans notre gestionnaire de secrets) et traitons les paramètres de campagne, budgets, textes et images publicitaires, pages d'atterrissage, dépenses quotidiennes et résultats.
• Conversions de serveur à serveur : lorsqu'un visiteur qui a accepté « Publicité (attribution) » envoie un formulaire, fait un achat ou touche un lien d'appel, Nysroc peut transmettre la conversion au propre compte publicitaire du client. Seuls l'adresse courriel et/ou le numéro de téléphone hachés en SHA-256, l'identifiant de clic, un identifiant d'événement, l'heure et la valeur quittent Nysroc. Rien n'est transmis pour les visiteurs qui ont refusé, qui n'ont pas fait de choix, ou dont le navigateur envoie Global Privacy Control ou Do Not Track. Aucun pixel ni balise publicitaire n'est jamais placé dans le navigateur du visiteur.
• Le réseau publicitaire reçoit ces renseignements en tant que fournisseur du client ou en tant qu'entreprise indépendante, en vertu de l'entente du client avec lui, et non en tant que sous-traitant de Nysroc.

4.8 Vidéo — Nysroc Video (sous-traitant)

• Scripts, écrans générés à partir du site Web ou des données de produits du client, narration audio, sous-titres et fichiers vidéo finaux.
• Les vidéos avec avatar sont produites par HeyGen. Si le client utilise sa propre clé HeyGen, HeyGen traite le script ainsi que l'image ou la voix choisies par le client dans le cadre du propre compte HeyGen du client. Si la clé HeyGen de Nysroc est un jour offerte, HeyGen deviendra notre sous-traitant et sera inscrit comme tel. Nysroc ne crée pas de gabarits biométriques du visage ou de la voix de quiconque.
• Les vidéos finales utilisées dans des annonces sont mises à la disposition du réseau publicitaire au moyen d'un lien signé qui expire après 24 heures.

4.9 Requêtes et résultats d'IA (sous-traitant, voir la section 8)

• Les questions et instructions que les utilisateurs donnent à Nysroc IA, les dossiers que l'IA lit pour le compte de l'utilisateur (selon les autorisations de cet utilisateur), ainsi que les réponses, ébauches et résumés produits; la mesure de l'utilisation (jetons, fonction, heure).

4.10 Soutien, clavardages et billets (responsable du traitement)

• Messages, transcriptions de clavardage avec notre assistant de soutien, courriels, captures d'écran et fichiers que vous nous envoyez, notes d'appel, historique des billets et évaluations de satisfaction.
• Avec votre permission et uniquement pour le billet, notre personnel de soutien peut consulter votre espace de travail. Chaque accès de ce genre est inscrit au journal d'audit que vous pouvez consulter.

4.11 Journaux d'audit (responsable du traitement pour le journal; les dossiers visés demeurent des Données du client)

• Un registre inviolable et en ajout seulement des actions importantes pour la sécurité : connexions réussies et échouées, changements d'autorisations, exportations, suppressions, changements de facturation, changements de domaine, approbations publicitaires, accès du soutien, etc. Chaque entrée indique qui a agi (identifiant, courriel, rôle), quand, depuis quelle adresse IP et quel navigateur, et ce qui a changé. Les entrées sont chaînées par hachage cryptographique et scellées dans un stockage non réinscriptible, de sorte qu'elles ne peuvent être modifiées à l'insu de quiconque.

4.12 Journaux techniques, de sécurité et d'appareils (responsable du traitement)

• Adresse IP, type de navigateur et d'appareil, système d'exploitation, langue, horodatages, pages et points de terminaison d'API demandés, rapports d'erreur, mesures de performance et traces de requêtes; signaux de prévention des abus (par exemple résultats de défis de preuve de travail et compteurs de limitation de débit). Nous protégeons nos formulaires au moyen d'une vérification par preuve de travail hébergée chez nous plutôt que d'un CAPTCHA tiers; aucune donnée de visiteur n'est donc transmise à une entreprise de CAPTCHA.

4.13 Marketing, communications et visiteurs de nysroc.com (responsable du traitement)

• Vos préférences de marketing et les preuves de consentement (ce que vous avez accepté, quand et comment), l'interaction avec nos courriels lorsque vous y avez consenti, les inscriptions aux événements, les réponses aux sondages, et les renseignements que vous nous donnez en demandant une démonstration ou en communiquant avec l'équipe des ventes.
• Les coordonnées d'affaires de personnes travaillant chez des clients ou partenaires potentiels, obtenues d'elles ou de sources d'affaires publiques.
• Visiteurs de nysroc.com : voir l'avis sur les témoins. Notre site promotionnel n'utilise pas de traceurs publicitaires.

4.14 Renseignements que nous ne voulons pas recevoir

Veuillez ne pas nous envoyer, ni soumettre à Nysroc IA, des renseignements dont le Service n'a pas besoin — par exemple des numéros de carte complets ailleurs que sur la page de paiement, des mots de passe, ou des renseignements de santé (section 18).

5. D'où proviennent les renseignements

• De vous — lorsque vous vous inscrivez, utilisez le Service, communiquez avec nous ou remplissez un formulaire.
• De votre organisation — lorsqu'un administrateur vous invite ou saisit vos renseignements dans un espace de travail.
• Automatiquement — de votre navigateur ou appareil lorsque vous utilisez le Service ou visitez un site hébergé par Nysroc (section 4.12, section 10).
• Des services que vous connectez — connexion Google; vos comptes de point de vente, de paiement, de publicité, de vidéo ou autres; notre fournisseur de traitement des paiements (état du paiement et détails limités de la carte).
• De sources publiques ou d'affaires — par exemple des registres d'entreprises et des profils de réseautage professionnel, uniquement pour la vente interentreprises.

6. Pourquoi nous les utilisons, et nos fondements juridiques

Nous déterminons nos fins au plus tard au moment de la collecte et n'utilisons les renseignements qu'à ces fins ou à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances. Pour les personnes dont les renseignements sont assujettis au RGPD de l'UE ou du Royaume-Uni, la colonne de droite indique notre fondement juridique.

Nous n'utilisons aucun renseignement personnel à une nouvelle fin sans vous en informer et, lorsque la loi l'exige, sans obtenir d'abord votre consentement.

7. Consentement et choix

• Consentement valable. Nous demandons le consentement en termes simples et clairs, distinctement de toute autre information lorsque la loi l'exige, et nous indiquons clairement ce qui est facultatif. Nous obtenons un consentement exprès pour les renseignements sensibles et pour toute utilisation à laquelle vous ne vous attendriez pas raisonnablement.
• Retrait du consentement. Vous pouvez retirer votre consentement en tout temps, sous réserve de restrictions légales ou contractuelles, par exemple en vous désabonnant, en modifiant vos paramètres, en utilisant le lien « Témoins » au bas d'un site ou en communiquant avec nous. Le retrait n'a pas d'effet sur les traitements déjà effectués. Nous vous dirons si le retrait nous empêche de fournir une partie du Service.
• Paramètres que vous contrôlez : préférences de marketing; mesure d'audience (par visiteur); activation de Nysroc IA et mode d'IA (par espace de travail); enregistrement des appels et résumés d'appels par IA (par espace de travail); applications connectées (connexion ou déconnexion en tout temps); exportation et suppression du compte.
• Québec. Le consentement est demandé pour chacune des fins visées, en termes simples et clairs, et les paramètres offrant le plus haut niveau de confidentialité s'appliquent par défaut aux fonctions de repérage et de profilage (section 9). Nysroc IA (gérée) est une fonction que l'administrateur du client contrôle pour son espace de travail; elle est activée par défaut avec la divulgation et les choix décrits à la section 8 [AVOCAT : confirmer au regard de l'art. 9.1 de la loi québécoise].

8. Nysroc IA (intelligence artificielle)

Nysroc IA est l'assistant intégré au Service et le moteur des fonctions d'IA (création de sites Web, textes publicitaires, scripts vidéo, résumés d'appels et de billets, ébauches de réponses, questions en langage courant sur vos livres). La présente section indique exactement où elle fonctionne.

8.1 Trois façons d'alimenter Nysroc IA — le client choisit

Par défaut. Nysroc IA (gérée) est activée par défaut pour tout nouvel espace de travail, dans toutes les provinces et tous les États, y compris au Québec. Avant sa première utilisation, les administrateurs voient où elle s'exécute (l'étiquette de résidence « Chine ») ainsi que les choix décrits à la section 8.5, et ils peuvent en tout temps la désactiver, passer à leur propre clé (BYOK) ou réserver l'espace de travail au Canada dans Paramètres → IA.

Un modèle Nysroc auto-hébergé au Canada est prévu et sera ajouté comme mode lorsqu'il sera disponible. Chaque modèle affiche une étiquette de résidence dans Paramètres → IA afin que les administrateurs sachent où vont les requêtes.

8.2 Ce qui est transmis au fournisseur d'IA

Uniquement ce dont une fonction a besoin pour la requête d'un utilisateur : l'instruction et les dossiers que l'outil d'IA lit pour le compte de cet utilisateur, selon ses propres autorisations (par exemple les soldes de factures pour « qui nous doit depuis plus de 60 jours? », ou la transcription d'un appel pour un résumé). L'IA n'a jamais plus d'accès que l'utilisateur connecté. Les actions qui modifient des données, envoient des messages, publient ou paient affichent toujours un aperçu et exigent la confirmation d'une personne, à moins que l'administrateur du client ne désactive cette étape pour une action précise.

8.3 Entraînement et conservation

• Nysroc n'utilise ni les Données du client, ni les requêtes, ni les résultats pour entraîner ou ajuster un modèle d'IA.
• Nysroc conserve les requêtes et les résultats 30 jours à des fins d'audit et de dépannage, puis les supprime; un administrateur peut fixer cette durée à 0 jour. Le contenu des requêtes n'est pas inscrit dans nos journaux applicatifs.
• Conditions propres à DeepSeek. À la date de la présente ébauche, les conditions publiées de la plateforme ouverte (API) de DeepSeek ne comportent pas d'engagement écrit selon lequel les entrées et les sorties de l'API ne serviront pas à entraîner ses modèles, n'indiquent aucune durée de conservation, n'offrent aucune entente de traitement des données et sont régies par le droit de la République populaire de Chine. [AVOCAT / DÉCISION EN SUSPENS : Nysroc cherche à conclure une entente écrite avec DeepSeek portant sur l'absence d'entraînement, la conservation, la confidentialité, la sécurité et l'avis d'incident. Tant qu'elle n'est pas signée, ce paragraphe doit demeurer dans la politique publiée.] Nous ne pouvons donc pas garantir que DeepSeek ne conservera ni n'utilisera les données qui lui sont transmises au-delà de ce que prévoient ses propres conditions.

8.4 Risques liés au traitement en Chine — divulgation claire

Les renseignements transmis à Nysroc IA (gérée) quittent le Canada et sont traités et conservés en Chine. Ils y sont assujettis aux lois chinoises, qui peuvent permettre aux autorités gouvernementales d'exiger d'y avoir accès sans l'avis, la surveillance ou les recours que prévoit le droit canadien, et les organismes canadiens de protection de la vie privée ont une capacité limitée d'y faire respecter vos droits. Voir la section 12.

8.5 Vos choix

• Désactiver Nysroc IA pour tout l'espace de travail ou pour certaines fonctions, dans Paramètres → IA.
• Utiliser votre propre clé d'IA (BYOK) auprès du fournisseur et dans la région de votre choix (par exemple un fournisseur qui traite au Canada).
• Désigner un espace de travail « Canada seulement » : seuls les modèles dont le traitement demeure au Canada peuvent alors être choisis, soit aujourd'hui le mode BYOK avec un point de terminaison au Canada ou, lorsqu'il sera disponible, le modèle Nysroc auto-hébergé. Le traitement géré par DeepSeek est alors bloqué pour cet espace de travail.
• N'utiliser l'IA que pour du contenu à faible risque (par exemple des textes de marketing) et la laisser désactivée pour la paie, les RH, les enregistrements d'appels et les dossiers sensibles.

8.6 N'envoyez pas de renseignements de santé ou d'autres données réglementées à Nysroc IA (gérée)

Nysroc IA (gérée) n'est pas conçue pour les renseignements personnels sur la santé, les renseignements protégés par la HIPAA, les numéros d'assurance sociale, les numéros de pièces d'identité gouvernementales, les numéros de comptes financiers, les renseignements sur des enfants, ou tout autre renseignement qu'une loi ou un contrat vous oblige à conserver au Canada ou à protéger selon un niveau précis. Les clients ne doivent pas transmettre de tels renseignements à Nysroc IA (gérée). Utilisez le mode BYOK avec un fournisseur approprié, ou laissez l'IA désactivée pour ces dossiers.

8.7 Exactitude

Les résultats de l'IA peuvent être erronés. Traitez-les comme des ébauches. Vous pouvez nous demander de corriger des renseignements personnels inexacts qui figurent dans des résultats que nous conservons.

9. Décisions automatisées et profilage

Nysroc ne prend aucune décision concernant une personne fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou des effets similaires importants (par exemple refuser un crédit ou un emploi).

Nous utilisons des outils automatisés pour la sécurité et la prévention des abus (limites de débit, défis de preuve de travail, blocage des tentatives de connexion échouées répétées, signalement des inscriptions suspectes). Si un contrôle automatisé bloque ou restreint votre compte ou votre inscription, vous pouvez communiquer avec nous et une personne réexaminera la décision. Sur demande, nous vous informerons (comme l'exigent la Loi 25 du Québec et le RGPD) des renseignements personnels utilisés, des raisons et des principaux facteurs ayant mené à la décision, et de votre droit de faire rectifier ces renseignements, et vous pourrez présenter vos observations à un membre de notre personnel en mesure de réviser la décision.

Les fonctions d'IA (section 8) produisent des suggestions et des ébauches que des personnes révisent; elles ne prennent pas seules de décisions concernant des personnes.

Technologies d'identification, de localisation ou de profilage (art. 8.1 de la loi québécoise). Les fonctions qui permettent d'identifier, de localiser ou d'effectuer un profilage d'une personne — identifiants de visiteur et mesure publicitaire sur les sites hébergés par Nysroc — sont désactivées par défaut et ne sont activées que par le choix du visiteur dans le bandeau de consentement (section 10).

10. Mesure d'audience des sites, témoins et mesure publicitaire

Tous les détails, y compris chaque témoin et élément de stockage par nom, fin et durée, se trouvent dans notre Avis sur les témoins et le suivi. En bref :

• nysroc.com et nos pages d'inscription et de compte n'utilisent que des témoins strictement nécessaires (session de connexion, sécurité, préférence de langue). Nous n'y utilisons aucun traceur publicitaire, et notre police de caractères est servie par nos propres serveurs (aucun service de polices tiers).
• Les sites Web créés sur Nysroc servent leur police de caractères depuis l'adresse du site lui-même (aucun service de polices tiers) et chargent notre script interne et un bandeau de consentement, qui renvoie à l'avis de confidentialité de l'entreprise, offrant des boutons d'égale importance « Tout accepter », « Refuser » et « Choisir ». Les deux catégories facultatives (« Mesure d'audience » et « Publicité (attribution) ») sont désactivées jusqu'à ce que le visiteur les accepte. Le choix peut être modifié en tout temps au moyen du lien « Témoins » au bas du site; le retrait du consentement supprime du navigateur le témoin de visiteur et la source de première visite enregistrée.
• Global Privacy Control et Do Not Track sont respectés. Lorsqu'un navigateur envoie l'un ou l'autre de ces signaux, le bandeau ne s'affiche pas, les deux catégories demeurent désactivées et aucun identifiant ni aucune donnée de clic publicitaire n'est conservé. (Certaines grandes plateformes indiquent ne pas donner suite au signal Do Not Track; nous y donnons suite.)
• Nysroc ne place aucun script, pixel ou balise de tiers sur un site hébergé par Nysroc. Un client peut néanmoins ajouter son propre code à son site; il en est alors responsable.

11. Avec qui nous communiquons des renseignements

Nous ne communiquons des renseignements personnels que dans les cas décrits ici, et seulement dans la mesure nécessaire.

1. Sous-traitants et fournisseurs de services qui hébergent, livrent ou soutiennent le Service pour nous — par exemple notre hébergeur infonuagique au Canada, notre fournisseur de traitement des paiements, notre fournisseur d'envoi de courriels, notre fournisseur de télécommunications et notre fournisseur d'IA gérée. Ils sont liés par des contrats écrits qui les obligent à n'utiliser les renseignements que selon nos instructions, à les protéger à un niveau comparable au nôtre, et à les supprimer ou à les retourner. La liste à jour, avec le rôle et le lieu de chacun, se trouve à nysroc.com/legal/sous-traitants. Nous donnons aux clients un préavis d'au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant qui traite des Données du client, afin qu'ils puissent s'y opposer conformément à l'ATD.
2. Services que vous ou votre organisation connectez. Lorsque vous connectez la connexion Google, un système de point de vente, votre propre compte Stripe, un compte publicitaire, HeyGen, une automatisation ou tout autre service tiers, nous transmettons à ce service les renseignements nécessaires à la connexion demandée. Ce service les traite selon ses propres conditions et sa propre politique de confidentialité.
3. Votre organisation. Si vous utilisez un espace de travail contrôlé par votre employeur ou votre client, ses administrateurs peuvent voir et gérer votre activité et votre contenu dans cet espace.
4. Conseillers professionnels (avocats, vérificateurs, assureurs) soumis à des obligations de confidentialité.
5. Exigences légales et protection des droits. Nous ne communiquons des renseignements aux gouvernements, aux tribunaux ou aux forces de l'ordre que si la loi l'exige (par exemple un mandat, une ordonnance de communication ou une assignation valide) ou le permet en cas d'urgence menaçant la vie, la santé ou la sécurité d'une personne. Nos règles :
   • nous examinons chaque demande quant à sa validité juridique et à sa portée et contestons les demandes illégales ou trop larges;
   • nous communiquons le minimum requis;
   • nous avisons le client concerné avant la communication, sauf si la loi l'interdit ou en cas d'urgence, et nous invitons l'autorité à obtenir les données directement du client;
   • nous entendons publier chaque année le nombre de demandes reçues [PROPOSÉ].
6. Transactions commerciales. Si Nysroc participe à une fusion, une acquisition, un financement, une réorganisation ou une vente d'actifs, des renseignements peuvent être communiqués aux parties sous stricte confidentialité, et uniquement dans la mesure permise par le droit canadien. Nous aviserons les clients concernés avant que leurs renseignements ne deviennent assujettis à une autre politique de confidentialité.
7. Avec votre consentement ou selon vos directives, dans tout autre cas.

Nous ne vendons ni ne louons jamais de renseignements personnels, ne les communiquons jamais à des courtiers en données et ne les communiquons jamais à des tiers pour leur propre marketing.

12. Lieu de conservation et communications à l'extérieur du Canada

12.1 Le Canada d'abord

La plateforme Nysroc — espaces de travail, sites Web, bases de données, fichiers, enregistrements d'appels, sauvegardes et journaux d'audit — est hébergée au Canada par OVHcloud à Beauharnois (Québec), sur deux serveurs dédiés (principal et réplique), avec des sauvegardes chiffrées hors site à Toronto (Ontario).

Note pour le Québec : la copie des sauvegardes chiffrées de Beauharnois (Québec) vers Toronto (Ontario) constitue une communication à l'extérieur du Québec. Nous avons documenté une évaluation de cette communication en vertu de l'article 17 de la loi québécoise sur la protection des renseignements personnels dans le secteur privé [À COMPLÉTER avant le lancement]; les deux emplacements sont au Canada, chez le même fournisseur, sous le même contrat et les mêmes mesures de sécurité.

12.2 Quand des renseignements quittent le Canada, et pourquoi

12.3 Comment nous encadrons ces communications

• Transparence (LPRPDE, PIPA de l'Alberta, PIPA de la C.-B.). Les renseignements transmis à l'extérieur du Canada sont assujettis aux lois du pays concerné et peuvent être accessibles à ses tribunaux, à ses forces de l'ordre et à ses autorités de sécurité nationale. La PIPA de l'Alberta nous oblige à vous indiquer les pays où nos fournisseurs de services peuvent recueillir, utiliser, communiquer ou conserver des renseignements personnels pour nous (énumérés ci-dessus et sur la page des sous-traitants) et à répondre à vos questions à ce sujet : adressez-vous à notre responsable de la protection des renseignements personnels.
• Québec (Loi 25, art. 17). Avant de communiquer un renseignement personnel à l'extérieur du Québec, nous évaluons s'il bénéficiera d'une protection adéquate, en tenant compte de sa sensibilité, de la finalité, des mesures de protection (y compris contractuelles) et du régime juridique applicable dans l'État où il sera communiqué, et nous encadrons la communication par une entente écrite. Pour le traitement par DeepSeek en Chine, cette évaluation est requise et n'a pas encore été réalisée [AVOCAT — POINT EN SUSPENS : réaliser et documenter l'évaluation prévue à l'art. 17 avant la publication. Décision d'affaires du 1er novembre 2026 : Nysroc IA (gérée) demeure activée par défaut pour tous les espaces de travail, y compris au Québec, avec la divulgation des sections 8.1 et 8.4, la possibilité de la désactiver, l'option BYOK et le réglage « Canada seulement » de la section 8.5].
• UE / Royaume-Uni. Le Service n'est pas offert aux clients de l'UE, de l'EEE, de la Suisse ou du Royaume-Uni au lancement (section 1). Si cela change : le Canada bénéficie d'une décision d'adéquation de l'UE pour les organisations assujetties à la LPRPDE, et le Royaume-Uni reconnaît le Canada comme adéquat sur la même base. Pour les transferts ultérieurs du Canada vers des pays sans adéquation (y compris les États-Unis lorsqu'aucun cadre ne s'applique, et la Chine), nous utilisons les clauses contractuelles types de la Commission européenne (ainsi que l'addenda du Royaume-Uni ou l'International Data Transfer Agreement), avec des évaluations de l'incidence des transferts et des mesures supplémentaires. [AVOCAT — avant toute offre dans l'UE ou au Royaume-Uni : à la date de la présente ébauche, DeepSeek n'offre ni entente de traitement des données ni clauses contractuelles types.]

13. Durée de conservation

Nous ne conservons les renseignements personnels que le temps nécessaire aux fins de la présente politique ou exigé par la loi, puis nous les détruisons de façon sécuritaire ou les anonymisons selon les meilleures pratiques généralement reconnues. Durées proposées (source de référence technique : catalog/retention.yaml et catalog/plans.yaml; durées définitives à confirmer par un avocat) :

Les renseignements utilisés pour prendre une décision concernant une personne sont conservés assez longtemps pour lui permettre d'y avoir accès et d'exercer un recours — au moins un an selon les lignes directrices relatives à la LPRPDE.

14. Comment nous protégeons les renseignements

Nous appliquons des mesures de sécurité administratives, techniques et physiques adaptées à la sensibilité des renseignements, notamment :

• Chiffrement en transit (TLS 1.2 ou plus récent sur chaque point d'accès public, HTTPS seulement, certificats automatiques pour les domaines des clients) et chiffrement au repos des bases de données, fichiers, sauvegardes et enregistrements d'appels, les clés étant gérées séparément des données; chiffrement applicatif supplémentaire des secrets comme les jetons de connexion et les clés d'IA.
• Isolement des clients : chaque espace de travail fonctionne comme un site distinct, avec sa propre base de données et son propre domaine d'identité.
• Connexion robuste : Nysroc Login avec authentification multifacteur (codes d'application d'authentification), authentification unique entre les modules, expiration des sessions, protection contre la devinette de mots de passe, et vérification par preuve de travail hébergée chez nous contre les abus automatisés.
• Accès minimal : notre personnel n'accède aux systèmes de production qu'au besoin, avec authentification multifacteur, au moyen de canaux journalisés; l'accès à l'espace de travail d'un client pour le soutien exige la permission du client et est journalisé là où le client peut le voir.
• Piste d'audit : journal d'audit inviolable, chaîné par hachage et scellé dans un stockage non réinscriptible.
• Développement sécuritaire : revue de code, mises à jour des dépendances, tests automatisés, aucun secret dans le code ou les journaux, aucune donnée de carte, aucun mot de passe ni jeton dans les événements ou les journaux.
• Surveillance et résilience : surveillance de la sécurité et alertes, protection contre les attaques par déni de service fournie par notre hébergeur, sauvegardes avec essais de restauration, et plan d'intervention en cas d'incident.
• Personnel et fournisseurs : ententes de confidentialité et formation sur la protection des renseignements personnels pour le personnel; vérification diligente et contrats écrits avec les sous-traitants.
• Évaluations des facteurs relatifs à la vie privée pour tout système nouveau ou modifié qui comporte des renseignements personnels, comme l'exige la Loi 25 du Québec, et avant toute communication de renseignements personnels à l'extérieur du Québec.

Aucun système n'est parfaitement sûr. Vous pouvez contribuer en utilisant un mot de passe robuste et unique, en activant l'authentification multifacteur et en limitant le nombre d'administrateurs.

15. Incidents de confidentialité et atteintes

• Nous tenons un registre de tous les incidents de confidentialité et de toutes les atteintes aux mesures de sécurité, y compris ceux qui n'ont pas à être déclarés, pendant au moins 24 mois (LPRPDE) et selon ce qu'exige le règlement québécois [PROPOSÉ : 5 ans], et nous le transmettons aux organismes de réglementation sur demande.
• Si une atteinte présente un risque réel de préjudice grave (LPRPDE, PIPA de l'Alberta) ou un risque qu'un préjudice sérieux soit causé (Québec), nous avisons le Commissariat à la protection de la vie privée du Canada, la Commission d'accès à l'information du Québec, le Commissariat à l'information et à la protection de la vie privée de l'Alberta et les autres autorités compétentes, ainsi que les personnes concernées, dès que possible, et nous prenons des mesures pour diminuer le risque.
• Lorsque le RGPD s'applique, nous avisons l'autorité de contrôle compétente dans les 72 heures lorsque c'est exigé.
• Lorsqu'un incident touche des Données du client, nous avisons le client concerné sans retard indu (objectif : dans les 48 heures suivant sa confirmation) [À HARMONISER avec l'ATD] et lui fournissons les renseignements dont il a besoin pour remplir ses propres obligations.

16. Vos droits et comment les exercer

Selon votre lieu de résidence, vous disposez de certains ou de l'ensemble des droits suivants. Nous accordons les droits essentiels à tous, où qu'ils habitent.

Comment présenter une demande.

• Les titulaires de compte peuvent consulter, corriger, exporter et supprimer eux-mêmes une grande partie de leurs renseignements dans Compte (nysroc.com/account), y compris l'annulation en deux clics et l'exportation complète.
• Vous pouvez aussi écrire à privacy@nysroc.com ou à notre responsable de la protection des renseignements personnels à l'adresse indiquée à la section 24. Les demandes peuvent être faites en français ou en anglais.
• Données du client : si votre demande porte sur des renseignements qu'une entreprise conserve dans Nysroc, adressez-vous à cette entreprise. Si vous communiquez avec nous, nous lui transmettrons la demande sans délai (avec votre permission) et l'aiderons à y répondre.

Vérification. Nous vérifions votre identité avant d'agir, à l'aide de renseignements que nous détenons déjà (par exemple en confirmant le contrôle de l'adresse courriel du compte). Nous ne demandons que le strict nécessaire et supprimons les renseignements de vérification après usage. Vous pouvez faire appel à un mandataire autorisé (États américains) ou à un représentant légal; nous pourrions demander une preuve de son autorisation. En vertu de la loi québécoise, l'héritier, le liquidateur, le conjoint ou un proche parent d'une personne décédée peut obtenir certains renseignements comme le prévoit la loi.

Délais et frais. Nous répondons dans un délai de 30 jours (LPRPDE, Québec, Alberta; un mois selon le RGPD; 45 jours selon les lois des États américains) et vous informons si nous avons besoin d'une prolongation permise par la loi, et pourquoi. Les demandes sont gratuites; nous ne pouvons exiger des frais minimes que si la loi le permet pour des demandes excessives ou répétées, et nous vous en informons d'abord. Si nous refusons une demande en tout ou en partie, nous vous indiquons par écrit les motifs, la disposition de la loi sur laquelle nous nous appuyons et vos recours.

Appels (États américains). Si nous refusons votre demande, vous pouvez faire appel en répondant avec la mention « Privacy appeal » à privacy@nysroc.com dans un délai de 60 jours. Nous tranchons les appels dans le délai fixé par la loi de votre État et vous indiquons comment joindre le procureur général de votre État si vous êtes en désaccord.

17. Renseignements propres aux provinces, pays et États

17.1 Canada (fédéral — LPRPDE)

Nysroc est assujettie à la Loi sur la protection des renseignements personnels et les documents électroniques pour ses activités commerciales. L'annexe A montre comment nous appliquons ses dix principes relatifs à l'équité dans le traitement de l'information. Plaintes : Commissariat à la protection de la vie privée du Canada (section 24).

17.2 Québec (Loi 25 — Loi sur la protection des renseignements personnels dans le secteur privé)

• Personne responsable de la protection des renseignements personnels : notre responsable (section 24); son titre et ses coordonnées sont publiés sur la présente page.
• Gouvernance : nous avons adopté des politiques et des pratiques encadrant la gouvernance des renseignements personnels (rôles et responsabilités du personnel tout au long du cycle de vie des renseignements, conservation et destruction, traitement des plaintes); la présente politique les résume en termes simples, et une description plus complète est disponible auprès de notre responsable.
• Évaluations des facteurs relatifs à la vie privée pour tout projet de système d'information ou de prestation électronique de services comportant des renseignements personnels, et avant toute communication à l'extérieur du Québec (section 12.3).
• Registre des incidents de confidentialité et avis à la Commission d'accès à l'information et aux personnes concernées (section 15).
• Décisions automatisées (section 9), technologies de suivi ou de profilage désactivées par défaut (sections 9 et 10), droits de désindexation et de portabilité (section 16).
• Destruction ou anonymisation une fois la fin accomplie (section 13).
• Langue française : la présente politique, notre avis sur les témoins et notre résumé de confidentialité sont offerts en français, et la version française fait également foi [AVOCAT : confirmer l'interaction avec la Charte de la langue française pour les contrats d'adhésion].
• Plaintes : Commission d'accès à l'information du Québec (section 24).

17.3 Alberta et Colombie-Britannique (PIPA)

Lorsque la Personal Information Protection Act de l'Alberta ou la Personal Information Protection Act de la Colombie-Britannique s'applique (par exemple aux renseignements sur les employés de clients de ces provinces, ou lorsqu'elle s'applique au lieu de la LPRPDE), nous la respectons, y compris les exigences de l'Alberta de divulguer les pays où nos fournisseurs de services traitent des renseignements personnels (section 12) et d'aviser le commissaire de l'Alberta des atteintes présentant un risque réel de préjudice grave. Plaintes : Commissariat à l'information et à la protection de la vie privée de l'Alberta ou de la Colombie-Britannique (section 24).

17.4 Espace économique européen, Suisse et Royaume-Uni

• Responsable du traitement : Nysroc (section 1) pour les renseignements indiqués « responsable du traitement » à la section 3; fondements juridiques à la section 6.
• Non offert au lancement. Le Service est offert uniquement au Canada et aux États-Unis (section 1); aucun représentant dans l'UE (art. 27 du RGPD) ni au Royaume-Uni n'est donc désigné. Un représentant sera désigné avant que le Service soit offert dans l'UE ou au Royaume-Uni.
• Délégué à la protection des données : non requis pour l'instant; notre responsable traite toutes les demandes [AVOCAT à confirmer].
• Transferts : section 12.3.
• Plaintes : l'autorité de contrôle du lieu où vous résidez ou travaillez, ou du lieu de la violation alléguée.

17.5 États-Unis

Avis au moment de la collecte. L'annexe B énumère les catégories de renseignements personnels que nous avons recueillis au cours des 12 derniers mois, leurs sources, les fins, la durée de conservation de chacune et les catégories de destinataires. Nous ne vendons ni ne partageons de renseignements personnels (au sens de la California Consumer Privacy Act modifiée par la CPRA), et nous n'avons connaissance d'aucune vente ou d'aucun partage de renseignements de consommateurs de moins de 16 ans. Nous n'utilisons ni ne communiquons de renseignements personnels sensibles, sauf aux fins permises (fournir le Service, sécurité, prévention de la fraude, conformité légale); le droit de limitation n'a donc pas à être exercé. Nous n'offrons aucun incitatif financier lié aux renseignements personnels.

« Shine the Light » (Californie) : nous ne communiquons pas de renseignements personnels à des tiers pour leur propre prospection directe.

Autres États. Les résidents des États dotés de lois générales sur la protection de la vie privée — notamment le Colorado, le Connecticut, le Delaware, l'Indiana, l'Iowa, le Kentucky, le Maryland, le Minnesota, le Montana, le Nebraska, le New Hampshire, le New Jersey, l'Oregon, le Rhode Island, le Tennessee, le Texas, l'Utah et la Virginie — disposent des droits énoncés à la section 16 dans la mesure prévue par leur loi, y compris la confirmation, l'accès, la rectification, la suppression, la portabilité, le refus de la publicité ciblée, de la vente et du profilage important (que nous ne pratiquons pas), et l'appel. Global Privacy Control est respecté comme signal de refus.

Lorsque nous traitons des renseignements personnels en tant que fournisseur de services / sous-traitant pour un client, la politique de confidentialité du client s'applique et nous suivons ses instructions conformément à l'ATD.

18. Renseignements de santé et HIPAA

• Nysroc n'offre pas l'hébergement de renseignements de santé au lancement. Les clients ne doivent pas conserver de renseignements de santé dans Nysroc : aucun dossier de patient, note clinique, diagnostic, ordonnance, numéro d'assurance maladie ni renseignement de santé protégé (PHI).
• Nysroc n'est pas une « entité visée » (covered entity) au sens de la Health Insurance Portability and Accountability Act (HIPAA) des États-Unis, n'est pas un associé d'affaires (business associate) et ne signe pas d'entente d'associé d'affaires (BAA) au lancement. Nysroc IA (gérée) ne doit jamais recevoir de renseignements de santé.
• Sites Web de cliniques. Les formulaires des modèles de sites pour cliniques et pratiques de santé indiquent aux visiteurs de ne pas transmettre de renseignements de santé; ils servent uniquement aux demandes de contact et de rendez-vous. Les cliniques ne doivent pas utiliser les formulaires Nysroc pour recueillir des dossiers de santé de patients.
• Renseignements de santé au Canada. Les prestataires de soins de santé au Canada (par exemple les dépositaires de l'Ontario au sens de la LPRPS, ou ceux assujettis à la Health Information Act de l'Alberta ou à la loi québécoise sur les renseignements de santé) demeurent responsables des renseignements de leurs patients. Nysroc n'est pas offerte à titre de mandataire ou de fournisseur de services électroniques pour des renseignements personnels sur la santé au lancement : les prestataires peuvent utiliser Nysroc pour leurs activités d'affaires (site Web, demandes de rendez-vous, comptabilité, CRM pour les contacts non cliniques), mais doivent conserver les dossiers de santé de leurs patients dans un système conçu à cette fin.

19. Enfants

Le Service s'adresse aux entreprises. Vous devez avoir au moins 16 ans (et l'âge de la majorité de votre lieu de résidence pour conclure les Conditions d'utilisation) pour créer un compte ou être utilisateur. Nous ne recueillons pas sciemment de renseignements personnels d'enfants de moins de 16 ans à nos propres fins, et notre marketing ne vise pas les enfants. Si vous croyez qu'un enfant nous a fourni des renseignements personnels, écrivez à privacy@nysroc.com et nous les supprimerons. Les clients qui recueillent des renseignements sur des enfants au moyen de leurs propres sites ou espaces de travail (par exemple une école de danse) doivent obtenir le consentement du titulaire de l'autorité parentale ou du tuteur lorsque la loi l'exige (moins de 14 ans au Québec; moins de 13 ans aux fins de la COPPA américaine).

20. Messages de marketing et Loi canadienne anti-pourriel (LCAP)

• Nous envoyons des messages électroniques commerciaux sur Nysroc uniquement avec votre consentement exprès ou lorsque la LCAP permet un consentement tacite (par exemple une relation d'affaires en cours dans les délais prévus par la LCAP, ou une adresse courriel d'affaires que vous avez publiée sans indiquer que vous ne voulez pas recevoir de messages).
• Chaque message de marketing nous identifie, comprend notre adresse postale et nos coordonnées, et contient un lien de désabonnement fonctionnel. Nous traitons les demandes de désabonnement rapidement et au plus tard dans un délai de 10 jours ouvrables.
• Nous conservons les preuves de consentement (quoi, quand, comment).
• Les messages de service (reçus, rappels de fin d'essai, alertes de sécurité, avis de modification des Conditions d'utilisation ou de la présente politique) ne sont pas du marketing; vous les recevrez tant que vous aurez un compte.
• Campagnes propres aux clients : lorsqu'un client envoie des courriels ou des messages au moyen de Nysroc (par exemple Nysroc Campaigns ou Nysroc Inbox), le client est l'expéditeur et est responsable du respect de la LCAP; Nysroc fournit la gestion des désabonnements et des preuves de consentement pour l'aider.

21. Ce que nous attendons de nos clients

Lorsque vous, à titre de client, utilisez Nysroc pour recueillir ou utiliser les renseignements d'autres personnes, vous devez le faire légalement. Vous devez notamment :

• publier votre propre politique de confidentialité sur votre site Web et auprès de votre clientèle, et laisser activé le bandeau de consentement de votre site hébergé par Nysroc;
• obtenir tout consentement exigé par la loi — par exemple pour enregistrer des appels (en informer les appelants au début de l'appel), pour envoyer du marketing (LCAP), pour transmettre des conversions hachées à vos comptes publicitaires, et pour recueillir des renseignements sur des enfants ou sur la santé;
• décider si vous utilisez Nysroc IA et dans quel mode, et ne pas transmettre de renseignements de santé ou d'autres renseignements réglementés à Nysroc IA (gérée) (section 8.6);
• répondre aux demandes de vos propres clients relatives à leurs renseignements personnels (nous vous aiderons, comme le prévoit l'ATD);
• configurer la conservation des enregistrements d'appels et des autres dossiers de façon à respecter vos propres obligations.

L'Addenda sur le traitement des données des clients précise les obligations des deux parties.

22. Services et liens d'autres entreprises

Le Service se connecte à des services exploités par d'autres (par exemple Google, Meta, Microsoft, Square, Clover, Stripe, HeyGen et des applications d'automatisation), et les sites Web peuvent contenir des liens vers d'autres sites. Le traitement de vos renseignements par ces entreprises est régi par leurs propres politiques. La déconnexion d'une intégration dans Nysroc met fin à nos échanges de données avec elle; pour faire supprimer des données que l'autre entreprise détient déjà, communiquez directement avec elle.

23. Modifications de la présente politique

Nous révisons la présente politique au moins une fois par année et chaque fois que nos pratiques changent. Si nous apportons une modification importante — par exemple une nouvelle fin, une nouvelle catégorie de renseignements sensibles, un nouveau pays où des renseignements sont traités ou un nouveau sous-traitant qui traite des Données du client — nous aviserons les titulaires de compte par courriel et dans le Service au moins 30 jours avant son entrée en vigueur, et demanderons un nouveau consentement lorsque la loi l'exige. La date en haut de la page indique la dernière version; les versions antérieures sont disponibles sur demande [PROPOSÉ : archive des versions antérieures à /legal/privacy/history].

24. Nous joindre, notre responsable de la protection des renseignements personnels et comment porter plainte

Responsable de la protection des renseignements personnels
Zameer Mulla, chef de la direction
Nysroc — Scopien Technologies Inc.
416, North Service Road East, bureau 300, Oakville (Ontario) L6H 5R2, Canada
Courriel : privacy@nysroc.com [POINT EN SUSPENS : boîte de courriel à créer et à surveiller avant la publication]

Nous accusons réception des plaintes dans un délai de 5 jours ouvrables [PROPOSÉ], examinons chaque plainte et vous informons du résultat et des mesures prises. Si vous n'êtes pas satisfait, vous pouvez porter plainte auprès d'un organisme de réglementation en tout temps :

• Commissariat à la protection de la vie privée du Canada — priv.gc.ca · 1-800-282-1376 · 30, rue Victoria, Gatineau (Québec) K1A 1H3
• Commission d'accès à l'information du Québec — cai.gouv.qc.ca · 1-888-528-7741
• Commissariat à l'information et à la protection de la vie privée de l'Alberta — oipc.ab.ca · 1-888-878-4044
• Commissariat à l'information et à la protection de la vie privée de la Colombie-Britannique — oipc.bc.ca · 250-387-5629
• UE/EEE : votre autorité nationale de protection des données · Royaume-Uni : Information Commissioner's Office (ico.org.uk)
• États-Unis : le procureur général de votre État ou, en Californie, la California Privacy Protection Agency (cppa.ca.gov)

[AVOCAT : vérifier les coordonnées des organismes au moment de la publication.]

Annexe A — Application des dix principes relatifs à l'équité dans le traitement de l'information (annexe 1 de la LPRPDE)

Annexe B — États-Unis : catégories de renseignements personnels (12 derniers mois)

Nous ne vendons ni ne partageons aucune catégorie. Les Données du client que nous traitons à titre de fournisseur de services sont régies par l'avis du client.

Historique des versions : 0.9 (ébauche, 1er novembre 2026) — première ébauche complète soumise à l'avocat; remplace la page provisoire d'un paragraphe.