Chaque fournisseur nommé. Chaque engagement par écrit.

Un client vous demande où vont les renseignements qu'il a laissés dans votre clavardage. Ou c'est votre assureur. Ou une plus grosse entreprise qui veut faire affaire avec vous vous envoie un questionnaire de sécurité de quatre pages.

Sous la Loi 25, c'est votre entreprise qui doit pouvoir répondre, même quand c'est un fournisseur comme nous qui fait fonctionner l'outil (art. 3.1 et 18.3). Cette page vous donne les réponses.

Notre rôle auprès de vous

Quand nous installons un assistant de clavardage, un texto automatique après un appel manqué, des demandes d'avis ou des rappels de rendez-vous, les renseignements de vos clients restent à vous. Nous les traitons pour votre compte, seulement pour faire fonctionner le service que vous nous avez confié.

La loi vous permet de confier les renseignements de vos clients à un fournisseur sans demander leur consentement un par un, à deux conditions : le mandat est confié par écrit, et il précise les mesures de protection (art. 18.3). C'est l'entente décrite plus bas.

Où vont les données

Une partie des données est donc traitée aux États-Unis, et nous préférons vous le dire ici que de vous laisser le découvrir dans un contrat. Avant d'envoyer des renseignements hors du Québec, la loi exige une évaluation des facteurs relatifs à la vie privée (art. 17). Nous avons fait la nôtre. Nous vous remettons aussi ce qu'il faut pour faire la vôtre : la liste des fournisseurs, ce que chacun reçoit et les protections prévues à leur contrat.

Comment c'est protégé

• Les données voyagent chiffrées (TLS 1.2 ou plus récent) entre vos clients, votre site et nos fournisseurs.
• Le disque qui contient le portail client est chiffré.
• Les mots de passe du portail sont conservés seulement sous une forme irréversible. Les liens d'invitation servent une seule fois et expirent après 7 jours, et le nombre de tentatives de connexion est limité.
• Les journaux de clavardage que nous gardons pour améliorer l'assistant remplacent les adresses courriel et les numéros de téléphone par un marqueur.
• Nous gardons seulement ce dont le service a besoin, et nous détruisons selon un calendrier publié dans notre politique de confidentialité. Par exemple, une demande qui n'a pas mené à un contrat est détruite 24 mois après le dernier contact.
• La plupart de nos fournisseurs sont audités chaque année par des firmes indépendantes. La liste plus bas indique lesquels, et le lien vers leur preuve est dans notre liste détaillée.

Ce que nous signons avec vous

Avant de traiter les renseignements de vos clients, nous signons avec vous une entente de traitement des renseignements personnels. Elle reprend ce que l'article 18.3 de la Loi 25 exige d'un fournisseur :

• nous utilisons les renseignements seulement pour le service convenu;
• les mesures de protection sont décrites dans l'entente;
• nous avisons votre responsable sans délai de tout incident ou de toute tentative;
• vous pouvez vérifier ce que nous faisons;
• à la fin du contrat, nous détruisons les données ou nous vous les remettons, et nous vous le confirmons par écrit.

Demandez-la avant de signer quoi que ce soit avec nous.

Si quelque chose tourne mal

Nous tenons un registre des incidents de confidentialité, comme la loi l'exige (art. 3.8). Si un incident touche les renseignements de vos clients, nous vous avisons sans délai et nous limitons les dégâts. Ensuite, nous vous aidons à évaluer s'il présente un risque de préjudice sérieux.

Si c'est le cas, la Commission d'accès à l'information et les personnes touchées doivent être avisées (art. 3.5). Nous préparons cet avis avec vous.

Ce que nous n'avons pas

Zasenami n'a pas de rapport SOC 2 ni de certification ISO 27001. Ces audits sont conçus pour les services d'approvisionnement des grandes entreprises. Plusieurs de nos fournisseurs les ont; nous, non. Si votre client exige un rapport SOC 2 de chacun de ses fournisseurs, dites-le-nous dès le premier appel. Nous vous dirons franchement si nous sommes le bon choix.

L'assistant de clavardage de zasenami.com utilise présentement le palier gratuit de son fournisseur d'intelligence artificielle. À ce palier, le fournisseur peut utiliser les messages pour améliorer ses produits, et des réviseurs humains peuvent les lire. N'y écrivez pas de renseignements sensibles.

Les assistants que nous installons pour nos clients utilisent un palier d'API payant chez un fournisseur d'intelligence artificielle audité de façon indépendante. À ce palier, le fournisseur traite les messages pour notre compte et ne s'en sert pas pour entraîner ses modèles.

Qui d'autre a accès aux données

La loi nous demande de nommer les entreprises à qui nous confions des renseignements. Les voici.

Nos réponses complètes au questionnaire de sécurité et la liste détaillée (preuves d'audit, ententes de chaque fournisseur) sont envoyées sur demande.