Entente de traitement des données

La présente Entente de traitement des données (ci-après « ETD » ou « DPA ») constitue un addendum aux Conditions d’utilisation de meo (les « Conditions ») conclues entre 9553-6785 Québec Inc., faisant affaire sous le nom Documents Meo, société constituée en vertu des lois du Québec, exploitant le logiciel de gestion documentaire meo (ci-après « meo » ou « nous ») et l’entité ayant accepté les Conditions (ci-après le « Client »).

La présente ETD s’applique lorsque meo traite des Renseignements personnels pour le compte du Client dans le cadre de la fourniture des Services. Elle établit les engagements des parties concernant ce traitement en vertu des Lois applicables, sans transférer à meo la responsabilité du Client à l’égard de ses propres obligations légales.

Dans le cadre de la présente ETD, les parties reconnaissent que :

4.1 Objet et finalité : meo traite les Données Client uniquement aux fins suivantes : stockage sécurisé de documents, gestion des demandes de documents et des portails clients, chiffrement, sauvegarde, journalisation des accès, et toute fonctionnalité inhérente aux Services tels que décrits dans les Conditions.

4.2 Catégories de personnes concernées : Les personnes dont les Renseignements personnels peuvent être traités comprennent :

• Les clients du Client
• Les employés du Client
• Les collaborateurs externes du Client
• Toute personne physique dont les renseignements apparaissent dans les documents téléversés dans meo

4.3 Types de renseignements personnels : Les types de renseignements pouvant être traités incluent, sans s’y limiter :

• Noms, adresses, numéros de téléphone, adresses courriel
• Numéros d’identification
• Renseignements financiers et fiscaux
• Tout autre renseignement personnel contenu dans les documents téléversés par le Client

4.4 Durée du traitement : Le traitement débute à la date d’activation du compte du Client et se termine conformément à la section 12 de la présente ETD.

En vertu de la présente ETD et des Lois applicables, meo prend les engagements suivants :

5.1 Limitation de la finalité : meo traite les Données Client exclusivement dans le cadre de l’exécution du présent contrat de service et pour la fourniture des Services.

5.2 Mesures de protection de la confidentialité : meo met en œuvre et maintient les mesures techniques et organisationnelles suivantes :

5.2.5 Sécurité organisationnelle : Tout le personnel de meo est lié par des obligations contractuelles de confidentialité. meo détient une attestation SOC 2 de type 2. Un pare-feu applicatif (WAF) Cloudflare est en place pour la protection contre les menaces.

5.3 Confidentialité du personnel : meo s’assure que toute personne autorisée à traiter les Données Client est soumise à une obligation contractuelle de confidentialité et a reçu une formation adéquate en matière de protection des renseignements personnels.

meo avisera le Responsable du Client sans retard injustifié après avoir pris connaissance d’un Incident de protection des renseignements personnels ou d’une violation ou tentative de violation de ses obligations de confidentialité concernant les Données Client, et dans tout délai plus court exigé par les Lois applicables.

6.1 Contenu de la notification : La notification comprendra, dans la mesure où l’information est disponible :

• La nature de l’Incident de protection des renseignements personnels
• Les catégories et le nombre approximatif de personnes concernées
• Une description des Renseignements personnels visés
• Une évaluation du risque de préjudice pour les personnes concernées
• Les mesures prises ou envisagées pour atténuer les conséquences

6.2 Coopération : meo fournira une coopération raisonnable au Client pour l’aider à remplir ses propres obligations de notification envers l’Autorité de protection compétente et les personnes concernées.

6.3 Registre des incidents : meo tient les registres d’incidents exigés par les Lois applicables pendant la période requise.

meo permet au Responsable du Client d’effectuer une vérification relative au respect des obligations de confidentialité prévues à la présente ETD, selon les modalités ci-dessous.

7.1 Modalités

• Le Client peut demander, une (1) fois par période de douze (12) mois, une vérification de la conformité de meo aux obligations de la présente ETD.
• La demande doit être formulée par écrit avec un préavis raisonnable d’au moins trente (30) jours.
• La vérification peut prendre la forme d’un questionnaire écrit, d’une revue documentaire, ou d’un audit mené par un tiers indépendant choisi d’un commun accord.
• meo met à la disposition du Client son rapport SOC 2 de type 2, sur demande, par son centre de confiance (trust.documeo.ca), ainsi que ses rapports de tests d’intrusion et toute autre documentation pertinente.

7.2 Confidentialité des résultats : Les résultats de toute vérification sont traités comme des renseignements confidentiels de meo et ne peuvent être divulgués à des tiers sans le consentement écrit de meo, sauf si la loi l’exige.

8.1 Autorisation générale : Le Client autorise meo à faire appel aux Sous-traitants ultérieurs énumérés ci-dessous pour la fourniture des Services.

8.2 Obligations de meo envers ses sous-traitants : Avant de confier le traitement de Données Client à un Sous-traitant ultérieur, meo s’assure que :

• Un contrat écrit impose des obligations de protection adaptées au traitement confié
• Des mesures contractuelles et autres visent à assurer un niveau comparable de protection pendant le traitement, conformément aux Lois applicables
• meo demeure pleinement responsable envers le Client des actes et omissions de ses Sous-traitants ultérieurs

8.3 Avis de changement : meo informera le Client par courriel au moins trente (30) jours avant d’autoriser un nouveau Sous-traitant ultérieur à traiter des Données Client. Le Client peut s’opposer par écrit dans ce délai. En cas d’opposition raisonnable non résolue, le Client peut résilier les Services affectés.

8.4 Liste des sous-traitants actuels

La liste ci-dessus constitue la liste à jour des Sous-traitants ultérieurs autorisés à traiter les Données Client en vertu de la présente ETD.

Certains Sous-traitants ultérieurs, notamment Stripe, Postmark, Twilio, Sentry, Intercom, Cloudflare, Google et PCI Booking, peuvent traiter des Renseignements personnels limités à l’extérieur du Québec. Pour ces transferts :

• Des ententes de traitement de données sont en place avec chaque Sous-traitant ultérieur
• Des mesures contractuelles et de sécurité adaptées au traitement et aux Lois applicables encadrent chaque transfert
• meo fournit au Client les informations raisonnablement nécessaires pour réaliser toute évaluation de la vie privée exigée par les Lois applicables

meo met à disposition, sur demande, la documentation raisonnablement disponible sur ses mesures de sécurité et celles de ses Sous-traitants ultérieurs afin de faciliter les évaluations de la vie privée du Client.

meo fournit des outils et une assistance raisonnable au Client pour l’aider à répondre aux demandes des personnes concernées prévues par les Lois applicables :

Le Client demeure responsable de la réponse aux demandes des personnes concernées dans les délais prescrits par les Lois applicables.

meo coopère avec le Client pour la réalisation des évaluations de la vie privée requises par les Lois applicables en fournissant :

• La documentation technique de sécurité relative aux Services
• Les informations sur l’emplacement du traitement et les Sous-traitants ultérieurs
• Les rapports d’assurance et d’évaluation de sécurité disponibles (SOC 2, tests d’intrusion)
• Toute autre information raisonnablement nécessaire

Sous réserve des délais de récupération et de suppression ci-dessous et des exigences des Lois applicables, meo ne conservera pas les Données Client après l’expiration ou la résiliation des Conditions.

Le Client s’engage à :

• Désigner un Responsable lorsque les Lois applicables l’exigent et en communiquer les coordonnées à meo
• S’assurer que les Renseignements personnels transmis à meo ont été recueillis conformément aux Lois applicables, y compris par l’obtention des consentements nécessaires lorsqu’ils sont requis
• Réaliser les évaluations de la vie privée requises par les Lois applicables
• Répondre aux demandes des personnes concernées dans les délais prescrits par les Lois applicables

La responsabilité de chaque partie en vertu de la présente ETD est soumise aux limitations et exclusions de responsabilité prévues aux Conditions, sauf disposition contraire des Lois applicables.

meo demeure responsable des actes et omissions de ses Sous-traitants ultérieurs dans le cadre du traitement des Données Client.

La version 1.4 de la présente ETD entre en vigueur le 27 octobre 2026. Pour un Client qui accepte les Conditions après cette date, elle entre en vigueur à la date de cette acceptation. Elle demeure en vigueur tant que meo traite des Données Client pour le compte du Client.

Les dispositions relatives à la confidentialité, à la destruction des données et à la responsabilité survivent à la résiliation.

meo peut modifier la présente ETD pour refléter des changements législatifs, réglementaires ou opérationnels. En cas de modification substantielle, meo en informera le Client par courriel au moins trente (30) jours avant l’entrée en vigueur.

Si le Client n’accepte pas la modification, il peut résilier les Services avant la date d’entrée en vigueur de la modification.

La présente ETD est régie par les lois du Québec et les lois du Canada qui y sont applicables. Tout litige sera soumis à la compétence exclusive des tribunaux du district judiciaire de Québec.

Pour toute question relative à la présente ETD ou à la protection des Données Client :