Accord de traitement des données (DPA)

1. Objet et portée

Le présent accord de traitement des données (« DPA ») définit les obligations respectives de BorealHost.ai et de ses clients (« Responsable du traitement ») en matière de traitement des données personnelles dans le cadre de la fourniture de services d'hébergement web et de modules d'intelligence artificielle.

Ce DPA complète les Conditions d'utilisation et la Politique de confidentialité de BorealHost.ai et s'applique dans la mesure où BorealHost.ai traite des données personnelles pour le compte du client.

2. Définitions des rôles

2.1 Responsable du traitement (Contrôleur)

Le client est le responsable du traitement des données personnelles de ses utilisateurs finaux. Le client détermine les finalités et les moyens du traitement des données hébergées sur nos serveurs.

2.2 Sous-traitant (Processeur)

BorealHost.ai agit en tant que sous-traitant et traite les données personnelles uniquement selon les instructions du client et dans le cadre de la fourniture des services d'hébergement.

2.3 Sous-sous-traitants

BorealHost.ai fait appel à des sous-sous-traitants pour certains aspects de la prestation de services. La liste complète est présentée à la section 4.

BorealHost.ai avise le client de tout ajout ou remplacement de sous-traitant au moins trente (30) jours avant sa prise d'effet, par courriel ou par notification dans le panneau de contrôle. Le client qui s'oppose à un changement pour un motif raisonnable lié à la protection des données peut résilier le service touché avant la date de prise d'effet et obtenir le remboursement au prorata de la portion prépayée non utilisée. Ce délai peut être abrégé lorsqu'un changement est requis d'urgence pour des motifs de sécurité ou de continuité de service, auquel cas le client en est informé sans délai.

BorealHost.ai impose à ses sous-traitants des obligations de protection des données au moins équivalentes à celles du présent accord et demeure responsable envers le client de leur exécution.

3. Obligations de BorealHost.ai

• Traiter les données personnelles uniquement selon les instructions documentées du client
• Assurer la confidentialité des données personnelles traitées
• Mettre en oeuvre les mesures de sécurité techniques et organisationnelles appropriées
• Aider le client à répondre aux demandes d'exercice des droits des personnes concernées
• Notifier le client dans un délai de 72 heures en cas de violation de données
• Supprimer ou retourner les données personnelles à la fin du contrat, à la demande du client
• Permettre les audits raisonnables pour vérifier la conformité au présent DPA

4. Liste des sous-traitants

BorealHost.ai utilise les sous-traitants suivants dans le cadre de la prestation de ses services :

Sous-traitant	Fonction	Données traitées	Localisation
Leaseweb Canada Inc.	Infrastructure d'hébergement (centres de données, serveurs, réseau)	Ensemble des données d'hébergement au repos et en transit	Canada (Montréal)
Backblaze, Inc.	Stockage des sauvegardes et instantanés chiffrés	Sauvegardes chiffrées des environnements clients	Canada (région ca-east)
Cloudflare, Inc.	Réseau de diffusion, DNS et pare-feu applicatif	Métadonnées de requête, adresses IP des visiteurs, trafic en transit	Réseau mondial (terminaison au Canada en priorité)
Stripe, Inc.	Traitement des paiements	Nom, courriel, adresse de facturation	États-Unis
Google LLC (Analytics)	Analyse de trafic web	Adresse IP (anonymisée), pages visitées	États-Unis
Meta Platforms, Inc.	Marketing et suivi de conversions	Événements de conversion (anonymisés)	États-Unis
OpenAI, Inc.	Traitement IA (SEO, contenu)	Contenu soumis aux modules IA	États-Unis
Anthropic, Inc.	Traitement IA (agents, code)	Contenu soumis aux modules IA	États-Unis
Google LLC (AI)	Traitement IA (Gemini)	Contenu soumis aux modules IA	États-Unis
DeepSeek	Traitement IA	Contenu soumis aux modules IA	Chine
Moonshot AI (Kimi)	Traitement IA	Contenu soumis aux modules IA	Chine
xAI (Grok)	Traitement IA	Contenu soumis aux modules IA	États-Unis

5. Transferts internationaux de données

5.1 Données d'hébergement

Les données d'hébergement du client (fichiers, bases de données, instantanés) sont stockées et traitées au Canada, dans des centres de données situés à Montréal (Québec).

Les sauvegardes hors site sont chiffrées avant leur transmission et entreposées dans la région canadienne de notre fournisseur de stockage objet. Les clés de chiffrement demeurent sous le contrôle exclusif de BorealHost.ai et ne sont pas communiquées au fournisseur de stockage.

Le trafic web transite par un réseau de diffusion mondial dont les points de présence peuvent se situer hors du Canada ; les requêtes provenant du Canada sont acheminées en priorité vers des points de présence canadiens. Seules les métadonnées de requête et le contenu en transit sont concernés : aucune donnée d'hébergement n'y est conservée de façon persistante, à l'exception des éléments mis en cache par le client.

Les données de compte et de facturation de BorealHost.ai auprès de ses propres fournisseurs sont des renseignements d'entreprise appartenant à BorealHost.ai et ne comportent aucun renseignement personnel concernant les clients de BorealHost.ai ni leurs utilisateurs finaux.

5.2 Données IA

Lorsque vous utilisez les modules d'intelligence artificielle, les données soumises (prompts, messages) sont transmises aux fournisseurs d'IA indiqués dans la section 4. Ces transferts sont effectués avec les mesures de protection suivantes :

• Chiffrement en transit (TLS 1.3)
• Minimisation des données : seul le contenu nécessaire au traitement est transmis
• Clauses contractuelles avec les fournisseurs américains
• Consentement explicite requis pour les fournisseurs situés en Chine
• Aucune donnée personnelle n'est transmise aux fournisseurs IA sans action explicite de l'utilisateur

6. Notification de violation

En cas de violation de données personnelles, BorealHost.ai s'engage à :

1. Notifier le client dans un délai maximal de 72 heures après la découverte de la violation
2. Fournir les détails disponibles sur la nature de la violation, les catégories de données affectées et les mesures correctives
3. Coopérer avec le client pour la notification à la Commission d'accès à l'information (CAI) du Québec et aux personnes concernées, conformément à la Loi 25
4. Prendre les mesures nécessaires pour contenir la violation et prévenir sa récurrence

7. Suppression des données

À la fin de la relation contractuelle ou sur demande du client :

• Délai de grâce : 7 jours après la fin de l'abonnement pour permettre la réactivation
• Sauvegardes finales : conservées 30 jours après la désactivation
• Suppression permanente : toutes les données (fichiers, bases de données, sauvegardes, configurations) sont supprimées de manière irréversible après la période de rétention
• Données de facturation : conservées 7 ans conformément aux obligations légales et fiscales

8. Mesures de sécurité

BorealHost.ai met en oeuvre les mesures de sécurité suivantes :

• Isolation par conteneur LXC : chaque site hébergé est isolé dans un conteneur dédié
• Chiffrement en transit : TLS 1.3 sur toutes les connexions
• Contrôle d'accès : authentification à deux facteurs (2FA), clés SSH
• Protection contre les intrusions : fail2ban, pare-feu iptables
• Sauvegardes chiffrées : sauvegardes quotidiennes automatiques
• Gestion des vulnérabilités : mises à jour de sécurité régulières
• Accès restreint : principe du moindre privilège pour tout le personnel

9. Audits

Le client peut demander des informations raisonnables pour vérifier la conformité de BorealHost.ai au présent DPA. Les demandes d'audit doivent être soumises par écrit à [email protected] avec un préavis de 30 jours.

10. Contact

Pour toute question relative au présent accord de traitement des données :

• Responsable de la protection des données : [email protected]
• Adresse : BorealHost.ai, 165-1494, chemin de Chambly, Longueuil (Québec) J4J 3X3, Canada