Entente de traitement des données.

Dans la présente ETD : « blankit » désigne Blankit Health Inc.; « Client » (également « vous », « votre », « le cabinet ») désigne le cabinet, le conseiller ou l’organisation qui s’abonne au Service; « Renseignements personnels du Client » désigne les renseignements personnels compris dans les Données du Client que blankit traite pour le compte du Client, y compris les renseignements concernant les clients promoteurs de régime du Client et leurs adhérents. Les termes « renseignements personnels », « traitement », « incident de confidentialité » et « personne responsable de la protection des renseignements personnels » ont le sens que leur donnent la LPRPDE et la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (la « Loi 25 »).

À l’égard des Renseignements personnels du Client, le Client est le responsable du traitement (la partie qui détermine les fins et les moyens du traitement) et blankit est le mandataire (la partie qui traite les renseignements pour le compte du responsable du traitement et selon ses instructions documentées). En ce qui concerne les renseignements sur les conseillers et le personnel des cabinets qui utilisent directement le produit, blankit est le responsable du traitement; ce traitement est régi par notre Politique de confidentialité, et non par la présente ETD.

blankit ne traitera les Renseignements personnels du Client que : a) pour fournir, sécuriser et maintenir le Service tel qu’il est décrit dans les Conditions; b) selon les instructions documentées du Client, qui comprennent les Conditions, la présente ETD, les choix de configuration que le Client fait dans le produit et les processus que le Client lance (analyse de renouvellement, comparaison de brochures, sommaires pour les employés, agent conversationnel destiné aux adhérents et processus semblables); et c) dans la mesure exigée par le droit canadien, auquel cas blankit informera le Client de cette exigence avant le traitement, à moins que la loi ne l’interdise.

La nature et les fins du traitement, les catégories de personnes concernées, les catégories de renseignements personnels et la durée sont décrites à l’annexe 1 ci-dessous. Si blankit estime qu’une instruction contrevient à la LPRPDE, à la Loi 25 ou à une autre loi applicable, elle en informera le Client sans retard injustifié.

blankit ne vend pas les Renseignements personnels du Client, ne les utilise pas à des fins publicitaires et ne les utilise pas pour entraîner quelque modèle d’intelligence artificielle ou d’apprentissage automatique que ce soit. Les Renseignements personnels du Client transmis aux sous-traitants d’IA ne servent qu’à retourner un résultat pour la propre demande du Client; la façon dont le sous-traitant d’IA les traite est énoncée à l’article 5 (voir l’annexe 1 et /sub-processors).

Statistiques anonymisées. Le Client donne instruction à blankit de produire, à partir des Données du Client, les statistiques de référence agrégées et anonymisées décrites à l’article 5 des Conditions (les « Données de référence »). Les Données de référence sont anonymisées au sens de la Loi 25 : elles sont produites au Canada, uniquement au-delà des seuils d’agrégation énoncés dans les Conditions, à partir de chiffres qui sont eux-mêmes des totaux à l’échelle du régime plutôt que des dossiers concernant des personnes, et d’une manière qui ne permet plus, en tout temps et de façon irréversible, d’identifier directement ou indirectement une personne — ni un promoteur de régime, un Client ou la police d’un assureur. blankit tient et fournira sur demande une description de la méthode d’anonymisation et des seuils appliqués, et ne tentera pas de réidentification. Rien dans le présent paragraphe ne permet d’utiliser les Renseignements personnels du Client eux-mêmes à des fins autres que celles prévues au présent article, et un Client qui exerce un retrait en vertu de l’article 5 des Conditions est exclu des Données de référence produites après la prise d’effet du retrait.

blankit veille à ce que chaque personne qu’elle autorise à traiter les Renseignements personnels du Client soit liée par une obligation de confidentialité (que ce soit par contrat de travail ou autrement) et ne traite ces renseignements que dans la mesure nécessaire à l’exercice de ses fonctions. L’accès est accordé selon le principe du moindre privilège et est retiré lorsqu’il n’est plus requis.

blankit maintient des mesures de sécurité administratives, techniques et physiques adaptées à la sensibilité des Renseignements personnels du Client, notamment :

• Le chiffrement en transit (TLS 1.2 ou plus récent à l’équilibreur de charge) et au repos (base de données, stockage d’objets et gestionnaire de secrets).
• L’isolement des locataires appliqué au niveau des requêtes de la base de données, de sorte qu’un cabinet ne peut pas lire les données d’un autre cabinet, même en cas d’erreur de l’application.
• L’authentification à deux facteurs offerte pour chaque compte et obligatoire pour les rôles d’administration.
• Une journalisation d’audit centralisée et inviolable des actions privilégiées.
• Des sauvegardes chiffrées quotidiennes conservées dans la même région canadienne que les données principales.
• Une voie d’accès des opérateurs pour le soutien en lecture seule, avec masquage des noms, limitée dans le temps et consignée dans le journal d’audit — décrite à la page Confiance et sécurité.

blankit peut mettre à jour ses mesures de sécurité à mesure que le Service évolue, pourvu que la protection ne diminue pas de façon importante. Le détail opérationnel de ces contrôles est publié à /trust.

L’application, toutes les Données du Client au repos, la base de données, le stockage d’objets et toutes les sauvegardes sont hébergés dans AWS Canada (Montréal — ca-central-1). blankit ne déplacera pas les Données du Client au repos à l’extérieur du Canada sans d’abord mettre à jour /sub-processors et aviser les cabinets abonnés conformément à l’article 6.

Un ensemble limité de voies opérationnelles comporte un traitement à l’extérieur du Canada, chacune encadrée par des mesures de protection contractuelles et chacune divulguée à l’annexe 1 et sur /sub-processors. La plus importante est l’inférence d’IA : depuis le 2026-05-15, AWS n’accepte plus l’invocation à la demande des modèles Claude actuels à partir d’une seule région; l’inférence est donc invoquée au moyen d’un profil d’inférence interrégional d’AWS et peut s’exécuter dans une région à l’extérieur du Canada, y compris aux États-Unis, en vertu de l’AWS Customer Agreement et de l’AWS DPA. blankit exploite Bedrock avec la conservation des données réglée à « aucune » (conservation nulle des données); AWS déclare que, dans ce mode, aucune donnée de requête ou de réponse n’est écrite dans un stockage durable ni communiquée au fournisseur du modèle. blankit adoptera un profil d’inférence limité au Canada dès qu’AWS en publiera un.

Le Client autorise blankit à faire appel aux sous-traitants énumérés à /sub-processors pour traiter les Renseignements personnels du Client. blankit impose à chaque sous-traitant des obligations de protection des données qui ne sont pas moins protectrices que celles de la présente ETD, et demeure responsable envers le Client de l’exécution par chaque sous-traitant.

blankit avisera les cabinets abonnés au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant dans le circuit des données de production, par courriel à la personne-ressource pour la facturation et la sécurité du cabinet et en mettant à jour /sub-processors. Un cabinet qui s’y oppose de façon raisonnable pour des motifs de protection des données dans ce délai peut résilier sans pénalité la partie visée de l’abonnement, à titre de recours exclusif.

Compte tenu de la nature du traitement, blankit aidera le Client au moyen de mesures techniques et organisationnelles appropriées, dans la mesure du possible, à :

• Répondre aux demandes des personnes qui souhaitent exercer leurs droits d’accès, de rectification, de suppression, de portabilité et de retrait du consentement — y compris au moyen des outils d’exportation libre-service et du formulaire de demande d’accès que blankit fournit sur les surfaces à l’image des cabinets.
• Respecter les propres obligations du Client en matière d’avis et de tenue de registre des incidents de confidentialité prévues à l’article 8.
• Réaliser toute évaluation des facteurs relatifs à la vie privée que le Client est tenu d’effectuer relativement au Service, ainsi que toute consultation préalable d’un organisme de réglementation qui en découle.

Lorsqu’une personne adresse directement à blankit une demande d’exercice de droits visant des Renseignements personnels du Client, blankit n’y répondra pas sur le fond, mais dirigera la personne, sans retard injustifié, vers le Client (le responsable du traitement) et avisera le Client de la demande.

blankit tient un registre des incidents de confidentialité impliquant des renseignements personnels, comme l’exige la Loi 25. Dès qu’elle a connaissance d’un incident de confidentialité touchant des Renseignements personnels du Client — y compris une perte, un accès, une utilisation ou une communication non autorisés — blankit avisera la personne-ressource pour la facturation et la sécurité du cabinet touché sans délai et, en tout état de cause, dans les 72 heures suivant la confirmation.

L’avis décrira, dans la mesure où ces éléments sont alors connus, la nature de l’incident, les catégories et le volume approximatif des renseignements personnels et des personnes touchés, les conséquences probables, ainsi que les mesures prises ou proposées pour y remédier et en atténuer le préjudice. blankit collaborera raisonnablement à l’évaluation par le Client de la question de savoir si l’incident présente un risque de préjudice sérieux, ainsi qu’à tout avis que le Client doit donner aux personnes touchées, à la Commission d’accès à l’information du Québec, au Commissariat à la protection de la vie privée du Canada ou à d’autres organismes de réglementation. blankit n’avisera pas directement les promoteurs de régime ou les adhérents du Client, sauf à la demande écrite du Client ou lorsque la loi l’exige.

blankit mettra à la disposition du Client les renseignements raisonnablement nécessaires pour démontrer le respect de la présente ETD, y compris les divulgations publiées à /trust et à /sub-processors, le sommaire de son registre des activités de traitement et des réponses à un questionnaire de sécurité raisonnable au plus une fois par période de 12 mois (ou plus souvent à la suite d’un incident de confidentialité ou sur directive d’un organisme de réglementation).

Lorsqu’un examen documentaire ne suffit pas à satisfaire à l’obligation d’audit réglementaire d’un Client, les parties conviendront à l’avance de la portée, du calendrier et du coût de tout audit supplémentaire. Les audits doivent avoir lieu pendant les heures ouvrables, moyennant un préavis raisonnable, ne doivent pas compromettre la confidentialité ou la sécurité des autres clients, et sont effectués aux frais du Client qui en fait la demande.

Pendant l’abonnement, le Client peut exporter ses Données du Client en tout temps au moyen de l’exportation libre-service, et peut fermer son compte en tout temps à partir de Paramètres → Compte. À la fermeture du compte, blankit supprime immédiatement les Données du Client des systèmes de production, et toutes les copies, sauvegardes chiffrées comprises, sont supprimées dans les 30 jours suivant la fermeture : les sauvegardes ne peuvent pas être modifiées, elles ne sont donc conservées que pendant des périodes assez courtes pour expirer dans ce délai. Si l’abonnement prend fin sans que le compte soit fermé, le Client peut exporter les Données du Client pendant 30 jours; blankit donne ensuite un préavis écrit d’au moins 14 jours et ferme le compte aux mêmes conditions. La seule exception vise les renseignements dont la loi exige la conservation (par exemple, les dossiers de facturation conservés à des fins fiscales canadiennes), qui demeurent assujettis à la présente ETD tant qu’ils sont conservés. Les registres à l’échelle de la plateforme qui ne contiennent aucun Renseignement personnel du Client (chiffres agrégés d’utilisation et de coût, statistiques comparatives anonymisées) sont conservés, tout lien avec le Client étant supprimé.

Les durées de conservation précises de chaque catégorie de renseignements sont énoncées dans notre Politique de confidentialité.

La responsabilité de chaque partie en vertu de la présente ETD est assujettie aux limitations et exclusions de responsabilité prévues aux Conditions, lesquelles s’appliquent à l’ensemble des réclamations présentées en vertu des Conditions et de la présente ETD prises ensemble. La présente ETD prend effet lorsque le Client utilise le Service pour la première fois et demeure en vigueur tant que blankit traite des Renseignements personnels du Client.

La présente ETD est régie par les lois de la province d’Ontario et les lois fédérales du Canada qui s’y appliquent, conformément aux Conditions d’utilisation. Si une disposition est jugée inapplicable, les autres dispositions demeurent en vigueur. En cas de conflit entre la présente ETD et les Conditions concernant le traitement des renseignements personnels, la présente ETD l’emporte; à tous les autres égards, les Conditions l’emportent.