Conditions d’utilisation

1. Parties et entente

1. La présente entente (l’« Entente ») est conclue entre ThreeShield Information Security Corporation (« ThreeShield »), une société constituée en vertu des lois fédérales canadiennes, établie à Calgary, en Alberta, et vous (le « Client »).
2. En ajoutant une carte de paiement, en se connectant au service Lavawall®, en déployant un agent Lavawall® ou en utilisant autrement Lavawall®, le Client accepte d’être lié par la présente Entente.
3. Lorsque le Client est une organisation, la personne qui accepte la présente Entente garantit qu’elle a le pouvoir de lier cette organisation.

2. Description des services

1. Lavawall® est une plateforme de sécurité de type logiciel-service (SaaS). Elle est modulaire et comprend l’analyse externe du réseau, des domaines, du courriel et du Web, ainsi que des renseignements sur la sécurité et la fiabilité des ordinateurs Windows, Linux et Mac. Selon les modules que le Client active, Lavawall® peut aussi offrir des capacités de gouvernance, de gestion des risques et de conformité, l’automatisation de la conformité, la détection des intrusions, la surveillance, la sauvegarde, le soutien à distance, le bureau à distance, la gestion des correctifs, la surveillance de l’authentification, le signalement et l’analyse de l’hameçonnage, la formation et l’analytique.
2. Ensemble, ces outils fournissent un audit automatisé de la sécurité d’un système informatique afin de repérer les erreurs de configuration possibles et la vulnérabilité à des attaques comme les virus informatiques et la collecte d’information non désirée (l’« Évaluation des vulnérabilités »). Dans la présente Entente, « Évaluation des vulnérabilités » désigne collectivement les services et modules de Lavawall® mis à la disposition du Client.
3. Le « Système informatique » désigne les systèmes à évaluer, comprenant ceux dont les adresses de protocole Internet et les domaines sont précisés dans Lavawall® et les ordinateurs sur lesquels s’exécute le logiciel Lavawall® pour Windows, Linux ou Mac.
4. Dans le cadre de l’Évaluation des vulnérabilités, ThreeShield peut utiliser et consulter des scripts et des commandes exclusifs, et peut utiliser des analyseurs de vulnérabilités intégrés de tiers.
5. Les services professionnels sont distincts. Lavawall® est une plateforme. Les services professionnels, de conseil, gérés ou de correction qui s’y rattachent sont fournis par ThreeShield en vertu d’une entente écrite distincte et ne sont pas compris dans les présentes conditions. L’accès à Lavawall® ne donne pas droit au Client à du temps d’analyste, à une surveillance par le personnel de ThreeShield, à une intervention en cas d’incident ni à des travaux de correction, et aucun niveau de service ne s’applique, hormis l’engagement de disponibilité prévu à l’article 9.

3. Rapport avec d’autres ententes

1. Lorsque ThreeShield et le Client ont signé une entente de services distincte, une entente de services gérés ou un énoncé de travail qui vise Lavawall®, ce document prévaut sur les présentes conditions en cas de conflit, dans la mesure de ce conflit.
2. Lorsque le Client est un dépositaire, un fiduciaire ou l’équivalent en vertu de la législation sur la protection des renseignements sur la santé et a signé avec ThreeShield une entente de gestionnaire de renseignements, une entente de traitement des données ou un instrument semblable, cet instrument prévaut sur les présentes conditions en cas de conflit, dans la mesure de ce conflit.
3. Autrement, les présentes conditions s’appliquent.

4. Limites de la portée

1. La sécurité de l’information repose sur une combinaison de contrôles externes et internes. Une évaluation ne peut pas révéler entièrement les vulnérabilités qui pourraient être exploitées par un logiciel malveillant ou au moyen d’un accès obtenu dans un scénario d’attaque probable, notamment l’hameçonnage, les logiciels malveillants, le matériel endommagé, les faiblesses des mots de passe ou les applications tierces vulnérables.
2. ThreeShield ne garantit pas, et ne peut pas garantir, qu’elle découvrira toutes les vulnérabilités présentes au moment d’une évaluation, ni qu’aucune autre vulnérabilité n’apparaîtra par la suite. De nouvelles installations, des modifications de configuration et de nouveaux logiciels peuvent causer ou révéler d’autres vulnérabilités.

5. Rôle du Client

1. Le déploiement incombe au Client. Le Client est responsable d’installer et de maintenir le logiciel agent Lavawall® sur les appareils qu’il souhaite faire évaluer, au moyen de ses propres outils de distribution de logiciels ou de gestion à distance et pendant ses propres fenêtres de changement. ThreeShield fournit le programme d’installation, les trousses de déploiement, les directives de configuration et la documentation, vérifie la couverture et signale les appareils où il manque un agent.
2. Le Client fournira à ThreeShield l’accès nécessaire pour offrir le service. Bien que ThreeShield se soit efforcée d’assurer la compatibilité avec la plupart des logiciels de sécurité, le Client pourrait devoir modifier les paramètres du pare-feu, de l’antivirus et d’autres éléments du système pour permettre à Lavawall® d’accéder au Système informatique et de l’évaluer.
3. Le Client sauvegardera ses données et en conservera une copie.
4. Le Client ne signalera pas à une autorité ou à un fournisseur de services, comme une attaque, l’activité d’analyse provenant des adresses d’analyse divulguées de ThreeShield. Sur demande, ThreeShield fournira les adresses utilisées afin que le Client puisse repérer ce trafic. Cela ne limite aucune obligation qu’a le Client de signaler une atteinte à la vie privée réelle ou soupçonnée à un organisme de réglementation ou aux personnes touchées, et ne limite pas la discrétion du Client de faire tout signalement qu’il juge approprié.
5. Le Client tiendra raisonnablement compte de la possibilité que l’analyse et l’évaluation puissent temporairement nuire à la disponibilité du Système informatique.
6. Le Client n’utilisera pas Lavawall® pour analyser ou évaluer un système dont il n’est pas propriétaire ou qu’il n’est pas autorisé par écrit à évaluer, ne revendra pas Lavawall® ni n’en donnera l’accès à un tiers, sauf dans la mesure permise par l’article 22, et ne procédera pas à la rétro-ingénierie ni à la décompilation de Lavawall®, et ne tentera pas d’en obtenir le code source.
7. Listes de clients. En souscrivant un abonnement payant à Lavawall®, le Client autorise ThreeShield à le citer comme client et à utiliser son nom, son logo et ses marques de commerce à cette fin, dans les listes de clients, le site Web et le matériel de marketing de ThreeShield. Le Client peut retirer cette autorisation en tout temps par avis donné au moyen du formulaire de contact, et ThreeShield cessera toute nouvelle utilisation du nom, du logo et des marques de commerce du Client dans les trente (30) jours suivant la réception de l’avis. Le retrait n’a d’effet que pour l’avenir : ThreeShield n’est pas tenue de rappeler, de détruire, de réimprimer ni de modifier le matériel produit, imprimé, publié, distribué ou fourni à un tiers avant la prise d’effet du retrait, et n’est pas tenue de retirer le nom du Client du matériel archivé, historique ou mis en cache, ni du matériel qui échappe à son contrôle. Le Client garantit qu’il est propriétaire des noms, logos ou marques de commerce qu’il met à disposition, ou qu’il a la permission du propriétaire d’en accorder l’utilisation à ThreeShield.

6. Paiement

1. Le Client paiera à ThreeShield le montant indiqué dans la section Investissement actuel de la page de facturation de Lavawall®, en monnaie canadienne, majoré de la taxe sur les produits et services applicable. Ces montants sont exigibles et payables à l’avance. Les forfaits et tarifs en vigueur sont publiés sur la page des tarifs.
2. Sièges. Sauf pour le forfait gratuit, Lavawall® est facturé par siège. Un siège correspond au plus élevé entre le nombre d’appareils évalués du Client et le nombre de ses utilisateurs sous licence Microsoft 365 ou Google Workspace, et non à la somme des deux. Une personne qui utilise plus d’un appareil représente un siège, et un appareil partagé par plusieurs personnes représente un siège. Il n’y a pas de frais distincts par utilisateur.
3. Mesure du nombre. Les frais d’une période de facturation sont calculés selon le nombre le plus élevé de sièges, de domaines et d’intégrations utilisés à un moment quelconque de cette période. Le nombre est mesuré à nouveau à chaque période; une réduction prend donc effet automatiquement à la période suivante sans que le Client ait à la demander. ThreeShield ne reporte pas de pic d’une période à la suivante.
4. Forfaits mensuels. Lorsque le Client paie mensuellement, les frais de chaque mois correspondent au montant payable selon le nombre le plus élevé atteint pendant ce mois, aux tarifs alors publiés.
5. Forfaits annuels. Lorsque le Client paie annuellement, le montant payé établit le droit annuel du Client : le nombre de sièges, de domaines et d’intégrations couverts pendant toute la durée de la période annuelle sans frais additionnels. L’utilisation jusqu’à concurrence du droit annuel n’est jamais facturée de nouveau pendant la période, quelles que soient ses fluctuations. Lorsque l’utilisation d’une période mensuelle dépasse le droit annuel, ThreeShield facture seulement l’excédent, calculé selon le nombre le plus élevé atteint pendant cette période mensuelle, aux tarifs alors publiés, et cet excédent cesse automatiquement d’être facturé à la première période mensuelle suivante où l’utilisation revient au niveau du droit annuel ou en deçà. Le Client n’a pas à donner d’avis, et aucun ajustement n’est appliqué au droit annuel lui-même pendant la période.
6. Aucun crédit pour les réductions. Une utilisation inférieure au droit annuel ne donne lieu à aucun crédit, remboursement, rabais ni report de quelque nature que ce soit, que ce soit pendant la période ou au renouvellement. Le droit annuel est ce que le Client a acheté, et le rabais pour paiement annuel est accordé sur cette base.
7. Renouvellement. Un forfait annuel se renouvelle pour une nouvelle période annuelle selon le nombre de sièges, de domaines et d’intégrations utilisés au début de cette nouvelle période, aux tarifs alors publiés. ThreeShield avisera le Client de la quantité et du montant du renouvellement avant la date de renouvellement, et le Client peut modifier la quantité ou résilier avant la prise d’effet du renouvellement.
8. Si le Client ne sélectionne pas de forfait Lavawall® avant d’ajouter une carte de paiement, le forfait « Paiement à l’utilisation minimal » s’applique par défaut. Ce forfait n’a aucun coût minimal ni coût de base et ne facture que l’utilisation.
9. Tarif de service géré. Lorsque ThreeShield fournit un service géré qui comprend l’exploitation de la console Lavawall® au nom du Client, Lavawall® est concédé sous licence au tarif réduit prévu dans cette entente de services plutôt qu’au tarif libre-service publié. Si le service géré prend fin et que le Client souhaite conserver Lavawall® en libre-service, les tarifs publiés s’appliquent à compter de la date de fin du service géré, et ThreeShield donnera un préavis d’au moins trente (30) jours avant la prise d’effet du changement de tarif.
10. Rabais pour organismes sans but lucratif et de bienfaisance. Le Client qui est un organisme de bienfaisance enregistré ou un organisme sans but lucratif enregistré est admissible au rabais Engagement communautaire de ThreeShield sur les frais de Lavawall®, actuellement de cinquante pour cent (50 %). Le rabais est appliqué aux frais autrement payables, après tout rabais de volume automatique et après l’avantage des deux mois gratuits du paiement annuel, de sorte qu’il se cumule avec ceux-ci au lieu de les remplacer. ThreeShield vérifie l’enregistrement du Client lors de la mise en place du rabais, peut exiger de temps à autre une preuve à jour du statut d’enregistrement, et le rabais se poursuit tant que le Client conserve ce statut; si l’enregistrement expire ou est retiré, le rabais prend fin et les tarifs autrement applicables s’appliquent dès le début de la période de facturation suivante. Ce rabais s’applique aux frais de Lavawall® en libre-service; lorsqu’un tarif de service géré s’applique en vertu du présent article, le rabais pour organismes sans but lucratif et le tarif de service géré ne se cumulent pas, et c’est le prix effectif le plus bas qui s’applique. ThreeShield peut modifier le pourcentage du rabais moyennant un préavis d’au moins trente (30) jours donné par courriel, comme pour un changement de tarification, et le Client peut résilier en vertu de l’article 21 avant la prise d’effet du changement.
11. ThreeShield peut modifier ses tarifs trente (30) jours après avoir envoyé un avis par courriel au Client. Si le Client n’accepte pas un changement, il peut résilier en vertu de l’article 21 avant la prise d’effet du changement.
12. Le Client paiera un intérêt simple sur les montants en souffrance au taux de 1,16 % par mois, soit 13,92 % par année, à compter de la date à laquelle le montant devient en souffrance jusqu’au paiement, ou au taux maximal permis par la loi s’il est inférieur. Aux fins de la Loi sur l’intérêt, le taux annuel équivalent est de 13,92 %.

7. Déclarations et garanties du Client

Le Client déclare et garantit ce qui suit :

1. il a toute l’autorité nécessaire pour retenir les services de ThreeShield, conclure la présente Entente, installer les agents Lavawall®, analyser les domaines sélectionnés et réaliser l’Évaluation des vulnérabilités;
2. il est propriétaire du Système informatique ou a la permission écrite du propriétaire d’y accéder, de l’utiliser et de réaliser l’Évaluation des vulnérabilités;
3. il a obtenu le consentement de tous les tiers, selon ce qui est requis ou nécessaire, y compris celui de ses fournisseurs de services;
4. il a donné tout avis et obtenu tout consentement exigés par la législation applicable en matière de protection des renseignements personnels pour que ThreeShield recueille et traite les catégories de renseignements décrites à l’article 14;
5. il est propriétaire des noms, logos ou marques de commerce qu’il autorise ThreeShield à utiliser, ou il a la permission écrite du propriétaire.

8. Garanties de ThreeShield

1. ThreeShield réalisera l’Évaluation des vulnérabilités de bonne foi et uniquement dans le but d’évaluer la sécurité du Système informatique.
2. ThreeShield utilisera les adresses courriel, les numéros de téléphone et les autres coordonnées du Client uniquement à des fins d’authentification et de notification. ThreeShield ne vendra ni n’échangera les adresses courriel, les numéros de téléphone ou les adresses postales du Client.
3. ThreeShield n’accédera pas au contenu des documents, des fichiers ou des boîtes aux lettres du Client, ne le lira pas et ne l’indexera pas, sauf dans la mesure où un module que le Client a activé l’exige pour fonctionner, et alors uniquement aux fins de ce module.
4. ThreeShield a configuré chaque modèle d’intelligence artificielle qu’elle utilise, et a conclu un contrat avec chaque fournisseur, sur la base que les données du Client ne servent à entraîner aucun modèle. ThreeShield ne garantit pas le respect, par un fournisseur, de ses propres conditions contractuelles, et avisera promptement le Client si elle apprend qu’un fournisseur ne les a pas respectées.
5. Sauf indication expresse dans la présente Entente, Lavawall® est fourni « tel quel » et ThreeShield ne donne aucune autre garantie, expresse ou implicite, y compris toute garantie implicite de qualité marchande ou d’adéquation à un usage particulier.

9. Disponibilité

1. ThreeShield déploiera des efforts commercialement raisonnables pour rendre Lavawall® disponible, et donnera un préavis raisonnable de la maintenance planifiée lorsque cela est possible.
2. La disponibilité n’est pas garantie, et aucun crédit de service n’est accordé en cas d’indisponibilité. Lorsque Lavawall® est indisponible de façon importante pendant une période prolongée, le recours du Client consiste à résilier en vertu de l’article 19.

10. Où les données du Client sont stockées et traitées

1. Au Canada par défaut. Les données de Lavawall® (y compris les renseignements de sécurité et les données d’événements, les données de journaux, les données Microsoft 365 et Google Workspace, les messages d’hameçonnage signalés, les données d’actifs et de configuration, les tickets et les constats d’évaluation) sont stockées sur des serveurs contrôlés par ThreeShield ou dans des régions d’Amazon Web Services à Montréal (Québec) et à Calgary (Alberta). Pour les clients situés à l’extérieur du Canada, ou sur demande, elles peuvent être stockées dans d’autres zones géographiques.
2. Les résultats des analyseurs de vulnérabilités intégrés de tiers exécutés pour un client en vertu d’une entente de services gérés sont stockés sur des ordinateurs de ThreeShield à Calgary, en Alberta.
3. Communications et notifications. Certains éléments de notification et de communication fonctionnent à l’extérieur du Canada et ne transportent que ce qui est décrit ici. Amazon Web Services est utilisé pour certaines communications par texto et par courriel. Twilio est utilisé pour les messages texte, et Voip.MS est utilisé pour les services de téléphonie et de messagerie texte; les deux ne transportent qu’un numéro de téléphone et le texte du message ou de l’alerte. Certains messages de vérification d’authentification sont livrés par un fournisseur hébergé en Irlande et ne transportent qu’une adresse courriel et un code d’authentification, sans contenu de rapport, contenu de ticket ni autres données du Client. La distribution des agents et des programmes d’installation ainsi que l’acheminement en périphérie utilisent un réseau mondial de diffusion de contenu, qui transporte des exécutables et du trafic en transit, mais non des données du Client stockées.
4. Ce que cet engagement couvre, et ce qu’il ne couvre pas. Le traitement décrit aux articles 11 et 12, et au paragraphe 3 ci-dessus, est divulgué et permis. Sous cette réserve, ThreeShield n’ajoutera pas de sous-traitant ultérieur qui stocke ou traite des données du Client à l’extérieur du Canada, ou qui peut y accéder, et n’étendra pas un élément non canadien existant à une nouvelle catégorie de données du Client, sans en aviser le Client et, lorsque les propres obligations légales du Client l’exigent, sans obtenir son consentement. Le remplacement ou l’ajout d’un fournisseur à l’intérieur d’une catégorie et d’un emplacement déjà divulgués dans les présentes conditions (par exemple, le remplacement d’un fournisseur de modèle complémentaire hébergé aux États-Unis par un autre, selon les mêmes modalités de caviardage et de segmentation en jetons) ne constitue pas l’ajout d’un nouveau sous-traitant ultérieur ni l’extension à une nouvelle catégorie aux fins du présent paragraphe, et exige seulement que ThreeShield mette à jour la liste qu’elle tient. ThreeShield n’enverra à aucun fournisseur de modèle une catégorie de données qu’elle n’a pas divulguée ici.

11. Intelligence artificielle et analyse automatisée

1. Analyse des tickets. L’analyse des tickets d’assistance utilise des modèles d’Amazon Web Services, avec traitement au Canada.
2. Analyse des incidents de sécurité. L’analyse des incidents de sécurité utilise Anthropic Claude par Amazon Bedrock, avec traitement au Canada.
3. Modèles complémentaires. ThreeShield peut utiliser des modèles supplémentaires hébergés à l’extérieur du Canada, y compris aux États-Unis, pour des analyses complémentaires. Seules des données caviardées, segmentées en jetons et anonymisées sont envoyées à ces modèles. Rien qui identifie le Client n’y est inclus, et aucun corps de ticket d’assistance ni aucune transcription de réunion n’est envoyé à l’extérieur du Canada par cette voie.
4. Ce qui est caviardé et segmenté en jetons. Avant que toute donnée soit envoyée à un modèle d’intelligence artificielle hébergé par un tiers pour analyse, ThreeShield caviarde ou segmente en jetons, ou les deux, les adresses IP, les adresses courriel, les noms d’utilisateurs, les noms de personnes et les renseignements qui identifient l’organisation du Client, y compris les noms de son entreprise et de ses domaines. Pour l’analyse des incidents de sécurité, cela vise les adresses IP, les adresses courriel, les noms de personnes et les noms d’entreprises. Pour l’analyse des tickets, cela vise les adresses courriel et les numéros correspondant aux formes de renseignements personnels sensibles. Les tickets contenant des termes médicaux ou des mots clés comme « patient » sont bloqués et ne sont pas soumis du tout au traitement par un modèle.
5. Le risque résiduel, énoncé clairement. La segmentation en jetons repose sur des formes. Le texte libre qu’une personne saisit dans un ticket peut contenir des renseignements sensibles qui ne correspondent à aucune forme, et ThreeShield ne garantit pas que tout ce texte est assaini. Le Client devrait demander à son personnel de ne mettre dans une demande d’assistance aucun renseignement personnel, renseignement sur la santé, identifiant de connexion ni autre contenu sensible. Lorsqu’une question ne peut pas être décrite sans ce contenu, le Client communique plutôt avec ThreeShield par téléphone ou par la console, et la question sera traitée sans recours à un modèle.
6. Aucun modèle qu’utilise ThreeShield n’est configuré pour conserver les données du Client à des fins d’entraînement, et ThreeShield contracte avec ses fournisseurs sur cette base, sous réserve de l’article 8.4.

12. Enregistrement des réunions, transcription et IA côté Client

1. Jamais en secret, et toujours refusable. ThreeShield n’enregistre ni ne transcrit une réunion ou un appel téléphonique de façon dissimulée. Avant ou au début d’une réunion ou d’un appel, elle demandera au Client si l’enregistrement et la transcription sont acceptables, ou se joindra à un service de transcription en tant que participant évident, clairement nommé et visible dans la liste des participants, afin que le Client puisse le voir et demander qu’il soit désactivé. Tout participant, de l’une ou l’autre partie, peut demander en tout temps et pour quelque raison que ce soit que l’enregistrement ou la transcription cesse, et il cessera.
2. Le Client peut le désactiver de façon permanente. Le Client peut ordonner par écrit à ThreeShield, en tout temps, qu’aucune réunion ni aucun appel téléphonique avec elle ne soit enregistré, transcrit ou soumis au traitement par un modèle. ThreeShield se conformera à cette directive jusqu’à ce que le Client la retire, et la directive peut viser toutes les réunions ou une réunion en particulier, sans motif et sans frais.
3. Aucune option canadienne n’existe aujourd’hui. Les outils de transcription et de résumé de réunion dont dispose ThreeShield, ainsi que les fonctions natives de transcription, d’enregistrement et d’assistant intégrées à Microsoft Teams et à Microsoft 365 Copilot, effectuent actuellement leur traitement aux États-Unis. Lorsque le Client permet l’utilisation de l’un d’eux, ou ne s’y oppose pas, il accepte que l’enregistrement, la transcription et le résumé soient traités à l’extérieur du Canada, et il demeure responsable de tout avis ou consentement que ses propres obligations en matière de protection des renseignements personnels exigent.
4. ThreeShield déploiera des efforts raisonnables pour cesser dès qu’il devient évident que des renseignements sur la santé ou d’autres renseignements sensibles sont divulgués, qu’on le lui demande ou non. Tout ce qui a été capté avant l’arrêt sera supprimé, et la suppression sera consignée.
5. Responsabilité. Les outils d’enregistrement, de transcription et de résumé de réunion, ainsi que toute fonction native de Microsoft Teams ou de Microsoft 365 Copilot, sont fournis par des tiers et ne sont utilisés que sur instruction du Client et pour sa commodité. ThreeShield n’est pas responsable des pertes, dommages, réclamations, pénalités ou atteintes découlant de l’utilisation de ces outils, de l’endroit où ils traitent ou stockent les données, de l’exactitude ou de l’inexactitude de ce qu’ils produisent, ou d’un incident de sécurité touchant leur fournisseur. Le Client peut les refuser entièrement sans frais et sans effet sur toute autre partie du service, et le présent paragraphe explique pourquoi le choix appartient au Client.

13. Données du Client, propriété et exportation

1. Le Client est propriétaire de ses données. Les données que le Client fournit et celles que Lavawall® recueille dans l’environnement du Client, y compris les constats d’évaluation, les journaux, les événements, les dossiers d’actifs et de configuration, les tickets et les documents (les « Données du Client »), demeurent la propriété du Client. ThreeShield n’en acquiert aucun droit de propriété.
2. ThreeShield détient et utilise les Données du Client uniquement pour fournir et soutenir Lavawall®, pour s’acquitter de ses obligations envers le Client et dans la mesure permise par la présente Entente.
3. ThreeShield peut utiliser des renseignements agrégés et dépersonnalisés tirés de l’utilisation de la plateforme pour exploiter, sécuriser et améliorer Lavawall®, à condition qu’ils n’identifient ni le Client, ni aucune personne, ni aucun système du Client, et qu’ils ne soient pas vendus.
4. Exportation en tout temps. Le Client peut exporter ses Données du Client de Lavawall® en tout temps, dans un format structuré et lisible par machine. À l’annulation ou à la résiliation, ThreeShield fournira sur demande une exportation complète, sans frais, et maintiendra un accès en lecture seule pendant une période raisonnable pour permettre au Client de la récupérer.
5. Suppression. Sur demande à la suite de la résiliation, ThreeShield supprimera les Données du Client de ses systèmes actifs dans un délai de quatre-vingt-dix (90) jours et des sauvegardes dans le cours normal de la rotation des sauvegardes, et confirmera par écrit ce qui a été supprimé et à quel moment. ThreeShield peut conserver ce que la loi l’oblige à conserver.

14. Protection des renseignements personnels

1. ThreeShield traite les renseignements personnels conformément à sa politique de confidentialité ainsi qu’à la Personal Information Protection Act (Alberta), à la LPRPDE et aux autres lois applicables en matière de protection des renseignements personnels.
2. Lavawall® recueille nécessairement des renseignements personnels sur les personnes du Client, notamment les noms, les adresses courriel, les événements de connexion et d’authentification, les attributions d’appareils et l’activité dans les systèmes surveillés. Il les recueille pour fournir le service de sécurité et à aucune autre fin.
3. L’article 10 divulgue où ces renseignements sont stockés et traités. Lorsque le Client est assujetti à la Personal Information Protection Act de l’Alberta, l’article 13.1 de cette loi oblige le Client à informer les personnes au sujet des fournisseurs de services situés à l’extérieur du Canada; les articles 10, 11 et 12 donnent au Client ce dont il a besoin pour le faire.
4. Mesures de sécurité. ThreeShield mettra en œuvre et exploitera, avec compétence et diligence raisonnables, des mesures de sécurité administratives, techniques et physiques pour les Données du Client en sa possession ou sous son contrôle, qui soient conformes aux bonnes pratiques de l’industrie pour un fournisseur de services de sécurité de l’information, y compris le chiffrement des Données du Client au repos et en transit au moyen de protocoles conformes aux normes de l’industrie lorsque le système destinataire les prend en charge, l’authentification multifacteur sur tout compte interactif ayant accès aux Données du Client et des contrôles compensatoires équivalents pour les comptes non interactifs, un accès fondé sur les rôles limité au personnel qui en a besoin, la journalisation des accès, la vérification des antécédents du personnel ayant un tel accès et l’élimination sécuritaire des supports ayant contenu des Données du Client. Il s’agit d’une obligation de compétence et de diligence raisonnables, et non d’une garantie de résultat; l’article 19 précise comment cette distinction influe sur la responsabilité.
5. ThreeShield avisera le Client sans délai injustifié, et en tout état de cause dans les soixante-douze (72) heures, d’un incident de sécurité survenu dans ses propres systèmes ou dans ceux d’un sous-traitant ultérieur qui a entraîné, ou qui a plus probablement qu’improbablement entraîné, l’accès aux Données du Client, leur acquisition, leur utilisation ou leur divulgation par une personne non autorisée par le Client. Toute décision d’aviser un organisme de réglementation ou une personne appartient au Client.

15. Renseignements sur la santé

1. Lavawall® n’est pas conçu pour recevoir des renseignements sur la santé, et le Client ne devrait pas en placer dans un ticket, un champ de document ou un champ de texte libre de Lavawall®.
2. Lorsque le Client est un dépositaire, un fiduciaire ou l’équivalent en vertu de la législation sur la protection des renseignements sur la santé et que ThreeShield pourrait avoir accès à des renseignements sur la santé, les parties concluront une entente écrite de gestionnaire de renseignements, ou un instrument équivalent, avant que cet accès soit accordé. Cet instrument prévaut sur les présentes conditions en cas de conflit, dans la mesure de ce conflit.
3. ThreeShield ne transmettra pas sciemment de renseignements sur la santé à un fournisseur de modèle d’intelligence artificielle, que ce soit au Canada ou ailleurs, et applique le contrôle de blocage décrit à l’article 11.5.

16. Ce dont ThreeShield n’est pas responsable

1. Les produits et services que le Client n’a pas achetés de ThreeShield. ThreeShield n’est pas responsable des matériels, logiciels, abonnements, licences, réseaux, services infonuagiques, applications ou services professionnels que le Client n’a pas achetés de ThreeShield, et ne donne à leur égard aucune garantie, déclaration ni engagement, que ThreeShield les ait recommandés, qu’elle s’y soit intégrée, qu’elle les surveille, qu’elle produise des rapports à leur sujet ou qu’elle aide le Client à leur égard. Cela comprend les systèmes d’exploitation du Client, les plateformes de productivité et de collaboration, la protection des postes de travail, les produits de sauvegarde, l’équipement réseau, la connectivité Internet, les applications métier et cliniques, ainsi que les services de tout autre fournisseur. Lorsque Lavawall® lit un tel produit ou y écrit, ThreeShield est responsable de sa propre intégration et de rien d’autre, et n’est pas responsable de la disponibilité, de l’exactitude, de la sécurité, de la performance, de la licence ou de la poursuite de ce produit.
2. Sauvegardes. Il incombe au Client d’effectuer, de vérifier, de sécuriser, de conserver et de mettre à l’essai les sauvegardes du Système informatique et de ses données, que le Client utilise ou non un produit de sauvegarde fourni par l’intermédiaire de ThreeShield ou surveillé par Lavawall®. ThreeShield peut produire des rapports sur la couverture des sauvegardes; un rapport est une commodité et non une garantie qu’une sauvegarde existe, est complète, est récupérable ou sera restaurée. ThreeShield n’est pas responsable de la perte, de la corruption ou de l’indisponibilité de données, ni du coût de leur recréation ou de leur récupération, découlant de l’absence, de la défaillance, du caractère incomplet ou de l’irrécupérabilité d’une sauvegarde, ou du défaut du Client de mettre à l’essai une restauration.
3. Rien dans le présent article ne limite les obligations de ThreeShield à l’égard de Lavawall® lui-même ni les mesures de sécurité de l’article 14.

17. Renseignements de carte de crédit et renseignements financiers

1. Lavawall® n’est pas conçu pour recevoir ou stocker des renseignements de carte de crédit ou des renseignements financiers. Hormis les champs de carte de la page de facturation, qui sont hébergés et traités entièrement par le processeur de paiements de ThreeShield, le Client ne devrait pas saisir ni téléverser dans Lavawall® un numéro de carte de crédit, un code de vérification de carte, une date d’expiration, le nom du titulaire de la carte combiné à un numéro de carte, un numéro de compte bancaire ou d’autres renseignements de paiement ou de compte financier, y compris dans un ticket, un champ de document, une note, une pièce jointe ou tout champ de texte libre.
2. Les renseignements de carte saisis dans la page de facturation sont transmis au processeur de paiements et détenus par celui-ci. ThreeShield ne reçoit pas les numéros de carte complets ni les codes de vérification de carte, ne les stocke pas et n’y a pas accès.
3. Lorsque ThreeShield constate que des renseignements de carte ou de compte financier ont été saisis dans Lavawall® ailleurs que dans la page de facturation, elle les retirera du dossier, consignera ce retrait et en avisera le Client. Le Client demeure responsable de toute conséquence de leur saisie, y compris toute obligation qu’il a en vertu de la norme PCI DSS.
4. L’article 11 s’applique à de tels renseignements de la même façon qu’aux autres contenus sensibles : la segmentation en jetons repose sur des formes, et ThreeShield ne garantit pas que le texte libre est assaini.

18. Confidentialité

1. Chaque partie préservera la confidentialité des renseignements confidentiels de l’autre, ne les utilisera qu’aux fins de la présente Entente et ne les divulguera qu’à ceux de ses employés, sous-traitants et conseillers qui en ont besoin et qui sont liés par des obligations équivalentes.
2. Le Client ne divulguera pas les scripts et commandes exclusifs qu’utilise ThreeShield, les adresses à partir desquelles les évaluations sont menées, ni d’autres détails de la méthodologie d’évaluation de ThreeShield.
3. ThreeShield ne divulguera pas de détails du Système informatique du Client, des données du Client, des aspects non publics de l’entreprise du Client, ni l’identité et les renseignements des personnes et des fournisseurs du Client.
4. Ces obligations ne s’appliquent pas aux renseignements qui sont ou deviennent publics autrement que par une violation de la présente Entente, qu’une partie détenait déjà légalement, ou qu’une partie est légalement tenue de divulguer; dans ce dernier cas, la partie qui divulgue donnera, sauf interdiction, un avis à l’autre partie et la possibilité de demander une réparation, et ne divulguera que ce qu’elle est tenue de divulguer.
5. Ces obligations survivent à la résiliation pendant cinq (5) ans, et indéfiniment à l’égard des renseignements sur la santé et des renseignements personnels.

19. Limitation de responsabilité

Le présent article répartit le risque entre les parties. Il est rédigé pour être lu, et non pour être découvert plus tard.

1. Compromission de l’environnement du Client. Aucun programme de sécurité n’empêche toutes les attaques, et Lavawall® réduit, sans l’éliminer, le risque d’un incident de sécurité. Le Client conserve le contrôle opérationnel du Système informatique, déploie les agents, approuve les changements et prend les décisions d’achat. La responsabilité totale de ThreeShield découlant d’un incident de sécurité touchant le Système informatique ou les données du Client, ou s’y rapportant, quelle qu’en soit la cause, y compris lorsque Lavawall® n’a pas repéré ou signalé la vulnérabilité, le contrôle ou le système concerné, est limitée au plafond prévu au paragraphe 6, et cela constitue le seul et unique recours du Client pour un tel événement.
2. Conséquences que ThreeShield n’assume pas du tout. ThreeShield n’est en aucun cas responsable des conséquences suivantes d’un incident de sécurité touchant le Système informatique : une demande d’extorsion ou de rançon; une amende, une pénalité, une cotisation ou une sanction imposée au Client par un organisme de réglementation, un commissaire, un tribunal, une cour ou une marque de cartes de paiement ou un acquéreur; le coût de l’avis aux personnes ou aux organismes de réglementation; le coût d’une enquête judiciaire, d’une surveillance de crédit, de la gestion de crise ou des relations publiques; le coût de reconstruction, de récupération ou de restauration du Système informatique ou des données du Client; ainsi que l’interruption des activités ou la perte de productivité.
3. Ce que ThreeShield assume. Les paragraphes 1 et 2 ne limitent pas la responsabilité de ThreeShield lorsque la perte est directement causée par a) l’utilisation ou la divulgation des Données du Client par ThreeShield autrement que comme la présente Entente le permet; b) le défaut de ThreeShield de mettre en œuvre ou d’exploiter les mesures de sécurité décrites à l’article 14, lorsque ce défaut entraîne l’accès aux Données du Client, leur acquisition, leur utilisation ou leur divulgation par une personne non autorisée par le Client; ou c) la fraude ou la faute intentionnelle de ThreeShield.
4. Être attaqué n’est pas, en soi, un manquement. L’obligation de ThreeShield à l’égard des mesures de sécurité consiste à mettre en œuvre et à exploiter celles décrites à l’article 14 avec compétence et diligence raisonnables. Il ne s’agit pas d’une garantie que les propres systèmes de ThreeShield ne seront pas compromis, et un incident de sécurité touchant ThreeShield n’établit pas à lui seul que ThreeShield a manqué à son obligation de protéger les Données du Client. Le paragraphe 3 ne s’applique pas lorsque ThreeShield avait mis en œuvre ces mesures de sécurité et les exploitait, et que l’incident découle d’une vulnérabilité non divulguée auparavant dans un logiciel tiers, d’une attaque d’une sophistication à laquelle des mesures de sécurité de ce genre ne pourraient raisonnablement résister, de l’acte d’un État ou d’un acteur parrainé par un État, ou de la compromission d’un tiers échappant au contrôle de ThreeShield. Dans ces cas, le plafond prévu au paragraphe 6 s’applique.
5. Le manquement à une exigence procédurale, de notification, de tenue de dossiers ou de documentation de la présente Entente ne fait pas jouer le paragraphe 3, et toute responsabilité à cet égard est assujettie au plafond prévu au paragraphe 6.
6. Plafond. Sous réserve du paragraphe 7, la responsabilité totale cumulée de chaque partie découlant de la présente Entente ou s’y rapportant, que ce soit en vertu du contrat, de la responsabilité extracontractuelle, d’un manquement à une obligation légale ou autrement, est limitée au plus élevé des montants suivants : a) les frais payés par le Client au cours des trois (3) mois précédant l’événement qui donne lieu à la réclamation; et b) deux mille cinq cents dollars (2 500$). Ce plafond ne s’applique pas à l’obligation du Client de payer des frais, des intérêts ou des taxes, ni aux obligations du Client prévues à l’article 20.
7. Les réclamations visées au paragraphe 3 sont limitées au produit effectivement recouvré en vertu de l’assurance que maintient ThreeShield, et ne dépassent en aucun cas les limites de cette assurance. ThreeShield maintiendra une assurance responsabilité professionnelle (erreurs et omissions) et une assurance responsabilité civile commerciale générale avec extensions cyberrisques et protection des renseignements personnels, poursuivra de bonne foi toute réclamation de ce genre auprès de son assureur et fournira une attestation d’assurance sur demande. Le Client reconnaît que l’extension cyberrisques et protection des renseignements personnels comporte des sous-limites à l’intérieur du plafond global de l’assurance erreurs et omissions, que les amendes, les pénalités et les dommages-intérêts punitifs sont exclus de cette assurance, et que les frais de défense réduisent la limite.
8. Pertes exclues. Aucune des parties n’est responsable de la perte de profits, de revenus, d’économies prévues, d’achalandage, de réputation ou d’occasions d’affaires, qu’elle soit directe ou indirecte et qu’elle soit prévisible ou non; ni d’une amende, d’une pénalité, d’une cotisation ou d’une sanction imposée à l’autre par un organisme de réglementation, un tribunal, une cour ou une marque de cartes de paiement, ni de dommages-intérêts punitifs, exemplaires ou majorés.
9. Questions dont ThreeShield n’est pas responsable. Sans limiter ce qui précède, ThreeShield n’est pas responsable : du défaut de repérer une vulnérabilité, une erreur de configuration, un indicateur de compromission ou un composant en fin de vie; de toute question touchant un appareil ou un service auquel ThreeShield n’a pas reçu d’accès ou sur lequel le Client n’a pas déployé d’agent; de la perte découlant du défaut du Client de maintenir ou de mettre à l’essai des sauvegardes; de la perte découlant d’une correction ou d’un contrôle que ThreeShield a signalé et que le Client a refusé, reporté ou n’a pas financé; des actes ou omissions du Client, de son personnel ou de tout tiers que le Client engage; de tout produit ou service que le Client n’a pas acheté de ThreeShield, comme le prévoit l’article 16; de l’absence, de la défaillance ou de l’irrécupérabilité d’une sauvegarde, comme le prévoit l’article 16; des outils d’enregistrement, de transcription et d’IA côté Client décrits à l’article 12; ni de toute interruption, tout retard ou toute perte de productivité découlant d’une analyse ou d’une évaluation effectuée conformément à la présente Entente.
10. Chaque partie prendra des mesures raisonnables pour atténuer sa perte. Aucune réclamation ne peut être présentée plus de deux (2) ans après que le demandeur a pris connaissance, ou aurait raisonnablement dû prendre connaissance, des circonstances qui y donnent lieu.
11. Les plafonds du présent article sont cumulatifs pour l’ensemble des réclamations et ne s’appliquent pas par réclamation, par événement ou par année. Les parties conviennent que ces limites constituent une répartition raisonnable du risque compte tenu des frais payables, du contrôle que le Client conserve sur le Système informatique et du droit du Client de résilier en tout temps.
12. Réclamations contre des personnes physiques. Le Client présentera toute réclamation découlant de la présente Entente ou de Lavawall®, ou s’y rapportant, uniquement contre ThreeShield, et non contre un administrateur, un dirigeant, un actionnaire, un employé, un sous-traitant ou un mandataire de ThreeShield à titre personnel. Chacune de ces personnes peut invoquer et faire respecter le présent paragraphe et les limitations du présent article comme si elle y était nommée. Cela ne limite pas la responsabilité découlant de la propre fraude d’une personne, toute obligation imposée directement à une personne par une loi, ni les pouvoirs d’un organisme de réglementation ou d’un poursuivant.

20. Indemnisation

1. Le Client indemnisera ThreeShield à l’égard des réclamations de tiers, et du coût raisonnable de leur défense, découlant d’un manquement du Client à la présente Entente, de son défaut d’obtenir un consentement ou de donner un avis qu’il avait déclaré et garanti avoir obtenu ou donné, de son utilisation des outils décrits à l’article 12, ou d’un incident de sécurité touchant le Système informatique autre que celui visé au paragraphe 19.3.
2. L’indemnisation du Client ne s’étend à aucune réclamation dans la mesure où elle découle de la fraude, de la faute intentionnelle, du manquement à la confidentialité ou de l’utilisation ou de la divulgation non autorisée des Données du Client par ThreeShield.
3. ThreeShield indemnisera le Client à l’égard des réclamations de tiers, et du coût raisonnable de leur défense, découlant d’un manquement de ThreeShield à l’article 18, de son utilisation ou de sa divulgation non autorisée des Données du Client, de sa fraude ou de sa faute intentionnelle, ou d’une réclamation selon laquelle Lavawall® viole les droits de propriété intellectuelle d’un tiers. La présente indemnisation est assujettie aux plafonds et aux exclusions de l’article 19.
4. La partie qui demande une indemnisation en avisera promptement l’autre, ne transigera pas sans le consentement de la partie qui indemnise et lui accordera une collaboration raisonnable ainsi que le droit de prendre en charge la défense avec un avocat raisonnablement acceptable pour la partie indemnisée.

21. Durée, résiliation et suspension

1. La présente Entente se poursuit jusqu’à sa résiliation. Le Client peut résilier en tout temps au moyen de la console ou en communiquant avec ThreeShield par le formulaire de contact. La résiliation prend effet à la fin de la période de facturation en cours, et ThreeShield ne facture aucuns frais de résiliation anticipée.
2. Les périodes annuelles prépayées ne sont pas remboursables. Lorsque le Client a prépayé une période annuelle et résilie en cours de période, le montant prépayé n’est ni remboursé, ni crédité, ni calculé au prorata, et le Client conserve l’accès pour le reste de la période qu’il a payée. Le Client reçoit deux mois gratuits en échange du paiement annuel, et ce rabais constitue la contrepartie de l’engagement. Cela ne s’applique pas lorsque ThreeShield résilie en vertu du paragraphe 3, ni lorsque le Client résilie en raison d’un manquement important de ThreeShield en vertu du paragraphe 4; dans ces cas, ThreeShield remboursera la partie inutilisée du montant prépayé, calculée au tarif mensuel non réduit.
3. ThreeShield peut résilier moyennant un préavis de trente (30) jours.
4. L’une ou l’autre partie peut résilier immédiatement sur avis écrit si l’autre devient insolvable ou commet un manquement important auquel il n’est pas remédié dans les trente (30) jours suivant un avis écrit le décrivant.
5. Suspension pour défaut de paiement. Si le Client omet de payer une facture non contestée dans les trente (30) jours suivant sa date d’échéance, ThreeShield peut, moyennant un préavis écrit de dix (10) jours ouvrables, suspendre l’accès du Client à Lavawall® jusqu’à la réception du paiement. La suspension ne met pas fin à la présente Entente et ne libère pas le Client d’une obligation de paiement échue.
6. Récupérer les données du Client pendant la suspension de l’accès. Lorsque l’accès est suspendu, ThreeShield fournira au Client, sur demande écrite de celui-ci, une seule exportation complète de ses Données du Client dans un format structuré et lisible par machine, dans les dix (10) jours ouvrables. ThreeShield peut exiger le paiement des montants en souffrance non contestés avant de fournir cette exportation, sauf lorsque le Client déclare par écrit qu’il a besoin des données pour respecter une obligation légale ou réglementaire ou pour répondre à une demande ou à une enquête d’un organisme de réglementation, d’un commissaire ou d’un tribunal. ThreeShield ne supprimera pas de Données du Client pendant une suspension et ne retiendra pas l’exportation une fois la présente Entente résiliée.
7. Les articles 13, 14, 15, 16, 17, 18, 19, 20 et 24, ainsi que toute obligation de paiement échue, survivent à la résiliation.

22. Sous-traitance et cession

1. ThreeShield peut sous-traiter des parties du service. Elle demeure responsable de l’exécution de ses sous-traitants comme si leurs actes et omissions étaient les siens.
2. Tout sous-traitant ayant accès aux Données du Client est un sous-traitant ultérieur et est assujetti à l’article 10.4.
3. Aucune des parties ne peut céder la présente Entente sans le consentement de l’autre, lequel ne sera pas refusé sans motif raisonnable, sauf que l’une ou l’autre des parties peut la céder à une société affiliée ou à un successeur de son entreprise par fusion, réorganisation ou vente de la quasi-totalité de ses actifs, moyennant un avis à l’autre.

23. Défaut

1. ThreeShield peut refuser de fournir l’Évaluation des vulnérabilités si le Client omet de fournir, dans un délai raisonnable, le paiement, les renseignements ou l’accès exigés en vertu de la présente Entente.
2. Lorsque le Client a payé puis omet de fournir les renseignements ou l’accès exigés, ThreeShield peut retenir une partie raisonnable du paiement à titre d’estimation préalable véritable de ses coûts, et non à titre de pénalité.

24. Règlement des différends et droit applicable

1. En cas de différend, les parties tenteront d’abord de le régler par la négociation entre des personnes ayant le pouvoir de le régler. Si cela n’a pas réussi dans les trente (30) jours, elles tenteront la médiation devant un médiateur expérimenté en matière de différends liés aux technologies de l’information, en se partageant également les honoraires du médiateur.
2. Si la médiation n’a pas réglé le différend dans les soixante (60) jours suivant la nomination du médiateur, l’une ou l’autre des parties peut introduire une instance devant la Cour du Banc du Roi de l’Alberta, et les parties reconnaissent la compétence des tribunaux de l’Alberta.
3. Rien dans le présent article n’empêche l’une ou l’autre des parties de demander une injonction à l’égard d’un manquement réel ou imminent aux obligations relatives à la confidentialité, aux renseignements sur la santé ou aux renseignements personnels.
4. La présente Entente est régie et interprétée conformément aux lois de la province de l’Alberta et aux lois du Canada qui s’y appliquent.

25. Dispositions générales

1. Intégralité de l’entente. La présente Entente constitue l’intégralité de l’entente entre les parties à l’égard de Lavawall® et remplace toutes les négociations, propositions et ententes antérieures s’y rapportant, sous réserve de l’article 3.
2. Modification. ThreeShield peut modifier les présentes conditions moyennant un préavis de trente (30) jours donné par courriel ou par la console. Si le Client n’accepte pas une modification, il peut résilier en vertu de l’article 21 avant la prise d’effet de la modification. L’utilisation continue après cette date vaut acceptation.
3. Force majeure. Aucune des parties n’est responsable d’un manquement ou d’un retard causé par un événement échappant à son contrôle raisonnable, y compris une catastrophe naturelle, une épidémie, une guerre, des troubles civils, un conflit de travail, la défaillance d’un fournisseur de télécommunications ou de services publics ou un acte d’une autorité gouvernementale. La partie touchée en avisera l’autre et déploiera des efforts raisonnables pour reprendre l’exécution.
4. Entrepreneur indépendant. ThreeShield est un entrepreneur indépendant. Aucune disposition de la présente Entente ne crée une société de personnes, une coentreprise, un mandat ou une relation d’emploi.
5. Divisibilité. Si un tribunal juge qu’une disposition est invalide ou inexécutable, cette disposition est retranchée et le reste demeure en vigueur.
6. Renonciation. Une renonciation n’est effective que si elle est faite par écrit, et ne constitue pas une renonciation à une autre condition ni à un manquement ultérieur à la même condition.
7. Titres. Les titres sont fournis uniquement pour faciliter la consultation et n’influent pas sur l’interprétation.
8. Interprétation. « Notamment » ou « y compris » signifie sans s’y limiter. Une référence à une loi comprend ses règlements et toute loi qui lui succède. Aucune règle d’interprétation ne joue contre la partie qui a rédigé une disposition.
9. Exemplaires. La présente Entente peut être acceptée en plusieurs exemplaires, y compris en ajoutant une carte de paiement ou en se connectant à Lavawall®, et tous les exemplaires ensemble constituent un seul instrument.

26. Nous joindre

ThreeShield Information Security Corporation est établie à Calgary, en Alberta, au Canada. Joignez-nous au moyen du formulaire de contact ou par téléphone :

• Alberta : 1-403-538-5053
• Colombie-Britannique : 1-778-731-1339
• Ontario : 1-289-724-8829
• États-Unis : 1-406-988-7333