WeDisplay · Affaires juridiques

Addenda sur le traitement des données

Date d'entrée en vigueur : 10 juillet 2026 · Version 1.0

Le présent Addenda sur le traitement des données (l'« ATD ») fait partie intégrante des Conditions d'utilisation de WeDisplay (les « Conditions ») entre l'entité cliente ayant accepté les Conditions (le « Client », « vous » ou « votre ») et EN6IA (numéro d'entreprise du Québec (NEQ) 2266497173), exploitée sous le nom « WeDisplay » (« WeDisplay », « nous », « notre » ou « nos »), et y est incorporé par renvoi. Il s'applique chaque fois que WeDisplay traite des Données personnelles du client (telles que définies ci-dessous) au nom du Client dans le cadre de la plateforme d'affichage numérique décrite dans les Conditions, y compris notre tableau de bord, nos applications, notre logiciel de lecture, nos API et les services connexes (collectivement, le « Service »). Les termes en majuscules non définis dans le présent ATD ont le sens qui leur est donné dans les Conditions.

Le présent ATD est conclu automatiquement, sans autre mesure de la part de l'une ou l'autre des parties, dès l'acceptation des Conditions par le Client et la poursuite de l'utilisation du Service pour traiter des Données personnelles du client. Une copie contresignée est disponible sur demande à [email protected] pour les Clients qui en ont besoin pour leurs propres dossiers ou une vérification diligente par un tiers.

1. Définitions

• « Responsable » désigne la personne physique ou morale qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des données personnelles (ou, en vertu de la Loi 25, la « personne ou l'organisme responsable des renseignements personnels »). Pour les Données personnelles du client, le Client est le responsable.
• « Sous-traitant » désigne la personne physique ou morale qui traite des données personnelles au nom d'un responsable (ou, en vertu de la Loi 25, une « personne ou un organisme à qui des renseignements personnels sont communiqués afin d'exécuter un acte pour le compte » du responsable). Pour les Données personnelles du client, WeDisplay est le sous-traitant.
• « Données personnelles » (ou « renseignements personnels ») désigne tout renseignement concernant une personne physique identifiée ou identifiable.
• « Données personnelles du client » désigne les données personnelles que WeDisplay traite au nom du Client et selon les directives documentées du Client dans le cadre de la fourniture du Service, y compris (a) les données personnelles concernant les membres de l'équipe du Client que le Client ou les membres de son équipe soumettent au Service pour administrer leur compte, leurs écrans, leurs sources et leurs autorisations, et (b) toute donnée personnelle que le Client ou les membres de son équipe choisissent d'inclure dans le Contenu client (par exemple, dans des médias téléversés, des mises en page, des horaires ou des configurations de widgets de données). Elle exclut les données personnelles dont WeDisplay est lui-même le responsable, comme les données de compte, de facturation, de visiteurs du site Web et de marketing, qui sont plutôt régies par notre Politique de confidentialité.
• « Personne concernée » désigne la personne physique identifiée ou identifiable à laquelle se rapportent les Données personnelles du client.
• « Sous-traitant ultérieur » désigne un tiers engagé par WeDisplay pour traiter des Données personnelles du client afin de fournir le Service, tel qu'énuméré à l'Annexe III.
• « Loi 25 » désigne la Loi sur la protection des renseignements personnels dans le secteur privé du Québec, et le « RGPD » désigne le Règlement général sur la protection des données (UE) 2016/679, chacun tel que modifié de temps à autre.

2. Rôles des parties

Entre le Client et WeDisplay, et à l'égard des Données personnelles du client, le Client est le responsable et WeDisplay est le sous-traitant. WeDisplay traite les Données personnelles du client uniquement pour fournir, sécuriser, soutenir et maintenir le Service conformément aux Conditions et au présent ATD, et ne détermine pas les finalités ou les moyens de ce traitement.

Lorsque le Client agit lui-même à titre de sous-traitant pour le compte d'un tiers (par exemple, lorsque le Client fournit des services d'affichage à ses propres clients), le Client déclare qu'il détient tous les droits et autorisations nécessaires pour donner instruction à WeDisplay de traiter les données personnelles connexes tel que prévu au présent ATD, et WeDisplay traitera ces données uniquement à titre de sous-traitant ultérieur du Client selon ces directives.

3. Portée, durée, nature et finalité du traitement

Objet. La fourniture du Service par WeDisplay au Client, dans la mesure où cette fourniture implique le traitement de Données personnelles du client.

Durée. WeDisplay traitera les Données personnelles du client pendant la durée des Conditions, et par la suite uniquement pendant la période de transition décrite à la section 9 (Suppression ou restitution des données) ou tel qu'autrement requis par la loi applicable.

Nature et finalité du traitement. WeDisplay traite les Données personnelles du client dans la mesure nécessaire à l'exploitation du Service d'affichage numérique auquel le Client a souscrit — y compris le stockage, la transmission, l'affichage et l'organisation du Contenu client; l'authentification des membres de l'équipe, des écrans, des lecteurs et des sources du Client; l'application des autorisations d'accès que le Client configure; la fourniture de soutien à la clientèle; et le maintien de la sécurité, de la disponibilité et de la fiabilité du Service — et à aucune autre fin.

Types de Données personnelles du client et catégories de personnes concernées. Les types précis de Données personnelles du client traitées, et les catégories de personnes concernées auxquelles elles se rapportent, sont déterminés et contrôlés uniquement par le Client dans le cadre de son utilisation du Service. Il s'agit généralement (a) des noms, adresses courriel et attributions de rôles/autorisations des membres de l'équipe du Client ayant accès au Service, et (b) de toute donnée personnelle que le Client ou les membres de son équipe choisissent d'inclure dans le Contenu client affiché par l'intermédiaire du Service (par exemple, des images, des vidéos ou des documents représentant ou mentionnant des personnes identifiables, ou des données personnelles intégrées dans un widget de données que le Client configure). Le Client est seul responsable de s'assurer qu'il dispose d'un fondement juridique pour soumettre de telles données personnelles au Service, conformément à la section 4 (Contenu client et responsabilité) des Conditions. WeDisplay n'a pas l'intention, et demande au Client de ne pas utiliser le Service pour traiter des catégories particulières de données personnelles (comme des données de santé, biométriques ou de géolocalisation précise concernant des personnes identifiées), à moins que le Client n'ait évalué de façon indépendante et n'accepte la responsabilité du risque accru que cela représente.

4. Obligations du sous-traitant

WeDisplay, à l'égard des Données personnelles du client :

• Traitement uniquement selon des directives documentées. Traite les Données personnelles du client uniquement selon les directives documentées du Client, lesquelles sont constituées des Conditions, du présent ATD et de la configuration et de l'utilisation par le Client des fonctionnalités du Service (par exemple, le téléversement de Contenu client ou l'invitation d'un membre de l'équipe), sauf lorsque la loi applicable l'exige autrement, auquel cas WeDisplay informera le Client de cette exigence légale avant le traitement, à moins que la loi n'interdise une telle divulgation pour des motifs importants d'intérêt public. WeDisplay avisera rapidement le Client si, à son avis, une directive contrevient à la loi applicable en matière de protection des données.
• Confidentialité. Veille à ce que le personnel autorisé à traiter les Données personnelles du client se soit engagé à respecter la confidentialité ou soit soumis à une obligation légale de confidentialité appropriée, et n'accède aux Données personnelles du client que dans la mesure nécessaire à l'exécution de ses fonctions dans la fourniture du Service.
• Aucune vente de Données personnelles du client. Ne vend pas les Données personnelles du client, et ne les utilise pas à ses propres fins de marketing ou de publicité indépendantes, ni à toute autre fin que la fourniture du Service selon les directives du Client.
• Sécurité. Met en œuvre et maintient les mesures de sécurité techniques et organisationnelles décrites à l'Annexe II.
• Sous-traitance ultérieure. N'engage des sous-traitants ultérieurs que tel que permis par la section 6 (Sous-traitants ultérieurs) du présent ATD.

5. Mesures de sécurité (Annexe II)

WeDisplay maintient des mesures de sécurité administratives, techniques et organisationnelles conçues pour protéger les Données personnelles du client de façon proportionnelle à leur sensibilité, notamment :

• Isolation des données à l'échelle de l'organisation — chaque requête et chaque enregistrement dans le Service est limité à l'organisation du Client, de sorte que les données d'un client ne sont pas visibles par un autre.
• Chiffrement des secrets sensibles au repos — les identifiants tels que les jetons de calendrier connecté et les clés API de fournisseurs d'IA sont chiffrés avant d'être stockés.
• Chiffrement en transit — les connexions au Service, à ses API et à son logiciel de lecture sont protégées par TLS.
• Contrôles de téléversement et de diffusion de médias — les fichiers téléversés sont validés selon leur signature de fichier réelle (magic bytes), et les médias ne sont servis que lorsqu'ils correspondent à un téléversement enregistré et répertorié dans notre base de données (jamais un chemin de système de fichiers arbitraire), avec une protection contre la traversée de répertoires.
• Serveur mandataire sortant protégé contre le SSRF — lorsque le Service récupère du contenu externe au nom du Client (par exemple, pour des widgets de données), les requêtes sortantes sont acheminées par un serveur mandataire qui bloque les requêtes vers des destinations réseau internes ou non autorisées.
• Contrôle d'accès basé sur les rôles — l'accès au sein d'une organisation est régi par un ensemble d'autorisations granulaires attribuables individuellement, de sorte que les membres de l'équipe ne reçoivent que l'accès requis par leur rôle.
• Limitation de débit — les points d'accès sensibles, comme l'inscription de compte, la réinitialisation de mot de passe et le jumelage d'appareils, sont soumis à une limitation de débit afin de réduire le risque d'abus automatisé.
• Journalisation d'audit — les actions sensibles liées au compte et à l'administration sont journalisées à des fins de reddition de comptes et d'enquête.
• Protection des secrets au démarrage — les systèmes de production refusent de démarrer s'ils sont configurés avec un secret d'authentification par défaut ou insuffisamment robuste.
• Sauvegardes — la base de données de production est sauvegardée selon un calendrier régulier et stockée chez un fournisseur d'infrastructure qui chiffre les données au repos.

Ces mesures sont révisées et mises à jour de temps à autre pour refléter les changements apportés au Service et aux bonnes pratiques de sécurité; tout changement maintiendra ou améliorera, sans diminuer de façon importante, le niveau global de protection pendant la durée des Conditions. WeDisplay ne détient actuellement aucune certification de sécurité tierce (comme une attestation SOC 2, ISO 27001, PCI DSS ou HIPAA), et ne fait aucune déclaration à cet effet; le Client devrait en tenir compte pour évaluer si le Service convient à l'usage prévu pour ses Données personnelles du client.

6. Sous-traitants ultérieurs (Annexe III)

Le Client autorise WeDisplay à engager les sous-traitants ultérieurs suivants pour fournir le Service. Chacun est lié par des obligations contractuelles de confidentialité et de protection des données proportionnelles aux données personnelles qu'il peut traiter :

L'infrastructure de relais WebRTC (TURN/coturn) de WeDisplay, utilisée pour aider les sources et lecteurs de diffusion en direct à se connecter entre réseaux, est auto-hébergée sur les propres serveurs de WeDisplay et n'est pas exploitée par un sous-traitant ultérieur tiers.

WeDisplay demeure responsable du respect, par chaque sous-traitant ultérieur, d'obligations substantiellement équivalentes à celles énoncées dans le présent ATD. Si WeDisplay a l'intention d'ajouter ou de remplacer un sous-traitant ultérieur qui traitera des Données personnelles du client, nous fournirons un préavis raisonnable en publiant une version mise à jour de cette page avec une date d'entrée en vigueur révisée, ou par avis direct (courriel ou dans l'application) pour les changements importants. Le Client peut s'opposer à un nouveau sous-traitant ultérieur pour des motifs raisonnables liés à la protection des données en communiquant avec [email protected] dans les 15 jours suivant l'avis; si les parties ne peuvent résoudre l'objection, le seul recours du Client consiste à résilier la partie visée du Service conformément aux Conditions.

7. Assistance relative aux demandes des personnes concernées et aux obligations de conformité

Compte tenu de la nature du traitement, WeDisplay fournira au Client une assistance raisonnable, au moyen de mesures techniques et organisationnelles appropriées, afin de permettre au Client de répondre aux demandes des personnes concernées cherchant à exercer leurs droits en vertu de la loi applicable en matière de protection des données (comme les demandes d'accès, de rectification, de suppression ou de portabilité) à l'égard des Données personnelles du client. Lorsque WeDisplay reçoit lui-même une telle demande directement d'une personne concernée relativement aux Données personnelles du client, WeDisplay n'y répondra pas directement (sauf pour en confirmer la réception ou diriger la personne vers le Client) et transmettra plutôt rapidement la demande au Client, à moins que la loi ne l'interdise.

WeDisplay fournira également au Client une assistance raisonnable pour respecter ses obligations relatives à la sécurité du traitement, à l'avis d'atteinte aux données personnelles aux autorités de surveillance et aux personnes concernées, et, le cas échéant, aux évaluations des facteurs relatifs à la vie privée et aux consultations préalables connexes avec les autorités de surveillance, compte tenu des renseignements dont dispose WeDisplay et de la nature du traitement.

8. Avis d'atteinte aux données personnelles

Si WeDisplay prend connaissance d'un incident de confidentialité ou d'une atteinte aux données personnelles touchant les Données personnelles du client, WeDisplay avisera le Client sans délai indu après en avoir pris connaissance, et fournira les renseignements raisonnablement disponibles pour aider le Client à respecter ses propres obligations d'avis d'atteinte auprès des organismes de réglementation et des personnes concernées touchées. WeDisplay prendra également des mesures raisonnables pour contenir, examiner et atténuer l'incidence de l'incident.

9. Suppression ou restitution des données

Dès la résiliation ou l'expiration des Conditions, WeDisplay rendra les Données personnelles du client disponibles pour exportation et, à la suite de la période de conservation décrite à la section 13 (Suspension et résiliation) des Conditions, supprimera les Données personnelles du client de ses systèmes de production, sauf dans la mesure où WeDisplay est tenu ou autorisé par la loi applicable à les conserver (par exemple, à des fins juridiques, fiscales, de sécurité ou de règlement de différends), auquel cas WeDisplay continuera de protéger ces données conformément au présent ATD aussi longtemps qu'elles sont conservées.

10. Droits de vérification et d'information

WeDisplay mettra à la disposition du Client les renseignements raisonnablement nécessaires pour démontrer le respect du présent ATD, et permettra et contribuera à des vérifications, y compris des inspections, menées par le Client ou un vérificateur indépendant mandaté par le Client, sous réserve d'un préavis écrit raisonnable, de mesures de protection de la confidentialité pour les renseignements de WeDisplay et de ses autres clients, et d'au plus une fois par période de 12 mois, sauf si une autorité de surveillance l'exige ou à la suite d'une atteinte confirmée aux données personnelles. Lorsque cela est raisonnablement possible, WeDisplay peut répondre à une demande de vérification en fournissant la documentation pertinente décrivant ses mesures de sécurité, au lieu d'une inspection sur place.

11. Transferts internationaux

WeDisplay est établi au Québec, au Canada, et traite les Données personnelles du client sur une infrastructure située au Canada, aux États-Unis et dans l'Union européenne, notamment par l'intermédiaire des sous-traitants ultérieurs énumérés à la section 6. Lorsqu'un transfert de Données personnelles du client à l'extérieur du Québec est requis par ce traitement, WeDisplay a effectué, ou effectuera sur demande, une évaluation des facteurs relatifs au transfert conforme à l'exigence de la Loi 25 visant à s'assurer que la juridiction ou l'organisation destinataire offre un niveau de protection des renseignements personnels équivalent à celui exigé au Québec. Lorsque le RGPD s'applique aux Données personnelles du client et qu'elles sont transférées à l'extérieur de l'Espace économique européen ou du Royaume-Uni vers une juridiction n'ayant pas fait l'objet d'une décision d'adéquation applicable, WeDisplay s'appuie sur les clauses contractuelles types de la Commission européenne (ou l'addenda de transfert international de données du Royaume-Uni, selon le cas) avec le sous-traitant ultérieur concerné, ou sur un autre mécanisme de transfert légalement reconnu, à titre de garantie pour ce transfert.

12. Ordre de priorité; droit applicable; dispositions générales

En cas de conflit entre les dispositions du présent ATD et les Conditions à l'égard du traitement des Données personnelles du client, le présent ATD prévaut dans la mesure du conflit. À tous autres égards, les Conditions continuent de s'appliquer, y compris leurs dispositions relatives à la responsabilité, à l'indemnisation et au règlement des différends, lesquelles s'appliquent au présent ATD comme si elles y étaient intégralement reproduites.

Le présent ATD est régi par le même droit applicable que les Conditions — les lois de la province de Québec et les lois fédérales du Canada qui s'y appliquent — sans égard aux principes de conflits de lois qui entraîneraient l'application du droit d'une autre juridiction. Le présent ATD est conclu automatiquement dès l'acceptation des Conditions par le Client et l'utilisation du Service pour traiter des Données personnelles du client, et demeure en vigueur aussi longtemps que WeDisplay traite des Données personnelles du client au nom du Client. Les Clients qui ont besoin d'une copie signée manuellement, ou qui ont des questions au sujet du présent ATD, peuvent communiquer avec [email protected].

Des questions sur ce document? Contactez [email protected]. Consultez toutes nos politiques dans le Centre juridique.