Traitement des données

But

La présente page résume la façon dont Formerie traite aujourd’hui les soumissions de formulaires des clients et les données opérationnelles connexes. Elle ne constitue pas un addenda relatif au traitement des données, et Formerie n’en publie pas encore de version standard. Il s’agit d’une version de travail qui n’a pas été finalisée par un conseiller juridique.

Rôles dans le traitement

Pour les données de formulaire soumises, les clients agiront généralement à titre de responsable du traitement, d’entreprise ou de décideur équivalent, car ils décident de ce que leurs formulaires recueillent, des raisons de cette collecte, de qui reçoit ces données et de la façon dont elles devraient être utilisées.

Formerie agira généralement à titre de sous-traitant, de fournisseur de services ou d’exploitant de services équivalent pour les données de formulaire soumises, car elle traite ces données pour fournir le service configuré.

Pour les données relatives aux comptes, à la sécurité, au site Web, au soutien et à l’administration interne, Formerie peut agir à titre de responsable du traitement indépendant ou d’entreprise indépendante, selon le contexte.

Instructions de traitement

Formerie traite les données de soumission des clients conformément :

• À la configuration du client dans le produit.
• Aux versions publiées des formulaires.
• Aux règles de livraison et aux paramètres des fournisseurs connectés.
• À la documentation du produit.
• Aux instructions de soutien provenant d’utilisateurs autorisés du client.
• Aux exigences de sécurité, de prévention des abus et de fiabilité.
• Aux ententes clients et aux obligations légales applicables.

Formerie n’utilise pas les données de formulaire soumises à des fins de publicité non liée, de courtage de données ou de vente de renseignements personnels. Aujourd’hui, aucune fonctionnalité d’IA ne traite les données de formulaire soumises. Toute future fonctionnalité d’IA sera facultative et nécessitera une activation volontaire, et la présente page sera mise à jour avant son lancement.

Objet et durée

Le traitement concerne les formulaires des clients, les soumissions publiques, la validation, la livraison par courriel, le stockage, le soutien, la sécurité, l’auditabilité et les processus opérationnels connexes.

Formerie conserve les soumissions jusqu’à leur suppression. Il n’y a aucune suppression automatique, et les valeurs de conservation indiquées pour un forfait ne sont pas appliquées. Le fait de cesser d’utiliser le service ou de supprimer un compte ne supprime pas à lui seul les soumissions d’un espace de travail.

Catégories de données

Les données de soumission des clients peuvent comprendre tout champ que le client configure dans un formulaire. Les clients devraient éviter de recueillir des renseignements inutiles ou sensibles. Formerie n’accepte pas le téléversement de fichiers.

Les données opérationnelles peuvent comprendre les identifiants de formulaires, les identifiants d’organisations, les identifiants de soumissions, les tentatives de livraison, les horodatages, l’origine et l’URL de la page, un hachage salé de l’adresse IP, l’agent utilisateur, les résultats de validation et des contrôles antipourriel, l’état des files d’attente et les événements d’audit.

Les données de compte et d’administration peuvent comprendre les noms d’utilisateurs, les courriels, les rôles, les identifiants d’authentification, les données de forfait, les messages de soutien et les journaux de sécurité.

Mesures de sécurité

Formerie utilise aujourd’hui les mesures suivantes :

• Le cloisonnement par espace de travail et les vérifications d’autorisation.
• Les contrôles d’accès fondés sur les rôles.
• Le transport chiffré.
• Le chiffrement des identifiants des fournisseurs, qui restent côté serveur.
• La configuration de la livraison côté serveur.
• La consignation des changements de configuration et des événements d’authentification.
• La livraison au moyen de files d’attente, avec suivi des nouvelles tentatives.
• La limitation de débit, les vérifications d’origine et les contrôles antipourriel sur les formulaires publics.
• L’authentification multifacteur et les clés d’accès pour les comptes.

Formerie n’utilise pas actuellement d’alertes de sécurité automatisées ni de surveillance en continu, et elle ne publie aucune certification de sécurité.

Sauvegardes

Formerie n’a pas de programme de sauvegarde planifié. Une exportation complète de la base de données de production est créée avant une migration ou une opération de maintenance de cette base de données, puis conservée pendant 7 jours comme artefact privé de GitHub Actions. Lors d’une migration manuelle, un opérateur peut aussi conserver une copie temporaire à l’extérieur de GitHub. Cloudflare offre aussi des fonctions de récupération pour son service de base de données. Formerie ne promet aucun délai ni point de récupération.

Sous-traitants ultérieurs

La page Sous-traitants ultérieurs nomme les fournisseurs que Formerie utilise, précise leur rôle et indique les services qui s’appliquent seulement lorsqu’un client ou un utilisateur les choisit.

Transferts internationaux

Les données des clients peuvent être traitées et stockées à l’extérieur du Québec et du Canada, notamment aux États-Unis et dans d’autres pays où ces fournisseurs exercent leurs activités. Cloudflare ne garantit pas que les données de Formerie restent au Canada, et Formerie n’offre aucune option de résidence des données.

Les clients devraient informer les personnes qui remplissent leurs formulaires que leurs renseignements peuvent être communiqués à l’extérieur du Québec ou du Canada, et évaluer si cela convient à leurs propres obligations.

Assistance aux clients

Lorsque l’entente applicable et la loi l’exigent, Formerie devrait fournir une assistance raisonnable pour :

• Les demandes relatives aux droits des personnes concernées ou des particuliers.
• Les questionnaires de sécurité et la documentation de conformité.
• Les processus de suppression, d’exportation ou de rectification.
• L’évaluation des incidents de sécurité et le soutien à la notification.
• Les renseignements sur les sous-traitants ultérieurs.
• Les demandes d’audit ou d’évaluation, sous réserve des limites de confidentialité et de sécurité.

Confidentialité et accès

Le personnel et les entrepreneurs de Formerie devraient accéder aux données des clients uniquement lorsque cela est nécessaire à l’exploitation du service, au soutien, à la sécurité, à la conformité légale ou à d’autres fins autorisées.

L’accès opérationnel devrait être limité et assujetti à des obligations de confidentialité.

Retour et suppression

L’application affiche chaque soumission et permet d’exporter les métadonnées des soumissions et des livraisons en CSV. Le fichier CSV ne contient pas les réponses, et aucun point de terminaison d’API ne permet d’exporter les soumissions.

L’application ne permet pas de supprimer une soumission. Un formulaire qui contient des soumissions enregistrées ne peut pas être supprimé définitivement, ni un espace de travail qui contient encore des formulaires. Les clients peuvent demander la suppression ou une copie de leurs données à hello@formerie.com, et les demandes sont traitées manuellement.

Des copies peuvent subsister après une suppression dans les exportations de la base de données pendant au plus 7 jours, dans les fonctions de récupération et les journaux de requêtes de Cloudflare aussi longtemps que Cloudflare les conserve, ainsi que dans les courriels déjà envoyés.

Gestion des incidents

Formerie traite les cas soupçonnés d’accès, de communication, de perte, d’altération ou de destruction non autorisés de données des clients à mesure qu’elle en prend connaissance.

Lorsque cela est requis, Formerie devrait aviser les clients touchés sans retard indu après avoir confirmé un incident à signaler et fournir les renseignements raisonnablement nécessaires pour que le client respecte ses propres obligations.

Responsabilités des clients

Les clients demeurent responsables :

• De leurs propres avis de confidentialité et bases légales.
• Du choix des champs de formulaire et de la minimisation des données.
• De l’accès des utilisateurs et de l’attribution des rôles.
• De la configuration des destinataires et des fournisseurs connectés.
• Des décisions sur la durée pendant laquelle ils ont besoin des soumissions.
• De répondre aux demandes des utilisateurs finaux lorsque le client contrôle le formulaire.
• De s’assurer que leur utilisation de Formerie convient aux données qu’ils recueillent.