| Prestataire | LEYTON CANADA, 460 rue McGill, 2e étage, Montréal (Québec) H2Y 2H2, Canada, dûment habilitée aux fins du présent Contrat (« LEYTON » ou le « Prestataire »). |
|---|---|
| Client | Toute personne morale ou professionnelle signant un Bon de commande renvoyant aux présentes Conditions générales. |
Les présentes Conditions générales régissent l’accès du Client à la plateforme SaaS YouCraft ainsi que les prestations d’intégration et d’assistance associées. Elles ne comportent pas de bloc de signature distinct. Elles sont intégrées à tout Bon de commande identifiant clairement leur version datée et fournissant des liens accessibles vers les présentes Conditions générales et le DPA qu’elles contiennent. En signant, le Client confirme agir exclusivement à des fins professionnelles et accepter l’offre, les prix, le nombre de Licences et la durée indiqués au Bon de commande.
Ordre de priorité. En cas de contradiction prévalent, dans l’ordre : (i) le DPA pour le traitement des Données personnelles du Client ; (ii) le Bon de commande, uniquement dans la mesure où il déroge expressément aux présentes Conditions générales ; (iii) les présentes Conditions générales ; et (iv) les autres annexes expressément intégrées au Contrat. Les dispositions impératives de la loi applicable prévalent.
1. Définitions
Société affiliée – Entité qui contrôle une partie, est contrôlée par elle ou est placée sous contrôle commun.
Contrat – Les présentes Conditions générales, le Bon de commande applicable et les annexes, y compris le DPA.
Lois applicables sur la protection des données – Lois fédérales et provinciales canadiennes applicables à la protection de la vie privée, des renseignements personnels, à la sécurité des données et à la notification des atteintes, notamment la LPRPDE et la législation québécoise applicable, telle que modifiée par la Loi 25.
Applications – Applications, agents, tableaux de bord et automatisations développés ou déployés au moyen de la Plateforme.
Données de conversation – Requêtes, instructions, données saisies, Résultats générés et historique des échanges dans les fonctionnalités de la Plateforme.
Crédits – Allocation mensuelle d’utilisation comprise dans une offre.
Développements spécifiques – Configuration, connecteur, flux de travail, intégration ou personnalisation développés spécialement pour le Client.
Données du Client – Ensemble des données, contenus et documents soumis ou générés par le Client ou ses utilisateurs sur la Plateforme, y compris les Données de conversation et le code des Applications.
Données personnelles du Client – Données personnelles contenues dans les Données du Client et traitées par le Prestataire pour le compte du Client.
Documentation – Guides d’utilisation et documentation technique du Prestataire dans leur version en vigueur.
DPA – Annexe relative au traitement des données figurant ci-dessous et mise à jour dans la mesure requise par les Lois applicables sur la protection des données.
Résultats générés – Textes, codes, analyses et autres contenus générés à partir de requêtes, instructions ou Données du Client par la Plateforme ou des Modèles d’IA tiers.
Licence – Abonnement nominatif à la Plateforme selon l’offre figurant au Bon de commande (Starter, Business, Sovereign ou Enterprise).
Composants open source – Logiciels tiers soumis à leurs licences libres respectives.
Bon de commande – Document signé précisant les offres, le nombre de Licences, le prix et la date de début, y compris un bon de commande d’essai.
Plateforme/YouCraft – Plateforme SaaS du Prestataire destinée à concevoir et déployer des Applications.
Environnement du Prestataire/du Client – Infrastructure exploitée ou contrôlée respectivement par le Prestataire (ou ses fournisseurs) et par le Client, susceptible d’héberger une Application.
Services – Accès à la Plateforme, intégration, assistance et autres prestations professionnelles convenues.
Sous-traitant ultérieur – Tiers chargé de traiter des Données personnelles du Client, notamment les fournisseurs de Modèles d’IA tiers.
Modèle d’IA tiers – Grand modèle de langage ou autre modèle d’IA générative fourni par un tiers identifié dans la liste applicable des Sous-traitants ultérieurs.
Licence Viewer – Licence permettant d’utiliser des Applications publiées sans les créer ni les modifier.
Les termes « données personnelles », « traitement », « responsable du traitement », « sous-traitant » et leurs équivalents ont le sens prévu par les Lois applicables sur la protection des données. Une « violation de données personnelles » désigne un accès, une acquisition, une divulgation ou une perte effectivement non autorisés de Données personnelles du Client compromettant leur sécurité ou leur confidentialité. Les tentatives d’accès infructueuses n’en constituent pas une.
2. Licence et utilisation autorisée
2.1Sous réserve du paiement de la rémunération prévue au Contrat et du respect des dispositions du Contrat, le Prestataire concède au Client un droit non exclusif, non transférable et non sous-licenciable, pour la durée du Contrat, d’accéder à la Plateforme et de l’utiliser pour ses propres besoins d’entreprise, dans la limite du nombre de Licences et de la formule indiqués dans le Bon de Commande et, pour les formules qui le permettent, de mettre ses Applications à la disposition de ses propres clients ou du public.
2.2Les Licences sont nominatives et personnelles ; elles ne doivent pas être partagées mais peuvent être réattribuées moyennant notification au Prestataire. Une Application en ligne peut être partagée avec des utilisateurs sans licence, lesquels ne peuvent ni la modifier ni collaborer sur le projet sous-jacent. Le Client est responsable du respect du Contrat par ses utilisateurs et de la sécurité de leurs identifiants.
2.3Le Prestataire conserve tous les droits sur la Plateforme (logiciel, modèles, gabarits, Documentation et améliorations). Aucune stipulation du Contrat ne les transfère au Client.
2.4La Plateforme est destinée à un usage professionnel uniquement. Le Client ne doit pas : (a) revendre, sous-licencier, louer ou redistribuer la Plateforme ; (b) utiliser la Plateforme ou les Résultats Générés pour développer ou entraîner un produit ou un modèle d’IA concurrent ; (c) procéder à de l’ingénierie inverse, décompiler ou tenter d’extraire du code source qui n’est pas mis à sa disposition ; (d) contourner toute restriction technique, de sécurité, d’utilisation ou de Crédits ; ou (e) utiliser la Plateforme en violation de l’Article 7.
2.5Le Prestataire peut faire évoluer la Plateforme et peut remplacer ou cesser de proposer des Modèles d’IA Tiers, des Composants Open Source, des fournisseurs d’hébergement ou des fonctionnalités, à condition de ne pas réduire de manière substantielle les fonctionnalités essentielles de la formule du Client. Le Prestataire peut vérifier le respect des conditions de la Licence.
3. Modèles d’IA tiers, open source et développements spécifiques
3.1Le Prestataire n’est pas le développeur des Modèles d’IA Tiers et ne contrôle ni leur disponibilité, ni leur comportement, ni leurs performances. La licence concédée au Client porte uniquement sur YouCraft et non sur le modèle sous-jacent, et le Client ne dispose d’aucun droit direct à l’encontre du fournisseur du modèle. Le Contrat ne constitue ni une licence, ni une sous-licence, ni une revente des services d’un quelconque fournisseur. Le Client ne doit pas présenter YouCraft ou une Application comme un produit officiel d’un fournisseur de modèles, ou approuvé par celui-ci, et doit respecter les politiques d’utilisation des fournisseurs de modèles mises à disposition dans la Documentation.
3.2Les Composants Open Source demeurent régis par leurs propres licences. Le Prestataire n’est pas responsable du respect de ces licences par le Client si celui-ci extrait un composant et le réutilise en dehors de la Plateforme.
3.3Les Développements Spécifiques demeurent la propriété du Prestataire, sauf cession par écrit ; le Client peut les utiliser pendant la durée du Contrat. Le Prestataire peut réutiliser les idées générales, méthodes, composants et savoir-faire qui en découlent, sans divulguer les Informations Confidentielles du Client.
4. Prix, Crédits et paiement
4.1Les prix figurent au Bon de commande et s’entendent hors TPS/TVH, TVQ, TVP et autres taxes indirectes applicables. Chaque offre comprend des Crédits mensuels ; les Crédits inutilisés ne sont pas reportés, sauf stipulation contraire du Bon de commande. Des Crédits supplémentaires peuvent être achetés au tarif standard. Les éléments hors forfait (Crédits, connecteurs spécifiques, configuration d’auto-hébergement, prestations professionnelles et assistance renforcée) font l’objet d’un devis et d’une facturation distincts.
4.2Le Prestataire facture les Licences actives le premier (1er) jour du mois civil précédant la Date de début, sauf disposition expresse contraire du Bon de commande Enterprise. Le paiement est exigible au plus tard le cinquième (5e) jour du mois civil suivant celui de la facture, sous réserve des dispositions impératives.
4.3Les sommes impayées à l’échéance portent intérêt au taux le plus faible entre un et demi pour cent (1,5 %) par mois et le taux maximal légalement autorisé, sans préjudice du remboursement des frais raisonnables de recouvrement dans les limites légales. Si une facture non contestée demeure impayée quinze (15) jours après rappel, le Prestataire peut suspendre l’accès jusqu’au paiement.
4.4Le Prestataire peut modifier les prix ou le contenu des offres moyennant un préavis écrit d’au moins trente (30) jours, avec effet à la prochaine période de facturation applicable ; le Client peut résilier par courriel avant l’entrée en vigueur de la modification, sous réserve des engagements de prix à durée ferme Enterprise.
4.5Des Licences peuvent être ajoutées par courriel au contact désigné du Prestataire, qui confirme par écrit et facture au prorata dès l’activation sans nouveau Bon de commande. Les réductions ou changements d’offre prennent effet à la période de facturation suivante, sauf accord contraire. Pour Enterprise, les réductions ou déclassements ne peuvent intervenir avant l’expiration de la période en cours de douze (12) mois ; les ajouts sont facturés au prorata jusqu’à cette échéance.
5. Durée, essai, résiliation et sortie
5.1Essai. Un Bon de commande distinct couvre un essai gratuit de deux (2) semaines de l’offre Business, renouvelable par accord écrit. Après l’essai, le Client ne peut souscrire Starter, Business, Sovereign ou Enterprise qu’en signant un nouveau Bon de commande précisant l’offre, les Licences, le prix et la date de début. Aucune conversion payante automatique n’intervient. Sauf remplacement exprès, la version des Conditions générales indiquée dans le premier Bon de commande régit les Bons de commande successifs, sous réserve des modifications écrites licites. Sans nouveau Bon de commande, l’accès cesse sans frais d’essai. L’essai est fourni « EN L’ÉTAT » et peut présenter des fonctionnalités limitées.
5.2Durée. À l’exception des abonnements Enterprise soumis à l’engagement de douze (12) mois prévu au Bon de commande, le Contrat est à durée indéterminée. Chaque partie peut le résilier à tout moment moyennant un préavis écrit d’au moins trois (3) mois notifié conformément à l’article 13.5. Les frais restent dus pendant le préavis.
5.3Manquement. Chaque partie peut résilier en cas de manquement substantiel non réparé dans les trente (30) jours suivant notification écrite, ou d’insolvabilité sous réserve du droit impératif applicable.
5.4Suspension/résiliation immédiate. Le Prestataire peut suspendre tout ou partie de l’accès ou résilier sans préavis ni indemnité en cas de manquement substantiel aux articles 2.4, 7 ou 6.6, de non-paiement selon l’article 4.3, de menace pour la sécurité ou d’autres clients, d’injonction obligatoire d’une autorité ou de suspension par un fournisseur de modèle imputable à l’usage du Client. Lorsque cela est possible, le Prestataire prévient le Client, limite la suspension au nécessaire et rétablit l’accès après remédiation. Les sommes acquises et autres droits subsistent.
5.5Effets. À l’expiration ou à la résiliation, l’accès à la Plateforme prend fin. Le Client peut exporter son code source et ses Données du Client pendant les trente (30) jours suivants lorsque son offre le permet ; le Prestataire restitue ou supprime ensuite les Données du Client conformément au DPA. Les frais échus restent exigibles.
5.6Cessation de la Plateforme. Si le Prestataire cesse définitivement d’exploiter YouCraft, il donne un préavis écrit d’au moins quatre-vingt-dix (90) jours, aide le Client à exporter son code source et ses Données Client, et rembourse les frais payés d’avance pour la période postérieure à la date de fermeture.
5.7Modification des prix Enterprise. Au moins cent vingt (120) jours avant la fin de chaque période Enterprise, le Prestataire adresse un rappel de renouvellement et les éventuels nouveaux prix. À défaut, le renouvellement intervient aux prix de la période expirante, conformément aux modalités de renouvellement du Bon de commande Enterprise.
6. Protection des données, sécurité et hébergement
6.1Rôles. Pour les Données personnelles du Client, celui-ci agit comme responsable du traitement et le Prestataire comme sous-traitant, conformément au DPA. Le Prestataire agit comme responsable indépendant pour les données des comptes utilisateurs et d’authentification, la facturation, les journaux techniques et de sécurité, les métadonnées d’utilisation et de service, qu’il traite pour administrer les comptes, facturer, assurer la sécurité, prévenir la fraude et les abus, garantir la fiabilité du service et respecter la loi, conformément à sa politique de confidentialité.
6.2Hébergement et traitements transfrontaliers. Les Données du Client sont hébergées dans les régions infonuagiques identifiées au Bon de commande ou dans le DPA et séparées logiquement par Application. Les offres Sovereign et Enterprise peuvent faire l’objet d’un auto-hébergement ou d’un accord écrit de résidence des données. L’utilisation des fonctionnalités d’IA peut entraîner la transmission des données pertinentes (requêtes, entrées et Résultats générés) aux fournisseurs de Modèles d’IA tiers, conformément au DPA et à sa liste de Sous-traitants ultérieurs. Les transferts et accès internationaux sont régis par l’article 8 du DPA.
6.3Pas d’entraînement. Le Prestataire ne doit pas utiliser les Données Client pour entraîner ses propres modèles. À partir de la formule Business, le Prestataire opère selon un régime de Zero Data Retention pour le traitement par IA, dans la mesure où les engagements contractuels des fournisseurs de Modèles d’IA Tiers à son égard lui permettent de le garantir (non inclus dans Starter). Les Données Personnelles du Client sont soumises à l’Article 9 du DPA.
6.4Sécurité. Le Prestataire applique les mesures de l’annexe 2 du DPA et des contrôles de sécurité automatisés lors du déploiement. Business inclut les journaux d’audit ; Enterprise ajoute des tests d’intrusion ; Sovereign ajoute le blocage des données confidentielles. Le Client signale sans délai les incidents de sécurité, accès non autorisés ou compromissions d’identifiants dont il a connaissance.
6.5Responsabilités du Client. Le Client répond seul de la licéité de ses données et instructions, des bases juridiques et informations nécessaires aux personnes (y compris utilisateurs des Applications), du traitement des demandes des personnes, de ses règles internes d’IA, de la sécurité de son Environnement et des sauvegardes indépendantes des données et codes essentiels.
6.6Données restreintes. Sans accord écrit du Prestataire et garanties supplémentaires appropriées, le Client ne soumet pas de données personnelles sensibles (santé, biométrie, génétique), données pénales, données d’enfants, secrets d’affaires hautement sensibles ou informations classifiées, informations complètes de cartes de paiement ou bancaires, mots de passe, clés API ou autres secrets, ni documents tiers qu’il n’est pas autorisé à traiter par IA. Le Prestataire ne répond pas des conséquences d’un manquement du Client dans la mesure autorisée par la loi.
7. Utilisation acceptable et réglementation de l’IA
7.1Le Client ne doit pas utiliser la Plateforme ni aucune Application pour : enfreindre la loi ou dissimuler une infraction à la loi ; porter atteinte aux droits de tiers ; générer des contenus haineux, discriminatoires, diffamatoires, violents ou constitutifs de harcèlement ; procéder à une surveillance ou à un profilage illicites ; produire du code malveillant ou des contenus d’hameçonnage, contourner des contrôles de sécurité ou obtenir un accès non autorisé à des systèmes ; ou falsifier des documents, manipuler des preuves ou faciliter la fraude, la corruption ou le blanchiment d’argent.
7.2Sauf accord écrit contraire, le Client n’utilise pas la Plateforme pour prendre ou automatiser des décisions produisant des effets juridiques ou similaires importants sur des personnes, notamment dans les domaines de l’emploi, du crédit, de la santé, de l’éducation, de l’assurance ou de l’accès aux services essentiels, sans garanties appropriées et respect des lois applicables.
7.3En qualité de développeur, fournisseur ou déployeur des Applications qu’il crée ou rend accessibles, le Client est seul responsable de leur qualification réglementaire, des évaluations de risques, informations, contrôles humains et obligations de conformité applicables.
7.4Le Prestataire peut retirer ou suspendre toute Application ou tout contenu qui enfreint le présent Article 7, et peut coopérer avec les autorités compétentes.
8. Propriété intellectuelle, Résultats générés et jugement professionnel
8.1Le Prestataire est propriétaire de la Plateforme, de ses améliorations, des Développements spécifiques et de la Documentation. Le Client lui concède une licence gratuite d’utilisation de ses commentaires et suggestions pour améliorer ses produits et services, sans divulguer les Informations confidentielles du Client.
8.2Le Client est propriétaire de ses Données. À partir de Business, il peut télécharger le code source des Applications et le synchroniser avec son dépôt et détient les droits sur le code spécifique qu’il a créé, sous réserve des droits préexistants du Prestataire et des tiers.
8.3Sous réserve des droits des tiers et de ceux du Prestataire et des fournisseurs de Composants Open Source et de Modèles d’IA Tiers, le Client peut utiliser les Résultats Générés pour ses besoins d’entreprise. Les Résultats Générés ne sont pas nécessairement uniques : des prompts similaires peuvent produire des Résultats Générés similaires pour d’autres personnes.
8.4Les Résultats Générés peuvent être inexacts, incomplets, obsolètes, biaisés ou inadaptés. Le Client doit les vérifier avant de s’y fier, assurer une revue humaine avant utilisation, ne pas fonder une décision importante uniquement sur un Résultat Généré, faire vérifier les Résultats Générés par une personne qualifiée lorsque les enjeux sont juridiques, fiscaux, financiers, techniques, RH, médicaux, réglementaires ou stratégiques, et informer ses propres utilisateurs de ces limites. YouCraft est un outil technologique et non un conseiller professionnel ; le Client demeure seul responsable des décisions prises à l’aide de celui-ci.
9. Confidentialité
9.1« Informations Confidentielles » désignent toute information non publique, sous quelque forme que ce soit, divulguée par une partie (la « Partie Divulgatrice ») à l’autre (la « Partie Réceptrice ») dans le cadre du Contrat, qui est marquée comme confidentielle ou qui serait raisonnablement considérée comme telle. Elles comprennent : pour le Client, les Données Client, les Applications et leur code source, les prompts, les Résultats Générés, les identifiants et les informations commerciales ; pour le Prestataire, les aspects non publics de la Plateforme (architecture, code source, prompts système, configurations de modèles, gabarits, mesures de sécurité, résultats de tests, feuille de route), les Développements Spécifiques et les prix ; et, pour les deux, les termes du Contrat.
9.2Sont exclues les informations dont la Partie Réceptrice peut démontrer qu’elles : sont ou deviennent publiques autrement qu’en raison d’un manquement de sa part ; lui étaient légitimement connues auparavant ; ont été légitimement reçues d’un tiers autorisé à les divulguer ; ou ont été développées de manière indépendante sans utilisation des Informations Confidentielles de la Partie Divulgatrice.
9.3La Partie Réceptrice utilise les Informations Confidentielles uniquement pour exécuter le Contrat ou exercer ses droits à ce titre, les protège avec un soin au moins raisonnable, et ne les divulgue, selon le principe du besoin d’en connaître, qu’à son personnel, à ses Sociétés Affiliées et à ses conseillers professionnels tenus par des obligations de confidentialité équivalentes. Le Prestataire peut également divulguer les Informations Confidentielles du Client à ses sous-traitants et Sous-traitants Ultérieurs (y compris les fournisseurs d’hébergement et de Modèles d’IA Tiers) uniquement dans la mesure nécessaire à la fourniture des Services et sous réserve de conditions de confidentialité écrites ; une telle divulgation au titre du DPA ne constitue pas un manquement. La Partie Réceptrice demeure responsable des personnes auxquelles elle les divulgue.
9.4La Partie Réceptrice peut divulguer des Informations Confidentielles lorsque la loi ou une autorité compétente l’exige, après notification préalable à la Partie Divulgatrice lorsque la loi le permet, et uniquement dans la mesure nécessaire. Elle notifie à la Partie Divulgatrice, dans les meilleurs délais, toute divulgation ou utilisation non autorisée dont elle a connaissance.
9.5À la résiliation ou sur demande, la Partie Réceptrice restitue ou supprime les Informations Confidentielles, à l’exception des copies dont la conservation est légalement obligatoire et des sauvegardes courantes en attente d’écrasement, qui demeurent protégées. Les Données du Client sont régies par l’article 5.5 et le DPA.
9.6Ces obligations s’appliquent pendant la durée du Contrat et pendant cinq (5) ans après son terme, et sans limitation de durée pour les secrets d’affaires (tant qu’ils sont protégés comme tels) et pour les Données Client détenues par le Prestataire ou ses Sous-traitants Ultérieurs. Aucune licence n’est concédée sur les Informations Confidentielles, et la Partie Divulgatrice peut solliciter des mesures provisoires d’urgence en plus des autres recours.
10. Assistance et maintenance
10.1Le Prestataire fournit un onboarding (d’environ une heure), une formation initiale, une assistance pratique pour la première Application et des réunions de suivi périodiques (environ toutes les deux semaines) pendant la période initiale, comme prévu dans le plan d’onboarding. Le support standard est assuré par e-mail/système de tickets pendant les heures ouvrées. La formule Enterprise comprend un Customer Success Manager et un architecte de solutions dédiés, les éventuels niveaux de service étant définis dans un SLA distinct.
10.2Le Prestataire déploie des efforts raisonnables pour maintenir la Plateforme disponible, ne garantit pas un service ininterrompu et donne un préavis des opérations de maintenance planifiées lorsque cela est possible. Les défauts confirmés signalés au support sont examinés et corrigés en déployant des efforts raisonnables dans un délai raisonnable, par ordre de priorité selon leur gravité, sauf disposition contraire d’un SLA Enterprise.
11. Garanties, responsabilité et indemnisation
11.1Chaque partie déclare disposer du pouvoir de conclure le Contrat. Le Prestataire exécute les Services avec une compétence et une diligence raisonnables, conformément à la Documentation. Les obligations du Prestataire sont des obligations de moyens et non de résultat.
11.2DANS LA MESURE MAXIMALE PERMISE PAR LA LOI APPLICABLE, LA PLATEFORME EST FOURNIE « EN L’ÉTAT ». SAUF GARANTIE EXPRESSE À L’ARTICLE 11.1, LE PRESTATAIRE EXCLUT TOUTE GARANTIE EXPRESSE OU IMPLICITE, NOTAMMENT DE QUALITÉ MARCHANDE, D’ADÉQUATION À UN USAGE PARTICULIER, D’ABSENCE DE CONTREFAÇON, DE DISPONIBILITÉ ET D’EXACTITUDE DES RÉSULTATS.
11.3Aucune stipulation n’exclut ni ne limite la responsabilité en cas de fraude, faute intentionnelle, faute lourde lorsqu’elle ne peut être exclue, dommage corporel ou décès lorsque l’exclusion est interdite, ni toute autre responsabilité légalement non limitable.
11.4Sous réserve de l’article 11.3, aucune partie ne répond des pertes de bénéfices, revenus, données, contrats, clients ou clientèle, des atteintes à la réputation ni des dommages indirects, accessoires, spéciaux, exemplaires ou consécutifs, même prévisibles.
11.5Sous réserve de l’article 11.3, la responsabilité totale du Prestataire découlant du Contrat ou s’y rapportant, y compris le DPA dans la mesure autorisée par la loi, est limitée aux montants payés ou payables par le Client au titre du Contrat pendant les douze (12) mois précédant le fait générateur.
11.6Le Client défend, indemnise et garantit le Prestataire contre les réclamations de tiers, amendes légalement indemnisables, dommages et frais raisonnables résultant des Données du Client, Applications, instructions, usages illicites ou violations du Contrat imputables au Client, sous réserve des limites prévues par la loi.
11.7Les parties reconnaissent que les rémunérations reflètent cette répartition des risques.
12. Conformité et publicité
12.1Chaque partie respecte les lois qui lui sont applicables, notamment en matière de protection des données, de lutte contre la corruption, de contrôle des exportations et de sanctions. Le Client s’interdit tout usage ou transfert interdit par ces lois.
12.2Le Client ne doit pas utiliser les noms, logos ou signes distinctifs du Prestataire, de YouCraft ou de tout fournisseur de Modèle d’IA Tiers (tel qu’Anthropic ou Claude) dans ses communications publiques, commerciales ou promotionnelles sans consentement écrit préalable. Le Prestataire peut citer le nom et le logo du Client à titre de référence, sauf opposition écrite du Client.
13. Dispositions générales
13.1Cession. Le Client ne peut céder le Contrat sans consentement du Prestataire. Le Prestataire peut le céder à une Société affiliée ou dans le cadre d’une fusion ou cession de son activité, sous réserve du maintien des obligations contractuelles.
13.2Force majeure. Aucune partie n’est responsable des retards ou inexécutions dus à des événements hors de son contrôle raisonnable, notamment pannes généralisées, cyberattaques, catastrophes ou mesures gouvernementales, sous réserve des obligations de paiement échues.
13.3Intégralité ; divisibilité ; renonciation. Le Contrat remplace les échanges antérieurs ; la nullité d’une stipulation n’affecte pas les autres ; l’absence d’exercice d’un droit ne vaut pas renonciation.
13.4Modifications. Les modifications requièrent un accord écrit des parties, sauf changements de prix/offre selon l’article 4.4, mises à jour du DPA ou des Sous-traitants ultérieurs et évolutions techniques, opérationnelles ou de sécurité permises par le Contrat.
13.5Notifications. Les notifications sont adressées aux contacts figurant au Bon de commande. Les avis de résiliation doivent être écrits et transmis par un moyen permettant d’en établir la réception, y compris le courriel lorsque les conditions du Contrat sont respectées.
13.6Signatures électroniques. Le Bon de commande peut être signé électroniquement, notamment au moyen d’une plateforme reconnue, conformément aux lois applicables.
13.7Droit applicable et compétence. Le Contrat est régi par les lois de la province de Québec et les lois fédérales du Canada qui y sont applicables, à l’exclusion des règles de conflit de lois. Sous réserve des dispositions impératives, les tribunaux situés à Montréal (Québec) ont compétence exclusive.
13.8Survie. Les Articles 5.5, 8, 9, 11, 12 et 13, ainsi que toute stipulation destinée à survivre, continuent de s’appliquer après la fin du Contrat.
Annexe relative au traitement des données (DPA)
Le présent DPA fait partie du Contrat entre le Prestataire (sous-traitant ou fournisseur de services) et le Client (responsable du traitement ou entreprise) et s’applique chaque fois que le Prestataire traite des Données personnelles du Client pour son compte.
1. Champ d’application et rôles
1.1Le Client agit comme responsable du traitement et le Prestataire comme sous-traitant selon la loi applicable. Lorsque le Client est lui-même sous-traitant d’un tiers, il garantit disposer de l’autorisation nécessaire pour donner les instructions prévues au présent DPA.
1.2L’objet, la durée, la nature, les finalités, les personnes concernées et les catégories de Données personnelles sont précisés à l’annexe 1. Le traitement est limité à ce qui est nécessaire pour fournir les Services.
1.3Lorsqu’une Application est hébergée entièrement dans l’Environnement du Client et que le Prestataire n’a pas accès aux Données Personnelles concernées, le Prestataire ne les Traite pas pour le compte du Client, et le Client est responsable de leur sécurité, conservation, sauvegarde, exportation et suppression.
2. Instructions
2.1Le Prestataire ne traite les Données personnelles du Client que sur instructions documentées de celui-ci, notamment le Contrat, le présent DPA, le Bon de commande et les paramètres de la Plateforme, sauf obligation légale contraire ; dans ce cas, il informe le Client dans la mesure permise par la loi.
2.2Le Prestataire informe rapidement le Client si, selon lui, une instruction contrevient aux Lois applicables sur la protection des données et peut en suspendre l’exécution jusqu’à clarification.
2.3Si le Prestataire ne peut plus respecter le présent DPA, il en informe rapidement le Client ; celui-ci peut prendre des mesures raisonnables et appropriées pour arrêter et corriger le traitement non autorisé.
3. Responsabilités du Client
3.1Le Client garantit disposer des bases légales, avis et consentements nécessaires, de l’autorité pour transmettre les Données personnelles au Prestataire et aux Sous-traitants ultérieurs, et d’instructions licites ; il répond des données et des choix de configuration qu’il contrôle.
4. Confidentialité et sécurité
4.1Le Prestataire veille à ce que les personnes autorisées à Traiter les Données Personnelles du Client soient tenues par des obligations de confidentialité.
4.2Le Prestataire applique des mesures techniques et organisationnelles appropriées au risque, décrites à l’annexe 2 ; elles peuvent évoluer sans diminution substantielle du niveau de protection.
4.3Le Client est responsable de la gestion de ses utilisateurs et des droits d’accès, de la sécurité de ses identifiants, appareils, systèmes et Environnement du Client, de la licéité et de la sécurité de ses prompts, des Données Client et des Applications, ainsi que de la configuration des intégrations et des services tiers qu’il sélectionne.
5. Demandes des personnes et assistance
5.1Le Prestataire transmet au Client, lorsque la loi le permet, toute demande d’une Personne Concernée qu’il reçoit concernant les Données Personnelles du Client, et ne répond pas à la Personne Concernée sauf si la loi l’exige.
5.2Compte tenu de la nature du traitement et des informations disponibles, le Prestataire apporte une assistance raisonnable et en temps utile au Client pour répondre aux demandes des personnes et remplir ses obligations légales pertinentes.
6. Violations de données personnelles
6.1Le Prestataire notifie le Client par écrit sans retard injustifié et, dans la mesure du possible, dans les quarante-huit (48) heures après avoir pris connaissance d’une violation de Données personnelles du Client.
6.2La notification décrit, dans la mesure connue et par étapes si nécessaire, la nature de l’incident, les catégories et nombres approximatifs de personnes et de données touchées, ses conséquences probables, les mesures prises ou envisagées et un contact utile. Le Prestataire coopère raisonnablement à l’enquête et aux mesures correctives.
7. Sous-traitants ultérieurs
7.1Le Client autorise de manière générale le Prestataire à recourir à des Sous-traitants ultérieurs pour l’hébergement, l’infrastructure, la sécurité, la surveillance, les journaux, l’assistance, la maintenance, les sauvegardes, les services professionnels et les fonctions d’IA, notamment les fournisseurs de Modèles d’IA tiers, sous réserve du présent DPA et de l’article 8. Ils sont identifiés à l’article 7.3.
7.2Le Prestataire impose à chaque Sous-traitant ultérieur, par contrat écrit, des obligations de confidentialité, de sécurité, de protection des données et de limitation des usages au moins substantiellement équivalentes à celles du présent DPA et demeure responsable de leur exécution conformément à la loi.
7.3Sous-traitants ultérieurs autorisés. Les prestataires utilisés pour l’offre canadienne sont énumérés ci-dessous. Leurs services et lieux de traitement doivent être confirmés et correctement renseignés dans le tableau avant tout traitement de Données personnelles du Client. Tout accès ou transfert international relève de l’article 8.
| Sous-traitant ultérieur/fournisseur | Service/finalité | Lieu de traitement | Offre YouCraft |
|---|---|---|---|
| AWS | Modèles d’IA tiers / grands modèles de langage et infrastructure d’hébergement infonuagique | États-Unis | Starter, Business, Sovereign, Enterprise |
Les sous-traitants d’AWS sont indiqués sur le site officiel d’AWS.
7.4Le Prestataire donne un préavis d’au moins trente (30) jours avant tout nouveau Sous-traitant ultérieur ou remplacement affectant substantiellement le traitement. Le Client peut s’y opposer pour des motifs raisonnables de protection des données ; les parties recherchent une solution de bonne foi.
8. Traitement des données au Canada et à l’international
8.1Le Prestataire héberge les Données personnelles du Client aux États-Unis selon la même architecture d’hébergement que l’offre américaine, sous réserve de la confirmation des Sous-traitants ultérieurs, régions de traitement, lieux de sauvegarde et modalités d’accès à distance consignés à l’annexe 1. Aucune résidence des données au Canada n’est garantie. Pour les renseignements personnels québécois, les parties respectent les exigences applicables d’évaluation des facteurs relatifs à la vie privée et d’accord écrit en matière de transfert transfrontalier.
8.2Avant de communiquer des renseignements personnels hors Québec, la partie responsable de la communication réalise toute évaluation des facteurs relatifs à la vie privée exigée par le droit québécois et s’assure de garanties contractuelles appropriées. Le Prestataire assiste raisonnablement le Client en lui fournissant les informations disponibles sur les lieux de traitement, les Sous-traitants ultérieurs et les mesures de sécurité. Tout autre transfert ou accès à distance reste soumis aux lois canadiennes applicables et aux exigences d’information ou de consentement du Contrat.
8.3Sur demande écrite raisonnable, le Prestataire fournit au Client les informations raisonnablement nécessaires pour démontrer le respect du présent article, sous réserve des exigences de confidentialité et de sécurité.
9. Modèles d’IA et Données de conversation
9.1Le Prestataire n’utilise pas les Données personnelles du Client, ses Données ou ses Données de conversation pour entraîner ses propres modèles d’IA généralistes sans consentement préalable du Client.
9.2Le Prestataire exige des fournisseurs de Modèles d’IA tiers qu’ils ne traitent les Données personnelles du Client que pour fournir les services convenus et qu’ils respectent les engagements contractuels applicables en matière de conservation et d’entraînement.
9.3Le Client décide des fonctionnalités d’IA qu’il active et utilise.
10. Informations de conformité et audits
10.1Sur demande écrite raisonnable et sous confidentialité, le Prestataire communique les rapports d’audit, certifications et évaluations de sécurité disponibles permettant de vérifier le respect du présent DPA.
10.2Si ces éléments sont insuffisants, le Client peut auditer les contrôles pertinents du Prestataire lui-même ou par un auditeur indépendant soumis à confidentialité, avec un préavis de trente (30) jours, selon des modalités raisonnables de sécurité et de fonctionnement.
11. Restitution et suppression
11.1Les utilisateurs autorisés peuvent supprimer les Données de conversation qui leur sont accessibles ; les administrateurs du Client peuvent supprimer l’ensemble des Données de conversation de son espace selon les fonctionnalités disponibles.
11.2Pendant trente (30) jours après expiration ou résiliation, le Client peut demander une copie des Données du Client présentes dans les systèmes actifs du Prestataire ou utiliser les fonctions d’export disponibles. À l’issue, le Prestataire supprime ou restitue les données conformément au présent DPA.
11.3Exceptions. Les Données du Client ne peuvent être conservées que si la loi l’exige, pour constater, exercer ou défendre des droits en justice ou dans des sauvegardes supprimées selon les cycles habituels et protégées contre tout usage non autorisé.
12. Dispositions générales
12.1En cas de conflit relatif au traitement des Données personnelles du Client, le présent DPA prévaut sur les Conditions générales. L’article 11 des Conditions générales s’applique au DPA dans la mesure permise par les Lois applicables sur la protection des données, sans préjudice des droits impératifs des personnes. Le DPA demeure en vigueur tant que le Prestataire traite des Données personnelles pour le compte du Client. Contact protection des données : dpo@leyton.com.
Annexe 1 Détails des traitements et transferts
| Objet | Fourniture, exploitation, maintenance, assistance et sécurité de YouCraft, y compris la génération d’Applications sans code, les fonctions d’IA, l’hébergement le cas échéant, l’assistance, la surveillance, les journaux, les sauvegardes et les services professionnels convenus. |
|---|---|
| Durée et fréquence | En continu pendant le Contrat selon l’utilisation et la configuration du Client, puis pendant les périodes limitées nécessaires à l’exportation, la restitution, la suppression, la conservation des sauvegardes et au respect des obligations légales. |
| Nature du traitement | Collecte, enregistrement, organisation, stockage, consultation, utilisation, transmission et communication aux Sous-traitants ultérieurs autorisés, extraction, exportation, adaptation, limitation, suppression et destruction. |
| Finalités | Fournir et exploiter YouCraft ; permettre au Client et aux utilisateurs de développer, déployer et utiliser les Applications ; fournir les fonctions d’IA et générer les Résultats demandés ; héberger les Applications et les Données du Client lorsque prévu ; maintenir la qualité, la sécurité et l’intégrité ; assurer l’assistance, la maintenance, la surveillance, les sauvegardes et la gestion des incidents ; prévenir la fraude, les abus et les usages illicites ; respecter les obligations légales. |
| Catégories de personnes concernées | Salariés, prestataires et utilisateurs autorisés du Client ; ses clients, prospects, fournisseurs et partenaires ; utilisateurs des Applications développées par le Client ; personnes dont les Données personnelles figurent dans les Données du Client. |
| Catégories de données personnelles | Noms, coordonnées professionnelles et informations d’entreprise ; données de compte, de connexion et d’authentification ; informations professionnelles et relatives à l’emploi ; données techniques (adresses IP, données d’appareil, journaux d’accès) ; demandes d’assistance et données d’utilisation ; informations contenues dans les documents, formulaires, bases de données, flux de travail, requêtes et Applications. |
| Catégories particulières | Traitement non prévu et interdit, sauf autorisation écrite préalable du Prestataire et accord sur des garanties supplémentaires (article 6.6 des Conditions générales). |
| Exportateur / importateur de données | Le Client est responsable du traitement et le Prestataire sous-traitant ou fournisseur de services conformément aux lois canadiennes applicables sur la protection des données. Les traitements relevant du présent DPA sont réalisés aux États-Unis. |
| Sous-traitants ultérieurs | Voir l’article 7.3 du présent DPA ; lieux situés uniquement aux États-Unis. |
Annexe 2 Mesures techniques et organisationnelles
Le Prestataire met en œuvre et maintient des mesures conformes aux pratiques reconnues du secteur afin de protéger la sécurité, la confidentialité et l’intégrité des Données personnelles du Client, notamment :
- un programme de sécurité de l’information, des responsables de la gouvernance de sécurité et des engagements de confidentialité pour le personnel autorisé ;
- une gestion des accès, des contrôles d’authentification et le principe du moindre privilège ; un chiffrement en transit et, le cas échéant, au repos ; des contrôles de sécurité réseau ;
- une séparation des environnements de production, développement et test ; une gestion des changements ; des analyses de vulnérabilité, correctifs, détection des menaces et mesures de protection ;
- des journaux, une surveillance, des alertes et des procédures de réponse aux incidents ; des sauvegardes et des plans de continuité et de reprise après sinistre ; et
- des tests périodiques de sécurité et, le cas échéant, des tests d’intrusion ; une gestion des risques fournisseurs et des revues de sécurité.
Acceptation. Les présentes Conditions générales ne comportent pas de bloc de signature distinct. Elles sont incorporées à chaque Bon de commande qui y fait référence et sont acceptées lors de sa signature.