Politique de confidentialité

La présente politique explique quels renseignements personnels RapidCents Inc. recueille, pourquoi, avec qui elle les partage, combien de temps elle les conserve et quels droits vous pouvez exercer. Elle vise nos sites Web, le tableau de bord marchand et les services de paiement. Lorsque nous agissons pour le compte d’un commerçant plutôt que pour notre propre compte, la distinction est précisée à l’article 3 : elle détermine à qui adresser vos demandes.

1. Qui nous sommes et ce que vise la présente politique

RapidCents Inc. (« RapidCents », « nous ») est une entreprise de technologie de paiement constituée au Canada, avec des bureaux à North York (Ontario) et à Ashburn (Virginie). La présente politique vise rapidcents.com et ses versions localisées, le tableau de bord marchand, la passerelle de paiement et le terminal virtuel, nos logiciels mobiles et de terminal, ainsi que nos communications de soutien et de marketing.

Elle ne vise pas le site Web d’un commerçant ni la façon dont un commerçant traite les renseignements qu’il recueille auprès de ses clients. Elle ne vise pas non plus les services tiers que vous choisissez de connecter, qui sont régis par leurs propres politiques.

2. Le cadre juridique applicable

La loi fédérale canadienne sur la vie privée s’applique. Au Québec, la Loi 25 ajoute des droits. Les lois d’État américaines s’appliquent aux résidents américains.

RapidCents est assujettie à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) au Canada. Lorsqu’une province dispose d’une loi essentiellement similaire — le Québec, l’Alberta et la Colombie-Britannique —, cette loi s’applique aux activités qui s’y déroulent. Pour les résidents du Québec, la Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25, s’applique et confère les droits additionnels décrits à l’article 8.

Pour les résidents d’États américains dotés d’une loi générale sur la vie privée, nous respectons les droits que ces lois accordent, notamment les droits de savoir, de supprimer, de rectifier et de refuser la vente ou le partage. RapidCents ne vend pas de renseignements personnels au sens de ces lois.

À titre de fournisseur de paiement, nous sommes également soumis à des obligations qui priment sur une demande de suppression, notamment la tenue de registres exigée par la législation contre le blanchiment d’argent et la conservation de preuves prévue par les règles des réseaux de cartes. L’article 7 explique cette interaction.

3. Responsable du traitement ou sous-traitant

Pour nos propres commerçants, nous décidons de l’usage des renseignements. Pour les clients d’un commerçant, c’est le commerçant qui décide et nous agissons selon ses instructions — sauf pour ce que nous faisons pour notre propre compte, comme le filtrage des sanctions, nos propres décisions en matière de fraude, les déclarations aux autorités et aux réseaux de cartes et les registres que nous sommes tenus de conserver, où c’est nous qui décidons et qui répondons.

RapidCents agit à titre de responsable du traitement — déterminant les fins et les moyens du traitement — pour les renseignements concernant les commerçants, leur personnel, les demandeurs, les visiteurs du site Web et les personnes qui communiquent avec nous. La présente politique décrit ce traitement.

Nous agissons également à titre de responsable du traitement pour un ensemble plus restreint d’activités qui touchent les clients d’un commerçant, parce qu’il nous revient d’en décider et d’en répondre plutôt qu’au commerçant, et parce que plusieurs d’entre elles sont des obligations que la loi met directement à notre charge. Un commerçant ne peut nous donner l’instruction d’y mettre fin. L’article 4 de l’addendum sur le traitement des données énumère activité par activité tout ce que nous accomplissons à titre de responsable du traitement; voici celles qui touchent les clients d’un commerçant :

• Le filtrage des parties à une transaction au regard des listes de sanctions que nous sommes tenus de consulter. C’est la même obligation qui nous impose de vérifier l’identité d’un commerçant, de ses administrateurs et de ses bénéficiaires effectifs, ce que décrit l’article 4.
• La surveillance des opérations, la déclaration des opérations douteuses et toute autre déclaration que nous sommes tenus ou autorisés à faire à un organisme de réglementation ou à une autorité policière — déclaration dont la loi peut nous interdire d’informer le commerçant.
• Nos propres décisions de prévention de la fraude, de pointage de risque, de souscription, de réserve et de versement, ainsi que les contrôles de risque et de conformité que nous exerçons pour notre propre compte et dans l’intérêt de notre acquéreur, des réseaux de cartes et des autres commerçants plutôt qu’au bénéfice du commerçant.
• Les déclarations et les réponses que nous devons à notre acquéreur, aux réseaux de cartes et à nos organismes de réglementation, y compris le traitement des rétrofacturations et des contestations, les amendes et cotisations, ainsi que l’expertise judiciaire qui suit une compromission soupçonnée de données de carte.
• La conservation des registres qu’exigent nos propres obligations de tenue de registres, fiscales, d’audit et PCI DSS, la défense de nos propres recours, ainsi que l’exploitation et la sécurisation de la plateforme elle-même. L’instruction de suppression donnée par un commerçant n’atteint pas un registre que nous sommes par ailleurs tenus de conserver; l’article 7 en indique les durées.
• L’analyse de l’utilisation des services en vue de les améliorer, et la production, à partir de cette analyse, d’analyses comparatives, d’analytiques et de recherches agrégées et anonymisées. Il en résulte les statistiques agrégées décrites à l’article 5, qui n’identifient personne.

À cela près, RapidCents agit à titre de sous-traitant, traitant les renseignements selon les instructions d’un commerçant, pour les renseignements personnels des clients de ce commerçant qui transitent par les services de paiement. Si vous êtes titulaire de carte et avez une question sur un achat, le commerçant auprès duquel vous avez acheté est le premier interlocuteur : c’est lui qui décide de ce qui est recueilli et pourquoi. Nous aiderons néanmoins le commerçant à vous répondre et respectons les droits des titulaires qui nous visent directement.

Lorsque nous agissons comme sous-traitant, l’addendum sur le traitement des données énonce les engagements applicables à ce rôle, et l’article 4 de cet addendum constitue l’énoncé complet de la répartition décrite au présent article.

4. Renseignements que nous recueillons

Nous ne recueillons que ce qui est nécessaire aux fins énoncées à l’article 5. Les catégories varient selon que vous êtes commerçant, membre du personnel d’un commerçant, visiteur du site Web ou titulaire de carte.

• Renseignements d’entreprise et d’identité, auprès des commerçants et des demandeurs : dénomination légale et commerciale, numéro d’entreprise, documents de constitution et de propriété, adresses, identité des administrateurs et des bénéficiaires effectifs, et pièces d’identité gouvernementales lorsque la vérification l’exige. Ces renseignements sont recueillis parce que la loi contre le blanchiment d’argent et les règles des réseaux de cartes obligent un fournisseur de paiement à vérifier l’identité de ceux qu’il accepte — voir la politique KYC.
• Coordonnées et renseignements de compte : nom, courriel professionnel, numéro de téléphone, fonction, identifiants de connexion et paramètres d’authentification multifacteur.
• Renseignements financiers et de règlement : coordonnées bancaires pour les dépôts, historique de traitement, relevés, grilles tarifaires, dossiers de rétrofacturation et de remboursement.
• Renseignements de transaction : montant, devise, date et heure, résultat d’approbation ou de refus et son motif, quatre derniers chiffres et marque de la carte, code postal de facturation utilisé pour la vérification d’adresse, appareil ou canal, et jeton représentant le moyen de paiement.
• Renseignements techniques liés à votre utilisation de nos sites et du tableau de bord : adresse IP, navigateur et système d’exploitation, page de provenance, pages consultées et interactions, recueillis comme le décrit la politique sur les témoins.
• Communications : contenu des demandes de soutien, courriels, clavardages et appels avec nos équipes, y compris les enregistrements lorsque nous vous informons qu’un appel est enregistré.
• Préférences de marketing : état de l’abonnement et consentement à recevoir des messages électroniques ou des SMS.

5. Pourquoi nous les utilisons

Nous utilisons les renseignements personnels pour fournir, sécuriser et améliorer les services, et pour respecter des obligations auxquelles nous ne pouvons nous soustraire. Plus précisément : évaluer et ouvrir des comptes marchands, y compris la vérification d’identité et le filtrage des sanctions; autoriser, acheminer, régler et réconcilier les transactions; détecter et prévenir la fraude et les accès non autorisés; gérer les rétrofacturations et fournir la preuve aux banques émettrices; offrir le soutien et vous répondre; facturer, percevoir et comptabiliser les frais; respecter les obligations légales, fiscales, d’audit et des réseaux de cartes; produire des statistiques agrégées qui n’identifient personne; et, avec votre consentement ou lorsque la loi le permet, envoyer des communications de marketing portant sur des produits liés à ceux que vous utilisez déjà.

Nous ne vendons pas de renseignements personnels. Nous n’utilisons pas le détail des transactions des titulaires pour créer des profils publicitaires et nous ne communiquons pas les données d’un commerçant à un autre.

6. Avec qui nous les partageons

Les banques et réseaux de cartes, des fournisseurs évalués, et les autorités lorsque la loi l’exige. Jamais pour le marketing d’un tiers.

Nous ne communiquons de renseignements personnels que dans les cas décrits ici. Chaque fournisseur qui les traite est lié par contrat à ne les utiliser que pour le service qu’il nous rend, à les protéger et à les restituer ou les supprimer à la fin du mandat.

• Banques acquéreuses, réseaux de cartes et processeurs, pour autoriser, régler et réconcilier les transactions et gérer les litiges. Leur traitement est régi par leurs propres règles, notamment les règlements d’exploitation de Visa et de Mastercard.
• Fournisseurs agissant selon nos instructions, pour l’hébergement infonuagique, les communications, l’analytique, la vérification d’identité et le filtrage des sanctions, les outils antifraude et le soutien à la clientèle. La page des sous-traitants énonce ces catégories, la mission confiée à chacune et ce à quoi elle peut accéder; l’article 9 de cette page publie le registre des fournisseurs, précise qu’il est complet quant aux parties qu’il nomme sans constituer l’ensemble de la chaîne d’approvisionnement, et indique comment obtenir la liste complète à jour et comment demander le pays où traite un fournisseur lorsque le registre n’en indique pas.
• Conseillers professionnels — auditeurs, avocats et assureurs — tenus à une obligation de confidentialité.
• Organismes de réglementation, forces de l’ordre et tribunaux, lorsque la loi nous oblige à divulguer, ou lorsque la divulgation est nécessaire pour enquêter sur une fraude présumée ou protéger nos droits, nos biens ou la sécurité, y compris ceux d’autrui.
• Un acquéreur ou successeur, dans le cadre d’une fusion, d’un financement, d’une réorganisation ou d’une vente d’actifs, sous réserve de confidentialité et du maintien de l’application de la présente politique aux renseignements transférés.
• D’autres parties, avec votre consentement ou à votre demande — par exemple lorsque vous connectez une intégration tierce.

7. Durée de conservation

Les dossiers de paiement ont une durée de conservation imposée par la loi. Nous ne pouvons les supprimer sur demande, et nous le disons plutôt que de promettre le contraire.

Nous ne conservons les renseignements personnels que le temps nécessaire à la fin pour laquelle ils ont été recueillis, ou aussi longtemps que la loi l’exige, selon la plus longue de ces périodes. La conservation est fixée par catégorie et non par une période unique valant pour tout le site.

• Dossiers de vérification d’identité et d’ouverture de compte : conservés pendant la période exigée d’une entité déclarante par la législation canadienne contre le blanchiment d’argent, calculée à compter de la fin de la relation d’affaires.
• Dossiers de transaction et de règlement : conservés pendant la période requise à des fins fiscales, d’audit et de litige auprès des réseaux de cartes.
• Moyens de paiement enregistrés : conservés dans le coffre sous forme de jetons et supprimés lorsque le commerçant supprime la fiche client ou que le compte est fermé. Conformément à nos pratiques de sécurité, les données de titulaires sont conservées jusqu’à 24 mois d’inactivité.
• Communications de soutien : conservées pendant que le compte est ouvert et pendant une période raisonnable par la suite, afin qu’une question ultérieure sur un dossier passé puisse encore recevoir réponse.
• Analytique du site Web : conservée pendant la période indiquée dans la politique sur les témoins.
• Préférences de marketing et retraits : conservés indéfiniment, puisqu’il faut un registre du retrait pour le respecter.

8. Vos droits et comment les exercer

Vous pouvez nous demander d’accéder aux renseignements personnels que nous détenons à votre sujet, de les rectifier s’ils sont inexacts ou incomplets, de les supprimer lorsqu’aucune obligation légale ne nous impose de les conserver, de vous les communiquer dans un format technologique structuré et couramment utilisé ou de les transférer à un autre organisme, de retirer un consentement déjà donné, ou de cesser de les utiliser à des fins de marketing.

Les résidents du Québec ont en outre le droit d’être informés lorsqu’une décision les concernant est prise exclusivement au moyen d’un traitement automatisé et de présenter des observations à ce sujet, ainsi que le droit à la désindexation dans les cas prévus par la Loi 25. Les résidents d’États américains dotés d’une loi générale sur la vie privée peuvent exercer les droits que ces lois accordent et porter en appel la décision que nous rendons sur une telle demande.

Écrivez au responsable de la protection des renseignements personnels à l’adresse indiquée à l’article 12. Nous accuserons réception, pourrons demander des renseignements pour vérifier votre identité afin de ne pas communiquer vos données à un tiers, et répondrons dans les trente (30) jours, ou vous indiquerons pourquoi un délai supplémentaire est nécessaire et quand attendre une réponse. Une demande raisonnable est sans frais.

Le retrait du consentement n’a pas d’effet sur les traitements déjà effectués, et certains retraits nous empêchent de continuer à fournir une partie du service : nous vous le dirons plutôt que de retirer le service sans explication. Si notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès du Commissariat à la protection de la vie privée du Canada, de la Commission d’accès à l’information du Québec ou de l’autorité équivalente de votre territoire.

9. Lieu de conservation et transferts

RapidCents exerce ses activités au Canada et aux États-Unis et fait appel à une infrastructure infonuagique et à des fournisseurs qui peuvent conserver ou traiter des renseignements personnels à l’extérieur de la province ou du pays où vous résidez, y compris aux États-Unis. Le cas échéant, les renseignements sont assujettis aux lois de ce territoire et peuvent être accessibles à ses tribunaux, à ses forces de l’ordre et à ses autorités de sécurité nationale.

Nous ne transférons de renseignements personnels qu’à des fournisseurs contractuellement tenus de les protéger selon une norme comparable à la nôtre, et nous réalisons une évaluation des facteurs relatifs à la vie privée avant de confier des renseignements à un fournisseur situé dans un autre territoire, comme l’exige la Loi 25 du Québec. Vous pouvez demander au responsable de la protection des renseignements personnels des précisions sur nos pratiques à cet égard.

10. Protection des renseignements et gestion des incidents

Les numéros de carte sont remplacés par des jetons et conservés dans un coffre à portée PCI plutôt que dans le stockage applicatif ordinaire. Les données sensibles conservées sont chiffrées, les connexions exigent TLS 1.2 ou une version supérieure, l’accès est fondé sur les rôles et requiert l’authentification multifacteur, et les accès du personnel aux données marchandes sont journalisés. La page Sécurité décrit ces mesures en détail.

Aucune mesure n’élimine complètement le risque, et nous ne prétendons pas le contraire. Si un incident de confidentialité présente un risque réel de préjudice sérieux, nous aviserons les personnes concernées et les autorités compétentes comme l’exige la loi, notamment le Commissariat à la protection de la vie privée du Canada en vertu de la LPRPDE et la Commission d’accès à l’information en vertu de la Loi 25, et nous tenons un registre des incidents de confidentialité.

Si vous croyez que votre compte a été consulté sans autorisation, communiquez immédiatement avec nous. Pour signaler une vulnérabilité de sécurité, suivez la politique de divulgation des vulnérabilités.

11. Marketing, courriel et SMS

Les messages électroniques commerciaux sont envoyés conformément à la Loi canadienne anti-pourriel. Chaque courriel de marketing nous identifie, indique notre adresse postale et comprend un mécanisme de désabonnement fonctionnel pendant au moins soixante (60) jours. Le désabonnement prend effet rapidement et n’a jamais d’incidence sur les messages de service portant sur votre compte, la sécurité, la facturation ou une obligation légale.

Si vous nous fournissez un numéro de mobile et y consentez, vous acceptez de recevoir des messages texte de RapidCents à ce numéro; la participation n’est pas une condition d’achat et la fréquence des messages varie. Répondez STOP à tout message pour vous retirer : vous recevrez un message de confirmation et rien d’autre; répondez HELP pour obtenir de l’aide. Les tarifs de messagerie et de données de votre fournisseur peuvent s’appliquer et nous ne sommes pas responsables de ces frais.

12. Communiquer avec le responsable de la protection des renseignements personnels

RapidCents a désigné un responsable de la protection des renseignements personnels chargé du respect de la présente politique ainsi que du traitement des demandes et des plaintes. Écrivez à : Responsable de la protection des renseignements personnels, RapidCents Inc., 515 Consumers Road, unité 210, North York (Ontario) M2J 4Z2, Canada, ou téléphonez au +1-844-957-2743. Aux États-Unis : 43300 Southern Walk Plaza, #166, Ashburn (Virginie) 20148, ou +1-202-902-6226.

Indiquez ce que vous demandez et comment vous joindre. Si votre demande concerne un achat effectué auprès d’une entreprise qui utilise RapidCents, précisez le nom du commerçant : comme l’explique l’article 3, c’est généralement lui qui décide de l’usage de ces renseignements.

13. Enfants

Les services sont destinés aux entreprises et ne s’adressent pas aux enfants. Nous ne recueillons pas sciemment de renseignements personnels auprès d’un enfant de moins de 13 ans. Si nous apprenons que c’est le cas, nous les supprimerons. Un parent ou tuteur qui croit qu’un enfant nous a fourni des renseignements doit communiquer avec le responsable de la protection des renseignements personnels.

14. Modification de la présente politique

Nous pouvons mettre à jour la présente politique. La date d’entrée en vigueur et la date de dernière révision figurent en haut de la page. Lorsqu’une modification touche de façon importante notre traitement des renseignements personnels, nous en donnerons avis au moins trente (30) jours avant son entrée en vigueur, par courriel ou par le tableau de bord marchand. Les versions antérieures sont disponibles sur demande auprès du responsable de la protection des renseignements personnels.