Politique de confidentialité

La présente politique explique quels renseignements personnels RapidCents Inc. recueille, pourquoi, avec qui elle les partage, combien de temps elle les conserve et quels droits vous pouvez exercer. Elle vise nos sites Web, le tableau de bord marchand et les services de paiement. Lorsque nous agissons pour le compte d’un commerçant plutôt que pour notre propre compte, la distinction est précisée à l’article 3 : elle détermine à qui adresser vos demandes. Sur notre site Web, l’endroit où vous vous trouvez détermine ce qui s’exécute avant votre choix. Aux États-Unis et dans les provinces et territoires du Canada autres que le Québec, Google Analytics, Microsoft Clarity, le pixel de Meta, la mesure publicitaire de Google et notre propre registre de vos visites fonctionnent dès votre première page, sans qu’aucune fenêtre contextuelle vous le demande d’abord, et si vous envoyez ensuite une demande au moyen du formulaire de contact, la façon dont vous êtes arrivé sur le site et ce que vous avez lu sont conservés avec elle. Partout ailleurs, l’avis sur les témoins vous le demande d’abord. « Paramètres des témoins », au bas de chaque page, désactive tout cela; l’article 4A l’explique.

1. Qui nous sommes et ce que vise la présente politique

RapidCents Inc. (« RapidCents », « nous ») est une entreprise de technologie de paiement constituée au Canada, avec des bureaux à North York (Ontario) et à Ashburn (Virginie). La présente politique vise rapidcents.com et ses versions localisées, le tableau de bord marchand, la passerelle de paiement et le terminal virtuel, nos logiciels mobiles et de terminal, ainsi que nos communications de soutien et de marketing.

Elle ne vise pas le site Web d’un commerçant ni la façon dont un commerçant traite les renseignements qu’il recueille auprès de ses clients. Elle ne vise pas non plus les services tiers que vous choisissez de connecter, qui sont régis par leurs propres politiques.

2. Le cadre juridique applicable

La loi fédérale canadienne sur la vie privée s’applique. Au Québec, la Loi 25 ajoute des droits. Les lois d’État américaines s’appliquent aux résidents américains.

RapidCents est assujettie à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) au Canada. Lorsqu’une province dispose d’une loi essentiellement similaire — le Québec, l’Alberta et la Colombie-Britannique —, cette loi s’applique aux activités qui s’y déroulent. Pour les résidents du Québec, la Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25, s’applique et confère les droits additionnels décrits à l’article 8.

Pour les résidents d’États américains dotés d’une loi générale sur la vie privée, nous respectons les droits que ces lois accordent, notamment les droits de savoir, de supprimer, de rectifier et de refuser la vente ou le partage. L’article 4A décrit ce que notre site Web communique à Google et à Meta à des fins publicitaires, et l’article 8 comment y mettre fin.

À titre de fournisseur de paiement, nous sommes également soumis à des obligations qui priment sur une demande de suppression, notamment la tenue de registres exigée par la législation contre le blanchiment d’argent et la conservation de preuves prévue par les règles des réseaux de cartes. L’article 7 explique cette interaction.

3. Responsable du traitement ou sous-traitant

Pour nos propres commerçants, nous décidons de l’usage des renseignements. Pour les clients d’un commerçant, c’est le commerçant qui décide et nous agissons selon ses instructions — sauf pour ce que nous faisons pour notre propre compte, comme le filtrage des sanctions, nos propres décisions en matière de fraude, les déclarations aux autorités et aux réseaux de cartes et les registres que nous sommes tenus de conserver, où c’est nous qui décidons et qui répondons.

RapidCents agit à titre de responsable du traitement — déterminant les fins et les moyens du traitement — pour les renseignements concernant les commerçants, leur personnel, les demandeurs, les visiteurs du site Web et les personnes qui communiquent avec nous. La présente politique décrit ce traitement.

Nous agissons également à titre de responsable du traitement pour un ensemble plus restreint d’activités qui touchent les clients d’un commerçant, parce qu’il nous revient d’en décider et d’en répondre plutôt qu’au commerçant, et parce que plusieurs d’entre elles sont des obligations que la loi met directement à notre charge. Un commerçant ne peut nous donner l’instruction d’y mettre fin. L’article 4 de l’addendum sur le traitement des données énumère activité par activité tout ce que nous accomplissons à titre de responsable du traitement; voici celles qui touchent les clients d’un commerçant :

• Le filtrage des parties à une transaction au regard des listes de sanctions que nous sommes tenus de consulter. C’est la même obligation qui nous impose de vérifier l’identité d’un commerçant, de ses administrateurs et de ses bénéficiaires effectifs, ce que décrit l’article 4.
• La surveillance des opérations, la déclaration des opérations douteuses et toute autre déclaration que nous sommes tenus ou autorisés à faire à un organisme de réglementation ou à une autorité policière — déclaration dont la loi peut nous interdire d’informer le commerçant.
• Nos propres décisions de prévention de la fraude, de pointage de risque, de souscription, de réserve et de versement, ainsi que les contrôles de risque et de conformité que nous exerçons pour notre propre compte et dans l’intérêt de notre acquéreur, des réseaux de cartes et des autres commerçants plutôt qu’au bénéfice du commerçant.
• Les déclarations et les réponses que nous devons à notre acquéreur, aux réseaux de cartes et à nos organismes de réglementation, y compris le traitement des rétrofacturations et des contestations, les amendes et cotisations, ainsi que l’expertise judiciaire qui suit une compromission soupçonnée de données de carte.
• La conservation des registres qu’exigent nos propres obligations de tenue de registres, fiscales, d’audit et PCI DSS, la défense de nos propres recours, ainsi que l’exploitation et la sécurisation de la plateforme elle-même. L’instruction de suppression donnée par un commerçant n’atteint pas un registre que nous sommes par ailleurs tenus de conserver; l’article 7 en indique les durées.
• L’analyse de l’utilisation des services en vue de les améliorer, et la production, à partir de cette analyse, d’analyses comparatives, d’analytiques et de recherches agrégées et anonymisées. Il en résulte les statistiques agrégées décrites à l’article 5, qui n’identifient personne.

À cela près, RapidCents agit à titre de sous-traitant, traitant les renseignements selon les instructions d’un commerçant, pour les renseignements personnels des clients de ce commerçant qui transitent par les services de paiement. Si vous êtes titulaire de carte et avez une question sur un achat, le commerçant auprès duquel vous avez acheté est le premier interlocuteur : c’est lui qui décide de ce qui est recueilli et pourquoi. Nous aiderons néanmoins le commerçant à vous répondre et respectons les droits des titulaires qui nous visent directement.

Lorsque nous agissons comme sous-traitant, l’addendum sur le traitement des données énonce les engagements applicables à ce rôle, et l’article 4 de cet addendum constitue l’énoncé complet de la répartition décrite au présent article.

4. Renseignements que nous recueillons

Nous ne recueillons que ce qui est nécessaire aux fins énoncées à l’article 5. Les catégories varient selon que vous êtes commerçant, membre du personnel d’un commerçant, visiteur du site Web ou titulaire de carte.

• Renseignements d’entreprise et d’identité, auprès des commerçants et des demandeurs : dénomination légale et commerciale, numéro d’entreprise, documents de constitution et de propriété, adresses, identité des administrateurs et des bénéficiaires effectifs, et pièces d’identité gouvernementales lorsque la vérification l’exige. Ces renseignements sont recueillis parce que la loi contre le blanchiment d’argent et les règles des réseaux de cartes obligent un fournisseur de paiement à vérifier l’identité de ceux qu’il accepte — voir la politique KYC.
• Coordonnées et renseignements de compte : nom, courriel professionnel, numéro de téléphone, fonction, identifiants de connexion et paramètres d’authentification multifacteur.
• Renseignements financiers et de règlement : coordonnées bancaires pour les dépôts, historique de traitement, relevés, grilles tarifaires, dossiers de rétrofacturation et de remboursement.
• Renseignements de transaction : montant, devise, date et heure, résultat d’approbation ou de refus et son motif, quatre derniers chiffres et marque de la carte, code postal de facturation utilisé pour la vérification d’adresse, appareil ou canal, et jeton représentant le moyen de paiement.
• Renseignements techniques liés à votre utilisation de nos sites et du tableau de bord : adresse IP, navigateur et système d’exploitation, page de provenance, pages consultées et interactions. Sur les sites Web, ce qui est recueilli et qui le reçoit dépendent de l’endroit où vous êtes et de vos choix en matière de témoins, comme le décrivent l’article 4A et la politique sur les témoins.
• Communications : contenu des demandes de soutien, courriels, clavardages et appels avec nos équipes, y compris les enregistrements lorsque nous vous informons qu’un appel est enregistré.
• Demandes envoyées au moyen du formulaire de contact du site Web : ce que vous saisissez, et ce qui est conservé avec la demande comme le décrit l’article 4A, y compris, lorsque vos choix en matière de témoins permettent la mesure d’audience, la façon dont vous êtes arrivé sur le site et les pages consultées.
• Préférences de marketing : état de l’abonnement, consentement à recevoir des messages électroniques, des appels ou des SMS et, lorsque vous cochez une case de consentement dans le formulaire de contact du site Web, le libellé exact que vous avez accepté et le moment où vous l’avez fait.

4A. Notre site Web, son avis sur les témoins et son formulaire de contact

Aux États-Unis et au Canada hors Québec, notre site Web mesure votre visite à des fins d’analytique et de publicité dès votre première page, sans vous le demander d’abord. Partout ailleurs, il vous le demande d’abord. Si vous nous écrivez au moyen du formulaire de contact pendant que la mesure d’audience est active, la façon dont vous nous avez trouvés et ce que vous avez lu sont conservés avec votre message. « Paramètres des témoins », au bas de chaque page, désactive tout cela.

Ce que notre site Web recueille au sujet d’une visite dépend de l’endroit où vous vous trouvez et des choix que vous faites dans son avis sur les témoins. Si vous êtes aux États-Unis, ou dans une province ou un territoire du Canada autre que le Québec, la mesure d’audience et le marketing sont actifs dès votre première page, sans qu’aucune fenêtre contextuelle vous le demande d’abord; le présent article et la politique sur les témoins en constituent l’avis. La mesure d’audience s’entend alors de Google Analytics; de Microsoft Clarity, qui enregistre les clics, le défilement et les mouvements du pointeur sur nos pages; et de notre propre registre des visites de votre navigateur. Le marketing s’entend du pixel de Meta et de l’API Conversions de Meta, ainsi que de la mesure publicitaire de Google. Pour les désactiver, choisissez « Paramètres des témoins » au bas de n’importe quelle page, puis « Essentiels seulement », ce qui arrête les deux d’un seul coup. Si vous êtes au Québec, au Canada sans que votre province puisse être déterminée, ou ailleurs dans le monde, ou si le site ne peut déterminer où vous êtes, l’avis sur les témoins s’affiche à votre première visite et rien de l’une ou l’autre catégorie ne s’exécute avant que vous acceptiez, hormis les signaux sans témoin que transmet la balise Google, décrits ci-dessous. Nous pouvons régler le site pour qu’il demande d’abord partout.

L’endroit où vous vous trouvez est déterminé à partir de l’adresse IP depuis laquelle votre navigateur se connecte : le pays et la province ou l’État, tels que les signale le réseau qui sert le site ou, lorsque ce signalement n’indique pas de pays, ou pas de province pour un visiteur au Canada, un service de géolocalisation par adresse IP que le site interroge. Nous conservons la réponse; l’adresse IP n’est pas conservée avec elle.

Tant que la mesure d’audience est active, nous tenons un registre pour votre navigateur : un identifiant aléatoire conservé dans votre navigateur; l’heure de votre première et de votre plus récente visite; le nombre de vos visites et des pages consultées; pour votre première arrivée et pour la plus récente, la page d’arrivée, le nom d’hôte du site qui vous a dirigé ici, ainsi que les paramètres de campagne et les identifiants de clic publicitaires figurant dans l’adresse par laquelle vous êtes arrivé, avec la source, le support et la campagne qui en sont déduits; les chemins des trente dernières pages consultées; votre pays et votre province ou État; votre type d’appareil et la famille de votre navigateur et de votre système d’exploitation; la langue de votre navigateur; et le fait que la mesure d’audience a été acceptée par vous ou est active par défaut. Ce registre n’est pas anonyme : l’identifiant distingue votre navigateur et, une fois que vous envoyez une demande, le registre porte la référence de cette demande, ce qui le rattache à votre nom. Votre adresse IP n’y est pas conservée. Il est supprimé douze mois après votre dernière visite, et immédiatement si vous désactivez la mesure d’audience, ce que fait « Essentiels seulement ».

Lorsque vous envoyez le formulaire de contact, nous conservons ce que vous saisissez — votre nom, votre adresse courriel, votre numéro de téléphone, le nom de votre entreprise, le sujet choisi et votre message —, avec la page d’où vous l’avez envoyé, l’heure, la chaîne d’identification de votre navigateur et un hachage à sens unique, avec clé, de votre adresse IP, qui sert à limiter les envois répétés. Nous conservons aussi votre pays et votre province ou État, votre type d’appareil et la famille de votre navigateur et de votre système d’exploitation, la langue de votre navigateur, l’état de l’avis sur les témoins au moment de l’envoi du formulaire, et le fait que votre navigateur transmettait ou non un signal Global Privacy Control. Si la mesure d’audience est active à ce moment, nous conservons également l’historique de visite conservé dans votre navigateur — la façon dont vous êtes arrivé, depuis quel site et quelle campagne, et les pages consultées avant d’écrire — et nous rattachons à la demande notre registre des visites de votre navigateur. Un avis sous le formulaire l’indique et renvoie à la présente politique.

Une candidature est conservée de la même façon, avec ce que vous y transmettez, mais sans historique de visite; ses coordonnées ne servent pas à envoyer du marketing et ne sont jamais transmises à Meta.

Le formulaire de contact comporte deux cases facultatives, toutes deux décochées tant que vous ne les cochez pas : l’une pour les courriels de marketing de RapidCents, l’autre pour les appels et messages texte de marketing de RapidCents, y compris les appels et messages faits au moyen d’un système de composition automatique ou d’une voix enregistrée. L’envoi du formulaire ne dépend ni de l’une ni de l’autre. Lorsque vous en cochez une, nous conservons le libellé exact qui vous a été présenté et le moment où vous l’avez cochée; la seconde ne compte que si vous fournissez un numéro de téléphone. L’article 11 explique dans quels cas nous pouvons envoyer du marketing à une adresse fournie dans une demande sans case cochée.

Nous utilisons une demande et ce qui est conservé avec elle pour vous répondre, pour évaluer si nos services conviennent à votre entreprise, pour déterminer les règles applicables lorsque nous communiquons avec vous, pour mesurer quelles pages et quelles publicités amènent des demandes et, dans les cas que permet l’article 11, pour vous envoyer du marketing. Notre personnel des ventes et du soutien l’utilise, de même que les fournisseurs qui hébergent le site et acheminent nos courriels.

Ce que reçoivent Google, Meta et Microsoft. Tant que la mesure d’audience est active, Google Analytics et Microsoft Clarity reçoivent des renseignements sur votre visite. La balise Google se charge quel que soit votre choix : lorsque la mesure d’audience et le marketing sont tous deux inactifs, elle transmet tout de même à Google des signaux sans témoin au sujet des pages et des événements, qui ne portent aucun identifiant de témoin. Tant que le marketing est actif, le pixel de Meta et l’API Conversions de Meta fonctionnent et les signaux publicitaires de Google sont accordés. Lorsqu’une demande est enregistrée et que le marketing est actif, Meta reçoit un événement « Lead » portant l’adresse de la page, les valeurs des témoins de Meta dans votre navigateur, votre adresse IP, l’agent utilisateur de votre navigateur et une version hachée du numéro de référence de la demande. Une version hachée (SHA-256) de l’adresse courriel, du numéro de téléphone et du nom que vous avez saisis n’y est ajoutée que si vous avez accepté le marketing dans l’avis sur les témoins ou, aux États-Unis, si le marketing est actif par défaut et que votre navigateur ne transmet aucun signal Global Privacy Control; elle n’est jamais ajoutée en vertu du réglage par défaut au Canada. Là où le marketing est actif par défaut, laisser sa case cochée en enregistrant vos préférences en matière de témoins ne constitue pas une acceptation. Une candidature est signalée à Meta de la même façon, sous la forme d’un événement « SubmitApplication », mais jamais avec les coordonnées qu’elle contient. Meta peut utiliser ce qu’elle reçoit selon ses propres conditions. Rien de ce que vous saisissez dans un formulaire n’est transmis à Google : Google est informé qu’un formulaire a été envoyé, et lequel, et qu’un lien d’inscription a été suivi. L’adresse de la page qui s’affiche après l’envoi du formulaire de contact comprend le numéro de référence de la demande, et les balises de Google et de Meta lisent cette adresse comme sur toute autre page. La politique sur les témoins précise en détail ce que reçoit chacun.

Si votre navigateur transmet un signal Global Privacy Control, le marketing est désactivé pour vous dans toutes les régions, même si vous l’aviez accepté auparavant; le signal ne désactive pas la mesure d’audience. Le signal Do Not Track n’est pas pris en compte.

5. Pourquoi nous les utilisons

Nous utilisons les renseignements personnels pour fournir, sécuriser et améliorer les services, et pour respecter des obligations auxquelles nous ne pouvons nous soustraire. Plus précisément : évaluer et ouvrir des comptes marchands, y compris la vérification d’identité et le filtrage des sanctions; autoriser, acheminer, régler et réconcilier les transactions; détecter et prévenir la fraude et les accès non autorisés; gérer les rétrofacturations et fournir la preuve aux banques émettrices; offrir le soutien et vous répondre; répondre à une demande envoyée au moyen de notre site Web et évaluer si nos services conviennent à l’entreprise qui l’a envoyée; mesurer l’utilisation de nos sites Web ainsi que les pages et les publicités qui nous amènent des commerçants, notamment en conservant avec une demande l’historique de visite décrit à l’article 4A; facturer, percevoir et comptabiliser les frais; respecter les obligations légales, fiscales, d’audit et des réseaux de cartes; produire des statistiques agrégées qui n’identifient personne; et, avec votre consentement ou lorsque la loi le permet, envoyer des communications de marketing portant sur nos produits et services, comme le décrit l’article 11.

Nous n’utilisons pas le détail des transactions des titulaires pour créer des profils publicitaires et nous ne communiquons pas les données d’un commerçant à un autre.

6. Avec qui nous les partageons

Les banques et réseaux de cartes, des fournisseurs évalués, les services d’analytique et de publicité qu’utilise notre site Web, et les autorités lorsque la loi l’exige.

Nous ne communiquons de renseignements personnels que dans les cas décrits ici. Chaque fournisseur qui les traite selon nos instructions est lié par contrat à ne les utiliser que pour le service qu’il nous rend, à les protéger et à les restituer ou les supprimer à la fin du mandat. Google, Meta et Microsoft, qui fournissent la mesure d’audience et la mesure publicitaire de notre site Web, le font selon leurs propres conditions, comme l’explique le point qui les concerne ci-dessous.

• Banques acquéreuses, réseaux de cartes et processeurs, pour autoriser, régler et réconcilier les transactions et gérer les litiges. Leur traitement est régi par leurs propres règles, notamment les règlements d’exploitation de Visa et de Mastercard.
• Fournisseurs agissant selon nos instructions, pour l’hébergement infonuagique, les communications, l’analytique, la vérification d’identité et le filtrage des sanctions, les outils antifraude et le soutien à la clientèle. La page des sous-traitants énonce ces catégories, la mission confiée à chacune et ce à quoi elle peut accéder; l’article 9 de cette page publie le registre des fournisseurs, précise qu’il est complet quant aux parties qu’il nomme sans constituer l’ensemble de la chaîne d’approvisionnement, et indique comment obtenir la liste complète à jour et comment demander le pays où traite un fournisseur lorsque le registre n’en indique pas.
• Google, Meta et Microsoft, pour la mesure d’audience et la mesure publicitaire de notre site Web, comme le décrit l’article 4A et selon l’endroit où vous êtes et vos choix en matière de témoins. Chacune fournit ce service selon ses propres conditions, qui déterminent ce qu’elle peut faire de ce qu’elle reçoit; Meta peut utiliser ce qu’elle reçoit à ses propres fins.
• Conseillers professionnels — auditeurs, avocats et assureurs — tenus à une obligation de confidentialité.
• Organismes de réglementation, forces de l’ordre et tribunaux, lorsque la loi nous oblige à divulguer, ou lorsque la divulgation est nécessaire pour enquêter sur une fraude présumée ou protéger nos droits, nos biens ou la sécurité, y compris ceux d’autrui.
• Un acquéreur ou successeur, dans le cadre d’une fusion, d’un financement, d’une réorganisation ou d’une vente d’actifs, sous réserve de confidentialité et du maintien de l’application de la présente politique aux renseignements transférés.
• D’autres parties, avec votre consentement ou à votre demande — par exemple lorsque vous connectez une intégration tierce.

7. Durée de conservation

Les dossiers de paiement ont une durée de conservation imposée par la loi. Nous ne pouvons les supprimer sur demande, et nous le disons plutôt que de promettre le contraire.

Nous ne conservons les renseignements personnels que le temps nécessaire à la fin pour laquelle ils ont été recueillis, ou aussi longtemps que la loi l’exige, selon la plus longue de ces périodes. La conservation est fixée par catégorie et non par une période unique valant pour tout le site.

• Dossiers de vérification d’identité et d’ouverture de compte : conservés pendant la période exigée d’une entité déclarante par la législation canadienne contre le blanchiment d’argent, calculée à compter de la fin de la relation d’affaires.
• Dossiers de transaction et de règlement : conservés pendant la période requise à des fins fiscales, d’audit et de litige auprès des réseaux de cartes.
• Moyens de paiement enregistrés : conservés dans le coffre sous forme de jetons et supprimés lorsque le commerçant supprime la fiche client ou que le compte est fermé. Conformément à nos pratiques de sécurité, les données de titulaires sont conservées jusqu’à 24 mois d’inactivité.
• Communications de soutien : conservées pendant que le compte est ouvert et pendant une période raisonnable par la suite, afin qu’une question ultérieure sur un dossier passé puisse encore recevoir réponse.
• Demandes envoyées au moyen du formulaire de contact du site Web, avec tout ce qui est conservé avec elles : 24 mois à compter de l’envoi, puis supprimées. Candidatures : 12 mois.
• Notre registre des visites d’un navigateur sur le site Web : 12 mois après la dernière visite, puis supprimé, et immédiatement lorsque son utilisateur choisit « Essentiels seulement ».
• Ce que Google, Meta et Microsoft reçoivent du site Web : conservé par eux pendant les périodes que fixent leurs services et leurs conditions.
• Retraits et autres préférences de marketing : conservés indéfiniment, puisqu’il faut un registre du retrait pour le respecter — sauf qu’un consentement donné en cochant une case du formulaire de contact du site Web est consigné avec la demande et supprimé avec elle.

8. Vos droits et comment les exercer

Vous pouvez nous demander d’accéder aux renseignements personnels que nous détenons à votre sujet, de les rectifier s’ils sont inexacts ou incomplets, de les supprimer lorsqu’aucune obligation légale ne nous impose de les conserver, de vous les communiquer dans un format technologique structuré et couramment utilisé ou de les transférer à un autre organisme, de retirer un consentement déjà donné, ou de cesser de les utiliser à des fins de marketing.

Pour ce que détient notre site Web, cela signifie une copie des demandes que vous avez envoyées et de tout ce qui est conservé avec elles, y compris l’historique de visite qui y est rattaché; leur rectification; ou leur suppression, qui supprime les demandes et notre registre des visites qui y est rattaché. Si vous n’avez jamais envoyé de demande, notre registre des visites de votre navigateur n’est pas rattaché à votre nom : choisir « Essentiels seulement » le supprime, et nous le supprimerons si vous nous transmettez l’identifiant conservé dans votre navigateur, comme l’explique la politique sur les témoins. La suppression par RapidCents n’atteint pas ce que Google, Meta et Microsoft ont déjà reçu; ces entreprises le détiennent selon leurs propres conditions. Pour que notre site Web cesse de communiquer à Google et à Meta des renseignements sur vos visites à des fins publicitaires, désactivez le marketing dans « Paramètres des témoins », ou faites transmettre par votre navigateur un signal Global Privacy Control.

Les résidents du Québec ont en outre le droit d’être informés lorsqu’une décision les concernant est prise exclusivement au moyen d’un traitement automatisé et de présenter des observations à ce sujet, ainsi que le droit à la désindexation dans les cas prévus par la Loi 25. Les résidents d’États américains dotés d’une loi générale sur la vie privée peuvent exercer les droits que ces lois accordent et porter en appel la décision que nous rendons sur une telle demande.

Écrivez au responsable de la protection des renseignements personnels à l’adresse indiquée à l’article 12. Nous accuserons réception, pourrons demander des renseignements pour vérifier votre identité afin de ne pas communiquer vos données à un tiers — lorsque la requête porte sur une demande envoyée par le site Web, en envoyant une demande de confirmation à l’adresse courriel indiquée dans cette demande —, et répondrons dans les trente (30) jours, ou vous indiquerons pourquoi un délai supplémentaire est nécessaire et quand attendre une réponse. Une demande raisonnable est sans frais.

Le retrait du consentement n’a pas d’effet sur les traitements déjà effectués, et certains retraits nous empêchent de continuer à fournir une partie du service : nous vous le dirons plutôt que de retirer le service sans explication. Si notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès du Commissariat à la protection de la vie privée du Canada, de la Commission d’accès à l’information du Québec ou de l’autorité équivalente de votre territoire.

9. Lieu de conservation et transferts

RapidCents exerce ses activités au Canada et aux États-Unis et fait appel à une infrastructure infonuagique et à des fournisseurs qui peuvent conserver ou traiter des renseignements personnels à l’extérieur de la province ou du pays où vous résidez, y compris aux États-Unis. Le cas échéant, les renseignements sont assujettis aux lois de ce territoire et peuvent être accessibles à ses tribunaux, à ses forces de l’ordre et à ses autorités de sécurité nationale. Google, Meta et Microsoft, qui fournissent la mesure d’audience et la mesure publicitaire de notre site Web, traitent ce qu’elles reçoivent aux États-Unis et dans d’autres pays.

Nous ne transférons de renseignements personnels qu’à des fournisseurs contractuellement tenus de les protéger selon une norme comparable à la nôtre, et nous réalisons une évaluation des facteurs relatifs à la vie privée avant de confier des renseignements à un fournisseur situé dans un autre territoire, comme l’exige la Loi 25 du Québec. Vous pouvez demander au responsable de la protection des renseignements personnels des précisions sur nos pratiques à cet égard.

10. Protection des renseignements et gestion des incidents

Les numéros de carte sont remplacés par des jetons et conservés dans un coffre à portée PCI plutôt que dans le stockage applicatif ordinaire. Les données sensibles conservées sont chiffrées, les connexions exigent TLS 1.2 ou une version supérieure, l’accès est fondé sur les rôles et requiert l’authentification multifacteur, et les accès du personnel aux données marchandes sont journalisés. La page Sécurité décrit ces mesures en détail.

Aucune mesure n’élimine complètement le risque, et nous ne prétendons pas le contraire. Si un incident de confidentialité présente un risque réel de préjudice sérieux, nous aviserons les personnes concernées et les autorités compétentes comme l’exige la loi, notamment le Commissariat à la protection de la vie privée du Canada en vertu de la LPRPDE et la Commission d’accès à l’information en vertu de la Loi 25, et nous tenons un registre des incidents de confidentialité.

Si vous croyez que votre compte a été consulté sans autorisation, communiquez immédiatement avec nous. Pour signaler une vulnérabilité de sécurité, suivez la politique de divulgation des vulnérabilités.

11. Marketing, courriel et SMS

Les messages électroniques commerciaux sont envoyés conformément à la Loi canadienne anti-pourriel. Chaque courriel de marketing nous identifie, indique notre adresse postale et comprend un mécanisme de désabonnement fonctionnel pendant au moins soixante (60) jours. Le désabonnement prend effet rapidement et n’a jamais d’incidence sur les messages de service portant sur votre compte, la sécurité, la facturation ou une obligation légale.

Dans le formulaire de contact de notre site Web, le consentement aux courriels de marketing et le consentement aux appels et messages texte de marketing sont demandés séparément, au moyen de deux cases facultatives décochées tant que vous ne les cochez pas, et l’envoi du formulaire ne dépend ni de l’une ni de l’autre. Sans case cochée, ce que nous pouvons faire de l’adresse et du numéro fournis dans une demande dépend de l’endroit où vous vous trouvez. Au Canada hors Québec, nous pouvons envoyer du marketing par courriel, par message texte ou par des appels composés par une personne pendant six mois après une demande portant sur l’ouverture d’un compte, et non après une demande portant sur un autre sujet; les appels faits au moyen d’un système de composition automatique ou d’une voix enregistrée exigent une case cochée. Aux États-Unis, nous pouvons envoyer des courriels de marketing jusqu’à ce que vous vous désabonniez, et faire des appels de marketing composés par une personne pendant trois mois après une demande portant sur l’ouverture d’un compte; nous n’envoyons aucun message texte de marketing et ne faisons aucun appel au moyen d’un système de composition automatique ou d’une voix enregistrée sans votre consentement écrit. Au Québec, au Canada lorsque votre province n’a pas été consignée, et partout ailleurs, nous n’envoyons aucun marketing sans case cochée. Les coordonnées figurant dans une candidature ne servent pas au marketing.

Si vous nous fournissez un numéro de mobile et y consentez, vous acceptez de recevoir des messages texte de RapidCents à ce numéro; la participation n’est pas une condition d’achat et la fréquence des messages varie. Répondez STOP à tout message pour vous retirer : vous recevrez un message de confirmation et rien d’autre; répondez HELP pour obtenir de l’aide. Les tarifs de messagerie et de données de votre fournisseur peuvent s’appliquer et nous ne sommes pas responsables de ces frais.

12. Communiquer avec le responsable de la protection des renseignements personnels

RapidCents a désigné un responsable de la protection des renseignements personnels chargé du respect de la présente politique ainsi que du traitement des demandes et des plaintes. Écrivez à : Responsable de la protection des renseignements personnels, RapidCents Inc., 515 Consumers Road, unité 210, North York (Ontario) M2J 4Z2, Canada, ou téléphonez au +1-844-957-2743. Aux États-Unis : 43300 Southern Walk Plaza, #166, Ashburn (Virginie) 20148, ou +1-202-902-6226.

Indiquez ce que vous demandez et comment vous joindre. Si votre demande concerne un achat effectué auprès d’une entreprise qui utilise RapidCents, précisez le nom du commerçant : comme l’explique l’article 3, c’est généralement lui qui décide de l’usage de ces renseignements.

13. Enfants

Les services sont destinés aux entreprises et ne s’adressent pas aux enfants. Nous ne recueillons pas sciemment de renseignements personnels auprès d’un enfant de moins de 13 ans. Si nous apprenons que c’est le cas, nous les supprimerons. Un parent ou tuteur qui croit qu’un enfant nous a fourni des renseignements doit communiquer avec le responsable de la protection des renseignements personnels.

14. Modification de la présente politique

Nous pouvons mettre à jour la présente politique. La date d’entrée en vigueur et la date de dernière révision figurent en haut de la page. Lorsqu’une modification touche de façon importante notre traitement des renseignements personnels, nous en donnerons avis au moins trente (30) jours avant son entrée en vigueur, par courriel ou par le tableau de bord marchand. Les versions antérieures sont disponibles sur demande auprès du responsable de la protection des renseignements personnels.