Traduction de courtoisie. Seule la version anglaise fait foi — voir la section « Langue ».
Nuaj Company Inc. (« Nuaj », « nous ») explique ici quels renseignements personnels nous recueillons, à quelles fins, pendant combien de temps nous les conservons et quels droits vous détenez à leur égard.
Une seule politique, tous les produits. Elle s'applique à NuajProtect, à NuajLens et à Nexaplane, aux sites Web de Nuaj à nuaj.com et à leurs pages produits, au portail de téléchargement download.nuaj.com, ainsi qu'à nos communications d'assistance et de facturation.
Les produits diffèrent énormément quant à ce qu'ils nous transmettent — l'un exploite un plan de contrôle hébergé, l'un ne nous transmet rien du tout après le téléchargement, et l'un transmet une validation de licence. La section Ce que chaque produit nous transmet l'énonce produit par produit, et c'est la section à lire en premier : tout le reste de la présente Politique s'y trouve nuancé.
Si vous exécutez un produit sur votre propre infrastructure, voyez Déploiements auto-hébergés — le partage des responsabilités y est différent.
La présente Politique fait partie des Conditions générales et du Contrat de licence utilisateur final du produit que vous utilisez, et doit être lue avec eux.
Nuaj Company Inc.
8250 Lawson Rd., Suite 201
Milton (Ontario) L9T 5C6
Canada
Demandes relatives à la vie privée et exercice des droits : privacy@nuaj.com
Demandes générales et juridiques : legal@nuaj.com
Où Nuaj offre ses produits. Nuaj est établie au Canada et offre ses produits au Canada et aux États-Unis. Elle ne cible pas l'Espace économique européen ni le Royaume-Uni, n'y fait pas de démarchage et n'a pas désigné de représentant au titre de l'article 27 du Règlement général sur la protection des données de l'Union européenne. Si Nuaj devait offrir ses produits à des clients de ces territoires, elle désignerait et nommerait ce représentant dans la présente section au préalable.
Il s'agit d'une déclaration sur la clientèle visée, non sur le traitement des données : les protections décrites dans la présente Politique et dans l'Entente de traitement des données — y compris les clauses de l'article 28, les mesures de sécurité et la notification d'incident en soixante-douze heures — s'appliquent à tous les clients, où qu'ils soient.
| Produit | Ce qui parvient à Nuaj à l'exécution | Rôle de Nuaj |
|---|---|---|
| NuajProtect | Télémétrie opérationnelle et de sécurité des points d'extrémité inscrits, en continu, par le plan de contrôle hébergé | Sous-traitant pour le Client; responsable du traitement des données de compte, de facturation et de sécurité |
| NuajLens | Rien. Aucune cible d'analyse, aucune constatation, aucun inventaire d'actifs ne quitte votre réseau | Responsable du traitement uniquement de la demande d'accès au téléchargement et des journaux du portail |
| Nexaplane | Une demande de validation de licence, et rien d'autre | Responsable du traitement de cette demande; non sous-traitant dans la chaîne de vos locataires |
NuajProtect inscrit des points d'extrémité auprès d'un plan de contrôle hébergé, et ces points d'extrémité transmettent en continu. Tout ce qui figure à Renseignements que nous recueillons s'y applique intégralement, et c'est le seul produit pour lequel Nuaj traite des données opérationnelles pour votre compte. L'Entente de traitement des données régit ce traitement.
NuajLens est téléchargé, auto-hébergé, et sans clé de licence ni contact avec Nuaj à l'exécution. Une fois le logiciel obtenu, rien de votre utilisation ne nous parvient : ni les actifs que vous inscrivez, ni les cibles que vous analysez, ni les constatations, ni une vérification de version, ni un signal de présence. Nous serions incapables de dire si une copie donnée est en cours d'exécution.
Nous l'énonçons comme un engagement plutôt que comme une absence, parce que c'est ce que nous avons construit et que cela ne changera pas en silence : si une version future de NuajLens communique avec Nuaj pour quelque raison que ce soit, la présente Politique le dira avant la publication de cette version.
Ce que nous détenons est ce que vous nous avez fourni pour obtenir le logiciel : la demande d'accès à download.nuaj.com — l'organisation demanderesse, le nom et l'adresse de courriel de la personne-ressource et ce que vous nous avez indiqué de l'usage prévu — ainsi que les journaux du portail (adresse IP, agent utilisateur, élément téléchargé, horodatage). Nous conservons l'adresse de la personne-ressource afin de pouvoir vous joindre au sujet d'une mise à jour de sécurité : sans canal à l'exécution, c'est notre seule voie vers vous.
Nexaplane communique avec Nuaj uniquement pour la validation de licence. Cette demande transporte l'identifiant d'installation, l'identifiant de licence ou d'organisation, la version du logiciel, l'heure de la demande et l'adresse IP source d'où elle provient. Une adresse IP constitue un renseignement personnel dans certains territoires : c'est pourquoi la demande est énumérée ici plutôt que décrite comme ne transportant rien.
Aucune donnée de locataire, aucune donnée de trafic, aucune configuration et aucun renseignement personnel appartenant à vos locataires n'est transmis à Nuaj. Nuaj traite la demande de validation à titre de responsable du traitement indépendant, aux fins d'administration des licences, sur le fondement de son intérêt légitime à vérifier que le logiciel qu'elle licencie l'est effectivement — cela n'en fait ni un sous-traitant ni un sous-traitant ultérieur des données de vos locataires.
Lorsque Nexaplane facture vos locataires, il le fait au moyen de vos comptes de prestataires de paiement. Ces paiements ne transitent pas par Nuaj, et les prestataires concernés sont les vôtres et non des sous-traitants de Nuaj.
La présente section est rédigée par activité et non par produit. Les activités ci-dessous sont ce qui génère des renseignements personnels, et elles sont stables : un produit en exerce un sous-ensemble, et un nouveau produit ajoute une ligne au tableau ci-dessus plutôt qu'une nouvelle forme de collecte ici.
Ce qui suit décrit donc le maximum. À lire avec Ce que chaque produit nous transmet : seules les activités qui y sont indiquées pour votre produit vous concernent. Les registres de compte, d'acceptation, d'assistance, de facturation et de site Web découlent du seul fait de traiter avec Nuaj; toute autre rubrique ne s'applique que si votre produit exerce l'activité en cause.
Renseignements de compte. Vos nom et adresse de courriel, l'organisation à laquelle vous appartenez, votre rôle et le compte auquel vous êtes rattaché. Fournis par vous ou par l'administrateur qui vous a invité.
Registres d'authentification et de session. Empreintes de mots de passe (jamais le mot de passe lui-même), données d'inscription à l'authentification multifacteur, jetons de session, heures de connexion et adresses IP d'utilisation des sessions. Nous ne conservons pas votre mot de passe.
Registre des acceptations. Pour chaque acceptation d'un document : le compte acceptant, la date et l'heure, l'adresse IP source, la version du document et une empreinte cryptographique du texte exact accepté.
Demandes d'accès au portail de téléchargement. Lorsque vous demandez l'accès à download.nuaj.com : l'organisation demanderesse, le nom et l'adresse de courriel de la personne-ressource, ce que vous nous avez indiqué de l'usage prévu, et les journaux du portail. Lorsqu'un produit n'a aucun contact avec Nuaj à l'exécution, c'est le seul registre que Nuaj détient de quiconque l'utilise.
Demandes de validation de licence. Lorsqu'un produit valide sa licence auprès de Nuaj — le tableau ci-dessus indique lesquels le font : l'identifiant d'installation, l'identifiant de licence ou d'organisation, la version du logiciel, l'heure et l'adresse IP source.
Télémétrie opérationnelle et de sécurité — lorsqu'un produit inscrit des points d'extrémité auprès d'un plan de contrôle hébergé. Provenant des points d'extrémité protégés : observations d'attaques, nombres de blocages et de rejets, volumes et débits de trafic, état de santé des appareils, versions logicielles et état de configuration. Chaque point d'extrémité déclare aussi sa propre identité, afin que le tableau de bord puisse vous montrer l'appareil que vous avez déployé : son nom d'hôte, les adresses configurées sur ses interfaces — ce qui, pour un routeur ou un pont, comprend des adresses privées et internes — et l'adresse publique d'où sort son trafic. Cela décrit une activité réseau et non le contenu de communications. Nous ne recueillons pas de charges utiles de paquets, ni vos journaux applicatifs, systèmes ou de sécurité.
Captures de diagnostic — lorsqu'un produit inscrit des points d'extrémité auprès d'un plan de contrôle hébergé. Pour investiguer une anomalie, un opérateur autorisé de Nuaj peut demander une capture depuis un point d'extrémité inscrit. La capture se limite au journal de service du produit et au tampon de messages du noyau; elle est demandée délibérément et non prélevée automatiquement, sa taille est plafonnée, elle n'est conservée que pour la durée de l'intervention de soutien et n'est pas écrite dans un stockage durable. Les messages du noyau peuvent contenir incidemment des identifiants d'appareil et d'adresse.
Communications d'assistance. Ce que vous nous transmettez lorsque vous joignez l'assistance, ainsi que nos réponses.
Renseignements de facturation. Lorsqu'un abonnement payant s'applique : forfait, personne-ressource de facturation, factures et état des paiements. Les données de carte sont traitées par notre prestataire de paiement et ne sont pas conservées par Nuaj.
Utilisation du site et du produit. Journaux de serveur standard (adresse IP, agent utilisateur, page demandée, horodatage) conservés à des fins de sécurité et de diagnostic.
Nous traitons les renseignements ci-dessus afin :
Nous ne vendons pas de renseignements personnels et ne les utilisons pas à des fins publicitaires.
Les courriels de marketing, si nous en envoyons, sont distincts : ils ne sont adressés qu'aux personnes qui les ont demandés et chacun comporte un lien de désabonnement. Les messages de service relatifs à votre compte ne constituent pas du marketing et ne sont pas assujettis au désabonnement.
Lorsqu'un produit comprend une fonction communautaire facultative de renseignement sur les menaces — aujourd'hui le Nuaj Threat Exchange, dans les produits que le tableau ci-dessus indique comme transmettant de la télémétrie —, son activation transmet des indicateurs techniques limités dérivés des attaques observées par votre déploiement : adresses IP attaquantes, ports et protocoles ciblés, catégories de menaces, horodatages et nombres anonymes de déclarants.
Aucun contenu de journal, aucune charge utile de paquet et aucun identifiant de vos utilisateurs ou points d'extrémité n'est transmis. Une adresse IP attaquante peut constituer un renseignement personnel dans certaines juridictions; nous la traitons sur le fondement de notre intérêt légitime, et de celui de tous les autres participants, à nous défendre contre l'attaque qu'elle mène.
Cette fonction peut être désactivée en tout temps dans les paramètres du serveur, sans incidence sur les autres fonctionnalités.
Nous ne communiquons des renseignements personnels qu'aux entités suivantes :
Les prestataires susceptibles de traiter des renseignements personnels pour le compte de Nuaj sont :
| Prestataire | Finalité | Emplacement |
|---|---|---|
| Halton Data Center Inc. | Colocation et infrastructure infonuagique du service hébergé | Milton (Ontario), Canada |
| Stripe | Traitement des paiements et facturation | États-Unis / Irlande |
| PayPal | Traitement des paiements (option) | États-Unis / Luxembourg |
| Google (Workspace) | Acheminement des courriels de service | États-Unis |
| VoIP.ms | Envoi des codes SMS d'authentification multifacteur | Canada |
Le service hébergé est exploité depuis une installation située à Milton (Ontario) et exploitée par Halton Data Center Inc., une société distincte dans laquelle Nuaj détient une participation de 70 %. Nous nommons ce lien plutôt que d'inscrire la société seule, car un actionnaire commun signifie que ce prestataire n'est pas indépendant de nous et que vous devriez pouvoir en tenir compte. Cela signifie aussi que la résidence des données et l'accès physique relèvent de notre contrôle plutôt que de celui d'un bailleur. Vos données de compte et vos données opérationnelles sont conservées au Canada.
Nous mettrons cette liste à jour avant d'ajouter un nouveau sous-traitant traitant des renseignements personnels. Pour être informé des changements, écrivez à privacy@nuaj.com.
Nuaj exerce ses activités depuis le Canada. Tous les services de Nuaj sont hébergés au Canada, sauf indication contraire — et tout ce qui est hébergé ailleurs est nommé : dans le tableau des sous-traitants ci-dessus, à l'Annexe III de l'Entente de traitement des données, ou sur votre propre commande.
À ce jour, il existe une seule région d'hébergement, Milton (Ontario), et les données de compte et opérationnelles de chaque client y sont conservées. Si Nuaj exploitait un service hébergé depuis une région additionnelle, cette région serait consignée sur la commande du client concerné et nommée à l'Annexe III; le déplacement d'un client d'une région à une autre constitue une modification importante notifiée à l'avance; et une nouvelle région est introduite au moyen du préavis de trente jours et du droit d'opposition prévus par l'Entente de traitement des données.
Certains sous-traitants énumérés ci-dessus exercent leurs activités à l'extérieur du Canada — le traitement des paiements et l'acheminement des courriels sont assurés par des prestataires situés aux États-Unis et dans l'Union européenne. Les coordonnées de facturation et le contenu des courriels de service que nous vous envoyons sont donc traités à l'extérieur du Canada. L'envoi des SMS est assuré au Canada.
Lorsque des renseignements sont transférés hors d'une juridiction dont la loi encadre de tels transferts, nous recourons aux mécanismes prévus par cette loi, y compris les clauses contractuelles types de la Commission européenne le cas échéant.
Les renseignements de compte sont conservés tant que le compte est actif. Après sa fermeture, nous conservons ce qui est nécessaire à des fins juridiques, comptables, fiscales et de sécurité, et supprimons ou anonymisons le reste.
Le registre des acceptations est conservé aussi longtemps que nécessaire pour établir les conditions en vigueur entre nous, ce qui excède habituellement la durée de vie du compte.
La télémétrie opérationnelle et de sécurité est conservée selon une fenêtre glissante adaptée à sa finalité; les données agrégées et statistiques qui n'identifient plus une personne peuvent être conservées indéfiniment.
Les indicateurs de menace contribués à l'échange communautaire sont agrégés aux autres soumissions et ne sont pas rattachés à votre déploiement.
Nous protégeons les renseignements personnels par le chiffrement en transit, le chiffrement des identifiants au repos, le contrôle d'accès fondé sur les rôles, l'authentification multifacteur, la journalisation d'audit et l'accès administratif selon le principe du moindre privilège. Aucun système ne peut être garanti absolument sécuritaire; le Contrat de licence utilisateur final énonce les limites de notre responsabilité.
Si une atteinte à nos mesures de sécurité vise vos renseignements personnels et crée un risque réel de préjudice grave, nous la déclarerons au Commissariat à la protection de la vie privée du Canada et vous en aviserons dès que possible, conformément à la loi fédérale canadienne sur la protection des renseignements personnels. Lorsque le Règlement général sur la protection des données de l'Union européenne ou du Royaume-Uni s'applique, nous aviserons l'autorité de contrôle compétente dans les 72 heures suivant la prise de connaissance de l'atteinte lorsque ce règlement l'exige.
Notre avis décrira ce qui s'est produit, les renseignements visés, les mesures que nous prenons et ce que vous pouvez faire pour réduire votre risque. Nous tenons un registre des atteintes aux mesures de sécurité comme la loi l'exige.
Pour un déploiement auto-hébergé, les données opérationnelles se trouvent sur vos systèmes et vous en êtes le responsable du traitement : les obligations d'avis en cas d'atteinte à vos propres systèmes vous incombent. Nuaj appuiera votre enquête sur demande.
Selon votre lieu de résidence, vous pouvez avoir le droit :
Pour exercer l'un de ces droits, écrivez à privacy@nuaj.com. Nous répondrons dans le délai prévu par la loi applicable et pourrions devoir vérifier votre identité au préalable.
Si votre compte a été créé par l'administrateur d'une organisation, certaines demandes peuvent être dirigées vers cette organisation, qui contrôle le compte.
Vous pouvez également porter plainte auprès d'une autorité de contrôle : au Canada, le Commissariat à la protection de la vie privée du Canada; au Québec, la Commission d'accès à l'information; aux États-Unis, le procureur général de votre État.
La présente section s'applique aux résidents des États américains dotés d'une loi sur la protection des renseignements des consommateurs, notamment la Californie, la Virginie, le Colorado, le Connecticut, le Texas et l'Utah. Elle décrit le traitement propre à Nuaj. Lorsque Nuaj traite des renseignements personnels pour le compte d'un client entreprise — les données d'exploitation d'un service hébergé de Nuaj, que le tableau de Ce que chaque produit nous transmet identifie —, c'est ce client qui dirige le traitement et les demandes doivent lui être adressées; Nuaj agit à titre de prestataire de services ou de sous-traitant au sens de l'Annexe IV de l'Entente de traitement des données, et l'assistera dans sa réponse.
Nous ne vendons pas vos renseignements personnels et ne les partageons pas à des fins de publicité comportementale intercontextuelle. Nous ne l'avons pas fait au cours des douze derniers mois, nous ne recevons aucune contrepartie de quelque nature que ce soit pour des renseignements personnels, et nous ne faisons ni publicité, ni reciblage, ni profilage. Il n'y a donc rien qu'un refus puisse désactiver — mais si cela devait changer, la présente Politique le dirait au préalable et un mécanisme de refus serait publié avec elle.
Nous ne recueillons pas de renseignements personnels sensibles au sens de ces lois, nous ne les utilisons pas pour inférer des caractéristiques, et les produits ne sont pas conçus pour en traiter.
| Catégorie | Ce dont il s'agit ici | Provenance | Finalité | Destinataires |
|---|---|---|---|---|
| Identifiants | Nom, courriel professionnel, organisation, identifiants de compte et d'installation, adresse IP | Vous, votre administrateur, votre déploiement | Exploiter et sécuriser le service, vous authentifier, vous facturer | Prestataires d'hébergement, de courriel, de paiement et de SMS, à titre de prestataires de services |
| Renseignements commerciaux | Forfait, abonnement, factures, état des paiements | Vous, votre paiement | Facturation et comptabilité | Prestataires de paiement, à titre de prestataires de services |
| Activité Internet ou réseau | Journaux de serveur, utilisation du tableau de bord, demandes au portail de téléchargement, télémétrie réseau des points d'extrémité inscrits | Votre utilisation, votre déploiement | Exploiter, sécuriser, soutenir et rendre compte | Prestataire d'hébergement, à titre de prestataire de services |
| Renseignements professionnels | Votre rôle et l'organisation que vous représentez | Vous ou votre administrateur | Contrôle d'accès et soutien | — |
Nous ne recueillons ni données biométriques, ni géolocalisation précise, ni identifiants gouvernementaux, ni numéros de comptes financiers, ni renseignements de santé, ni renseignements sur votre vie personnelle ou domestique — et aucun des produits n'est conçu pour le faire.
La conservation est décrite à Conservation ci-dessus. Nous conservons chaque catégorie pendant la durée qui y est indiquée, et pas davantage, sauf lorsque la loi nous impose de la conserver.
Sous réserve de vérification et des exceptions prévues par la loi applicable, vous pouvez :
Comment les exercer. Écrivez à privacy@nuaj.com. Nous répondons dans les quarante-cinq (45) jours, délai prolongeable une fois de quarante-cinq jours supplémentaires lorsque la demande est complexe, auquel cas nous vous en informerons. Nous pourrions devoir vérifier votre identité et ne demanderons que ce que cette vérification exige.
Mandataires autorisés. Un mandataire peut présenter une demande en votre nom avec votre autorisation écrite; nous pourrions vous demander de la confirmer directement.
Appels. Si nous refusons une demande, vous pouvez faire appel en écrivant à legal@nuaj.com dans les quarante-cinq jours, en indiquant vos motifs. Nous répondrons par écrit dans les quarante-cinq jours en indiquant notre décision et nos motifs et — en cas de refus maintenu — la manière de porter plainte auprès du procureur général de votre État. Cela vaut où que vous résidiez, et pas seulement dans les États qui imposent une procédure d'appel.
« Shine the Light » (Californie). Nous ne communiquons pas de renseignements personnels à des tiers pour leurs propres fins de marketing direct.
Signaux de refus. Le site Web nuaj.com ne charge son unique outil de mesure qu'après votre acceptation dans la bannière; rien n'est chargé et aucun témoin d'analyse n'est déposé sans elle. Un signal Global Privacy Control émis par votre navigateur est honoré comme un refus, et il n'y a rien d'autre à refuser.
Lorsque vous exécutez un produit Nuaj sur votre propre infrastructure, vous êtes le responsable du traitement des données opérationnelles qu'il recueille, et celles-ci demeurent sur vos systèmes.
Ce qui parvient tout de même à Nuaj se limite à ce que Ce que chaque produit nous transmet indique pour ce produit : tout au plus ce qui est nécessaire pour concéder la licence, soutenir et facturer le déploiement, ainsi que les indicateurs de menace que le déploiement choisit de contribuer à l'échange communautaire. Pour certains produits, ce n'est rien du tout.
L'auto-hébergement modifie donc le rôle de Nuaj, et non seulement le volume de ce qu'elle détient. Lorsqu'un produit ne transmet aucune donnée opérationnelle à Nuaj, Nuaj n'est ni sous-traitant ni sous-traitant ultérieur de quoi que ce soit que ce produit génère, et il n'y a aucun traitement qu'une Entente de traitement des données puisse régir. Lorsqu'un produit ne transmet qu'une demande de validation de licence, Nuaj reçoit cette demande à titre de responsable indépendant du traitement de ses propres registres de licence — et non à titre de sous-traitant dans la chaîne de vos clients.
Lorsque Nuaj agit effectivement à titre de sous-traitant pour vous, l'Entente de traitement des données régit ce traitement; elle est publiée avec la présente Politique et s'applique sans signature. Lorsque vous utilisez un produit pour fournir un service à vos propres clients, le mode fournisseur de cette Entente décrit le fonctionnement de la chaîne à trois parties.
La console d'un produit Nuaj — que Nuaj l'héberge ou que vous l'exécutiez vous-même — utilise des témoins strictement nécessaires et le stockage local du navigateur pour vous garder connecté et mémoriser des préférences d'interface telles que le thème et la langue. Elle n'utilise ni témoins publicitaires ni témoins de suivi intersites, et n'intègre aucun outil d'analyse tiers vous profilant. Une console que vous hébergez vous-même ne transmet rien à Nuaj en faisant tout cela.
Le site Web nuaj.com utilise un seul outil de mesure facultatif, Google Analytics, pour compter les visites et voir quelles pages sont lues. Il est désactivé tant que vous ne l'avez pas accepté : rien n'est chargé et aucun témoin d'analyse n'est déposé à moins que vous ne choisissiez Accepter dans la bannière, et votre choix est conservé dans le stockage local de votre propre navigateur plutôt que transmis à Nuaj. Les adresses IP sont tronquées avant leur enregistrement par Google. Nous n'utilisons aucune balise publicitaire, de remarketing ou de rejeu de session, et nous ne vendons ni ne partageons les données du site Web à des fins publicitaires. Pour revenir sur votre choix, effacez les données de ce site dans votre navigateur et la bannière vous le redemandera.
Le présent document et tous les autres documents juridiques de Nuaj sont servis comme pages autonomes, sur nuaj.com comme dans chaque produit : ils ne chargent aucune police, aucun script ni aucune autre ressource depuis des serveurs tiers, de sorte que leur consultation ne révèle rien à votre sujet à quiconque hormis Nuaj.
Les produits Nuaj sont destinés aux entreprises et ne s'adressent pas aux enfants. Nous ne recueillons pas sciemment de renseignements personnels auprès de personnes n'ayant pas atteint l'âge de la majorité dans leur juridiction.
Nous pouvons mettre à jour la présente Politique. Le cas échéant, nous modifions l'identifiant de version affiché en haut de la page et, lorsque la modification est importante, nous en avisons les titulaires de compte par le service ou par courriel avant sa prise d'effet.
La présente Politique a été rédigée en langue anglaise, et la version anglaise est la seule version faisant autorité. Toute traduction est fournie à titre de commodité uniquement. Les parties ont expressément demandé et convenu que le présent document soit rédigé en langue anglaise.