Data Processing Agreement (DPA) — Template Sellovo

Préambule

T6AI Canada Inc.(« Sellovo » ou « le Processeur »), société par actions canadienne fédérale (Corporations Canada), ayant son siège social au Québec, Canada (adresse postale complète sur demande à contact@sellovo.co), et représentée par Francis Lévesque, Président, ci-après désignée « Sellovo ».

ET

[Nom du Coach / Tenant](« le Coach » ou « le Responsable du traitement »), [forme juridique] ayant son siège [adresse], ci-après désigné « le Coach ».

Le Coach et Sellovo ensemble: les « Parties ».

Article 1 — Objet et portée

1.1 Le présent DPA encadre le traitement des renseignements personnels d’utilisateurs finaux (« Étudiants ») par Sellovo pour le compte du Coach dans le cadre de l’utilisation de la plateforme Sellovo (logiciel SaaS B2B2C de coaching avec AI Mentor, cours VOD, sessions Calendly, signatures, webinars).

1.2 Le Coach reconnaît qu’il est le Responsable du traitement (controller, contrôleur) des renseignements personnels de ses Étudiants. Sellovo agit comme Sous-traitant (processor) au sens de Loi 25 art 18 et RGPD art 4(8).

1.3 Sellovo agit comme Responsable autonome (independent controller) uniquement pour:

• Facturation T6AI ↔ Coach (Paddle)
• Sécurité, prévention de la fraude, monitoring opérationnel
• Télémétrie produit non-personnellement-identifiable
• Audit log requis par Loi 25 art 3.5

Article 2 — Renseignements personnels traités

2.1 Catégories de personnes concernées:

• Coaches (Tenants)
• Étudiants (utilisateurs finaux)
• Visiteurs anonymes (cookies + analytics)

2.2 Catégories de renseignements personnels:

• Identité (nom, courriel, langue, fuseau horaire)
• Authentification (mots de passe hashés, MFA, sessions)
• Activités d’apprentissage (cours suivis, progression, commentaires)
• Conversations IA (messages texte + transcripts voix V2+)
• Mémoire IA (V1.5+ — objectifs/engagements écrits par l’Étudiant)
• Réservations Calendly (date, heure, mode online/in-person)
• Paiements (Stripe — montant, date, produit, sans données carte chez nous)
• Métadonnées techniques (IP hashée, user-agent hashé, audit log)

2.3 Catégories sensibles Loi 25 art 9 / RGPD art 9:

• Sellovo NE COLLECTE PAS automatiquement de catégories spéciales (santé, finance personnelle, famille, religion, politique, orientation, immigration, biométrique, criminel).
• Si l’Étudiant les mentionne volontairement dans une conversation, le guardrail layer 6 bloque le stockage automatique en mémoire (V1.5+) sans consentement renforcé explicit.

Article 3 — Finalités et durée

3.1 Finalités du traitement (par Sellovo pour le Coach):

• Hébergement et opération de la plateforme white-label
• Acheminement des messages AI Mentor (xAI Grok 4.3 + RAG)
• Conservation des conversations 90 jours
• Acheminement des réservations Calendly
• Traitement des paiements (Stripe direct V1, Connect V2+)
• Communications transactionnelles (AWS SES)

3.2 Durée du traitement: durée du contrat principal Coach ↔ Sellovo + 30 jours grace post-terminaison + rétention légale archive financière 10 ans.

3.3 Rétention par catégorie: voir docs/DATA_RETENTION.md.

Article 4 — Obligations du Sous-traitant (Sellovo)

4.1 Sellovo s’engage à:

a. Traiter les renseignements personnels uniquement sur instructions documentées du Coach (consentements des Étudiants + configurations admin) et uniquement aux fins de l’exécution du contrat principal — Loi 25 art 18.1 et 18.3, RGPD art 28.3.a.

b. Maintenir la confidentialité — chaque employé/sous-traitant accessing data signe un engagement de confidentialité.

c. Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées:

• Chiffrement at-rest (AWS ca-central-1, AES-256 — RDS et S3)
• Chiffrement in-transit (TLS 1.3 obligatoire)
• Postgres Row-Level Security (RLS) enforce tenant isolation
• MFA obligatoire admin (Cognito, Zone 2 + 3)
• Audit log immutable 7 ans (Loi 25 art 3.5)
• Rate limiting + WAF
• Backups RDS (restauration à un instant donné)
• Iron Gate v3 pre-deploy (39 checks security/build/conformité ≥95 score)
• Pentest annuel externe

d. Assister le Coach pour:

• Réponses aux demandes d’accès / rectification / suppression des Étudiants (Loi 25 art 27 + RGPD art 15-22)
• Notifications de breach (Loi 25 art 8 + RGPD art 33-34)
• EFVP / DPIA si demandé

e. Notifier le Coach sans délai, et au plus tard dans les 24 heuresde la détection, de toute violation ou tentative de violation de l’obligation de confidentialité affectant ses Étudiants, incluant tout incident de confidentialité (Loi 25 art 8 — 72h max au régulateur ; art 18.3).

f. À la fin du contrat, supprimer ou retourner toutes les données du Coach selon son choix (sauf rétention légale art 3.3).

Les engagements du présent article 4.1 sont donnés notamment aux fins de l’article 18.3 de la Loi 25 (usage limité à l’exécution du contrat, non-conservation, protection de la confidentialité, avis de toute violation ou tentative de violation, droit de vérification — voir aussi l’article 9, Audit).

4.2 Sellovo peut recourir à des sous-traitants ultérieurs (sub-processors)avec l’accord du Coach. La liste actuelle est publiée sur sellovo.co/subprocessors. Tout changement est notifié au Coach 30 jours à l’avance (Loi 25 art 19 + RGPD art 28.2).

4.3 Sellovo tient un registre des activités de traitement (article 30 RGPD équivalent — Loi 25 art 3.2).

Article 5 — Obligations du Coach (Responsable)

5.1 Le Coach s’engage à:

a. Recueillir un consentement valide de ses Étudiants pour:

• L’utilisation de l’AI Mentor (texte + voix)
• La conservation des données pour finalité éducative
• Le transfert hors-Québec si applicable (xAI US, Stripe US, Calendly US)

b. Présenter aux Étudiants une politique de confidentialité conforme à leur juridiction (Loi 25, RGPD, CCPA selon le cas).

c. Ne pas utiliser Sellovo pour:

• Évaluation académique formelle menant à un diplôme
• Décisions d’emploi, de crédit, d’assurance
• Profilage psychologique à grande échelle
• Génération de contenu illégal

(voir docs/AI_ACT_INTENDED_USE.md)

d. Conserver une liste à jour des Étudiantset leurs consentements (Sellovo fournit l’interface admin /admin/etudiants).

e. Notifier Sellovo si un Étudiant exerce un droit Loi 25 art 27 (accès / rectification / suppression) — le Coach déclenche, Sellovo exécute techniquement.

Article 6 — Sous-traitants ultérieurs (sub-processors)

6.1 Liste actuelle (mise à jour 2026-08-09):

6.2 Pour chaque sous-traitant, Sellovo a signé un DPA équivalent OU s’appuie sur les Commercial Terms du fournisseur (cas xAI).

6.3 Notification de changement: ajout/retrait de sous-traitant communiqué au Coach par email + page publique 30 jours avantentrée en vigueur. Le Coach peut s’opposer dans ce délai — si désaccord persiste, le contrat peut être résilié sans pénalité.

Article 7 — Transferts hors-Québec / EU / etc.

7.1 Pour les sous-traitants situés hors Québec (xAI, Stripe, Calendly US), Sellovo:

a. Disclosure obligatoire dans la Privacy Policy + manifest consent (Loi 25 art 17).

b. Garantit un niveau de protection équivalent par les moyens suivants:

• Contrats avec clauses de protection contractuelles (SCC equivalent)
• Politiques de ZDR (Zero Data Retention) pour xAI
• Politiques DPA tier 1 (Stripe, Calendly)

c. Évaluation des risques documentée dans EFVP (docs/EFVP.md) — révisée annuellement.

Article 8 — Notifications d’incident

8.1 Sellovo notifie le Coach par email à l’adresse enregistrée dans son profil Sellovo dans les 24 heuresde la confirmation d’un incident de confidentialité affectant ses Étudiants.

8.2 Contenu de la notification:

• Description de l’incident (cause, date détection, durée)
• Catégories de données affectées
• Nombre approximatif de personnes concernées
• Mesures prises et planifiées
• Coordonnées du contact incident chez Sellovo

8.3 Le Coach reste responsable de la notification au régulateur compétent (CAI Québec, autorité EU, etc.) dans les 72h selon Loi 25 art 8 / RGPD art 33. Sellovo assiste avec les informations techniques.

8.4 Sellovo tient un registre des incidents sur 7 ans, accessible au Coach sur demande.

Article 9 — Audit

9.1 Le Coach a le droit d’auditer Sellovo une fois par an OU à la suite d’un incident. Audit:

• Sur préavis 30 jours
• Aux frais du Coach (sauf si non-conformité avérée)
• Via auditeur tiers signataire d’un NDA

9.2 Sellovo peut fournir un rapport SOC 2 ou équivalent en lieu d’audit physique (objectif V3+).

Article 10 — Limitation de responsabilité

10.1 Sellovo n’est pas responsable des décisions du Coach concernant:

• Le choix des Étudiants à servir
• Le contenu des cours / leçons / persona prompts
• Les engagements pris par le Coach envers ses Étudiants

10.2 Sellovo est responsable des défaillances techniques de la plateforme (uptime, sécurité, conformité du Sous-traitant) selon les SLA standards (docs/RUNBOOK.md).

10.3 Plafond de responsabilité: 12 mois de frais Sellovo payés par le Coach (à revoir avec avocat).

Article 11 — Terminaison

11.1 Le Coach peut résilier à tout moment, sans pénalité, depuis /admin/parametres/abonnement ou par email à contact@sellovo.co.

11.2 À la résiliation:

• Grace period 30 jours (données accessibles, login bloqué)
• Coach peut exporter avant J+30 (voir DATA_DELETION_PROCEDURE.md)
• Hard delete cascade à J+30 (sauf rétention légale)

11.3 Sellovo peut résilier en cas de:

• Violation des CGU (notamment intended use AI Act — voir AI_ACT_INTENDED_USE.md)
• Non-paiement persistant >60 jours
• Activité illégale détectée

Préavis: 30 jours sauf violation grave (résiliation immédiate).

Article 12 — Modifications du DPA

12.1 Sellovo peut modifier ce DPA en notifiant le Coach 30 jours à l’avance. Si le Coach refuse les modifications, il peut résilier sans pénalité.

12.2 Les modifications mineures (corrections, clarifications) sont communiquées par email sans préavis formel.

Article 13 — Loi applicable et juridiction

13.1 Le présent DPA est régi par les lois du Québec et du Canada, sauf si le Coach est établi dans l’UE/EEE, auquel cas le RGPD s’applique également (cumul des protections).

13.2 Juridiction compétente: tribunaux de Québec, sauf dispositions impératives de la juridiction du Coach.

Signatures

Pour Sellovo (T6AI Canada Inc.):

___________________________
Francis Lévesque
Président
Date: ____________

Pour le Coach:

___________________________
[Nom]
[Titre]
Date: ____________