Responsabilités du client

Cette page précise ce que Realizer fournit et ce dont votre organisation demeure responsable lorsqu’elle utilise AccessPoint : le contenu de juridiction et les chiffres qu’AccessPoint en calcule, AccessPoint pour Microsoft 365 exécuté dans votre propre locataire, AccessPoint hébergé, exploité par Realizer au Canada, et le laboratoire de formation AccessPoint destiné aux fournisseurs de formation. Elle complète l’architecture technique, le référentiel des contrôles de sécurité du GC et l’évaluation des facteurs relatifs à la vie privée du GC. Les modalités contraignantes figurent dans votre entente avec Realizer — pour le service hébergé, dans les conditions d’AccessPoint hébergé.

Ce que Realizer fournit

• Paquets de juridiction. Types de demandes, délais et bases de calcul des jours, calendriers et jours fériés, frais et renonciations, catalogues d’exceptions et d’exclusions, motifs de prolongation, règles de notification des atteintes, types de plaintes et d’appels, modèles de lettres, guides, modèles d’évaluation, obligations de préparation, modèles de rapports statistiques et contenu de formation pour chaque juridiction. Chaque paquet est un point de départ établi à partir de renseignements publics sur la législation — lois, gazettes et directives de l’organisme de réglementation — tels qu’ils étaient à la version affichée sous Paramètres > Paquets de juridiction, et ses modifications sont indiquées dans les notes de changement du paquet. Il ne constitue pas un avis juridique.
• Résultats calculés. Dates d’échéance, chiffres des rapports législatifs, délais de notification des atteintes, et états de préparation et de situation du programme, qu’AccessPoint calcule à partir de vos dossiers selon les règles des paquets que vous avez appliqués.
• Ébauches de l’Assistance IA. Suggestions et ébauches, toujours soumises à la décision d’une personne. Dans AccessPoint pour Microsoft 365, elles proviennent de votre propre ressource Azure OpenAI; dans AccessPoint hébergé, de modèles Azure OpenAI que Realizer met en place au Canada, une fois que votre administrateur l’a autorisé.
• Le logiciel et ses versions. Un cycle de développement sécurisé; des versions signées accompagnées de sommes de contrôle et de nomenclatures logicielles; des avis de sécurité et des correctifs de vulnérabilités; et les services d’éditeur qu’utilise un déploiement Microsoft 365 (validation des licences, paquets de juridiction, relais Teams, pages de configuration et fichiers de version).
• AccessPoint hébergé (2.6.0). Le même logiciel, exploité par Realizer au Canada, qui conserve les données de votre organisation à titre de fournisseur de services.
• Le laboratoire de formation AccessPoint. La simulation et l’espace de travail dans lesquels un fournisseur de formation donne ses cours, Realizer agissant comme sous-traitant du fournisseur.

Ce dont votre organisation est responsable

Quelle que soit l’édition utilisée, votre organisation est responsable de ce qui suit :

• Confirmer le contenu des paquets que vous appliquez au regard du droit en vigueur, des instructions actuelles de l’organisme de réglementation et de vos propres obligations, et l’adapter dans les Paramètres lorsqu’il ne correspond pas. Chaque élément d’un paquet est modifiable, et la réapplication d’un paquet n’écrase jamais un élément que vous avez modifié (sauf si vous choisissez et confirmez un écrasement complet). Vos conseillers juridiques valident et adaptent le contenu.
• Vérifier chaque résultat calculé — dates d’échéance, rapports législatifs, délais de notification, état de préparation — au regard de vos propres dossiers et des instructions de l’organisme de réglementation avant de le soumettre ou de vous y fier.
• Décider de chaque suggestion de l’IA. Le résultat de l’IA n’est jamais une décision juridique : c’est une suggestion, une ébauche modifiable ou une réponse en lecture seule qu’une personne doit vérifier.
• Votre propre conformité. AccessPoint est un outil de gestion de dossiers, non un avis juridique, et son utilisation ne rend pas une organisation conforme.

Où AccessPoint le précise

Le libellé apparaît dans les onze langues du produit.

AccessPoint pour Microsoft 365

AccessPoint pour Microsoft 365 s’exécute dans votre propre abonnement Azure et votre propre locataire Microsoft 365, et Realizer n’y a aucun accès en cours d’exécution. La responsabilité est partagée entre quatre parties :

Le guide de déploiement et le référentiel des contrôles de sécurité du GC énumèrent les choix de déploiement qui vous reviennent. Pour recevoir les avis de sécurité de Realizer, inscrivez et confirmez vos contacts de sécurité dans les contacts de notification, et tenez à jour le contact de votre compte.

AccessPoint hébergé

Dans AccessPoint hébergé, Realizer exploite le service et conserve les données de votre organisation dans son abonnement Azure, dans la région Canada Central, à titre de fournisseur de services. Ce que votre organisation assumerait pour son propre déploiement — les choix de déploiement, le réseau, la journalisation et les alertes, la sauvegarde et la reprise, l’application des versions, la gestion des clés et la réponse aux incidents pour l’environnement — relève de Realizer. Voir AccessPoint hébergé pour le fonctionnement du service.

Votre organisation demeure responsable de son programme et de ses données :

• Ce qu’elle recueille et pourquoi. Ses propres avis de collecte destinés aux demandeurs et à d’autres personnes (formulaires, lettres, site Web), ses réponses aux demandes concernant les renseignements personnels qu’elle détient, et son propre pouvoir légal pour chaque dossier qu’elle consigne.
• Sa propre évaluation du recours au service. Une évaluation des facteurs relatifs à la vie privée portant sur l’utilisation d’un service hébergé (voir l’évaluation des facteurs relatifs à la vie privée du GC), et la confirmation que le stockage à Canada Central, le service mondial d’ouverture de session et de périphérie de Microsoft, la facturation de Stripe et — si elle autorise l’Assistance IA — un traitement par l’IA pouvant avoir lieu à l’extérieur du Canada respectent ses propres règles de résidence des données et d’approvisionnement.
• Qui est membre. N’inviter que les personnes qui doivent travailler dans AccessPoint, ne leur donner que les rôles dont elles ont besoin et retirer celles qui partent — le service hébergé n’est pas relié à votre annuaire et ne remarque donc pas un départ de lui-même. Choisir Qui peut se joindre (comptes professionnels ou scolaires de vos propres locataires Microsoft seulement) et les délais de déconnexion sous Déconnexion. Les comptes Microsoft des membres sont protégés par les paramètres de leur propre organisation ou, pour un compte personnel, par ceux de la personne.
• Garder un administrateur qui lit les courriels d’AccessPoint. Les rappels d’essai, le passage au forfait Gratuit et les avertissements de purge ne sont envoyés qu’aux administrateurs actifs de l’organisation.
• Tenir à jour le contact du compte. Il s’agit de l’adresse de la personne qui a créé l’organisation, à moins que vous ne demandiez à Realizer (support@realizer.io) de la changer; c’est là que Realizer envoie les avis de sécurité et de compte.
• Ses courriels. L’adresse de réponse qu’elle confirme, les lettres et avis qu’elle envoie depuis l’adresse partagée accesspoint@notices.realizer.io, et le respect du budget de courriels du service.
• Assistance IA. Décider d’autoriser ou non l’Assistance IA après avoir lu l’énoncé qui figure dans les Paramètres, et retirer cette autorisation si sa position change.
• Son calendrier de conservation. Établir les périodes de conservation et exécuter la révision de la conservation comme elle le ferait dans son propre déploiement, et placer une suspension de conservation sur tout dossier qu’elle doit garder tant qu’une affaire est en cours.
• Sa propre copie. Télécharger ses données (Télécharger toutes les données de votre organisation, Paramètres > Abonnement) avant son départ, lorsqu’elle est avertie qu’une organisation inactive au forfait Gratuit sera retirée, ou chaque fois que ses propres règles exigent une copie. Realizer supprime une organisation qui part une fois qu’une exportation complète est consignée, et retire une organisation inactive au forfait Gratuit après les avertissements; il n’en conserve aucune copie pour l’organisation par la suite. Les sauvegardes de Realizer servent à rétablir le service après un incident, non à restaurer des documents qu’une organisation a supprimés.
• Son forfait. Un abonnement échu met l’organisation en lecture seule : elle le renouvelle ou choisit un forfait pour traiter de nouveau ses dossiers.
• La formation. Dire à son personnel de ne jamais saisir de véritables renseignements personnels dans les dossiers de formation du mode Laboratoire.

Si Realizer confirme un incident de sécurité qui a touché, ou qui a probablement touché, les données de votre organisation, il en informe par courriel vos administrateurs et le contact du compte, comme le prévoient les conditions d’AccessPoint hébergé.

Le laboratoire de formation AccessPoint

Dans le laboratoire de formation AccessPoint (learn.realizer.io), Realizer exploite la simulation et l’espace de travail du fournisseur de formation à titre de sous-traitant de ce dernier. Rien ne circule entre le laboratoire et l’AccessPoint d’une organisation. Le fournisseur de formation est responsable de ce qui suit :

• Son matériel de cours. Il en est propriétaire, en conserve la source et doit détenir les droits sur tout ce qu’il téléverse. Realizer conserve le matériel dans le stockage privé du laboratoire, jamais dans son code source, ses journaux ou sa télémétrie, et son personnel n’y accède que par une vue de soutien auditée.
• Du contenu fictif seulement. Les scénarios, les dossiers et les enregistrements doivent être fictifs, sans renseignements sur une personne réelle. Le laboratoire vérifie la présence d’adresses et d’identifiants d’apparence réelle dans les scénarios et les ébauches de l’IA, mais c’est le fournisseur qui décide de ce qu’il publie.
• Ses apprenants. Dire aux apprenants qui donne le cours et comment joindre le fournisseur; choisir pour chaque classe s’il faut demander une adresse courriel (un code de classe et un nom, par défaut, en conservent le moins); tenir la liste de la classe; répondre aux demandes des apprenants; choisir pendant combien de temps les données des apprenants sont conservées après la fermeture d’une classe (de 7 à 90 jours, 30 par défaut) et exporter ce dont il a besoin avant l’échéance.
• Les certificats. Ne délivrer un certificat de réussite qu’avec l’accord de l’apprenant : toute personne qui en possède le lien peut le vérifier, et il est conservé jusqu’à ce que le fournisseur le supprime.
• Ses membres. N’inviter que son propre personnel et ses instructeurs contractuels, retirer ceux qui partent et maintenir un administrateur d’espace de travail actif. Un instructeur ne remet à un apprenant un nouveau code de reprise qu’à la demande de ce dernier : le code permet à l’instructeur de poursuivre au nom de l’apprenant; son utilisation est donc auditée et l’apprenant en est informé.
• La rédaction par l’IA. Ne l’activer que par entente avec Realizer, et réviser chaque ébauche avant qu’elle n’atteigne un apprenant.
• L’entente avec le fournisseur, qui consigne les conditions de Realizer à titre de sous-traitant et ce à quoi le fournisseur a consenti.

Pages connexes

• Architecture technique — la conception des deux éditions, y compris AccessPoint hébergé.
• Référentiel des contrôles de sécurité du GC — correspondance avec les contrôles ITSG-33 et choix de configuration PBMM.
• Évaluation des facteurs relatifs à la vie privée du GC — flux de renseignements personnels et contrôles de protection de la vie privée dans les deux éditions.
• Paquets de juridiction — importation, réapplication et adaptation du contenu des paquets.
• Conditions d’AccessPoint hébergé — les conditions du service hébergé.