1. Qui sommes-nous
SignalOrange Inc. (« SignalOrange », « nous », « notre ») est une société canadienne constituée au Québec. La présente politique décrit comment nous recueillons, utilisons, communiquons et protégeons vos renseignements personnels dans le cadre de nos sites web (signalorange.ca, sous-domaines) et de nos produits logiciels (Meridian, Router et Estrade).
Cette politique est conforme à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE / PIPEDA) du Canada et à la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) du Québec.
2. Responsable de la protection des renseignements personnels
Conformément à la Loi 25, nous avons désigné un responsable de la protection des renseignements personnels. Pour toute question ou demande relative à la présente politique ou à vos renseignements personnels, vous pouvez le joindre à l'adresse : [email protected].
3. Renseignements que nous recueillons
3.1 Renseignements que vous nous fournissez
- Compte : nom, adresse courriel, mot de passe (haché), organisation, rôle.
- Facturation : adresse de facturation, numéro d'entreprise, renseignements de paiement (traités par notre processeur Stripe — nous ne stockons jamais les numéros de carte).
- Contenu : données que vous saisissez ou téléversez dans nos produits (contacts, propositions, factures, pièces jointes, etc.).
- Communications : courriels et messages échangés avec notre équipe.
3.2 Renseignements collectés automatiquement
- Journaux techniques : adresse IP, agent utilisateur, horodatage, pages visitées, erreurs applicatives.
- Analytique : nous utilisons Umami, une solution analytique respectueuse de la vie privée et auto-hébergée au Canada. Aucun cookie tiers, aucun identifiant persistant.
- Témoins (cookies) : un témoin de session essentiel pour maintenir votre authentification. Aucun témoin publicitaire.
4. Finalités de la collecte
Nous utilisons vos renseignements personnels uniquement pour les finalités suivantes :
- Vous fournir et maintenir nos services, y compris l'authentification et le support.
- Traiter les paiements et émettre les factures.
- Communiquer avec vous au sujet de votre compte, des mises à jour produit et des incidents de sécurité.
- Prévenir la fraude, les abus et les accès non autorisés.
- Respecter nos obligations légales et réglementaires.
- Améliorer nos produits, sur la base de données agrégées et anonymisées.
5. Consentement
Nous recueillons votre consentement de manière claire et spécifique avant de collecter, d'utiliser ou de communiquer vos renseignements personnels, sauf lorsque la loi nous permet de le faire autrement. Vous pouvez retirer votre consentement en tout temps en nous écrivant à [email protected]. Le retrait du consentement peut toutefois empêcher l'utilisation de certains services.
6. Communication à des tiers
Nous ne vendons jamais vos renseignements personnels. Nous ne les communiquons qu'aux fournisseurs de services qui nous assistent dans l'exploitation de nos services, sous contrat de confidentialité strict :
- Hébergement : OVH Canada (Beauharnois, Québec) et serveurs internes au Canada.
- Paiement : Stripe (certifié PCI DSS niveau 1).
- Courriel transactionnel : serveurs SMTP dédiés ou service approuvé (p. ex. Amazon SES région ca-central-1).
- Fournisseurs d'IA (via Router) : Anthropic, OpenAI, Google, Cohere, Mistral — avec Guard activé pour filtrer les données sensibles avant envoi. Voir la section 9.
Nous pouvons également divulguer vos renseignements si la loi l'exige (p. ex. mandat judiciaire), pour protéger nos droits, ou en cas de transaction d'entreprise (fusion, acquisition) — avec préavis et garanties équivalentes chez l'acquéreur.
7. Transferts hors du Québec et du Canada
Certains de nos sous-traitants (notamment les fournisseurs d'IA listés à la section 6) peuvent traiter des données à l'extérieur du Canada, principalement aux États-Unis et dans l'Union européenne. Conformément à la Loi 25, nous effectuons une évaluation des facteurs relatifs à la vie privée avant tout transfert hors Québec, et nous mettons en place des mesures contractuelles et techniques (chiffrement en transit, clauses de protection, Guard anti-exfiltration) pour assurer une protection équivalente. La liste complète de nos sous-processeurs et des juridictions concernées est disponible dans notre Accord de traitement des données (DPA).
8. Durée de conservation
- Compte actif : tant que votre compte est actif.
- Compte fermé : 30 jours pour permettre la restauration, puis suppression complète.
- Factures et pièces comptables : 7 ans (obligation fiscale canadienne).
- Journaux techniques : 90 jours pour le diagnostic et la sécurité, puis anonymisation.
- Données de sauvegarde : jusqu'à 90 jours supplémentaires dans les systèmes de sauvegarde.
9. Intelligence artificielle et Router Guard
Lorsque nos produits utilisent l'IA (résumés, suggestions, agents), les requêtes passent par notre API Router, qui applique Guard — un filtre automatique qui retire les renseignements personnels identifiables (noms, adresses, numéros, secrets, jetons) avant l'envoi aux modèles tiers.
Nous avons également négocié des ententes de zéro rétention avec Anthropic et OpenAI : les données envoyées à ces modèles via Router ne sont ni conservées, ni utilisées pour entraîner leurs modèles. Les logs d'utilisation de Router restent hébergés à Montréal.
10. Vos droits
Conformément à la LPRPDE et à la Loi 25, vous disposez des droits suivants :
- Accès : obtenir une copie des renseignements personnels que nous détenons sur vous.
- Rectification : corriger tout renseignement inexact ou incomplet.
- Suppression : demander l'effacement de vos renseignements, sous réserve de nos obligations légales de conservation.
- Portabilité : recevoir vos renseignements dans un format technologique structuré et couramment utilisé.
- Retrait du consentement : retirer votre consentement en tout temps (voir section 5).
- Désindexation : demander que certains renseignements ne soient plus accessibles par les moteurs de recherche.
- Plainte : déposer une plainte auprès de la Commission d'accès à l'information du Québec ou du Commissariat à la protection de la vie privée du Canada.
Pour exercer l'un de ces droits, écrivez à [email protected]. Nous répondrons dans un délai de 30 jours.
11. Sécurité
Nous protégeons vos renseignements par des mesures techniques et organisationnelles adaptées : chiffrement TLS 1.3 en transit, chiffrement AES-256-GCM au repos pour les données sensibles, contrôle d'accès par rôles, authentification forte pour le personnel, journalisation complète des accès, sauvegardes chiffrées, revue périodique du code et tests de pénétration. Voir notre page Sécurité pour le détail.
12. Violation de la vie privée
En cas d'incident de confidentialité présentant un risque de préjudice sérieux, nous vous en aviserons sans délai et communiquerons avec la Commission d'accès à l'information du Québec, conformément aux exigences de la Loi 25 et de la LPRPDE.
13. Témoins (cookies)
Nous utilisons uniquement des témoins strictement nécessaires au fonctionnement de nos services (témoin de session pour l'authentification) et un témoin d'analytique respectueux (Umami, sans identifiant personnel). Aucun témoin publicitaire ou tiers.
14. Enfants
Nos services s'adressent aux entreprises et ne sont pas destinés aux personnes de moins de 14 ans. Si vous croyez qu'un enfant nous a communiqué des renseignements personnels sans le consentement de son parent ou tuteur, écrivez-nous et nous supprimerons ces renseignements.
15. Modifications à cette politique
Nous pouvons modifier cette politique. En cas de changement important, nous vous en aviserons par courriel au moins 30 jours avant l'entrée en vigueur. La date de dernière mise à jour est indiquée en haut de la page.
16. Nous joindre
Pour toute question relative à cette politique ou à vos renseignements personnels :
- Courriel : [email protected]
- Adresse postale : SignalOrange Inc., Québec, Canada (adresse complète fournie sur demande)