Politique de confidentialité

Qui est responsable de vos renseignements

[À COMPLÉTER — raison sociale], [À COMPLÉTER — adresse], exploite le service Maatron. Numéro d'entreprise du Québec (NEQ) : [À COMPLÉTER — NEQ]. Pour toute question de vie privée, écrivez à info@maatron.dev.

L'entreprise est établie au Québec. Les lois qui s'appliquent sont donc la Loi 25, qui modernise la protection des renseignements personnels au Québec, et la loi fédérale PIPEDA. Nous n'affirmons pas être conformes au RGPD européen : cette évaluation n'a pas été faite, et la revendiquer sans l'avoir menée ne vaudrait rien.

L'identification complète de l'exploitant figure dans Mentions légales.

Les renseignements personnels que nous recueillons

La liste est courte, et elle est complète.

Votre adresse courriel. Elle sert d'identifiant de connexion et de moyen de vous joindre au sujet du service.

Votre nom, tel que vous le saisissez. Il permet aux autres membres de votre organisation de savoir qui a déposé quel fichier.

Le nom de votre organisation, qui délimite l'espace où vivent vos données.

Une empreinte Argon2id de votre mot de passe. Le mot de passe lui-même n'est jamais enregistré, et l'empreinte ne permet pas de le reconstituer.

Une session ouverte, conservée côté serveur : sa date d'expiration, sa date de révocation s'il y a lieu, et une empreinte du jeton — jamais le jeton lui-même. Le cookie qui transporte ce jeton est décrit dans Cookies.

S'y ajoute, pour chaque fichier déposé, l'identifiant du compte qui l'a déposé. C'est ce qui rend un dépôt attribuable, donc contestable, plutôt qu'anonyme.

Ce que nous ne recueillons pas

Aucune mesure d'audience, aucune publicité, aucun traceur tiers, aucun profilage. Le produit ne cherche pas à savoir comment vous vous comportez : il analyse les fichiers que vous lui donnez.

Nous ne demandons ni date de naissance, ni numéro de téléphone, ni adresse personnelle, ni renseignement sensible au sens de la Loi 25. Un champ qui n'existe pas est un champ qui ne fuit pas.

Vos fichiers de backup

Un backup de contrôleur est une donnée d'entreprise, pas un renseignement personnel : il décrit une installation, des programmes, des repères, des entrées et des sorties.

En rester là serait malhonnête. Ces fichiers contiennent parfois des identifiants de personnes : un nom d'auteur en tête d'un programme, des initiales dans un commentaire, un identifiant d'opérateur. Nous ne les extrayons pas, ne les indexons pas et ne les recherchons pas — mais ils sont dans le fichier, donc ils sont chez nous tant que le fichier y est.

Ces fichiers restent les vôtres, et Conditions d'utilisation le dit dans les mêmes termes. Nous les traitons pour vous rendre le service, et pour rien d'autre.

À quoi servent ces renseignements

Trois usages : vous authentifier, rattacher vos données à votre organisation et à aucune autre, et vous écrire au sujet du service — une interruption, un changement important, une facture.

Votre adresse ne sert pas à de la prospection non sollicitée. Si nous voulions un jour vous écrire à d'autres fins, ce serait avec votre consentement, demandé à part et refusable sans conséquence.

Combien de temps nous les conservons

Trois délais plutôt qu'un chiffre unique. Un seul chiffre serait faux dans les deux sens : la perte d'accès est immédiate, alors qu'aucun système de sauvegarde sérieux ne se réécrit à la demande.

Révocation d'accès : immédiate, sur demande. La donnée cesse d'être joignable par quiconque, y compris par vous.

Effacement des systèmes vivants, c'est-à-dire du stockage objet et de la base de données : trente jours au plus.

Destruction des copies de sauvegarde et de reprise après sinistre : soixante jours au plus, par expiration de leur propre cycle de rétention.

Ces délais sont publiés, donc ils nous engagent. Les mécanismes qui les tiennent sont décrits dans Sécurité et confiance.

Sous-traitants et sortie du Québec

Le service s'appuie sur trois fournisseurs : Render Services Inc. (Oregon, États-Unis) pour l'exécution de l'interface applicative et des traitements, Cloudflare, Inc. pour le stockage des fichiers, et Vercel Inc. pour l'hébergement de l'application web.

Vos données sortent donc du Québec et du Canada, et sont hébergées ou traitées aux États-Unis. Nous le disons plutôt que de vous le laisser deviner : la Loi 25 impose de divulguer ces communications hors Québec et d'en évaluer au préalable les facteurs relatifs à la vie privée.

La liste à jour des sous-traitants, leur rôle et les engagements contractuels qui les encadrent figurent dans Entente de traitement des données.

Rien de tout cela n'entraîne de modèle

Ni vos renseignements de compte, ni vos fichiers, ni les résultats d'analyse ne servent à entraîner, affiner ou évaluer un modèle d'intelligence artificielle, qu'il soit le nôtre ou celui d'un tiers.

L'analyse est déterministe : mêmes fichiers, même résultat. Elle n'a rien à apprendre de vos données.

Vos droits

Vous pouvez demander l'accès à vos renseignements, leur correction, leur suppression, le retrait de votre consentement, et la remise de vos données dans un format structuré et couramment utilisé.

Écrivez à info@maatron.dev. Nous répondons dans les trente jours prévus par la loi. Si une demande nous paraît trop imprécise pour être exécutée sans risque d'effacer autre chose que ce que vous visez, nous demandons une précision plutôt que de deviner.

Si notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès de la Commission d'accès à l'information du Québec, autorité de surveillance compétente.

Sécurité et incidents

Les mesures techniques — chiffrement en transit et au repos, cloisonnement entre organisations, stockage privé et liens signés à durée courte — sont décrites dans Sécurité et confiance.

En cas d'incident de confidentialité présentant un risque de préjudice sérieux, nous avisons les personnes concernées et la Commission d'accès à l'information, comme la Loi 25 l'exige, et l'incident est consigné dans un registre.

Modifications de cette politique

Cette politique changera quand le produit changera : un sous-traitant de plus, une donnée de plus. La date de dernière révision figure en haut de la page, et un changement important vous sera annoncé par courriel avant qu'il prenne effet.

Ce document décrit nos pratiques. Il n'est pas un avis juridique.