Conformité · Loi 25
Ce qu’on fait de vos données, vérifiable ligne par ligne.
Un fournisseur ne peut pas vous rendre « conforme à la Loi 25 » : la conformité est une obligation de votre entreprise. Ce qu’il peut faire, c’est vous donner tout ce qu’il faut pour la remplir. Le voici.
Responsable de la protection des renseignements personnels
Mathieu Payment
Propriétaire, Zen Solutions — Laval (Québec)
privacy@zen-solutions.net
Accès, rectification, suppression, plainte : écrivez à cette adresse.
Documents tenus
- Évaluation des facteurs relatifs à la vie privée (transfert hors Québec)
- Registre des incidents de confidentialité
- Registre des ententes de protection des données de chaque sous-traitant
Remis sur demande à un client ou à un client potentiel.
Ce que nous ne prétendons pas
L’audio d’un appel en cours est traité aux États-Unis, par le fournisseur du modèle vocal. Personne dans ce marché n’offre un traitement vocal en direct au Canada, et nous ne l’écrirons pas tant que ce ne sera pas vrai.
Nos sous-traitants et leur région de traitement
Liste établie à partir du code de la plateforme et d’une analyse des requêtes réelles en production, pas de mémoire. Les deux fournisseurs d’IA excluent contractuellement vos données de l’entraînement de leurs modèles.
| Sous-traitant | Rôle | Données reçues | Région | Quand |
|---|---|---|---|---|
| Railway | Hébergement de l’application et de la base de données | Tout ce que la plateforme conserve | États-Unis | Toujours |
| xAI | Modèle voix-à-voix de l’agent téléphonique | L’audio de l’appel en cours | États-Unis | Pendant chaque appel |
| Anthropic | Modèle de langage (clavardage, courriel, assistant) | Le texte des messages traités | États-Unis | Quand une fonction IA texte est utilisée |
| Twilio | Téléphonie et SMS | Numéros de téléphone, contenu des SMS, acheminement des appels | États-Unis | Toujours (agent vocal) |
| Stripe | Paiements et abonnements | Nom, courriel, données de paiement | États-Unis et Irlande | Lors d’un paiement |
| Agenda, connexion et notifications | Identité, rendez-vous, jetons de notification | États-Unis | Si vous connectez Google | |
| Sentry | Journal des erreurs techniques | Rapports d’erreur, nettoyés des renseignements personnels avant l’envoi | États-Unis | Lors d’une erreur |
| Cloudflare (R2) | Sauvegardes de la base de données | Sauvegardes chiffrées avant l’envoi — Cloudflare ne peut pas les lire | Amérique du Nord | Chaque jour, effacées après 30 jours |
| Meta | Messenger et publicités | Messages Messenger ; sur nos pages, le pixel seulement après votre accord | États-Unis | Si vous connectez Facebook |
| Microsoft | Boîte courriel Outlook | Le contenu de la boîte connectée | États-Unis | Si vous connectez Outlook |
| Komoot (Photon) | Suggestion d’adresse dans le formulaire de réservation | L’adresse tapée, relayée par notre serveur (votre adresse IP n’est pas transmise) | Allemagne | Pendant la saisie d’une adresse |
Protections en place
- Chiffrement en transit (TLS) sur chaque connexion.
- Jetons, clés et mots de passe de boîtes courriel chiffrés au repos (AES-256-GCM), jamais exposés au navigateur.
- Données isolées par commerce, avec des accès limités par utilisateur appliqués côté serveur.
- Aucune identification par la voix : l’agent reconnaît un client par son numéro, et le demande s’il est masqué.
- Nous ne vendons jamais vos données ni celles de vos clients.
Vos données doivent rester au Canada ? Dites-le avant de signer : c’est une décision d’hébergement dont on peut discuter, pas une surprise à découvrir plus tard. Politique complète : confidentialité. État du service en direct : /statut.