Politique de confidentialité de NOTIMA

• Les données que votre organisation met dans NOTIMA : documents, pièces jointes, comptes de ses utilisateurs, relecteurs qu'elle invite, journal d'audit de son espace. L'organisation cliente en est le responsable. Vivialis Services Inc. les traite pour fournir le service, selon le contrat conclu avec l'organisation cliente (mandataire au sens de la Loi 25 ; sous-traitant ailleurs).
• Nos propres données : demandes de contact, de devis et d'essai, clients, comptes consultants et annuaire, journaux d'accès des visiteurs de nos sites. Pour celles-ci, Vivialis Services Inc. est responsable.
• Les formalités du client : l'organisation cliente informe ses utilisateurs et les autres personnes concernées, et accomplit les formalités qui lui incombent selon la loi de son pays (articles 13 et 14).

Vivialis Services Inc. — NEQ 1181647562 — Québec, QC, Canada. Responsable de la protection des renseignements personnels : rpp@vivialis.ca (article 13). Clients hors du Canada : contact@notima.net.

Nous ne traitons que les renseignements nécessaires aux finalités énoncées ci-après. Voici les catégories de données traitées :

Données d'identification et de compte

• Nom complet, adresse courriel, mot de passe (haché avec bcrypt)
• Nom de l'organisation, secteur d'activité
• Rôle et permissions au sein de l'espace de votre organisation

Données d'utilisation et journaux

• Journaux d'activité (création, modification, approbation de documents)
• Horodatages, adresse IP complète et navigateur (famille et système, sans version) à chaque action inscrite au journal d'audit, connexion comprise
• Données de session (jeton JWT, données d'authentification à deux facteurs)

Documents et pièces jointes

• Contenu des documents téléversés (notices, politiques, procédures)
• Pièces jointes et images associées
• Métadonnées des fichiers (nom, type MIME, date de création)

Données de facturation

• Paiement en ligne : coordonnées de facturation, saisies directement chez notre prestataire de paiement (Stripe) : aucun numéro de carte ne transite par nos serveurs ni n'y est conservé
• Empreinte du moyen de paiement : l'identifiant que Stripe attribue à une carte (jamais son numéro), conservé pour refuser un second essai avec la même carte
• Contenu des événements de facturation que Stripe nous transmet (souscription, paiement, échec), conservé 30 jours puis effacé ; l'identifiant, le type et le statut de l'événement restent, pour ne pas le traiter deux fois
• Tous les clients : coordonnées de l'organisation, renseignements sur son abonnement, historique des abonnements et des renouvellements

Visiteurs des sites publics

• Adresse IP, page consultée, date et heure, agent utilisateur du navigateur
• Collectés automatiquement par le serveur web à chaque visite, dans ses journaux d'accès
• Finalités : sécurité du service, détection et prévention des abus, diagnostic technique
• Conservation : 14 jours, par rotation automatique des journaux
• Mesure de fréquentation (Umami, outil que nous hébergeons au Québec) : page consultée, date et heure, provenance du lien, langue et type d'appareil. Sans témoin, sans vous identifier et sans recoupement avec un compte (article 6)
• Aucun profilage, aucun recoupement avec un compte, aucune communication de ces mesures à un tiers

Visiteurs d'un portail de diffusion ou d'une étiquette QR

• Consultations comptées, sans donnée sur le visiteur : pour un portail, un nombre de consultations et un nombre de téléchargements du PDF de preuve par document, version affichée et jour ; pour une étiquette QR, un nombre d'ouvertures par emplacement, document, version et jour. Ni adresse IP, ni appareil, ni identité, ni heure : l'organisation qui publie sait combien de fois sa version en vigueur a été lue, pas par qui
• Ces compteurs appartiennent à l'espace de l'organisation qui publie ; elle les voit dans son tableau de bord et les retrouve dans l'export de son espace
• Adresse IP, page consultée, date et heure, agent utilisateur du navigateur : collectés automatiquement par le serveur web dans ses journaux d'accès, comme pour toute page du site. L'adresse de la page comprend le nom du portail ou le code de l'étiquette scannée, jamais votre identité. Conservation : 14 jours (article 5)
• Adresse IP, utilisée comme repère en mémoire du serveur pour limiter les essais de mot de passe sur un portail protégé, les scans refusés d'une étiquette et les téléchargements en rafale. Ce repère n'est pas enregistré en base et disparaît au redémarrage du serveur
• Sur un portail protégé par mot de passe, après déverrouillage : un témoin de session limité à ce portail. Sur les seuls appareils qu'une organisation enregistre pour ses étiquettes réservées : un témoin d'appareil, valeur aléatoire sans renseignement personnel (article 10)
• Aucune inscription au journal d'audit de l'organisation : ni la consultation d'un portail ni l'ouverture d'une étiquette n'y écrivent
• Finalités : mesure de la diffusion des documents publiés, sécurité du service et prévention des abus

Envois aux formulaires publics (vérification anti-robot)

• Adresse IP et signaux techniques du navigateur, transmis au service de vérification anti-robot lorsque vous commencez à vous servir d'un formulaire public, puis à l'envoi (sous-section 8.1)
• Adresse IP, utilisée comme repère pour limiter le nombre d'envois : en mémoire du serveur, une heure au plus, sans enregistrement en base
• En cas d'envoi refusé : date et heure, adresse IP, description simplifiée du navigateur, motif du refus et, s'il avait été saisi, l'adresse courriel. Le reste du formulaire n'est pas consigné
• Finalité : sécurité des formulaires publics et détection des envois automatisés, à l'exclusion de toute autre
• Conservation : voir l'article 5

Relecteurs invités par lien (tiers sans compte)

• Adresse courriel, saisie par l'organisation cliente qui invite ; conservée avec l'invitation, recopiée sur chaque proposition envoyée, et transmise par courriel à l'invitant et à l'auteur du document
• Avis rendu sur le document ou le projet (favorable, défavorable ou commentaire) et commentaire libre
• Texte corrigé proposé, bloc par bloc, et note à l'auteur ; ce que l'organisation accepte devient une version de son document
• Images téléversées avec une proposition, sous un nom régénéré (le nom d'origine du fichier n'est pas conservé)
• Adresse IP complète et navigateur (famille et système, sans version) à chaque action : ouverture du lien, téléchargement d'une pièce jointe, proposition, image, avis, clôture
• Commentaires sur un passage du document : texte, passage cité, réponses et dates. Chaque commentaire conserve l'adresse courriel et le nom de son auteur
• Finalité : permettre la relecture du document et garder la trace des échanges et des décisions
• Qui voit : les membres de l'organisation qui ont accès au document. Un relecteur invité voit les commentaires du document sans le nom ni l'adresse de leurs auteurs. Son adresse n'est affichée à personne dans l'application ; elle figure dans l'export de l'espace remis à l'organisation
• Un commentaire supprimé par son auteur ou retiré par l'organisation n'est plus affiché. Il reste conservé avec le document, pour la traçabilité, jusqu'à la suppression de l'espace
• Conservation : voir l'article 5

Comptes consultants et annuaire

• Nom d'affichage, adresse courriel (vérifiée), mot de passe (haché avec bcrypt), secret d'authentification à deux facteurs (chiffré), date d'acceptation des conditions
• Liens de relecture rattachés au compte : organisation cliente, document ou projet, dates et état — jamais le contenu des documents hors de la relecture elle-même
• Fiche d'annuaire, si le consultant l'active : entreprise ou cabinet, domaines d'intervention, territoires desservis, description courte, courriel de contact choisi, téléphone et site web facultatifs
• Publication à la demande du consultant, par l'interrupteur « Visible dans l'annuaire », après validation par NOTIMA : la fiche est alors visible publiquement sur notima.ca et notima.net (page indexable) et dans l'espace des organisations clientes ; jamais la liste de ses clients
• Retrait : à tout moment par le consultant depuis son compte (effet immédiat), ou par NOTIMA avec un motif communiqué par courriel
• Adresse IP complète et navigateur (famille et système, sans version) à chaque action inscrite au journal d'audit
• Conservation : compte non vérifié purgé après sept jours ; compte actif conservé tant qu'il existe ; fiche retirée conservée en brouillon, non publiée

Demandes de contact, de devis et d'essai, et clients (Vivialis, responsable)

• Nom, adresse courriel, téléphone (facultatif), nom de l'organisation
• Secteur d'activité, taille de l'organisation, besoins exprimés, échéance et offre souhaitée
• Contenu du message transmis via le formulaire de contact
• Pour un client : coordonnées de l'organisation et renseignements sur son abonnement, pour la facturation

Les renseignements personnels sont utilisés aux fins suivantes :

Fourniture du service : Gestion de votre compte, hébergement de vos documents, circuits de validation, journaux d'audit, diffusion des documents publiés (portail, étiquettes QR) et compte de leurs consultations.

Authentification et sécurité : Vérification d'identité, authentification à deux facteurs, détection d'activités anormales.

Pistes d'audit et obligations légales : Conservation des journaux d'audit de votre espace, respect des obligations légales qui s'appliquent à nous et, pour les organisations du Québec, de leurs obligations sous la Loi 25.

Support client : Répondre à vos demandes d'assistance et diagnostiquer les problèmes techniques.

Amélioration du service : Analyse agrégée et anonymisée des usages pour améliorer nos fonctionnalités et performances.

Communications : Envoi de bulletins d'information, mises à jour et offres, uniquement avec votre consentement explicite.

Pour nos propres données, nous traitons les renseignements sur les bases suivantes, selon le contexte. Pour les données traitées pour le compte d'une organisation cliente, la base du traitement est celle que l'organisation cliente a retenue.

• Contrat : exécution du contrat de service souscrit.
• Consentement : pour les communications marketing et les témoins non essentiels.
• Intérêt légitime : sécurité informatique, prévention de la fraude, amélioration du service.
• Obligation légale : conservation de journaux requis par la réglementation applicable.

Pour les personnes au Québec, voir l'article 13.

Nous conservons les renseignements aussi longtemps que nécessaire aux finalités décrites, ou conformément aux délais légaux applicables. Le tableau ci-dessous est celui que la plateforme applique : chaque durée chiffrée y est lue dans la même source que la purge automatique quotidienne, et non recopiée. Les données d'une organisation cliente sont supprimées 90 jours après la fermeture de son compte ; le journal d'audit fait exception : il est conservé anonymisé (article 8), et les preuves de publication sont réduites à l'empreinte et aux dates.

Nous ne vendons pas les renseignements personnels. Nous les communiquons uniquement dans les cas suivants.

• Sous-traitants : nous faisons appel aux fournisseurs listés ci-dessous, chacun pour la seule finalité indiquée.
• Obligations légales : sur ordonnance d'un tribunal ou demande d'une autorité compétente.
• Cession d'entreprise : en cas de fusion, acquisition ou vente d'actifs, avec notification préalable.

Nous mesurons la fréquentation des sites publics avec Umami, nommé au tableau ci-dessus. Cet outil est hébergé par nous, au Québec : les mesures ne sont transmises à aucun tiers et ne quittent pas notre infrastructure. Il ne dépose aucun témoin, ne vous identifie pas et ne recoupe rien avec un compte ; il compte des pages consultées, non des personnes. Il n'est actif que sur les sites en ligne.

Aucun autre outil d'analyse d'audience n'est installé sur les sites, et aucun témoin n'y est déposé à des fins de mesure. La Search Console de Google nous fournit des statistiques sur les requêtes de recherche qui mènent aux sites, sans script ni témoin déposé sur ceux-ci.

Les données sont hébergées au Canada : le serveur est situé au Québec, et les copies de sauvegarde chiffrées sont conservées au Canada (Toronto, Ontario), auprès d'un fournisseur établi aux États-Unis. Les données de sauvegarde ne quittent pas le Canada. La mesure de fréquentation des sites publics n'entraîne aucune sortie : l'outil est hébergé par nous, sur le même serveur que la plateforme, au Québec (article 6).

Les traitements suivants impliquent une communication hors du Canada :

• Traitement des paiements : effectué par Stripe aux États-Unis. Sont transmis le courriel du contact ainsi que les renseignements relatifs à l'organisation et à l'abonnement. Le numéro de la carte de paiement est saisi directement chez Stripe et ne transite jamais par Vivialis, qui ne le conserve pas ; Vivialis reçoit de Stripe l'empreinte du moyen de paiement et les événements de facturation décrits à l'article 5.
• Moteur d'intelligence artificielle externe : par défaut, aucun traitement d'intelligence artificielle ne quitte notre infrastructure : les fonctions concernées s'exécutent sur un moteur hébergé par Vivialis au Canada, et aucune donnée n'est transmise à un tiers. Sur activation explicite par votre organisation, dans ses paramètres, certaines fonctions peuvent recourir à Anthropic, PBC (États-Unis). Est alors transmis, selon la fonction : des extraits de vos documents avec le titre du document dont ils proviennent, les premiers caractères d'un document, les titres de ses sections, ou les références réglementaires que vous avez saisies. Ce contenu est celui de vos documents : il peut comporter des renseignements personnels si vos documents en comportent. Les données de compte des utilisateurs et les journaux d'audit ne sont pas transmis. Chaque écran concerné indique ce qui sera transmis avant le traitement, et l'activation peut être retirée à tout moment.
• Vérification anti-robot des formulaires publics : assurée par Cloudflare, Inc. (États-Unis). Sont transmis votre adresse IP et des signaux techniques de votre navigateur, lorsque vous commencez à vous servir du formulaire — et non à la simple lecture de la page — puis à l'envoi. Aucun contenu du formulaire n'est transmis. Cette communication ne concerne ni votre espace de travail, ni vos documents. Voir l'article 8.
• Prise de rendez-vous : assurée par Google LLC (États-Unis), au moyen de Google Agenda, sur la page « Prendre rendez-vous » et après l'envoi du formulaire « Évaluer mes besoins », lorsqu'elle est proposée. Le calendrier ne se charge qu'au clic sur « Choisir une plage » : avant ce clic, aucune requête n'est faite vers Google. Ce que vous y saisissez (nom, adresse courriel, plage choisie, réponses éventuelles) est recueilli et traité par Google ; NOTIMA ne reçoit pas ces données dans son application. Le rendez-vous réservé apparaît dans l'agenda de Vivialis.
• Courriels écrits à contact@notima.ca : acheminés par le service Email Routing de Cloudflare, Inc. (États-Unis) vers la messagerie de Vivialis, hébergée par WHC au Canada. Cloudflare reçoit l'adresse de l'expéditeur et le contenu du courriel pour le transmettre.

Ce que ces transferts signifient au Québec : article 13. Pour une organisation établie hors du Canada, l'hébergement au Canada est lui-même un transfert hors de son pays : article 14.

NOTIMA met en œuvre des mesures de sécurité techniques et organisationnelles adaptées au niveau de risque des traitements effectués :

• Chiffrement des données en transit (HTTPS/TLS). Données de travail hébergées au Québec ; copies de sauvegarde chiffrées conservées au Canada (Toronto). Environnement isolé par organisation.
• Authentification à deux facteurs (TOTP) obligatoire pour tous les comptes, exigée à la première connexion
• Contrôle des accès selon les rôles et journaux d'audit immuables : journal en ajout seul, protégé par un contrôle en base de données interdisant toute modification ou suppression tant que le compte est ouvert. La seule opération que ce contrôle admet est l'anonymisation du journal, 90 jours après la fermeture du compte : adresses courriel et adresses IP remplacées, tout le reste inchangé (article 5)
• Journalisation des accès : chaque authentification (réussie ou échouée) et chaque action sensible est consignée avec son horodatage et l'adresse IP d'origine
• Sauvegardes quotidiennes chiffrées de la base de données et des fichiers, conservées au Canada avec rotation (14 jours pour les copies quotidiennes, 12 mois pour la copie mensuelle) ; chiffrement au repos des sauvegardes
• Revue de sécurité périodique
• Procédure de gestion des incidents de confidentialité : évaluation du risque de préjudice sérieux et, le cas échéant, avis aux personnes concernées et aux autorités compétentes avec diligence (au Québec, déclaration à la Commission d'accès à l'information : article 13). Objectif interne de Vivialis : 72 heures après la découverte.

8.1 Protection anti-robot des formulaires publics

Les formulaires publics des sites — le formulaire de contact et le formulaire « Évaluer mes besoins » sur notima.ca, y compris lorsqu'il sert à demander un essai sans carte, et les formulaires de devis et d'essai sur notima.net — sont protégés contre les envois automatisés. Sans cette protection, ces formulaires seraient remplis en masse par des programmes, et les demandes réelles s'y perdraient.

Cette protection repose sur un service de vérification fourni par Cloudflare, Inc., société établie aux États-Unis : c'est une communication de renseignements personnels hors du Canada (article 7). Concrètement :

• Ce qui est transmis : votre adresse IP et des signaux techniques de votre navigateur. Aucun contenu de ce que vous écrivez dans le formulaire n'est transmis à Cloudflare.
• À quel moment : seulement lorsque vous commencez à vous servir du formulaire ; tant que vous ne faites que lire la page, rien n'est transmis à Cloudflare. Sur la page de contact, la vérification se charge dès que vous placez le curseur dans un champ ou que vous y saisissez quelque chose. Sur le formulaire « Évaluer mes besoins », elle n'apparaît qu'à la dernière étape, celle de l'envoi. Une seconde transmission a lieu lorsque notre serveur fait valider le résultat auprès de Cloudflare, au moment de l'envoi.
• Pourquoi : nous l'utilisons uniquement pour distinguer une personne d'un programme automatisé. Ce service n'est utilisé ni pour de la publicité, ni pour établir un profil de vos intérêts, ni pour vous suivre d'un site à l'autre. Selon ses propres conditions (Turnstile Privacy Addendum), Cloudflare utilise aussi ces signaux, pour son propre compte, afin d'améliorer sa détection des robots ; pour cet usage, Cloudflare en est responsable.
• Ce que nous conservons : rien de la réponse de Cloudflare. Notre serveur l'utilise pour accepter ou refuser l'envoi, puis ne la garde pas.
• Témoins (cookies) : notre code ne dépose aucun témoin pour cette vérification. Nous ne sommes pas en mesure d'établir depuis notre code ce que le script du fournisseur dépose de son côté.

Deux autres protections complètent celle-ci, sans faire appel à un tiers :

• Limitation du nombre d'envois : le nombre d'envois par heure est limité, par adresse IP (sur notima.ca : cinq envois par heure pour le formulaire de contact, trois pour le formulaire « Évaluer mes besoins »). Ce décompte vit en mémoire de notre serveur pendant une heure au plus ; il n'est pas enregistré en base de données et disparaît au redémarrage du serveur.
• Journal des refus : lorsqu'un envoi est refusé, nous consignons la date et l'heure, l'adresse IP, une description simplifiée du navigateur, le motif du refus et, s'il avait été saisi, le courriel indiqué. Le reste du formulaire n'est pas consigné. Cette trace sert à détecter une campagne automatisée ; elle est inscrite dans un journal qui ne peut être ni modifié ni effacé (voir l'article 5).

Vous disposez des droits suivants sur vos renseignements personnels :

• Accès : obtenir copie des renseignements que nous détenons sur vous.
• Rectification : faire corriger les renseignements inexacts ou incomplets.
• Suppression : demander l'effacement de vos données, sous réserve des obligations légales.
• Portabilité : recevoir vos données dans un format structuré et couramment utilisé.
• Retrait du consentement : révoquer à tout moment votre consentement à des fins marketing.
• Opposition : vous opposer à certains traitements, notamment ceux fondés sur l'intérêt légitime.

Pour les données que votre organisation a mises dans NOTIMA, elle en est responsable : adressez-vous d'abord à elle ; nous l'aidons à répondre. Nous répondons dans un délai de 30 jours. Où écrire et quel recours : article 13 (Québec et Canada) ou article 14 (hors du Canada).

Nous déposons uniquement des témoins strictement nécessaires au fonctionnement de la plateforme : 9 témoins au total, tous inaccessibles aux scripts du navigateur, qui servent à maintenir une session ouverte, à franchir la connexion en deux étapes, à accéder à un portail protégé par mot de passe (témoin limité à ce portail), à reconnaître un appareil qu'une organisation cliente a enregistré pour ses étiquettes QR (valeur aléatoire, sans renseignement personnel, renouvelée à chaque visite d'une étiquette), et à retenir un chemin de retour ou un choix d'affichage. Aucun témoin non essentiel n'est déposé, et aucun témoin ne sert à la mesure d'audience. Notre politique des témoins les liste un par un, avec leur durée, et décrit ce que l'application écrit par ailleurs dans votre navigateur sans témoin.

Nous pouvons mettre à jour la présente politique pour refléter des changements légaux ou opérationnels. En cas de modification substantielle, les administrateurs de chaque organisation cliente en sont avisés par courriel au moins 30 jours avant l'entrée en vigueur des changements, et l'administrateur accepte la nouvelle version dans l'application à la date d'effet, comme le prévoient les conditions générales d'utilisation. La date de dernière mise à jour figure en haut de cette page, la version en vigueur en bas.

Vivialis Services Inc. — NEQ 1181647562 — Québec, QC, Canada

• Personnes au Québec et au Canada : Responsable de la protection des renseignements personnels, rpp@vivialis.ca
• Clients hors du Canada : contact@notima.net

Responsable de la protection des renseignements personnels (RPP). Vivialis Services Inc. a désigné un Responsable de la protection des renseignements personnels chargé de veiller à la conformité de nos pratiques avec la Loi 25. Vous pouvez le joindre à tout moment à rpp@vivialis.ca.

Rôles au sens de la Loi 25. Vivialis Services Inc. agit à titre de « personne qui recueille des renseignements personnels » pour ses propres finalités, et à titre de mandataire de traitement pour les données que les organisations clientes confient à la plateforme.

Fondement au Québec. Au Québec, les renseignements personnels sont recueillis et utilisés avec le consentement de la personne concernée, ou sans ce consentement dans les seuls cas prévus par la loi (notamment pour l'exécution du contrat, la sécurité du service et la prévention de la fraude).

Communication hors du Québec. Les copies de sauvegarde chiffrées conservées à Toronto (Ontario), auprès d'un fournisseur établi aux États-Unis, et les traitements énumérés à l'article 7 constituent une communication de renseignements personnels à l'extérieur du Québec.

Incidents de confidentialité. Lorsqu'un incident présente un risque qu'un préjudice sérieux soit causé, Vivialis Services Inc. le déclare à la Commission d'accès à l'information et avise les personnes concernées avec diligence.

Droits. Les droits de l'article 9 s'exercent conformément à la Loi 25. Vous pouvez aussi demander que cesse la diffusion d'un renseignement personnel vous concernant, ou que soit désindexé tout hyperlien rattaché à votre nom donnant accès à ce renseignement, dans les conditions prévues par la loi ; cela vise notamment les fiches publiques de l'annuaire des consultants.

Où écrire et recours. Pour exercer vos droits ou pour toute question relative aux transferts, écrivez à rpp@vivialis.ca. Si vous estimez que vos droits ne sont pas respectés, vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI), www.cai.gouv.qc.ca.

Transfert vers le Canada. Les données étant hébergées au Canada, elles sont transférées hors du pays de l'organisation cliente (par exemple, du Sénégal vers le Canada). L'organisation cliente, responsable du traitement, accomplit les formalités qui lui incombent à ce titre auprès de l'autorité de protection des données de son pays — au Sénégal, la Commission de Protection des Données Personnelles (CDP). Vivialis Services Inc. lui fournit, sur demande écrite, les informations nécessaires à ces formalités : nature des données, lieux d'hébergement, sous-traitants (article 6) et mesures de sécurité (article 8).

Où écrire et recours. Pour exercer vos droits ou pour toute question relative aux transferts, écrivez à contact@notima.net. Si vous estimez que vos droits ne sont pas respectés, vous pouvez vous adresser à l'autorité de protection des données de votre pays (au Sénégal, la CDP).