Politique de confidentialité

1. Qui est responsable

Vector Accounting Technologies inc. est responsable des renseignements personnels qu’elle détient. En vertu de la Loi 25 du Québec, notre responsable de la protection des renseignements personnels désigné est Martin Maheux, CPA, MBA, joignable à l’adresse indiquée à la fin de cette politique. Il répond de notre conformité et traite personnellement les demandes d’accès et de rectification.

2. Deux rôles distincts

Nous détenons des renseignements personnels à deux titres, assortis d’obligations différentes. Pour les utilisateurs de votre cabinet — noms, courriels professionnels, rôles, identifiants — nous déterminons les finalités et en sommes donc responsables. Pour les données de clients que votre cabinet saisit dans TrackBeam, c’est votre cabinet qui décide quoi recueillir et pourquoi; nous les traitons pour votre compte et selon vos instructions. Si l’un de vos clients vous interroge sur des données dans TrackBeam, la demande relève de votre cabinet, et nous vous aiderons à y répondre.

3. Ce que nous recueillons

• Renseignements de compte : nom, adresse courriel professionnelle, rôle et permissions, préférence de langue, et identifiants d’authentification conservés sous forme hachée.
• Données de cabinet et de mandat : clients, mandats, tâches, services, budgets, taux, saisies de temps, approbations et factures que votre cabinet saisit ou génère.
• Renseignements techniques et journaux générés à l’utilisation de l’application, conservés à des fins de sécurité et de dépannage.
• Renseignements que vous nous transmettez directement, comme une demande de démo ou un message au soutien.

4. Pourquoi nous les utilisons

Pour fournir TrackBeam et ses fonctionnalités; authentifier les utilisateurs et protéger les comptes; calculer les scores de priorité et les coûts projetés; produire les factures; assurer la synchronisation avec les intégrations activées par votre cabinet; offrir le soutien; respecter nos obligations légales et fiscales; et maintenir la sécurité du service. Nous ne vendons pas de renseignements personnels et n’utilisons pas les données de votre cabinet pour vous faire de la publicité.

5. Avec qui nous les partageons

Nous faisons appel à un petit nombre de fournisseurs, énumérés intégralement et tenus à jour dans notre centre de confiance. En résumé : Microsoft Azure héberge l’application et la base de données dans la région Canada Est, au Québec; Stripe traite le paiement de votre abonnement TrackBeam; OpenAI traite des données pseudonymisées pour l’assistant de rapports facultatif, et uniquement lorsqu’un cabinet a choisi de s’en servir. Nous communiquons également des renseignements lorsque la loi l’exige. Nous ne communiquons aucun renseignement personnel à d’autres fins sans votre consentement.

Consulter le centre de confiance

6. Renseignements traités à l’extérieur du Québec

Deux de nos fournisseurs traitent des données à l’extérieur du Québec. Cela est énoncé ici de façon explicite. Stripe traite l’information de paiement de l’abonnement. OpenAI traite des données pseudonymisées — montants, heures, taux, dates, noms de tâches, noms de services et rôles, rattachés à des codes internes plutôt qu’à des identités de clients — uniquement pour faire fonctionner l’assistant de rapports facultatif, qu’un cabinet active par choix. Ces données ne servent pas à entraîner les modèles d’OpenAI. Nous n’avons pas d’entente de rétention zéro confirmée avec OpenAI et, selon les conditions standard de l’API, les données peuvent être conservées jusqu’à 30 jours à des fins de surveillance des abus.

Comme les noms de tâches sont des champs de texte libre, un nom de client inscrit dans un nom de tâche serait transmis avec le reste. Nous recommandons aux cabinets d’utiliser des codes clients dans les noms de tâches. Une évaluation des facteurs relatifs à la vie privée portant sur cette communication a été réalisée.

7. Combien de temps nous les conservons

Tant que le compte de votre cabinet est actif, nous conservons les données nécessaires au fonctionnement du service. Après la résiliation, les données sont conservées deux ans, puis supprimées. Avant ou pendant cette période, votre cabinet peut exporter les feuilles de temps enregistrées, avec les services et les tâches, par utilisateur, dans un fichier Excel. Certains éléments peuvent être conservés plus longtemps lorsqu’une obligation légale ou fiscale l’exige.

8. Comment nous les protégeons

Le trafic est protégé par HTTPS/TLS. La base de données utilise le chiffrement transparent des données d’Azure SQL (AES-256). Les sauvegardes automatisées offrent une fenêtre de restauration de 30 jours à un point dans le temps, et un test de restauration a été réalisé. La vérification en deux étapes est prise en charge à la connexion, les permissions sont appliquées côté serveur au niveau des modules, et l’authentification est exploitée à l’interne plutôt que par un fournisseur d’identité tiers. L’infrastructure Azure sur laquelle tout cela s’exécute détient les certifications SOC 2 et ISO 27001.

9. Vos droits

Sous réserve de la loi, vous pouvez demander l’accès aux renseignements personnels que nous détenons à votre sujet, leur rectification, le retrait d’un consentement déjà donné, la communication de vos renseignements personnels informatisés dans un format technologique structuré et couramment utilisé, ainsi que d’être informé d’une décision fondée exclusivement sur un traitement automatisé. Écrivez à notre responsable et vous obtiendrez une réponse dans les délais prévus par la loi. Si notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès de la Commission d’accès à l’information du Québec.

10. Traitement automatisé

TrackBeam calcule un score de priorité pour les tâches à partir de règles énoncées appliquées à la proximité de l’échéance, au tier du client, au coût projeté par rapport au budget et au risque du projet. Le calcul repose sur des règles; aucun modèle de langage n’intervient. Il produit un ordre de travail — il ne prend aucune décision d’emploi et n’agit pas sans intervention humaine. Une personne demeure responsable de chaque décision qui en découle.

11. Incidents

Si un incident de confidentialité présente un risque de préjudice sérieux, nous aviserons la Commission d’accès à l’information et les personnes concernées comme la loi l’exige, et nous tenons un registre des incidents. Nous n’avons pas encore publié de délai de notification ferme; ces travaux de politique sont en cours et cette section énoncera l’engagement dès qu’il existera.

12. Témoins (cookies)

TrackBeam utilise un petit nombre de témoins strictement nécessaires. Ils sont décrits dans notre politique de cookies. Politique de cookies.

13. Modifications

Si nous modifions cette politique d’une manière qui touche notre traitement des renseignements personnels, nous mettrons à jour la date ci-dessous et informerons les titulaires de compte. Les changements importants à notre liste de fournisseurs sont reflétés dans le centre de confiance au fur et à mesure.

14. Comment nous joindre

Martin Maheux, CPA, MBA — Responsable de la protection des renseignements personnels, Vector Accounting Technologies inc.
help@vectac.com

Vector Accounting Technologies inc.