Sécurité et confidentialité chez Vectac.
Cette page documente où résident vos données, comment elles sont protégées, quels tiers les traitent, et ce qui est transmis à OpenAI lorsque l’assistant de rapports facultatif est activé. Elle est rédigée pour être examinée, et nous répondrons volontiers à toute question qu’elle ne couvre pas.
Où résident vos données
L’application TrackBeam et sa base de données s’exécutent sur Microsoft Azure, dans la région Canada Est — le centre de données de Microsoft à Québec. Vos mandats, vos feuilles de temps, vos clients et vos données de facturation sont stockés au Québec.
Deux services traitent des données à l’extérieur du Québec. Stripe gère le paiement de l’abonnement. OpenAI soutient l’assistant de rapports facultatif, et uniquement lorsqu’un cabinet a choisi de l’activer. Les deux sont détaillés plus bas. Toutes les autres données demeurent au Québec.
Chiffrement
En transit — Le trafic entre votre navigateur et TrackBeam est protégé par HTTPS/TLS.
Au repos — La base de données utilise le chiffrement transparent des données d’Azure SQL (AES-256).
Il s’agit des protections de chiffrement fournies par la plateforme Azure, décrites comme telles.
Sauvegardes et rétablissement
Azure SQL effectue des sauvegardes automatisées avec une fenêtre de restauration à un point dans le temps de 30 jours. Un test de restauration a été réalisé afin de valider la procédure.
Disponibilité
Nous nous engageons à une disponibilité de 99,9 %.
Contrôle des accès
Vérification en deux étapes
TrackBeam prend en charge la vérification en deux étapes par code à la connexion.
Permissions par rôle
Les permissions sont appliquées côté serveur, au niveau des modules : un utilisateur n’accède qu’aux volets que son rôle prévoit.
Authentification exploitée à l’interne
L’authentification est exploitée à l’interne plutôt que par un fournisseur d’identité tiers, ce qui maintient vos identifiants dans la même infrastructure que le reste de vos données.
Sous-traitants
Les tiers suivants peuvent traiter des données liées à votre cabinet. La liste est volontairement restreinte.
| Service | Finalité | Lieu de traitement |
|---|---|---|
| Microsoft Azure | Hébergement de l’application et base de données | Québec (Canada Est) |
| Stripe | Facturation de l’abonnement TrackBeam | Hors du Canada |
| OpenAI | Assistant de rapports facultatif | Hors du Canada |
Les courriels transactionnels se limitent à la création de compte, aux confirmations et aux réinitialisations de mot de passe. Ils ne transportent aucune donnée de mandat, de feuille de temps ni d’information financière client.
L’assistant de rapports facultatif et OpenAI
TrackBeam comprend un assistant facultatif qui produit des rapports. Il est soutenu par OpenAI, et son activation signifie que des données pseudonymisées liées à votre cabinet sont traitées à l’extérieur du Québec. Votre cabinet décide de l’utiliser ou non, et cette décision devrait se prendre en pleine connaissance de ce qu’elle implique. Les détails suivent.
Facultatif, et pour les rapports seulement
L’assistant produit des rapports et rien d’autre. TrackBeam n’en a pas besoin : les mandats, les feuilles de temps, la facturation et la priorisation fonctionnent tous sans lui, et la priorisation en particulier repose sur des règles et demeure entièrement sur notre infrastructure québécoise. Un cabinet qui n’active pas l’assistant n’est pas visé par cette section.
Ce qui est transmis
Montants, heures, taux, dates, noms de tâches, noms de services et rôles.
Pseudonymisées
Les enregistrements sont associés à des codes internes plutôt qu’à des identités de clients. Le nom du client ne sert pas de clé.
Non utilisées pour l’entraînement
Ces données ne servent pas à entraîner les modèles d’OpenAI.
Conservation par OpenAI
Nous ne disposons pas d’une entente de rétention zéro confirmée avec OpenAI. Selon ses conditions standard d’API, les données peuvent être conservées jusqu’à 30 jours à des fins de surveillance des abus. Nous l’indiquons afin que votre cabinet puisse évaluer cette communication sur la base d’une information exacte.
Une considération résiduelle
Les noms de tâches sont des champs de texte libre. Si le nom d’un client y est inscrit, il est transmis avec le reste. La pseudonymisation protège les identifiants sous notre contrôle; elle ne peut pas encadrer ce qu’un utilisateur saisit dans un champ libre. Nous recommandons aux cabinets d’utiliser des codes clients dans les noms de tâches et de consigner cette pratique dans leurs procédures internes.
Au regard de la Loi 25
Les données pseudonymisées demeurent des renseignements personnels, et OpenAI les traite à l’extérieur du Québec. La Loi 25 exige une évaluation des facteurs relatifs à la vie privée pour cette communication, et nous en avons réalisé une qui la couvre.
Conservation et exportation
Conservées 2 ans après la résiliation
À la suite d’une résiliation, vos données sont conservées pendant deux ans : un cabinet qui revient ou qui doit rouvrir un mandat antérieur dispose toujours de ses dossiers.
Exportation
Vous pouvez exporter un fichier Excel de toutes les feuilles de temps enregistrées, avec leurs services et leurs tâches, par utilisateur.
Une infrastructure certifiée
TrackBeam s’exécute sur Microsoft Azure, dans la région Canada Est, sur une infrastructure qui détient les certifications SOC 2 et ISO 27001. Les contrôles de plateforme visés par ces audits — sécurité physique, isolation réseau, chiffrement au repos, intégrité des sauvegardes — sont ceux qui protègent les données de votre cabinet. Ces certifications sont détenues par Microsoft et portent sur l’infrastructure sur laquelle TrackBeam est bâti.
La Loi 25 du Québec exige une personne nommée, responsable de la protection des renseignements personnels. Chez Vectac, il s’agit de :
Martin Maheux, CPA, MBA
Responsable de la protection des renseignements personnels, Vector Accounting Technologies inc.
Vous pouvez lui écrire directement pour toute demande d’accès, rectification ou plainte, ou pour toute question concernant cette page.
Évaluez TrackBeam sur un cycle de mandats complet.
Huit semaines, jusqu’à sept utilisateurs, sans frais. Chaque donnée saisie pendant le pilote est conservée et vous suit si votre cabinet poursuit.
Aucune information de paiement n’est requise pour amorcer le pilote.