Ce que nous recueillons, pourquoi, qui d’autre y a accès, et ce que vous pouvez exiger de nous. En bref : nous ne conservons pas vos requêtes à moins que vous ne l’activiez, nous ne pouvons pas lire vos clés de fournisseur, et l’analytique ne fonctionne que si vous y consentez. Rédigée selon la LPRPDE du Canada, la Loi 25 du Québec et les lois albertaine et britanno-colombienne.
Qui nous sommes et ce que couvre la présente politique
Autonomous Relay Agents est exploité par Tech Service 4U Inc. (« nous »), une société constituée en vertu des lois de la province du Manitoba (Canada), dont le siège social est situé au 17-955, avenue Summerside, Winnipeg (Manitoba) R3T 4Y1, Canada. La présente politique vise le site autonomousrelay.com, le tableau de bord Autonomous Relay Agents et l’API offerte à autonomousrelay.com et api.autonomousrelay.com.
Nous traitons les renseignements personnels conformément à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada et à ses dix principes relatifs à l’équité dans le traitement de l’information. Nous sommes établis au Manitoba, dont la loi provinciale sur le secteur privé a été adoptée mais jamais mise en vigueur ; c’est donc la LPRPDE qui régit notre traitement. Si vous résidez au Québec, en Alberta ou en Colombie-Britannique, la loi de votre province s’applique également et nous nous y conformons. Si vous êtes au Royaume-Uni ou dans l’Espace économique européen, nous respectons en outre les droits décrits à la clause 11.
Les règles régissant votre utilisation du service figurent dans les Conditions d’utilisation.
Une précision s’impose avant le détail, car elle détermine tout le reste : Autonomous Relay Agents est une couche d’acheminement et de mesure, et non un hébergeur de modèles. Nous n’exécutons aucun modèle. Lorsque vous envoyez une requête, elle est transmise à un fournisseur que vous avez choisi, au moyen d’une clé que vous avez fournie, et le traitement de ce contenu par ce fournisseur est régi par votre entente avec lui, non par la présente politique.
Ce que nous recueillons, et pourquoi
La LPRPDE exige que nous précisions les fins de la collecte au plus tard au moment de celle-ci, et que nous limitions la collecte à ce que ces fins exigent. Un tableau est plus clair qu’un paragraphe.
| Catégorie | De quoi il s’agit | Pourquoi nous l’avons |
|---|---|---|
| Compte | Votre nom, votre adresse courriel et votre avatar tels que fournis par Google ou GitHub lors de la connexion; l’indication du fournisseur quant à la vérification de l’adresse; l’identifiant immuable du compte chez ce fournisseur. Si vous vous connectez avec un portefeuille, votre adresse publique et rien d’autre — un portefeuille n’a pas de courriel. | Vous identifier d’une session à l’autre et vous montrer sous quelle identité vous êtes connecté. |
| Organisation et espace de travail | Les noms d’organisation et d’espace de travail que vous choisissez, les membres et les rôles. | Rattacher vos clés, vos dépenses et vos réglages à la bonne équipe. |
| Justificatifs | Les clés API ne sont conservées que sous forme de empreinte — nous ne pouvons pas récupérer la clé elle-même. Les clés de fournisseur ajoutées sont chiffrées (clause 4). Les noms et étiquettes que vous leur donnez sont conservés tels quels. | Authentifier vos requêtes et les acheminer au moyen de votre compte de fournisseur. |
| Métadonnées de requête | Pour chaque requête : le modèle demandé, le modèle et le fournisseur ayant répondu, le nombre de jetons, la latence, le coût, l’état, la raison de fin, et si la requête a été mise en cache, annulée ou diffusée ; et, lorsque votre requête les contient, l’identifiant d’utilisateur final que vous envoyez comme user, la page de provenance et l’agent utilisateur. Pas les messages. | Vous facturer exactement, vous montrer votre utilisation et contourner les fournisseurs défaillants. |
| Facturation | Achats de crédits, écritures au grand livre, références de factures et l’identifiant de session Stripe. Aucune donnée de carte ne nous parvient — elle va directement à Stripe. | Gérer un solde prépayé, produire des factures et satisfaire aux obligations fiscales de conservation. |
| Technique et analytique | Témoins de session et, uniquement si vous acceptez l’analytique, les pages consultées, les actions posées et votre localisation approximative dérivée de votre adresse IP. Clauses 5 à 7. | Vous garder connecté et comprendre l’utilisation du produit. |
| Courriels de baisse de prix | Si vous demandez, sur la page d’un modèle, à recevoir un courriel quand son prix baisse — sans compte : votre adresse courriel, le modèle, la langue de la page, le moment de votre demande et le fait qu’elle vient de la page du modèle, et le moment où vous l’avez confirmée en cliquant sur le lien que nous vous avons envoyé. Pas votre adresse IP. | Vous envoyer un courriel demandant votre confirmation, puis, une fois confirmée, un courriel quand le prix d’entrée ou de sortie de ce modèle baisse — rien d’autre. La trace du moment et de la façon dont vous avez demandé et confirmé est notre preuve de consentement, comme l’exige la Loi canadienne anti-pourriel. |
| Courriels d’incident | Si vous demandez, sur la page d’état, à recevoir un courriel au sujet des incidents — sans compte : votre adresse courriel, la langue de la page, le moment de votre demande et le fait qu’elle vient de la page d’état, et le moment où vous l’avez confirmée en cliquant sur le lien que nous vous avons envoyé. Pas votre adresse IP. | Vous envoyer un courriel demandant votre confirmation, puis, une fois confirmée, un courriel chaque fois que nous publions un incident ou une mise à jour sur la page d’état — rien d’autre. La trace du moment et de la façon dont vous avez demandé et confirmé est notre preuve de consentement, comme l’exige la Loi canadienne anti-pourriel. |
Nous ne recueillons aucun renseignement personnel à une fin non énumérée ici. Si cela devait changer, nous préciserions la nouvelle fin et obtiendrions votre consentement avant toute collecte, comme l’exige la LPRPDE.
Vos requêtes et les réponses du modèle
Nous ne conservons pas le contenu de vos requêtes ni des réponses — sauf si un administrateur de votre propre organisation l’active. La désactivation est l’état par défaut, et c’est celui de toute organisation tant que quelqu’un disposant de vos propres accès administratifs ne le change pas délibérément.
Lorsque la conservation est désactivée, le contenu transite en mémoire par nos serveurs afin d’être transmis au fournisseur et diffusé vers vous. Il n’est pas écrit sur disque ni conservé après la requête. Il n’y a rien à divulguer, à compromettre ou à produire sur ordonnance, parce qu’il n’y a rien.
Si votre organisation l’active
La journalisation des requêtes est un réglage de votre organisation, non de votre compte ni du nôtre. Lorsqu’elle est activée :
- Elle ne vise que les requêtes effectuées après son activation. Nous ne reconstituons jamais l’historique : un contenu non conservé sur le moment ne peut être récupéré par la suite, ni par vous ni par nous.
- Ce qui est conservé est chiffré, chaque enregistrement sous sa propre clé, le matériel cryptographique étant détenu dans un service de gestion de clés. Le contenu est tenu à l’écart des enregistrements de requêtes ordinaires et n’est pas lisible par la même voie.
- Vous choisissez la durée de conservation, sous réserve d’un plancher de 90 jours, après quoi le contenu est supprimé automatiquement. Vous pouvez aussi nous demander de le supprimer plus tôt.
- Vous pouvez en exclure certaines clés API. Lorsqu’une clé figure à la fois sur la liste d’inclusion et sur celle d’exclusion, l’exclusion l’emporte.
- Seule votre organisation peut le relire. Il n’existe aucun lecteur interne — aucune tâche analytique, aucun pipeline d’entraînement, aucun outil de soutien.
La fonction n’est pas encore disponible. Elle est construite et le réglage existe, mais son activation est suspendue tant que notre évaluation des facteurs relatifs à la vie privée visant les communications hors Québec n’a pas été réexaminée à sa lumière. Nous préférons la décrire ici et refuser de l’activer plutôt que l’activer et la décrire ensuite.
La mise en cache des réponses
Une mémoire cache distincte, sur adhésion, peut répondre à une requête répétée sans l’envoyer de nouveau au fournisseur. Elle est désactivée pour chaque clé d’API jusqu’à ce qu’une personne de votre organisation l’active pour cette clé. Une fois activée, nous conservons la réponse du modèle à chaque requête admissible — jamais l’invite, conservée seulement sous forme d’empreinte irréversible — chiffrée de la même manière que le contenu conservé, pendant la durée fixée sur la clé : au plus 24 heures, une heure par défaut. Elle est ensuite supprimée automatiquement. Seules les requêtes identiques de votre propre organisation peuvent y trouver une réponse, et un administrateur de votre organisation peut la vider en tout temps.
Elle n’est pas encore disponible, pour la même raison que la journalisation des requêtes : elle est construite, et son activation est suspendue tant que notre évaluation des facteurs relatifs à la vie privée n’a pas été réexaminée à sa lumière.
La conserver pour vous n’est pas un consentement pour nous
Nous n’utilisons ni vos entrées ni vos sorties pour améliorer un produit, et nous n’entraînons aucun modèle avec celles-ci, en aucune circonstance.
Accepter que nous conservions votre contenu afin que vous puissiez le relire n’équivaut pas à accepter que nous l’utilisions à d’autres fins. Nos registres consignent séparément et nommément les finalités auxquelles vous avez consenti, afin qu’une finalité que vous n’avez jamais accordée ne puisse hériter d’une permission donnée pour une autre, plus étroite. Si nous offrons un jour une fonction utilisant votre contenu conservé à une fin autre que vous le restituer, elle exigera un consentement distinct et explicite, et elle sera décrite ici au préalable — comme celle-ci l’a été.
Requêtes en échec
Lorsqu’une requête échoue, nous consignons le fournisseur en cause, le statut HTTP et le code d’erreur du fournisseur — pas son texte d’erreur. Les fournisseurs rédigent eux-mêmes ce texte et certains y reprennent un fragment de l’entrée — par exemple lors d’un refus fondé sur leur politique de contenu. Ce texte vous est donc renvoyé dans la réponse et ne va nulle part ailleurs : il n’est ni conservé avec l’enregistrement de la requête ni écrit dans nos journaux.
Ce que fait le fournisseur est une autre question
Votre requête parvient à un fournisseur de modèles — OpenAI, Anthropic, Google, DeepInfra, etc. — au moyen de votre propre clé. Ce qu’il conserve, et pendant combien de temps, relève de votre entente avec lui et de ses propres politiques, pas de nous. La page des fournisseurs renvoie à la politique de confidentialité et aux conditions de chacun.
Vos clés de fournisseur
Une clé de fournisseur est l’élément le plus sensible que vous nous confierez ; il vaut donc la peine de décrire précisément ce qu’il en advient.
- Elle est chiffrée en AES-256-GCM au moyen d’une clé de données générée pour ce justificatif. Cette clé de données est elle-même chiffrée par une clé maîtresse détenue dans Google Cloud KMS, qui ne quitte jamais le service de gestion de clés.
- Seuls le texte chiffré et la clé de données encapsulée sont conservés dans notre base de données. Une copie de la base, à elle seule, ne déchiffre rien.
- Aucun point d’accès ne retourne une clé conservée. Ni à vous, ni à notre personnel, ni au soutien technique. La liste de vos justificatifs renvoie un indice de quatre caractères et rien d’autre. Un dépôt de justificatifs doté d’un chemin de lecture n’est qu’à un bogue d’une fuite ; celui-ci n’en a pas.
- Elle n’est déchiffrée en mémoire qu’au moment où une requête est acheminée à ce fournisseur, et uniquement pour une requête émise par votre organisation.
La suppression d’un justificatif efface le texte chiffré. Comme nous n’avons jamais détenu la version en clair ailleurs, la suppression est complète et non approximative. Nous recommandons néanmoins de révoquer une clé chez le fournisseur si vous croyez qu’elle a pu être exposée à un moment quelconque.
Analytique, et ce que nous faisons de votre adresse IP
Si — et seulement si — vous choisissez « Tout accepter », nous chargeons Mixpanel et enregistrons l’utilisation du produit. Rien n’est chargé, demandé ni initialisé avant ce choix : la bibliothèque analytique n’est même pas téléchargée par une personne qui refuse.
Enregistrements de session des pages publiques (Microsoft Clarity)
Le même choix charge aussi Microsoft Clarity, sur les pages publiques seulement — l’accueil, les tarifs, le catalogue des modèles, les fournisseurs, la documentation, l’état du service, le journal des modifications et les pages juridiques. Clarity enregistre l’utilisation de ces pages (clics, défilement et la page telle que vous l’avez vue) afin de nous montrer ce qui prête à confusion. Il ne fonctionne jamais dans l’espace de travail connecté, la connexion, les invitations ni le terrain d’essai, et s’arrête dès que vous y naviguez : il ne voit donc jamais les clés, les identifiants, les soldes, les requêtes ni les réponses. Le consentement que nous transmettons à Microsoft refuse tout usage publicitaire, et retirer votre consentement arrête Clarity et supprime ses témoins.
Google Analytics, par Google Tag Manager
Sur les mêmes pages publiques et selon le même choix, nous chargeons Google Tag Manager, qui exécute Google Analytics : quelles pages publiques sont consultées, combien de temps et d’où, approximativement. Il ne fonctionne jamais dans l’espace de travail connecté, la connexion, les invitations ni le terrain d’essai. Nous indiquons à Google que le stockage publicitaire, l’usage publicitaire de vos données et la personnalisation des annonces sont tous refusés, et retirer votre consentement révoque aussi le signal analytique et supprime les témoins de Google Analytics.
Ce que nous envoyons
- Les pages consultées et les actions posées (par exemple, qu’une clé a été créée — jamais la clé ni son nom).
- Les identifiants de modèles, les noms de fournisseurs, des compteurs, des durées et des résultats.
- L’identifiant de votre organisation, un identifiant aléatoire dénué de sens hors de notre propre base de données.
- Votre adresse IP, à partir de laquelle Mixpanel dérive une ville, une région et un pays approximatifs au moment de la réception de l’événement.
Ce que nous n’envoyons jamais
- Le contenu des requêtes ou des réponses, sous quelque forme que ce soit.
- Les clés API ou les justificatifs de fournisseur, y compris leurs empreintes et indices.
- Les noms que vous donnez à vos clés — les gens y inscrivent des noms de clients.
- Les adresses courriel, les noms d’organisation ou les soldes de crédits.
- Les motifs de filtrage des garde-fous, qui sont rédigés pour reconnaître des secrets et en décrivent donc la forme.
Être franc au sujet de l’adresse IP
Nous avons activé les données de localisation délibérément, et une adresse IP est un renseignement personnel. Nous l’utilisons pour savoir dans quels pays et quelles villes se trouvent nos utilisateurs, afin de décider où placer notre infrastructure et quels marchés desservir. Elle n’est recueillie qu’avec votre consentement exprès, elle est associée à l’identifiant de votre organisation, et vous pouvez retirer ce consentement à tout moment. Si vous refusez l’analytique, votre adresse IP n’est jamais transmise à Mixpanel.
Le consentement, et comment le retirer
La LPRPDE exige un consentement valable, et la Loi 25 du Québec exige qu’il soit libre, éclairé et donné séparément pour chaque fin. Nous demandons donc séparément plutôt que de tout regrouper dans un seul « J’accepte ».
- Faire fonctionner le service — votre compte, vos clés, vos requêtes, votre facturation. C’est le contrat que vous avez demandé ; nous ne pouvons pas fonctionner sans, et il ne peut être refusé tout en continuant d’utiliser le service.
- L’analytique, y compris votre adresse IP — distincte, facultative, désactivée jusqu’à votre accord, et révocable.
- La conservation de vos requêtes et réponses — distincte, désactivée, et activable uniquement par un administrateur de votre propre organisation.
- Les courriels de marketing — distincts, sur adhésion, et chaque message comporte un lien de désabonnement fonctionnel, comme l’exige la Loi canadienne anti-pourriel (LCAP). Les avis de service et de facturation ne sont pas du marketing et se poursuivent malgré tout.
- Les courriels de baisse de prix — distincts, par modèle, et demandés par vous sur la page de ce modèle. Nous vous écrivons une fois pour confirmer, et n’envoyons rien d’autre avant que vous cliquiez sur ce lien; une demande non confirmée est supprimée après 7 jours.
- Les courriels d’incident — distincts, et demandés par vous sur la page d’état. La même règle : un courriel pour confirmer, rien d’autre avant que vous cliquiez sur le lien, et une demande non confirmée est supprimée après 7 jours. La page d’état offre aussi un fil que vous pouvez suivre sans nous donner d’adresse.
Pour ne plus recevoir de courriels d’incident, cliquez sur le lien de désabonnement de l’un d’eux, ou sur le bouton « Se désabonner » de votre logiciel de courriel : votre adresse est aussitôt supprimée de la liste.
Pour ne plus recevoir de courriels de baisse de prix, cliquez sur le lien de désabonnement de l’un d’eux — un clic, sans connexion. Il supprime cet abonnement, et votre adresse aussi dès qu’elle ne suit plus aucun autre modèle. Le bouton « Se désabonner » de votre logiciel de courriel fait la même chose.
Pour retirer votre consentement à l’analytique, utilisez Préférences de témoins au bas de n’importe quelle page. Un seul clic, effet immédiat. Le retrait est aussi simple que l’octroi, ce qui est la norme et non une faveur. Si vous n’avez pas répondu à la bannière, nous traitons cela comme un refus et non comme une question en suspens.
Où vos renseignements sont conservés, et ce que cela implique
Notre infrastructure fonctionne dans la région us-central1 de Google Cloud, aux États-Unis, et les fournisseurs de services ci-dessus sont majoritairement américains. Vos renseignements personnels sont donc conservés et traités à l’extérieur du Canada.
La LPRPDE le permet et exige que nous soyons clairs quant à la conséquence : pendant qu’ils se trouvent dans un autre pays, vos renseignements sont assujettis aux lois de ce pays et peuvent être accessibles à ses tribunaux, à ses forces de l’ordre et à ses autorités de sécurité nationale selon leurs procédures légales. Nous vous le disons parce que vous avez le droit de le savoir avant de décider d’utiliser le service, et non parce que la question serait théorique.
Nous demeurons responsables de ces renseignements en vertu de la LPRPDE et recourons à des mesures contractuelles et techniques pour les protéger — chiffrement en transit et au repos, et matériel cryptographique détenu dans un service de gestion de clés. Le contenu des requêtes serait autrement l’élément le plus à risque : pour les organisations qui n’ont pas activé la journalisation — soit toutes, par défaut — il est tout simplement absent. Là où elle a été activée, il est chiffré sous des clés propres à chaque enregistrement et tenu à l’écart des enregistrements de requêtes décrits ci-dessus.
Résidents du Québec
La Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant toute communication de renseignements personnels à l’extérieur du Québec, confirmant que la juridiction destinataire assure une protection adéquate. Cette évaluation n’est pas encore terminée. D’ici là, nous n’offrons pas le service au Québec : les requêtes qui semblent provenir du Québec sont refusées. Si vous résidez au Québec, vous pouvez vous renseigner sur son état auprès de notre responsable de la protection des renseignements personnels (clause 16).
L’acheminement est une question distincte de la conservation
Indépendamment de l’endroit où nous conservons les données, vous pouvez restreindre l’endroit où vos requêtes sont acheminées. Les garde-fous de région de données limitent les fournisseurs candidats à une région et échouent en mode fermé — une requête qui ne peut être servie dans la région est refusée plutôt qu’envoyée ailleurs en silence.
Un point de terminaison dont nous n’avons pas consigné la région est considéré comme hors de votre région et refusé pour la même raison : nous ne placerons pas une requête à un endroit que nous ne pouvons pas nommer. C’est actuellement le cas de la majeure partie du catalogue ; un garde-fou de région est donc restrictif par conception — le catalogue indique, sous chaque modèle, les points de terminaison qui déclarent une région.
Combien de temps nous les conservons
La LPRPDE exige que nous ne conservions les renseignements personnels que le temps nécessaire à la fin poursuivie, puis que nous les détruisions.
| Renseignements | Durée de conservation |
|---|---|
| Dossiers de compte et d’organisation | Tant que votre compte existe, puis détruits dans les 30 jours suivant sa fermeture. |
| Métadonnées de requête (jetons, coût, latence, ainsi que l’identifiant d’utilisateur final, la page de provenance et l’agent utilisateur transmis avec une requête) | Conservées 24 mois aux fins de facturation, de reddition de compte et de classement des fournisseurs, puis détruites. Appliqué par une tâche planifiée qui supprime chaque mois d’historique arrivé à échéance, et non par une intervention manuelle. |
| Dossiers financiers — achats, écritures, factures | Conservés aussi longtemps que l’exigent les lois fiscales et comptables canadiennes, généralement six ans à compter de la fin de l’année d’imposition visée, indépendamment de la fermeture du compte. |
| Contenu des requêtes | Non conservé, sauf si un administrateur de votre organisation a activé la journalisation des requêtes — voir la clause 3. Là où elle a été activée, il est conservé pendant la durée choisie par votre organisation, au moins 90 jours, puis supprimé automatiquement. |
| Réponses du modèle en cache | Non conservées, sauf si une personne de votre organisation active la mise en cache des réponses pour une clé d’API — voir la clause 3. Là où elle est activée, chaque réponse est conservée pendant la durée fixée sur la clé, au plus 24 heures, puis supprimée automatiquement. |
| Justificatifs de fournisseur | Jusqu’à ce que vous les supprimiez, ou à la fermeture de votre compte. |
| Instructions des agents hébergés et modèles des déclencheurs | Chiffrés, toutes versions comprises, jusqu’à ce que vous supprimiez l’agent ou le déclencheur, ou à la fermeture de votre compte. Supprimer un agent supprime toutes ses versions et ses déclencheurs. |
| Exécution d’un agent hébergé en attente d’approbation | Sa conversation est conservée, chiffrée, jusqu’à ce qu’une personne approuve ou refuse l’action ou que l’approbation expire (24 heures par défaut), puis elle est effacée. |
| Le texte de l’objectif d’une exécution | Effacé après 24 mois, avec les métadonnées de requête. Le budget et les totaux de l’exécution restent, comme élément du dossier de facturation. |
| Dossiers de lots — à qui appartient le lot, quel fournisseur, nombre d’éléments et coût ; jamais les requêtes ni les résultats | Supprimés une fois le lot réglé et ses résultats expirés chez le fournisseur, après environ 30 jours. |
| Événements analytiques | Conservés 12 mois, soit la durée prévue à notre forfait analytique. Si nous changeons pour un forfait dont la durée diffère, nous mettrons ce chiffre à jour. |
| Dossiers de session | Jusqu’à l’expiration ou la déconnexion, selon la première éventualité. |
| Adresses pour les courriels de baisse de prix | Demandes non confirmées : supprimées après 7 jours. Demandes confirmées : jusqu’à votre désabonnement, qui les supprime aussitôt (ainsi que votre adresse, dès qu’elle ne suit plus rien). La trace qu’une baisse de prix donnée a été envoyée : 30 jours. |
| Adresses pour les courriels d’incident | Demandes non confirmées : supprimées après 7 jours. Demandes confirmées : jusqu’à votre désabonnement, qui les supprime aussitôt, avec la trace des mises à jour qui vous ont été envoyées. |
| Journal d’audit des actions de gestion — qui, dans votre organisation, a créé ou révoqué une clé, modifié un paramètre ou le rôle d’un membre, et quand | Conservé 12 mois, lisible par les propriétaires et les administrateurs de votre organisation, puis supprimé automatiquement. Il nomme la personne ou la clé qui a agi; il ne contient jamais de clé, de secret, d’adresse IP ni de contenu de requête. |
| Registres d’incidents | Les registres de toute atteinte aux mesures de sécurité sont conservés 24 mois, comme l’exige la LPRPDE, qu’elle ait été déclarable ou non. |
Le contenu des requêtes et des réponses ne figure dans ce tableau que parce qu’il peut désormais être conservé au choix de votre organisation. À moins que la vôtre n’ait activé la journalisation, cette ligne ne vise rien.
Vos droits
Vous pouvez nous demander ce qui suit. Nous appliquons ces droits à tout le monde, où que vous résidiez, plutôt que de vérifier d’abord votre province.
- Accès — vous indiquer quels renseignements personnels nous détenons à votre sujet, comment nous les avons utilisés et à qui nous les avons communiqués.
- Rectification — corriger tout renseignement inexact ou incomplet.
- Suppression — supprimer vos renseignements, sous réserve des dossiers que nous devons conserver aux fins fiscales et comptables.
- Portabilité — recevoir les renseignements personnels que vous nous avez fournis dans un format structuré, couramment utilisé et lisible par machine, ou les faire transmettre à une autre organisation. Ce droit appartient aux résidents du Québec en vertu de la Loi 25 et nous l’étendons à tous.
- Retrait du consentement à l’analytique ou au marketing, à tout moment, sous réserve des restrictions légales et contractuelles et d’un préavis raisonnable.
Écrivez à notre responsable de la protection des renseignements personnels (clause 16). Nous répondons dans un délai de 30 jours, soit le délai fixé tant par la LPRPDE que par la Loi 25. Les demandes d’accès et de portabilité sont gratuites. Si nous avons besoin d’un délai supplémentaire ou devons refuser une partie d’une demande, nous vous en donnerons les motifs et vous indiquerons comment contester.
Décisions automatisées
Le routeur choisit automatiquement quel fournisseur traite chaque requête, en fonction du prix, de la latence, de l’état de santé et des règles que vous avez définies. Il s’agit d’une décision au sujet d’une requête et non à votre sujet, et elle n’a aucun effet juridique ni effet comparable sur une personne.
Lorsque nous prenons effectivement une décision vous concernant fondée exclusivement sur un traitement automatisé — par exemple un contrôle automatisé de fraude ou d’abus suspendant un compte — la Loi 25 du Québec vous donne le droit d’en être informé au moment de la décision et, sur demande, d’obtenir les renseignements personnels utilisés, les principaux facteurs ayant mené à la décision, ainsi que la possibilité de faire corriger ces renseignements et de présenter des observations à une personne pouvant réviser la décision. Nous étendons ce droit à tous les utilisateurs. Communiquez avec notre responsable de la protection des renseignements personnels.
Comment nous les protégeons, et ce qui arrive en cas de défaillance
- Tout le trafic est chiffré en transit au moyen de TLS. Les renseignements sont chiffrés au repos.
- Les justificatifs de fournisseur utilisent un chiffrement à enveloppe dont les clés sont détenues dans Google Cloud KMS, comme décrit à la clause 4.
- Les clés API sont conservées sous forme d’empreintes. Une copie de la base de données ne fournit aucune clé utilisable.
- Les témoins de session sont httpOnly, de sorte qu’un script injecté ne peut les lire, et les requêtes modifiant des données exigent un jeton distinct.
- L’API se trouve derrière un pare-feu applicatif, dont la journalisation des requêtes est conservée afin qu’un blocage puisse être attribué et examiné.
- L’accès aux systèmes de production est limité au personnel qui en a besoin, et les changements d’infrastructure sont revus avant leur mise en service.
En cas d’atteinte
Aucun système n’est parfaitement sécurisé et nous ne prétendrons pas le contraire. Si une atteinte à nos mesures de sécurité crée un risque réel de préjudice grave à votre endroit, la LPRPDE nous oblige à la déclarer au Commissariat à la protection de la vie privée du Canada et à vous en aviser dès que possible. Notre avis décrira ce qui s’est produit, quels renseignements étaient en cause et ce que vous pouvez faire pour réduire le risque. Nous conservons un registre de toute atteinte pendant 24 mois, qu’elle soit déclarable ou non.
Enfants
Autonomous Relay Agents est un outil pour développeurs destiné à un usage professionnel et ne s’adresse à personne de moins de 18 ans. Nous ne recueillons pas sciemment de renseignements personnels auprès d’enfants. Si vous croyez qu’un enfant nous a fourni des renseignements personnels, informez-en notre responsable de la protection des renseignements personnels et nous les détruirons.
Modifications de la présente politique
Lorsque nous modifions la présente politique, nous mettons à jour la date en en-tête et publions un avis de la modification — la Loi 25 exige un avis de chaque modification, et non uniquement des modifications importantes.
Si une modification réduit sensiblement la protection de votre vie privée — une nouvelle catégorie de renseignements, une nouvelle fin, un nouveau fournisseur recevant votre contenu — nous vous en informerons par courriel ou dans le tableau de bord avant son entrée en vigueur et, lorsque la loi exige un nouveau consentement, nous le demanderons plutôt que de le présumer.
Notre responsable de la protection des renseignements personnels, et comment porter plainte
La LPRPDE exige que nous désignions la personne responsable de nos pratiques en matière de protection des renseignements personnels. Cette personne est :
Harsh Patel, responsable de la protection des renseignements personnels
Tech Service 4U Inc.
17-955, avenue Summerside, Winnipeg (Manitoba) R3T 4Y1, Canada
admin@tecs4u.com
Si notre réponse ne vous satisfait pas
Dites-le-nous d’abord — écrivez au responsable ci-dessus. Nous accuserons réception de votre plainte, l’examinerons et vous fournirons une réponse écrite dans les 30 jours. Si nous avons eu tort, nous le dirons, corrigerons la situation et changerons la pratique en cause.
Vous n’êtes pas tenu de vous adresser à nous en premier, et rien ici ne retire votre droit de saisir directement une autorité :
- Commissariat à la protection de la vie privée du Canada — priv.gc.ca
- Québec — Commission d’accès à l’information du Québec
- Alberta et Colombie-Britannique — le Commissariat à l’information et à la protection de la vie privée de votre province
- Manitoba et ailleurs au Canada — le Commissariat fédéral ci-dessus. Le Manitoba n’a pas de commissaire à la protection de la vie privée pour le secteur privé, sa propre loi n’étant pas en vigueur.