Politique de confidentialité

Responsable de la protection des renseignements personnels

Toute question, demande d'accès, de rectification ou plainte relative aux renseignements personnels peut être adressée à notre responsable de la protection des renseignements personnels (RPRP) :

• Eric Beaupré, Vice-président;
• Courriel : administration@microage-at.com;
• Téléphone : 1 800 249-8263;
• Adresse : 447 Av. Larivière, Rouyn-Noranda, QC J9X 4H9, Québec, Canada.

Nous répondons aux demandes dans un délai maximal de 30 jours.

Notre rôle : fournisseur de service, et parfois responsable

Notre rôle diffère selon les renseignements concernés. La distinction est importante, car elle détermine à qui vous devez adresser vos demandes.

Lorsque nous agissons comme prestataire, nous sommes liés à votre employeur par une entente écrite encadrant les finalités, les mesures de sécurité, la notification des incidents et le sort des renseignements à la fin du contrat.

Ce que nos outils ne font pas

Il nous paraît aussi utile de dire ce que nos outils ne font pas. Ces affirmations sont vérifiables dans la configuration de nos services.

• Nous ne lisons pas le contenu de vos courriels. Le module de signature intervient uniquement à la rédaction d'un message, pour y insérer un bloc de signature. Il n'est pas déclenché à l'envoi ni à la lecture;
• Nous ne suivons pas l'ouverture de vos courriels. Aucun pixel de suivi, aucun identifiant unique par message, aucun accusé de lecture;
• Nous ne faisons aucune publicité et ne vendons, ne louons ni n'échangeons vos renseignements personnels;
• Nous n'utilisons aucun outil de mesure d'audience (Google Analytics, Meta Pixel, Matomo ou équivalent) sur nos services;
• Nous n'établissons pas de profil à des fins commerciales et ne prenons aucune décision vous concernant de façon exclusivement automatisée;
• Nous n'accédons pas au contenu déchiffré des fichiers que vous transmettez par le service de transfert sécurisé.

Cette liste n'est pas exhaustive.

Renseignements traités

Portail client (tous les produits)

• Identité professionnelle : nom, prénom, adresse courriel professionnelle, identifiant Microsoft Entra, organisation, rôle attribué dans le portail;
• Comptes locaux (clients sans Microsoft 365) : courriel, empreinte du mot de passe (Argon2id — jamais le mot de passe lui-même), secret d'authentification à deux facteurs chiffré, codes à usage unique, tentatives de connexion;
• Journal d'accès : pour chaque requête authentifiée, l'identifiant de l'usager, l'adresse IP, le navigateur, la page consultée et le code de réponse. Voir la section « Adresses IP » ci-dessous;
• Préférences : langue d'affichage, disposition de la page d'accueil, choix relatifs aux témoins;
• Traces de consentement : lorsque vous acceptez nos conditions ou accusez réception de la présente politique, nous conservons votre identifiant, la version du document, la langue affichée, la date, l'adresse IP et le navigateur à titre de preuve.

Signature Outlook

• Fiche d'annuaire Microsoft 365, synchronisée depuis Microsoft Entra : nom, prénom, nom affiché, titre d'emploi, service, courriel, identifiant de connexion, téléphones (bureau, cellulaire, télécopieur), emplacement de bureau, adresse postale de l'organisation, nom de la société, état du compte et appartenance aux groupes;
• Nous conservons également une copie intégrale de la fiche telle que transmise par Microsoft, incluant la liste des licences Microsoft 365 attribuées. Cette copie sert à la résolution des variables de signature et au diagnostic. Nous la mentionnons explicitement plutôt que de laisser entendre une collecte plus étroite qu'elle ne l'est;
• Valeurs personnalisées que vous saisissez vous-même (par exemple un numéro de poste ou des pronoms), et qui remplacent la valeur de l'annuaire;
• Signature calculée, conservée en mémoire tampon pour un court délai afin d'éviter de la recalculer à chaque message;
• Journal d'activité : une entrée par génération de signature, avec l'identifiant de l'usager, l'adresse IP, l'appareil et l'horodatage.

Transfert sécurisé

• Expéditeurs : identité Microsoft 365, autorisation d'utiliser le service;
• Destinataires : adresse courriel, empreinte du code à usage unique (jamais le code), nombre et dates d'ouverture, adresse IP et navigateur des événements;
• Contenu : objet, corps du message, fichiers et réponses (chiffrés au repos). Nous conservons le nom d'origine des fichiers, leur type, leur taille et leur empreinte;
• Signature électronique : nom du signataire, courriel, consentement exprimé, adresse IP, navigateur, horodatage et empreinte du document signé. Ces éléments constituent la valeur probante de la signature et figurent au certificat.

Autres produits

• Revue de votre environnement : identifiants et noms des usagers, dernières connexions, statistiques d'utilisation (messagerie, Teams, OneDrive), licences, état de sécurité, équipements et sauvegardes de votre organisation;
• Billets et facturation : coordonnées des contacts, contenu des billets de service et des notes, contrats, heures et factures.

Adresses IP dans nos journaux

Nous avons choisi de conserver l'adresse IP réelle dans nos journaux, plutôt que de l'anonymiser. Nous préférons l'écrire clairement.

Pourquoi : ces journaux servent à détecter les accès anormaux, à établir la portée d'un incident de sécurité et à diagnostiquer les pannes. Une adresse tronquée rend ces trois usages impraticables.

Comment nous limitons la portée :

• les journaux à fort volume ont une durée de conservation courte (voir la section « Conservation »);
• ils sont cloisonnés par organisation au niveau de la base de données;
• ils sont en ajout seul, personne, y compris nous, ne peut les modifier après coup;
• pour le transfert sécurisé, l'adresse IP des événements est effacée après 90 jours alors que l'événement lui-même est conservé;
• la consultation des présentes pages légales n'est pas journalisée : vous pouvez lire cette politique sans laisser de trace.

Pourquoi traitons-nous ces renseignements

Nous utilisons vos renseignements afin de :

• Fournir les services demandés, notamment générer et appliquer une signature électronique, transmettre des fichiers de façon chiffrée, afficher l'état de votre environnement ou traiter un billet de service;
• Authentifier les utilisateurs et gérer les accès en fonction des rôles et des autorisations attribués;
• Assurer la sécurité des systèmes et des données, en détectant les tentatives d'intrusion, en prévenant les abus et en déterminant la portée d'un incident de sécurité;
• Offrir un soutien technique et résoudre les anomalies liées aux services utilisés;
• Respecter nos obligations légales et réglementaires par la conservation des preuves requises, telles que les consentements et les signatures électroniques.

Nous ne réutilisons ces renseignements à aucune autre fin. Aucune donnée de nos clients ne sert à entraîner un modèle d'intelligence artificielle.

Comment sont recueillis ces renseignements

• Auprès de votre organisation : synchronisation de l'annuaire Microsoft Entra, autorisée par un administrateur de votre organisation;
• Directement auprès de vous : formulaires du portail, valeurs personnalisées de signature, envoi ou réception d'un transfert sécurisé;
• Automatiquement : journaux techniques générés par votre utilisation du service (adresse IP, navigateur, horodatage).

Nous n'achetons aucune liste et ne recueillons aucun renseignement auprès de courtiers en données.

Témoins de connexion

Nos services utilisent uniquement des témoins strictement nécessaires à leur fonctionnement : maintien de la session, protection contre la falsification de requête, authentification à deux facteurs, langue d'affichage et sécurité du réseau de diffusion. Nous n'utilisons aucun témoin publicitaire ni de mesure d'audience.

Ces témoins n'exigent pas votre consentement préalable, mais nous vous en informons. L'inventaire complet (nom, finalité et durée de chacun) figure dans notre politique de témoins. Vous pouvez consulter et modifier vos préférences à tout moment depuis la page Préférences de témoins.

Hébergement et diffusion

L'ensemble de nos services est hébergé dans la région infonuagique Microsoft Azure Canada Est, située à Québec : serveurs applicatifs, base de données, stockage de fichiers et coffre-fort de secrets. Vos données y sont stockées et y demeurent.

La diffusion de nos services s'appuie sur le réseau mondial de Cloudflare (protection contre les attaques, pare-feu applicatif, limitation de débit). Ce réseau termine la connexion sécurisée au point de présence le plus proche de la personne qui se connecte et a donc accès au contenu échangé pendant cette étape. Les points de présence qui desservent nos services sont situés au Canada; cette localisation dépend toutefois du réseau de la personne qui se connecte et n'est pas garantie.

Notre assistant d'intelligence artificielle est déployé au Québec dans un réseau privé isolé, sans exposition à Internet.

Fournisseurs impliqués

Chacun de ces fournisseurs est lié par une entente encadrant la confidentialité et la sécurité des renseignements qui lui sont confiés.

Communication à l'extérieur du Québec

Nos infrastructures principales étant situées au Québec, la très grande majorité des renseignements que nous traitons n'en sortent pas.

Des communications hors Québec peuvent néanmoins survenir dans les cas suivants :

• Microsoft Entra et Microsoft Graph : l'authentification et la lecture de l'annuaire s'effectuent auprès de l'infrastructure Microsoft associée au locataire Microsoft 365 de votre organisation, dont la région est déterminée par cette dernière;
• Système de gestion des billets de service : lorsque ce produit est activé, selon l'hébergement retenu par le fournisseur;
• Réseau de diffusion (Cloudflare) : le trafic est acheminé par le point de présence le plus proche de la personne qui se connecte. Ceux qui desservent nos services sont situés au Canada, mais une connexion établie depuis l'étranger peut être servie à l'extérieur du Québec.

Avant toute communication hors Québec, nous réalisons une évaluation des facteurs relatifs à la vie privée afin de nous assurer que les renseignements bénéficient d'une protection adéquate.

Durées de conservation

Certaines de ces durées sont configurables par votre organisation. Celles indiquées sont les valeurs par défaut.

À la fin de la relation contractuelle, l'effacement d'un dossier client est orchestré : suppression en cascade dans la base de données, suppression des fichiers, purge des mémoires tampons et purge du réseau de diffusion.

Mesures de sécurité

• Cloisonnement par organisation appliqué au niveau de la base de données elle-même, et non uniquement dans le code applicatif;
• Chiffrement en transit (TLS) et au repos. Le contenu des transferts sécurisés est chiffré avec une clé propre à chaque envoi;
• Authentification à deux facteurs obligatoire pour les comptes locaux; mots de passe protégés par Argon2id;
• Contrôle d'accès par rôle, appliqué en refus par défaut;
• Journalisation en ajout seul des accès et des modifications de configuration, y compris lorsqu'un de nos opérateurs intervient dans votre dossier;
• Secrets conservés dans un coffre-fort Azure Key Vault, jamais dans le code;
• Pare-feu applicatif et limitation de débit en bordure de réseau;
• Tests d'intrusion internes et revues de sécurité du code.

Nos opérateurs peuvent accéder au dossier d'un client pour lui porter assistance. Cet accès est limité par périmètre, journalisé systématiquement et signalé visuellement dans l'interface pendant toute sa durée.

Vos droits

La loi québécoise vous reconnaît les droits suivants :

• Accès : obtenir la liste des renseignements que nous détenons sur vous;
• Rectification : faire corriger un renseignement inexact, incomplet ou équivoque;
• Retrait du consentement, lorsque le traitement repose sur celui-ci;
• Portabilité : recevoir, dans un format technologique structuré et couramment utilisé, les renseignements informatisés que vous nous avez fournis;
• Désindexation : demander la cessation de la diffusion d'un renseignement ou le retrait d'un hyperlien y donnant accès, aux conditions prévues par la loi;
• Plainte : si notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès de la Commission d'accès à l'information du Québec.

Écrivez à administration@microage-at.com. Nous répondons dans un délai maximal de 30 jours et pouvons demander une preuve d'identité avant de donner suite.

Si vous êtes employé d'une organisation cliente, adressez votre demande à votre employeur, qui est responsable de ces renseignements. Écrivez-nous tout de même si vous ne savez pas à qui vous adresser, nous vous orienterons.

Décisions automatisées et profilage

Nous ne prenons aucune décision vous concernant fondée exclusivement sur un traitement automatisé.

Nos services comportent des traitements automatiques — la sélection du modèle de signature applicable selon votre appartenance à un groupe, ou le verrouillage temporaire d'un accès après plusieurs échecs de connexion — mais aucun ne produit d'effet juridique ni ne vous affecte de manière significative au sens de la loi. Un être humain peut toujours intervenir.

Nous ne réalisons aucun profilage, c'est-à-dire aucune collecte visant à évaluer vos caractéristiques personnelles, votre rendement ou vos comportements.

Incidents de confidentialité

Nous tenons un registre des incidents de confidentialité. Lorsqu'un incident présente un risque de préjudice sérieux, nous en avisons avec diligence la Commission d'accès à l'information et les personnes concernées, ainsi que l'organisation cliente lorsque nous agissons pour son compte.

Pour nous signaler une vulnérabilité ou un incident : administration@microage-at.com.

Modifications de cette politique

Nous pouvons modifier la présente politique afin de refléter l'évolution de nos services ou du cadre légal. La version en vigueur et sa date figurent en tête de page.

Toute modification substantielle vous est signalée lors de votre prochaine connexion au portail, et nous vous demandons alors d'en accuser réception.

Nous joindre

MicroAge Abitibi-Témiscamingue
447 Av. Larivière, Rouyn-Noranda, QC J9X 4H9, Québec, Canada
Courriel : administration@microage-at.com
Téléphone : 1 800 249-8263

Voir aussi nos conditions d'utilisation et notre politique de témoins.