Confidentialité

ASLYNX INC., Guelph, Ontario, Canada. Notre responsable de la protection des renseignements personnels — la personne responsable de tout ce qui est dans cette politique, que la loi canadienne nous oblige à désigner — est joignable à info@aslynx.com. Écrivez « Confidentialité » en objet et votre message sera traité comme une demande de confidentialité plutôt que comme du soutien.

La loi fédérale canadienne sur la protection des renseignements personnels (la LPRPDE) encadre ce que nous faisons, avec la loi de la province où vous vous trouvez. Au Québec, cela comprend la Loi sur la protection des renseignements personnels dans le secteur privé.

Alors nous ne savons pas que vous êtes passé.

Il n’y a aucune statistique de fréquentation sur ce site. Pas de Google Analytics, pas de gestionnaire de balises, pas de pixel publicitaire, pas d’enregistrement de session, pas d’empreinte numérique, pas d’outil de test A/B, et aucun script tiers qui signale votre visite à qui que ce soit. C’est vérifiable plutôt qu’affirmé : ouvrez le panneau réseau de votre navigateur et les seules choses qui se chargent sont les pages de ce site, sa feuille de style, ses polices et ses images.

Notre serveur voit votre adresse IP, parce qu’une adresse est ce qui permet à une réponse de vous trouver. Elle n’est écrite dans aucun journal d’accès. Les polices de caractères sont servies par nous et non par Google, donc charger cette page n’apprend rien à Google.

Nous gardons ce que le formulaire a recueilli, et rien de plus :

• Votre adresse de courriel.
• Votre nom, si le formulaire que vous avez utilisé le demandait. C’est facultatif et nous ne le vérifions pas.
• De quelle partie de la page vous avez soumis, et la page qui vous a amené chez nous — pour savoir quels mots font venir les gens.
• L’heure de la soumission.
• Une empreinte à sens unique, salée, de votre adresse IP — pas l’adresse elle-même. Elle sert à repérer une machine qui remplit le formulaire cent fois. Elle ne peut pas être reconvertie en adresse.

Votre adresse IP brute est conservée soixante secondes, le temps que la limite de débit du formulaire s’applique, puis elle disparaît. Cette fenêtre est le seul moment où l’adresse existe quelque part dans nos systèmes, et rien ne la consigne.

Chaque inscription est aussi transmise à notre propre processus interne pour qu’une personne la voie réellement. C’est là que les inscriptions sont traitées; la copie dans notre base de données est secondaire.

Nous utilisons tout cela pour vous parler de Spirit, et pour rien d’autre. Ce n’est ni vendu, ni loué, ni remis à un réseau publicitaire. Répondez à n’importe quel message en demandant d’être retiré et ce sera fait — sans formulaire et sans justification.

Vous pouvez croiser Spirit sans avoir jamais entendu parler de nous — un sous-traitant qui remplit une feuille de travail depuis son téléphone, un client qui transmet des renseignements à un cabinet, quelqu’un qui reçoit un rappel au sujet d’un document qu’il doit. Cette section est pour vous.

Si vous avez rempli un formulaire

• Une entreprise qui utilise Spirit peut publier un formulaire, ou un lien qui déclenche un travail, utilisable sans compte par quiconque le détient.
• C’est l’entreprise qui a choisi les questions, pas nous. Nous n’avons pas conçu le formulaire, nous n’examinons pas ce qu’il demande, et nous n’avons pas d’avis sur ce qu’il devrait demander.
• Ce que vous soumettez entre dans l’espace de travail de cette entreprise et devient un intrant de son travail. Nous le détenons pour elle, sur son instruction, exactement comme tout ce qu’elle fait passer par Spirit.
• Chaque réponse est limitée à 5 000 caractères. Au-delà, le formulaire la refuse plutôt que de la couper en silence, parce qu’une réponse tronquée est pire qu’une réponse refusée.

Si une entreprise vous a écrit par Spirit

• Une Procédure peut vous envoyer un résultat par courriel, et elle peut vous relancer selon un horaire jusqu’à ce que vous répondiez — un document qui manque, une approbation en attente.
• C’est l’entreprise qui est l’expéditeur. Les mots sont les siens, la décision de vous écrire est la sienne, et votre adresse est dans nos systèmes parce qu’elle l’y a mise. Nous sommes la poste, pas le correspondant.
• Il n’y a ni pixel de suivi ni lien réécrit dans ce que Spirit envoie. Nous ne savons pas si vous l’avez ouvert.

Vous

• Votre nom et votre adresse de courriel, le fait que cette adresse ait été vérifiée ou non, et la langue dans laquelle vous lisez.
• Un lien vers votre photo de profil, si vous avez ouvert une session avec Google ou Microsoft et qu’ils en ont fourni une.
• Les façons dont votre compte peut ouvrir une session — un lien par courriel, Google, Microsoft — pour que vous voyiez comment y revenir.
• Un jeton de Google ou de Microsoft si vous passez par eux. Il établit qui vous êtes et ne sert à rien d’autre.
• Vos sessions, pour que rester connecté fonctionne.
• Si vous déplacez votre compte vers une nouvelle adresse : la nouvelle adresse et une copie hachée du jeton de confirmation, jusqu’à ce que le changement aboutisse ou expire.

Votre espace de travail, et les gens qui y sont

• Le nom de l’espace de travail et son fuseau horaire, qui en fait partie, et le rôle de chacun.
• Les invitations : l’adresse invitée, qui a invité, quand c’est accepté. Le jeton et le code de l’invitation sont conservés hachés, de sorte que lire notre base de données ne permet pas de terminer une invitation qu’on n’a pas reçue.
• Un registre d’activité — qui a créé une Procédure, qui a approuvé une écriture, qui a retiré quelqu’un. C’est pour vos collègues et non pour nous : un espace de travail où personne ne peut savoir qui a changé les règles est un espace de travail où rien n’est fiable.

Si votre entreprise nous paie

• Votre forfait, votre période de facturation, des identifiants qui pointent vers vos dossiers client et abonnement chez Stripe, vos factures, et chaque mouvement de crédits dans votre solde.
• Les numéros de carte n’atteignent jamais Spirit. Stripe les recueille sur ses propres pages et les conserve. Ce qui nous revient, c’est la marque, les quatre derniers chiffres et le fait que le paiement ait fonctionné ou non.

Si vous nous écrivez

Votre message, notre réponse et tout ce que vous y joignez. La correspondance de soutien au sujet d’un document précis est la seule façon pour un fichier de nous parvenir sans invitation, alors envoyez une copie expurgée quand c’est possible.

La mise en place d’une entreprise commence par une conversation sur la façon dont le travail se fait vraiment, et nous travaillons ensuite à partir d’une transcription écrite de cette rencontre. Précisons ce que c’est :

• Spirit n’enregistre rien. La transcription est du texte, collé ou téléversé par une de nos personnes, à partir d’une rencontre dont tous les participants savaient qu’elle était transcrite. Si cela ne vous a pas été dit clairement, dites-le-nous et nous la supprimerons.
• Elle contient le nom des personnes présentes et ce qu’elles ont dit sur la façon dont le travail se fait — quels documents comptent, où sont les exceptions, qui signe quoi.
• Elle est à nous, pas à un espace de travail. Elle vit de l’autre côté d’un mur : le rôle qui lit les transcriptions n’a aucune permission sur les espaces de travail des clients, et le rôle qui fait tourner le produit ne voit pas les transcriptions. Ni l’un ni l’autre ne peut atteindre l’autre.
• Elle sert à rédiger la configuration de cette entreprise, puis est distillée en un cahier de pratique dépersonnalisé qu’une personne lit et approuve — sans nom, sans document, sans montant. Les conditions d’utilisation décrivent ce qu’est un cahier de pratique et comment nous dire que vous préférez que nous ne gardions rien.
• Nous conservons une transcription pendant le mandat et les douze mois qui suivent, puis nous la supprimons. Demandez-le plus tôt et nous la supprimons plus tôt.

Plus court que la liste ci-dessus, et plus utile :

• Nous ne vendons pas de renseignements personnels et nous ne les partageons pas à des fins publicitaires. Il n’y a dans ce produit aucun réseau publicitaire, aucun courtier de données et aucun « partenaire ».
• Nous n’entraînons aucun modèle d’IA sur votre contenu — ni le nôtre, ni celui d’un fournisseur. C’est un engagement contractuel dans l’entente de traitement des données, pas seulement une position.
• Nous ne mettons pas le travail d’un client en commun avec celui d’un autre. Ce que Spirit apprend de vos Corrections, et les points de départ qu’il propose à votre prochaine Procédure, sont bâtis à partir de votre espace de travail et y restent. Aucun agrégat n’est constitué entre clients, parce que personne n’y a consenti.
• Nous ne lisons pas le contenu de votre espace de travail pour nos propres fins. §12 montre comment c’est appliqué plutôt que promis.
• Nous ne suivons pas si vous avez ouvert nos courriels. Aucun pixel de suivi, aucun lien réécrit, aucun accusé de lecture — ni dans ce que nous envoyons, ni dans ce qu’une Procédure d’un client envoie par nous.
• Nous ne prenons pas à votre sujet de décision automatisée ayant un effet juridique sur vous.

Il y a une chose que nous évaluons bel et bien automatiquement, et elle porte sur l’espace de travail et non sur vous : le travail courant d’une entreprise tourne-t-il encore. Elle est calculée à partir de décomptes, de statuts et d’horodatages — jamais à partir du contenu — par un processus qui n’a pas la permission de lire un document, un résultat ou les règles d’une Procédure. Elle existe pour que nous remarquions qu’un client s’est tu avant qu’il renonce à nous, et rien de ce qu’elle produit n’a d’effet juridique sur qui que ce soit. §12 décrit comment cette frontière est appliquée.

Spirit n’est pas autonome. Voici les fournisseurs qui touchent à des données dans le cours normal du service, ce que chacun fait et où il le fait. La même liste, avec le détail contractuel, forme l’annexe B de l’entente de traitement des données.

Deux choses qui ressemblent à cette liste et n’en font pas partie. Les logiciels que vous connectez — votre Microsoft 365, votre SharePoint, votre système comptable, un système de répartition — ne sont pas nos fournisseurs : ce sont les vôtres, Spirit les joint parce que vous le lui avez dit, avec des identifiants que vous avez fournis, et ce qui s’y passe relève de votre entente avec eux. Et un gouvernement ou un tribunal peut nous contraindre à produire des renseignements; §16 décrit ce que nous faisons alors.

L’application, la base de données et la file d’attente tournent sur des serveurs au Canada. Les sauvegardes quotidiennes de la base de données sont conservées sur le même serveur.

Pour les fichiers, la réponse est différente et nous préférons vous donner la juste. Les documents d’un espace de travail sont stockés dans Cloudflare R2, qui permet d’ancrer un espace de stockage en Europe ou dans une région gouvernementale américaine, mais n’offre aucune juridiction canadienne. Le nôtre est nord-américain. Donc : vos enregistrements de base de données sont au Canada; vos fichiers sont en Amérique du Nord, ce qui peut vouloir dire aux États-Unis.

Les fournisseurs de modèles, Stripe et notre service d’envoi de courriels traitent les données hors du Canada de toute façon, parce que c’est là que ces services se trouvent.

Vous pouvez le faire vous-même, dans les Paramètres, sans nous le demander et sans nous attendre. Ce n’est pas une requête qui entre dans une file.

La suppression d’un espace de travail se fait dans cet ordre, et l’ordre est voulu :

1. Si du travail est encore en cours, ou qu’une écriture attend encore l’approbation de quelqu’un, nous refusons et nous vous le disons. Une exécution à mi-chemin d’une écriture dans votre système comptable ne doit pas être abandonnée en route.
2. Votre abonnement est annulé chez Stripe immédiatement — pas à la fin de la période. Un espace de travail disparu qui continue de facturer est le pire résultat possible.
3. Chaque fichier de l’espace de travail est supprimé du stockage.
4. Le registre de crédits est archivé, vidé, et l’espace de travail est supprimé.

Supprimer votre compte détruit aussi les espaces de travail dont vous êtes le seul propriétaire, dans la même opération — sinon, supprimer le dernier vous en créerait simplement un nouveau, vide, et le compte ne pourrait jamais disparaître.

Les trois choses qui survivent

• Une empreinte à sens unique de votre adresse de courriel, conservée indéfiniment. Spirit offre 150 crédits gratuits une fois par personne, à vie; supprimer un compte effacerait la trace de les avoir reçus, et sans cette empreinte, supprimer puis se réinscrire serait une façon de les prendre encore et encore. C’est une empreinte SHA-256 et non l’adresse : elle ne peut être ni lue, ni utilisée pour écrire, ni rapprochée de quoi que ce soit. La seule question à laquelle elle peut répondre est « cette adresse a-t-elle déjà eu ses crédits gratuits ». Le produit lui-même n’a même pas accès à la table.
• Le registre de crédits archivé et vos factures, pour les six ans qu’exige la loi fiscale.
• Les sauvegardes, pendant 14 jours au plus, après quoi celle qui vous contient est supprimée selon son propre cycle.

La plupart des fournisseurs répondent à cette question par une phrase sur leurs politiques internes. Notre réponse, ce sont quatre rôles de base de données distincts, chacun avec son propre mot de passe et ses propres droits — donc la réponse est appliquée par PostgreSQL et non par nos bonnes intentions.

• Le produit tourne sous un rôle assujetti à la sécurité au niveau des lignes sur chaque table liée à un espace de travail, imposée même au propriétaire de la table. Une requête peut atteindre l’espace de travail auquel elle se rapporte, et aucun autre. Un test de notre chaîne de construction le prouve plutôt que de le supposer.
• Notre console d’exploitation — où nous voyons qu’un déploiement est en santé et où nous pouvons ajouter des crédits à un solde — est en lecture seule sur les données des clients, à exactement une exception près, qui est l’ajout d’une ligne à un registre de crédits. Elle ne peut pas lire le contenu d’un espace de travail : ni un document, ni le résultat d’une exécution, ni les règles d’une Procédure.
• Notre moteur de rétention, qui nous signale quand le travail courant d’un client a cessé de tourner, détient des droits accordés colonne par colonne. Il peut lire des décomptes, des statuts et des horodatages. Il ne peut pas lire les règles d’une Procédure, le résultat d’une exécution, les mots d’une Correction, un jeton de déclenchement ou un identifiant Stripe — non pas parce qu’il ne le demande pas, mais parce qu’il n’en a pas l’autorisation.
• L’assistant d’implantation, qui rédige la configuration d’un nouveau client à partir d’une rencontre de découverte, tourne sous un rôle qui n’a aucun accès aux données des clients. Les transcriptions de rencontres sont d’un côté de ce mur et les espaces de travail de l’autre.

Et quand nous devons voir vos fichiers

Il faut que vous nous invitiez dans votre espace de travail — un siège de `soutien` que vous accordez. Pendant que nous l’occupons : il est visible dans la liste de votre équipe, pour que le cabinet voie que nous sommes là; vous pouvez le retirer à tout moment, sans nous le demander; et il est délibérément exclu de l’approbation des écritures dans vos propres systèmes, de sorte que nous ne pouvons pas autoriser Spirit à inscrire quoi que ce soit dans vos logiciels à votre place.

C’est un engagement contractuel et pas seulement architectural — voir « Quand nous pouvons voir votre contenu » dans l’entente de traitement des données.

• En transit, tout passe par TLS, avec HSTS pour qu’un navigateur n’essaie pas autrement.
• Les identifiants des logiciels que vous connectez sont chiffrés en AES-256-GCM, et la clé est conservée hors de la base de données — une copie volée de la base ne remet donc pas votre système comptable à quelqu’un.
• Les fichiers sont chiffrés au repos par le fournisseur de stockage et atteints uniquement par des liens signés de courte durée, limités au préfixe du seul espace de travail concerné.
• La séparation entre clients est la sécurité au niveau des lignes dans la base de données, pas une condition dans notre code que quelqu’un pourrait oublier d’écrire.
• Notre console exige un mot de passe et un code à usage unique, et vit sur son propre nom d’hôte : elle ne partage ni témoin ni origine avec quoi que ce soit de public.
• Une connexion que vous ajoutez est en lecture seule jusqu’à ce que vous en décidiez autrement, et une Procédure qui écrit dans vos systèmes peut être réglée pour s’arrêter et demander à une personne d’abord — ce qui est autant un contrôle de sécurité qu’un choix de flux de travail.
• Les requêtes sortantes sont filtrées par un garde-fou qui refuse les adresses internes : un document qui tenterait de faire aller chercher quelque chose dans notre propre réseau n’arrive à rien.

En vertu des lois canadiennes sur la protection des renseignements personnels, vous pouvez nous demander de :

• vous dire ce que nous détenons à votre sujet, d’où ça vient et à qui nous l’avons communiqué;
• le corriger, s’il est inexact ou incomplet;
• cesser de l’utiliser — retirer votre consentement. Pour le marketing, c’est immédiat et sans frais. Pour un compte, retirer son consentement et fermer le compte sont le même geste, parce que nous ne pouvons pas fournir le service sans les quelques éléments de §5;
• nous expliquer, si nous refusons l’une de ces demandes. Nous dirons sur quelle exception nous nous appuyons et à qui vous pouvez vous plaindre.

Écrivez à info@aslynx.com. Nous répondons en 30 jours, sans frais, dans tous les cas ordinaires. S’il nous faut confirmer que vous êtes bien la personne concernée avant de vous remettre vos renseignements, nous demanderons seulement ce qu’il faut pour cela.

Si notre réponse ne vous satisfait pas, plaignez-vous au Commissariat à la protection de la vie privée du Canada (1-800-282-1376). Au Québec, vous pouvez aussi vous adresser à la Commission d’accès à l’information, et l’Alberta comme la Colombie-Britannique ont leurs propres commissaires. Vous n’avez pas besoin de notre permission pour porter plainte et nous ne vous le reprocherons pas.

Si des renseignements personnels dont nous avons la garde sont perdus, pris, ou vus par quelqu’un qui n’avait pas à les voir, nous contenons l’incident, établissons ce qui s’est passé et qui est touché, puis nous prévenons les gens.

• Les clients touchés l’apprennent de nous sans délai injustifié et, dans tous les cas, dans les 72 heures suivant le moment où nous en prenons connaissance : ce qui s’est passé, quels renseignements étaient en cause, ce que nous avons fait, et ce que nous leur recommandons. C’est un engagement de l’entente de traitement des données autant qu’une déclaration ici.
• Lorsque la loi l’exige — lorsqu’il y a un risque réel de préjudice grave — nous le déclarons au commissaire et nous avisons les personnes concernées.
• Nous consignons chaque atteinte, y compris celles qui s’avèrent sans conséquence, pendant les 24 mois exigés par la loi, et nous montrerons à un client le registre qui le concerne.
• Nous n’aviserons pas vos clients discrètement à votre place. Si vous êtes un cabinet et que vos clients doivent apprendre quelque chose, c’est votre décision et votre voix; nous vous donnerons tout ce qu’il faut pour la porter.

Une assignation, un mandat, une ordonnance de communication ou la demande d’un organisme de réglementation peut nous parvenir au lieu de vous parvenir. Ce que nous faisons :

• Nous vérifions que c’est valide, et que cela couvre réellement ce qui est demandé. Nous ne traitons pas une lettre comme une ordonnance.
• Nous vous prévenons avant de produire quoi que ce soit, sauf si la loi nous l’interdit — et dans ce cas, dès que l’interdiction tombe.
• Quand c’est possible, nous renvoyons le demandeur vers vous, parce que les renseignements sont les vôtres et que les arguments sur le privilège et la pertinence vous appartiennent.
• Nous produisons le strict minimum qui répond à l’ordonnance, et rien d’autre.

Pour un cabinet d’avocats, cela compte plus qu’il n’y paraît : l’architecture de §12 fait qu’en réponse à la plupart des demandes, la réponse honnête est que nous ne détenons pas d’accès lisible au contenu visé — et c’est une meilleure réponse pour votre client que n’importe quelle politique que nous pourrions rédiger.

Deux, et on ne vous demandera pas de cliquer sur une bannière, parce qu’il n’y a rien ici à consentir.

L’un est strictement nécessaire et l’autre est une préférence que vous réglez vous-même; ni l’un ni l’autre ne vous suit ailleurs, et il n’y a pas de troisième témoin à refuser. Si vous payez par carte, Stripe dépose ses propres témoins sur ses pages de paiement, selon sa propre politique — ces pages sont celles de Stripe, ce qui est aussi la raison pour laquelle votre numéro de carte ne nous parvient jamais.

Spirit est un logiciel pour les entreprises et les cabinets professionnels. Il n’est pas destiné aux enfants, nous ne le leur présentons pas, et nous ne détenons pas sciemment de compte pour une personne de moins de 18 ans. Si vous croyez que c’est le cas, écrivez-nous et nous le supprimerons.

Si cette entreprise est achetée, fusionnée, ou si elle cède la partie d’elle-même qui fait tourner Spirit, les renseignements décrits dans cette politique suivent. C’est ainsi qu’une vente d’entreprise fonctionne et la loi canadienne le permet lorsque les renseignements sont nécessaires à la transaction — mais trois choses s’appliquent, et ce sont elles qui méritent d’être écrites.

• Pendant les discussions, un acheteur éventuel reçoit le strict minimum, sous entente de confidentialité, et jamais le contenu d’un espace de travail. La vérification diligente se répond avec des décomptes et des descriptions, pas avec vos documents.
• Nous prévenons le propriétaire de chaque espace de travail avant qu’un transfert prenne effet, et non après.
• L’acheteur est lié par la présente politique telle qu’elle est ce jour-là, jusqu’à ce qu’il vous annonce autre chose — moment où vous pourrez la lire et décider, y compris en partant avec vos données.

Si l’entreprise cesse simplement ses activités, vous recevez un avis, une fenêtre pour tout sortir, puis la suppression selon le calendrier de §10.

Quand elle change, la nouvelle version est publiée ici avec une nouvelle date en tête, et l’ancienne reste disponible sur demande.

Si une modification réduit réellement la protection dont vous bénéficiez — une nouvelle catégorie de fournisseur, une nouvelle finalité, un engagement plus court — nous écrivons au propriétaire de chaque espace de travail avant qu’elle prenne effet, et non après. Une politique qui peut être assouplie en silence n’est pas un engagement.