Trousse de confiance pour l’examen fournisseur

Trousse de confiance pour l’examen fournisseur

Si votre maison de courtage, cabinet ou pratique exige un examen fournisseur avant d’approuver un nouveau logiciel, cette page regroupe les réponses dans l’ordre où le questionnaire les demande habituellement.

Cette page et le centre de confiance résument les pratiques. La Politique de confidentialité, les Conditions professionnelles et l’ETD constituent les documents de référence; ce résumé ne les remplace pas.

Résidence des données

Les dossiers clients et les documents téléversés par le portail invité sécurisé sont reçus et stockés sur un serveur que nous possédons et exploitons en Ontario, au Canada. Les sauvegardes chiffrées sont conservées en Ontario. Nous ne pouvons pas garantir que le trafic Internet chiffré ne franchit jamais une frontière nationale. Notre serveur de messagerie est au Québec; après la sortie d’un message, le fournisseur du destinataire et les réseaux de livraison peuvent traiter le courriel ailleurs. La synchronisation facultative Google Calendar peut transmettre à Google les détails d’événements, y compris les renseignements clients saisis dans ces événements.

Nos adresses habituelles, my-id.ca et hivi-x.ca, utilisent .ca, le domaine national du Canada, et donnent accès à notre service hébergé au Canada. Une entreprise peut choisir son propre domaine avec une autre extension et utiliser un registraire ou un fournisseur DNS hors du Canada. Nous n’exigeons pas que son domaine personnalisé ou ses fournisseurs de services de domaine soient canadiens. Le nom de domaine ne détermine pas à lui seul où les documents sont stockés : un domaine connecté à notre portail doit toujours mener à notre serveur canadien approuvé. Son utilisation ne déplace pas le stockage des documents du portail hors du Canada. Les services de domaine/DNS et le transit Internet peuvent impliquer d’autres pays avec l’une ou l’autre adresse, comme expliqué ci-dessous.

Hébergement, sauvegardes et reprise

• Hébergement principal : les dossiers clients, les documents téléversés, les bases de données et les modèles d’IA autohébergés fonctionnent sur un serveur que nous possédons et exploitons nous-mêmes en Ontario, au Canada. Il n’est pas loué à un fournisseur infonuagique ou à un centre de données; l’hébergement principal ne fait donc appel à aucun sous-traitant. MongoDB, PostgreSQL et les API internes qu’appelle l’application n’écoutent que sur l’interface locale (loopback) du serveur et ne sont donc pas joignables depuis le réseau.
• Sauvegardes : chaque nuit, la base de données principale, la base de données de clavardage, les fichiers stockés et la configuration des services sont sauvegardés dans une seule archive. Chaque archive est chiffrée pour deux clés conservées hors du serveur : le serveur qui écrit les sauvegardes ne peut donc pas les lire. Les sept dernières archives nocturnes restent sur le serveur, et les archives sont aussi copiées sur un disque externe distinct. Les sauvegardes restent en Ontario.
• Point de reprise : les sauvegardes ont lieu une fois par jour; si le serveur était perdu, les modifications faites depuis la dernière sauvegarde nocturne (jusqu’à 24 heures) pourraient être perdues.
• En cas de panne du serveur : la production fonctionne sur un seul serveur, sans copie de relève. Nous le reconstruisons sur du matériel de remplacement et restaurons la dernière sauvegarde en suivant notre procédure de restauration écrite. Le service est indisponible jusqu’à la fin de cette restauration.

Portails clients personnalisés

Une entreprise admissible peut utiliser son propre sous-domaine, son logo et ses couleurs pour les liens de documents et de signature destinés aux clients. Nous vérifions la propriété du domaine, l’acheminement vers l’entrée canadienne approuvée et HTTPS avant l’activation et par la suite. Si ces vérifications échouent, les nouveaux liens utilisent l’adresse de la plateforme. L’entreprise contrôle l’avis de confidentialité qu’elle lie; hivi-x continue d’exploiter le portail et de traiter les données pour cette entreprise. Les courriels transactionnels peuvent afficher le nom de l’entreprise et son adresse de réponse, mais l’adresse d’envoi demeure sur le domaine de la plateforme.

Services de domaine et de certificats. La configuration d’un domaine personnalisé utilise des recherches DNS et Let's Encrypt (Internet Security Research Group, États-Unis) pour les certificats HTTPS. Ces services reçoivent le nom d’hôte et des données techniques de validation, comme les adresses des serveurs et les enregistrements DNS; nous fournissons notre contact d’exploitation pour gérer les certificats. Les noms des certificats sont publiés dans des journaux publics Certificate Transparency et peuvent y rester après le retrait du domaine. Ces services peuvent traiter ces métadonnées hors du Canada; nous ne leur envoyons ni documents clients ni codes de vérification. N’incluez pas le nom d’un client ou d’autres renseignements confidentiels dans le nom d’hôte du portail. Consultez l’avis de confidentialité de Let's Encrypt.

Chiffrement

• Au repos : AES-256-GCM. Les champs sensibles sont chiffrés dans la base de données.
• En transit : HTTPS avec TLS 1.2 ou 1.3 entre le navigateur et le point d’entrée public. Derrière ce point d’entrée, les services d’un même serveur communiquent par l’interface locale (loopback) sans TLS; ce trafic ne quitte pas la machine, et l’application refuse de démarrer si un service interne est configuré sur une autre machine sans TLS. Les courriels quittent le serveur par TLS vers notre serveur de messagerie au Québec, et la connexion vérifie le certificat de ce serveur.
• Mots de passe : hachés avec bcrypt; jamais stockés en clair et jamais visibles pour les opérateurs.
• Secrets à deux facteurs : les secrets partagés TOTP sont chiffrés au repos avec le même schéma AES-256-GCM.

Contrôles d’authentification offerts à votre personnel

• Mot de passe avec authentification à deux facteurs TOTP.
• Clés d’accès (WebAuthn) — résistantes à l’hameçonnage, la clé privée ne quittant jamais l’appareil. Une clé d’accès est liée à un seul domaine, donc le personnel qui utilise à la fois hivi-x.ca et my-id.ca en enregistre une sur chacun.
• Option « Se connecter avec Google ».

Accès et permissions du personnel

• Une connexion par personne. Chaque membre d’un espace de travail d’équipe se connecte avec son propre compte; les connexions ne sont jamais partagées.
• Trois rôles. Le propriétaire gère la facturation; les administrateurs gèrent les personnes, les réglages de l’espace de travail et les modèles du cabinet; le personnel ajoute des clients et travaille sur eux, mais ne peut pas supprimer de clients, importer ou exporter en lot, modifier les modèles du cabinet ou l’image de marque, voir le journal d’activité ni changer la facturation. hivi-x vérifie chaque permission sur le serveur, pas seulement à l’écran.
• Seulement les clients attribués. Le propriétaire peut faire en sorte que le personnel ne voie que les clients qui lui sont attribués, avec leurs listes, téléversements, demandes de signature et liens. Le propriétaire et les administrateurs voient toujours tout.
• Les co-agents d’un autre cabinet se joignent gratuitement à un seul client et ne voient que ce que vous partagez.
• Journal d’activité. Le propriétaire et les administrateurs peuvent consulter et exporter ce que chaque membre a fait, et voir les connexions de chaque membre.
• Départ. Retirer un membre met fin à son accès immédiatement et le déconnecte.

Consultez Espaces de travail d’équipe et rôles pour le tableau complet des rôles.

Traitement par IA

Toute l’IA qui touche aux données clients — extraction, recherche, mappage de formulaires, vérification des documents — tourne sur l’infrastructure exploitée par hivi-x. Les données clients ne sont pas envoyées à OpenAI, Google, Anthropic ni à aucun autre fournisseur d’IA tiers.

Chaque valeur suggérée par l’IA est présentée comme un brouillon à faire réviser par un humain avant d’être enregistrée ou envoyée.

Sous-traitants

La liste à jour est publiée sur le centre de confiance et reste volontairement courte :

Aucun de ceux-ci n’est utilisé pour l’inférence d’IA. Le centre de confiance est mis à jour lorsque la liste change, et nous vous écrirons directement sur demande.

Entente de traitement des données

L’ETD est publique. Si votre examen exige une copie signée, écrivez à l’adresse de confidentialité indiquée sur le centre de confiance et précisez le nom légal de l’entité contractante.

Position en matière de vie privée

• Les pratiques sont conçues en fonction de la LPRPDE. hivi-x ne revendique pas de certification LPRPDE — aucune certification normalisée de ce type n’existe.
• Les droits d’accès, de correction, d’exportation et de suppression en vertu de la LPRPDE, de la Loi 25 du Québec et du RGPD s’exercent via Demandes de données.
• hivi-x ne détient pas de rapport SOC 2, ni d’attestation tierce contre la HIPAA, la LPRPS ou le RGPD. Si votre examen en exige une, dites-le tôt — nous vous dirons clairement ce que nous pouvons et ne pouvons pas signer plutôt que de laisser un cycle d’approvisionnement reposer sur une fausse hypothèse.
• Aucun test d’intrusion indépendant n’a encore été réalisé. Nous en avons rédigé la portée, ainsi qu’un plan de préparation SOC 2; les dates seront ajoutées au centre de confiance une fois engagées.

Conservation et suppression

• Les données sont conservées tant que le compte est actif.
• La suppression du compte retire les données de profil, les fichiers téléversés et les modèles des bases de données actives.
• Les sauvegardes chiffrées peuvent conserver des données supprimées des systèmes actifs jusqu’à leur rotation. Le délai doit être confirmé pour votre demande; aucun effacement sous 30 jours n’est garanti ici.
• Stripe conserve les dossiers de facturation de son côté selon les exigences fiscales et de paiement.

La fin d’un abonnement n’est pas un événement de suppression : si un essai se termine ou qu’un forfait est annulé, les dossiers clients, listes de contrôle et téléversements sont conservés — c’est l’accès à l’espace de travail qui est suspendu. Voir Essai entreprise et facturation.

Notification d’incident

• Nous avisons les entreprises concernées sans délai indu dès la découverte d’une atteinte touchant leurs données. Les avis aux personnes et aux autorités sont faits selon les délais de la loi applicable; la LPRPDE exige d’agir le plus tôt possible pour une atteinte présentant un risque réel de préjudice grave.
• Un post-mortem public est publié sur le centre de confiance.
• Les incidents qui atteignent le seuil de « risque réel de préjudice grave » de la LPRPDE sont signalés au Commissariat à la protection de la vie privée du Canada.

L’historique des incidents à ce jour est publié sur le centre de confiance.

Accès côté client

Les clients de votre entreprise n’ont pas besoin d’un compte pour vous envoyer des documents. Un lien invité est limité à un client d’une entreprise, vérifié par un code à usage unique envoyé par courriel, et expire. Voir Envoyer votre premier lien invité pour l’expérience client et ce que le lien expose — ou non.

Articles connexes

• Centre de confiance — la source de vérité pour chaque affirmation ci-dessus
• Politique de confidentialité
• Conditions d’entreprise
• Demandes de données

Vérifications des téléversements invités

Les nouvelles photos envoyées par lien invité peuvent être analysées par le modèle hébergé sur notre infrastructure. Aucun fournisseur d’IA tiers n’est ajouté. Les vérifications utilisent les limites de capacité de l’entreprise et sont limitées par lien et par entreprise. Elles passent après les demandes ordinaires des comptes. Si le modèle, la file d’attente ou une limite empêche la vérification, le téléversement reste accepté. Les vérifications mesurées et PDF restent disponibles; l’entreprise voit que les vérifications automatiques sont incomplètes ou indisponibles. Les avertissements ne constituent pas une approbation.