Confiance

Les dossiers clients et les documents téléversés par le portail invité sécurisé sont reçus et stockés sur un serveur que nous possédons et exploitons en Ontario, au Canada, avec des sauvegardes chiffrées conservées en Ontario. Nous exploitons notre serveur de messagerie à Beauharnois, Québec. Une fois le courriel sorti de ce serveur, le fournisseur du destinataire et les réseaux de livraison le traitent. Le trafic Internet chiffré peut franchir une frontière même si notre serveur est au Canada.

L’adresse de portail personnalisée d’une entreprise est vérifiée quant à sa propriété, à son acheminement canadien approuvé et à HTTPS avant l’activation et par la suite. Les services de compte facultatifs Stripe et Google peuvent traiter des données de compte limitées hors du Canada. Si une entreprise connecte Google Calendar, les détails d’événements peuvent contenir des renseignements sur ses clients. Des données ne sont transmises à Zapier, aux États-Unis, que si vous ou une entreprise connectez Zapier, et seulement ce que couvrent les autorisations approuvées. La Politique de confidentialité décrit ces flux.

• Hébergement principal : les dossiers clients, les documents téléversés, les bases de données et nos modèles d’IA autohébergés fonctionnent sur un serveur que nous possédons et exploitons nous-mêmes en Ontario, au Canada. Il n’est pas loué à un fournisseur infonuagique ou à un centre de données; l’hébergement principal ne fait donc appel à aucun sous-traitant. MongoDB, PostgreSQL et les API internes qu’appelle l’application n’écoutent que sur l’interface locale (loopback) du serveur et ne sont donc pas joignables depuis le réseau.
• Sauvegardes : chaque nuit, nous sauvegardons la base de données principale, la base de données de clavardage, les fichiers stockés et la configuration des services dans une seule archive. Chaque archive est chiffrée pour deux clés conservées hors du serveur : le serveur qui écrit les sauvegardes ne peut donc pas les lire. Les sept dernières archives nocturnes restent sur le serveur, et les archives sont aussi copiées sur un disque externe distinct. Les sauvegardes restent en Ontario.
• Point de reprise : les sauvegardes ont lieu une fois par jour; si le serveur était perdu, les modifications faites depuis la dernière sauvegarde nocturne (jusqu’à 24 heures) pourraient être perdues.
• En cas de panne du serveur : la production fonctionne sur un seul serveur, sans copie de relève. En cas de panne, nous le reconstruisons sur du matériel de remplacement et restaurons la dernière sauvegarde en suivant notre procédure de restauration écrite. Le service est indisponible jusqu’à la fin de cette restauration.

Une entreprise peut utiliser son propre sous-domaine, son nom, son logo et ses couleurs pour les liens de documents et de signature destinés aux clients. Nous continuons d’exploiter le portail sécurisé et de traiter les données des clients pour cette entreprise. L’entreprise contrôle l’avis de confidentialité qu’elle lie; notre avis destiné aux clients explique notre rôle. Les adresses de notre application, my-id.ca et hivi-x.ca, utilisent le domaine canadien .ca. Le domaine personnalisé d’une entreprise n’a pas à utiliser .ca et peut être enregistré ou géré par des fournisseurs hors du Canada. Les portails personnalisés connectés utilisent toujours notre stockage de documents au Canada; l’extension d’un domaine ne suffit pas à établir la résidence des données.

Nous vérifions la propriété du domaine, l’acheminement vers notre entrée canadienne approuvée et HTTPS avant l’activation, puis nous recommençons ces vérifications. Les nouveaux liens utilisent l’adresse de la plateforme si elles échouent. Les courriels transactionnels peuvent afficher le nom de l’entreprise et son adresse de réponse, mais l’adresse d’envoi demeure sur notre domaine approuvé. Les services DNS et de certificats peuvent traiter les métadonnées de domaine hors du Canada; les noms des certificats sont publics. Aucun document client ou code de vérification ne leur est envoyé.

• Au repos : AES-256-GCM. Les champs sensibles sont chiffrés dans notre base de données.
• En transit : HTTPS avec TLS 1.2 ou 1.3 protège le trafic entre votre navigateur et notre point d’entrée public. Derrière ce point d’entrée, les services d’un même serveur communiquent par l’interface locale (loopback) sans TLS; ce trafic ne quitte pas la machine, et l’application refuse de démarrer si un service interne est configuré sur une autre machine sans TLS. Les courriels quittent le serveur par TLS vers notre serveur de messagerie au Québec, et la connexion vérifie le certificat de ce serveur.
• Mots de passe : jamais stockés en clair et jamais visibles pour les opérateurs. Voir Sécurité des mots de passe ci-dessous pour l’algorithme de hachage et la politique.
• Secrets à deux facteurs : les secrets partagés TOTP sont chiffrés au repos avec le même schéma AES-256-GCM.

• Hachage : les mots de passe sont hachés avec bcrypt (facteur de coût 10) avant stockage. Le mot de passe en clair est immédiatement écarté après le hachage et n’est jamais écrit dans les journaux, sauvegardes ou analyses.
• Politique de longueur : minimum 8 caractères, maximum 128. Tout caractère imprimable est accepté, y compris les espaces et l’Unicode — les longues phrases de passe sont encouragées plutôt que des mots de passe courts et complexes.
• Réinitialisation : les liens de réinitialisation sont à usage unique, expirent après 1 heure, et sont envoyés uniquement à l’adresse courriel vérifiée du compte.
• Authentification à deux facteurs : le TOTP (Google Authenticator, 1Password, Authy, etc.) est disponible pour chaque compte. Nous recommandons fortement de l’activer dans Paramètres → Sécurité.
• Passkeys (WebAuthn) : vous pouvez enregistrer une ou plusieurs passkeys (Touch ID, Face ID, Windows Hello ou une clé de sécurité matérielle) et vous connecter sans mot de passe. Les passkeys résistent à l’hameçonnage parce que la clé privée ne quitte jamais votre appareil. Gérez-les dans Paramètres → Sécurité. Chaque passkey est liée à un seul domaine (my-id.ca ou hivi-x.ca) — si vous utilisez les deux, enregistrez une passkey sur chacun.
• Jetons de rafraîchissement pour l’extension Chrome : lorsque vous vous connectez via l’extension, nous émettons un jeton de rafraîchissement pour éviter de retaper le mot de passe à chaque expiration du jeton d’accès de courte durée. Les jetons de rafraîchissement sont des chaînes aléatoires opaques; seul leur hachage SHA-256 est stocké sur nos serveurs. Chaque rafraîchissement fait tourner le jeton, et toute tentative de réutiliser un ancien jeton révoque toute la famille pour cet appareil — un vol de jeton ne survit pas à un seul rafraîchissement légitime. La déconnexion de l’extension ou Déconnexion partout sur le web les révoque immédiatement.
• Connexion fédérée : « Se connecter avec Google » est pris en charge comme solution de rechange au mot de passe. Dans ce cas, aucun mot de passe n’est défini de notre côté tant que vous n’en ajoutez pas un.
• Ce que nous ne faisons pas encore : nous ne vérifions pas actuellement les nouveaux mots de passe contre le corpus de fuites Have I Been Pwned . C’est sur notre feuille de route; en attendant, la configuration la plus solide que nous offrons est une passkey, ou une phrase de passe unique combinée au TOTP.

Toute extraction et tout mappage de formulaires par IA qui touchent vos données s’exécutent sur des serveurs que nous exploitons. Nous n’envoyons pas vos données à OpenAI, Google, Anthropic ou tout autre fournisseur d’IA tiers.

• Reconnaissance vocale : Faster-Whisper, fonctionnant sur notre propre infrastructure.
• Modèle de langage (mappage de formulaires, extraction, clavardage) : Gemma, auto-hébergé sur notre propre infrastructure via Ollama.
• La sortie de l’IA est un brouillon. Chaque valeur suggérée par l’IA vous est présentée pour révision et confirmation avant d’être enregistrée ou envoyée. Consultez notre Avis sur la fiabilité de l’IA pour savoir comment examiner les suggestions de l’IA en toute sécurité.

Les fonctions d’IA sont la partie d’un outil documentaire la plus susceptible d’envoyer vos fichiers ailleurs. Les nôtres ne le font pas. Chaque modèle nommé ci-dessous fonctionne sur du matériel que nous exploitons au Canada, accessible par notre propre réseau privé : aucun fournisseur d’IA externe n’intervient, quel que soit le forfait.

• Les modèles, par leur nom La transcription vocale utilise Faster-Whisper. La compréhension des documents et des formulaires, la recherche par IA et le clavardage utilisent Gemma; la lecture d’images et de numérisations utilise LLaVA. Les deux modèles de langage sont servis par Ollama sur notre propre serveur.
• Ce qui quitte nos serveurs Pour le traitement par IA : rien. Vos documents, leur contenu et les requêtes construites à partir d’eux ne sont jamais transmis à OpenAI, Anthropic, Google ou tout autre fournisseur d’IA, et ne servent jamais à entraîner un modèle public. (Les paiements, l’envoi de courriels et la connexion Google sont des sous-traitants distincts et sans lien; ils figurent dans le tableau ci-dessous.)
• Ce que nous enregistrons sur l’utilisation de l’IA Les compteurs d’utilisation de l’IA enregistrent la fonction, le modèle, la provenance et le nombre de jetons. Le texte des requêtes et des réponses n’est pas conservé dans ces compteurs. Les conversations enregistrées, les pièces jointes et les documents produits sont des données distinctes qui peuvent être conservées pour fournir les fonctions demandées.
• Pourquoi c’est conçu ainsi L’auto-hébergement nous permet de contrôler l’infrastructure de traitement des documents. Il ne supprime pas nos obligations de confidentialité, de sécurité, de conservation ou d’évaluation des fournisseurs.

Ces services reçoivent les catégories de données indiquées ci-dessous lorsque la fonction correspondante est utilisée. Ils ne sont pas utilisés pour l’inférence d’IA.

Si nous ajoutons un sous-traitant, nous mettrons à jour cette page. Pour être avisé lorsque cette liste change, écrivez à support@hivi-x.ca.

• Les suggestions de remplissage automatique sont désactivées par défaut pour chaque site. Les actions distinctes que vous lancez — clavardage IA, importations, aide PDF et capture client — peuvent traiter du contenu même si ce remplissage est désactivé; la section 20A de la Politique de confidentialité décrit ces actions.
• Les suggestions ordinaires utilisent les libellés, métadonnées de champ et URL de page. Les actions distinctes de clavardage, d’importation et de capture que vous lancez peuvent transmettre du texte de page, des valeurs de formulaire ou des fichiers à my-id.ca, selon la section 20A de la Politique de confidentialité.
• La connexion depuis le site my-id.ca transmet des jetons à l’extension au moyen d’un transfert à usage unique. Si vous choisissez plutôt la connexion dans la fenêtre de l’extension, celle-ci reçoit et transmet le courriel, le mot de passe et, si nécessaire, le code TOTP. Les origines autorisées sont précisées à la section 20A de la Politique de confidentialité.
• Vous pouvez désactiver un site ou désinstaller l’extension en tout temps; aucun état côté serveur ne maintient l’extension ouverte. La déconnexion de l’extension révoque son jeton de rafraîchissement sur le serveur.

• Nous conservons vos données tant que votre compte est actif.
• Vous pouvez demander la suppression dans les paramètres de confidentialité. Après approbation, la suppression est normalement planifiée 30 jours plus tard. Contactez le responsable de la confidentialité pour les données du portail personnalisé et toute exigence de délai; une demande de suppression ne se limite pas au retrait d’un domaine.
• Les sauvegardes chiffrées sont conservées au Canada. La suppression des systèmes actifs ne les efface pas immédiatement des archives. Le délai d’effacement des sauvegardes doit être confirmé pour votre demande; nous ne garantissons pas ici un délai de 30 jours.
• Stripe conserve les dossiers de facturation de son côté selon les exigences fiscales et de paiement; nous ne pouvons pas supprimer les données que Stripe est légalement tenu de conserver.
• Pour l’accès, la rectification, l’exportation ou la suppression sur demande, voir notre page Demandes de données — elle décrit vos droits sous la LPRPDE, la Loi 25 du Québec et le RGPD, et comment les exercer.

Si vous évaluez hivi-x pour une agence, un cabinet ou une pratique et devez répondre à un questionnaire fournisseur, voici les faits que votre réviseur demande habituellement. Tout ci-dessous figure ailleurs sur cette page — cette section le regroupe dans l’ordre typique d’une revue.

• Résidence des données : les données clients sont hébergées sur notre propre serveur en Ontario, au Canada, sans réplication routinière à l’extérieur du pays, et notre serveur de messagerie est au Québec. Voir Emplacement des données ci-dessus.
• Hébergement et sauvegardes : un serveur que nous possédons en Ontario, des sauvegardes nocturnes chiffrées conservées en Ontario et un point de reprise d’au plus 24 heures. Voir Hébergement, sauvegardes et reprise ci-dessus.
• Chiffrement : AES-256-GCM au repos, TLS 1.2+ en transit. Voir Chiffrement ci-dessus.
• Traitement par IA : auto-hébergé. Les documents clients ne sont pas envoyés à OpenAI, Google, Anthropic ou tout autre fournisseur d’IA tiers. Voir IA : ce qui tourne, et où ci-dessus.
• Sous-traitants : la liste actuelle est publiée ci-dessus (Stripe, services Google facultatifs et hébergement de messagerie OVHcloud). Nous mettons à jour cette page lorsque la liste change, et vous enverrons un courriel sur demande.
• Notification d’incident : Nous avisons les entreprises concernées sans délai indu dès la découverte d’une atteinte touchant leurs données. Les avis aux personnes et aux autorités sont faits selon les délais de la loi applicable; la LPRPDE exige d’agir le plus tôt possible pour une atteinte présentant un risque réel de préjudice grave.
• Rapports d’audit : nous n’avons pas de rapport SOC 2 et aucun test d’intrusion indépendant n’a encore été réalisé. Nous avons rédigé un plan pour chacun, et nous ne publions pas de date à laquelle nous ne nous sommes pas engagés. Voir Attestations de conformité ci-dessous pour ce que nous pouvons ou non signer.
• Entente de traitement des données : une ETD est disponible sur demande — écrivez à support@hivi-x.ca et indiquez quelle entité contracte.
• Droit de la vie privée : nos pratiques sont conçues selon la LPRPDE. Les droits d’accès, de rectification, d’exportation et de suppression sous la Loi 25 du Québec et le RGPD passent par Demandes de données. Nous ne revendiquons aucune certification à l’égard de ces régimes.
• Conditions d’affaires : les conditions contractuelles pour les comptes professionnels sont dans les Conditions d’affaires.

Un guide rédigé pour les réviseurs d’approvisionnement se trouve dans le dossier de confiance.

Nous concevons en tenant compte des principes de la LPRPDE, de la LPRPS, du RGPD et de la HIPAA, et les modèles de chiffrement / d’accès ci-dessus s’alignent sur leurs mesures techniques. Cependant :

Nous ne détenons actuellement aucune attestation tierce, rapport SOC 2, ni certification formelle HIPAA, LPRPS ou RGPD. Tant que cela ne change pas, ne traitez pas l’absence de tels badges comme une omission de notre part.

Aucun test d’intrusion indépendant n’a encore été réalisé. Nous en avons rédigé la portée, ainsi qu’un plan de préparation SOC 2. Nous ajouterons des dates ici une fois qu’elles seront engagées.

Si vous représentez une organisation qui a besoin d’une attestation ou d’un questionnaire fournisseur, écrivez à support@hivi-x.ca et nous serons francs sur ce que nous pouvons ou ne pouvons pas signer.

Si nous découvrons qu’un tiers non autorisé a accédé à des données utilisateurs, nous :

• Nous avisons les entreprises concernées sans délai indu dès la découverte d’une atteinte touchant leurs données. Les avis aux personnes et aux autorités sont faits selon les délais de la loi applicable; la LPRPDE exige d’agir le plus tôt possible pour une atteinte présentant un risque réel de préjudice grave.
• Publierons un post-mortem public sur cette page (sous Historique des incidents) décrivant ce qui s’est passé, quelles données étaient en cause, et ce que nous avons changé ensuite.
• Aviserons le Commissariat à la protection de la vie privée du Canada lorsque l’incident atteint le seuil LPRPDE de « risque réel de préjudice grave ».

Aucun incident déclarable à ce jour.

Questions de confidentialité, demandes de suppression, questions sur les sous-traitants et signalements d’incidents soupçonnés : support@hivi-x.ca.

Pour exercer vos droits d’accès, de rectification, d’exportation ou de suppression, voir Demandes de données. Pour le texte juridique complet, voir notre Politique de confidentialité.