Politique de confidentialité

1. Renseignements que nous recueillons

Nous recueillons les types de renseignements suivants :

• Renseignements de compte : nom, adresse courriel, numéro de téléphone et adresse postale lors de l'inscription
• Renseignements sur la copropriété : informations sur votre syndicat, bâtiments, unités et équipements
• Données d'utilisation : informations sur votre utilisation de la plateforme, pages consultées et fonctionnalités utilisées
• Renseignements de paiement de l'abonnement : pour le paiement de votre abonnement CondoAide, nous recueillons soit des informations de carte de crédit (Visa, Mastercard, American Express), soit les coordonnées bancaires (numéro d'institution, numéro de transit, numéro de compte) si vous choisissez le prélèvement automatique (PAD/ACSS Debit). Ces renseignements sont traités directement par notre fournisseur de paiement Stripe (certifié PCI DSS niveau 1, le plus élevé). CondoAide ne stocke jamais vos numéros de carte ou de compte bancaire bruts — uniquement un jeton sécurisé qui ne permet pas de reconstituer le numéro original. Précision importante : le PAD via Stripe est utilisé exclusivement pour le paiement de l'abonnement par le syndicat à CondoAide. La collecte des cotisations des copropriétaires par les syndicats (lorsque cette fonctionnalité sera activée) est traitée par un système distinct et un sous-traitant différent, et fera l'objet d'une mise à jour distincte de cette politique au moment du lancement.
• Mandat PAD pour l'abonnement : si vous payez votre abonnement par PAD, nous conservons les métadonnées du mandat (identifiants Stripe SetupIntent et Mandate, date d'autorisation, statut, événements de révocation). Le document signé du mandat lui-même est conservé par Stripe pour notre compte, conformément à la règle H1 de Paiements Canada (conservation de 7 ans après la fin du mandat).
• Historique des transactions d'abonnement : montants, dates, statuts (réussis, échoués, retournés), motifs d'échec le cas échéant — pour la facturation et la conformité comptable
• Communications : messages échangés via notre service de support
• Documents téléversés : tous les documents que vous téléversez dans le Service (registres, attestations, rapports, photos, etc.)

2. Utilisation des renseignements

Nous utilisons vos renseignements pour :

• Fournir et améliorer nos services de gestion de copropriété
• Traiter vos paiements et gérer votre abonnement
• Vous envoyer des communications importantes concernant votre compte
• Vous informer des mises à jour et nouvelles fonctionnalités (avec possibilité de vous désinscrire pour les communications non essentielles)
• Assurer la conformité avec la Loi 16, le règlement adopté par le décret 991-2025, et autres réglementations applicables
• Répondre à vos demandes de support
• Détecter et prévenir la fraude, les abus, et les violations de nos Conditions d'utilisation

3. Partage des renseignements

Nous ne vendons pas vos renseignements personnels. Nous partageons certains renseignements avec les sous-traitants suivants, qui agissent en notre nom et sont liés par un contrat de traitement de données :

• Supabase — Hébergement de la base de données et stockage de fichiers. Catégories : toutes les données de l'application. Localisation : Canada (région ca-central-1).
• Vercel — Hébergement de l'application web. Catégories : trafic de l'application, pas de stockage permanent. Localisation : États-Unis et Canada (régions multiples).
• Stripe — Traitement des paiements de l'abonnement uniquement (cartes de crédit + prélèvements bancaires PAD/ACSS Debit du syndicat à CondoAide). Catégories : nom du payeur, courriel, adresse de facturation, mode de paiement, historique de transactions de l'abonnement. Localisation : Canada et États-Unis.
• Brevo — Courriels transactionnels et marketing. Catégories : adresses courriel, contenu des courriels. Localisation : Union européenne.
• Anthropic — Assistant d'intelligence artificielle (fonctionnalités opt-in seulement). Catégories : requêtes utilisateur sur les fonctionnalités IA opt-in. Localisation : États-Unis.
• OpenAI — Assistant d'intelligence artificielle (fonctionnalités opt-in, secours). Catégories : requêtes utilisateur sur les fonctionnalités IA opt-in. Localisation : États-Unis.
• Cette liste est mise à jour lorsque nous ajoutons ou retirons un sous-traitant. Les changements importants seront communiqués via cette politique et par courriel.
• Membres de votre syndicat : selon les permissions configurées dans votre compte, certains renseignements peuvent être visibles à d'autres membres de votre syndicat (par exemple, votre nom et votre statut de paiement peuvent être visibles aux administrateurs et au trésorier).
• Autorités légales : nous pouvons divulguer vos renseignements personnels si requis par la loi, par une ordonnance d'un tribunal, ou pour protéger nos droits, votre sécurité, ou celle d'autrui.

4. Sécurité des données

Nous prenons la sécurité de vos données au sérieux :

• Chiffrement en transit : TLS 1.3 entre votre navigateur et nos serveurs
• Chiffrement au repos : AES-256 sur la base de données, les sauvegardes et les fichiers stockés
• Mots de passe : hachés avec bcrypt (jamais stockés en clair, jamais réversibles)
• Jetons d'authentification : signés cryptographiquement avec HMAC-SHA256 pour garantir leur intégrité
• Authentification : authentification sécurisée avec options d'authentification à deux facteurs
• Hébergement au Québec : application servie par Vercel (région Montréal / yul1); base de données et fichiers stockés par Supabase (région ca-central-1 / Montréal). Vos données de copropriété ne sont pas transférées hors du Canada dans le cadre de l'exploitation normale du Service. Les exceptions (paiements d'abonnement, fonctionnalités IA opt-in) sont décrites à la section 9.
• Contrôles d'accès : permissions strictes basées sur les rôles, journalisation de toutes les actions sensibles
• Sauvegardes au Québec : sauvegardes Supabase avec récupération à un point dans le temps (7 jours) et instantanés quotidiens; sauvegardes additionnelles conservées chez deux fournisseurs distincts au Québec (Montréal et Beauharnois), rétention de 30 jours, avec test de restauration automatisé chaque semaine
• Tokenisation : les renseignements bancaires et de carte de crédit ne sont jamais stockés en clair sur nos serveurs — ils sont tokenisés par Stripe (certifié PCI DSS niveau 1)
• Sous-traitants certifiés : Supabase et Vercel sont certifiés SOC 2 Type 2; Stripe est certifié SOC 2 Type 2 et PCI DSS niveau 1
• Nous nous engageons à un test annuel d'intrusion (« pentest ») par un tiers indépendant à compter de la fin 2026.

5. Conservation des données

Nous conservons vos renseignements aussi longtemps que votre compte est actif ou selon les exigences légales. Délais de conservation spécifiques :

• Données générales du compte — 90 jours après fermeture du compte, sauf obligation légale contraire.
• Documents de copropriété (registres, carnet, attestations) — Selon les délais prescrits par la Loi 16 et le Code civil du Québec.
• Mandat PAD pour le paiement de l'abonnement (métadonnées chez nous; document signé conservé par Stripe pour notre compte) — 7 ans après la résiliation du mandat, conformément à la règle H1 de Paiements Canada.
• Données de transaction d'abonnement (paiements à CondoAide) — 7 ans à des fins fiscales, comptables et de conformité réglementaire.
• Journaux d'audit (actions sensibles) — 7 ans à des fins de conformité.
• Communications de support — 3 ans après la dernière interaction.
• Après les délais ci-dessus, les données sont définitivement supprimées de nos systèmes en production. Des copies peuvent persister dans les sauvegardes pour une période additionnelle (jusqu'à 30 jours) avant rotation et destruction.

6. Vos droits

Conformément à la Loi 25 du Québec, à la PIPEDA, et aux lois applicables, vous avez le droit de :

• Accéder à vos renseignements personnels
• Rectifier des renseignements inexacts ou incomplets
• Demander la suppression de vos données (sous réserve de nos obligations légales de conservation, par exemple les mandats PAD conservés 7 ans)
• Retirer votre consentement à certains traitements (les fonctionnalités IA opt-in peuvent être désactivées en tout temps)
• Recevoir vos données dans un format structuré et portable (export JSON ou CSV)
• Vous opposer à un traitement (notamment les communications marketing)
• Désautomatiser : refuser une décision basée uniquement sur un traitement automatisé (Loi 25 art. 12.1)
• Révoquer votre mandat PAD pour l'abonnement à tout moment, sans frais, conformément à la règle H1 de Paiements Canada
• Déposer une plainte auprès de la Commission d'accès à l'information du Québec (cai.gouv.qc.ca) ou du Commissariat à la protection de la vie privée du Canada (priv.gc.ca) pour les utilisateurs hors Québec
• Pour exercer un de ces droits, contactez notre Personne responsable de la protection des renseignements personnels (voir section 7).

7. Personne responsable de la protection des renseignements personnels

Conformément à l'article 3.1 de la Loi 25, CondoAide a désigné une Personne responsable de la protection des renseignements personnels. Cette personne est votre point de contact pour toute question relative au traitement de vos renseignements personnels, pour exercer vos droits, ou pour signaler une préoccupation.

• Nom : Nicolae Racovita
• Titre : Président de CondoAide et Personne responsable de la protection des renseignements personnels
• Courriel : privacy@condoaide.ca
• Adresse postale : 4143 chemin Ste-Angélique, Saint-Lazare (Québec) J7T 2N5, Canada

8. Notification d'incident de confidentialité

Conformément à la Loi 25, en cas d'incident de confidentialité présentant un risque qu'un préjudice sérieux soit causé à une personne concernée, nous nous engageons à :

• Informer la Commission d'accès à l'information du Québec dans des délais raisonnables. Notre cible interne est de notifier dans les 72 heures suivant la confirmation de l'incident.
• Informer les personnes concernées sans délai indu, par courriel ou tout autre moyen approprié.
• Documenter chaque incident dans un registre interne, incluant la nature, les causes, les mesures correctives et les leçons apprises.
• Prendre les mesures nécessaires pour limiter le préjudice et empêcher la récurrence.
• Coopérer pleinement avec les autorités de protection des renseignements personnels en cas d'enquête.

9. Transferts internationaux de données

Certains de nos sous-traitants traitent des renseignements personnels en dehors du Québec ou du Canada (voir la liste à la section 3). Pour les transferts hors du Canada :

• Nous évaluons l'adéquation des protections offertes dans la juridiction de destination
• Nous mettons en place des protections contractuelles appropriées avec chaque sous-traitant (Data Processing Agreements)
• Nous limitons les transferts à ce qui est nécessaire à la prestation du Service
• Pour les fonctionnalités IA (Anthropic, OpenAI), les requêtes ne sont envoyées que si vous activez explicitement les fonctionnalités opt-in concernées
• Si vous avez des questions sur un transfert spécifique ou si vous souhaitez vous opposer à un traitement particulier, contactez privacy@condoaide.ca.

10. Témoins (cookies) et technologies similaires

Pour plus d'informations sur l'usage des témoins et des technologies similaires, veuillez consulter notre Politique sur les témoins.

11. Renseignements concernant les enfants

Le Service n'est pas destiné aux personnes de moins de 14 ans. Nous ne recueillons pas sciemment de renseignements personnels d'enfants. Si vous croyez qu'un enfant a fourni des renseignements personnels à CondoAide, contactez privacy@condoaide.ca afin que nous procédions à la suppression.

12. Modifications

Nous pouvons modifier cette politique de temps à autre. Nous vous informerons des changements importants par courriel ou via la plateforme. La date de dernière mise à jour est indiquée en haut de cette page. L'utilisation continue du Service après une modification constitue votre acceptation de la version mise à jour.

13. Nous contacter

Pour toute question concernant cette politique ou pour exercer vos droits :

Annexe — Historique des modifications

Historique des versions de cette politique :

• Version 1.0 — 1 février 2025 — Version initiale.
• Version 1.1 — 7 mai 2026 — Ajout du paiement par PAD/ACSS Debit; désignation publique de la Personne responsable; expansion de la liste des sous-traitants; ajout de la section sur la notification d'incident; ajout de la section sur les transferts internationaux; ajout des références PIPEDA et Commissariat à la protection de la vie privée du Canada.