Politique de confidentialité

1. Renseignements que nous recueillons

Nous recueillons les types de renseignements suivants :

• Renseignements de compte : nom, adresse courriel, numéro de téléphone et adresse postale lors de l’inscription ; si vous siégez au conseil d’administration, la forme de votre titre que vous choisissez vous-même dans votre profil (masculine, féminine ou épicène, par exemple « Président », « Présidente » ou « Présidence »), qui ne sert qu’à afficher ce titre et n’est jamais déduite de votre nom
• Renseignements sur la copropriété : informations sur votre syndicat, bâtiments, unités et équipements
• Réponses aux questions d’une annonce : lorsque le conseil d’administration joint une question à une annonce, la réponse que vous donnez dans l’application est conservée avec l’unité visée et avec votre nom. Selon la question posée, elle peut comprendre une disponibilité, une préférence, une quantité, une absence d’objection, un commentaire libre que vous rédigez vous-même et une pièce jointe que vous téléversez. Une réponse est nominative par conception : le conseil doit savoir quelle unité a répondu quoi. Elle n’est jamais anonyme et ne constitue pas un vote. Le conseil peut aussi inscrire lui-même une réponse qu’une personne lui a donnée par téléphone ou par courriel : cette réponse porte alors le nom de la personne du conseil qui l’a inscrite, elle est signalée comme telle et elle ne remplace jamais la réponse que la personne copropriétaire donne elle-même dans l’application.
• Données d’utilisation : informations sur votre utilisation de la plateforme, pages consultées et fonctionnalités utilisées
• Renseignements de paiement de l’abonnement : pour le paiement de votre abonnement CondoAide, nous recueillons soit des informations de carte de crédit (Visa, Mastercard, American Express) que vous nous fournissez vous-même expressément, soit les coordonnées bancaires (numéro d’institution, numéro de transit, numéro de compte) que vous nous fournissez vous-même expressément si vous choisissez le prélèvement automatique (PAD/ACSS Debit). Ces renseignements sont traités directement par notre fournisseur de paiement Stripe, certifié PCI DSS niveau 1 (la norme la plus élevée) pour les données de carte de paiement ; les coordonnées bancaires, qui ne relèvent pas de cette norme, sont protégées par les mesures de sécurité de Stripe et encadrées par son entente de traitement des données (DPA). CondoAide ne stocke jamais vos numéros de carte ou de compte bancaire bruts — uniquement un jeton sécurisé qui ne permet pas de reconstituer le numéro original. La collecte automatique des charges des copropriétaires par les syndicats est également traitée par Stripe (Stripe Payments Canada, Ltd.) : les copropriétaires qui activent le prélèvement autorisent expressément un mandat PAD/ACSS et leurs coordonnées bancaires sont traitées par Stripe, qui dépose les fonds directement dans le compte du syndicat. CondoAide ne détient jamais ces fonds ni ne conserve les numéros de compte bruts.
• Mandat PAD pour l’abonnement : si vous payez votre abonnement par PAD, le mandat lui-même — autorisation signée, identifiants et statut du mandat, y compris les révocations — est conservé par Stripe pour notre compte. Dans nos propres systèmes, nous conservons uniquement nos références de facturation Stripe (identifiant client et identifiant d’abonnement) et l’historique de facturation, et non le document du mandat. Ces données de facturation sont conservées 7 ans après la fin de l’abonnement à des fins fiscales, comptables et de conformité légale.
• Historique des transactions d’abonnement : montants, dates, statuts (réussis, échoués, retournés), motifs d’échec le cas échéant — pour la facturation et la conformité comptable
• Communications : messages échangés via notre service de support, y compris les fichiers que vous y joignez, ou par courriel le cas échéant. Les fichiers joints au formulaire de support sont conservés dans notre stockage privé au Québec ; ils ne sont plus transmis par courriel. Le personnel autorisé de CondoAide peut les télécharger, avec une authentification à double facteur ; les membres du conseil d’administration du syndicat qui a envoyé le signalement peuvent aussi les consulter dans le suivi de ce signalement, au même titre que le texte qui les accompagne. Lorsqu’un membre du conseil signale un problème au soutien CondoAide depuis l’application, le signalement comprend aussi les pages de l’application où il a été ouvert et d’où il a été envoyé (sans les paramètres de l’adresse), le rôle de la personne au syndicat, la version de l’application et le navigateur utilisé, ainsi que, lorsque l’enregistrement de session est activé pour cette personne, un lien vers l’enregistrement OpenReplay de la session (il ne s’ouvre que pour le personnel autorisé de CondoAide et cesse de fonctionner quand l’enregistrement est détruit, après 30 jours) et, pour un signalement fait depuis une importation refusée, l’identifiant technique de ce refus dans nos journaux, afin de nous permettre de reproduire le problème. Lorsque son signalement est résolu, la personne qui l’a envoyé peut aussi donner, si elle le souhaite, son avis sur la réponse (« Super », « Correct » ou « Pas satisfaisant ») et un commentaire. Cet avis est facultatif, ne rouvre pas le signalement et n’est lu que par le personnel autorisé de CondoAide ; les autres membres du conseil d’administration ne le voient pas.
• Courriels adressés à la boîte du syndicat : si votre syndicat utilise une adresse CondoAide (par exemple conseil@viva.condoaide.ca), ce que vous y écrivez (le message, ses pièces jointes, l’adresse d’où il provient, ainsi que le nom et l’adresse des autres destinataires qu’il nomme en « À » ou en « Cc ») est conservé dans le dossier du syndicat, et l’ensemble du conseil d’administration y a accès, ainsi que, le cas échéant, le gestionnaire mandaté par le syndicat. Cette boîte appartient au syndicat et non à une personne administratrice en particulier : ce n’est pas un canal privé vers une personne, et son contenu demeure accessible au conseil lorsque ses membres changent. Lorsqu’elle est en service, le syndicat envoie aussi depuis cette adresse les courriels que CondoAide produit en son nom : ses avis et ses annonces aux copropriétaires, mais aussi les avis destinés à son conseil d’administration, à sa trésorerie, à son gestionnaire et aux personnes qui font des travaux pour lui, ainsi que ses demandes de signature électronique. Si vous répondez à un tel message, votre réponse arrive dans cette même boîte, accessible aux mêmes personnes et conservée selon le même délai. Chaque envoi fait depuis cette adresse est inscrit à un journal des envois (adresse d’envoi, adresse du destinataire, date et heure), tenu par CondoAide pour le compte du syndicat. Lorsque l’adresse n’est pas en service, ces courriels partent de l’adresse de CondoAide au nom du syndicat, et leur pied de page indique si une réponse parvient au syndicat. Le conseil peut aussi écrire depuis cette boîte un nouveau courriel, à toute adresse ; les réponses qu’on y fait arrivent dans cette même boîte et sont conservées avec lui. Le conseil peut adresser une réponse ou un nouveau courriel envoyé depuis cette boîte à plusieurs personnes, en « À », en « Cc » ou en copie conforme invisible (« Cci ») : le nom et l’adresse de chacune sont conservés avec le message, et une personne en copie conforme invisible n’est jamais nommée dans le message que reçoivent les autres destinataires. Le conseil peut joindre à ce courriel des fichiers de son ordinateur (PDF, images, ou documents Word, Excel, PowerPoint et OpenDocument sans macros) : chaque fichier part comme un lien, valide 30 jours et révocable par le conseil, que les destinataires ouvrent sans compte CondoAide ; le fichier lui-même n’est jamais joint au courriel. Chaque ouverture d’un lien est consignée avec sa date et son heure seulement, sans adresse IP ni navigateur, et le conseil la voit dans la conversation ; comme le même lien va à tous les destinataires du courriel, cette trace ne dit pas qui l’a ouvert.
• Courriels adressés à `postmaster@` ou à `abuse@` d’une adresse de syndicat : ces deux adresses servent à signaler un problème de remise ou un usage abusif d’une adresse de syndicat. Ce que vous y écrivez (le message, ses pièces jointes et l’adresse d’où il provient) n’est pas versé au dossier du syndicat concerné, et son conseil d’administration n’y a pas accès : le message est transmis à la boîte d’exploitation de CondoAide, hébergée sur notre propre infrastructure au Québec, et seule notre personne responsable de la protection des renseignements personnels (voir section 7) la consulte.
• Suivi de consultation des communications : lorsque votre syndicat publie une communication officielle dans CondoAide et vous en avise par courriel, nous enregistrons le moment où vous la consultez dans l’application. Ce renseignement est communiqué à l’administration de votre syndicat, dans le seul but de confirmer que les avis importants ont été reçus. Aucun pixel de suivi n’est utilisé dans les courriels.
• Documents téléversés : tous les documents que vous téléversez dans le Service (registres, attestations, rapports, photos, etc.)
• Imports temporaires de preuves d’assurance : lorsqu’une personne autorisée importe en lot les certificats d’assurance des copropriétaires, le fichier PDF agrégé et son texte extrait sont conservés temporairement afin de produire un aperçu et de séparer les preuves par unité. Seules les preuves par unité nécessaires sont conservées après l’import ; le fichier agrégé n’est jamais versé au registre du syndicat.
• Dossiers de sinistre : lorsque le conseil consigne un sinistre survenu dans l’immeuble (par exemple un dégât d’eau), le dossier peut indiquer les parties privatives endommagées et celle où le sinistre a pris naissance. Le lien entre un sinistre et une partie privative, et son rôle, ne sont visibles que des administrateurs et des copropriétaires actuels de cette partie privative ; les autres copropriétaires voient seulement qu’une partie privative est touchée. Le copropriétaire actuel d’une partie privative liée à un sinistre en voit le titre, la date et l’état, ainsi que le rôle de sa propre partie privative, même lorsque le conseil n’a pas rendu le dossier visible aux copropriétaires ; s’il s’agit d’une partie endommagée, il apprend seulement que le sinistre a pris naissance dans une autre partie privative, sans savoir laquelle. Indiquer où un sinistre a pris naissance ne constitue pas une détermination de responsabilité. Lorsque le syndicat réclame à un copropriétaire une part du coût d’un sinistre parce qu’il en serait responsable (art. 1074.2 du Code civil du Québec), le dossier indique aussi la partie privative visée, la base de la réclamation, les faits notés par le conseil, son état, les montants réclamés et, le cas échéant, les frais portés au compte de cette partie privative. Ces renseignements ne sont visibles que des administrateurs qui gèrent les sinistres et ont accès aux finances du syndicat ; le copropriétaire visé voit seulement les frais portés à son compte.
• Identité de la personne qui active le prélèvement automatique des charges : lorsqu’un administrateur de syndicat active le prélèvement automatique des charges de copropriété, nous enregistrons qui l’a activée et à quel moment. Ce renseignement est présenté aux autres administrateurs du même syndicat lorsqu’ils sont appelés à approuver un prélèvement, et sert à exiger qu’une seconde personne autorise un prélèvement d’importance : celle qui l’a activé ne peut pas approuver elle-même le prélèvement qui en découle. Il répond aussi à l’obligation, sous la Règle H1 de Paiements Canada, de pouvoir identifier la partie derrière un mandat de prélèvement. Il ne sort jamais du syndicat. À l’intérieur de celui-ci, il n’est pas réservé au conseil : il fait partie de la fiche du syndicat, que consultent les personnes rattachées à l’immeuble — copropriétaires et locataires — et il est également lisible par les personnes autorisées à consulter les paiements du syndicat, dont le comptable. Les autres intervenants externes (fournisseurs, professionnels du bâtiment, assureurs, conseillers juridiques) n’y ont pas accès.
• Identité de la personne qui autorise le mandat PAD d’une partie privative : lorsqu’une personne autorise ou remplace le mandat de prélèvement des charges d’une partie privative, nous conservons dans CondoAide son identifiant de compte et le fait qu’elle était ou non copropriétaire à la date de l’autorisation. Ces renseignements servent à empêcher tout nouveau prélèvement si une personne qui a signé comme copropriétaire ne détient plus la partie privative. Le conseil et le gestionnaire autorisés à gérer les paiements voient alors un avertissement, sans voir l’identité du signataire. L’identifiant de cette personne n’est pas transmis à Stripe. Stripe continue de recevoir l’identifiant technique de la partie privative dans les métadonnées nécessaires au traitement du mandat au Canada et aux États-Unis (sections 3 et 9).
• Dossier de transfert de propriété d’une partie privative : lorsque le conseil d’administration inscrit la vente ou la cession d’une partie privative, nous conservons un dossier de transfert daté : les copropriétaires qui quittent et ceux qui arrivent, leur part, la date de clôture, la date à laquelle le syndicat a reçu l’avis que l’acquéreur doit lui donner (art. 1065 du Code civil du Québec) et la personne du conseil qui a inscrit le transfert. Si l’acheteur était locataire de la partie privative, son inscription de locataire prend fin à la clôture et il devient copropriétaire. Seuls les membres du conseil autorisés à gérer les membres voient ce dossier. Lorsque le conseil le choisit, le mandat de prélèvement du copropriétaire qui quitte est révoqué : nous conservons la preuve de la révocation, l’avis envoyé au payeur et, pour chaque prélèvement postérieur à la clôture, l’unique demande d’annulation transmise au fournisseur de paiement et sa réponse. Le nouveau copropriétaire peut aussi recevoir une invitation à autoriser le prélèvement des charges ; nous conservons la personne invitée, la personne du conseil qui l’invite, la partie privative, la date et l’état de la livraison.
• Identité de la personne qui déclare ce que prévoit la déclaration de copropriété au sujet des contributions versées avant l’adoption du budget : lorsqu’une personne autorisée à gérer les paramètres d’un syndicat indique que la déclaration de copropriété traite ces versements comme des acomptes sur la cotisation annuelle, nous enregistrons qui l’a déclaré, à quel moment et l’article de la déclaration qui est cité. Chaque changement de cette réponse est inscrit au journal d’audit du syndicat avec le nom et l’adresse courriel de la personne qui l’a fait. L’identifiant de la personne fait partie de la fiche du syndicat, lisible par les membres du syndicat dans l’application ; son nom n’est présenté qu’aux personnes autorisées à gérer les paramètres du syndicat. Ce renseignement ne sort jamais du syndicat et ne sert à aucun calcul de cotisation.
• Adresse IP : votre adresse IP est traitée lors de votre navigation sur le site public et dans la plateforme — journaux de sécurité et anti-abus de nos hébergeurs, et détermination momentanée de la ville par notre analytique agrégée, après quoi elle est immédiatement supprimée. Elle n’est transmise ni à notre télémétrie produit ni à notre suivi des erreurs. Une exception : lorsque vous signez électroniquement — une procuration, une entente d’accès ou un accusé de lecture d’un document du syndicat — l’adresse IP et le navigateur utilisés sont consignés durablement avec la signature, parce qu’ils en sont la preuve au sens de l’article 39 de la Loi concernant le cadre juridique des technologies de l’information. Ces mentions sont conservées selon la section 5.
• Calculateurs utilisés depuis un assistant d’intelligence artificielle (connecteur CondoAide pour ChatGPT et Claude) : si vous utilisez nos calculateurs de frais de condo, de cotisation spéciale ou de fonds de prévoyance depuis ChatGPT (OpenAI) ou Claude (Anthropic), c’est votre assistant qui nous transmet les données du calcul : montants (budget, coût des travaux, solde du fonds), numéros des parties privatives et leurs valeurs relatives, années de construction ou de réfection, taux. Ce connecteur ne demande ni compte, ni nom, ni adresse courriel, et ses champs n’acceptent que des nombres et des choix prédéfinis : il n’a besoin d’aucun renseignement personnel, n’en inscrivez pas dans votre demande. Nous ne conservons pas ces données : le calcul est fait, le résultat est renvoyé à votre assistant, et nous ne gardons qu’une ligne de journal technique (nom de l’outil, réussite ou échec, durée), sans les données du calcul ni l’adresse IP. L’adresse IP de l’appel, le plus souvent celle des serveurs de l’assistant et non la vôtre, sert uniquement à limiter le nombre de requêtes par minute ; elle n’est gardée que dans la mémoire vive de notre serveur, le temps de cette fenêtre d’une minute, puis effacée à la requête suivante ou au redémarrage du serveur, et elle n’est écrite ni dans une base de données ni dans nos journaux, en dehors des journaux de sécurité de nos hébergeurs décrits ci-dessus. OpenAI et Anthropic ne sont pas nos sous-traitants pour ce service : c’est vous qui avez choisi votre assistant, et ce que vous y écrivez, comme la réponse du calculateur qu’il reçoit, est régi par la politique de confidentialité de son fournisseur, qui peut traiter ces données hors du Québec. Le lien vers le calculateur complet contient les données du calcul (montants, numéros des parties privatives et leurs valeurs relatives, années, taux) et une mention de sa provenance (le connecteur), pour que la page s’ouvre avec vos chiffres. Si vous l’ouvrez, ces données figurent dans l’adresse de la page, donc dans l’historique de votre navigateur.
• Renseignements sur une personne sans compte : lorsqu’un syndicat migre son historique depuis un autre logiciel, une demande de service peut nommer la personne qui l’a déposée alors qu’elle n’a jamais eu de compte CondoAide — par exemple un ancien copropriétaire ayant vendu depuis. Nous conservons alors son nom, et lui seul, afin que la demande reste attribuable ; aucune adresse courriel ni aucun numéro de téléphone n’est repris de l’export à cette fin.
• Contact d’urgence désigné par une personne occupante : une personne qui remplit sa fiche d’occupation peut désigner un contact à joindre en cas d’urgence et inscrire son nom, le lien qui les unit, son numéro de téléphone et, facultativement, son adresse courriel. Cette personne n’a pas de compte CondoAide et ces renseignements ne sont visibles que par la personne qui les a inscrits et par le conseil d’administration de son syndicat. Nous ne lui envoyons aucun courriel : ces coordonnées servent uniquement à permettre au syndicat de la joindre lors d’une urgence touchant la partie privative, et elles peuvent apparaître dans le carnet remis aux services d’incendie.
• Mention d’une personne dans un message : lorsqu’une personne autorisée vous nomme au moyen d’un « @ » dans le fil d’une demande de service ou dans un commentaire de travaux, nous conservons le lien entre ce message et vous, afin de savoir qui devait être avisé. Ce lien n’est pas une autorisation d’accès : il est filtré à l’écriture selon qui peut déjà lire le message, et il est revalidé à chaque lecture.
• Demande déposée par une personne locataire : lorsqu’une personne locataire dépose une demande de service, nous enregistrons, au moment du dépôt, qu’elle l’a déposée à titre de locataire, ainsi que la partie privative qu’elle occupe et à laquelle la demande se rattache. La demande, son contenu, ses pièces jointes et les réponses publiques du conseil d’administration, avec leurs pièces jointes, peuvent alors être consultés par les copropriétaires de cette partie privative, pour les demandes déposées depuis le début de leur propriété ; ils ne peuvent pas y répondre. Lorsque le conseil d’administration redirige la demande vers le copropriétaire, nous conservons ce motif de fermeture avec la demande.
• Désignation, par un syndicat, de sa propre personne responsable de la protection des renseignements personnels : un syndicat de copropriété est lui-même une entreprise au sens de la loi, et il lui revient de désigner cette personne et d’en publier le titre et les coordonnées. Lorsqu’il le fait dans CondoAide, nous conservons ce qu’il publie : le titre, les coordonnées qu’il choisit de rendre accessibles — courriel, téléphone ou adresse postale — et, s’il décide de l’inscrire, le nom, qui demeure facultatif. Les coordonnées publiées peuvent être celles du syndicat plutôt que celles de la personne. Il s’agit de la désignation du syndicat envers ses propres membres ; la nôtre est à la section 7.
• Demande d’accès ou de rectification adressée à un syndicat (Loi 25) : lorsque vous demandez à votre syndicat, dans l’application, de consulter les renseignements personnels qu’il détient à votre sujet ou de les faire corriger, nous enregistrons la nature de la demande, son contenu, sa date de réception et la date à laquelle la réponse écrite est due. Lorsque la personne responsable de la protection des renseignements personnels du syndicat ou son conseil d’administration consigne une demande reçue par la poste, par courriel ou en personne, nous enregistrons aussi le nom de la personne qui l’a faite et l’adresse courriel ou postale qu’elle a donnée pour la réponse. La personne responsable ou le conseil peut inscrire comment l’identité de la personne a été vérifiée ; cette note n’est lue que par eux. La réponse écrite, sa date et, en cas de refus, ses motifs et la disposition de la loi invoquée sont conservés avec la demande. Ces renseignements sont lus par la personne qui a fait la demande, par la personne responsable désignée par le syndicat et par son conseil d’administration, et non par le gestionnaire, sauf s’il est lui-même la personne responsable.
• Registre des incidents de confidentialité d’un syndicat (Loi 25) : lorsque le conseil d’administration d’un syndicat consigne un incident de confidentialité dans son registre, nous enregistrons ce qu’exige l’article 7 du Règlement sur les incidents de confidentialité : la description des renseignements personnels visés, les circonstances de l’incident, la date ou la période où il a eu lieu et celle où le syndicat en a pris connaissance, le nombre de personnes concernées, l’évaluation du risque de préjudice sérieux, les dates des avis transmis à la Commission d’accès à l’information et aux personnes concernées, l’avis public et sa raison, et les mesures prises, ainsi que l’auteur et la date de l’inscription et de sa dernière modification. Le conseil rédige ces descriptions lui-même ; elles peuvent mentionner des personnes. Ces renseignements ne sont lus que par le conseil d’administration du syndicat, et non par le gestionnaire ni par les copropriétaires. Une inscription ne peut pas être supprimée dans l’application, puisque la loi exige de la conserver au moins cinq ans après que le syndicat a pris connaissance de l’incident.
• Renseignements pratiques inscrits par le conseil d’administration : texte libre qu’un conseil adresse à ses copropriétaires, à ses locataires ou aux comptes externes, et qui peut contenir des coordonnées de tiers — concierge, fournisseur — selon ce que le conseil choisit d’y inscrire.
• Facture d’un fournisseur jointe à un dossier de travaux : lorsqu’une personne autorisée joint une facture à des travaux, l’application peut en lire le texte afin de lui proposer la date de la facture, son numéro, le nom et les coordonnées du fournisseur, ses numéros d’inscription à la TPS et à la TVQ et les montants facturés. Ces propositions ne s’enregistrent jamais d’elles-mêmes : la personne retient une à une celles qu’elle veut conserver. Les numéros d’inscription à la TPS et à la TVQ retenus sont conservés à la fiche du fournisseur ; lorsque le fournisseur est une personne physique en affaires, ils la concernent. La lecture est faite au Québec par notre propre service d’analyse de documents ; ni le fichier ni son texte ne sont transmis à un service externe ou à un modèle d’intelligence artificielle.
• Déclaration de copropriété du syndicat : lorsqu’une personne autorisée du conseil d’administration le demande, ou que notre équipe de soutien le fait pour vérifier la configuration du syndicat, l’application lit la déclaration de copropriété versée au registre du syndicat afin de la comparer avec ce que le syndicat a enregistré (fractions et valeurs relatives, structure, exercice financier, espaces et parties communes à usage restreint). La déclaration peut nommer des personnes, notamment les copropriétaires d’origine, le déclarant et le notaire. Le texte des pages n’est conservé que le temps de la lecture, et il est détruit dès qu’elle se termine. Seule la proposition qui en résulte est conservée : chaque valeur lue, avec la page et le passage d’où elle vient, les noms de personnes en étant retirés. Le conseil décide lui-même de chaque correction, et chaque décision est consignée avec la personne qui l’a prise. La lecture est faite au Québec par notre propre service d’analyse de documents. Lorsque ses règles ne suffisent pas à lire un élément, l’application peut envoyer, sans autre geste de votre part, le texte de pages ciblées de la déclaration à un modèle d’intelligence artificielle d’Anthropic, aux États-Unis, pour qu’il propose l’élément manquant : l’application retire les noms de personnes qu’elle détecte avant l’envoi, les pages qu’elle reconnaît comme celles qui en concentrent (comparution devant le notaire, signatures, interventions) ne sont pas envoyées, un envoi où il reste un nom apparent est annulé, et le fichier lui-même n’est jamais transmis (section 3).
• Document déposé dans le lecteur gratuit de la déclaration de copropriété : une personne qui n’a pas de compte peut déposer une déclaration de copropriété en PDF dans l’outil public gratuit. L’application en lit le texte par des règles fixes, sans aucun service d’intelligence artificielle, pour lui montrer le tableau des fractions, les espaces, les parties communes à usage restreint, l’exercice financier et le nombre d’administrateurs, chacun avec sa page. Le document peut nommer des personnes, notamment les copropriétaires d’origine, le déclarant et le notaire. Aucun compte, nom ni courriel n’est demandé ; seule la personne qui détient le jeton remis à son navigateur au dépôt peut consulter ou supprimer le résultat. L’adresse IP sert, sous une forme brouillée par une clé secrète qui change de valeur à chaque période, à limiter le nombre de lectures ; elle n’est pas conservée en clair. Si elle choisit ensuite « Créer mon syndicat avec ces données », puis s’inscrit et crée son syndicat, une copie du document et le résultat de la lecture sont classés au registre de ce syndicat, sous les règles d’accès de la catégorie « Déclaration de copropriété » ; aucune valeur lue n’est reprise dans les données du syndicat sans qu’un membre du conseil l’accepte. Le lien qui transporte ce choix jusqu’à l’inscription ne contient pas le jeton de la personne ; il ne sert qu’une fois et expire avec la lecture. Quiconque détient ce lien pourrait l’utiliser ; ouvert dans un autre navigateur que celui où la personne a cliqué, il mène à une confirmation où le conseil choisit de classer ou non le document.
• Réponse du registre de la RBQ sur la licence d’un prestataire : lorsqu’un prestataire du syndicat a un numéro de licence de la Régie du bâtiment du Québec, nous conservons à sa fiche ce que le registre public en dit : le nom du titulaire inscrit au registre, la présence de la licence au registre, l’existence d’une restriction, la date à laquelle la licence a quitté le registre le cas échéant, et la date de la vérification. Lorsque le prestataire est une personne physique en affaires, ce nom la concerne. La vérification est faite auprès de VériBât lorsque le numéro est inscrit ou modifié, puis refaite automatiquement tous les deux jours environ. La réponse est lue par les personnes du syndicat qui gèrent ses prestataires, ses travaux ou ses finances, sert à les avertir d’une licence absente du registre ou restreinte, disparaît avec la fiche du prestataire et est remplacée dès que son numéro change.
• Demande d’état des charges communes dues d’une partie privative : lorsqu’une personne qui se propose d’acquérir une partie privative, son notaire ou son courtier demande au syndicat l’état des charges communes dues (art. 1069 du Code civil du Québec), le conseil d’administration inscrit le nom de cette personne, sa qualité, le nom de l’acheteur qu’elle représente, son adresse courriel, la date de la demande, l’avis donné au propriétaire (moyen, date et note) et la date à laquelle l’état lui a été transmis. Lorsque le conseil transmet l’état par courriel, la personne reçoit un lien vers le document, valide 30 jours ; chaque consultation de ce lien est consignée avec sa date et son heure, le réseau d’origine (adresse IP tronquée, qui ne permet ni d’identifier ni de localiser une personne) et le type de navigateur, afin d’établir que l’état a été fourni. L’état produit indique les charges communes exigibles et impayées de la partie privative, sa contribution selon le dernier budget adopté et les versements à venir des cotisations spéciales adoptées ; il ne nomme pas le propriétaire.
• Facture émise par le syndicat : lorsque le conseil d’administration facture des frais à une personne au nom du syndicat (par exemple les frais de production d’une attestation ou d’un état des charges), il inscrit le nom de cette personne, le nom de l’intermédiaire par qui elle la reçoit (« a/s de », par exemple son courtier ou son notaire), son adresse postale, son adresse courriel lorsqu’elle est fournie, la partie privative concernée à titre de simple référence, le détail et le montant de la facture, ses dates et, une fois payée, la date et le mode du paiement. Cette personne peut être un copropriétaire ou une personne qui n’utilise pas le Service. Lorsque le conseil envoie la facture par courriel, la personne reçoit un lien vers le document, valide 30 jours ; chaque consultation de ce lien est consignée avec sa date et son heure, le réseau d’origine (adresse IP tronquée, qui ne permet ni d’identifier ni de localiser une personne) et le type de navigateur. La facture n’est jamais portée au compte de la partie privative.
• Demande et transmission d’une attestation du syndicat : lorsqu’une attestation est demandée en vue de la vente d’une partie privative (art. 1068.1 du Code civil du Québec), le conseil conserve le nom de la personne qui la demande, le fait qu’elle agit ou non comme mandataire du vendeur, son rôle lorsqu’elle est mandataire (courtier, notaire ou autre), le nom du mandataire, le motif de la demande et l’adresse courriel choisie pour recevoir l’attestation signée. L’attestation peut notamment contenir les renseignements financiers et administratifs que la loi exige au sujet de la partie privative et du syndicat. Elle est remise aux copropriétaires actuels dans le Service et, lorsque cette adresse courriel est inscrite, à la personne demanderesse ou mandataire par un lien valide 30 jours, sans attendre le paiement de frais. Chaque consultation de ce lien est consignée avec sa date et son heure, le réseau d’origine tronqué et le type de navigateur. Si le règlement de l’immeuble permet des frais, la facture adressée au vendeur, « a/s de » son mandataire, peut accompagner l’attestation par un second lien ; elle n’est jamais portée au compte de la partie privative.
• Dossier de vente d’une partie privative : lorsqu’une vente est annoncée, ou dès qu’une attestation ou un état des charges est demandé pour une partie privative, le conseil d’administration tient un dossier qui suit la vente jusqu’à l’arrivée de l’acheteur. Il y inscrit, lorsqu’il les connaît, le nom et l’adresse courriel du promettant acheteur, du courtier immobilier et du notaire, la date de la promesse d’achat et la date de signature prévue ; ces champs sont d’abord repris de la demande d’attestation ou d’état des charges. Le dossier consigne aussi la demande de documents faite par le promettant acheteur (art. 1068.2 du Code civil du Québec) : sa date, la date de leur transmission, la date de la copie remise au propriétaire et une note, ainsi que le motif d’un dossier abandonné. Il nomme le ou les vendeurs à partir du registre des copropriétaires, même après leur départ du syndicat. Seuls les membres du conseil, ou le gestionnaire, autorisés à gérer les attestations voient ce dossier.
• Demande d’autorisation de travaux dans une partie privative : lorsqu’un copropriétaire demande au conseil d’administration l’autorisation de faire des travaux dans sa partie privative, ou que le conseil enregistre cette demande en son nom, nous recueillons la description des travaux prévus, leur emplacement dans la partie privative et les dates de début et de fin prévues, avec le statut de la demande (soumise ou retirée), la date d’un retrait et la personne qui l’a fait. Ces renseignements sont lus par le conseil et par la personne qui a déposé la demande, et servent à l’examen de celle-ci. Lorsque les travaux seront faits par un entrepreneur, nous recueillons aussi le nom de l’entreprise, son numéro de licence de la Régie du bâtiment du Québec et, si la personne les indique, le nom et l’adresse courriel d’une personne-ressource. Pour que le conseil sache si la licence est en vigueur, nous vérifions ce numéro auprès de VériBât, qui consulte le registre public de la Régie : seul le numéro de licence lui est transmis, et nous conservons sa réponse (le nom du titulaire inscrit au registre, la présence de la licence au registre, l’existence d’une restriction et la date de la vérification). Ces renseignements sont lus par les mêmes personnes que la demande. Une fois les travaux autorisés, le copropriétaire, ou le conseil en son nom, peut transmettre à l’entrepreneur les consignes pour les travaux que le conseil a rédigées, par un lien personnel envoyé à l’adresse courriel qu’il indique ; rien n’est envoyé à l’entrepreneur sans ce geste. Le courriel nomme le copropriétaire et l’immeuble, et les réponses de l’entrepreneur sont adressées au copropriétaire. Lorsque l’entrepreneur ouvre le lien, nous conservons la date, le réseau d’origine tronqué (IPv4 /24, IPv6 /48) et la famille de navigateur. S’il signe son engagement à respecter le règlement, nous conservons le nom qu’il saisit, l’adresse à laquelle le lien a été envoyé, le numéro de licence, la version signée et son empreinte, la date et l’heure, l’adresse IP et le navigateur utilisés, comme le prévoit l’article 39 de la Loi concernant le cadre juridique des technologies de l’information. Ces renseignements sont lus par le conseil et par la personne qui a déposé la demande ; l’adresse IP et le navigateur de la signature ne sont pas affichés. Lorsque le conseil autorise les travaux, nous ouvrons l’entrée de votre partie privative au registre des améliorations du syndicat (art. 1070 du Code civil du Québec) et y recopions la description et l’emplacement des travaux, la date de début prévue, la référence de la décision et ses conditions, ainsi que le nom de l’entreprise et son numéro de licence ; le nom et l’adresse courriel de la personne-ressource ne sont jamais recopiés. Tant que les travaux sont prévus, cette entrée n’est lue que par les copropriétaires de la partie privative et par le conseil ; une fois les travaux déclarés terminés, elle est lue par les copropriétaires du syndicat, comme le reste du registre. Vous pouvez y ajouter vous-même des photos prises avant et après les travaux, la facture et une valeur approximative, puis indiquer que les travaux sont terminés ; le conseil confirme cette fin de travaux et retient la catégorie de l’amélioration. Aucune de ces pièces n’est exigée. Les photos, la facture et la valeur approximative ne sont lues que par les copropriétaires de votre partie privative, par le conseil d’administration et, le cas échéant, par le gestionnaire de la copropriété ; elles ne sont pas visibles des autres copropriétaires. Nous conservons aussi qui a indiqué la fin des travaux et quand, et qui l’a confirmée. Deux jours avant la date de début prévue, puis après la date de fin prévue, nous vous envoyons un rappel par courriel et une notification dans l’application ; le rappel nomme la demande et votre partie privative, et ne bloque rien.
• Clé d’appareil utilisée comme deuxième facteur (Touch ID, Face ID, clé de sécurité) : si vous ajoutez une clé d’appareil à votre compte pour confirmer votre identité, nous conservons l’identifiant de la clé, sa clé publique, son compteur de signatures, les moyens de connexion que déclare l’appareil, la date et la session de son ajout, le nom que vous lui donnez, le cas échéant, et la date de sa dernière utilisation. Lorsque vous vous en servez, nous consignons aussi, pour la seule session concernée, que la clé a été vérifiée et à quel moment. Aucune donnée biométrique ne nous est transmise : votre empreinte ou votre visage ne quitte jamais votre appareil, et nous ne recevons qu’une clé publique et une signature. Si vous n’avez encore aucun deuxième facteur, un code à usage unique vous est envoyé par courriel, par le service de courriel décrit à la section 3, avant l’ajout de votre première clé ; sinon, l’ajout exige une session déjà confirmée par votre deuxième facteur. Le même code par courriel est exigé avant l’ajout d’une première application d’authentification. Si vous ajoutez ensuite une application d’authentification, nous consignons son approbation au moyen de votre clé (moment et session). Si vous perdez votre appareil, notre équipe de soutien peut retirer une clé après vérification ; ce retrait est journalisé et vous en êtes avisé par courriel. Si votre clé est synchronisée par un gestionnaire de mots de passe que vous avez choisi (trousseau iCloud, Google, 1Password), ce fournisseur en conserve aussi une copie chiffrée pour la transmettre à vos appareils, possiblement hors du Québec ; CondoAide ne lui communique rien, ne choisit pas ce fournisseur et ne connaît jamais la clé privée.
• Codes de récupération du deuxième facteur : lorsque vous ajoutez votre premier deuxième facteur, et chaque fois que vous en demandez de nouveaux, nous créons dix codes à usage unique. Ils ne vous sont affichés qu’une fois ; nous n’en conservons qu’une empreinte irréversible par code, avec la date de leur création et, pour un code utilisé, le moment et la session où il a servi. Un code utilisé termine la seule connexion en cours. Nous comptons aussi les codes erronés : après cinq essais en une heure, les codes sont bloqués pendant une heure. Nous conservons la date de la dernière utilisation d’un code, qui sert à protéger les opérations financières de votre compte après une récupération. Chaque création de codes, chaque utilisation et chaque blocage vous est signalé par courriel, par le service de courriel décrit à la section 3 ; aucun code n’y figure.
• Accueil de la personne qui achète une partie privative : lorsque le conseil d’administration inscrit la vente d’une partie privative, il peut inscrire, pour chaque personne qui achète, son statut de résidence, son adresse postale lorsqu’elle ne réside pas dans la partie privative et, si elle n’a pas encore de compte CondoAide, un courriel de contact pour l’inviter à en créer un. L’invitation peut contenir le mot de bienvenue que le syndicat a rédigé, ou un texte écrit pour cet envoi seulement. Après la vente, la personne qui achète reçoit un avis des obligations à remplir pour sa partie privative, par exemple la preuve d’assurance. Les preuves que la personne qui quitte avait déposées sont remises à zéro : leurs anciennes valeurs sont inscrites au journal d’activité du syndicat, que seules les personnes autorisées à gérer les preuves peuvent lire, et la personne qui arrive ne voit ni ces preuves ni les documents qui les accompagnent. Les procurations de la personne qui quitte sont révoquées et les membres de son ménage qui lui sont rattachés sont désactivés.
• Choix d’inscrire votre courriel et votre numéro de téléphone au registre de la copropriété : le registre que le syndicat tient à la disposition des copropriétaires contient le nom et l’adresse postale de chaque copropriétaire ; il ne peut contenir d’autres renseignements personnels sur un copropriétaire ou un autre occupant que si celui-ci y consent expressément (art. 1070 du Code civil du Québec). Si vous avez un compte, vous décidez, pour chaque syndicat dont vous êtes membre et séparément pour votre courriel et pour votre numéro de téléphone, de les y inscrire ou non. Ce choix est facultatif et rien n’est coché par défaut. Nous conservons chacune de vos décisions (consentement, refus ou retrait), sa date et la version du texte qui vous a été présenté, sans recopier votre courriel ni votre numéro ; un retrait s’ajoute à l’historique sans effacer les décisions précédentes et vaut pour l’avenir. Sans votre consentement, votre courriel et votre numéro de téléphone demeurent lus par le conseil d’administration et, le cas échéant, par le gestionnaire du syndicat, pour l’administrer ; ils voient aussi la date de votre consentement lorsque vous l’avez donné. Une autre personne copropriétaire de la partie privative que vous occupez ou détenez ne voit votre courriel ou votre numéro que si vous avez consenti à l’inscrire au registre de ce syndicat. Vos décisions sont lues par vous et par les personnes autorisées à gérer les membres du syndicat, et chaque changement est inscrit au journal d’activité du syndicat sans votre courriel ni votre numéro.
• Réunion tenue dans CondoAide : une personne qui entre dans une réunion par le lien d’invitation (/reunion) donne le nom affiché aux autres participants ; nous conservons ce nom, la décision de l’admettre ou non et la personne qui l’a prise. Lorsque cette personne est connectée à CondoAide et membre du syndicat (copropriétaire, locataire, administrateur ou gestionnaire), nous associons son compte à sa participation. L’image et la voix des participants sont relayées en temps réel par notre serveur de visioconférence (section 3).

2. Utilisation des renseignements

Nous utilisons vos renseignements pour :

• Fournir et améliorer nos services de gestion de copropriété
• Prévisualiser les imports de certificats d’assurance, vérifier leur intégrité et produire les preuves minimisées par unité
• Lire, à la demande d’une personne autorisée, une facture jointe à un dossier de travaux afin de lui proposer les données à inscrire, et en verser une copie au registre du syndicat sous la catégorie « Factures », accessible au seul conseil d’administration
• Traiter vos paiements et gérer votre abonnement
• Vous envoyer des communications importantes concernant votre compte
• Établir, à la demande du syndicat ou d’un copropriétaire, qu’un avis ou une convocation a bien été transmis, et à quelle adresse
• Vous informer des mises à jour et nouvelles fonctionnalités, et vous envoyer l’infolettre de CondoAide seulement si vous l’avez demandée : la case du formulaire d’inscription n’est jamais cochée d’avance, et l’abonnement ne commence qu’une fois votre adresse confirmée. Vous pouvez vous désabonner en tout temps dans votre profil ou par le lien inclus dans chaque infolettre
• Vous aviser lorsqu’une personne autorisée vous nomme dans le fil d’une demande de service ou d’un travaux : l’avis est transmis dans la plateforme et par courriel, et le courriel reprend un extrait d’au plus 500 caractères du message afin que vous sachiez de quoi il s’agit sans avoir à ouvrir la plateforme. L’extrait n’est envoyé qu’aux personnes qui peuvent déjà lire ce message.
• Aviser le copropriétaire qui reçoit les avis d’une partie privative lorsque la personne locataire de cette partie dépose une demande de service, et aviser la personne locataire et ce copropriétaire lorsque le conseil d’administration redirige la demande vers le copropriétaire : l’avis est transmis dans la plateforme et par courriel.
• Publier, pour le compte d’un syndicat et auprès des membres qu’il vise, la désignation de sa propre personne responsable de la protection des renseignements personnels, les documents que son conseil leur adresse et les renseignements pratiques qu’il y ajoute
• Permettre à un syndicat de recevoir et de suivre les demandes d’accès et de rectification que lui adressent les personnes concernées, et d’y répondre par écrit (art. 27 à 35 de la Loi sur la protection des renseignements personnels dans le secteur privé), puis transmettre la réponse par courriel à la personne qui a fait la demande lorsqu’elle a donné une adresse courriel
• Permettre à un syndicat de tenir son registre des incidents de confidentialité, de le mettre à jour et d’en produire une copie à la demande de la Commission d’accès à l’information (art. 3.8 de la Loi sur la protection des renseignements personnels dans le secteur privé)
• Assurer la conformité à la Loi visant principalement l’encadrement des inspections en bâtiment et de la copropriété divise (L.Q. 2019, chapitre 28, communément appelée « Loi 16 »), au règlement adopté par le décret 991-2025, et aux autres réglementations applicables
• Répondre à vos demandes de support et, à partir de l’avis facultatif donné sur un signalement résolu, améliorer notre soutien
• Détecter et prévenir la fraude, les abus, et les violations de nos Conditions d’utilisation
• Produire, à la demande d’une personne qui se propose d’acquérir une partie privative, l’état des charges communes dues que le syndicat est autorisé à lui fournir après en avoir avisé le propriétaire (art. 1069 du Code civil du Québec), aviser ce propriétaire par courriel ou consigner l’avis donné autrement, transmettre l’état à la personne qui l’a demandé par un lien envoyé par courriel et consigner ses consultations pour établir qu’il a été fourni, et verser l’état au registre du syndicat, accessible au conseil d’administration et, pour sa partie privative, au propriétaire avisé
• Facturer des frais à une personne au nom du syndicat, lui transmettre la facture par un lien envoyé par courriel, consigner ses consultations pour établir qu’elle a été transmise, et inscrire son paiement aux revenus du syndicat
• Produire l’attestation du syndicat demandée en vue de la vente d’une partie privative (art. 1068.1 du Code civil du Québec), la faire signer électroniquement, la remettre aux copropriétaires actuels et à la personne demanderesse ou au mandataire désigné par un lien envoyé par courriel, consigner les consultations de ce lien pour établir sa transmission et, lorsque le règlement de l’immeuble le permet, joindre la facture des frais sans retarder l’attestation
• Suivre la vente d’une partie privative dans un seul dossier : ordonner les étapes que la loi prévoit (attestation, état des charges communes dues, documents demandés par le promettant acheteur, changement de propriétaire, mandat de prélèvement et arrivée de l’acheteur), montrer les échéances de 15 jours calculées à partir des dates inscrites, et consigner la transmission des documents demandés par le promettant acheteur ainsi que la copie remise au propriétaire (art. 1068.2 du Code civil du Québec).
• Tenir le registre des copropriétaires lors d’un changement de propriétaire (art. 1065 et 1070 du Code civil du Québec) : consigner le transfert et l’avis reçu de l’acquéreur, aviser le nouveau copropriétaire, révoquer au besoin le mandat de prélèvement du copropriétaire qui quitte en avisant le payeur et en demandant l’annulation des prélèvements postérieurs à la clôture, et inviter le nouveau copropriétaire à autoriser le prélèvement des charges
• Recevoir et traiter les signalements d’usage abusif et les avis de non-remise adressés à postmaster@ et à abuse@ d’une adresse de syndicat, afin de préserver la capacité de ces adresses à envoyer et à recevoir du courrier
• Offrir à une personne connectée une copropriété de démonstration, remplie de données fictives, pour essayer le Service avant d’y inscrire son syndicat : les courriels qu’elle produit n’en partent pas (ils sont conservés comme « simulés » et affichés dans la démonstration), aucun paiement n’y est prélevé et rien n’en est copié vers un syndicat réel. Les fonctions d’intelligence artificielle offertes dans la démonstration transmettent du contenu à Anthropic comme le décrivent les sections 3 et 9. Nous vous invitons à y utiliser les données fictives fournies ; tout renseignement que vous y inscrivez, y compris sur d’autres personnes, est détruit avec la démonstration
• Accueillir la personne qui achète une partie privative : l’inscrire au registre des copropriétaires du syndicat (art. 1070 du Code civil du Québec), l’inviter à créer son compte, lui transmettre le mot de bienvenue du syndicat et l’aviser des obligations à remplir pour sa partie privative, sans lui laisser voir les preuves de la personne qui quitte
• Tenir le registre de la copropriété (art. 1070 du Code civil du Québec) : n’y inscrire votre courriel ou votre numéro de téléphone qu’avec votre consentement exprès, donné séparément pour chacun et pour chaque syndicat, ne les montrer à une autre personne copropriétaire de votre partie privative qu’avec ce consentement, et conserver la preuve de votre décision et de son retrait
• Permettre au conseil de répartir le coût d’un sinistre entre le syndicat, son assureur et un copropriétaire, de consigner la réclamation que le syndicat adresse à un copropriétaire responsable du préjudice (art. 1074.2 du Code civil du Québec), avec sa base, les faits et son état, et d’en facturer le montant accepté au compte de sa partie privative

3. Partage des renseignements

Nous ne vendons pas vos renseignements personnels. Nous partageons certains renseignements avec les sous-traitants suivants, qui agissent en notre nom et sont liés par un contrat de traitement de données :

• Supabase — Hébergement de la base de données et stockage de fichiers. Catégories : toutes les données de l’application. Localisation : Canada (région ca-central-1, Montréal).
• Vercel — Hébergement de l’application web. Catégories : trafic de l’application, pas de stockage permanent. Localisation : Canada (région Montréal / yul1) — l’exécution de l’application et ses journaux demeurent au Québec. Vercel Inc. est une société américaine ; le traitement est encadré par son entente de traitement des données (DPA).
• Stripe — Traitement des paiements de l’abonnement (cartes de crédit + prélèvements bancaires PAD/ACSS Debit du syndicat à CondoAide) et de la collecte automatique des charges par prélèvement bancaire (PAD/ACSS) des copropriétaires vers le compte du syndicat. Catégories : nom du payeur, courriel, adresse de facturation, mode de paiement, renseignements bancaires des copropriétaires ayant activé le prélèvement, identifiant technique du compte qui autorise un mandat de partie privative, identifiant de cette partie privative, historique des transactions d’abonnement et de charges. Localisation : Canada et États-Unis.
• Amazon Web Services (Amazon SES) — Envoi des courriels transactionnels du Service (confirmations, avis, rappels) et des courriels d’authentification (confirmation de compte, lien de connexion, réinitialisation de mot de passe). Catégories : adresse courriel et nom du destinataire, objet et contenu du courriel, journaux de livraison (remises, rebonds, plaintes). Localisation : Canada (région ca-central-1, Montréal). Les courriels et leurs journaux de livraison sont traités au Québec. Amazon Web Services, Inc. est une société américaine ; le traitement demeure au Canada et est encadré par l’entente de traitement des données (DPA) d’AWS. Il s’agit du même lien que celui qui existe déjà indirectement, puisque l’infrastructure de Supabase repose elle aussi sur AWS au Canada. Amazon assure aussi la réception des courriels adressés aux boîtes de syndicat, lorsque cette option est active : il reçoit le message, l’analyse à la recherche de pourriel et de maliciel, et le dépose temporairement, au plus 30 jours, dans un espace de stockage chiffré de la même région, avant que nous le versions dans notre propre base au Québec. Amazon transmet aussi à la boîte d’exploitation de CondoAide, dans la même région, les courriels adressés à postmaster@ et à abuse@ d’une adresse de syndicat.
• Brevo — Courriels marketing et gestion de nos listes de contacts (infolettre, communications non essentielles). Sert aussi de relais de secours pour les courriels transactionnels lorsque l’envoi principal échoue. Catégories : adresses courriel, nom, préférences de communication, contenu des courriels. Localisation : Union européenne.
• Cloudflare (vérification antirobot Turnstile) — Vérification antirobot des formulaires publics : la connexion, l’inscription, la réinitialisation du mot de passe, le formulaire de contact, la demande à un professionnel, les témoignages, l’inscription à l’infolettre, le rapport du calculateur du fonds de prévoyance et le lecteur gratuit de la déclaration de copropriété. Le navigateur transmet à Cloudflare des données techniques (adresse IP, caractéristiques du navigateur et de l’appareil, signaux d’interaction) pour distinguer une personne d’un robot ; Cloudflare nous renvoie seulement un jeton de validation. Aucun contenu de formulaire ni aucun document ne lui est transmis. Catégories : adresse IP et données techniques du navigateur. Localisation : réseau mondial de Cloudflare, hors du Québec ; conditions à la section 9.
• Anthropic (assistant IA) — Modèle d’intelligence artificielle qui rédige les réponses de l’assistant IA. Chaque question est envoyée avec les derniers échanges de la conversation, le nom du syndicat, le rôle de la personne dans le syndicat (par exemple « Copropriétaire »), afin qu’il ne lui indique que les écrans auxquels elle a accès, et des extraits des documents du registre du syndicat que la personne peut lire, retrouvés pour la question ; ces extraits ne sont pas caviardés et peuvent nommer des personnes. Catégories : question, conversation, rôle, extraits de documents. Localisation : États-Unis ; conditions à la section 9.
• Anthropic (polices d’assurance du syndicat) — Lecture d’une police d’assurance du syndicat, à la demande. Lorsqu’une personne choisit « Analyser un PDF avec l’IA » pour une police d’assurance du syndicat, les 10 premières pages du fichier et son nom sont envoyés afin d’en extraire les champs du formulaire, que la personne vérifie avant d’enregistrer. Les preuves d’assurance des copropriétaires ne lui sont pas envoyées pour être lues : elles sont lues au Québec par notre service d’analyse de documents auto-hébergé (ci-dessous). Catégories : police d’assurance du syndicat, qui peut nommer un administrateur ou un signataire. Localisation : États-Unis ; conditions à la section 9.
• Anthropic (analyse, rédaction et traduction) — Fonctionnalités qu’une personne déclenche elle-même. « Analyser avec l’IA » envoie jusqu’à 8 000 caractères du texte d’un document du registre, ou les données d’un document produit dans l’application, sans caviardage ; « Générer avec l’IA » et « Améliorer avec l’IA » envoient le nom du syndicat, la consigne choisie et le texte déjà saisi ; les boutons de traduction envoient le texte à traduire (annonce, message, question de sondage et ses choix, obligation, entente d’accès, document du syndicat ou carte du tableau de bord). Pour une communication envoyée avec « Notifier et suivre la lecture », dont le contenu reste dans CondoAide, seules les questions de sondage et leurs choix peuvent être traduits par IA, et l’écran de rédaction l’indique à côté du bouton ; la traduction du message et la rédaction par IA n’y sont pas offertes. Elles le sont lorsque le contenu complet est envoyé par courriel. Ces textes peuvent nommer des personnes. Catégories : textes et documents du registre, qui peuvent nommer des personnes. Localisation : États-Unis ; conditions à la section 9.
• Anthropic (lecture de la déclaration de copropriété) — Lecture de secours de la déclaration de copropriété (section 1), lorsque ses règles ne suffisent pas à lire un élément : le texte de pages ciblées (au plus 8 par envoi, 12 pour le tableau des fractions), dont l’application retire les noms de personnes qu’elle détecte avant l’envoi ; les pages qu’elle reconnaît comme le préambule, la comparution devant le notaire, les signatures, les interventions ou un acte modificatif ne sont pas envoyées, et un envoi où il reste un nom apparent est annulé. L’envoi n’exige aucun geste de l’utilisateur : il a lieu pendant la lecture que le conseil d’administration ou notre équipe de soutien a demandée. Le journal de chaque envoi ne contient que le modèle utilisé, les éléments demandés, les pages envoyées et le nombre de noms retirés, jamais le texte ; seuls les passages caviardés qui appuient une valeur proposée sont conservés avec la proposition. Catégories : texte de pages de la déclaration, noms de personnes retirés. Localisation : États-Unis ; conditions à la section 9.
• OVHcloud (vectorisation de documents auto-hébergée) — Hébergement de notre modèle de vectorisation (bge-m3) auto-hébergé : le texte des documents du registre, à tous les niveaux d’accès, est converti en vecteurs numériques pour permettre la recherche autorisée. L’accès demeure régi par le niveau du document source; l’assistant IA recherche uniquement les documents en accès « tous les copropriétaires ». Catégories : texte extrait des documents du registre. Localisation : Canada (Beauharnois, Québec). Logiciel auto-hébergé; aucune donnée ne quitte le Québec et le sous-traitant opérationnel est OVHcloud.
• OVHcloud (analyse de documents auto-hébergée) — Hébergement de notre service d’analyse de documents auto-hébergé : il lit les fichiers PDF qu’une personne autorisée importe, et les images numérisées d’une facture par reconnaissance optique de caractères (carnet d’entretien, étude du fonds de prévoyance, relevé de compte bancaire du syndicat, facture d’un fournisseur jointe à un dossier de travaux et déclaration de copropriété du syndicat) pour en extraire les tâches, les données de l’étude, les transactions ou les données de la facture que la personne vérifie avant de les retenir. Le fichier est lu pendant l’analyse puis écarté par ce service; seules les données que la personne retient sont enregistrées dans l’application. Il lit aussi chaque preuve d’assurance déposée pour une unité, par le copropriétaire ou par le conseil, ou importée en lot, y compris une photo, afin d’en extraire l’assureur, le numéro de police, les dates de couverture et les montants de garantie, que le conseil vérifie ; le fichier lui est transmis sans son nom, et le texte lu n’est pas conservé. Pour la déclaration de copropriété, lue à la demande du conseil d’administration, le texte des pages est conservé dans l’application le temps de la lecture, puis détruit ; seule la proposition qui en résulte, dont les noms de personnes sont retirés, demeure tant que le document est au registre (section 5). Catégories : contenu des documents importés, dont, pour un relevé bancaire, les dates, montants et libellés des transactions, qui peuvent nommer un copropriétaire, un fournisseur ou un autre bénéficiaire, et, pour une facture, sa date, son numéro, le nom et les coordonnées du fournisseur, ses numéros d’inscription à la TPS et à la TVQ et les montants facturés, et, pour une preuve d’assurance, le nom et l’adresse de l’assuré, l’assureur, le numéro de police, les dates et les garanties. Localisation : Canada (Beauharnois, Québec). Logiciel auto-hébergé; le sous-traitant opérationnel est OVHcloud.
• OVHcloud (OpenReplay auto-hébergé) — Hébergement de notre installation OpenReplay : télémétrie produit + enregistrement de session pour le soutien technique. Catégories : identifiant utilisateur pseudonymisé, événements d’interaction (pages consultées, fonctionnalités utilisées), métadonnées techniques (navigateur, OS), reconstitution visuelle de la navigation avec masquage automatique des champs et des écrans sensibles. Localisation : Canada (Montréal, Québec). Logiciel auto-hébergé — OpenReplay Inc. n’est pas sous-traitant ; le sous-traitant opérationnel est OVHcloud (hébergement et stockage).
• OVHcloud (GlitchTip auto-hébergé) — Hébergement de notre installation GlitchTip : suivi des erreurs et exceptions applicatives et journalisation. Catégories : trace d’exception, messages de journal applicatif, identifiant utilisateur pseudonymisé, URL de la page où l’erreur s’est produite, métadonnées techniques. Le contenu des requêtes (corps de formulaire, en-têtes d’authentification, témoins) est automatiquement supprimé avant l’enregistrement. Localisation : Canada (Montréal, Québec). Logiciel auto-hébergé — l’équipe GlitchTip n’est pas sous-traitante ; le sous-traitant opérationnel est OVHcloud.
• OVHcloud (Plausible auto-hébergé) — Hébergement de notre installation Plausible : analytique web agrégée sans témoins (nombre de visiteurs, pages consultées, sources de trafic, ville et pays) sur les pages publiques du site. Aucun renseignement personnel direct n’est capté : pas de témoins, pas d’identifiant persistant de visiteur, pas d’empreinte d’appareil. L’adresse IP est utilisée momentanément pour déterminer la ville puis immédiatement supprimée ; elle n’est jamais conservée. Les statistiques sont agrégées. Localisation : Canada (Montréal, Québec). Logiciel auto-hébergé — le sous-traitant opérationnel est OVHcloud.
• OVHcloud (serveur de visioconférence auto-hébergé) — Hébergement de notre serveur de visioconférence (LiveKit), qui relaie l’audio et la vidéo des séances d’assemblée tenues en ligne. Le flux transite en temps réel et n’est pas enregistré : aucune séance n’est conservée, ni par nous ni par l’hébergeur. Catégories : image et voix des participants pendant la séance, nom affiché, horodatage des connexions. Localisation : Canada (Beauharnois, Québec). Logiciel auto-hébergé — LiveKit Inc. n’est pas sous-traitante ; le sous-traitant opérationnel est OVHcloud.
• iDrive e2 (sauvegardes hors site) — Conservation de nos sauvegardes : copie de la base de données toutes les quatre heures et copie quotidienne des fichiers téléversés (documents du registre, pièces jointes). Les sauvegardes conservent les renseignements confiés au Service. Les index de recherche vectorielle et leur file de traitement ne sont pas copiés, puisqu’ils sont recréés à partir des fichiers source après une restauration. Catégories : toutes les catégories décrites ci-dessus. Rétention : 30 jours. Localisation : Canada (Montréal, Québec).
• OVHcloud (copie secondaire des sauvegardes) — Deuxième copie des mêmes sauvegardes, synchronisée une fois par jour depuis iDrive e2, afin que la défaillance d’un seul fournisseur ne fasse pas disparaître les sauvegardes. Catégories et rétention identiques à celles d’iDrive e2. Localisation : Canada (Beauharnois, Québec).
• OVHcloud (production des sauvegardes) — Hébergement de la tâche qui produit nos sauvegardes : toutes les quatre heures, elle lit la base de données et en chiffre la copie sur ce serveur avant de la transmettre à iDrive e2; une fois par jour, elle copie les fichiers téléversés vers iDrive e2, puis synchronise la copie secondaire. Les données ne font que transiter par ce serveur pendant chaque copie; aucune sauvegarde n’y est conservée. Catégories : toutes les catégories décrites ci-dessus. Localisation : Canada (Beauharnois, Québec). Logiciel auto-hébergé; le sous-traitant opérationnel est OVHcloud.
• VériBât, un autre service de Solutions Nicvi inc. VériBât est exploité par la même entreprise que CondoAide : ce n’est pas un sous-traitant, et les renseignements qui lui sont transmis ne quittent pas l’entreprise. Il ne s’en sert que pour répondre à la vérification demandée par CondoAide, jamais pour ses autres activités. Vérification du numéro de licence de la Régie du bâtiment du Québec d’un entrepreneur auprès du registre public de la Régie, lorsqu’un copropriétaire le désigne dans une demande d’autorisation de travaux ou que le conseil d’administration l’inscrit parmi ses prestataires, puis tous les deux jours environ pour les prestataires du syndicat. Catégories : le numéro de licence, ou le texte tapé pour le trouver (un début de numéro ou le nom d’une entreprise, qui peut être celui d’une personne en affaires) ; aucun autre renseignement n’est transmis. VériBât renvoie au plus dix inscriptions du registre public (numéro, nom du titulaire et autres noms, municipalité, état de la licence), jamais de coordonnées. VériBât ne conserve pas ce texte ; il ne conserve le numéro que dans le journal d’une vérification qui a échoué. Localisation : Canada (région Montréal / yul1).
• Analytique web agrégée — sans témoins. Pour mesurer le trafic global sur nos pages publiques (nombre de visiteurs, pages les plus consultées, sources de trafic, répartition par ville et par pays), nous utilisons une installation Plausible auto-hébergée sur la même infrastructure OVHcloud à Montréal. Plausible ne dépose aucun témoin sur votre appareil, ne stocke aucun identifiant persistant, et ne capte aucun renseignement personnel direct. L’adresse IP est utilisée momentanément pour déterminer la ville puis immédiatement supprimée ; elle n’est jamais conservée. Les statistiques sont agrégées et ne sont pas liées à un visiteur identifiable. Cette mesure agrégée fonctionne pour tous les visiteurs (acceptation ou refus de la bannière de témoins sans effet), car aucun renseignement personnel n’est en jeu. Rétention : 24 mois.
• Cette liste est mise à jour lorsque nous ajoutons ou retirons un sous-traitant. Les changements importants seront communiqués via cette politique et par courriel.
• Membres de votre syndicat et gestionnaire mandaté : selon les permissions configurées dans votre compte, certains renseignements peuvent être visibles à d’autres membres de votre syndicat (par exemple, votre nom et votre statut de paiement peuvent être visibles aux administrateurs et au trésorier). Lorsque votre syndicat confie sa gestion à une entreprise de gestion et l’ajoute à son compte comme gestionnaire, cette personne a accès, pour l’exécution de son mandat, aux renseignements financiers du syndicat : budgets, écritures comptables, cotisations, renseignements de paiement des copropriétaires (mandats de prélèvement, historique des paiements, arrérages) et coordonnées de paiement des fournisseurs. Le gestionnaire ne peut pas adopter un budget, décider d’une cotisation spéciale ni approuver seul un paiement au-dessus du seuil fixé par le conseil d’administration.
• Autorités légales : nous pouvons divulguer vos renseignements personnels si requis par la loi, par une ordonnance d’un tribunal, ou pour protéger nos droits, votre sécurité, ou celle d’autrui.
• Assureur et intervenants en cas d’incident : nous détenons une assurance de responsabilité civile professionnelle et cyber auprès de CFC Underwriting Limited, pour le compte de souscripteurs du Lloyd’s. En cas d’incident de confidentialité seulement, des renseignements vous concernant peuvent être communiqués à l’assureur et aux fournisseurs de son groupe agréé d’intervention (CFC Response), aux fins de l’enquête technique, de la défense juridique, des communications de crise et de la préparation des avis exigés par la loi. Ces intervenants agissent sur mandat et sont tenus à la confidentialité. Ils opèrent depuis les États-Unis et le Royaume-Uni ; voir la section 9. Aucun renseignement ne leur est communiqué en dehors d’un incident.
• Transaction commerciale : si une autre entreprise acquiert ou envisage d’acquérir nos activités ou nos actifs, ou si nous faisons l’objet d’une réorganisation ou d’un financement, il se pourrait que nous devions partager vos renseignements avec les autres parties concernées. Bien que peu probable, nous devons vous le mentionner.

4. Sécurité des données

Nous prenons la sécurité de vos données au sérieux :

• Chiffrement en transit : TLS 1.3 entre votre navigateur et nos serveurs
• Chiffrement au repos : AES-256 sur la base de données, les sauvegardes et les fichiers stockés
• Mots de passe : hachés avec bcrypt (jamais stockés en clair, jamais réversibles)
• Jetons d’authentification : signés cryptographiquement avec ECDSA sur courbe P-256 (ES256) ; la clé de signature n’est jamais partagée avec les services qui vérifient les jetons
• Authentification : authentification sécurisée, avec un deuxième facteur au choix : une application d’authentification ou une clé d’appareil (Touch ID, Face ID, clé de sécurité), et des codes de récupération à usage unique si vous perdez votre appareil
• Hébergement au Québec : application servie par Vercel (région Montréal / yul1) ; base de données et fichiers stockés par Supabase (région ca-central-1 / Montréal). Vos données de copropriété sont hébergées au Canada. Certaines sont transmises hors du Canada, notamment pour le paiement de l’abonnement et pour les fonctionnalités d’intelligence artificielle ; ces cas sont décrits à la section 9.
• Contrôles d’accès : permissions strictes basées sur les rôles, journalisation de toutes les actions sensibles
• Sauvegardes au Québec : sauvegardes Supabase avec récupération à un point dans le temps (7 jours) et instantanés quotidiens ; sauvegardes additionnelles conservées chez deux fournisseurs distincts au Québec (Montréal et Beauharnois), rétention de 30 jours
• Tokenisation : les renseignements bancaires et de carte de crédit ne sont jamais stockés en clair sur nos serveurs — ils sont tokenisés par Stripe (certifié PCI DSS niveau 1 pour les données de carte)
• Sous-traitants certifiés : Supabase, Vercel et Amazon Web Services sont certifiés SOC 2 Type 2 ; Stripe est certifié SOC 2 Type 2 et PCI DSS niveau 1
• Nous nous engageons à un test annuel d’intrusion (« pentest ») par un tiers indépendant.

5. Conservation des données

Nous conservons vos renseignements aussi longtemps que votre compte est actif ou selon les exigences légales. Délais de conservation spécifiques :

• Données générales du compte — 90 jours après la fermeture du compte, sauf obligation légale contraire.
• Copropriété de démonstration et tout ce que vous y inscrivez — Détruite, avec les renseignements et les fichiers que vous y avez inscrits ou téléversés, dès que vous la réinitialisez ou la supprimez, ou 30 jours après la dernière activité dans la démonstration, selon la première éventualité. Compte comme activité l’ouverture de son tableau de bord dans une nouvelle session de navigation, ou une action enregistrée dans la démonstration. La date prévue est affichée dans la bannière de la démonstration. Des copies résiduelles chiffrées peuvent persister dans les sauvegardes pendant une période additionnelle maximale de 30 jours avant leur rotation et leur destruction.
• Compteurs d’utilisation quotidienne d’une démonstration — Le nombre de requêtes d’intelligence artificielle et de créations de démonstration que vous faites chaque jour, conservé pour appliquer les plafonds quotidiens de la démonstration, est détruit 7 jours après le jour compté.
• Documents de copropriété (registres, carnet, attestations) — Selon les délais prescrits par la Loi visant principalement l’encadrement des inspections en bâtiment et de la copropriété divise (L.Q. 2019, chapitre 28, « Loi 16 ») et le Code civil du Québec.
• Lecture de la déclaration de copropriété (texte des pages, proposition, décisions du conseil) — Le texte des pages est détruit dès que la lecture se termine. La proposition qui en résulte (les valeurs lues, avec la page et le passage cités, dont les noms de personnes sont retirés) est conservée tant que la déclaration demeure au registre du syndicat ; elle est détruite lorsque le document est mis à la corbeille ou supprimé, et lorsqu’une nouvelle lecture du même document la remplace, sauf si une décision du conseil la cite. Les décisions du conseil (correction appliquée ou écartée, passage cité, personne qui a décidé) sont conservées aussi longtemps que le dossier du syndicat existe et détruites avec lui ; l’identifiant de la personne est retiré lorsque son compte est supprimé. Des copies résiduelles chiffrées peuvent persister dans les sauvegardes pendant une période additionnelle maximale de 30 jours avant leur rotation et leur destruction.
• Lecteur gratuit de la déclaration de copropriété (fichier déposé, texte des pages, résultat) — Le texte des pages est détruit dès que la lecture se termine. Le fichier déposé et le résultat sont supprimés 24 heures après le dépôt, ou dès que la personne choisit « Supprimer maintenant ». Un fichier refusé (trop volumineux, illisible, de plus de 100 pages) est supprimé aussitôt. Rien n’est indexé ni réutilisé. Lorsque la personne classe la lecture au registre d’un syndicat qu’elle crée, la copie de l’outil est supprimée au transfert ou, au plus tard, à l’expiration de la lecture ; le document classé suit ensuite les durées de conservation des documents du registre.
• PDF agrégé temporaire d’un import de preuves d’assurance — Jusqu’à la réussite ou à l’échec terminal de l’import, son annulation ou son remplacement, ou pendant trois heures au maximum, selon la première éventualité. Le fichier agrégé et son texte extrait sont alors supprimés des systèmes en production. Des copies résiduelles chiffrées peuvent persister dans les sauvegardes pendant une période additionnelle maximale de 30 jours avant leur rotation et leur destruction.
• Preuves d’assurance habitation des copropriétaires (certificat, assureur, numéro de police, dates et montants de couverture) — Trois ans après la fin de la couverture que la preuve atteste, soit le délai pendant lequel un recours lié à un sinistre survenu pendant cette couverture peut encore être exercé (art. 2925 C.c.Q.). Tant que la fin de la couverture n’a pas été confirmée par le conseil d’administration, le délai court à compter du dépôt de la preuve.
• Dossiers de sinistre (description, parties privatives touchées, suivi, liens vers les documents, travaux et transactions, réclamations adressées à un copropriétaire) — Cinq ans après la date du sinistre ou trois ans après sa résolution, selon la date la plus tardive ; lorsque le dossier a été modifié après sa résolution, les trois ans courent à compter de sa dernière modification. Le sinistre doit figurer pendant cinq ans à l’attestation du syndicat (Décret 991-2025, art. 10), et ce délai couvre la prescription de trois ans des recours qui peuvent en découler (arts. 2925 et 2926 C.c.Q.). Un dossier supprimé par le conseil est détruit 90 jours après sa suppression, quel que soit son état. Hors ce cas, un dossier encore ouvert, ou visé par une réclamation à un copropriétaire qui n’est pas réglée, n’est jamais détruit. Les documents liés suivent le délai de leur propre catégorie et les transactions de charges sont conservées 7 ans ; à la destruction du dossier, le titre du sinistre est retiré de la description des frais de réclamation facturés. Une tâche planifiée assure la destruction chaque nuit. Des copies résiduelles chiffrées peuvent persister dans les sauvegardes pendant une période additionnelle maximale de 30 jours avant leur rotation et leur destruction.
• Mandat PAD pour le paiement de l’abonnement (métadonnées chez nous ; document signé conservé par Stripe pour notre compte) — 7 ans après la résiliation du mandat, à des fins fiscales, comptables et de conformité légale.
• Données de transaction d’abonnement (paiements à CondoAide) — 7 ans à des fins fiscales, comptables et de conformité réglementaire.
• Mandat PAD de collecte des charges des copropriétaires (Service de paiement, métadonnées chez nous, document signé conservé par Stripe pour le compte du syndicat) — 7 ans après la résiliation du mandat, y compris l’identité de la personne qui l’a autorisé et le fait qu’elle était ou non copropriétaire à cette date, à des fins fiscales, comptables et de conformité légale.
• Tentatives d’autorisation d’un mandat PAD d’une partie privative (personne qui ouvre l’autorisation et sa qualité de copropriétaire) — 30 jours lorsque l’autorisation n’aboutit pas ; sept ans après son utilisation lorsqu’elle aboutit, soit le délai du mandat qu’elle a servi à établir. Une tâche planifiée en assure la destruction.
• Preuve de la révocation d’un mandat PAD d’une partie privative (révocation, avis au payeur et demandes d’annulation des prélèvements visés) — Sept ans après la révocation, soit le délai du mandat lui-même, à des fins fiscales, comptables et de conformité à la Règle H1 de Paiements Canada. L’identité de la personne du conseil qui a révoqué le mandat est conservée 12 mois.
• Invitations à autoriser le prélèvement des charges envoyées à un nouveau copropriétaire — 12 mois après l’envoi. La destruction est faite chaque nuit par une tâche planifiée.
• Dossier de transfert de propriété d’une partie privative (parties, parts, date de clôture, date de réception de l’avis de l’acquéreur) — Conservé avec le dossier du syndicat, dont il constitue le registre des copropriétaires au fil du temps (art. 1070 du Code civil du Québec), et détruit avec lui. La personne du conseil qui a inscrit le transfert est retirée du dossier si son compte est supprimé.
• Données de transaction de charges (prélèvements des copropriétaires via le Service de paiement) — 7 ans à des fins fiscales, comptables et de conformité réglementaire.
• Clavardage de séance d’assemblée (canal d’appoint pendant une séance virtuelle) — Conservés avec le dossier de l’assemblée, aussi longtemps que celui-ci existe — au minimum au-delà du délai de contestation de 90 jours de l’art. 1103 CCQ. Ces messages ne sont jamais reproduits au procès-verbal ni versés au registre du syndicat ; l’auteur d’un message peut en demander le retrait en tout temps.
• Journal de présence de séance d’assemblée (connexions et déconnexions des participants) — Conservé avec le dossier de l’assemblée, aussi longtemps que celui-ci existe — au minimum au-delà du délai de contestation de 90 jours de l’art. 1103 CCQ. Ce journal constitue une preuve corroborante de la présence réelle en séance ; il ne remplace pas la feuille de présence officielle du procès-verbal (art. 1102/1103 CCQ). Hébergé au Québec (Supabase, région canadienne).
• Identité de la personne ayant activé le prélèvement automatique des charges — Le champ inscrit à la fiche du syndicat demeure tant que le syndicat utilise le Service, y compris après la désactivation du prélèvement automatique — la désactivation ne rend pas faux le fait qu’elle a été activée. Il est remplacé dès qu’une autre personne le réactive. L’inscription correspondante au journal d’audit, et l’autorisation rattachée aux prélèvements déjà effectués, suivent le délai de 7 ans des journaux d’actions sensibles et des registres de paiement : c’est ce délai qui gouverne, car tant que ces registres sont conservés, l’identité de la personne qui a autorisé ces prélèvements l’est aussi.
• Identité de la personne ayant déclaré ce que prévoit la déclaration de copropriété sur les contributions versées avant l’adoption du budget — L’identifiant de la personne, la date et l’article cité inscrits à la fiche du syndicat demeurent tant que cette réponse reste en vigueur, et sont effacés dès qu’une autre réponse est enregistrée. La suppression du compte de connexion de la personne n’efface pas l’identifiant : il atteste qui a fait la déclaration au nom du syndicat, et il disparaît avec le dossier du syndicat. Les inscriptions correspondantes au journal d’audit, qui portent le nom et l’adresse courriel de la personne, suivent le délai de 7 ans des journaux d’actions sensibles.
• Procurations versées au registre du syndicat (mandat de représentation à une assemblée et, le cas échéant, consignes de vote qu’il contient) — Conservées en permanence au registre du syndicat, avec les procès-verbaux de l’assemblée dont elles établissent le quorum et le décompte des voix. La loi ne prescrit aucun délai pour ces documents ; nous suivons la pratique recommandée par le Regroupement des gestionnaires et copropriétaires du Québec (RGCQ), qui les conserve en permanence. Une procuration permanente peut aussi demeurer en vigueur pendant plusieurs années.
• Journal d’enregistrement d’une procuration (mandat de représentation à une assemblée) — Conservé aussi longtemps que le dossier du syndicat existe, et détruit avec lui. Ce journal consigne l’enregistrement électronique du mandat : le moment de la signature, l’adresse IP et le navigateur utilisés, comme le prévoit l’article 39 de la Loi concernant le cadre juridique des technologies de l’information pour une signature électronique. Il subsiste désormais à la suppression de la procuration elle-même, ce qui allonge sa conservation par rapport au comportement antérieur : auparavant, effacer un mandat effaçait du même coup la preuve qu’il avait existé, et c’est précisément au moment où une procuration disparaît que cette preuve compte. Le lien vers le mandat est alors rompu, mais la ligne demeure rattachée au syndicat concerné et lisible par son conseil.
• Accusés de lecture et ententes d’accès signés (documents du syndicat, ententes de rôle) — Conservés aussi longtemps que le dossier du syndicat existe, et détruits avec lui. Chaque ligne atteste qu’une personne a pris connaissance d’une version précise d’un document — politique de gouvernance, politique de confidentialité, règlement de l’immeuble, entente d’accès — et consigne le moment de la signature, l’adresse IP et le navigateur utilisés, comme le prévoit l’article 39 de la Loi concernant le cadre juridique des technologies de l’information. La ligne est en ajout seul : elle ne peut être ni modifiée ni supprimée isolément, sans quoi elle ne prouverait plus rien. Désactiver un document ne supprime pas les accusés déjà recueillis, puisque la lecture a bien eu lieu. Le conseil d’administration du syndicat peut consulter qui a signé quoi et quand ; un copropriétaire ne voit que les siens.
• Journaux d’audit (actions sensibles) — 7 ans à des fins de conformité.
• Communications de support — 3 ans après la dernière interaction. Un fichier joint à un message de support est supprimé trois ans après l’envoi du message ; un fichier téléversé pour un message qui n’est finalement pas envoyé est supprimé au plus tard quatre heures après son téléversement. L’avis donné sur un signalement résolu, et son commentaire, suivent la même conservation que le signalement et sont supprimés avec lui.
• File d’envoi des courriels (avis, convocations, rappels) — 90 jours après l’envoi. La file porte l’adresse du destinataire et les données qui servent à composer le message : nom d’appel, numéro de partie privative, éléments propres à l’avis. Le message rendu n’y est pas conservé. Ce délai en est un d’exploitation : il couvre le suivi de la livraison et le traitement des rebonds. Pour la plupart des avis, le relevé de l’envoi figure aussi au dossier auquel l’avis se rattache. Il en va autrement des convocations à une assemblée ou à une séance du conseil, de leurs mises à jour, des ajouts à l’ordre du jour et des rappels : pour ceux-là, la file est aujourd’hui le seul endroit où figure le détail des destinataires. Les lignes qui s’y rapportent sont conservées jusqu’à 90 jours après l’assemblée ou la séance visée, puis supprimées ; ce terme est celui dont dispose un copropriétaire pour demander l’annulation d’une décision de l’assemblée (art. 1103 CCQ). Une ligne dont l’envoi a définitivement échoué est supprimée 30 jours après ce dernier échec.
• Courriels reçus dans la boîte du syndicat (message, pièces jointes, adresse de l’expéditeur et autres destinataires nommés) — 36 mois à compter de la réception. Le texte du courriel recopié ailleurs dans le dossier du syndicat, notamment dans une demande de service, dans une réponse à un sondage ou dans une réponse à un message, est retiré au même moment, et la demande ou la réponse demeure en affichant une mention datée à la place du texte. Une copie d’un courriel envoyé par CondoAide pour le syndicat ou en son nom, revenue dans la boîte (par exemple par le transfert automatique d’une autre adresse du syndicat), n’est pas une correspondance reçue : elle est détruite à la tâche quotidienne de destruction qui suit sa réception. Un courriel classé à un dossier (bon de travail, contrat, litige) ou visé par une mesure de conservation juridique est conservé tant que ce classement ou cette mesure dure.
• Réponse ou nouveau courriel du conseil envoyé depuis la boîte du syndicat — 36 mois à compter de l’envoi, avec les mêmes exceptions que le courriel auquel elle répond. Un nouveau courriel du conseil est conservé tant qu’une réponse reçue dans la même conversation l’est. Le nom et l’adresse de ses destinataires, y compris en copie conforme invisible, sont conservés avec elle et détruits avec elle. Une mesure de conservation juridique visant une personne s’applique aussi aux courriels où elle figurait en copie.
• Journal des envois faits depuis l’adresse du syndicat (adresse d’envoi, adresse du destinataire, date et heure) — 7 ans à compter de l’envoi. Le journal ne contient pas le message lui-même ; il établit qu’un avis, une convocation ou une réponse est parti de l’adresse du syndicat, à qui et quand.
• Fichiers joints à un courriel du conseil envoyé depuis la boîte du syndicat (fichier, lien et journal des ouvertures) — Le fichier est conservé avec le courriel qu’il accompagne, soit 36 mois à compter de l’envoi avec les mêmes exceptions, et détruit avec lui. Le secret du lien n’est jamais conservé ; son condensé cryptographique, son échéance et son état de révocation sont conservés avec le fichier. Le lien cesse de fonctionner 30 jours après son envoi, ou plus tôt si le conseil le révoque. Le journal des ouvertures (date et heure seulement) est conservé avec le courriel et détruit avec lui.
• Courriels adressés à `postmaster@` ou à `abuse@` d’une adresse de syndicat (message, pièces jointes et adresse de l’expéditeur) — 36 mois à compter de la réception, dans la boîte d’exploitation de CondoAide. Ils ne sont jamais versés au dossier du syndicat concerné.
• Courriel mis en quarantaine (pourriel ou maliciel détecté) — 30 jours à compter de la réception.
• Copie brute du message chez le fournisseur de réception — 30 jours. Il s’agit d’un tampon de transport, non d’une archive.
• État de suppression d’une adresse courriel (rebond permanent ou plainte) — Conservé aussi longtemps que l’adresse demeure supprimée. Lorsqu’un courriel transactionnel rebondit de façon permanente ou qu’une plainte est reçue, l’adresse est inscrite à une liste de suppression afin que le Service cesse de lui écrire ; c’est la finalité même de l’inscription, et elle subsiste tant que l’adresse demeure injoignable. L’inscription est retirée lorsque l’adresse redevient joignable, après correction et vérification de la livraison, ou à la suite d’une demande d’effacement valide lorsqu’aucun autre motif n’en commande la conservation ; vous pouvez en demander le retrait en écrivant à privacy@condoaide.ca. La ligne contient l’adresse, le motif, le fournisseur, l’identifiant technique du message et les horodatages du premier et du plus récent événement ; aucun contenu de courriel n’y est conservé. Cette inscription porte sur la livraison et non sur le consentement : elle ne retire aucun consentement à l’infolettre et ne modifie pas les listes de mise en marché, qui demeurent régies séparément.
• Demande d’abonnement à l’infolettre non confirmée — Supprimée 30 jours après l’envoi du courriel de confirmation si personne n’a confirmé. Lorsqu’une adresse est inscrite à l’infolettre depuis notre site (ou depuis le calculateur, si la case prévue est cochée), nous conservons l’adresse, la langue, le formulaire d’origine et la date d’envoi du courriel de confirmation, sans tenir l’abonnement pour consenti. Le lien de confirmation expire après 7 jours, et une même adresse reçoit au plus trois courriels de confirmation. L’adresse n’est transmise à Brevo qu’une fois l’abonnement confirmé.
• Clé d’appareil utilisée comme deuxième facteur (identifiant et clé publique, compteur, moyens de connexion, date et session d’ajout, nom facultatif, dernière utilisation) — Jusqu’à son retrait, par vous depuis vos paramètres ou par notre équipe de soutien, ou jusqu’à la suppression de votre compte ; aucune durée fixe. La clé n’a d’utilité que tant que vous vous en servez pour vous authentifier. Une clé synchronisée par votre gestionnaire de mots de passe y demeure selon les règles de ce fournisseur, possiblement hors du Québec, jusqu’à ce que vous l’y supprimiez ; CondoAide ne lui communique rien.
• Preuve de la vérification d’une clé dans une session — Jusqu’à la fin de la session (déconnexion, révocation ou expiration) ou jusqu’au retrait de la clé, selon la première éventualité.
• Défi de vérification d’une clé en attente — Cinq minutes. Un défi répondu est détruit aussitôt, et les défis échus sont supprimés chaque heure.
• Approbation d’une application d’authentification au moyen d’une clé — Conservée aussi longtemps que l’application d’authentification approuvée ou votre compte, et détruite avec le premier des deux.
• Codes de récupération du deuxième facteur (empreinte de chaque code, date de création, moment et session d’utilisation) — Jusqu’à leur remplacement par de nouveaux codes, jusqu’au retrait de votre dernier deuxième facteur ou au retrait d’un facteur par notre équipe de soutien, ou jusqu’à la suppression de votre compte ; aucune durée fixe. La preuve qu’un code a servi dans une session disparaît avec cette session.
• Essais de codes de récupération (nombre d’essais erronés, fin du blocage, date de la dernière utilisation d’un code) — Le nombre d’essais est remis à zéro par le prochain code valide ou après une heure, et le blocage prend fin après une heure. La date de la dernière utilisation d’un code est conservée jusqu’à la suppression de votre compte.
• Compteurs anti-abus de l’inscription (empreinte irréversible de l’adresse IP et de l’adresse courriel d’un compte existant) — Lorsqu’une personne tente de créer un compte avec une adresse déjà associée à un compte, le titulaire de ce compte en est avisé par courriel, une fois par période de 24 heures au plus. Pour limiter les tentatives et cet avis, nous ne gardons ni l’adresse IP ni l’adresse courriel en clair, seulement une empreinte irréversible, calculée avec une clé du serveur : celle de l’adresse IP (pour une adresse IPv6, son préfixe /64) expire après 15 minutes, celle de l’adresse courriel après 24 heures.
• Statut de résidence, adresse postale et courriel de contact de la personne qui achète une partie privative — Le statut de résidence et l’adresse postale sont conservés avec l’inscription de la personne au registre des copropriétaires, tenu avec le dossier du syndicat. Le courriel de contact d’une personne sans compte est détruit dès qu’elle réclame son compte, ou avec son inscription si celle-ci est supprimée. L’inscription de la vente au journal d’activité du syndicat, que seules les personnes autorisées à gérer les membres peuvent lire, en garde une copie, qui suit le délai des journaux d’audit.
• Mot de bienvenue du syndicat — Conservé tant qu’il est en vigueur ; le remplacer ou le vider détruit l’ancien texte, et il est détruit avec le compte du syndicat. Un texte écrit pour une seule invitation n’est pas enregistré : il ne subsiste que dans le courriel envoyé, selon le délai de la file d’envoi des courriels.
• Anciennes valeurs d’une preuve remise à zéro lors d’une vente — Inscrites au journal d’activité du syndicat, puis détruites de la remise temporaire aussitôt après l’inscription de la vente, ou au plus tard dans les 25 heures ; au journal, elles suivent le délai des journaux d’audit. Une remise qui ne peut pas être inscrite au journal est reprise chaque jour, signalée à notre équipe, puis détruite au plus tard 31 jours après l’inscription de la vente sans avoir été inscrite ; une trace qui ne contient aucune de ces valeurs consigne alors sa perte.
• Décisions d’inscrire votre courriel et votre numéro de téléphone au registre de la copropriété — Conservées tant que vous êtes membre du syndicat visé, et détruites avec votre adhésion à ce syndicat, avec votre compte ou avec le compte du syndicat. L’inscription de chaque changement au journal d’activité du syndicat, qui ne contient ni votre courriel ni votre numéro, suit le délai des journaux d’audit.
• Après les délais ci-dessus, les données sont définitivement supprimées de nos systèmes en production. Des copies peuvent persister dans les sauvegardes pour une période additionnelle (jusqu’à 30 jours) avant rotation et destruction.
• Demandes de service (incluant l’historique migré depuis un autre logiciel) — Conservées tant que le syndicat est actif, puis 90 jours après la fermeture du compte, au même titre que les données générales du compte. Une demande migrée conserve sa date d’origine : elle peut donc être bien antérieure à votre arrivée sur CondoAide.
• Liens de partage d’un document du registre dans une demande — Le secret du lien n’est jamais conservé. Son condensé cryptographique, le document et la demande visés, l’échéance et l’état de révocation sont conservés jusqu’à l’expiration du lien. Chaque lien expire après 30 jours et peut être révoqué plus tôt par le conseil. Le journal des consultations externes est conservé 36 mois après chaque consultation, même si le lien ou le document est supprimé entre-temps.
• Désignation, par un syndicat, de sa personne responsable, et cartes d’information de son tableau de bord — Conservées tant qu’elles demeurent en vigueur. Le retrait de la désignation par le conseil supprime l’enregistrement ; vider le texte d’une carte le supprime. La fermeture du compte du syndicat emporte les deux.
• Réponses aux questions d’une annonce — Conservées avec l’annonce à laquelle elles se rattachent, et détruites avec le compte du syndicat selon la règle générale ci-dessus. Un délai propre à cette catégorie est à l’étude : une réponse portant sur une disponibilité n’a pas de raison de survivre aux travaux qu’elle a servi à planifier, contrairement à une demande. Le calendrier de conservation sera mis à jour lorsque ce délai sera adopté.
• Pièce jointe à un message du syndicat (fichier ajouté par le conseil, image insérée dans le corps du message) — Conservée avec le message auquel elle appartient, et détruite avec lui. Le fichier n’a pas de délai propre : son existence est celle du message, et la suppression du message emporte celle du fichier. Depuis septembre 2026, le conseil peut joindre à un message soit un document du registre, soit un fichier qui appartient au message seul ; seul le second est visé ici. Ce fichier n’est pas versé au registre du syndicat, ne porte pas de niveau d’accès qui lui soit propre et n’est lisible que par les destinataires du message  — un cercle qui peut être plus étroit que ce que le registre sait exprimer, par exemple lorsque le message ne vise qu’une seule partie privative. Une image insérée dans le corps du message suit la même règle : elle est affichée dans l’application et n’est jamais transmise par courriel, conformément à la règle voulant que nos avis contiennent un lien plutôt qu’un fichier.
• Fichiers téléversés puis jamais enregistrés (image d’une signature, photo d’un animal) — Une image de signature téléversée dans vos paramètres, ou la photo d’un animal ajoutée à vos renseignements d’occupant, est conservée dès son choix, avant que vous enregistriez. Si vous ne l’enregistrez pas, elle est supprimée par une tâche quotidienne au plus tard 48 heures après son téléversement (auparavant, sept jours pour une photo d’animal et aucun délai pour une image de signature). Une signature ou une photo enregistrée n’est pas visée : elle suit le délai de votre compte ou de vos renseignements d’occupant.
• Demande d’état des charges communes dues et état produit — La demande (identité, qualité et courriel de la personne qui la fait, nom de l’acheteur, avis au propriétaire et transmission) est conservée aussi longtemps que le dossier du syndicat existe et détruite avec lui ; une demande retirée n’est pas supprimée, afin que la trace de l’avis donné au propriétaire demeure. Le lien de transmission cesse de fonctionner 30 jours après son envoi. Le journal de ses consultations (date et heure, adresse IP tronquée, type de navigateur) est conservé trois ans, la durée du recours en recouvrement, puis supprimé. L’état produit est versé au registre du syndicat et suit la règle de conservation des documents de copropriété.
• Dossier de vente d’une partie privative — Le dossier (noms et adresses courriel du promettant acheteur, du courtier et du notaire, dates de la promesse et de la signature prévue, demande de documents du promettant acheteur et sa note, motif d’abandon) est conservé aussi longtemps que le dossier du syndicat existe et détruit avec lui, comme les demandes d’attestation et d’état des charges dont il reprend les renseignements. Un dossier abandonné ou conclu n’est pas supprimé : il demeure la trace des étapes accomplies pour la vente.
• Facture émise par le syndicat — La facture (identité, intermédiaire, adresse et courriel du débiteur, détail, montant et paiement) suit la règle de conservation des pièces justificatives du syndicat : six ans après la fin de l’exercice auquel elle se rapporte, la durée imposée par les lois fiscales. Une facture annulée est conservée de la même façon, avec son numéro ; un brouillon est détruit dès que le conseil le supprime. À l’échéance, rien n’est détruit automatiquement : un membre du conseil d’administration peut détruire les renseignements sur le débiteur, et il ne reste alors de la facture que son numéro, ses dates et ses montants. Le lien de transmission cesse de fonctionner 30 jours après son envoi. Le journal de ses consultations (date et heure, adresse IP tronquée, type de navigateur) est conservé trois ans, puis supprimé.
• Demande, attestation signée et lien de transmission de l’attestation du syndicat — Les renseignements sur la demande et sa personne demanderesse ou mandataire sont conservés avec l’attestation dans le dossier du syndicat, puis détruits avec celui-ci. L’attestation signée suit la règle de conservation des documents de copropriété. Le lien de transmission cesse de fonctionner 30 jours après son envoi et son secret est alors effacé. Le journal de ses consultations (date et heure, adresse IP tronquée, type de navigateur) est conservé trois ans, puis supprimé.
• Consignes pour les travaux transmises à un entrepreneur (lien, ouvertures et signature) — Le secret du lien n’est jamais conservé ; son condensé cryptographique est effacé dès que le lien expire (30 jours) ou est révoqué. Le lien envoyé et la signature de l’entrepreneur sont conservés aussi longtemps que la demande d’autorisation de travaux, et détruits avec elle. Les ouvertures du lien (date, réseau tronqué et famille de navigateur) sont conservées trois ans.
• Registre des améliorations d’une partie privative (entrée, photos avant et après, facture, valeur approximative déclarée) — Conservation permanente, comme le registre des améliorations du syndicat lui-même : l’art. 1070 du Code civil du Québec veut que les améliorations apportées par un copropriétaire demeurent identifiables par rapport à la description de sa partie privative. Les renseignements recopiés de la demande d’autorisation suivent ce délai et demeurent au registre même si la demande est supprimée.
• Demande de téléversement d’une pièce au registre des améliorations — Sept jours après le dépôt pour l’identifiant de la personne qui téléverse et le lien vers l’entrée ; la trace technique qui subsiste ensuite ne nomme plus personne.
• Requêtes envoyées à Anthropic (fonctionnalités d’intelligence artificielle) — Selon les pratiques publiées d’Anthropic, supprimées dans les 30 jours de leur réception, sauf si ses systèmes de sécurité les signalent comme contraires à sa politique d’utilisation (conservées jusqu’à 2 ans) ou si la loi exige de les conserver. Ce délai s’applique chez Anthropic ; ce que CondoAide conserve du résultat (conversation de l’assistant, analyse, valeurs retenues d’une police d’assurance du syndicat, proposition tirée de la déclaration) suit les délais qui le concernent dans la présente section.
• Nom d’un invité à une réunion tenue dans CondoAide — Le nom qu’un invité donne en entrant par le lien d’invitation, la décision de l’admettre et la personne qui l’a prise, ainsi que le compte d’un membre associé à sa participation, sont détruits 30 jours après la fin de la réunion.

6. Vos droits

Conformément à la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (« Loi 25 »), à la PIPEDA, et aux lois applicables, vous avez le droit de :

• Accéder à vos renseignements personnels
• Rectifier des renseignements inexacts ou incomplets
• Demander la suppression de vos données (sous réserve de nos obligations légales de conservation, par exemple les mandats PAD conservés 7 ans)
• Retirer votre consentement à un traitement qui repose sur lui, par exemple l’infolettre
• Recevoir vos données dans un format structuré et portable (export JSON ou CSV)
• Vous opposer à un traitement (notamment les communications marketing)
• Décision automatisée : être informé des renseignements personnels et des principaux critères utilisés, ainsi que des coordonnées de la personne qui peut réviser la décision et à qui vous pouvez présenter vos observations, si vous faites l’objet d’une décision fondée exclusivement sur un traitement automatisé (art. 12.1)
• Révoquer votre mandat PAD pour l’abonnement à tout moment, sans frais, conformément à la règle H1 de Paiements Canada
• Déposer une plainte auprès de la Commission d’accès à l’information du Québec (cai.gouv.qc.ca) ou du Commissariat à la protection de la vie privée du Canada (priv.gc.ca) pour les utilisateurs hors Québec
• Pour exercer un de ces droits, contactez notre Personne responsable de la protection des renseignements personnels (voir section 7).

7. Personne responsable de la protection des renseignements personnels

Conformément à l’article 3.1 de la Loi sur la protection des renseignements personnels dans le secteur privé, CondoAide a désigné une Personne responsable de la protection des renseignements personnels. Cette personne est votre point de contact pour toute question relative au traitement de vos renseignements personnels, pour exercer vos droits, ou pour signaler une préoccupation, un incident ou déposer une plainte.

• Nom : Nicolae Racovita
• Titre : Président de CondoAide et Personne responsable de la protection des renseignements personnels
• Courriel : privacy@condoaide.ca
• Adresse postale : 4143 chemin Ste-Angélique, Saint-Lazare (Québec) J7T 2N5, Canada
• Nos politiques et pratiques de gouvernance des renseignements personnels sont publiées à la page Gouvernance, conformément à l’article 3.2 de la loi.

8. Notification d’incident de confidentialité

Conformément à la Loi sur la protection des renseignements personnels dans le secteur privé et à la Loi sur la protection des renseignements personnels et les documents électroniques (Canada), en cas d’incident de confidentialité présentant un risque qu’un préjudice sérieux soit causé à une personne concernée, nous nous engageons à :

• Prendre les mesures nécessaires pour gérer l’incident, limiter le préjudice et empêcher la récurrence.
• Mobiliser notre assureur et son groupe agréé d’intervention dès la découverte de l’incident. L’enquête technique, la défense juridique et la préparation des avis peuvent être confiées à ces intervenants, et les renseignements qui leur sont communiqués se limitent à ce que l’intervention exige. Cette étape ne retarde pas les avis prévus ci-dessous.
• Informer les personnes concernées sans délai indu, par courriel ou tout autre moyen approprié.
• Informer la Commission d’accès à l’information du Québec dans des délais raisonnables. Notre cible interne est de notifier dans les 72 heures suivant la confirmation de l’incident.
• Documenter chaque incident dans un registre interne, incluant la nature, les causes, les mesures correctives et les leçons apprises.
• Coopérer pleinement avec les autorités de protection des renseignements personnels en cas d’enquête.

9. Transferts internationaux de données

Certains de nos sous-traitants traitent des renseignements personnels en dehors du Québec ou du Canada (voir la liste à la section 3). Pour les transferts hors du Québec et du Canada :

• Nous évaluons l’adéquation des protections législatives offertes dans la juridiction de destination
• Nous mettons en place des protections contractuelles appropriées avec chaque sous-traitant (Data Processing Agreements)
• Nous limitons les transferts à ce qui est nécessaire à la prestation du Service
• Pour les fonctionnalités d’intelligence artificielle (Anthropic, États-Unis), une requête est envoyée lorsqu’une personne utilise l’une des fonctionnalités nommées à la section 3. La lecture des preuves d’assurance des copropriétaires ne fait pas appel à Anthropic : elles sont lues au Québec (section 3). La lecture de la déclaration de copropriété l’envoie sans aucun geste de l’utilisateur, après avoir retiré les noms de personnes qu’elle détecte. Aucun identifiant d’utilisateur ni métadonnée de compte n’est transmis à Anthropic avec une requête ; le contenu envoyé, lui, peut nommer le syndicat ou des personnes (section 3). Les conditions commerciales d’Anthropic lui interdisent d’utiliser ces requêtes pour entraîner ses modèles ; selon ses pratiques publiées, Anthropic les supprime dans les 30 jours de leur réception, sauf celles que ses systèmes de sécurité signalent comme contraires à sa politique d’utilisation, conservées jusqu’à 2 ans, et sauf obligation légale de les conserver.
• Pour les paiements (Stripe, Canada et États-Unis), le transfert transfrontalier vise l’exécution de l’abonnement et la collecte des charges du Service de paiement, que vous autorisez expressément. Cela inclut les coordonnées bancaires des copropriétaires (renseignements de nature financière) et l’identifiant technique de la partie privative. L’identifiant du compte qui autorise le mandat reste dans CondoAide et n’est pas transmis à Stripe. Ce flux est encadré par l’entente de traitement des données (DPA) de Stripe ; les numéros de compte ne sont jamais conservés en clair par CondoAide. Une évaluation des facteurs relatifs à la vie privée nous permet de nous assurer que le risque résiduel lié à ce transfert est minime et gérable.
• Pour l’intervention en cas d’incident (CFC Underwriting Limited et les fournisseurs de son groupe agréé, CFC Response), le transfert n’a lieu qu’en cas d’incident de confidentialité et vise l’enquête, la défense et l’envoi des avis. Les entités concernées sont établies au Royaume-Uni et aux États-Unis (Londres et Austin, Texas). Aucun renseignement ne leur est communiqué dans le cours normal du Service.
• Pour la vérification antirobot des formulaires publics (Cloudflare Turnstile, réseau mondial), le navigateur transmet des données techniques (adresse IP, caractéristiques du navigateur et de l’appareil) au moment où le formulaire est rempli, afin d’en écarter les robots ; aucun contenu de formulaire ni aucun document n’est transmis. Ce flux est encadré par les conditions de traitement des données de Cloudflare.
• Si vous avez des questions sur un transfert spécifique ou si vous souhaitez vous opposer à un traitement particulier, contactez privacy@condoaide.ca.

10. Témoins (cookies), télémétrie et enregistrement de session

Bannière de témoins. Pour les visiteurs non authentifiés du site public et des pages de connexion, la télémétrie OpenReplay ne s’active que si vous l’acceptez via la bannière qui apparaît à votre première visite. Votre choix est conservé localement (localStorage) et modifiable à tout moment via le lien « Réinitialiser mes préférences de témoins » au bas de chaque page. Refuser la télémétrie n’affecte en rien votre utilisation du Service — les témoins nécessaires (session, sécurité, langue) restent actifs. Enregistrement de session OpenReplay. Lorsque vous êtes authentifié, OpenReplay enregistre une reconstitution de votre navigation (clics, défilements, changements de page) pour aider notre équipe de support à reproduire un problème quand vous nous le signalez. Activé par défaut, désactivable à tout moment via Profil → Enregistrement de session pour le support. Les champs de formulaire et les écrans contenant des renseignements sensibles (PAD, attestation, registre, états financiers, preuves d’assurance, conformité, membres du syndicat, paiements) sont masqués automatiquement. Suivi des erreurs GlitchTip. Reste actif indépendamment de votre choix car strictement nécessaire à la qualité du service. Configuration minimisée : identifiant utilisateur pseudonymisé, contenu des requêtes (corps de formulaire, en-têtes d’authentification, témoins) automatiquement supprimé, adresse IP non transmise. Rétention : 30 jours pour tous les flux — événements et enregistrements de session côté OpenReplay ; journaux applicatifs et événements d’erreur côté GlitchTip. Les groupes d’erreurs GlitchTip résolus sont conservés 90 jours pour la détection de régression. Pour plus d’informations, consultez notre Politique sur les témoins.

11. Renseignements concernant les enfants

Le Service n’est pas destiné aux personnes de moins de 14 ans. Nous ne recueillons pas sciemment de renseignements personnels d’enfants. Si vous croyez qu’un enfant a fourni des renseignements personnels à CondoAide, contactez privacy@condoaide.ca afin que nous procédions à la suppression.

12. Modifications

Nous pouvons modifier cette politique de temps à autre. Nous vous informerons des changements importants par courriel ou via la plateforme. La date de dernière mise à jour est indiquée en haut de cette page. L’utilisation continue du Service après une modification constitue votre acceptation de la version mise à jour.

13. Nous contacter

Pour toute question concernant cette politique ou pour exercer vos droits :

Annexe — Historique des modifications

Historique des versions de cette politique :

• Version 1.0 - 1 février 2025 — Version initiale.
• Version 1.1 - 7 mai 2026 — Ajout du paiement par PAD/ACSS Debit ; désignation publique de la Personne responsable ; expansion de la liste des sous-traitants ; ajout de la section sur la notification d’incident ; ajout de la section sur les transferts internationaux ; ajout des références PIPEDA et Commissariat à la protection de la vie privée du Canada.
• Version 1.2 - 2 juin 2026 — Lancement de la collecte automatique des cotisations par prélèvement bancaire (PAD/ACSS) : Stripe (Stripe Payments Canada, Ltd.) traite désormais aussi les prélèvements de cotisations des copropriétaires vers le compte du syndicat. Mise à jour des sections 1 et 3 et de la liste des sous-traitants en conséquence.
• Version 1.3 - 13 juin 2026 — Précisions sur le traitement Stripe des cotisations : ajout de délais de conservation distincts pour le mandat et les transactions de cotisation des copropriétaires (section 5) et description du transfert transfrontalier des coordonnées bancaires des copropriétaires via Stripe, encadré par une évaluation des facteurs relatifs à la vie privée (section 9).
• Version 1.4 - 12 juillet 2026 — Ajout du clavardage de séance d’assemblée : délai de conservation des messages (section 5). Les messages sont hébergés au Québec (Supabase, région canadienne) — aucun nouveau transfert transfrontalier.
• Version 1.5 - 13 juillet 2026 — Ajout du journal de présence de séance d’assemblée : délai de conservation du journal des connexions et déconnexions des participants (section 5). Le journal est hébergé au Québec (Supabase, région canadienne) — aucun nouveau transfert transfrontalier.
• Version 1.6 - 23 juillet 2026 — Retrait d’OpenAI de la liste des sous-traitants : la vectorisation des documents du registre est désormais assurée par un modèle auto-hébergé (bge-m3) au Québec, chez OVHcloud (Beauharnois). Anthropic demeure le seul fournisseur d’intelligence artificielle, uniquement pour les fonctionnalités opt-in. Mise à jour de la section 3.
• Version 1.7 - 30 juillet 2026 — Ajout d’Amazon Web Services (Amazon SES) à la liste des sous-traitants : les courriels transactionnels et d’authentification sont désormais envoyés depuis le Québec (région ca-central-1, Montréal). Brevo est reclassé aux courriels marketing, à la gestion des listes de contacts et au rôle de relais de secours pour les courriels transactionnels (Union européenne). Mise à jour des sections 3 et 4.
• Version 1.8 - 30 juillet 2026 — Intégration de la révision de notre conseil juridique externe : la loi est désignée par son nom officiel (Loi sur la protection des renseignements personnels dans le secteur privé), ajout de la Loi concernant le cadre juridique des technologies de l’information et de la Loi 16 sous son titre officiel ; précision sur la portée de la certification PCI DSS de Stripe (données de carte) ; divulgation du traitement de l’adresse IP et de la manière dont les renseignements de paiement sont recueillis ; ajout du partage possible en cas de transaction commerciale (section 3) ; reformulation du droit lié aux décisions automatisées (section 6) et de la démarche en cas d’incident (section 8) ; précision que les transferts visés à la section 9 sont ceux hors Québec.
• Version 1.9 - 12 août 2026 — Déclaration de trois sous-traitants qui opéraient déjà sans figurer à la liste : iDrive e2 (Montréal), qui conserve nos sauvegardes hors site, OVHcloud (Beauharnois), qui en conserve la copie secondaire, et OVHcloud (Beauharnois) pour le serveur de visioconférence auto-hébergé des séances d’assemblée, dont aucun flux n’est enregistré. Une sauvegarde contenant l’ensemble des catégories de renseignements confiés au Service, ces deux destinations sont désormais nommées. Correction de deux affirmations de sécurité inexactes : les jetons d’authentification sont signés avec ECDSA sur courbe P-256 (ES256) et non avec HMAC-SHA256, et la mention d’un test de restauration automatisé hebdomadaire est retirée, ce travail étant désactivé. L’engagement à un test annuel d’intrusion par un tiers indépendant est maintenu mais perd son échéance de fin 2026. Aucun nouveau traitement, aucune nouvelle catégorie et aucun transfert hors du Québec.
• Version 1.10 - 12 août 2026 — Prélèvement automatique des charges : ajout de l’identité de la personne qui l’active et du moment de l’activation (section 1), et de leur délai de conservation (section 5). Ce renseignement sert à exiger qu’une seconde personne autorise un prélèvement d’importance et à identifier la partie derrière le mandat, comme l’exige la Règle H1 de Paiements Canada. Aucun nouveau sous-traitant, aucune nouvelle finalité et aucun flux hors Québec.
• Version 1.11 - 13 août 2026 — Journal d’enregistrement des procurations : ajout de son délai de conservation (section 5). Ce journal consigne, pour chaque mandat de représentation signé électroniquement, le moment de la signature ainsi que l’adresse IP et le navigateur utilisés, comme l’exige l’article 39 de la Loi concernant le cadre juridique des technologies de l’information. Il était auparavant détruit en même temps que le mandat auquel il se rattachait ; il subsiste désormais jusqu’à la destruction du dossier du syndicat, ce qui allonge sa conservation. Le motif est que la preuve qu’une procuration a existé importe précisément au moment où celle-ci disparaît. Aucune nouvelle catégorie de renseignement n’est recueillie et aucun nouveau destinataire n’y a accès.
• Version 1.12 - 16 août 2026 — File d’envoi des courriels : ajout de son délai de conservation (section 5). Cette file achemine les avis, les convocations et les rappels ; elle porte l’adresse du destinataire et les données servant à composer le message, sans en conserver le rendu. Elle n’avait jusqu’ici aucun délai. Il est fixé à 90 jours après l’envoi, et à 30 jours après un échec définitif pour un message jamais parti. Ce délai est d’exploitation et non de preuve : la preuve qu’un avis a été envoyé est consignée au dossier auquel il se rattache, et non dans cette file.
• Version 1.13 - 16 août 2026 — File d’envoi des courriels : correction de la section 5. La version 1.12 indiquait que la preuve d’un envoi ne dépendait pas de cette file. C’était exact pour la plupart des avis, mais pas pour les convocations à une assemblée ou à une séance du conseil, leurs mises à jour, les ajouts à l’ordre du jour et les rappels : pour ceux-là, le détail des destinataires ne figure aujourd’hui nulle part ailleurs. Le délai applicable à ces lignes est porté à 90 jours après l’assemblée ou la séance visée ; le reste de la file demeure à 90 jours après l’envoi.
• Version 1.14 - 22 août 2026 — Imports de preuves d’assurance : ajout du traitement temporaire du PDF agrégé et de son texte extrait aux sections 1 et 2, et de leur délai maximal de trois heures à la section 5. Le fichier agrégé n’est jamais versé au registre du syndicat ; seules les preuves minimisées par unité y sont versées. Le traitement reste chez Supabase au Québec, sans nouveau sous-traitant ni transfert hors Québec.
• Version 1.15 - 22 août 2026 — État de suppression d’une adresse courriel : ajout d’une ligne à la section 5. Lorsqu’un courriel transactionnel rebondit de façon permanente ou qu’une plainte est reçue, l’adresse est inscrite à une liste de suppression afin que le Service cesse de lui écrire. Cette inscription porte sur la livraison, non sur le consentement : elle ne retire aucun consentement à l’infolettre et ne modifie pas les listes de mise en marché, qui demeurent régies séparément. La ligne contient l’adresse, le motif, le fournisseur, les horodatages du premier et du plus récent événement et l’identifiant technique du message ; aucun contenu de courriel n’y est conservé. Aucun nouveau sous-traitant et aucun nouveau flux hors du Québec : Amazon (SES, Montréal) figure déjà à la section 3.
• Version 1.16 - 24 août 2026 — État de suppression d’une adresse courriel : la ligne annoncée à la version 1.15 est effectivement ajoutée à la section 5, avec sa durée de conservation. La version 1.15 annonçait cette ligne sans l’inscrire, et sans indiquer de durée ; la correction est consignée plutôt qu’effacée. La conservation n’est pas un nombre de jours mais une condition : l’inscription demeure tant que l’adresse est injoignable, et elle est retirée lorsque la livraison est rétablie et vérifiée, ou à la suite d’une demande d’effacement valide. Aucun renseignement nouvellement recueilli, aucun nouveau sous-traitant et aucun nouveau flux hors du Québec.
• Version 1.17 - 27 août 2026 — Une annonce du conseil d’administration peut désormais poser une question à laquelle le copropriétaire répond dans l’application : ajout de cette catégorie à la section 1, y compris le commentaire libre et la pièce jointe que le copropriétaire fournit lui-même, et ajout du délai de conservation correspondant à la section 5, dont la durée propre est à l’étude. Une réponse est nominative par conception et ne constitue pas un vote. Aucun nouveau sous-traitant et aucun nouveau transfert hors Québec.
• Version 1.18 - 28 août 2026 — Souscription d’une assurance de responsabilité professionnelle et cyber. L’assureur et les fournisseurs de son groupe agréé d’intervention deviennent des destinataires possibles de renseignements personnels, mais uniquement en cas d’incident de confidentialité. Nouvelle catégorie de destinataires à la section 3, précision à la section 8 et nouveau flux hors Québec à la section 9 (Royaume-Uni et États-Unis). Aucun nouveau sous-traitant dans le cours normal du Service.
• Version 1.19 - 1 septembre 2026 — Un message du syndicat peut de nouveau posséder ses propres fichiers, au lieu que toute pièce jointe soit versée au registre. Nouveau délai à la section 5 : la pièce jointe d’un message n’a pas de durée propre, elle est conservée avec le message et détruite avec lui. Le fichier n’est pas versé au registre et n’est lisible que par les destinataires du message  — un cercle parfois plus étroit que ce que les niveaux d’accès du registre savent exprimer. Une image insérée dans le corps d’un message suit la même règle et n’est jamais transmise par courriel. Aucun sous-traitant, aucune finalité, aucune localisation ni aucune décision automatisée nouvelle.
• Version 1.20 - 10 septembre 2026 — Ajout, à la section 1, de l’identité de la personne qui déclare ce que prévoit la déclaration de copropriété au sujet des contributions versées avant l’adoption du budget : qui l’a déclaré, à quel moment et l’article de la déclaration qui est cité, ainsi que l’inscription de chaque changement au journal d’audit du syndicat avec le nom et l’adresse courriel de la personne. Ajout du délai de conservation correspondant à la section 5. Aucun nouveau sous-traitant, aucune nouvelle sortie du Québec et aucune décision automatisée.
• Version 1.21 - 15 septembre 2026 — Demandes de service déposées par une personne locataire : ajout, à la section 1, de la qualité de locataire enregistrée au moment du dépôt, de la partie privative visée, du motif de fermeture « redirigée vers le copropriétaire » et de la consultation de la demande, de ses pièces jointes et des réponses publiques du conseil d’administration par les copropriétaires de cette partie privative, pour les seules demandes déposées depuis le début de leur propriété. Ajout, à la section 2, des avis transmis au copropriétaire qui reçoit les avis de la partie privative et à la personne locataire. Correction terminologique : « soutien technique » remplace « support technique ». Aucun nouveau sous-traitant, aucune nouvelle sortie du Québec, aucun nouveau délai de conservation et aucune décision automatisée.
• Version 1.22 - 15 septembre 2026 — Ajout, à la section 3, du service d’analyse de documents auto-hébergé chez OVHcloud à Beauharnois (Québec), qui lit les carnets d’entretien, les études du fonds de prévoyance et, désormais, les relevés de compte bancaire qu’une personne autorisée importe en format PDF. Les catégories visées sont précisées : contenu des documents importés, dont les dates, montants et libellés des transactions bancaires. Aucun nouveau délai de conservation, aucune nouvelle sortie du Québec et aucune décision automatisée.
• Version 1.23 - 15 septembre 2026 — Ajout, à la section 1, de la boîte courriel du syndicat : ce qui est écrit à une adresse CondoAide du syndicat est conservé dans le dossier du syndicat et lu par l’ensemble du conseil d’administration. Ajout, à la section 5, des délais du courrier reçu (36 mois à compter de la réception, le texte recopié ailleurs dans le dossier étant retiré au même moment, sauf classement à un dossier ou mesure de conservation juridique), de la réponse du conseil envoyée depuis cette boîte (36 mois après l’envoi), du courriel mis en quarantaine (30 jours) et de la copie brute chez le fournisseur de réception (30 jours). Précision, à la section 3 et sur la page Sécurité (sections 1 et 6), qu’Amazon SES assure aussi la réception et la conservation temporaire des messages dans la région ca-central-1 (Montréal). Aucune nouvelle sortie du Québec ni décision exclusivement automatisée.
• Version 1.24 - 15 septembre 2026 — Facture d’un fournisseur jointe à des travaux : ajout, à la section 1, du contenu de la facture lu à la demande d’une personne autorisée (date, numéro, nom et coordonnées du fournisseur, numéros d’inscription à la TPS et à la TVQ, montants) et de la conservation de ces numéros à la fiche du fournisseur. Ajout, à la section 2, de la finalité correspondante : proposer les données à inscrire et classer une copie de la facture au registre du syndicat, sous la catégorie « Factures », réservée au conseil d’administration. Précision, à la section 3, que le service d’analyse de documents auto-hébergé chez OVHcloud à Beauharnois lit aussi les factures, y compris par reconnaissance optique de caractères lorsqu’il s’agit d’une image. Aucun nouveau sous-traitant, aucune nouvelle sortie du Québec et aucune décision exclusivement automatisée : chaque valeur proposée est retenue ou écartée par une personne.
• Version 1.25 - 16 septembre 2026 — Ajout, à la section 1, de la réponse qu’une personne du conseil inscrit elle-même au nom d’une partie privative : lorsqu’une personne copropriétaire répond par téléphone ou par courriel à une question jointe à une annonce, le conseil peut consigner cette réponse dans l’application. Elle porte alors le nom de la personne du conseil qui l’a inscrite, elle est signalée comme telle et elle ne remplace jamais la réponse que la personne copropriétaire donne elle-même. Aucun nouveau sous-traitant, aucune sortie du Québec et aucune nouvelle durée de conservation.
• Version 1.26 - 16 septembre 2026 — Ajout, à la section 1, de la demande d’état des charges communes dues d’une partie privative (art. 1069 du Code civil du Québec) : le nom, la qualité et le courriel de la personne qui la fait, le nom de l’acheteur, l’avis donné au propriétaire, la transmission de l’état par un lien envoyé par courriel et le journal de ses consultations (date et heure, adresse IP tronquée, type de navigateur). Ajout, à la section 2, de la communication de cet état à la personne qui se propose d’acquérir la partie privative, après avis au propriétaire, et, à la section 5, de leurs délais de conservation, dont trois ans pour le journal des consultations. Aucun nouveau sous-traitant, aucun flux hors du Québec.
• Version 1.27 - 17 septembre 2026 — Ajout, à la section 1, des courriels adressés à postmaster@ et à abuse@ d’une adresse de syndicat : ils ne sont pas versés au dossier du syndicat, mais transmis à la boîte d’exploitation de CondoAide, que seule la personne responsable de la protection des renseignements personnels consulte. Ajout, à la section 2, de la finalité correspondante, à la section 3 et à la page Sécurité, de leur transmission par Amazon SES dans la même région, et, à la section 5, de leur délai de conservation de 36 mois. Aucun nouveau sous-traitant et aucune sortie du Québec.
• Version 1.28 - 17 septembre 2026 — Section 3 : lorsque le syndicat confie sa gestion à une entreprise de gestion et l’ajoute à son compte comme gestionnaire, ce gestionnaire a désormais accès, pour l’exécution de son mandat, aux renseignements financiers du syndicat, dont les renseignements de paiement des copropriétaires (mandats de prélèvement, historique des paiements, arrérages) et les coordonnées de paiement des fournisseurs. L’adoption d’un budget, la décision d’une cotisation spéciale et l’approbation d’un paiement au-dessus du seuil demeurent réservées au conseil d’administration. Aucun nouveau sous-traitant, aucune sortie du Québec et aucun nouveau délai de conservation.
• Version 1.29 - 17 septembre 2026 — Précision, à la section 1 : lorsque la boîte de courriel du syndicat est en service, le syndicat envoie aussi depuis cette adresse les avis et les annonces qu’il vous adresse, de sorte qu’une réponse à l’un de ces messages arrive dans cette même boîte, accessible aux mêmes personnes et conservée selon le même délai. L’adresse courriel du compte personnel d’une personne administratrice n’est plus transmise aux copropriétaires avec ces avis.
• Version 1.30 - 21 septembre 2026 — Sections 1 et 3 : lorsqu’un copropriétaire indique qu’un entrepreneur fera les travaux d’une demande d’autorisation, nous recueillons le nom de l’entreprise, son numéro de licence de la Régie du bâtiment du Québec et, s’il les indique, le nom et le courriel d’une personne-ressource. Nous vérifions ce numéro auprès d’un nouveau sous-traitant, VériBât, qui consulte le registre public de la Régie depuis Montréal : seul le numéro de licence lui est transmis. Aucune sortie du Québec et aucun nouveau délai de conservation : ces renseignements suivent la demande.
• Version 1.31 - 21 septembre 2026 — Sections 1 et 5 : une fois des travaux autorisés, le copropriétaire peut transmettre à son entrepreneur les consignes pour les travaux du syndicat, qu’il signe par un lien sans créer de compte. Nous conservons les ouvertures du lien (réseau tronqué et famille de navigateur, trois ans) et la preuve de la signature (nom saisi, adresse du lien, version signée, date et heure, adresse IP et navigateur), aussi longtemps que la demande. Aucun nouveau sous-traitant et aucune sortie du Québec.
• Version 1.32 - 22 septembre 2026 — Sections 1 et 5 : les fichiers joints au formulaire de support sont désormais conservés dans notre stockage privé au Québec (Supabase, région canadienne) au lieu d’être transmis par courriel, et seul le personnel autorisé de CondoAide peut les télécharger. Nouveaux délais : trois ans après l’envoi du message, et au plus tard quatre heures pour un fichier dont le message n’est pas envoyé. Aucun nouveau sous-traitant ni transfert hors du Québec.
• Version 1.33 - 22 septembre 2026 — Sections 1 et 5 : l’autorisation de travaux ouvre désormais l’entrée de votre partie privative au registre des améliorations du syndicat, où vous pouvez déposer vous-même des photos avant et après les travaux, la facture et une valeur approximative, puis indiquer la fin des travaux, que le conseil confirme. Ces pièces et cette valeur ne sont lues que par les copropriétaires de votre partie privative, par le conseil et, le cas échéant, par le gestionnaire ; la valeur approximative n’est plus visible des autres copropriétaires, et une entrée dont les travaux sont encore prévus leur est réservée jusqu’à ce que les travaux soient déclarés terminés. Nouveaux délais : conservation permanente de l’entrée et de ses pièces, y compris les renseignements recopiés de la demande, qui demeurent si celle-ci est supprimée ; sept jours pour l’identifiant porté par une demande de téléversement. Rappels par courriel et dans l’application avant le début et après la fin prévue des travaux. Aucun nouveau sous-traitant et aucune sortie du Québec.
• Version 1.34 - 22 septembre 2026 — Section 3 : pour trouver la licence d’un entrepreneur, vous pouvez maintenant taper le début de son numéro ou le nom de l’entreprise, dans une demande d’autorisation de travaux comme dans la liste des prestataires du conseil. Ce texte est transmis à VériBât, qui renvoie au plus dix inscriptions du registre public de la Régie du bâtiment du Québec ; auparavant, seul un numéro complet lui était transmis. Le nom d’une entreprise peut être celui d’une personne en affaires. CondoAide n’enregistre pas ces recherches dans votre dossier : seule la licence choisie l’est, comme avant. Aucun nouveau sous-traitant et aucune sortie du Québec.
• Version 1.35 - 22 septembre 2026 — Sections 1 et 3 : pour les prestataires qui ont un numéro de licence de la Régie du bâtiment du Québec, nous conservons désormais à leur fiche la réponse du registre public (nom du titulaire, présence au registre, restriction, date de départ du registre et date de la vérification), afin d’avertir le syndicat d’une licence absente ou restreinte. Le numéro est vérifié auprès de VériBât lorsqu’il est inscrit ou modifié, puis tous les deux jours environ. Seul le numéro de licence est transmis. La réponse disparaît avec la fiche du prestataire et est remplacée dès que son numéro change. Aucun nouveau sous-traitant et aucune sortie du Québec.
• Version 1.36 - 23 septembre 2026 — Section 1 : un signalement envoyé au soutien CondoAide depuis l’application comprend aussi les pages où il a été ouvert et d’où il a été envoyé, le rôle de la personne au syndicat, la version de l’application et le navigateur utilisé. Ces renseignements servent à reproduire le problème signalé et suivent la conservation des communications de support. Aucun nouveau sous-traitant, aucune nouvelle sortie du Québec, aucun nouveau délai de conservation et aucune décision automatisée.
• Version 1.37 - 24 septembre 2026 — Section 1 : les fichiers joints à un signalement au soutien CondoAide, y compris les captures d’écran collées dans une réponse, peuvent aussi être consultés par les membres du conseil d’administration du syndicat qui a envoyé le signalement, dans le suivi de ce signalement, au même titre que le texte qui les accompagne. Le personnel autorisé de CondoAide les télécharge toujours avec une authentification à double facteur. Aucun nouveau sous-traitant, aucune nouvelle sortie du Québec, aucun nouveau délai de conservation et aucune décision automatisée.
• Version 1.38 - 25 septembre 2026 — Section 1 : la boîte courriel du syndicat conserve aussi le nom et l’adresse des autres destinataires d’un courriel reçu (« À » et « Cc ») ; le conseil peut répondre à plusieurs personnes, en copie et en copie conforme invisible, et peut aussi écrire depuis la boîte un nouveau courriel à toute adresse, dont les réponses arrivent dans la même boîte. Section 5 : la ligne de la réponse du conseil couvre aussi le nouveau courriel, conservé tant qu’une réponse reçue dans la même conversation l’est ; les destinataires sont conservés et détruits avec le message.
• Version 1.39 - 25 septembre 2026 — Section 1 : le conseil peut joindre des fichiers à un courriel envoyé depuis la boîte du syndicat ; chaque fichier part comme un lien valide 30 jours et révocable, qui s’ouvre sans compte, et chaque ouverture est consignée avec sa date et son heure seulement. Section 5 : ajout de la conservation de ces fichiers, de leurs liens et du journal des ouvertures, qui suivent le courriel (36 mois). Aucun nouveau sous-traitant, aucune sortie du Québec et aucune décision automatisée.
• Version 1.40 - 26 septembre 2026 — Section 5 : ajout de la conservation d’une demande d’abonnement à l’infolettre non confirmée (30 jours). L’abonnement à l’infolettre depuis le site se confirme désormais par un lien envoyé à l’adresse inscrite ; l’adresse n’est transmise à Brevo qu’après cette confirmation. Aucun nouveau sous-traitant, aucun nouveau flux hors du Québec ni décision automatisée.
• Version 1.41 - 28 septembre 2026 — Section 1 : la boîte du syndicat sert désormais d’adresse d’expédition à tous les courriels que CondoAide produit au nom du syndicat, y compris les avis destinés au conseil d’administration, à la trésorerie, au gestionnaire et aux personnes qui font des travaux pour lui, et les demandes de signature électronique ; le gestionnaire mandaté par le syndicat est nommé parmi les personnes qui ont accès à la boîte ; chaque envoi est inscrit à un journal des envois. Section 5 : ajout de la conservation de ce journal (7 ans). Aucun nouveau sous-traitant, aucune sortie du Québec et aucune décision automatisée.
• Version 1.42 - 29 septembre 2026 — Section 1 : ajout de la lecture de la déclaration de copropriété du syndicat, à la demande du conseil d’administration ou de notre équipe de soutien, pour la comparer avec la configuration enregistrée ; le texte des pages n’est conservé que le temps de la lecture. Section 3 : le service d’analyse de documents lit aussi la déclaration de copropriété. Section 5 : ajout de la conservation du texte des pages, de la proposition qui en résulte et des décisions du conseil.
• Version 1.43 - 29 septembre 2026 — Sections 1, 2 et 5 : la personne qui a envoyé un signalement au soutien CondoAide peut donner, une fois le signalement résolu, un avis facultatif sur la réponse (« Super », « Correct » ou « Pas satisfaisant ») et un commentaire. Seul le personnel autorisé de CondoAide le lit ; il sert à améliorer notre soutien et suit la conservation des communications de support. Aucun nouveau sous-traitant, aucun nouveau flux hors du Québec ni décision automatisée.
• Version 1.44 - 29 septembre 2026 — Sections 1, 3, 4, 5, 6 et 9 : correction de la description d’Anthropic, présenté jusqu’ici comme réservé à des fonctionnalités d’intelligence artificielle activées au préalable (« opt-in »), alors qu’aucune activation préalable n’existe. La section 3 nomme désormais chaque usage : l’assistant IA, la lecture automatique des preuves et des polices d’assurance, l’analyse, la rédaction et la traduction de textes, et la lecture de secours de la déclaration de copropriété, qui envoie, sans geste de l’utilisateur, des pages dont elle retire les noms de personnes qu’elle détecte. La section 9 précise que les requêtes ne servent pas à l’entraînement des modèles et qu’Anthropic les supprime dans les 30 jours, sous deux exceptions ; la section 5 ajoute ce délai. Aucun nouveau sous-traitant ni nouvelle décision automatisée.
• Version 1.45 - 29 septembre 2026 — Sections 1, 3, 5, 6 et 9 : ajout de l’identité de la personne qui autorise le mandat PAD d’une partie privative et du fait qu’elle était ou non copropriétaire à cette date. Ces renseignements restent dans CondoAide et servent à bloquer tout nouveau prélèvement lorsque le signataire qui était copropriétaire ne détient plus la partie privative. Correction de la divulgation : Stripe recevait déjà l’identifiant technique de la partie privative dans les métadonnées du mandat, mais ne reçoit pas l’identifiant du signataire. Ces renseignements suivent la conservation du mandat, soit 7 ans après sa résiliation. Aucun nouveau sous-traitant ni nouvelle décision automatisée.
• Version 1.46 - 30 septembre 2026 — Sections 3, 4, 5 et 9 : les preuves d’assurance des copropriétaires ne sont plus envoyées à Anthropic pour être lues. Chaque preuve déposée ou importée est lue au Québec par notre service d’analyse de documents auto-hébergé, qui en extrait l’assureur, le numéro de police, les dates de couverture et les montants de garantie ; le fichier lui est transmis sans son nom, et le texte lu n’est pas conservé. Pour l’assurance, Anthropic ne reçoit plus que les 10 premières pages d’une police du syndicat, lorsqu’une personne choisit « Analyser un PDF ». Aucun nouveau sous-traitant ni nouvelle décision automatisée. Section 5 : ajout du délai de conservation de ces preuves, trois ans après la fin de la couverture qu’elles attestent (art. 2925 C.c.Q.) ; le produit appliquait jusqu’ici deux ans à compter du dépôt, sans que ce délai soit publié. Section 9 : chaque bouton qui envoie un contenu à Anthropic dit maintenant qu’il fait appel à l’intelligence artificielle, et la section ne dresse plus la liste des fonctionnalités qui ne le disaient pas.
• Version 1.47 - 30 septembre 2026 — Sections 2 et 5 : ajout de la copropriété de démonstration. Une personne connectée peut ouvrir une copropriété remplie de données fictives pour essayer le Service ; les courriels qu’elle produit n’en partent pas et aucun paiement n’y est prélevé. Tout ce qui y est inscrit, y compris sur d’autres personnes, est détruit à la réinitialisation, à la suppression demandée, ou 30 jours après la dernière activité ; les compteurs d’utilisation quotidienne sont détruits 7 jours après le jour compté. Les fonctions d’intelligence artificielle offertes dans la démonstration transmettent du contenu à Anthropic comme le décrivent les sections 3 et 9. Aucun nouveau sous-traitant, aucun nouveau flux hors du Québec ni décision automatisée.
• Version 1.48 - 30 septembre 2026 — Sections 1, 2 et 5 : ajout du dossier de transfert de propriété d’une partie privative, qui consigne les copropriétaires qui quittent et ceux qui arrivent, la date de clôture et la réception de l’avis de l’acquéreur (art. 1065 C.c.Q.), conservé avec le dossier du syndicat. Lors d’un transfert, le conseil peut révoquer le mandat de prélèvement du copropriétaire qui quitte, avec un avis au payeur et une demande d’annulation des prélèvements postérieurs à la clôture, et inviter le nouveau copropriétaire à autoriser le prélèvement des charges. Section 5 : ajout des délais de conservation de la preuve de révocation (sept ans après la révocation), des invitations (12 mois après l’envoi) et des tentatives d’autorisation d’un mandat PAD (30 jours si elles n’aboutissent pas, sept ans après leur utilisation sinon). Aucun nouveau sous-traitant, aucun nouveau flux hors du Québec ni décision automatisée.
• Version 1.49 - 1er octobre 2026 — Section 1 : ajout des calculateurs utilisés depuis un assistant d’intelligence artificielle (connecteur CondoAide pour ChatGPT et Claude). Les données du calcul ne sont pas conservées ; l’adresse IP de l’appel ne sert qu’à limiter le nombre de requêtes, en mémoire vive seulement ; OpenAI et Anthropic n’agissent pas comme sous-traitants de CondoAide pour ce service. Aucun nouveau sous-traitant ni nouveau transfert hors du Québec de notre part.
• Version 1.50 - 1er octobre 2026 — Sections 1, 4 et 5 : ajout de la clé d’appareil (Touch ID, Face ID, clé de sécurité ou clé synchronisée par un gestionnaire de mots de passe) comme deuxième facteur, des renseignements conservés pour elle et de leurs délais de conservation. Aucune donnée biométrique n’est transmise. Une clé synchronisée est aussi conservée par le fournisseur choisi par la personne, possiblement hors du Québec ; CondoAide ne lui communique rien. Aucun nouveau sous-traitant ni nouveau transfert hors du Québec de notre part.
• Version 1.51 - 1er octobre 2026 — Sections 1, 2 et 5 : ajout de l’accueil de la personne qui achète une partie privative (statut de résidence, adresse postale, courriel de contact, mot de bienvenue du syndicat et avis des obligations à remplir), de la remise à zéro des preuves de la personne qui quitte et des délais de conservation de ces renseignements. Aucun nouveau sous-traitant ni nouveau transfert hors du Québec.
• Version 1.52 - 1er octobre 2026 — Section 1 : le lien vers le calculateur complet, à la fin d’une réponse du connecteur CondoAide pour ChatGPT et Claude, contient désormais toutes les données du calcul (montants, années, taux) en plus des parties privatives et de leurs valeurs relatives, pour que la page s’ouvre avec les chiffres de la réponse. Ces données ne sont pas des renseignements personnels. Aucun nouveau renseignement recueilli, aucun nouveau sous-traitant ni nouveau transfert hors du Québec.
• Version 1.53 - 1er octobre 2026 — Sections 1, 2 et 5 : ajout du consentement exprès à l’inscription du courriel et du numéro de téléphone au registre de la copropriété (art. 1070 du Code civil du Québec), donné séparément pour chacun et pour chaque syndicat, de la preuve conservée de cette décision, de ses lecteurs et de son délai de conservation. Une personne copropriétaire de la même partie privative ne voit plus le courriel ni le numéro de téléphone d’une autre personne sans ce consentement. Aucun nouveau sous-traitant ni nouveau transfert hors du Québec.
• Version 1.54 - 1er octobre 2026 — Sections 1 et 2 : ajout de la réclamation que le syndicat peut adresser à un copropriétaire responsable d’un sinistre (art. 1074.2 du Code civil du Québec). Le dossier de sinistre indique alors la partie privative visée, la base de la réclamation, les faits notés par le conseil, son état, les montants réclamés et, le cas échéant, les frais portés au compte de la partie privative ; ces renseignements ne sont visibles que des administrateurs qui gèrent les sinistres et ont accès aux finances du syndicat. Nouvelle finalité : répartir le coût d’un sinistre entre le syndicat, son assureur et un copropriétaire, puis facturer le montant accepté. Aucun nouveau sous-traitant, aucune sortie du Québec.
• Version 1.55 - 2 octobre 2026 — Section 1 : le copropriétaire actuel d’une partie privative liée à un sinistre en voit désormais le titre, la date et l’état, ainsi que le rôle de sa propre partie privative, même lorsque le conseil n’a pas rendu le dossier visible aux copropriétaires. S’il s’agit d’une partie endommagée, il apprend seulement que le sinistre a pris naissance dans une autre partie privative, sans savoir laquelle. Aucun nouveau sous-traitant ni nouveau transfert hors du Québec.
• Version 1.56 - 2 octobre 2026 — Sections 1, 2 et 5 : ajout de la facture émise par le syndicat à une personne (copropriétaire ou personne qui n’utilise pas le Service) : les renseignements inscrits sur le débiteur, la transmission par un lien valide 30 jours et le journal de ses consultations, sa finalité et ses délais de conservation. La facture n’est jamais portée au compte de la partie privative. Aucun nouveau sous-traitant ni nouveau transfert hors du Québec.
• Version 1.57 - 2 octobre 2026 — Sections 1, 2 et 5 : ajout de la remise de l’attestation du syndicat à la personne qui l’a demandée, souvent un courtier ou un notaire agissant pour le copropriétaire vendeur : le rôle du mandataire et l’adresse courriel de remise inscrits sur l’attestation, la transmission de l’attestation signée par un lien valide 30 jours, accompagnée de la facture des frais d’attestation lorsque le règlement de l’immeuble en prévoit, et le journal des consultations de ce lien, conservé trois ans. Le paiement des frais ne conditionne jamais la remise de l’attestation.
• Version 1.58 - 2 octobre 2026 — Sections 1, 2 et 5 : ajout du dossier de vente d’une partie privative, tenu par le conseil d’administration pour suivre une vente jusqu’à l’arrivée de l’acheteur : les noms et adresses courriel du promettant acheteur, du courtier immobilier et du notaire, les dates de la promesse d’achat et de la signature prévue, la demande de documents du promettant acheteur (art. 1068.2 du Code civil du Québec) avec la date de leur transmission et de la copie remise au propriétaire, et le motif d’un dossier abandonné ; sa finalité et sa conservation, avec le dossier du syndicat. Aucun nouveau sous-traitant, aucune communication à un tiers ni aucune sortie du Québec.
• Version 1.59 - 2 octobre 2026 — Section 5 : ajout du délai de conservation des dossiers de sinistre (cinq ans après le sinistre ou trois ans après sa résolution, selon la date la plus tardive ; 90 jours après la suppression d’un dossier par le conseil) et du retrait du titre du sinistre des frais de réclamation facturés lorsque le dossier est détruit. Aucun nouveau sous-traitant ni nouveau transfert hors du Québec.
• Version 1.60 - 3 octobre 2026 — Sections 1, 4 et 5 : ajout des codes de récupération du deuxième facteur (une empreinte irréversible par code, la date de création, le moment et la session d’utilisation), du compte des essais erronés et de leur blocage, et de la date de la dernière utilisation d’un code ; leur finalité, les courriels de sécurité qui les accompagnent et leur conservation. Aucun nouveau sous-traitant, aucune communication à un tiers ni aucune sortie du Québec.
• Version 1.61 - 6 octobre 2026 — Section 2 : l’infolettre n’est envoyée qu’à la personne qui l’a demandée. La création d’un compte n’inscrit plus à l’infolettre ; le formulaire d’inscription offre une case qui n’est jamais cochée d’avance, et l’abonnement ne commence qu’à la confirmation de l’adresse. Les abonnements que la création d’un compte avait inscrits d’office sont retirés, sauf lorsque la personne avait aussi demandé l’infolettre par un formulaire. Section 3 : pour une communication envoyée avec « Notifier et suivre la lecture », la traduction du message et la rédaction par IA (Anthropic) ne sont plus offertes, et son contenu n’est alors pas transmis hors du Québec ; seules les questions de sondage et leurs choix peuvent encore être traduits, ce que l’écran de rédaction indique à côté du bouton. Aucun nouveau sous-traitant, aucune nouvelle catégorie, aucun nouveau flux hors du Québec ni décision automatisée.
• Version 1.62 - 6 octobre 2026 — Section 1 : ajout du lecteur gratuit de la déclaration de copropriété, un outil public où une personne sans compte peut déposer une déclaration en PDF ; il la lit par des règles fixes, sans service d’intelligence artificielle, et ne demande ni compte, ni nom, ni courriel. Section 3 : ajout de Cloudflare (Turnstile), qui vérifie que les formulaires publics sont remplis par une personne et non par un robot ; il est utilisé depuis avant cette version et n’était pas nommé. Section 5 : le fichier déposé dans le lecteur gratuit et son résultat sont supprimés 24 heures après le dépôt, ou plus tôt à la demande de la personne. Section 9 : ajout du flux vers Cloudflare, hors du Québec. Aucune autre catégorie, finalité ni durée de conservation ne change.
• Version 1.63 - 6 octobre 2026 — Sections 1 et 5 : la personne qui a lu sa déclaration dans le lecteur gratuit peut choisir de la classer, avec le résultat de la lecture, au registre du syndicat qu’elle crée ensuite ; la copie de l’outil est supprimée au transfert ou, au plus tard, à l’expiration de la lecture, et le document classé suit les durées de conservation du registre. Le lien qui transporte ce choix ne contient pas le jeton de la personne ; ouvert dans un autre navigateur, il mène à une confirmation du conseil.
• Version 1.64 - 7 octobre 2026 — Section 5 : une copie d’un courriel envoyé par CondoAide pour le syndicat ou en son nom, revenue dans la boîte du syndicat (par exemple par le transfert automatique d’une autre de ses adresses), n’est pas une correspondance reçue ; elle est détruite à la tâche quotidienne de destruction qui suit sa réception, au lieu d’être conservée 36 mois.
• Version 1.65 - 9 octobre 2026 — Sections 1 et 5 : ajout du nom donné par une personne qui entre dans une réunion tenue dans CondoAide par le lien d’invitation, de la décision de l’admettre et de son auteur, et de l’association du compte d’un membre connecté à sa participation, recueillis depuis août 2026 sans figurer à la politique ; ces renseignements sont détruits 30 jours après la fin de la réunion.