Sécurité et hébergement au Québec

1. Où sont vos données

L’infrastructure qui héberge les données de votre syndicat est située au Québec :

• Application web : servie par Vercel depuis la région Montréal (yul1).
• Base de données et fichiers stockés : Supabase, région ca-central-1 (Montréal).
• Envoi et réception des courriels : Amazon SES, région ca-central-1 (Montréal).
• Prélèvement des charges de copropriété : Zūm Rails, région AWS ca-central-1 (Montréal) ; notre entente lui interdit tout traitement hors du Québec des renseignements que nous lui transmettons sans notre accord écrit préalable.
• Analyse des documents importés (carnet d’entretien, étude du fonds de prévoyance, relevé bancaire, facture d’un fournisseur, déclaration de copropriété) : service auto-hébergé chez OVHcloud, à Beauharnois (Québec).
• Analyse antivirus des pièces jointes importées : service auto-hébergé chez OVHcloud, à Beauharnois (Québec).
• Visioconférence, enregistrement et transcription des séances et des réunions : serveur auto-hébergé chez OVHcloud et fichiers dans OVHcloud Object Storage, à Beauharnois (Québec) ; le résumé facultatif produit par l’intelligence artificielle est fait sur ce même serveur ; rien d’une séance ne quitte le Québec.
• Notifications de l’application mobile : un avis qui ne contient qu’un texte générique et trois identifiants techniques transite par Expo, aux États-Unis, puis par le service de notification d’Apple ou de Google, hors du Québec.
• Agendas connectés : lorsqu’un membre du conseil ou une personne du personnel d’un gestionnaire connecte son propre agenda Google ou Microsoft, CondoAide demande à ce fournisseur, aux États-Unis, les seules plages où la personne est occupée ; le jeton d’autorisation est conservé chiffré dans la base de données au Québec, et les plages ne sont gardées qu’environ 5 minutes.
• Copie des archives dans le OneDrive du syndicat (sur décision de son conseil d’administration) : chaque semaine, CondoAide écrit la copie complète des archives du syndicat dans un dossier réservé du compte OneDrive que la personne propriétaire du compte a connecté ; Microsoft décide où ce compte est hébergé, possiblement hors du Québec, et cette copie est sous la responsabilité du syndicat, qui l’a choisie (section 9 de la Politique de confidentialité). Le jeton d’autorisation est conservé chiffré dans la base de données au Québec et détruit à la déconnexion.
• Importation du courriel depuis un compte Microsoft (à la demande d’un membre du conseil d’administration) : CondoAide lit, pendant l’importation, les dossiers choisis du compte Microsoft de l’ancienne adresse du syndicat, hébergé là où Microsoft le décide, possiblement hors du Québec, et verse les courriels dans la boîte du syndicat, au Québec. Le jeton d’autorisation est conservé chiffré dans la base de données au Québec et détruit dès que l’importation prend fin, quelle qu’en soit la raison.
• Sauvegardes principales : conservées au Québec, à Montréal.
• Sauvegardes secondaires : conservées au Québec, à Beauharnois, chez un fournisseur distinct.
• Vérification de la licence RBQ d’un entrepreneur : VériBât, un autre service de Solutions Nicvi inc. (la même entreprise que CondoAide), exécuté dans la région Montréal (yul1).
• Vérification antirobot des formulaires publics (connexion, inscription, formulaire de contact, outils gratuits) : Cloudflare Turnstile, sur le réseau mondial de Cloudflare, hors du Québec ; il reçoit des données techniques du navigateur, jamais le contenu d’un formulaire ni un document.
• Vos données de copropriété (registre, finances, documents, communications, procès-verbaux) sont hébergées au Canada. Certaines sont transmises hors du Canada : le paiement de votre abonnement via Stripe, qui conserve aussi les mandats de prélèvement des charges établis chez Stripe avant le passage à Zūm Rails, les courriels marketing et le relais de secours des courriels transactionnels via Brevo en Union européenne, les fonctionnalités d’intelligence artificielle d’Anthropic aux États-Unis, la vérification antirobot de Cloudflare (Turnstile), sur son réseau mondial, et la vérification des plages occupées d’un agenda Google ou Microsoft qu’une personne choisit de connecter, aux États-Unis. S’y ajoute, sur décision du conseil d’administration d’un syndicat, la copie hebdomadaire de ses archives dans le compte OneDrive qu’il connecte lui-même, hébergé là où Microsoft le décide : cette copie est celle du syndicat, sous sa responsabilité. Ces cas sont décrits à la section 6 ci-dessous et dans la section 9 de la Politique de confidentialité.
• S’y ajoute, lorsqu’un membre du conseil d’administration connecte le compte Microsoft de l’ancienne adresse du syndicat pour en importer le courriel, la lecture de ce compte chez Microsoft, hébergé là où Microsoft le décide, possiblement hors du Québec, le temps de l’importation (section 9 de la Politique de confidentialité).

2. Chiffrement

Le chiffrement intervient à plusieurs niveaux, chacun avec un rôle précis :

• Données au repos — AES-256 sur la base de données, les sauvegardes et les fichiers stockés. Géré par l’infrastructure sous-jacente (AWS, qui héberge la région ca-central-1 de Supabase).
• Données en transit — TLS 1.3 entre votre navigateur, notre application et nos services internes.
• Mots de passe — Hachés avec bcrypt. Le hachage est à sens unique — vos mots de passe ne sont jamais hébergés en clair, jamais réversibles, et personne chez CondoAide (incluant les administrateurs) ne peut les consulter. Il s’agit d’une des meilleures pratiques recommandées en protection des données, et CondoAide en fait une partie intégrante de son programme de sécurité.
• Jetons d’authentification (JWT) — Signés cryptographiquement avec ECDSA sur courbe P-256 (ES256). La signature est asymétrique : la clé qui signe les jetons n’est jamais partagée avec les services qui les vérifient, et un jeton ne peut pas être altéré sans être détecté.

3. Loi sur la protection des renseignements personnels dans le secteur privé

Depuis 2023, la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) impose des obligations directes aux syndicats de copropriété, qui sont responsables des renseignements personnels de leurs copropriétaires. Ces obligations sont maintenant intégrées à la Loi sur la protection des renseignements personnels dans le secteur privé. Voici les mesures que CondoAide a mises en place :

• Personne responsable de la protection des renseignements personnels désignée publiquement chez CondoAide — voir la section 7 de notre Politique de confidentialité.
• Politiques et pratiques de gouvernance adoptées le 30 juillet 2026 — procédure de réponse aux incidents, registre des incidents, procédure de traitement des plaintes et calendrier de conservation. Le résumé public est à la page Gouvernance.
• Registre des incidents de confidentialité tenu à l’interne, avec engagement de notification à la Commission d’accès à l’information du Québec dans les meilleurs délais suivant la confirmation d’un incident à risque. Notre cible interne est de notifier dans les 72 heures.
• Politique de conservation et de destruction des données, avec délais précis par catégorie de donnée — voir la section 5 de notre Politique de confidentialité.
• Droit d’accès, de rectification et autres droits légaux : chaque copropriétaire peut consulter et corriger ses renseignements personnels via la plateforme ou en contactant la personne responsable.
• Hébergement au Québec : selon notre évaluation, l’hébergement québécois de l’application, de la base de données et de l’envoi des courriels ne constitue pas un transfert hors Québec au sens de la Loi 25. Les flux encadrés par contrat qui sortent du Québec (paiement de votre abonnement et mandats de prélèvement des charges établis chez Stripe avant le passage à Zūm Rails, courriels marketing et relais de secours des courriels transactionnels, fonctionnalités d’intelligence artificielle, vérification antirobot des formulaires publics) sont listés à la section 6. La vérification des plages occupées d’un agenda Google ou Microsoft, qu’une personne choisit elle-même de connecter, sort aussi du Québec (section 6). La copie hebdomadaire des archives d’un syndicat dans le compte OneDrive que son conseil d’administration connecte lui-même est une communication du syndicat, pas la nôtre : Microsoft en décide le lieu, et l’évaluation prévue à l’article 17 revient au syndicat, que l’écran de connexion en informe (section 1).
• Notifications de l’application mobile : l’avis transite par Expo, aux États-Unis, puis par Apple ou Google, hors du Québec (section 6) ; il ne contient qu’un texte générique et trois identifiants techniques.

4. Accès et journalisation

L’accès aux données de votre syndicat est strictement contrôlé :

• Permissions granulaires : administrateurs du conseil, copropriétaires et résidents ont des niveaux d’accès distincts définis par votre déclaration de copropriété.
• Authentification forte : un deuxième facteur est offert pour tous les comptes, par une application d’authentification ou par une clé d’appareil (Touch ID, Face ID, clé de sécurité). La vérification biométrique se fait sur votre appareil : votre empreinte ou votre visage ne nous est jamais transmis, et nous ne recevons qu’une clé publique et une signature. Une clé synchronisée par votre gestionnaire de mots de passe (trousseau iCloud, Google, 1Password) est aussi conservée, chiffrée, par ce fournisseur, possiblement hors du Québec ; CondoAide ne lui communique rien.
• Journal d’audit : toutes les actions sensibles (consultation de documents financiers, modification du registre, génération d’attestations) sont journalisées et horodatées.
• Liens de rendez-vous : le lien qu’un membre du conseil transmet pour prendre rendez-vous avec lui contient un code aléatoire. Il ne montre que ses heures libres, jamais le titre ni le détail de ses événements. Chaque réservation est vérifiée de nouveau par nos serveurs au moment de la confirmer, le nombre de demandes est limité, et le membre peut désactiver ou remplacer son lien à tout moment. Ces pages ne sont pas indexées par les moteurs de recherche.
• Accès du personnel CondoAide : limité aux personnes ayant un besoin opérationnel précis (soutien technique, dépannage) et soumis à des ententes de confidentialité. Pour voir dans la console d’administration les renseignements personnels d’un syndicat (liste des membres, identité des signataires, documents du syndicat), le personnel doit ouvrir un accès en indiquant un motif ou une référence de demande ; cet accès dure au plus deux heures, et chaque consultation est consignée dans un journal que personne ne peut modifier ni effacer. Un signalement envoyé au soutien est lu par le personnel pour y répondre. Le personnel ne peut plus se connecter à la place d’un utilisateur réel.

5. Sauvegardes et continuité

Votre syndicat ne peut pas se permettre de perdre son registre, ses procès-verbaux ou son carnet d’entretien. Notre stratégie de sauvegarde suit le principe industriel 3-2-1 (trois copies, deux supports, une copie hors site) :

• Sauvegardes Supabase : instantanés quotidiens de la base de données.
• Sauvegardes additionnelles au Québec — Montréal : sauvegardes de la base de données toutes les 4 heures et des fichiers de stockage quotidiennement, conservées 30 jours.
• Sauvegardes additionnelles au Québec — Beauharnois : copie miroir quotidienne chez un second fournisseur québécois distinct, pour résilience géographique.
• Continuité de service : nos engagements si CondoAide cessait ses activités (préavis, accès en lecture seule, remise de l’archive complète) sont publiés sur la page Continuité de service, et l’archive complète se télécharge en tout temps dans les paramètres du syndicat.

6. Sous-traitants

CondoAide s’appuie sur un petit nombre de fournisseurs spécialisés. Ceux qui traitent des renseignements en notre nom sont liés par contrat à des obligations de confidentialité et de protection des renseignements personnels équivalentes à celles qu’exige la loi québécoise. Les services que la personne choisit elle-même, comme le service de notification de son navigateur ou son agenda Google ou Microsoft, n’agissent pas en notre nom et ne sont liés à CondoAide par aucun contrat de traitement ; leur description le précise. Pour les sous-traitants principaux :

• Vercel — Hébergement de l’application web, région Montréal (yul1). Certifié SOC 2 Type 2.
• Supabase — Base de données PostgreSQL, authentification, stockage de fichiers. Région ca-central-1 (Montréal). Certifié SOC 2 Type 2.
• Stripe — Le paiement de votre abonnement à CondoAide (carte de crédit, PAD). Stripe conserve aussi, pour le compte des syndicats, les mandats et l’historique des prélèvements de charges établis chez Stripe avant que la collecte des charges passe à Zūm Rails. Certifié SOC 2 Type 2, et PCI DSS niveau 1 pour les données de carte. Données traitées au Canada et aux États-Unis, encadrées par une entente de traitement des données (DPA).
• Zūm Rails — La collecte automatique des charges par prélèvement préautorisé (PAD) : Zūm Rails prélève les charges sur le compte du copropriétaire, les dépose dans le portefeuille du syndicat chez Zūm Rails et les verse dans le compte bancaire du syndicat. Le copropriétaire saisit ses coordonnées bancaires directement dans Zūm Connect, l’interface de Zūm Rails, et CondoAide ne les reçoit pas ; le consentement au mandat, lui, est recueilli et conservé par CondoAide pour le compte du syndicat. Les renseignements que nous lui transmettons sont traités au Québec, dans la région AWS ca-central-1 (Montréal), encadrés par une entente écrite qui interdit tout transfert hors du Québec sans notre accord écrit préalable.
• Mandat signé sur papier : CondoAide transmet à Zūm Rails les numéros d’institution, de transit et de compte que le copropriétaire a écrits sur le mandat, sans les enregistrer dans ses systèmes ; CondoAide conserve au Québec la copie numérisée du mandat et celle du chèque annulé ou de la lettre de l’institution financière.
• Amazon Web Services (Amazon SES) — Envoi des courriels transactionnels du Service (confirmations, avis, rappels) et des courriels d’authentification (confirmation de compte, lien de connexion, réinitialisation de mot de passe). Région ca-central-1 (Montréal) : les courriels et leurs journaux de livraison sont traités au Québec. Certifié SOC 2 Type 2. Amazon Web Services, Inc. est une société américaine ; le traitement demeure au Canada et est encadré par l’entente de traitement des données (DPA) d’AWS. Il s’agit du même lien que celui qui existe déjà indirectement, puisque l’infrastructure de Supabase repose elle aussi sur AWS au Canada. Amazon assure aussi la réception des courriels adressés aux boîtes de syndicat, lorsque cette option est active : il reçoit le message, l’analyse à la recherche de pourriel et de maliciel, et le dépose temporairement, au plus 30 jours, dans un espace de stockage chiffré de la même région, avant que nous le versions dans notre propre base au Québec. Amazon transmet aussi à la boîte d’exploitation de CondoAide, dans la même région, les courriels adressés à postmaster@ et à abuse@ d’une adresse de syndicat.
• Brevo — Courriels marketing et gestion de nos listes de contacts ; sert aussi de relais de secours pour les courriels transactionnels lorsque l’envoi principal échoue. Entreprise européenne, données encadrées par une DPA conforme au RGPD.
• Cloudflare (Turnstile) — Vérification antirobot des formulaires publics (connexion, inscription, formulaire de contact, outils gratuits) : reçoit l’adresse IP et des données techniques du navigateur, jamais le contenu d’un formulaire ni un document. Réseau mondial, hors du Québec.
• Anthropic — Modèle d’intelligence artificielle, aux États-Unis, utilisé par l’assistant IA, par la lecture, à la demande, d’une police d’assurance du syndicat, par l’analyse, la rédaction et la traduction de textes, par les brouillons de réponse que l’équipe de CondoAide prépare à partir d’un signalement reçu au soutien, par la lecture de la plaque signalétique d’un chauffe-eau photographiée par le conseil d’administration ou par le copropriétaire de la partie privative, et par la lecture de la déclaration de copropriété lorsque les règles de notre service d’analyse ne suffisent pas ; celle-ci retire, avant l’envoi, les noms de personnes qu’elle détecte. Lorsque le tableau des fractions reste illisible, une personne autorisée du conseil d’administration peut aussi lui envoyer, après en avoir vu l’aperçu, l’image d’une page de ce tableau, recadrée au Québec sur la seule région du tableau, réduite et sans métadonnées ; le fichier de la déclaration n’est jamais transmis. Aucun identifiant d’utilisateur ni métadonnée de compte n’est transmis avec une requête, mais le contenu envoyé peut nommer le syndicat ou des personnes ; les conditions commerciales d’Anthropic lui interdisent de s’en servir pour entraîner ses modèles et, selon ses pratiques publiées, il les supprime dans les 30 jours, sous les exceptions décrites à la section 9 de notre Politique de confidentialité.
• OVHcloud (vectorisation de documents auto-hébergée) — Hébergement de notre modèle de vectorisation (bge-m3) auto-hébergé : le texte des documents du registre, à tous les niveaux d’accès, est converti en vecteurs numériques pour permettre la recherche autorisée. L’accès demeure régi par le niveau du document source ; l’assistant IA ne recherche que les documents ouverts aux copropriétaires, ou aux copropriétaires et aux locataires, que la personne peut lire, jamais ceux réservés au conseil. Région Beauharnois (Québec). Logiciel auto-hébergé ; aucune donnée ne quitte le Québec.
• OVHcloud (analyse de documents auto-hébergée) — Hébergement de notre service d’analyse des fichiers importés (carnet d’entretien, étude du fonds de prévoyance, relevé de compte bancaire du syndicat, facture d’un fournisseur jointe à un dossier de travaux, déclaration de copropriété du syndicat), qui en extrait les données à vérifier avant de les retenir. Il lit les PDF et, pour une facture, les images numérisées par reconnaissance optique de caractères. Il lit aussi chaque preuve d’assurance déposée ou importée, y compris une photo, pour en extraire l’assureur, le numéro de police, les dates et les montants de garantie ; leur lecture ne fait donc appel à aucun service d’intelligence artificielle. Pour un mandat signé sur papier, il lit aussi les numéros imprimés au bas du chèque annulé, que la personne qui enregistre le mandat confirme. Le fichier est lu pendant l’analyse puis écarté par ce service. Pour la déclaration de copropriété, le texte des pages est conservé dans notre base de données au Québec le temps de la lecture, puis détruit ; seule la proposition qui en résulte, dont les noms de personnes sont retirés, est conservée. Région Beauharnois (Québec). Logiciel auto-hébergé.
• OVHcloud (antivirus auto-hébergé) — Hébergement de notre antivirus auto-hébergé (ClamAV), qui analyse chaque pièce jointe d’un courriel importé dans la boîte du syndicat depuis son ancienne adresse, avant qu’elle puisse être ouverte. Le fichier est lu pendant l’analyse puis écarté par ce service ; seul le résultat est conservé. Région Beauharnois (Québec). Logiciel auto-hébergé.
• OVHcloud (OpenReplay auto-hébergé) — Hébergement de notre installation OpenReplay : télémétrie produit et enregistrement de session pour le soutien technique. Région Beauharnois (Québec). Logiciel auto-hébergé — aucune donnée ne quitte le Québec.
• OVHcloud (GlitchTip auto-hébergé) — Hébergement de notre installation GlitchTip : suivi des erreurs, exceptions et journaux applicatifs. Région Beauharnois (Québec). Logiciel auto-hébergé — aucune donnée ne quitte le Québec.
• OVHcloud (Plausible auto-hébergé) — Hébergement de notre installation Plausible : analytique web agrégée sans témoins (visiteurs, pages consultées, sources de trafic, ville et pays) sur les pages publiques du site. L’adresse IP est utilisée momentanément pour déterminer la ville puis immédiatement supprimée ; elle n’est jamais conservée. Région Beauharnois (Québec). Logiciel auto-hébergé — aucune donnée ne quitte le Québec.
• OVHcloud (serveur de visioconférence auto-hébergé) — Hébergement de notre serveur de visioconférence (LiveKit), qui relaie l’audio et la vidéo des séances d’assemblée, des réunions du conseil d’administration et des réunions tenues en ligne dans CondoAide. Une séance ou une réunion n’est enregistrée que si le conseil d’administration l’a décidé pour celle-ci, et seules les personnes qui y consentent sont enregistrées, chacune sur ses propres pistes : leur voix et, lorsque le forfait du syndicat le prévoit, leur image et leur écran partagé ; une personne qui refuse n’est dans aucun fichier (section 1 de la politique de confidentialité). Dans une réunion tenue en ligne, il relaie aussi les messages du clavardage de la réunion, en temps réel et sans les conserver. Catégories : image et voix des participants pendant la séance, nom affiché, horodatage des connexions, messages du clavardage d’une réunion, pendant leur transit ; pour une séance enregistrée, voix et, le cas échéant, image et écran partagé des personnes qui y ont consenti. Localisation : Canada (Beauharnois, Québec). Logiciel auto-hébergé - LiveKit Inc. n’est pas sous-traitante ; le sous-traitant opérationnel est OVHcloud.
• OVHcloud (enregistrement, transcription et résumé des séances, auto-hébergés) — Hébergement, sur le même serveur que la visioconférence, de l’enregistrement des séances et des réunions, de leur transcription et de leur résumé facultatif. Après la séance, les pistes des personnes qui ont consenti sont réunies en un seul fichier d’écoute, puis transcrites par un modèle de reconnaissance de la parole (Whisper) que nous exploitons nous-mêmes ; chaque passage est attribué à la personne connectée dont il provient, jamais par la reconnaissance de sa voix. Aucune empreinte vocale n’est calculée ni conservée. Les pistes d’image et d’écran ne sont jamais analysées (ni reconnaissance, ni détection, ni extraction de leur contenu) : elles sont seulement réencodées, c’est-à-dire décodées puis compressées de nouveau, pour permettre de se déplacer à tout moment de la lecture, et coupées avant un vote secret ou après un retrait de consentement. Lorsque le syndicat a choisi les résumés produits par l’intelligence artificielle, un modèle de langue à poids ouverts que nous exploitons sur ce même serveur rédige un résumé de chaque point d’une séance d’assemblée ou d’une réunion du conseil d’administration, ou un résumé d’une réunion tenue dans CondoAide, à partir des seules paroles des personnes qui l’ont accepté séparément ; le micro d’une salle n’y sert jamais, et seuls les totaux d’un vote lui sont fournis. Seuls le conseil d’administration et, s’il y en a un, le gestionnaire du syndicat lisent ces résumés ; ils revoient celui d’une séance avant de s’en servir dans le procès-verbal. Catégories : voix et, le cas échéant, image et écran partagé des personnes qui ont consenti, texte de ce qu’elles ont dit, nom affiché, résumé. Localisation : Canada (Beauharnois, Québec). Logiciel auto-hébergé - aucune donnée ne quitte le Québec.
• OVHcloud Object Storage (fichiers des enregistrements) — Conservation des fichiers audio et, le cas échéant, vidéo (image et écran partagé) des séances et des réunions enregistrées, dans des espaces de stockage privés. Un fichier n’est lu que par un lien de courte durée, émis après la vérification que la personne peut l’écouter, et chaque écoute est consignée (une ligne chaque fois qu’une personne lance l’écoute depuis la page, même si l’écoute reprend plusieurs fois). Les fichiers sont détruits selon les délais de la section 5 de la politique de confidentialité et ne sont pas copiés dans nos sauvegardes. Catégories : voix et, le cas échéant, image et écran partagé des personnes qui ont consenti à l’enregistrement. Localisation : Canada (Beauharnois, Québec).
• Expo, avec Apple et Google (notifications de l’application mobile) — Expo remet les notifications de l’application mobile au service d’Apple (APNs) ou de Google (Firebase Cloud Messaging), ses sous-traitants pour cette remise. Reçoivent le jeton du téléphone et un avis lisible, limité à un texte générique et à trois identifiants techniques (catégorie, syndicat, élément visé). États-Unis.
• Google et Microsoft (agendas connectés) — Seulement si un membre du conseil ou une personne du personnel d’un gestionnaire connecte son propre agenda : reçoivent le jeton d’autorisation, l’identifiant des agendas choisis et la période à vérifier, et ne renvoient que les plages occupées, sans titre, lieu ni participants. Le jeton est conservé chiffré dans la base de données au Québec ; les plages sont gardées environ 5 minutes. Ils n’agissent pas en notre nom : chacun traite ces renseignements comme responsable indépendant, selon ses propres conditions, sans contrat de traitement avec CondoAide. Hors du Québec. Entreprises établies aux États-Unis.
• iDrive e2 (sauvegardes hors site) — Conservation de nos sauvegardes : copie de la base de données toutes les quatre heures et copie quotidienne des fichiers téléversés (documents du registre, pièces jointes). Les sauvegardes conservent les renseignements confiés au Service. Les index de recherche vectorielle et leur file de traitement ne sont pas copiés, puisqu’ils sont recréés à partir des fichiers source après une restauration. Catégories : toutes les catégories décrites ci-dessus. Rétention : 30 jours. Localisation : Canada (Montréal, Québec).
• OVHcloud (copie secondaire des sauvegardes) — Deuxième copie des mêmes sauvegardes, synchronisée une fois par jour depuis iDrive e2, afin que la défaillance d’un seul fournisseur ne fasse pas disparaître les sauvegardes. Catégories et rétention identiques à celles d’iDrive e2. Localisation : Canada (Beauharnois, Québec).
• OVHcloud (production des sauvegardes) — Hébergement de la tâche qui produit nos sauvegardes : elle lit la base de données toutes les quatre heures et les fichiers téléversés une fois par jour, chiffre la copie de la base de données sur ce serveur, puis transmet les copies à iDrive e2 et à la copie secondaire. Aucune sauvegarde n’y est conservée. Région Beauharnois (Québec). Logiciel auto-hébergé.
• En cas d’incident seulement : notre assureur et les fournisseurs de son groupe agréé d’intervention peuvent recevoir des renseignements aux fins de l’enquête, de la défense et des avis. Ils ne sont pas des sous-traitants du Service et ne reçoivent rien dans le cours normal.
• La liste complète et à jour des sous-traitants se trouve à la section 3 de notre Politique de confidentialité.

7. Témoins et consentement

À votre première visite sur le site public ou sur une page de connexion, une bannière vous demande si vous acceptez les témoins de télémétrie produit. Si vous refusez, aucun outil d’analytique n’est chargé. Les témoins strictement nécessaires (session, sécurité, langue) restent actifs indépendamment de votre choix — ils sont indispensables au fonctionnement du service. Votre choix est conservé localement (localStorage) et modifiable à tout moment via le lien « Réinitialiser mes préférences de témoins » au bas de chaque page.

8. Télémétrie et enregistrement de session

Notre télémétrie produit et notre suivi des erreurs applicatives sont des installations que nous opérons nous-mêmes sur l’infrastructure OVHcloud à Montréal. Aucune donnée de télémétrie ou d’erreur ne quitte le Québec.

• OpenReplay auto-hébergé sur OVHcloud Montréal — télémétrie produit (événements d’usage) et enregistrement de session pour le soutien technique.
• GlitchTip auto-hébergé sur OVHcloud Montréal — capture des erreurs, exceptions et journaux applicatifs pour corriger les bogues et tracer les incidents.
• Pseudonymisation : l’identifiant utilisateur transmis est un jeton opaque dérivé par hachage ; jamais votre courriel, votre nom ni votre identifiant Supabase.
• Masquage agressif (OpenReplay) : les champs de formulaire sont masqués automatiquement ; les écrans contenant des renseignements sensibles (PAD, attestation, registre, états financiers, preuves d’assurance, conformité, membres du syndicat, paiements) sont masqués intégralement.
• Minimisation (GlitchTip) : le contenu des requêtes (corps de formulaire, en-têtes d’authentification, témoins) est automatiquement supprimé avant l’enregistrement. Seules la trace d’exception, l’URL et les métadonnées techniques sont conservées.
• Adresse IP : non transmise à OpenReplay ni à GlitchTip.
• Rétention : 30 jours pour tous les flux — événements et enregistrements de session côté OpenReplay ; journaux applicatifs et événements d’erreur côté GlitchTip. Les groupes d’erreurs GlitchTip résolus sont conservés 90 jours pour la détection de régression.
• Vous pouvez désactiver l’enregistrement de session OpenReplay à tout moment depuis Profil → Enregistrement de session pour le support. GlitchTip reste actif indépendamment, étant strictement nécessaire à la qualité du service et configuré sans renseignements personnels directs.
• Analytique agrégée (Plausible). Pour mesurer le trafic global de nos pages publiques (visiteurs, pages, sources, ville et pays), nous utilisons une installation Plausible auto-hébergée sur la même infrastructure OVHcloud à Montréal. Plausible ne dépose aucun témoin, ne stocke aucun identifiant persistant, et ne capte aucun renseignement personnel direct. L’adresse IP est utilisée momentanément pour déterminer la ville puis immédiatement supprimée ; elle n’est jamais conservée. Cette mesure fonctionne pour tous les visiteurs indépendamment de votre choix sur la bannière, car aucun renseignement personnel n’est en jeu. Rétention : 24 mois. Voir §3 de notre Politique de confidentialité pour les détails.

9. Visioconférence et enregistrement des séances

Les séances d’assemblée, les réunions du conseil d’administration et les réunions tenues en ligne dans CondoAide passent par notre propre serveur de visioconférence. Aucun service de visioconférence externe ne reçoit l’image ni la voix des participants.

• Ce qui circule : l’image de votre caméra, votre voix, l’écran que vous choisissez de partager et votre nom affiché, relayés en temps réel aux seules personnes admises dans la même séance ou réunion.
• Vous décidez de ce qui est diffusé : votre micro est fermé à votre arrivée, vous pouvez rejoindre sans caméra, et vous pouvez fermer l’un ou l’autre, ou cesser de partager votre écran, à tout moment. Le flou d’arrière-plan est appliqué dans votre navigateur, avant l’envoi de l’image.
• Où : serveur LiveKit auto-hébergé chez OVHcloud, à Beauharnois (Québec), avec le relais qui aide une connexion à traverser un pare-feu. LiveKit Inc., qui publie ce logiciel libre, ne reçoit rien et n’est pas un sous-traitant ; OVHcloud héberge le serveur (section 6).
• Chiffrement : la connexion au serveur est chiffrée (TLS), et l’image et la voix sont chiffrées entre votre navigateur et le serveur (DTLS-SRTP). Le serveur les déchiffre pour les relayer aux autres participants : ce n’est pas un chiffrement de bout en bout.
• Sans enregistrement, rien n’est conservé : l’image, la voix et l’écran partagé ne font que transiter. Nous conservons seulement, pour une séance d’assemblée, l’heure des connexions et des déconnexions (journal de présence) et les messages du clavardage, et, pour une réunion tenue dans CondoAide, le nom des invités et la décision de les admettre, selon les délais de la section 5 de la Politique de confidentialité. Les journaux techniques du serveur ne contiennent que des identifiants, jamais l’image ni la voix.
• Enregistrement, sur décision du conseil : une séance ou une réunion n’est enregistrée que si le conseil d’administration le décide pour celle-ci, et l’écran d’entrée l’indique. Seules les personnes qui y consentent sont enregistrées, chacune sur ses propres pistes : leur voix et, lorsque le forfait du syndicat le prévoit, leur image lorsque leur caméra est ouverte et l’écran qu’elles partagent ; refuser n’empêche ni d’assister, ni de parler, ni de voter. L’écran partagé n’est jamais enregistré pendant un vote secret, et aucune analyse des visages n’est faite.
• Transcription et résumé facultatif : après la séance ou la réunion, les pistes sont transcrites par un modèle de reconnaissance de la parole que nous exploitons sur le même serveur ; aucune empreinte vocale n’est calculée. Si le syndicat l’a choisi, un modèle de langue exploité sur ce même serveur rédige aussi un résumé, à partir des seules paroles des personnes qui l’ont accepté séparément. Pour une séance d’assemblée ou une réunion du conseil d’administration, il résume chaque point ; le conseil d’administration et, s’il y en a un, le gestionnaire du syndicat revoient ce résumé avant de s’en servir dans le procès-verbal. Pour une réunion tenue dans CondoAide, il résume la réunion, et seuls le conseil d’administration et, s’il y en a un, le gestionnaire du syndicat peuvent lire ce résumé. Aucun enregistrement ne sert à entraîner un modèle.
• Stockage et écoute : les fichiers sont conservés dans un espace de stockage privé d’OVHcloud, à Beauharnois (Québec), et ne sont pas copiés dans nos sauvegardes. Une écoute passe par un lien de courte durée, émis après la vérification que la personne peut écouter, et chaque écoute est consignée.
• Durée : pour une séance d’assemblée, 90 jours après la séance, ou jusqu’à la transmission du procès-verbal si elle survient plus tard, et au plus tard 180 jours ; si le conseil l’a annoncé dans l’avis de convocation, jusqu’à l’adoption du procès-verbal à l’assemblée suivante, et au plus tard 13 mois. Pour une réunion du conseil, 90 jours. Pour une réunion tenue dans CondoAide, 30 jours, sauf la transcription et le résumé que le conseil verse au dossier des travaux ou de la demande dont elle a traité. Le résumé d’une séance est détruit dès la transmission du procès-verbal. Une mesure de conservation décidée en raison d’un litige suspend la destruction. Le détail est à la section 5 de la Politique de confidentialité.
• Vos droits : vous pouvez retirer votre consentement à tout moment pendant la séance, obtenir une copie de l’enregistrement de votre voix ou sa transcription, et demander la suppression de votre piste (section 6 de la Politique de confidentialité).

10. Questions ou plainte

Pour toute question sur la sécurité ou la confidentialité de vos données, pour exercer un de vos droits ou pour déposer une plainte, vous pouvez vous adresser à :

• Personne responsable de la protection des renseignements personnels : Nicolae Racovita
• Courriel : privacy@condoaide.ca
• Adresse postale : CondoAide, 4143 chemin Ste-Angélique, Saint-Lazare (Québec) J7T 2N5, Canada
• Si vous n’êtes pas satisfait de notre traitement de votre demande ou de votre plainte, vous avez aussi le droit de déposer une plainte auprès de la Commission d’accès à l’information du Québec : cai.gouv.qc.ca.