📋 Sommaire
Résumé en langage clair Aperçu rapide Portée Où cela s'applique Renseignements personnels que nous recueillons Pourquoi nous les utilisons IA : utilisation, consentement et choix Base juridique par juridiction Conservation et destruction Partage avec des tiers Vos droits et vos choix Incidents de confidentialité / violations ContactRésumé en langage clair
Solexi vous aide à organiser et transmettre votre héritage numérique. Pour fournir le service, nous traitons certains renseignements personnels (coordonnées du compte, contenu que vous téléversez, paramètres de transmission). Cette politique explique ce que nous recueillons, pourquoi, combien de temps nous le conservons, avec qui nous le partageons et quels sont vos droits.
Portée
Cette politique s'applique à notre site Web (solexi.ai), nos applications et nos services (collectivement, les « Services »), y compris toutes les demandes liées à la transmission aux héritiers et mandataires.
Renseignements personnels que nous recueillons
1) Renseignements que vous fournissez
- Compte : courriel, nom d'utilisateur, mot de passe haché, préférences, jetons SSO.
- Contenu : fichiers (photos, vidéos, documents, audio) et métadonnées (titres, étiquettes, liens de parenté, notes).
- Paramètres de transmission : désignation des héritiers/mandataires, règles d'accès, conditions de déclenchement, messages programmés.
- Soutien : messages, pièces jointes, informations que vous fournissez lorsque vous nous contactez.
2) Renseignements recueillis automatiquement
- Données techniques : adresse IP, horodatage de connexion, type d'appareil, navigateur, identifiants de session, pages consultées.
- Témoins (cookies) : témoins essentiels uniquement (session, CSRF). Aucun suivi publicitaire ou comportemental.
- Analytique : métriques agrégées et anonymisées via un outil respectueux de la vie privée. Aucun identifiant personnel stocké.
3) Renseignements sensibles
Certains contenus peuvent être hautement sensibles (financiers, juridiques, messages personnels). Nous appliquons des protections renforcées : chiffrement AES-256 au repos et contrôles d'accès stricts.
Pourquoi nous utilisons ces renseignements
- Fournir et sécuriser les Services (création de compte, authentification, contrôle d'accès)
- Stocker et organiser votre contenu selon vos instructions explicites
- Exécuter vos règles de transmission aux héritiers et mandataires au moment que vous spécifiez
- Traiter vos demandes, plaintes et demandes d'exercice de droits
- Détecter et prévenir la fraude, les abus et les incidents de sécurité
- Respecter les obligations légales en vertu du droit canadien et québécois
- Améliorer la fiabilité en utilisant des données agrégées et anonymisées
IA : utilisation, consentement et choix
Fonctionnalités assistées par l'IA
Les fonctionnalités optionnelles (structuration du contenu, recherche dans le coffre-fort) peuvent utiliser l'IA. Elles nécessitent un consentement explicite. Retirez votre consentement à tout moment depuis les paramètres de votre compte.
Entraînement de modèles d'IA
Le contenu de votre coffre-fort n'est pas utilisé pour entraîner des modèles d'IA publics. Le traitement par l'IA opère exclusivement sur vos données, dans votre coffre-fort, selon vos autorisations.
Transparence
Les fonctionnalités d'IA actives sont clairement identifiées dans l'interface. Vous pouvez voir quelles données ont été traitées et désactiver la fonctionnalité. Consultez l'onglet Politique IA pour tous les détails.
Base juridique par juridiction
Canada et Québec
- Consentement : base principale (LPRPDE ; Loi 25)
- Nécessité : traitement requis pour exécuter votre contrat
- Obligation légale : conservation/divulgation requise par la loi
- Loi 25 : ÉFVP pour les nouvelles fonctionnalités ; registre d'incidents ; avis de 72 h
Union européenne (le cas échéant)
- Consentement (Art. 6(1)(a) RGPD) — fonctionnalités optionnelles, témoins
- Exécution du contrat (Art. 6(1)(b)) — prestation principale
- Obligations légales (Art. 6(1)(c)) — conservation obligatoire
- Intérêts légitimes (Art. 6(1)(f)) — fraude, sécurité
Conservation et destruction
| Catégorie | Conservation | Base | Suppression |
|---|---|---|---|
| Identifiants de compte | Jusqu'à suppression + 30 jours | Contrat | Suppression sécurisée ; sauvegardes purgées sous 90 jours |
| Contenu du coffre-fort | Jusqu'à suppression par l'utilisateur | Consentement | Suppression immédiate ; sauvegardes 90 jours |
| Paramètres de transmission | Jusqu'à révocation | Consentement | Identique au coffre-fort |
| Journaux de sécurité | 90 jours glissants | Intérêt légitime | Rotation automatique |
| Messages de soutien | 3 ans | Obligation légale | Suppression sécurisée |
| Dossiers financiers | 7 ans | ARC (loi fiscale) | Archive chiffrée |
| Liste d'attente / prospects | Désinscription ou 2 ans | Consentement | Purge automatique |
Partage avec des tiers
Nous partageons des données uniquement avec des fournisseurs qui traitent en notre nom. Nous ne vendons pas de renseignements personnels.
| Sous-traitant | Finalité | Localisation | Mesures de protection |
|---|---|---|---|
| Infrastructure infonuagique | Calcul, stockage chiffré, CDN | Canada / É.-U. | EST ; AES-256 ; CCT |
| Courriel transactionnel | Vérification, alertes | É.-U. (CCT) | EST ; aucun usage marketing |
| Authentification (SSO) | Validation de jetons OAuth 2.0 | É.-U. / Canada | Données minimales ; CCT |
| Analytique | Métriques agrégées | UE / Canada | Aucun témoin ; aucun RP |
| Processeur de paiement | Facturation (à venir) | É.-U. / Canada | Conforme PCI-DSS |
Vos droits et vos choix
- Accès — recevoir une copie dans un format structuré
- Rectification — corriger des données inexactes ou incomplètes
- Suppression — sous réserve des obligations légales de conservation
- Exportation — archive ZIP portable à tout moment
- Retrait du consentement — sans affecter le traitement antérieur
- Opposition — au traitement fondé sur l'intérêt légitime
- Plainte — auprès de la CAI (Québec) ou de l'autorité compétente
Incidents de confidentialité / violations
- Notification à la CAI dans les 72 heures suivant la confirmation d'un incident grave (Loi 25)
- Notification aux personnes concernées sans délai indu
- Tenue d'un registre confidentiel des incidents
- Documentation de la cause, des mesures correctives et du résultat
Contact
Responsable de la protection des renseignements personnels (RPRP)
- Nom : Daniel Tanguay, PDG et fondateur
- Courriel : Daniel@solexi.ai
- Téléphone : +1-514-570-3074
- Adresse : 527 rue Lacasse, Terrebonne, QC J6W 4Y7, Canada
Autres contacts
- Sécurité : security@solexi.ai
- Général : solexi.ai/contact/
- CAI (Québec) : cai.gouv.qc.ca
📋 Sommaire
Principe de sécurité Contrôles de sécurité Actif / En cours / Planifié Modèle de menaces Feuille de route 24 mois Conformité et cadres normatifs Contact sécurité🔒 Principe de sécurité
La confiance se mérite par la précision, pas par le battage publicitaire. Cette page documente honnêtement la posture de sécurité de Solexi — ce qui est actif, ce qui est en cours, ce qui est planifié. Nous ne revendiquons pas de certifications que nous n'avons pas obtenues.
🛡️ Contrôles de sécurité
● Actif ● En cours ● Planifié
TLS 1.3 privilégié sur tous les points de terminaison. HSTS appliqué (max-age 1 an). Suites de chiffrement modernes uniquement (ECDHE, AES-GCM, CHACHA20).
AES-256-GCM pour le contenu du coffre-fort et les données de compte. Chiffrement enveloppe via KMS infonuagique. Rotation annuelle des clés.
Hachage bcrypt (coût ≥ 12). Min. 10 caractères. MFA TOTP disponible. Limitation du débit de connexion. À venir : Passkey/WebAuthn (Phase 2).
Basé sur les rôles. Accès héritier en lecture seule par défaut. Moindre privilège pour le soutien — aucun accès au coffre-fort sans demande explicite.
Connexion, accès aux fichiers, modifications de permissions, déclenchements de transmission, actions d'administration. Conservation glissante de 90 jours. Exportation sur demande.
Sauvegardes quotidiennes automatisées. Historique glissant de 30 jours. Tests de restauration trimestriels. À venir : Multi-région (Phase 2).
Analyse automatique des dépendances à chaque envoi. Correctifs critiques ≤ 72 h. À venir : Test d'intrusion annuel (Phase 2, S2 2026).
security@solexi.ai — prise en charge 24 h. Basé sur la gravité : Critique = immédiat, Élevé = 24 h, Moyen = 72 h. Notification Loi 25.
⚠️ Modèle de menaces
Solexi est conçue pour protéger des données personnelles hautement sensibles. Nous protégeons contre :
- Accès non autorisé — MFA, RBAC, gestion de session, limitation du débit
- Exfiltration de données — AES-256, TLS 1.3, journalisation d'audit, surveillance des flux sortants
- Menaces internes — moindre privilège, aucun accès au coffre-fort sans incident/demande, piste d'audit
- Prise de contrôle de compte — bcrypt, MFA TOTP, détection d'anomalies de connexion, codes de récupération
- Chaîne d'approvisionnement — analyse des dépendances, EST avec les fournisseurs, supervision des sous-traitants
- Perte de données — sauvegardes quotidiennes chiffrées, conservation 30 jours, tests de restauration trimestriels
🗺️ Feuille de route sécurité (24 mois)
- TLS 1.3 + AES-256 sur tous les points de terminaison
- RBAC avec portée des permissions héritier/mandataire
- MFA TOTP pour tous les comptes
- Sauvegardes quotidiennes chiffrées avec tests de restauration trimestriels
- Journalisation d'audit (90 jours glissants)
- Processus de réponse aux incidents + registre Loi 25
- Prise en charge Passkey / WebAuthn
- Premier test d'intrusion annuel
- Redondance multi-région des sauvegardes
- Préparation SOC 2 Type I
- Programme de primes aux bogues (privé, sélectionné)
- Audit SOC 2 Type II
- Option de chiffrement à connaissance zéro
- Surveillance des menaces en temps réel
- Exercice annuel d'équipe rouge
📜 Conformité et cadres normatifs
| Loi / Norme | Statut | Notes |
|---|---|---|
| Loi 25 (Québec) | ✓ Actif | ÉFVP, registre d'incidents, notification 72 h, RPRP nommé |
| LPRPDE (Canada) | ✓ Actif | Collecte fondée sur le consentement ; 10 principes de gestion équitable |
| RGPD (UE) | ○ Partiel | CCT en place ; conformité complète prévue si utilisateurs UE intégrés |
| SOC 2 | ◒ Planifié | Préparation Type I Phase 2 ; Type II en 2027 |
📬 Contact sécurité
Signaler une vulnérabilité
Courriel : security@solexi.ai
Réponse : Prise en charge dans les 24 heures
Divulgation responsable : Nous suivons un processus de divulgation coordonnée. Nous n'engagerons aucune poursuite contre les chercheurs en sécurité agissant de bonne foi.
Demandes générales de sécurité
PDG/RPRP : Daniel Tanguay
Courriel : Daniel@solexi.ai
Téléphone : +1-514-570-3074
Adresse : 527 rue Lacasse, Terrebonne, QC J6W 4Y7
🤖 Politique IA — Le consentement d'abord
Solexi utilise l'IA de manière responsable, avec des limites claires. Cette politique couvre chaque fonctionnalité liée à l'IA dans la plateforme — ce qu'elle fait, quelles données elle touche et comment vous gardez le contrôle.
1. Quelles fonctionnalités d'IA existent
- Assistance à la structuration du contenu — suggère l'organisation de vos documents téléversés (dossiers, étiquettes, chronologies). Traite vos fichiers localement dans le contexte de votre coffre-fort.
- Recherche dans le coffre-fort — recherche en langage naturel dans votre contenu. Les index sont limités à votre coffre-fort uniquement.
- Préparation de l'expérience commémorative — fonctionnalité future optionnelle pour aider à créer une base documentaire pour un mémorial assisté par l'IA. Nécessite un consentement explicite et distinct.
2. Modèle de consentement
Adhésion volontaire uniquement
Chaque fonctionnalité d'IA est désactivée par défaut. Vous devez activer explicitement chaque fonctionnalité. Vous pouvez désactiver toute fonctionnalité à tout moment depuis les paramètres de votre compte sans affecter les autres services.
Contrôle granulaire
Le consentement est par fonctionnalité, pas global. Activer la recherche dans le coffre-fort n'active pas la structuration du contenu. Chaque fonctionnalité dispose de son propre interrupteur et de son explication.
3. Traitement des données
- Périmètre de traitement : L'IA opère exclusivement sur vos données, dans les limites de votre coffre-fort. Aucun partage de données entre utilisateurs.
- Aucun entraînement de modèle : Le contenu du coffre-fort n'est jamais envoyé à des fournisseurs d'IA tiers pour entraîner des modèles généraux.
- IA tierce : Si un service d'IA tiers est utilisé pour le traitement (p. ex. un LLM pour la recherche), les données sont envoyées via une API chiffrée, ne sont pas stockées par le fournisseur et sont couvertes par un accord de traitement des données.
- Journaux : Les événements de traitement par l'IA sont enregistrés dans votre piste d'audit. Vous pouvez les consulter à tout moment.
4. Transparence
- Lorsqu'une fonctionnalité d'IA est active, elle est clairement identifiée dans l'interface (badge, icône ou indicateur).
- Vous pouvez toujours voir quelles données ont été traitées par l'IA et quel résultat a été généré.
- Le contenu généré par l'IA n'est jamais présenté comme étant créé par un humain sans attribution claire.
- Nous publions un journal des modifications des fonctionnalités d'IA, des modèles utilisés et des mises à jour du traitement des données.
5. Contrôles de sécurité
- Révision des résultats : Les suggestions générées par l'IA sont toujours présentées comme des propositions — vous approuvez, modifiez ou rejetez avant tout enregistrement.
- Aucune action autonome : L'IA ne peut pas modifier votre coffre-fort, envoyer des messages ou déclencher des transmissions sans votre confirmation explicite.
- Conscience des biais : Nous documentons les limitations connues des modèles d'IA et ne revendiquons pas une précision au-delà de ce que le modèle peut offrir.
- Gestion des incidents : Les incidents liés à l'IA suivent le même processus que les incidents de sécurité (voir l'onglet Sécurité).
6. Vos droits en matière d'IA
- Droit de savoir : Quelles fonctionnalités d'IA sont actives, quelles données elles traitent, quels modèles sont utilisés.
- Droit de désactiver : Désactivez toute fonctionnalité d'IA à tout moment, par fonctionnalité.
- Droit à une alternative humaine : Chaque fonctionnalité alimentée par l'IA dispose d'une alternative manuelle. L'IA n'est jamais obligatoire.
- Droit à une explication : Demandez une explication en langage clair de la façon dont une fonctionnalité d'IA a traité vos données.
- Droit de plainte : Contactez Daniel@solexi.ai ou la CAI (Québec).