1. Qui est responsable

La personne responsable de la protection des renseignements personnels est le fondateur de Borealmap (nom, adresse postale et courriel dédié à compléter). Borealmap est une très petite entreprise : une seule personne y a accès aux renseignements.

Cette politique vise les renseignements dont Borealmap est elle-même responsable. Pour le contenu que votre employeur ou votre organisation place dans Borealmap, c’est cette organisation qui est responsable et Borealmap n’agit que pour son compte (voir la section 9).

2. Ce que nous recueillons

Nous recueillons le minimum nécessaire.

Identité de connexion : avec Microsoft, identifiant d’utilisateur et de locataire Microsoft Entra, nom d’affichage, appartenance aux groupes de licence, photo de profil si elle existe, à la connexion; avec le code par courriel, le nom et l’adresse courriel inscrits à l’invitation.
Utilisation du service : heures de connexion et actions du journal d’audit (qui a fait quoi, quand), sans le contenu ni le titre de vos schémas.
Journaux techniques : une ligne par requête (date, route, code de réponse, durée, adresse IP pseudonymisée). Aucun nom, courriel ou contenu.
Facturation : nom de l’organisation, contacts de facturation.
Soutien : vos courriels et pièces jointes.
Visiteurs de ce site : aucun outil d’analyse ni témoin de suivi n’est utilisé actuellement.
Nous ne recueillons pas de renseignements pour la publicité ou le profilage, ne vendons rien et n’utilisons aucune IA sur vos renseignements.

3. Pourquoi (finalités)

Authentifier les personnes et appliquer les licences; fournir, sécuriser et soutenir le service; détecter les abus et les incidents; facturer; répondre à vos demandes; respecter la loi. Aucune autre finalité sans nouvel avis ou consentement.

4. Témoins et stockage du navigateur

L’application utilise uniquement des témoins strictement nécessaires : un témoin de session et un témoin de liaison de la connexion, qui expirent au plus tard après 8 heures ou 2 heures d’inactivité (réglable). Aucun témoin publicitaire, de mesure d’audience ou de suivi.

Ce site conserve seulement votre choix de thème (clair ou foncé) dans le stockage local de votre navigateur. Il ne contient aucun témoin. Si des outils d’analyse sont ajoutés un jour, cette politique sera mise à jour et un consentement demandé avant leur activation.

5. Combien de temps nous les gardons

Sessions : 8 heures au plus (2 heures d’inactivité).
Journaux techniques : 30 jours.
Journal d’audit : réglable par l’administrateur de votre organisation, minimum 30 jours.
Sauvegardes : 30 jours glissants.
Courriels de soutien : durée à confirmer.
Factures et pièces comptables : durée exigée par la loi fiscale.
Registre des incidents : au moins 5 ans.
Après la fin du contrat de votre organisation : export pendant 30 jours, suppression ensuite, sauvegardes expirées au plus tard 30 jours plus tard (60 jours au total, cible).

6. Avec qui nous les partageons

Seulement avec nos sous-traitants, qui nous aident à fournir le service : Amazon Web Services (hébergement et courriels, à Montréal), Microsoft Entra ID (authentification, si votre organisation l’utilise) et un fournisseur de paiement (à confirmer). Nous ne communiquons des renseignements à une autorité que si la loi l’exige, après vérification, et en vous aidant à en être avisé lorsque c’est permis.

7. Où ils sont hébergés

Au Canada : Amazon Web Services (AWS), région Canada (Central), à Montréal; les copies de sauvegarde restent aussi à Montréal. Amazon est une société américaine; l’hébergement au Canada ne vous met pas à l’abri de toute loi étrangère. Certaines métadonnées de gestion du compte AWS peuvent être traitées hors du Canada. Nous menons une évaluation des facteurs relatifs à la vie privée avant tout nouveau projet touchant des renseignements personnels.

8. Vos droits

Vous pouvez demander l’accès à vos renseignements, leur rectification, leur suppression ou leur anonymisation lorsque la loi le permet, retirer un consentement, recevoir vos renseignements dans un format technologique structuré (dans la mesure prévue par la loi), nous interroger sur nos pratiques, et porter plainte à la Commission d’accès à l’information du Québec.

Écrivez à l’adresse de contact de la page Contact. Réponse dans les 30 jours (cible). Une identification raisonnable peut être demandée.

9. Si votre organisation utilise Borealmap

Les schémas, textes et images, ainsi que les comptes et licences de votre organisation, sont sous la responsabilité de celle-ci (« responsable »). Pour exercer vos droits sur ces renseignements, adressez-vous d’abord à votre employeur ou à votre organisation; nous les assisterons selon l’entente de traitement. Si vous nous écrivez directement, nous transmettons votre demande à l’organisation concernée sans y répondre nous-mêmes.

10. Incidents de confidentialité

Nous tenons un registre de tous les incidents de confidentialité. En cas d’incident présentant un risque de préjudice sérieux touchant des renseignements dont nous sommes responsables, nous avisons avec diligence la Commission d’accès à l’information et les personnes concernées. Pour les renseignements d’une organisation cliente, nous avisons celle-ci au plus tard 24 heures après la confirmation (cible).

11. Sécurité

Chiffrement en transit et au repos; accès limité; authentification par l’annuaire de votre organisation; limites de débit; journaux sans renseignements personnels; sauvegardes. Aucune mesure n’est parfaite; nous n’affirmons détenir aucune certification à ce jour.

12. Langue, modifications, contact

Cette politique est rédigée en français; une version anglaise est fournie à titre indicatif. Nous la mettons à jour au besoin, avec la date en tête et un avis aux organisations clientes pour tout changement important.

Politique de confidentialité