Vos données restent au Canada

Hébergement prévu chez Amazon Web Services (AWS), région Canada (Central), à Montréal. La base de données, les sauvegardes, les journaux et les courriels restent à Montréal.

Nous précisons les limites : Amazon est une société américaine, et certaines données de gestion du compte AWS (facturation, alertes) peuvent être traitées hors du Canada. L’expression « données hébergées au Canada » désigne l’application et les données de vos clients.

Deux façons de se connecter

Entreprises : on se connecte avec le Microsoft Entra ID de votre organisation. Seuls les groupes que vous désignez ont accès.
Individus et petites équipes : un administrateur invite chaque personne par courriel. Elle se connecte avec un code à 6 chiffres reçu par courriel, valable 10 minutes. Chaque invitation prend une licence.
Dans les deux cas, nous ne stockons aucun mot de passe.
Avec Entra, quand une personne quitte le groupe, son accès prend fin à la connexion suivante (au plus tard 8 heures pour une session déjà ouverte).
Les sessions durent au maximum 8 heures et se ferment après 2 heures d’inactivité (réglable).
Statut : en pilote. La connexion Entra est testée en simulateur, à valider avec votre locataire.

Aucune IA fournie par Borealmap

Nous ne fournissons aucune intelligence artificielle, nous n’envoyons vos données à aucun fournisseur d’IA et nous n’entraînons aucun modèle. Si vous le souhaitez, vous pouvez connecter votre propre IA d’entreprise : vous décidez si, quoi et vers où. Si votre IA est un service externe, la responsabilité de ce qu’elle reçoit est la vôtre.

Protection technique (conception cible)

Chiffrement des échanges (TLS) et chiffrement des données au repos par les services AWS.
Base de données en réseau privé, secrets dans un coffre dédié, droits minimaux pour chaque composant.
Journaux de sécurité sans renseignements personnels, conservés 30 jours.
Sauvegardes quotidiennes conservées 30 jours.
Les modifications de l’infrastructure sont faites par code, examinées avant chaque déploiement et peuvent être annulées.

Ce que nous ne prétendons pas

Borealmap est une jeune entreprise exploitée par une personne. Nous n’avons pas de certification SOC 2 ni ISO 27001 à ce jour.
Un test d’intrusion indépendant est prévu avant d’accueillir un premier client entreprise payant. Il n’a pas encore été fait.
Le produit est développé avec l’aide d’outils d’IA, puis revu et testé par le fondateur.
Objectifs de reprise (cibles non mesurées, non garanties) : perte de données maximale visée 1 heure, rétablissement visé en 8 heures pour une panne ordinaire.
Aucun audit d’accessibilité formel à ce jour. La cible est la conformité WCAG 2.1 AA; un audit est prévu.
Soutien en français, jours ouvrables, par une seule personne : pas de soutien 24 heures sur 24.

Souveraineté et droit étranger

Microsoft est une société américaine. Héberger vos données au Canada n’est pas la même chose que les soustraire à toute loi étrangère : une autorité américaine pourrait en théorie exiger de Microsoft des données stockées au Canada. Nous vous le disons clairement pour que votre équipe juridique puisse évaluer ce risque dans son évaluation des facteurs relatifs à la vie privée.

Mesures possibles à étudier avec vous : clés de chiffrement gérées par le client, approbation des accès du soutien de Microsoft, ou un autre hébergeur si votre exigence l’impose. Ce qui sera offert reste à confirmer.

Vie privée (Loi 25)

Vous êtes le responsable des renseignements personnels contenus dans vos schémas; nous agissons à titre de sous-traitant (qualification à valider par un avocat).
Nous traitons les données uniquement pour fournir le service. Aucune publicité, aucune revente.
Nous tenons un registre des incidents de confidentialité et vous avisons sans délai (cible : 24 heures après confirmation).
Fin de contrat : vous exportez vos schémas pendant 30 jours; nous supprimons ensuite vos données, et les copies de sauvegarde expirent au plus tard 60 jours après la fin du contrat (cible).
Nous fournissons un modèle d’évaluation des facteurs relatifs à la vie privée (EFVP) déjà rempli pour Borealmap.

Sous-traitants

Amazon Web Services (AWS) : hébergement et courriels, région Canada (Central), à Montréal.
Microsoft Entra ID : connexion par votre organisation, dans votre annuaire, si vous l’utilisez.
Paiement : fournisseur à confirmer.

Signaler un problème de sécurité

Écrivez à l’adresse de contact indiquée sur la page Contact. Nous accusons réception dans un jour ouvrable (cible) et corrigeons les failles selon leur gravité.

Documents disponibles sur demande

Politique de sécurité, contrôle d’accès, réponse aux incidents, sauvegardes et continuité, gestion des changements, gestion des fournisseurs, conservation et suppression, questionnaire de sécurité prérempli, modèle d’évaluation des facteurs relatifs à la vie privée. Ils décrivent la conception cible et ne constituent ni une certification ni un audit.

Sécurité et conformité, sans détour.