Politique de confidentialité

Version du 23 juillet 2026. Conforme à la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (« Loi 25 »).

Le responsable

La fonction de Responsable de la protection des renseignements personnels est assumée par la direction de Preuve en main, joignable par le formulaire de contact ou à confidentialite@preuveenmain.ca.

Le principe : vos données restent chez vous

Le cœur de l'application fonctionne sur votre appareil. Votre journal, vos photos, vos documents et vos rapports sont stockés localement et ne sont jamais transmis sans une action de votre part. Aucune intelligence artificielle ne lit ni n'écrit vos documents.

Ce que nous recueillons, et pourquoi

• Compte (si vous en créez un) : votre courriel, un nom d'utilisateur facultatif et une empreinte de mot de passe (jamais le mot de passe en clair). Finalité : vous authentifier, sauvegarder vos dossiers et porter votre adhésion. Base légale : l'exécution du service que vous demandez.
• Synchronisation (si vous êtes connecté) : les données texte de vos dossiers (pas vos photos ni vos fichiers, qui restent locaux) pour les retrouver sur vos appareils. Vous pouvez tout effacer en tout temps.
• Adhésion : le statut de votre abonnement et un identifiant de client de paiement. Le paiement passe par Stripe : nous ne voyons ni ne stockons jamais votre numéro de carte.
• Si vous vous inscrivez aux nouveautés : votre courriel, avec votre consentement exprès, désabonnement en un clic.
• Si vous nous écrivez : votre courriel et ce que vous choisissez de nous dire.

Nos fournisseurs (sous-traitants)

Nous nous appuyons sur un petit nombre de fournisseurs de confiance, liés par contrat : Cloudflare (hébergement du site et de la sauvegarde des données de compte, avec traitement au Canada lorsque possible) et Stripe (traitement des paiements, certifié PCI-DSS). Certains traitements peuvent impliquer un transfert hors Québec; nous choisissons des fournisseurs offrant une protection adéquate. Nous ne vendons ni ne louons aucune donnée, jamais.

Témoins et traceurs

Ce site n'utilise aucun témoin publicitaire ni traceur de profilage. Le strict nécessaire au fonctionnement (par ex. votre session une fois connecté) uniquement. Aucune donnée n'est vendue ni partagée à des fins commerciales.

Vos droits

Accès, rectification, retrait de consentement, suppression : le formulaire de contact suffit ; réponse sous 30 jours. Vous pouvez aussi porter plainte à la Commission d'accès à l'information du Québec.

Le coffre chiffré : ce que nous détenons, et ce que nous ne pouvons pas lire

Le coffre est une sauvegarde de vos pièces — photos, documents, enregistrements — hors de votre appareil, pour que vous ne les perdiez pas en changeant de machine. C'est une fonction distincte de la synchronisation décrite plus haut, qui ne transporte que du texte. Elle exige un compte et une adhésion, elle n'est jamais activée par défaut, et son activation demande un consentement exprès. Refuser n'empêche rien d'autre de fonctionner.

Ce qui part, et dans quel état. Chaque pièce est chiffrée dans votre navigateur, avant tout envoi : AES-GCM 256, avec une clé dérivée d'une phrase de passe que vous seule connaissez (PBKDF2-SHA256, 310 000 itérations, sel propre à votre compte). La phrase de passe et la clé ne nous sont jamais transmises, jamais conservées, jamais journalisées.

Ce que nous détenons réellement : les octets chiffrés, leur taille, un identifiant technique sans signification et la date de dépôt. C'est tout. Nous ne détenons ni le nom du fichier, ni son type, ni sa date de prise de vue, ni aucune donnée de localisation. Nous voyons donc combien de pièces vous avez et quel volume elles occupent, jamais ce qu'elles montrent.

Où. Les pièces chiffrées sont conservées chez Cloudflare (stockage d'objets R2), les renseignements de compte dans son stockage clé-valeur. Nous privilégions l'hébergement au Canada. Une évaluation des facteurs relatifs à la vie privée a été réalisée avant la mise en service ; elle tient compte du fait que les pièces arrivent déjà chiffrées, de sorte que le renseignement le plus sensible n'est pas lisible par l'hébergeur.

Ce que le chiffrement ne fait pas. Il protège le contenu de vos pièces en transit et au repos chez nous : une intrusion, ou une réclamation d'un tiers, ne livrerait que des blocs illisibles. Il ne protège pas votre appareil, ni votre phrase de passe si elle est devinée ou communiquée, ni le fait que votre compte existe et occupe un certain volume. Si vous perdez votre phrase de passe, vos pièces sont définitivement irrécupérables : il n'existe aucune réinitialisation et aucune porte de secours — en créer une pour nous en créerait une pour un attaquant.

Combien de temps. Une pièce est conservée tant que vous la gardez. Elle est supprimée sans délai dès que vous le demandez. À la fin d'une adhésion, les pièces sont conservées 12 mois, pendant lesquels le dépôt de nouvelles pièces est suspendu mais le téléchargement et l'effacement demeurent ouverts et gratuits ; nous vous avisons par courriel le jour où l'adhésion prend fin, puis au moins 30 jours avant la suppression, puis 7 jours avant. Rien n'est détruit sans cet avis préalable, et la suppression est reportée si nos avis ne peuvent vous être remis.

Votre droit d'effacer. Vous pouvez supprimer une pièce, vider tout le coffre ou fermer votre compte en tout temps, gratuitement, immédiatement et sans avoir à vous justifier, y compris sans adhésion active. Ce droit ne dépend d'aucun paiement et ne dépendra jamais d'aucun. La suppression d'une pièce du coffre n'affecte pas la copie qui se trouve sur votre appareil, qui vous appartient. Le détail des durées et des règles de destruction figure dans notre politique de gouvernance ; le fonctionnement complet, expliqué en langage courant, est à la page Ce qui reste chez vous, ce qui part, et pourquoi.

Conservation

Les échanges par courriel sont conservés le temps de la relation, puis supprimés. La liste d'infolettre vit chez notre fournisseur d'envoi et se purge des désabonnements automatiquement.

Votre consentement

Nous ne recueillons rien sans raison. Pour ce qui est simplement nécessaire au service (votre courriel pour ouvrir un compte, l'état de votre abonnement), le consentement est celui que vous donnez en créant le compte, et il est décrit ici.

Pour tout ce qui touche un renseignement sensible, le consentement est exprès, distinct et demandé sur le moment : une case n'est jamais cochée d'avance, chaque case porte une affirmation précise, et refuser n'empêche jamais d'utiliser le reste. Concrètement, cela vise deux gestes, et seulement deux :

• la transcription d'un enregistrement — le son sort de votre appareil, il est transcrit puis effacé aussitôt. On vous le redemande à chaque fois;
• la sauvegarde de vos pièces hors de votre appareil, si vous l'activez un jour — chiffrée sur votre appareil avant l'envoi, avec une clé que nous n'avons pas.

Vous pouvez retirer votre consentement à tout moment, sans avoir à vous justifier. Le retrait vaut pour l'avenir; il n'efface pas rétroactivement ce que vous avez déjà validé et versé à votre propre dossier, qui est chez vous.

Aucune décision automatisée

Aucune décision produisant un effet juridique ou vous touchant de manière importante n'est prise à votre sujet par un traitement automatisé. L'application ne vous évalue pas, ne vous note pas, ne vous profile pas, et ne prédit pas l'issue de votre dossier. La lecture d'images et la transcription produisent une proposition de texte que vous corrigez : la décision reste la vôtre, entièrement.

Hors du Québec

Certains fournisseurs peuvent traiter une donnée à l'extérieur du Québec. Avant de confier un renseignement à un fournisseur, nous évaluons ce que la loi appelle une communication hors Québec : la sensibilité du renseignement, l'usage prévu, les mesures de protection et le régime juridique du pays d'accueil. Nous privilégions l'hébergement au Canada, et nous ne confions jamais à un tiers le contenu de vos dossiers — il n'y en a pas chez nous à confier.

Notre politique de gouvernance

Nos règles internes — qui a accès à quoi, combien de temps on conserve, comment on détruit, comment on réagit à un incident, comment on évalue un nouveau traitement — sont écrites dans notre politique de gouvernance des renseignements personnels, publiée et datée. Le responsable de la protection des renseignements personnels y est nommé.

En cas d'incident

Si un incident de confidentialité présentait un risque de préjudice sérieux, nous aviserions la Commission d'accès à l'information et les personnes concernées, comme la loi l'exige, et nous le dirions clairement, sans enterrer l'information. Tout incident, même sans risque sérieux, est inscrit à un registre des incidents que nous tenons et que la Commission peut demander à consulter.

Si vous n'êtes pas satisfait

Écrivez d'abord au responsable : vieprivee@preuveenmain.ca. Nous répondons dans les 30 jours, comme la loi l'exige. Si la réponse ne vous convient pas, vous pouvez porter plainte à la Commission d'accès à l'information du Québec — c'est gratuit, et c'est votre droit : cai.gouv.qc.ca.