Politique de confidentialité

1. Responsable de la protection des renseignements personnels (RPP)

Mikaël Leblond est le RPP de FlowDesk. Pour toute question ou demande relative à vos renseignements personnels : mikael@flowdeskcrm.ca.

2. Renseignements personnels collectés

• Compte utilisateur : nom, prénom, adresse courriel, mot de passe (haché), numéro de téléphone.
• Données professionnelles : nom de l'entreprise (si applicable).
• Données de paiement : gérées exclusivement par Stripe — FlowDesk ne stocke aucune donnée de carte de crédit.
• Données d'utilisation : logs de connexion, actions dans l'application, journaux d'audit.
• Données saisies par l'utilisateur : informations sur les clients du courtier (renseignements personnels de tiers).

3. Finalités de la collecte

• Fourniture du service CRM.
• Facturation et gestion des abonnements (Stripe).
• Sécurité et prévention de la fraude.
• Amélioration du service (données agrégées et anonymisées uniquement).
• Conformité aux obligations légales.

4. Base légale du traitement

• Exécution du contrat d'abonnement.
• Consentement explicite de l'utilisateur (obtenu à l'inscription).
• Obligations légales (conservation des logs, Loi 25).

5. Localisation et souveraineté des données

Les serveurs de l'application sont hébergés chez OVH Canada (OVH Hosting, Inc., Hébergement OVH Inc. dans l'accord canadien publié par OVHcloud). Ils reçoivent les requêtes (adresse IP, en-têtes et renseignements personnels qu'elles contiennent).

La base de données, l'authentification et certains fichiers d'images sont chez Supabase Pte. Ltd., au Canada (Montréal, région ca-central-1). Les documents des clients et les téléversements du portail sont chez Backblaze, Inc. (Backblaze B2), au Canada.

Les autres destinataires sont nommés à l'article 7. Certains peuvent traiter des renseignements hors du Québec. Cette page ne confirme pas qu'une entente écrite a été signée avec chacun.

6. Durées de conservation

7. Sous-traitants

Les articles 17 et 18.3 de la Loi sur la protection des renseignements personnels dans le secteur privé exigent une entente écrite avant une communication hors du Québec et un mandat écrit pour un prestataire. Cette page nomme les destinataires que le code appelle. Elle ne confirme pas que chaque entente a été signée.

• Stripe, LLC : paiements et abonnements (nom, courriel, identifiant de compte; les données de carte sont saisies chez Stripe). Pour un compte en Amérique du Nord, le DPA public de Stripe (18 novembre 2025) est conclu avec Stripe, LLC. Stripe peut aussi agir comme responsable pour une partie du traitement. Les données peuvent être traitées aux États-Unis.
• Supabase Pte. Ltd. : base de données, authentification et certains fichiers, au Canada (Montréal, région ca-central-1). Le DPA public (1er juin 2026) désigne Supabase comme sous-traitant, ou comme sous-traitant ultérieur lorsque FlowDesk traite pour le compte de ses utilisateurs.
• OVH Hosting, Inc. (Hébergement OVH Inc.) : hébergement des serveurs de l'application, chez OVH Canada. L'accord canadien publié vise l'hébergement pour le compte du client. Le dépôt ne contient pas le contrat signé par FlowDesk.
• Backblaze, Inc. : documents des clients et téléversements du portail, dans Backblaze B2, au Canada. Le DPA public traite Backblaze comme sous-traitant des fichiers déposés par une organisation. Le client S3 du code parle à B2, pas à un stockage Amazon de FlowDesk.
• Upstash, Inc. : limitation de débit (adresse IP, identifiant d'utilisateur, empreinte HMAC d'un courriel — pas le courriel en clair). Le DPA public (avril 2025) désigne Upstash, Inc. comme sous-traitant.
• Twilio Inc. (Twilio SendGrid) : envoi de courriels (destinataire, nom, corps; téléphone si un champ de fusion l'inclut), par le compte plateforme de FlowDesk ou par le compte SendGrid que l'utilisateur connecte. API globale par défaut (api.sendgrid.com), ou API européenne si la région est « eu ». Les services de communications au Canada sont fournis par Twilio Inc. (conditions par pays, 9 avril 2026). Les vignettes de designs peuvent être chargées par le navigateur depuis les adresses renvoyées par SendGrid.
• proxycheck.io : adresse IP du client lorsque le contrôle géographique interroge ce service. Le site officiel ne publie pas de raison sociale. Sa page GDPR présente proxycheck.io comme l'organisation qui traite les adresses IP interrogées.
• Google LLC : Google Agenda, seulement si l'utilisateur connecte son compte (titre, horaire, lieu, description, courriel du compte). Les conditions des API Google désignent Google LLC.
• Microsoft : Outlook et calendrier Microsoft, seulement si l'utilisateur connecte son compte (nom et courriel; objet, corps et destinataires envoyés par Microsoft Graph). Le rôle de Microsoft dépend d'un compte personnel ou d'un locataire professionnel. Aucun contrat Microsoft de FlowDesk n'est dans le dépôt.
• Calendly LLC : rendez-vous, seulement si l'utilisateur connecte Calendly (nom et courriel de l'invité, horaire, courriel du compte). Le DPA public (1er juin 2026) désigne Calendly LLC comme sous-traitant.
• Fireflies.ai Corp. : comptes rendus, seulement si l'utilisateur connecte Fireflies (nom et courriel du compte; titre et texte de résumé ou de transcription lus par l'API). Le DPA public désigne Fireflies.ai Corp. comme sous-traitant des données personnelles du client.

8. Droits des individus (Loi 25)

Délai de réponse : 30 jours calendaires. En cas de refus, une justification écrite est fournie.

• Droit d'accès : obtenir copie des renseignements détenus; réponse dans les 30 jours.
• Droit de rectification : corriger des renseignements inexacts.
• Droit à l'effacement : demander la suppression; disponible aussi en 2 clics dans l'application (Paramètres > Données > Supprimer mon compte).
• Droit à la portabilité : recevoir ses données dans un format structuré; disponible via le menu Export de l'application.
• Droit d'opposition : s'opposer à certains traitements non essentiels.

9. Sécurité

• Chiffrement en transit (TLS 1.2+) et au repos (AES-256).
• Authentification à deux facteurs (MFA) disponible (impératif à partir du 1er juin 2026).
• Contrôle d'accès strict par rôle (RLS — Row Level Security).
• Journalisation de toutes les actions sensibles (Paramètres → Journal).

10. Incidents de confidentialité

• Aviser la Commission d'accès à l'information (CAI) dans les meilleurs délais en cas de risque de préjudice sérieux.
• Aviser les personnes concernées sans délai.
• Consigner l'incident dans le registre interne conformément à la Loi 25.

11. Consentement et révocation

Votre consentement est obtenu explicitement lors de l'inscription. Vous pouvez le révoquer en tout temps depuis votre profil (Paramètres > Confidentialité) ou en contactant mikael@flowdeskcrm.ca.

La révocation du consentement entraîne la résiliation du service.

12. Modifications

Toute modification substantielle de la présente politique sera communiquée par courriel 30 jours avant son entrée en vigueur.

13. Contact et plaintes

RPP : Mikaël Leblond — mikael@flowdeskcrm.ca.