Dossier sécurité

Où vivent vos dossiers clients

Où les données vivent, qui peut les voir, ce qui se verrouille après 15 minutes, et à qui écrire si quelque chose cloche. Le détail opérationnel — la politique légale est sur la page Confidentialité.

OVH Canada · ca-central-1 · Backblaze B2

Hébergement et sous-traitants, nommément

Les serveurs de l'application sont hébergés chez OVH Canada. La base de données, l'authentification et certains fichiers d'images sont chez Supabase, au Canada (Montréal, région ca-central-1). Les documents des clients et les téléversements du portail sont chez Backblaze B2, au Canada.

Les paiements passent par Stripe : les données de carte sont saisies chez Stripe et peuvent être traitées aux États-Unis. Les courriels passent par Twilio SendGrid, et Google, Microsoft, Calendly ou Fireflies reçoivent des renseignements seulement si vous connectez ces services. Certains destinataires peuvent traiter des renseignements hors du Québec. La liste complète est à l'article 7 de la politique de confidentialité.

TLS 1.2+ · AES-256

Chiffrement

Transit chiffré en TLS 1.2 ou plus. Renseignements personnels chiffrés au repos en AES-256. Les mots de passe sont hachés — jamais stockés en clair.

MFA · RLS

Qui voit quoi

Chaque compte ne voit que ses propres données (Row Level Security). La MFA est disponible dès maintenant, et sera exigée à partir du 1er juin 2026.

15 minutes

Verrouillage auto

Sans activité, la session se verrouille au bout de 15 minutes. Il faut le mot de passe du compte pour reprendre — un rafraîchissement de page ne contourne pas cette étape.

Loi 25 · LPRPDE

Un responsable nommé, un délai de 30 jours

Mikaël Leblond est le responsable de la protection des renseignements personnels. Demandes d'accès, de rectification ou d'effacement : réponse sous 30 jours. Un incident à risque de préjudice sérieux est déclaré à la CAI.

L'effacement et l'export se font aussi dans l'application (Paramètres), sans ouvrir un dossier support.

12 mois

Journal d'audit

Les actions sensibles sont consignées (Paramètres → Journal) et conservées 12 mois. C'est la piste que vous pouvez montrer si un inspecteur pose la question.

Divulgation responsable

Une faille ? Écrivez au fondateur, pas à une boîte noire.

Décrivez ce que vous avez observé. Chaque signalement arrive directement à Mikaël Leblond — rien ne se perd dans un centre d'appels.

mikael@flowdeskcrm.ca