Sécurité et confidentialité des données

• Données hébergées sur une infrastructure cloud sécurisée située à Montréal, Canada (région northamerica-northeast1)
• Traitement par intelligence artificielle (extraction des cotes) également réalisé à Montréal (Google Vertex AI) — les données d'extraction ne quittent pas le Canada
• Vertex AI retenu pour ses performances et son engagement entreprise : aucune utilisation de vos données pour entraîner des modèles (engagement contractuel Google Cloud)
• Hébergement respectant les exigences applicables au Québec et au Canada en matière de localisation des données
• Isolation stricte des données entre chaque entreprise cliente
• Accès limité aux utilisateurs autorisés selon leurs rôles
• Chiffrement des données en transit et au repos selon les standards industriels
• Journal d'audit à chaîne de hachage : chaque action sensible est tracée dans un registre rendant toute altération détectable
• Infrastructure d'hébergement certifiée SOC 2 et ISO 27001/27017/27018 (Google Cloud)
• Sauvegardes régulières avec mécanismes de récupération contrôlés

Astérion Solutions inc. applique les principes et obligations issus :

• De la Loi 25 du Québec sur la protection des renseignements personnels
• Des lois canadiennes applicables en matière de confidentialité et de protection des données

Ces principes incluent notamment :

• La limitation de l'accès aux renseignements
• La protection contre l'accès non autorisé
• La conservation sécurisée des données
• Le respect des droits des personnes et des organisations

Chaque entreprise cliente dispose d'un espace de données distinct garantissant :

• Aucune interconnexion entre organisations
• Aucun accès croisé possible
• Une séparation logique stricte des environnements

Nous recourons à des sous-traitants techniques reconnus, tenus aux mêmes obligations de confidentialité. Conformément à l'article 17 de la Loi 25, une évaluation des facteurs relatifs à la vie privée a été réalisée pour chacune des communications hors Québec listées ci-dessous ; son résumé, le registre complet des sous-traitants et une entente de traitement des données sont disponibles sur demande :

• Google Cloud / Firebase — hébergement, stockage et traitement par IA (Vertex AI), région de Montréal (Canada). Infrastructure certifiée SOC 2 et ISO 27001/27017/27018
• Stripe — traitement sécurisé des paiements (aucune donnée de carte stockée sur nos serveurs) — États-Unis
• Amazon SES (Amazon Web Services) — envoi des courriels transactionnels (invitations, notifications, rappels), région de Montréal — Canada. Resend (États-Unis) demeure en repli temporaire, retrait prévu d'ici le 30 septembre 2026
• Cloudflare Turnstile — protection anti-robots des formulaires publics du site (traite l'adresse IP du visiteur, sans profilage) — États-Unis (réseau mondial de diffusion)
• Anthropic — assistant d'aide intégré (questions d'utilisation uniquement, aucun accès à vos données métier, pas d'entraînement sur les données soumises) — États-Unis
• GoatCounter — mesure d'audience sans témoin ni identifiant, adresse IP non conservée — Union européenne

Les données demeurent la propriété exclusive de votre entreprise. Astérion Solutions inc. agit uniquement comme gardien technique de vos données.

Vous disposez des droits suivants :

• Accès et consultation via l'application
• Modification et rectification
• Export des données sur demande
• Suppression des données au plus tard 90 jours après la fin du contrat (sauf obligations légales), avec confirmation écrite sur demande

Trois réponses que nous préférons donner avant qu'on nous les demande :

• Certifications : Astérion Solutions inc. n'est pas elle-même certifiée SOC 2 ni ISO 27001 — nous héritons des contrôles d'infrastructure de Google Cloud (certifiée SOC 2 et ISO 27001/27017/27018) et nos propres contrôles sont décrits dans l'entente de traitement des données, disponible sur demande
• Accès administrateur : techniquement, notre personnel peut accéder aux données hébergées. Cet accès n'est utilisé que pour le soutien demandé par le client ou l'exploitation du service, et chaque action sensible est consignée dans le journal d'audit à chaîne de hachage, dont l'altération est détectable
• Continuité : un plan écrit désigne un administrateur de relève disposant des accès nécessaires pour maintenir le service en cas d'indisponibilité prolongée du fondateur, et une entente de séquestre du code source (escrow) auprès d'un tiers peut être mise en place sur demande contractuelle