Politique de confidentialité

Last Updated: mai 4, 2026

Points clés

Avant de lire la politique complète, voici l'essentiel :

• Vos conversations sont chiffrées. Nous chiffrons vos messages avant de les stocker. Notre fournisseur d'infrastructure infonuagique ne peut pas les lire, même en vertu d'un mandat qui lui serait adressé.
• Nous n'utilisons pas vos données pour entraîner des modèles d'IA. Nous n'utilisons pas vos conversations, vos fichiers ni tout autre contenu pour entraîner, affiner ou développer des modèles d'IA. Nos fournisseurs d'IA ne le font pas non plus. Nous avons vérifié et avons désactivé cette option lorsque requis.
• Vos données restent au Canada. Les renseignements relatifs à votre compte et vos conversations chiffrées sont stockés dans des centres de données canadiens. Lorsque vous conversez avec un modèle d'IA, vos messages sont transmis au fournisseur de ce modèle aux fins de traitement. Nous vous indiquons exactement où.
• Nous ne vendons pas vos données. Nous ne vendons, ne louons ni ne communiquons vos renseignements personnels à des fins publicitaires ou de marketing. Nous n'affichons aucune publicité, n'utilisons aucun pixel de suivi et n'avons recours à aucun service d'analyse tiers.
• Vous gardez le contrôle. Vous pouvez exporter vos données, supprimer des conversations individuelles ou supprimer l'intégralité de votre compte à tout moment. Les données supprimées sont définitivement effacées dans un délai de 30 jours.
• Entreprise canadienne, droit canadien. Rideau AI est une entreprise canadienne régie par le droit canadien en matière de protection de la vie privée, y compris PIPEDA et la Loi 25 du Québec.

Politique de confidentialité

Date d'entrée en vigueur : 4 mai 2026

La présente Politique de confidentialité décrit comment Level47 Ventures Inc., société fédérale canadienne exploitant Rideau AI (« Rideau AI », « nous », « notre » ou « nos »), recueille, utilise, communique et protège vos renseignements personnels lorsque vous utilisez la plateforme Rideau AI à rideau.ai et tous les services connexes (le « Service »).

La présente Politique de confidentialité fait partie de nos Conditions d'utilisation. Les termes définis dans les Conditions d'utilisation ont le même sens dans la présente politique.

1. Qui nous sommes

Responsable du traitement : Level47 Ventures Inc., exploitant Rideau AI

Responsable de la protection de la vie privée : Mike Brown
Courriel : privacy@rideau.ai
Adresse postale : 1, rue Rideau, 7e étage, Ottawa (Ontario), K1N 8S7, Canada

Si vous avez des questions au sujet de la présente Politique de confidentialité, de la façon dont nous traitons vos renseignements personnels, ou si vous souhaitez exercer l'un de vos droits, veuillez communiquer avec notre responsable de la protection de la vie privée à l'adresse ci-dessus.

2. Renseignements que nous recueillons

Nous ne recueillons que les renseignements nécessaires à la prestation du Service, à la sécurité de votre compte et au respect de la loi. Nous décrivons ci-dessous ce que nous recueillons, classé selon le mode d'obtention.

2.1. Renseignements que vous fournissez

2.2. Renseignements générés par votre utilisation

2.3. Renseignements que nous ne recueillons PAS

Nous souhaitons être explicites quant à ce que nous ne faisons pas :

• Mots de passe. Nous utilisons l'authentification sans mot de passe (liens d'authentification). Il n'y a aucun mot de passe à stocker ou susceptible d'être compromis.
• Numéros complets de carte de paiement. Notre processeur de paiement traite directement toutes les données de carte. Nous ne recevons qu'un identifiant client et un statut d'abonnement, jamais votre numéro de carte.
• Historique de navigation ou données de parcours. Nos pages promotionnelles journalisent des consultations anonymes (chemin de page, référent, pays et ville approximatifs, et condensé IP à rotation quotidienne ne pouvant vous identifier). Le pays et la ville sont déduits de votre adresse IP au moment de la consultation; l'adresse IP est ensuite condensée et l'original supprimé. L'application authentifiée recueille une télémétrie de performance légère (temps de chargement des pages, erreurs et chemins de page généralisés dont les identifiants uniques sont retirés) aux fins de surveillance de la santé du Service. Il s'agit de notre propre système de première partie, et non d'un service d'analyse tiers. Nous ne suivons pas les clics, le défilement ni les mouvements de la souris.
• Empreintes numériques d'appareil. Nous ne créons pas d'identifiants uniques fondés sur votre navigateur, la taille de votre écran ou les polices installées.
• Localisation précise. Nous conservons uniquement le pays et la province ou l'État que vous fournissez lors de l'inscription. Nous n'utilisons pas le GPS, le Wi-Fi ni les données des tours de téléphonie cellulaire.
• Témoins tiers ou pixels de suivi. Nous n'utilisons que des témoins strictement nécessaires. Nous n'avons aucun témoin publicitaire, aucun script d'analyse et aucun pixel de suivi. Consultez notre Politique sur les témoins de connexion.
• Listes de contacts ou carnets d'adresses. Nous ne demandons jamais l'accès à vos contacts.

3. Comment nous utilisons vos renseignements

Nous utilisons vos renseignements uniquement aux fins énumérées ci-dessous. Nous n'utilisons pas vos renseignements à des fins publicitaires, de profilage ou pour quelque fin sans rapport avec la prestation et la sécurité du Service.

Nous n'utilisons le contenu de vos conversations à aucune fin autre que l'affichage pour vous et le traitement de vos requêtes d'IA. Le contenu des conversations est chiffré au repos et n'est déchiffré que lorsque vous y accédez ou lorsqu'il est transmis à un fournisseur d'IA aux fins de traitement.

4. Comment nous protégeons vos données

Nous utilisons une architecture de sécurité multicouche qui va nettement au-delà des pratiques courantes de l'industrie. La présente section explique chaque couche en termes simples.

4.1. Chiffrement en transit (TLS)

Toutes les connexions à Rideau AI sont chiffrées au moyen du protocole TLS (Transport Layer Security). Il s'agit de la norme pour tout site Web HTTPS et cela empêche quiconque d'intercepter vos données lors de leur transmission sur Internet.

4.2. Chiffrement en transit à la couche applicative

Nous ajoutons une deuxième couche de chiffrement par-dessus le TLS. Votre navigateur et notre application établissent un canal chiffré distinct au moyen de méthodes cryptographiques robustes avant tout échange de données de conversation. Cela protège vos données même aux points où les connexions TLS standard sont terminées et rétablies au sein de notre infrastructure infonuagique, tels que les répartiteurs de charge et les réseaux de diffusion de contenu. Le contenu de vos conversations n'est jamais visible en clair pour ces systèmes intermédiaires.

4.3. Chiffrement au repos à la couche applicative (ALE)

Le contenu de vos conversations (chaque message, chaque réponse de l'IA, chaque fichier téléversé) est chiffré par notre application au moyen de l'algorithme AES-256-GCM avant d'être inscrit dans notre base de données. Les données stockées dans notre base de données sont des textes chiffrés qui ne peuvent être lus sans nos clés de chiffrement.

Où sont stockées les clés : Les clés de chiffrement sont stockées exclusivement au Canada, sur une infrastructure contrôlée par Rideau AI, séparée des systèmes qui stockent vos données chiffrées.

Ce que cela signifie en pratique :

• Notre fournisseur d'infrastructure infonuagique (Microsoft Azure) ne peut pas lire vos conversations stockées, il ne détient pas les clés de chiffrement et n'a aucun moyen de déchiffrer les données. Un mandat ou une ordonnance légale qui lui serait adressé ne peut le contraindre à produire quelque chose auquel il lui est techniquement impossible d'accéder.
• Dans le cours normal des opérations, nous ne pouvons pas consulter vos conversations de manière informelle. Le déchiffrement n'a lieu que lorsque vous demandez vos propres données par l'entremise du Service ou lorsque vos messages sont transmis à un fournisseur d'IA aux fins de traitement.
• Si quelqu'un obtenait un accès non autorisé à notre base de données, il n'obtiendrait que des données chiffrées, inutilisables sans les clés.

Ce que cela ne signifie PAS : Notre application détient les clés de chiffrement, pas vous. Cela signifie que Rideau AI a la capacité technique de déchiffrer vos données lorsque cela est nécessaire pour exploiter le Service ou se conformer à une ordonnance judiciaire canadienne valide qui nous serait adressée. Puisque nous sommes une entreprise canadienne et que nos clés de chiffrement sont détenues exclusivement au Canada, les gouvernements étrangers ne peuvent nous contraindre, ni contraindre notre fournisseur d'infrastructure, à déchiffrer vos données. Ils devraient obtenir une ordonnance d'un tribunal canadien par l'entremise de procédures d'entraide juridique. Notre engagement à ne pas abuser de cet accès est un engagement contractuel appuyé par nos Conditions d'utilisation, et non une impossibilité technique. Nous sommes transparents à ce sujet parce que nous croyons que la confiance se bâtit sur l'exactitude et non sur des prétentions excessives.

4.4. PII Shield (facultatif)

Lorsque vous activez PII Shield pour une conversation, vos messages sont analysés afin de détecter les renseignements personnels (noms, adresses, numéros de téléphone, adresses courriel et autres identifiants) avant d'être transmis au fournisseur d'IA. Les renseignements personnels détectés sont remplacés par des marqueurs de substitution afin que le fournisseur d'IA traite votre requête sans voir de détails permettant de vous identifier.

PII Shield est actuellement offert sur une base volontaire, par conversation. Il introduit un temps de traitement supplémentaire et peut réduire la capacité de l'IA à répondre dans un contexte qui dépend de détails personnels. Nous recommandons de l'activer pour les conversations contenant des renseignements personnels sensibles vous concernant ou concernant d'autres personnes.

Important : PII Shield utilise la détection automatisée (reconnaissance d'entités nommées) et il n'est pas garanti qu'il détecte tous les renseignements personnels. Les formats inhabituels, les fautes d'orthographe ou les identifiants dépendant du contexte pourraient ne pas être détectés. Vous devriez faire preuve de prudence lorsque vous partagez des renseignements personnels sensibles, même lorsque PII Shield est activé.

Lorsque PII Shield est désactivé (le paramètre par défaut), le contenu intégral de votre conversation est transmis au fournisseur d'IA aux fins de traitement. Votre contenu demeure chiffré au repos sur nos serveurs (ALE), et nos fournisseurs sont contractuellement tenus de ne pas l'utiliser pour l'entraînement, mais le fournisseur voit le contenu pendant le traitement.

4.5. Sessions actives et registres de consentement

Sessions actives. À la page Paramètres → Sécurité, vous pouvez consulter les sessions actuellement connectées à votre compte. Chaque ligne affiche l'appareil et le navigateur (extraits du champ User-Agent), l'heure de la dernière activité ainsi que l'adresse IP à partir de laquelle la session a été vue pour la dernière fois. L'adresse IP est affichée en clair afin que vous puissiez reconnaître vos propres sessions et repérer celles qui ne sont pas les vôtres; nous la conservons pendant la durée de vie de la session, soit 7 jours, et nous la supprimons à l'expiration de la session ou lorsque vous la révoquez.

Registres de consentement. Lorsque vous acceptez les présentes Conditions, acceptez une nouvelle version de celles-ci, ou accordez ou révoquez le consentement marketing, nous inscrivons un enregistrement d'audit en mode ajout seul, afin de pouvoir démontrer, en cas de contestation, que vous avez réellement accepté ce qui figurait à l'écran à ce moment précis. Chaque enregistrement contient : la version du document, le texte de consentement présenté tel quel à l'écran, l'horodatage, votre adresse courriel au moment de l'acceptation, le pays de facturation et le pays d'émission de la carte associés à votre moyen de paiement (si disponibles), la préférence linguistique de votre navigateur, votre User-Agent et votre adresse IP. L'adresse IP et le texte de consentement sont chiffrés au moyen d'une clé propre à chaque enregistrement. Nous conservons ces enregistrements pendant la durée de vie de votre compte et pendant six (6) ans après la fermeture de votre compte, dans une archive à accès restreint qui n'est utilisée à aucune autre fin. Après six ans, ils sont définitivement supprimés. Cette période de conservation correspond au minimum nécessaire pour défendre contre d'éventuels litiges (la prescription contractuelle au Québec est de trois ans en vertu de l'article 2925 du Code civil du Québec; la conservation des dossiers fiscaux par l'ARC est de six ans en vertu de l'article 230 de la Loi de l'impôt sur le revenu) et l'application de la LCAP, qui peut être engagée jusqu'à trois ans après que le CRTC a pris connaissance d'une violation alléguée, même si cela survient des années après l'événement de consentement. Cette conservation est permise en vertu du principe 5 de la LPRPDE (clause 4.5.2 de l'annexe 1), de l'article 28 de la Loi 25 du Québec et de l'article 17(3)(e) du RGPD (constatation, exercice ou défense de droits en justice).

4.6. Sécurité de l'infrastructure

Au-delà du chiffrement, nous mettons en œuvre :

• Des points de terminaison privés pour la base de données et les services de gestion des clés : ces systèmes ne sont pas accessibles depuis l'Internet public.
• Une segmentation du réseau isolant les différentes composantes du Service.
• Un CAPTCHA par preuve de travail (Proof-of-Work) qui ne dépend pas de services de suivi tiers.
• Des polices et icônes hébergées localement : aucune requête vers des réseaux de diffusion de contenu externes susceptibles de vous suivre.

Sauvegardes et récupération. Les clés de chiffrement sont stockées sur du matériel que nous possédons et exploitons au Canada, avec une copie de sauvegarde sur du matériel canadien distinct que nous possédons et exploitons également. Nous ne maintenons aucun dépôt de clés, porte dérobée ou copie de ces clés à l'extérieur du Canada ou auprès d'un tiers. Les données chiffrées de votre compte et l'historique de vos conversations sont stockés dans les centres de données canadiens de notre fournisseur infonuagique; nous ne maintenons pas actuellement de copies de ces données à l'extérieur de l'infrastructure du fournisseur infonuagique. Les conséquences architecturales de ces choix, y compris les scénarios dans lesquels les données pourraient être irrécupérables, sont décrites dans nos Conditions d'utilisation, articles 8.2.1 et 8.2.2. Le Service est conçu comme un espace de travail et non comme un système de référence; vous devriez conserver vos propres copies de référence des Entrées et Résultats qui vous importent. La fonctionnalité d'exportation (JSON et Markdown) est offerte au sein du Service en tout temps.

5. Fournisseurs de modèles d'IA et entraînement

La présente section explique ce qu'il advient de vos données lorsque vous utilisez un modèle d'IA par l'entremise du Service.

5.1. Fonctionnement du traitement par l'IA

Lorsque vous envoyez un message dans une conversation, votre entrée est transmise au fournisseur du modèle d'IA que vous avez sélectionné. Le fournisseur traite votre entrée et retourne une sortie (la réponse de l'IA), que nous affichons pour vous. Votre entrée et la sortie du fournisseur sont ensuite chiffrées et stockées dans votre historique de conversations.

5.2. Aucun entraînement par Rideau AI

Nous n'utilisons pas votre contenu (y compris vos messages, fichiers, réponses de l'IA ou toute autre donnée) pour entraîner, affiner ou développer des modèles d'IA. Nous ne maintenons aucun pipeline, aucun processus ni aucun système à cette fin. Nous ne vendons, ne concédons sous licence ni ne communiquons votre contenu à quiconque à des fins d'entraînement.

5.3. Aucun entraînement par nos fournisseurs

Nous avons vérifié les pratiques d'entraînement de chaque fournisseur d'IA que nous utilisons et avons confirmé qu'aucun d'entre eux n'entraîne ses modèles à partir des données soumises par l'entremise de notre Service :

• Lorsque les conditions commerciales d'un fournisseur interdisent contractuellement l'entraînement à partir des données des clients, nous nous appuyons sur cet engagement contractuel.
• Lorsqu'un fournisseur offre une option dans son tableau de bord pour refuser l'entraînement, nous avons désactivé l'entraînement et vérifions ces paramètres sur une base trimestrielle.
• Lorsqu'un fournisseur exploite un niveau d'API payant qui exclut l'entraînement par défaut, nous utilisons exclusivement ce niveau.

Nous passons en revue les conditions et les paramètres des fournisseurs chaque fois que nous ajoutons ou mettons à jour un fournisseur et selon un calendrier régulier. Pour consulter la liste actuelle des fournisseurs et le fondement spécifique de chaque engagement de non-entraînement, consultez notre Liste des sous-traitants.

5.4. Conservation aux fins de sécurité par les fournisseurs

Les fournisseurs d'IA conservent généralement votre entrée et votre sortie pour une période limitée (jusqu'à 30 jours) uniquement aux fins de surveillance des abus et de conformité en matière de sécurité. Cette conservation sert à faire respecter les politiques d'utilisation du fournisseur. Elle n'est pas utilisée pour l'entraînement des modèles. Il s'agit d'une pratique courante dans l'industrie de l'IA. Les périodes de conservation propres à chaque fournisseur sont indiquées dans notre Matrice des flux de données.

5.5. Inférence privée

Certains modèles d'IA offerts par l'entremise du Service fonctionnent sur une infrastructure contrôlée par Rideau AI au Canada. Lorsque vous utilisez un modèle hébergé localement, vos données ne quittent jamais notre infrastructure et ne sont transmises à aucun tiers. Ces modèles sont identifiés dans le Service.

6. Transferts transfrontaliers de données

Les renseignements relatifs à votre compte et vos conversations chiffrées sont stockés au Canada. Toutefois, lorsque vous utilisez certaines fonctionnalités du Service, certaines données sont transmises à l'extérieur du Canada aux fins de traitement.

6.1. Quand les données quittent le Canada

6.2. Quand les données restent au Canada

• Votre historique de conversations chiffré
• Les renseignements relatifs à votre compte (courriel, nom, préférences)
• Votre historique d'utilisation
• Les fichiers téléversés (chiffrés)
• L'extraction de texte des fichiers (traitée via un point de terminaison privé au Canada)

6.3. Mesures de protection pour les transferts transfrontaliers

Lorsque vos données sont traitées à l'extérieur du Canada, nous nous assurons qu'elles sont protégées par :

• Des protections contractuelles : Des ententes sur le traitement des données (DPA) ou des conditions contractuelles équivalentes avec nos sous-traitants qui restreignent la façon dont vos données peuvent être utilisées, exigent des mesures de sécurité appropriées et interdisent l'utilisation aux fins d'entraînement. Consultez notre Liste des sous-traitants pour connaître le statut actuel des DPA de chaque sous-traitant.
• La minimisation des données : Nous ne transmettons que le strict minimum de données nécessaires. Par exemple, les requêtes de recherche Web ne contiennent que le texte de la recherche et votre code de pays, aucun identifiant d'utilisateur, aucun historique de conversation.
• PII Shield : Lorsqu'il est activé, les renseignements personnels détectés sont retirés de vos messages avant qu'ils ne quittent le Canada (consultez la section 4.4 pour les détails et les limites).
• Le chiffrement à la couche applicative : Vos données demeurent chiffrées au repos sur nos serveurs. Les fournisseurs ne voient votre contenu que pendant le traitement actif de votre requête et ne le conservent pas au-delà de leurs fenêtres de conservation aux fins de sécurité (jusqu'à 30 jours).

Nous reconnaissons que les données traitées dans d'autres territoires de compétence peuvent être assujetties aux lois de ces territoires, y compris les demandes d'accès légal de la part de gouvernements étrangers. Notre architecture de chiffrement est conçue pour minimiser les données utiles disponibles dans de tels scénarios.

Pour une liste complète des sous-traitants et des données que chacun reçoit, consultez notre Liste des sous-traitants.

7. Conservation des données

Nous ne conservons vos données que le temps nécessaire. Voici nos périodes de conservation spécifiques.

7.1. Données que vous contrôlez

Lorsque vous supprimez une conversation, celle-ci est immédiatement masquée de votre compte. La suppression définitive (y compris tous les messages et fichiers de cette conversation) a lieu dans un délai de 30 jours par un processus automatisé.

Lorsque vous fermez votre compte, vos conversations, fichiers, sessions et autres données opérationnelles du compte sont définitivement supprimés dans un délai de 30 jours, sous réserve des périodes de conservation ci-dessous. Un dossier d'identité minimal (votre adresse courriel, les identifiants de compte et la date de fermeture de votre compte), ainsi que les registres d'audit de consentement décrits à l'article 4.5, sont déplacés dans une archive à accès restreint et conservés pendant six (6) ans après la fermeture, aux fins de preuve juridique décrites à l'article 4.5. Après six ans, le dossier archivé est définitivement supprimé. L'archive n'est utilisée à aucune fin opérationnelle et n'est pas accessible au personnel opérationnel. Consultez nos Conditions d'utilisation, article 8.5.

7.2. Données que nous conservons pour des périodes définies

7.3. Données conservées par des tiers

7.4. Données conservées en vertu d'obligations légales

Nous pouvons conserver certaines données au-delà des périodes ci-dessus lorsque la loi l'exige, par exemple, les dossiers financiers requis à des fins de conformité fiscale, ou les éléments de preuve conservés en vertu de la Loi concernant la déclaration obligatoire (L.C. 2011, ch. 4). Dans ces cas, les données ne sont conservées que pour la durée exigée par l'obligation légale spécifique et sont isolées des opérations normales.

8. Vos droits

Vous disposez de droits sur vos renseignements personnels en vertu du droit fédéral et provincial canadien en matière de protection de la vie privée. Selon votre lieu de résidence, vous pouvez bénéficier de droits supplémentaires en vertu d'autres lois (consultez les annexes A, B et C).

8.1. Droits offerts à tous les utilisateurs

Pour tout droit ne pouvant être exercé par l'entremise du Service, ou si vous avez besoin d'aide, veuillez communiquer avec notre responsable de la protection de la vie privée à privacy@rideau.ai.

8.2. Comment soumettre une demande

Communiquez avec notre responsable de la protection de la vie privée à privacy@rideau.ai. Nous accuserons réception de votre demande dans un délai de 10 jours ouvrables et y répondrons dans un délai de 30 jours. Si nous avons besoin de plus de temps (jusqu'à 60 jours supplémentaires pour les demandes complexes), nous vous en indiquerons la raison et le délai prévu.

Nous vérifierons votre identité avant de donner suite à toute demande. Nous ne facturerons jamais de frais pour l'exercice de vos droits, à moins qu'une demande ne soit manifestement non fondée ou excessive.

8.3. Plaintes

Si vous n'êtes pas satisfait de notre réponse, vous pouvez déposer une plainte auprès de l'autorité compétente en matière de protection de la vie privée :

• Canada (fédéral) : Commissariat à la protection de la vie privée du Canada (CPVP), priv.gc.ca
• Québec : Commission d'accès à l'information du Québec (CAI), cai.gouv.qc.ca
• Union européenne / EEE : Votre autorité de contrôle locale, trouvez la vôtre via le répertoire du CEPD
• Royaume-Uni : Information Commissioner's Office (ICO), ico.org.uk
• Suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT), edoeb.admin.ch
• Californie : Office of the Attorney General, oag.ca.gov/privacy

9. Prise de décision automatisée

Le Service utilise des systèmes automatisés pour prendre certaines décisions susceptibles de vous toucher. En vertu de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25) et de lois similaires, vous avez le droit d'être informé de ces décisions.

9.1. Décisions automatisées que nous prenons

9.2. Vos droits relatifs aux décisions automatisées

Vous avez le droit de :

• Être informé qu'une décision automatisée a été prise à votre sujet (la présente section et notre Divulgation relative aux décisions automatisées remplissent cet objectif);
• Savoir quels renseignements personnels ont été utilisés dans la décision;
• Demander qu'une personne de Rideau AI révise la décision; et
• Corriger tout renseignement personnel ayant été utilisé dans la décision.

Pour demander la révision d'une décision automatisée par une personne, communiquez avec privacy@rideau.ai. Nous examinerons votre demande et y répondrons dans un délai de 30 jours.

10. Notification en cas d'atteinte à la protection des données

Si nous prenons connaissance d'une atteinte à la sécurité qui présente un risque réel de préjudice sérieux pour vous, nous :

1. Aviserons l'autorité compétente en matière de protection de la vie privée : dans les 72 heures suivant le moment où nous aurons pris connaissance de l'atteinte, conformément à la Loi 25 du Québec et aux obligations de déclaration des atteintes prévues par PIPEDA.
2. Vous aviserons directement : dans les meilleurs délais, par courriel ou par l'entremise du Service, en décrivant : ce qui s'est passé, quels renseignements personnels ont été touchés, ce que nous avons fait en réponse et les mesures que vous pouvez prendre pour vous protéger.
3. Tiendrons un registre des atteintes tel que l'exige la loi.

Notre chiffrement à la couche applicative limite considérablement les conséquences d'une atteinte à la base de données. Un attaquant qui obtiendrait l'accès à notre base de données n'obtiendrait que des données chiffrées. Une atteinte à nos clés de chiffrement serait traitée comme l'incident le plus grave.

11. Protection de la vie privée des mineurs

Le Service n'est pas destiné aux personnes de moins de 18 ans. Nous ne recueillons pas sciemment de renseignements personnels auprès de personnes de moins de 18 ans.

Lors de la création du compte, vous devez attester que vous avez au moins 18 ans. Nous conservons uniquement une confirmation de cette attestation, pas votre date de naissance.

Si nous apprenons qu'une personne de moins de 18 ans a créé un compte, nous fermerons le compte et supprimerons les données associées.

12. Témoins de connexion

Nous n'utilisons que des témoins de connexion strictement nécessaires, ceux qui sont requis pour l'authentification, la sécurité et les fonctionnalités de base du Service. Nous n'utilisons aucun témoin publicitaire, aucun témoin d'analyse ni aucun pixel de suivi.

Pour plus de détails, consultez notre Politique sur les témoins de connexion.

13. Liens vers des tiers

Le Service peut contenir des liens vers des sites Web ou des services de tiers. Nous ne sommes pas responsables des pratiques en matière de protection de la vie privée de ces tiers. Nous vous encourageons à lire leurs politiques de confidentialité avant de leur fournir quelque renseignement personnel que ce soit.

14. Modifications de la présente politique

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre.

• Modifications substantielles (telles que de nouvelles catégories de renseignements recueillis, de nouvelles fins de traitement ou des modifications à vos droits) : Le Service exigera que vous preniez connaissance de la politique mise à jour et que vous en accusiez réception avant de pouvoir continuer à utiliser le Service.
• Modifications non substantielles (telles que des clarifications, des changements de mise en forme ou des coordonnées mises à jour) : Nous mettrons à jour la « Date d'entrée en vigueur » en haut de la présente page.

Les versions antérieures de la présente politique sont disponibles sur demande.

15. Nous joindre

Responsable de la protection de la vie privée : Mike Brown
Courriel : privacy@rideau.ai
Adresse postale : 1, rue Rideau, 7e étage, Ottawa (Ontario), K1N 8S7, Canada

Soutien général : support@rideau.ai
Questions juridiques : legal@rideau.ai

Annexe A : Québec (Loi 25)

La présente annexe s'applique à vous si vous êtes résident du Québec. Ces dispositions complètent la politique principale et, en cas de conflit, ont préséance pour les résidents du Québec.

A.1. Droit applicable

Vos renseignements personnels sont protégés par la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), telle que modifiée par la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, 2021, c. 25).

A.2. Évaluation des facteurs relatifs à la vie privée

Nous avons réalisé une évaluation des facteurs relatifs à la vie privée (« EFVP ») conformément à la Loi 25 avant de recueillir des renseignements personnels par l'entremise du Service. L'EFVP évalue les risques associés à nos activités de traitement, y compris les transferts transfrontaliers de données, et identifie les mesures de protection que nous avons mises en place.

A.3. Transferts transfrontaliers

Lorsque vos renseignements personnels sont transférés à l'extérieur du Québec aux fins de traitement (tel que décrit à la section 6), nous avons réalisé une évaluation afin de déterminer que le territoire de compétence destinataire offre une protection adéquate des renseignements personnels, ou que des mesures de protection contractuelles suffisantes sont en place. Les résultats de cette évaluation sont documentés dans notre EFVP.

A.4. Prise de décision automatisée

Tel que décrit à la section 9, nous utilisons des systèmes automatisés pour prendre certaines décisions. En vertu de la Loi 25 (article 12.1), vous avez le droit de :

• Être informé, au moment de la décision ou au préalable, que la décision sera prise exclusivement par un traitement automatisé;
• Être informé des renseignements personnels utilisés pour prendre la décision, ainsi que des raisons, des principaux facteurs et des paramètres ayant mené à la décision; et
• Faire réviser la décision par une personne.

A.5. Désindexation

Vous avez le droit de demander que nous cessions de diffuser vos renseignements personnels ou que tout hyperlien vers vos renseignements soit désindexé, si la diffusion contrevient à la loi ou à une ordonnance du tribunal, ou si les conditions de traitement des renseignements ne sont plus remplies (Loi 25, article 28.1).

A.6. Droit à la portabilité des données

Vous avez le droit de recevoir, dans un format technologique structuré et couramment utilisé, les renseignements personnels que vous nous avez fournis, ainsi que tout renseignement personnel généré dans le cadre de la prestation du Service (Loi 25, article 27). Vous pouvez exercer ce droit au moyen de la fonctionnalité d'exportation des données du Service.

Annexe B : Espace économique européen, Royaume-Uni et Suisse (RGPD)

La présente annexe s'applique à vous si vous êtes résident de l'Espace économique européen (« EEE »), du Royaume-Uni (« R.-U. ») ou de la Suisse. Ces dispositions complètent la politique principale et, en cas de conflit, ont préséance pour les résidents de ces territoires de compétence.

B.1. Responsable du traitement

Le responsable du traitement aux fins du Règlement général sur la protection des données (UE 2016/679) (« RGPD ») et du RGPD du Royaume-Uni est :

Level47 Ventures Inc., exploitant Rideau AI 1, rue Rideau, 7e étage, Ottawa (Ontario), K1N 8S7, Canada Courriel : privacy@rideau.ai

B.2. Fondements juridiques du traitement

B.3. Transferts de données à l'extérieur de l'EEE et du Royaume-Uni

Le Canada a été reconnu par la Commission européenne comme offrant un niveau adéquat de protection des données (Décision de la Commission 2002/2/CE). Vos données sont stockées au Canada.

Lorsque des données sont transférées de nos serveurs canadiens vers des fournisseurs d'IA ou d'autres sous-traitants à l'extérieur du Canada (y compris aux États-Unis), nous nous assurons que des mesures de protection appropriées sont en place, y compris :

• Les clauses contractuelles types (CCT) approuvées par la Commission européenne; et/ou
• Des ententes sur le traitement des données ou des conditions contractuelles équivalentes avec nos sous-traitants qui comprennent des obligations conformes au RGPD. Consultez notre Liste des sous-traitants pour connaître le statut actuel des DPA de chaque sous-traitant.

B.4. Vos droits en vertu du RGPD

En plus des droits décrits à la section 8, vous disposez des droits suivants en vertu du RGPD :

Vous pouvez exercer ces droits tel que décrit à la section 8. Nous répondrons aux demandes dans un délai de 30 jours (prolongeable de 60 jours pour les demandes complexes, avec avis préalable).

B.5. Délégué à la protection des données

Notre responsable de la protection de la vie privée agit également comme personne-ressource aux fins du RGPD. Vous pouvez joindre le responsable de la protection de la vie privée à privacy@rideau.ai.

B.6. Représentants dans l'UE et au Royaume-Uni (article 27)

En tant qu'entreprise canadienne offrant des services à des personnes concernées dans l'EEE et au Royaume-Uni, nous sommes tenus en vertu de l'article 27 du RGPD et de la disposition équivalente du RGPD du Royaume-Uni de désigner des représentants dans chacun de ces territoires. Nous sommes en cours de désignation de représentants dans l'UE et au Royaume-Uni et mettrons à jour la présente section avec leurs coordonnées. Entre-temps, vous pouvez adresser toute demande à notre responsable de la protection de la vie privée à privacy@rideau.ai.

Annexe C : Californie (CCPA/CPRA)

La présente annexe s'applique à vous si vous êtes résident de la Californie. Ces dispositions complètent la politique principale et, en cas de conflit, ont préséance pour les résidents de la Californie. Les termes utilisés dans la présente annexe ont le sens qui leur est attribué dans le California Consumer Privacy Act de 2018, tel que modifié par le California Privacy Rights Act de 2020 (« CCPA »).

C.1. Catégories de renseignements personnels que nous recueillons

Nous ne recueillons pas les catégories C (classifications protégées), E (renseignements biométriques), H (données sensorielles), I (renseignements professionnels ou relatifs à l'emploi), J (renseignements scolaires) ou K (inférences tirées pour créer un profil).

C.2. Nous ne vendons ni ne communiquons vos renseignements personnels

Nous ne « vendons » pas vos renseignements personnels au sens du CCPA. Nous ne « communiquons » pas vos renseignements personnels à des fins de publicité comportementale intercontextuelle. Nous n'avons vendu ni communiqué de renseignements personnels au cours des 12 derniers mois.

C.3. Nous n'utilisons pas les renseignements personnels sensibles à des fins interdites

Dans la mesure où des renseignements personnels que nous recueillons constituent des « renseignements personnels sensibles » au sens du CCPA (comme le contenu de vos communications), nous les utilisons uniquement aux fins autorisées en vertu de l'article 1798.121(a) du CCPA, plus précisément, pour fournir le Service que vous avez demandé.

C.4. Vos droits en matière de vie privée en Californie

Pour exercer vos droits, communiquez avec privacy@rideau.ai. Nous vérifierons votre identité et répondrons dans un délai de 45 jours (prolongeable de 45 jours supplémentaires avec avis préalable).

C.5. Mandataires autorisés

Vous pouvez désigner un mandataire autorisé pour soumettre une demande en votre nom. Nous pouvons exiger une preuve écrite de l'autorisation du mandataire et pouvons vérifier votre identité directement.

C.6. Conservation

Nous conservons chaque catégorie de renseignements personnels pour les périodes décrites à la section 7. Nous ne conservons pas les renseignements personnels plus longtemps que ce qui est raisonnablement nécessaire aux fins divulguées.