Politique de confidentialité
Conforme à la Loi 25 — Loi sur la protection des renseignements personnels dans le secteur privé du Québec (LPRPSP)
Dernière mise à jour : 7 juillet 2026 · Version 1.2
1. Qui sommes-nous
Alarys est une plateforme CRM québécoise destinée aux professionnels et petites entreprises du Québec. Elle est exploitée par Dylan McKinnon à titre de travailleur autonome.
- Nom commercial : Alarys
- Site web : alarys.ca
- Forme juridique : Entreprise individuelle (travailleur autonome)
2. Responsable de la protection des renseignements personnels (RPRP)
Conformément à la Loi 25, Alarys a désigné un responsable de la protection des renseignements personnels :
Dylan McKinnon
Travailleur autonome — exploitant d'Alarys
Courriel : dylan@alarys.ca
Délai de réponse : 30 jours
3. Renseignements personnels collectés
Alarys collecte uniquement les renseignements nécessaires au fonctionnement du service :
| Données collectées | Finalité |
|---|---|
| Nom, prénom, courriel, mot de passe (haché) | Création et gestion de votre compte Alarys |
| Données CRM (contacts, notes, leads, pipeline) | Fonctionnement du service CRM pour votre pratique |
| Données de facturation (traitées via Stripe) | Traitement des paiements — jamais stockées directement chez Alarys |
| Données techniques (adresse IP, logs de session) | Sécurité, débogage et maintenance du service |
| Contenu des courriels (si boîte de réception activée) | Fonctionnement de la boîte de réception intégrée Alarys |
| Pièces jointes des demandes (PDF, JPEG, PNG, WEBP — max 5 fichiers, 25 Mo total par demande) | Permettre aux clients de joindre des justificatifs à leurs demandes via l'espace personnel. Stockés sur nos serveurs OVH Beauharnois (Québec). Conservés tant que le dossier client est actif. |
4. Base légale de la collecte
- Consentement libre et éclairé lors de l'inscription
- Exécution du contrat de service SaaS
- Obligations légales applicables (fiscales, sécurité)
5. Sous-traitants
Alarys s'appuie sur un nombre restreint de sous-traitants techniques pour fournir le service. Les renseignements personnels qui leur sont communiqués le sont uniquement aux fins indiquées ci-dessous.
| Sous-traitant | Lieu de traitement | Rôle |
|---|---|---|
| OVH (Hosting OVH inc.) | Beauharnois (Québec, Canada) | Hébergement du serveur principal et stockage des bases de données et des pièces jointes. |
| Stripe Inc. | États-Unis | Traitement des paiements (abonnements et factures). Les données de carte ne transitent jamais par les serveurs Alarys. |
| SendGrid (Twilio Inc.) | États-Unis | Envoi des courriels transactionnels (codes de connexion, notifications de compte). |
| Twilio Inc. | États-Unis | Envoi des messages SMS transactionnels (le cas échéant). |
| Google LLC (Gmail OAuth) | États-Unis | Synchronisation facultative de la boîte courriel professionnelle si activée par l'utilisateur via Gmail OAuth. |
| Microsoft Corporation (Microsoft Graph) | États-Unis | Synchronisation facultative du courriel et du calendrier professionnels si activée par l'utilisateur via Microsoft Graph. |
Chaque sous-traitant est lié à Alarys par une entente écrite (DPA) couvrant la confidentialité, la sécurité des données, la notification d'incident sans délai et l'usage limité aux fins prévues.
5.1 Transferts hors du Québec
Notre serveur principal et les données qui y sont stockées sont hébergés au Québec, à Beauharnois (OVH). Cet hébergement n'est pas un transfert hors du Québec.
Certains de nos sous-traitants sont en revanche établis aux États-Unis (Stripe, SendGrid/Twilio, Google, Microsoft). Conformément à l'article 17 de la LPRPSP, avant toute communication de renseignements personnels à ces fournisseurs, Alarys a réalisé une évaluation des facteurs relatifs à la vie privée (ÉFVP) et conclu avec chacun une entente écrite exigeant :
- un niveau de protection des renseignements personnels adéquat ;
- la notification sans délai en cas d'incident ;
- l'utilisation des données aux seules fins prévues par le contrat ;
- la destruction ou le retour des données à la fin du contrat.
Pour toute question sur un transfert spécifique, contactez le responsable de la protection des renseignements personnels (section 2).
5.2 Mesures de sécurité techniques
Alarys met en œuvre les couches de protection suivantes pour les renseignements personnels que vous nous confiez :
- Coffre identifiants client chiffré zero-knowledge : les mots de passe et secrets que vos clients confient au coffre sont chiffrés sur leur navigateur avant transmission. Stockés chiffrés sur nos serveurs, Alarys ne peut techniquement pas les déchiffrer. Si nos serveurs sont compromis, ces secrets restent illisibles.
- Chiffrement en transit (TLS 1.3) : toutes les communications entre votre navigateur et nos serveurs sont chiffrées via TLS 1.3 (standard cryptographique courant).
- Chiffrement au repos (AES-256) : les bases de données sont chiffrées au repos. Aucun dossier client n'est stocké en clair sur disque.
- Hash Argon2id sur les secrets sensibles : les mots de passe utilisateur et autres secrets sont hashés avec l'algorithme Argon2id (gagnant du Password Hashing Competition), avec un coût de calcul supérieur à 100 ms par hash, rendant impraticable une attaque par force brute.
- Double authentification (2FA TOTP) : le portail cabinet est protégé par authentification à deux facteurs via TOTP (Google Authenticator, Authy, ou équivalent).
- Journal d'audit complet : chaque accès à un dossier client est journalisé avec date, utilisateur et adresse IP. Disponible pour vos audits internes et obligations professionnelles CPA.
Ces mesures sont mises à jour au fil des bonnes pratiques de l'industrie. Pour toute question technique : dylan@alarys.ca.
5.3 Décisions automatisées
Alarys ne prend aucune décision fondée exclusivement sur un traitement automatisé de vos renseignements personnels au sens de l'article 12.1 de la LPRPSP.
Lorsque la plateforme utilise des outils d'analyse ou de suggestion automatisée (par exemple pour catégoriser une demande, suggérer une réponse, ou ordonner un dossier), il s'agit d'aides à la décision destinées à un professionnel humain. Le professionnel qui utilise Alarys reste seul responsable des décisions prises à l'égard de ses propres clients.
Vous pouvez à tout moment retirer votre consentement aux fonctionnalités d'aide automatisée depuis Configuration → Confidentialité & données.
6. Durée de conservation
- Compte actif : durée de l'abonnement + 12 mois après fermeture du compte
- Données de facturation : 7 ans (obligations fiscales québécoises)
- Logs techniques : 90 jours
- Données supprimées par l'utilisateur : suppression effective dans les 30 jours suivant la demande
7. Vos droits
Conformément à la Loi 25, vous disposez des droits suivants :
- Accès — savoir quels renseignements Alarys détient sur vous.
- Rectification — faire corriger des données inexactes ou incomplètes.
- Effacement — demander la suppression de vos données (sous certaines conditions).
- Portabilité — recevoir vos données informatisées dans un format technologique structuré et couramment utilisé. Alarys vous fournit, sur demande, un export complet de vos renseignements personnels au format JSON (recommandé pour une réutilisation logicielle) ou CSV (recommandé pour un tableur).
- Désindexation (« droit à l'oubli numérique ») — demander qu'un hyperlien permettant d'accéder à un renseignement vous concernant ne soit plus diffusé, ou que sa diffusion soit limitée, conformément à l'article 28.1 de la LPRPSP.
- Retrait du consentement — à tout moment, sans préjudice pour les traitements antérieurs.
Pour exercer l'un de ces droits, écrivez à : dylan@alarys.ca
Nous nous engageons à répondre dans les 30 jours suivant la réception de votre demande.
8. Incidents de confidentialité
En cas d'incident de confidentialité présentant un risque sérieux de préjudice, Alarys s'engage à aviser sans délai la Commission d'accès à l'information du Québec (CAI) ainsi que les personnes concernées. Un registre interne des incidents est tenu conformément à la Loi 25.
10. Modifications à cette politique
Alarys s'engage à vous aviser de toute modification importante à cette politique par courriel ou via l'interface de l'application. La date de mise à jour est indiquée en haut de cette page.
11. Contact et autorité de surveillance
RPRP Alarys : dylan@alarys.ca
Si vous estimez que vos droits n'ont pas été respectés, vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI) :
cai.gouv.qc.ca