Notre engagement
MEMORA solutions s'engage à protéger les renseignements personnels conformément à la Loi 25 du Québec, au Règlement général sur la protection des données (RGPD) européen et à l'EU AI Act, selon le cas. Nous appliquons les principes de responsabilité proactive et de protection dès la conception, sans compromis.
Responsable de la protection des renseignements personnels
Titulaire : Stéphane Lapointe, Président de MEMORA solutions.
Courriel dédié : rprp@memora.ca
Le RPRP traite les demandes d'accès, de rectification et de retrait de consentement, et est le point de contact en cas d'incident.
Politique de gouvernance (résumé public)
Encadrement
La gouvernance repose sur la direction (responsabilité ultime) et sur le RPRP (surveillance opérationnelle, évaluation des usages et des risques liés à l'IA). Aucun comité IA n'est constitué; aucune date n'est fixée. Lorsqu'il existera, il reprendra l'évaluation des systèmes à risque.
Rôles tout au long du cycle de vie des renseignements (Loi 25, art. 3.2) : la personne qui traite un dossier recueille les renseignements et informe la personne concernée; l'accès est limité aux membres de l'équipe affectés au dossier; la conservation, la destruction et les réponses aux demandes d'accès relèvent du RPRP; la direction approuve les politiques.
Mesures de sécurité
Nous appliquons le chiffrement TLS en transit. Au repos, les secrets d'intégration (jetons d'accès Google, mots de passe des boîtes courriel) sont chiffrés par l'application (AES-256-CBC) ; les autres données reposent sur les contrôles d'accès du serveur. L'authentification à deux facteurs (2FA) est obligatoire pour l'administration et le répertoire clients, et offerte à tous les autres comptes. Les sauvegardes quotidiennes automatisées sont conservées sur le serveur et copiées chaque nuit hors de celui-ci, sur un équipement que nous contrôlons au Québec, avec une rétention d'environ 30 jours pour les bases de données et de 7 jours pour les fichiers. Une restauration d'essai est exécutée automatiquement chaque semaine. Leur chiffrement au repos n'est pas encore en place; nous ne fixons pas de date tant qu'il n'est pas prêt. Une revue annuelle des droits d'accès par le RPRP est prévue; aucune date n'est fixée.
Gestion des incidents
Tout incident est signalé immédiatement au RPRP. Celui-ci évalue s'il crée un préjudice sérieux pour les personnes concernées. Si oui, la Commission d'accès à l'information (CAI) est notifiée sans délai, conformément à la Loi 25. Pour les données européennes, le délai RGPD de 72 heures s'applique. Pour les systèmes d'IA à haut risque, le Règlement IA (art. 73) impose aux fournisseurs un signalement des incidents graves au plus tard 15 jours après en avoir eu connaissance; MEMORA n'exploite aucun système à haut risque.
Formation du personnel
Un plan de formation en quatre niveaux est prévu; aucune session n'a encore été consignée dans un registre, et aucune date n'est fixée :
- Sensibilisation de base pour tout le personnel
- Modules intensifs pour les équipes techniques
- Ateliers dédiés aux gestionnaires
- Formation spécialisée pour le RPRP et le comité IA
Conservation et destruction
Les durées de conservation sont publiées, par catégorie de données, dans la table de conservation de notre politique de confidentialité (section 9), qui fait foi pour toutes nos pages. À l'expiration, les renseignements sont détruits ou anonymisés de façon irréversible.
Sous-traitants
Nous confions des renseignements personnels à des sous-traitants dans le cadre de mandats ou de contrats écrits (Loi 25, art. 18.3), qui doivent prévoir les mesures de protection, l'usage limité au mandat, la non-conservation après son expiration, l'avis sans délai au RPRP de toute violation ou tentative de violation, et le droit de vérification du RPRP. Pour les grands fournisseurs, ces exigences sont couvertes par leurs ententes de traitement des données (DPA) standard au sens de l'article 28 du RGPD; pour les autres (OpenRouter, notre fournisseur canadien de téléphonie sur IP, hébergeur), elles reposent sur leurs conditions contractuelles, qui ne satisfont pas encore aux quatre exigences de l'article 18.3; aucune entente conforme n'est signée avec eux à ce jour, et aucune date n'est fixée. La liste de nos sous-traitants, avec le pays et la base contractuelle de chacun, est publiée dans notre Trust Center.
Évaluation des facteurs relatifs à la vie privée
Une Évaluation des facteurs relatifs à la vie privée (EFVP), aussi appelée AIPD, est exigée par la Loi 25 (art. 3.3 et 17) pour tout projet impliquant des renseignements personnels et pour toute communication hors Québec. L'EFVP de l'assistant Léo-Support est datée du 7 mai 2026. Pour le chatbot public Léo et les autres communications hors Québec (hébergement, fournisseurs d'IA, mesure d'audience, publicité, paiement), une EFVP a été réalisée pour chacune; l'état et la référence de chacune sont transmis sur demande à notre RPRP.
Révision annuelle de la politique
Cette politique est révisée chaque année par le RPRP, en consultation avec la direction et, une fois constitué, le comité IA, pour refléter les évolutions légales, technologiques et organisationnelles.
Registre des activités de traitement (résumé public)
Le tableau ci-dessous est notre registre des activités de traitement (RGPD, art. 30), dans sa version publique; la Loi 25 n'impose pas un tel registre, mais il sert aussi à documenter l'information prévue à son article 8. Sa version détaillée, avec les durées et les mesures, est accessible sur demande à la CAI dans le cadre de ses pouvoirs de surveillance, et au RPRP rprp@memora.ca pour toute personne concernée souhaitant exercer ses droits.
| Activité | Finalité | Catégorie de personnes | Type de données | Base légale | Sous-traitants principaux |
|---|---|---|---|---|---|
| Formulaire pré-rencontre (intake) | Qualification client + cadrage projet | Prospects PME québécois | Identité, coordonnées, projet, fichiers | Consentement + intérêt légitime | hébergeur canadien (serveur aux États-Unis) |
| Boîte courriel + alias | Communication clients | Clients + prospects | Coordonnées, conversations | Contractuelle | Microsoft 365, cPanel |
| CRM Contacts | Suivi relation | Clients + prospects | Identité, conversations SMS/email | Contractuelle + intérêt légitime | Fournisseur de téléphonie sur IP (Canada, SMS); Microsoft 365 (courriel) |
| Réservations consultation | Planification rendez-vous | Clients + prospects | Identité, créneau, sujet, consentement horodaté | Contractuelle | Google Workspace (États-Unis); fournisseur de téléphonie sur IP (Canada, SMS de confirmation) |
| Chatbot Léo | Orientation services | Visiteurs site | Conversations et métadonnées de session (180 jours après la fermeture; 365 jours au plus si inactive) | Consentement | OpenRouter (États-Unis), Anthropic (États-Unis) ; voir le Trust Center |
| Mesure d'audience et marketing (GA4, Matomo, Meta Pixel) | Mesure d'audience et publicité | Visiteurs site (consentants) | Pseudonymisé | Consentement | Google LLC (États-Unis), Meta Platforms (États-Unis); Matomo auto-hébergé (serveur aux États-Unis, fournisseur canadien) |
| Facturation Stripe + logiciel de comptabilité | Comptabilité | Clients | Identité, transactions | Obligation légale (impôts) | Stripe + Intuit |
| Téléphonie VoIP | Communications téléphoniques | Clients + prospects | Numéros, durées, enregistrements (si activé) | Contractuelle | Fournisseur de téléphonie sur IP (Canada) |
| Comptes rendus de rencontres (IA de prise de notes) | Compte rendu de rencontre client | Clients + prospects | Transcription et résumé de la rencontre | Consentement préalable | Google LLC (États-Unis, Google Workspace) |
| Sécurité et diffusion du site | Protection contre les abus, performance | Visiteurs site | Adresse IP, journaux de sécurité | Nécessité technique | Cloudflare (points de présence Canada et États-Unis); hébergeur canadien (serveur aux États-Unis) |
Comment exercer vos droits
Vous pouvez exercer vos droits (accès, rectification, retrait de consentement, etc.) en consultant la section « Vos droits » de notre politique de confidentialité. Vous pouvez aussi utiliser le formulaire dédié pour les personnes sans compte. Nous répondons à toute demande dans un délai maximum de 30 jours (Loi 25, art. 32); à défaut de réponse dans ce délai, la demande est réputée refusée. En cas de refus, nous motivons notre décision en indiquant la disposition de la loi invoquée, les recours qui s'offrent à vous et leur délai (art. 34).
Pour le droit spécifique à l'explication d'une décision automatisée par un système d'IA (Loi 25 art. 12.1, RGPD art. 22, AI Act art. 86), consultez notre page dédiée : Droit à l'explication des décisions automatisées.
Comment formuler une plainte
Étape 1. Contactez le RPRP à rprp@memora.ca. Vous recevrez un accusé de réception dans les 2 jours ouvrables.
Étape 2. Si vous n'êtes pas satisfait de notre réponse, vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec :
- Site : cai.gouv.qc.ca.
- Téléphone : 1 888 528-7741.
- Courriel : cai.communications@cai.gouv.qc.ca.
Politique complète sur demande
La version intégrale de notre politique de gouvernance des renseignements personnels est disponible sur demande écrite adressée au RPRP à l'adresse rprp@memora.ca.
Version 1.1, mise à jour le 5 octobre 2026. Prochaine révision : au plus tard le 5 octobre 2027. Ce registre de gouvernance et la politique de confidentialité sont révisés selon des cycles indépendants; consultez la date de dernière mise à jour propre à chaque document.
