Politique de confidentialité

La présente politique de confidentialité explique comment MEMORA solutions collecte, utilise, conserve et protège vos renseignements personnels lorsque vous utilisez le site memora.solutions et ses services associés, incluant le formulaire de contact et le chatbot d'assistance Léo.

MEMORA solutions s'engage à assurer la protection, la confidentialité et la sécurité de vos renseignements personnels en conformité avec les cadres législatifs en vigueur, incluant la Loi 25 du Québec (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels), la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada (PIPEDA), le Règlement général sur la protection des données (RGPD) de l'Espace économique européen, ainsi que le California Consumer Privacy Act (CCPA) tel qu'amendé par le California Privacy Rights Act (CPRA).

1. Identité du responsable du traitement

MEMORA solutions inc. (NEQ 1170260492)
1501, rue Saint-Benoît, L'Ancienne-Lorette (Québec) G2E 1P2
Québec, Canada

MEMORA solutions est le responsable du traitement des renseignements personnels collectés via memora.solutions.

1.1 Note complémentaire - personnes situées dans l'EEE

MEMORA est basée au Québec et ne dispose pas d'établissement dans l'Union européenne. Nous appliquons de façon proportionnée les principes du RGPD. Pour toute question ou demande relative à vos droits, écrivez à : politiques@memora.ca.

2. Responsable de la protection des renseignements personnels

Stéphane Lapointe, Président, agit comme responsable de la protection des renseignements personnels (RPRP) de MEMORA solutions.

Courriel : rprp@memora.ca ou politiques@memora.ca

Le sigle « RPRP » est utilisé tout au long de la présente politique. Vous pouvez le joindre pour toute question, demande d'exercice de droits ou préoccupation concernant vos renseignements personnels.

3. Renseignements que nous collectons (Loi 25, art. 8 ; RGPD, art. 13 et 14)

• Formulaire de contact : nom, courriel, contenu du message et toute information que vous choisissez d'inclure.
• Chatbot IA Léo : contenu des conversations et métadonnées techniques nécessaires au fonctionnement du service (horodatage, identifiant de session).
• Cookies (témoins) techniques : cookies de session et de protection CSRF (anti-falsification de requête), indispensables au fonctionnement et à la sécurité.
• Données de navigation : informations transmises automatiquement par votre navigateur (adresse IP, type et version du navigateur, système d'exploitation, pages consultées, URL référente, date et heure), collectées principalement via nos journaux serveurs.
• Relations clients (si vous êtes client) : informations nécessaires à l'exécution du contrat et à la facturation (identité, coordonnées, transactions).
• Réservations : prénom, courriel, téléphone, créneau choisi, sujet de la rencontre et consentement horodaté, avec les rappels envoyés par courriel ou par SMS ; vous pouvez cesser les rappels SMS en tout temps en répondant STOP au message.
• Formulaire pré-rencontre : identité, coordonnées, description du projet et fichiers que vous téléversez (logo, plan d'affaires).
• Communications : courriels, SMS et appels téléphoniques échangés avec nous (numéros, durées, contenu des messages).
• Mesure d'audience et marketing, uniquement après votre consentement et par la case qui correspond à chaque finalité : données pseudonymisées de Google Analytics 4 et de Matomo (mesure d'audience), du pixel Meta et de la balise Google Ads (publicité et mesure des conversions; voir la section 15).
• Comptes rendus de rencontres : transcription et résumé produits par l'outil de prise de notes de Google Meet, seulement si vous y avez consenti avant la rencontre (voir notre charte d'utilisation responsable de l'IA).

Au sein de MEMORA, seuls les membres de l'équipe affectés à votre dossier et le responsable de la protection des renseignements personnels ont accès à ces renseignements (Loi 25, art. 8, al. 3).

4. Finalités de traitement (Loi 25, art. 8 ; RGPD, art. 5)

• Répondre à vos demandes et assurer le suivi (formulaire de contact, relation clients).
• Fournir l'assistance via le chatbot IA Léo.
• Améliorer nos services et l'expérience utilisateur (analyse agrégée et anonymisée lorsque possible, diagnostics techniques).
• Assurer la sécurité de nos systèmes et prévenir la fraude, les abus et incidents.
• Respecter nos obligations légales (conservation comptable, réponse aux autorités lorsque requis par la loi).

5. Bases légales du traitement (RGPD, art. 6 ; Loi 25, art. 12 et 14)

Au Québec, la Loi 25 repose sur le consentement : un renseignement ne peut être utilisé à une autre fin que celle de sa collecte sans votre consentement, hors les cas énumérés à l'article 12. Les bases ci-dessous sont présentées selon le RGPD pour les personnes situées dans l'EEE.

• Consentement : informations envoyées via le formulaire de contact et l'utilisation du chatbot Léo.
• Intérêt légitime : sécurité du site et des services, prévention de la fraude, maintien et amélioration de l'infrastructure.
• Exécution d'un contrat : gestion de la relation clients et fourniture des services contractuels.
• Obligation légale : conservation de certaines données et communication aux autorités compétentes lorsque la loi l'exige.

6. Chatbot IA Léo (AI Act, art. 50 et 86 ; RGPD, art. 22 ; Loi 25, art. 12.1)

Le chatbot Léo fournit une assistance automatisée. Les conversations que vous soumettez sont transmises via OpenRouter (intermédiaire API, États-Unis) et traitées par Anthropic (un modèle Claude, États-Unis ; le modèle exact peut changer selon notre configuration). Selon la documentation d'OpenRouter, la requête peut être servie par l'infrastructure d'Anthropic, d'Amazon Web Services ou de Google Cloud ; notre configuration n'impose pas encore ce choix. Nous vous invitons à :

• ne pas saisir de données sensibles (santé, opinions politiques, croyances religieuses, données financières, numéros gouvernementaux, informations d'identification, etc.) ;
• ne pas partager d'informations confidentielles ou protégées.

Limitations et avertissements :

• Le chatbot Léo ne fournit pas de conseil juridique, médical ou financier. Toute information fournie a un caractère informatif général.
• Aucune prise de décision produisant des effets juridiques ou significatifs n'est automatisée via ce service.
• Selon la documentation d'Anthropic relative à l'API, les données traitées via l'API ne sont pas utilisées pour entraîner les modèles par défaut.

6.1 Marquage du contenu généré par IA

MEMORA marque les contenus générés ou substantiellement assistés par IA générative. Le chatbot Léo porte une mention permanente. Pour les articles de blogue et les images, la mention est ajoutée à la main par l'auteur; aucun contrôle automatique ne la garantit à ce jour.

Cette pratique répond à l’obligation de transparence prévue par le Règlement européen sur l’IA (AI Act), article 50, qui exige que les systèmes d’IA en interaction avec des humains soient clairement identifiés comme tels.

En pratique, la mention prend la forme d'un texte visible (« Contenu généré par IA » ou « Contenu assisté par IA ») placé au début du contenu. Nous n'intégrons pas de tatouage numérique invisible dans nos images, nos sons ni nos vidéos; nous les marquons par une mention visible.

L’article 50 du Règlement européen sur l’IA est applicable depuis le 2 août 2026 (art. 113). MEMORA appliquait cette transparence avant cette date et la maintient.

6.2 Deepfakes et contenus synthétiques

Un deepfake est un contenu audio, vidéo ou image manipulé pour faire dire ou faire faire à une personne ce qu’elle n’a pas dit ou fait.

La politique de MEMORA interdit strictement la création de deepfakes non consentis. Toute manipulation d’image, vidéo ou audio à caractère artistique ou éditorial est rendue clairement visible pour le public.

Cette approche correspond à l’article 50, paragraphe 4, du Règlement européen sur l’IA (AI Act), qui impose aux déployeurs d’indiquer qu’un contenu constituant un hypertrucage a été généré ou manipulé par une IA (le paragraphe 2 impose aux fournisseurs le marquage lisible par machine des contenus de synthèse).

Lorsque MEMORA utilise l’IA pour générer ou manipuler une image dans une communication, une mention explicite telle que « Image générée par IA » ou « Image manipulée par IA » est ajoutée à la main par l'auteur; aucun contrôle automatique ne la garantit à ce jour.

En cas de découverte d’un deepfake vous concernant, veuillez le signaler immédiatement à rprp@memora.ca ; une procédure adaptée sera alors déclenchée conformément aux recommandations de la Commission d’accès à l’information du Québec (CAI).

6.3 Supervision humaine garantie

MEMORA n'utilise pas le chatbot Léo ni aucun autre système d'IA pour prendre des décisions automatisées à effet juridique ou comparable concernant nos clients ou visiteurs. Toute décision impactante est validée par un humain avant exécution.

Conformément à l'article 22 du RGPD, vous avez le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé. Conformément à l'article 12.1 de la Loi 25 et à l'article 86 du EU AI Act, vous avez aussi le droit d'obtenir une explication détaillée de toute décision automatisée vous concernant.

Pour exercer ce droit ou poser une question : contactez notre RPRP à rprp@memora.ca. Délai de réponse : 30 jours (Loi 25, art. 32).

Lire la procédure complète : Droit à l'explication des décisions automatisées

7. Destinataires et accès aux renseignements (RGPD, art. 28 ; Loi 25, art. 18.3)

• Hébergement : nos systèmes et vos renseignements sont hébergés sur un serveur situé aux États-Unis, chez un fournisseur canadien. L'hébergeur a, comme tout hébergeur, un accès technique complet au serveur; il est lié par ses conditions contractuelles.
• Fournisseurs IA : OpenRouter (intermédiaire API, États-Unis) et Anthropic (modèle Claude, États-Unis) pour le traitement des conversations du chatbot Léo via API ; l'infrastructure qui sert la requête (Anthropic, Amazon Web Services ou Google Cloud) est choisie par OpenRouter.
• Mesure d'audience et publicité, uniquement après votre consentement : Google LLC (Google Analytics 4 par la case « Analytiques », Google Ads par la case « Marketing »; États-Unis) et Meta Platforms (pixel Meta par la case « Marketing »; États-Unis) reçoivent des données de navigation pseudonymisées et des événements de conversion, communiqués hors Québec (voir la section 15).
• Prestataires autorisés : partenaires ou sous-traitants techniques intervenant sous notre direction et soumis à des obligations contractuelles de confidentialité et de sécurité.
• Autorités compétentes : si la loi l'exige ou pour faire valoir nos droits.

Nous ne vendons pas vos renseignements personnels. La liste de nos sous-traitants (nommés, ou désignés par leur catégorie pour deux fournisseurs dont le RPRP communique le nom sur demande), avec le pays de chacun et sa base contractuelle, est tenue à jour dans notre Trust Center, qui fait foi pour toutes nos pages.

7.1 Encadrement des sous-traitants

Lorsque nous confions des renseignements personnels à un fournisseur (sous-traitant), l'article 18.3 de la Loi 25 nous impose quatre choses : un mandat ou un contrat écrit; l'indication, dans ce contrat, des mesures de protection, de l'usage limité au mandat et de la non-conservation après son expiration; l'avis sans délai à notre RPRP de toute violation ou tentative de violation de la confidentialité; et la possibilité pour le RPRP de vérifier cette confidentialité. Pour les grands fournisseurs (Microsoft, Google, Cloudflare, Stripe, l'éditeur de notre logiciel de comptabilité et de facturation), ces exigences sont couvertes par leurs ententes de traitement des données (DPA) standard. Pour les autres (OpenRouter, notre fournisseur canadien de téléphonie sur IP, hébergeur), nous nous appuyons sur leurs conditions contractuelles, qui ne satisfont pas encore aux quatre exigences de l'article 18.3; aucune entente conforme n'est signée avec eux à ce jour, et aucune date n'est fixée. Avant toute communication hors Québec, une évaluation des facteurs relatifs à la vie privée est exigée (art. 17; voir la section 8). Pour toute question : politiques@memora.ca.

8. Transferts internationaux de données (RGPD, chapitre V, art. 44 à 49 ; Loi 25, art. 17)

• Hébergement principal : l'ensemble de nos infrastructures et bases de données principales est hébergé aux États-Unis, chez un fournisseur canadien; cet hébergement hors Québec est visé par l'évaluation mentionnée ci-dessous.
• Traitement automatisé (chatbot Léo) : les interactions avec notre assistant virtuel transitent via des API sécurisées (OpenRouter et Anthropic) situées aux États-Unis.
• Conformité Loi 25 : l'article 17 de la Loi 25 exige une évaluation des facteurs relatifs à la vie privée (EFVP) avant chacune de ces communications hors Québec. Une EFVP a été réalisée pour chacune d'elles; celle de l'assistant Léo-Support est datée du 7 mai 2026. Avec chaque destinataire, une entente écrite est en place (entente de traitement des données ou conditions contractuelles du fournisseur), dont la mise en conformité avec toutes les mentions exigées se poursuit. L'état et la référence de chaque évaluation vous sont transmis sur demande à notre RPRP.
• Personnes situées dans l'EEE : pour ces transferts, nos fournisseurs offrent les mécanismes du chapitre V du RGPD (clauses contractuelles types ou certification au Data Privacy Framework, selon le fournisseur).

9. Durées de conservation par catégorie (Loi 25, art. 23 ; RGPD, art. 5(1)(e))

Cette table est la source unique des durées de conservation pour l'ensemble de nos pages; les autres pages y renvoient.

Les durées de conservation varient selon la catégorie de données et les obligations légales applicables. À l'expiration de la durée prévue, les données sont supprimées, anonymisées ou archivées selon les modalités indiquées ci-dessous.

À l'expiration de la durée applicable, les données font l'objet d'une anonymisation irréversible ou d'une suppression de la base de données; les copies de sauvegarde expirent ensuite selon leur propre cycle de rotation. Les données soumises à des obligations comptables ou fiscales sont conservées à accès restreint jusqu'à l'échéance légale, puis détruites.

10. Mesures de sécurité (RGPD, art. 32 ; Loi 25, art. 10 ; obligations de notification : RGPD art. 33 et 34, Loi 25 art. 3.5 et 3.7)

• Chiffrement des communications via TLS 1.2+ (certificat Let's Encrypt) et chiffrement au repos des secrets d'intégration (jetons d'accès, mots de passe de boîtes courriel).
• Contrôles d'accès stricts, gestion des identités et des habilitations, journalisation des accès.
• Mises à jour et correctifs réguliers des systèmes et dépendances.
• Sauvegardes quotidiennes automatisées, conservées sur le serveur et copiées chaque nuit hors de celui-ci, sur un équipement que nous contrôlons au Québec, avec une rétention d'environ 30 jours pour les bases de données et de 7 jours pour les fichiers. Une restauration d'essai est exécutée automatiquement chaque semaine. Leur chiffrement au repos n'est pas encore en place; nous ne fixons pas de date tant qu'il n'est pas prêt.
• Minimisation des données, principe du moindre privilège et confidentialité contractuelle avec les sous-traitants.
• Gestion des incidents : en cas d'atteinte à la protection des renseignements personnels présentant un risque de préjudice sérieux, nous appliquerons les obligations de notification prévues par la loi (notamment la Loi 25 au Québec) auprès des autorités compétentes et, le cas échéant, des personnes concernées.

11. Vos droits (Loi 25, art. 27 et 28 ; RGPD, art. 12 à 22)

En vertu de la Loi 25 (Québec) et des lois canadiennes applicables, vous disposez notamment des droits suivants :

• Accès à vos renseignements personnels que nous détenons.
• Rectification des renseignements inexacts, incomplets ou équivoques. Toute rectification est notifiée sans délai aux personnes qui ont reçu le renseignement dans les six mois précédents (Code civil du Québec, art. 40).
• Suppression : faire supprimer un renseignement périmé ou non justifié par l'objet du dossier (Code civil du Québec, art. 40) et obtenir la destruction des renseignements dont les fins sont accomplies (Loi 25, art. 23).
• Portabilité : obtenir, dans un format technologique structuré et couramment utilisé, les renseignements informatisés recueillis auprès de vous (Loi 25, art. 27, al. 3), sauf difficultés pratiques sérieuses.
• Retrait du consentement pour les traitements fondés sur le consentement, sans affecter la licéité du traitement antérieur.
• Cessation de diffusion, désindexation ou réindexation d'un renseignement personnel, dans les cas prévus par la loi.
• Décision automatisée : droit d'être informé lorsqu'une décision vous concernant est fondée exclusivement sur un traitement automatisé et de présenter des observations à une personne pouvant réviser cette décision. Voir aussi la section §6.3 Supervision humaine garantie ci-dessus. Pour les modalités complètes, consultez notre page Droit à l'explication des décisions automatisées.

Si vous résidez dans l'EEE, vous disposez également des droits prévus par le RGPD (opposition, limitation, effacement). Pour exercer vos droits, contactez notre responsable à politiques@memora.ca. Nous répondrons dans les délais prévus par la loi.

Pour exercer vos droits sans compte (notamment suite à une réservation), utilisez le formulaire d'exercice des droits ou écrivez à rprp@memora.ca. Délai de réponse : 30 jours (Loi 25, art. 32); à défaut de réponse dans ce délai, la demande est réputée refusée. Tout refus est motivé et indique la disposition de la loi invoquée, les recours qui s'offrent à vous et leur délai (art. 34).

12. Droits supplémentaires - résidents de Californie (CCPA/CPRA)

Si vous résidez en Californie, vous bénéficiez de droits spécifiques concernant vos données : le droit de savoir quels renseignements sont collectés, le droit de demander leur suppression et le droit strict à la non-discrimination pour l'exercice de vos droits à la vie privée. Bien que MEMORA solutions ne vende aucun renseignement personnel à des tiers, vous pouvez exercer votre droit d'opposition ou toute autre requête via : Do Not Sell or Share My Personal Information.

13. Réclamations et autorités de contrôle

Si vous estimez que vos droits n'ont pas été respectés, vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI) : www.cai.gouv.qc.ca, téléphone 1 888 528-7741, courriel cai.communications@cai.gouv.qc.ca.

Si vous résidez dans l'EEE, vous pouvez également contacter votre autorité de contrôle locale (par exemple, en France, la CNIL : www.cnil.fr).

Nous vous invitons à nous contacter d'abord afin que nous puissions tenter de résoudre votre demande.

14. Mineurs

Nos services sont réservés aux personnes de 18 ans et plus. Nous ne collectons pas sciemment de renseignements personnels concernant des mineurs. Si vous pensez qu'un mineur nous a transmis des informations, veuillez nous contacter afin que nous procédions à leur suppression. (Loi 25, art. 14, al. 2 : le consentement d'un mineur de moins de 14 ans est donné par le titulaire de l'autorité parentale ou par le tuteur)

15. Cookies (témoins)

Par défaut, seuls des cookies strictement nécessaires (session, CSRF) sont déposés pour assurer le bon fonctionnement et la sécurité du site. Des cookies analytiques (Google Analytics 4, Matomo) et marketing (Meta Pixel, Google Ads) ne sont activés qu'après votre consentement, chacun par la case de la bannière qui lui correspond. La liste complète figure dans notre politique de cookies.

16. Modifications de la politique

Nous pouvons mettre à jour cette politique de confidentialité afin de refléter les changements législatifs, techniques ou opérationnels. En cas de modification importante, un avis sera publié sur le site memora.solutions et, lorsque requis, vous serez notifié par des moyens appropriés.

17. Coordonnées

Pour toute question au sujet de cette politique ou pour exercer vos droits auprès du RPRP, écrivez à : rprp@memora.ca ou politiques@memora.ca.

Dernière mise à jour : 5 octobre 2026