MEMORA pratique la transparence radicale sur ses partenaires technologiques, ses incidents et sa gouvernance des données. Cette page rassemble en un seul endroit toutes les informations qui permettent à nos clients, prospects et partenaires de vérifier que nous tenons nos engagements éthiques et juridiques.
La transparence n'est pas un slogan : c'est une obligation à la fois légale (Loi 25 art. 3.2 et 8, RGPD art. 13-14, EU AI Act art. 50) et éthique. Nous publions ici ce que d'autres préfèrent garder enfoui dans des PDF d'avocats.
1. Sous-traitants principaux (sub-processors)
Le tableau ci-dessous est notre liste de référence des sous-traitants; les autres pages du site y renvoient. Deux fournisseurs y figurent par leur catégorie plutôt que par leur nom, comme le permet l'article 8 de la Loi 25 (« le nom des tiers ou des catégories de tiers »); le RPRP communique leur nom sur demande. La colonne « Base contractuelle » indique ce qui existe réellement pour chacun : une entente de traitement des données (DPA) au sens de l'article 28 du RGPD pour les grands fournisseurs, ou leurs conditions contractuelles pour les autres. La mise en conformité de ces ententes avec les quatre exigences de la Loi 25 (art. 18.3 : mandat écrit, mesures de protection, avis de violation, droit de vérification) est en cours. Pour consulter une entente, contactez le RPRP : rprp@memora.ca.
| Sous-traitant | Service | Pays / juridiction | Type de données traitées | Base contractuelle (DPA) | Politique |
|---|---|---|---|---|---|
| Microsoft 365 | Courriel, calendrier, stockage Office | Canada (région Azure Canada East) | Courriels, contacts, documents | DPA standard Microsoft + clauses contractuelles types | microsoft.com/privacystatement |
| Google Workspace | Documents collaboratifs, calendrier de réservation, outil de prise de notes des rencontres (Google Meet) | États-Unis | Documents, événements, transcriptions et résumés de rencontres (avec consentement) | DPA Google + DPF transatlantique | privacy.google.com |
| OpenRouter | Service par lequel passent les requêtes du chatbot Léo vers un fournisseur de modèle de langage. Le modèle utilisé est un réglage de notre configuration et peut changer ; le fournisseur qui sert la requête dépend de ce réglage. | États-Unis | Avant d'être transmis au fournisseur de modèle (hors Québec), vos messages passent par un masquage automatique des identifiants directs : courriel, numéro de téléphone, numéro d'assurance sociale, carte de paiement, adresse postale et code postal. Ce masquage ne reconnaît ni les noms de personnes ni les renseignements écrits en toutes lettres, et le contenu de votre message est transmis tel quel : n'y écrivez rien que vous ne confieriez pas à un tiers. | Conditions OpenRouter | openrouter.ai/terms |
| Anthropic | Fournisseur de modèle de langage (via OpenRouter, selon la configuration) | États-Unis | Conversations du chatbot | Conditions Anthropic | anthropic.com/legal/privacy |
| Cloudflare | CDN, sécurité bot, email obfuscation | Global (PoPs Canada + USA) | IP visiteurs, logs sécurité | DPA Cloudflare + DPF | cloudflare.com/privacypolicy |
| Stripe | Paiements en ligne | Canada + USA | Coordonnées paiement chiffrées (PCI-DSS) | DPA Stripe + clauses CCT | stripe.com/privacy |
| Logiciel infonuagique de comptabilité et de facturation (catégorie; nom de l'éditeur sur demande au RPRP) | Comptabilité, facturation | Canada + USA | Factures, transactions | DPA standard de l'éditeur | rprp@memora.ca |
| Fournisseur canadien de téléphonie sur IP et de SMS (catégorie; nom du fournisseur sur demande au RPRP) | Téléphonie SIP, SMS | Canada (Québec) | Numéros tél., durées appels, SMS | Contractuelle (fournisseur canadien) | rprp@memora.ca |
| HostPapa | Hébergement serveur | États-Unis (fournisseur canadien) | Toutes données site | Contractuelle hébergeur | hostpapa.com |
| Google Analytics 4 | Mesure d'audience site | États-Unis | Pseudonymisé, IP tronquée | Consentement + DPA Google | privacy.google.com |
| Meta Pixel | Remarketing publicité | États-Unis | Pseudonymisé événements site | Consentement + DPA Meta | facebook.com/privacy |
| Google Ads | Publicité, mesure des conversions (demande de contact, prise de rendez-vous) | États-Unis | Pseudonymisé, événements de conversion, identifiant de clic publicitaire | Consentement (case « Marketing » seulement) + DPA Google | policies.google.com/technologies/ads |
2. Registre des incidents de confidentialité
Conformément à la Loi 25 (art. 3.5 à 3.8) et au RGPD (art. 33 et 34), MEMORA tient un registre interne des incidents de confidentialité, dont la teneur suit le Règlement sur les incidents de confidentialité (RLRQ, c. A-2.1, r. 3.1). La version publique anonymisée ci-dessous fait état des incidents constatés depuis la mise en service du registre, en octobre 2026.
| Date | Type d'incident | Catégories de personnes affectées | Catégories de données concernées | Nombre approximatif | Nature des conséquences | Mesures prises | CAI notifiée ? |
|---|---|---|---|---|---|---|---|
| Aucun incident de confidentialité au sens de l'article 3.6 de la Loi 25 (accès, utilisation ou communication non autorisés, perte) n'a été constaté depuis la mise en service du registre, en octobre 2026. Les événements de sécurité corrigés sans accès non autorisé constaté ne figurent pas dans ce tableau. | |||||||
3. Rapport de transparence (transparency report)
Statistiques anonymisées des demandes reçues au cours des 12 derniers mois ou depuis le lancement du site memora.solutions.
| Métrique | 12 derniers mois |
|---|---|
| Demandes d'accès aux renseignements personnels (DSAR) reçues | 0 |
| Demandes de rectification reçues | 0 |
| Demandes d'effacement / portabilité | 0 |
| Demandes formelles d'autorités (mandats) | 0 |
| Demandes refusées (motif légal) | 0 |
| Délai moyen de réponse | N/A |
Données mises à jour lors de chaque révision de cette page. Dernière mise à jour : 22 octobre 2026.
4. Conformités et certifications
- ✓ TLS 1.2+ - chiffrement du transport entre votre navigateur et nos serveurs (certificat Let's Encrypt valide)
- → WCAG 2.2 AA - conformité partielle, en progression ; état détaillé et obstacles connus dans notre déclaration d'accessibilité
- ✓ Loi 25 (RLRQ c. P-39.1) - RPRP désigné ; registre des incidents en service depuis octobre 2026 ; EFVP finalisée pour l'assistant Léo-Support, EFVP du chatbot public Léo et des communications hors Québec en cours
- → RGPD UE - art. 13, 14, 22, 28, 30, 32, 33, 34 et 44 à 49 pris en compte dans nos politiques
- → EU AI Act (Règlement 2024/1689) - art. 4 (maîtrise de l'IA), 50 (transparence, dont le paragraphe 4 sur les hypertrucages) et 86 (droit à l'explication) pris en compte
- → Code civil du Québec - art. 35 à 41 (vie privée et dossiers) pris en compte; nos clauses de limitation de responsabilité tiennent compte de l'art. 1474
- ✓ Exigence la plus élevée retenue (Loi 25 + RGPD + AI Act, plafond le plus haut retenu)
- → ISO/IEC 42001 + NIST AI RMF (cadres de référence consultés, sans certification)
5. Comment signaler un incident ou poser une question
- Pour signaler un incident : contact direct au RPRP rprp@memora.ca (accusé de réception dans les 2 jours ouvrables).
- Pour exercer vos droits : voir /politique-de-confidentialite §11 et /droit-explication-ia.
- Pour question éthique IA : ethique@memora.ca.
6. Mises à jour et historique
- Première publication : 30 avril 2026.
- Mises à jour : à chaque changement de sous-traitant, après tout incident significatif et à chaque révision de nos politiques.
7. Liens utiles
- Charte d'utilisation responsable de l'IA
- Politique de confidentialité
- Politique de cookies
- Gouvernance des renseignements personnels
- Accessibilité
- Droit à l'explication des décisions automatisées
- Sources et bibliographie du livre
- Mentions légales
- Conditions d'utilisation
Dernière mise à jour : 22 octobre 2026. Prochaine mise à jour : trimestrielle (janvier 2027).
