Politique de confidentialité

Dernière mise à jour : 9 avril 2026

Xerxes Systems (« nous », « notre ») s’engage à protéger vos renseignements personnels. La présente politique explique comment nous recueillons, utilisons, divulguons et protégeons vos renseignements, conformément à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDÉ/PIPEDA), à la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25) du Québec et à la Législation canadienne anti-pourriel (LCAP/CASL).

1. Responsable de la protection des renseignements personnels

Nous avons désigné un responsable de la protection des renseignements personnels, chargé de nos pratiques en matière de confidentialité.

2. Renseignements recueillis

Renseignements fournis directement

• Coordonnées : nom et adresse courriel fournis via nos formulaires d’inscription ou de liste d’attente.
• Renseignements de compte : nom d’entreprise, titre professionnel et préférences lors de l’abonnement.
• Documents : fichiers téléversés dans Mon Espace (notre portail client).
• Communications : messages envoyés via notre plateforme ou à notre équipe de soutien.

Renseignements recueillis automatiquement

• Données d’utilisation : pages visitées, fonctionnalités utilisées, durée, navigateur, appareil et adresse IP.
• Témoins (cookies) : voir la section 5 pour les détails.

Comment refuser la collecte

Vous pouvez refuser de fournir des renseignements personnels. Certains services pourraient alors être indisponibles. Vous pouvez naviguer sur notre site sans fournir de renseignements. Voir la section 5 pour refuser les témoins.

3. Utilisation de vos renseignements

• Fournir, maintenir et améliorer nos services.
• Traiter votre inscription et gérer votre compte.
• Communiquer des mises à jour et informations pertinentes auxquelles vous avez consenti.
• Répondre à vos demandes et offrir du soutien.
• Respecter les obligations légales, y compris les déclarations CANAFE/FINTRAC.
• Détecter et prévenir la fraude et les accès non autorisés.

4. Communication et fournisseurs de services

Nous ne vendons, ne louons ni n’échangeons vos renseignements personnels.

Nous pouvons les divulguer aux catégories suivantes de fournisseurs, liés par des ententes écrites :

• Hébergement et infrastructure — disponibilité et sécurité de la plateforme.
• Services de courriel — envoi de communications transactionnelles et marketing.
• Analytique — compréhension de l’utilisation et amélioration des services.
• Processeur de paiement (Stripe) — traitement des paiements d’abonnement.

Tous les fournisseurs sont contractuellement tenus de respecter les lois applicables, incluant la Loi 25 et la LPRPDÉ.

Localisation des données

Les renseignements personnels sont principalement stockés au Canada. Certains fournisseurs traitent des données aux États-Unis ou en Union européenne (voir § 7.1 pour la liste détaillée). Lorsque nous faisons appel à des fournisseurs à l’extérieur du Québec, nous maintenons des ententes contractuelles écrites exigeant des mesures de protection adéquates.

5. Témoins (cookies) et technologies de suivi

Témoins essentiels

Nécessaires au fonctionnement de base (authentification, sécurité). Déployés automatiquement.

Témoins analytiques

Par défaut, les témoins non essentiels ne sont pas activés. Vous pouvez les accepter ou les refuser via notre mécanisme de consentement.

Comment refuser les témoins

• Refuser via la bannière de consentement.
• Ajuster les paramètres de votre navigateur.
• Contacter notre responsable de la protection des renseignements personnels.

6. Consentement et communications (LCAP)

Xerxes Systems respecte la Législation canadienne anti-pourriel (LCAP).

Types de consentement

• Consentement exprès : vous avez choisi activement de vous inscrire.
• Consentement tacite : vous avez une relation d’affaires existante avec nous.

Chaque message électronique commercial comprend

• Notre nom d’entreprise : KingState Inc., faisant affaire sous la marque Xerxes Systems.
• Nos coordonnées.
• Un mécanisme de désabonnement clair.
• Un avis que vous pouvez retirer votre consentement en tout temps.

Comment se désabonner

• Cliquer sur « Se désabonner » dans tout courriel marketing.
• Contacter notre responsable à [email protected].

Les demandes de désabonnement sont traitées dans les 10 jours ouvrables.

7. Conservation des données

• Données de compte : conservées pendant la durée du compte plus 30 jours après la fermeture.
• Courriels de liste d’attente : conservés jusqu’à votre désinscription. Contacts inactifs depuis 24 mois supprimés automatiquement.
• Données analytiques : conservées jusqu’à 24 mois.
• Correspondance de soutien : conservée jusqu’à 3 ans.
• Documents de paiement : conservés 7 ans conformément aux lois fiscales canadiennes.
• Documents téléversés dans Mon Espace : conservés pendant la durée de votre abonnement plus 60 jours.

7.1 Résidence des données

Vos renseignements personnels sont principalement stockés et traités au Canada. Le registre ci-dessous présente nos sous-traitants et leur juridiction.

• Anthropic — raisonnement IA (API Claude) — États-Unis.
• Supabase — base de données PostgreSQL gérée — Canada (AWS ca-central-1).
• Google Cloud / Workspace — API Gmail, Drive et Agenda — États-Unis.
• Google LLC (API Gemini) — extraction assistée par IA du contenu des documents téléversés (Mon Espace), déclenchée par le courtier — États-Unis.
• Cloudflare — réseau de diffusion et tunnel d’accès — mondial (périphérie).
• Backblaze B2 — stockage objet (copies de documents clients et PDF de consentement signés) — États-Unis.
• Postmark — livraison de courriels transactionnels — États-Unis.
• Stripe — facturation (Mon Espace) — États-Unis.
• AssemblyAI — transcription des appels téléphoniques — États-Unis.
• Deepgram — transcription temps réel (en retrait) — États-Unis.
• Plausible — statistiques du site vitrine, sans témoins — Union européenne.
• Brevo (Sendinblue SAS) — courriels marketing et courriels transactionnels de Mon Espace — Union européenne (France, Allemagne); les données acheminées se limitent aux adresses courriel, noms et contenu des messages.

Pour chaque transfert de renseignements personnels à l’extérieur du Québec — vers les États-Unis ou vers l’Union européenne — nous avons conclu des ententes contractuelles écrites avec des fournisseurs sélectionnés pour leurs pratiques de sécurité reconnues. Les destinations situées dans l’Union européenne offrent un niveau de protection substantiellement équivalent aux exigences québécoises grâce à l’encadrement du Règlement général sur la protection des données (RGPD) de l’Union européenne. Pour toute question concernant ces transferts ou les mesures de protection appliquées, vous pouvez communiquer avec notre responsable de la protection des renseignements personnels (§ 1).

8. Vos droits

En vertu de la LPRPDÉ et de la Loi 25 :

Droit d’accès

Vous pouvez demander l’accès à vos renseignements personnels. Envoyez un courriel avec l’objet « Demande d’accès ». Réponse dans les 30 jours, sans frais.

Droit de rectification

Vous pouvez demander la correction de renseignements inexacts. Réponse dans les 30 jours.

Droit de suppression

Vous pouvez demander la suppression de vos renseignements, sous réserve des obligations légales de conservation. Réponse dans les 30 jours.

Droit à la portabilité (Loi 25)

Vous pouvez demander une copie de vos renseignements dans un format lisible par machine (CSV, JSON). Délai de 60 jours.

Droit de retrait du consentement

Vous pouvez retirer votre consentement en tout temps. Effet immédiat.

Droit de porter plainte

9. Notification en cas d’incident de sécurité

En cas d’incident de sécurité impliquant des renseignements personnels présentant un risque de préjudice sérieux, Xerxes Systems :

• Enquêtera promptement.
• Avisera la CAI conformément à la Loi 25.
• Avisera les personnes concernées sans délai injustifié, en fournissant une description de l’incident, les conséquences probables, les mesures prises et les recommandations.

10. Sécurité

Nous mettons en place des mesures de sécurité conformes aux normes de l’industrie : chiffrement en transit (TLS) et chiffrement au repos au niveau du stockage (AES-256, infrastructure Supabase / AWS ca-central-1), contrôles d’accès, évaluations de sécurité régulières et procédures de réponse aux incidents. La tokenisation applicative des identifiants personnels est en développement.

11. Modifications

Nous pouvons mettre à jour cette politique. Pour les modifications importantes, nous publierons la version mise à jour et, dans la mesure du possible, vous aviserons par courriel au moins 30 jours avant l’entrée en vigueur.

12. Accessibilité

Cette politique est rédigée en langage clair. Si vous avez besoin d’un format alternatif, contactez notre responsable. Nous fournirons une version accessible sans frais dans les 5 jours ouvrables.

13. Nous joindre