Fournisseurs et transferts hors du Québec

1Pourquoi cette page existe

Avant de communiquer des renseignements personnels à l'extérieur du Québec, la Loi 25 exige que l'entreprise procède à une évaluation des facteurs relatifs à la vie privée, qu'elle établisse par cette évaluation que les renseignements bénéficieront d'une protection adéquate, et qu'elle consigne le résultat dans une entente écrite avec le destinataire. Cette page est le résumé publié de ces évaluations. En vigueur le 9 août 2026.

Elle est ici plutôt que dans un classeur pour une raison simple : une évaluation que personne ne peut lire est indiscernable d'une évaluation que personne n'a faite. Lorsque le RGPD s'applique, cette page tient aussi lieu de liste des sous-traitants que nous devons rendre disponible.

2Ce qui est soupesé dans chaque évaluation

1. La sensibilité des renseignements. Une adresse de livraison et une empreinte de mot de passe ne présentent pas le même risque, et n'obtiennent pas la même réponse.
2. La finalité poursuivie, et la possibilité que le fournisseur s'en serve à autre chose. Chaque fournisseur ci-dessous est un sous-traitant : il agit suivant nos instructions et ne peut pas utiliser les renseignements à ses propres fins.
3. Les mesures de protection, y compris contractuelles. Chiffrement en transit et au repos, contrôle d'accès, limites de conservation, avis en cas d'atteinte, et les clauses de traitement des données qui font partie de l'entente avec le fournisseur.
4. Le régime juridique du lieu de traitement, y compris la possibilité pour une autorité publique d'y contraindre la divulgation et les recours dont dispose une personne.

Une évaluation ne conclut qu'un transfert peut avoir lieu que si les quatre facteurs, ensemble, établissent une protection adéquate. Sinon, la réponse est de ne pas envoyer les renseignements, pas de les envoyer en espérant.

3Où la plateforme s'exécute

L'application est déployée dans une seule région de l'est des États-Unis, et la base de données et le stockage d'objets se trouvent à côté. Le titre honnête est donc celui-ci : la plupart des renseignements personnels sur WIN sont traités aux États-Unis, pas au Québec, et les évaluations ci-dessous sont ce sur quoi cela repose.

Les États-Unis n'ont pas de loi fédérale générale sur la vie privée ni de décision d'adéquation. C'est la faiblesse précise à laquelle chaque évaluation ci-dessous doit répondre, et elle y répond chaque fois de la même façon : en réduisant au minimum ce qui sort, en le chiffrant, par contrat, et en choisissant des fournisseurs dont les conditions les lient comme sous-traitants sans droit d'utiliser les renseignements pour eux-mêmes.

4Infrastructure

Vercel

Hébergement de l'application et routage en périphérie, États-Unis. Traite chaque requête en transit, plus des journaux d'exploitation de courte durée. Conclusion : procéder. Les données sont transitoires, le fournisseur est un sous-traitant selon ses clauses de traitement, et aucun dossier de membre n'y est conservé.

Neon

La base de données PostgreSQL, États-Unis. C'est le magasin principal : comptes, entreprises, contenu, commandes. Les champs sensibles sont chiffrés au niveau applicatif avec AES-256-GCM avant d'y être écrits, alors le fournisseur détient du texte chiffré pour ces colonnes et ne détient jamais de clé. Conclusion : procéder, sur la force de cela et de l'entente avec le fournisseur.

Amazon Web Services

Stockage d'objets et diffusion de contenu pour les médias, gestion des clés, et modération automatisée des images, États-Unis. Détient les images, vidéos et fichiers téléversés. Conclusion : procéder. Les compartiments sont privés, les médias sont servis par des URL signées, et la modération retourne un verdict sans conserver l'image.

Cloudflare

Réseau de périphérie et défense contre les robots, réparti mondialement. Voit les métadonnées de connexion, dont votre adresse IP, avant qu'une requête nous parvienne. Conclusion : procéder. Nous ne lui envoyons rien qui identifie un membre, et ce traitement est ce qui empêche d'attaquer la plateforme trivialement.

5Paiements

Stripe

Traitement des paiements et intégration des vendeurs, États-Unis et Irlande. Traite les données de carte, qui n'atteignent jamais nos serveurs, et les données d'identité et bancaires qu'un vendeur fournit pour être payé. Conclusion : procéder. C'est la seule façon d'accepter une carte, le fournisseur est lui-même un établissement de paiement réglementé, et l'autre option serait de détenir nous-mêmes les données de carte, ce qui serait pire pour vous à tous égards.

6Communications

Resend

Courriel transactionnel, États-Unis. Reçoit l'adresse du destinataire et le corps d'un courriel de compte : un code de vérification, un reçu, une notification. Conclusion : procéder, limité au courriel transactionnel. Nous ne lui envoyons aucune liste de membres et n'y menons aucune campagne de marketing.

Services de notification poussée

Les notifications poussées web sont livrées par le service de notification auprès duquel votre propre navigateur est enregistré, exploité par l'éditeur de votre navigateur. Il reçoit un jeton de destination anonyme et la charge utile chiffrée de la notification. Conclusion : procéder. La charge utile est chiffrée de bout en bout avec des clés que le service ne détient pas, et le transfert n'existe que parce que vous avez activé les notifications.

7Exploitation

Sentry

Surveillance des erreurs, États-Unis. Reçoit des traces de pile et du contexte technique lors d'un plantage. Configuré pour n'envoyer aucun renseignement personnel par défaut, et chaque événement est filtré avant de sortir : témoins, en-têtes de requête, adresse IP et courriel sont retirés, les corps de requête sont nettoyés, et la relecture de session est désactivée. Conclusion : procéder, sur la force de ce filtre plutôt que sur celle du fournisseur.

Vercel Analytics

Comptes de pages anonymes, États-Unis. Chargé uniquement si vous avez accepté les témoins de mesure d'audience ; en cas de refus, le script n'est jamais injecté. Conclusion : procéder, sur consentement.

Discord

Alertes d'exploitation vers notre propre équipe, États-Unis. Reçoit des alertes de sécurité et de modération, qui peuvent contenir un nom d'entreprise, un identifiant, ou un extrait de contenu signalé. Conclusion : procéder avec minimisation. Les alertes portent des références plutôt que des dossiers, et le canal est restreint aux personnes qui agissent dessus.

8L'assistant

Le modèle derrière Jarv1s est à poids ouverts et s'exécute sur du matériel que nous exploitons. Ce n'est pas un fournisseur de services, aucune conversation n'est envoyée à un fournisseur d'IA, et rien de ce que vous dites à l'assistant n'entraîne le modèle de quelqu'un d'autre. Deux de ses outils sortent bel et bien de la plateforme, et seulement lors du tour qui les utilise.

Tavily

Recherche web pour l'assistant, États-Unis. Reçoit les termes de cette seule requête et rien d'autre : ni compte, ni entreprise, ni identifiant. Conclusion : poursuivre. Une recherche que l'assistant effectue en votre nom représente la même exposition qu'une recherche que vous auriez faite vous-même, sans votre adresse IP.

Service de navigation

Un bac à sable de navigation isolé que nous exploitons pour l'assistant. Reçoit l'adresse à visiter et la tâche, ne détient aucun accès à la base de données ni aucun de vos identifiants, et il est limité en débit et audité à chaque exécution. Conclusion : poursuivre. Il lit des pages publiques comme le ferait n'importe quel navigateur.

Ni l'un ni l'autre ne s'exécute si vous n'avez pas activé l'assistant, et ni l'un ni l'autre n'est sollicité lors d'un tour qui n'en a pas besoin. Si vous ne posez jamais de question exigeant le web en direct, rien de ce qui figure sous cette rubrique ne se produit.

9Ce qu'aucun fournisseur n'obtient

• Aucun fournisseur de cette page ne reçoit de renseignements personnels pour ses propres fins.
• Nous ne vendons pas de renseignements personnels et n'en partageons pas avec un réseau publicitaire. Il n'y a aucun fournisseur publicitaire dans cette liste parce qu'il n'y en a aucun dans le produit.
• Le contenu des messages privés n'est envoyé à aucun fournisseur autre que le stockage et la base de données qui le conservent pour vous.
• Aucun fournisseur ne reçoit de liste de membres, et aucun ne sert à constituer une audience ou un segment similaire.

10Quand cela change

Ajouter un fournisseur qui traite des renseignements personnels suppose de faire l'évaluation d'abord, puis de mettre cette page à jour. Un changement de catégorie, par opposition à un remplacement équivalent, est annoncé de la même façon qu'une modification importante de la Politique de confidentialité. Si vous vous fiez à cette liste pour votre propre conformité et voulez être avisé quand elle bouge, écrivez à [email protected].