Confidentialité

Politique de confidentialité

Version 1.5 · Entrée en vigueur : 2 novembre 2026 · Dernière mise à jour : 13 octobre 2026 · Conforme à la Loi 25 (Québec)

Version précédente : 1.2, en vigueur depuis le 10 juin 2026, s'applique jusqu'au 1^er novembre 2026 (la 1.3 ajoute les durées de conservation des conversations Flow, section 6, complète la liste des sous-traitants, section 5, et met à jour les chemins dans l'application ; la 1.4 décrit le bac à sable public, section 14.1 ; la 1.5 décrit la page d'abonnement, sections 14.3 et 14.4).

1. Responsable de la protection des renseignements personnels (RPRP)

Le responsable de la protection des renseignements personnels désigné est :

Vous pouvez communiquer avec le RPRP pour toute question relative à la présente politique, exercer vos droits (§7), ou signaler un incident de confidentialité.

2. Renseignements personnels collectés

CADRIXO collecte les catégories suivantes de renseignements :

2.1 Renseignements de compte

• Nom, prénom, adresse courriel, numéro de téléphone
• Mot de passe (stocké sous forme de hachage sécurisé par notre fournisseur d'authentification)
• Si vous vous connectez avec Google ou avec Apple (Sign in with Apple) : le nom et l'adresse courriel que ce fournisseur nous transmet ; Apple peut transmettre une adresse courriel relais privée plutôt que votre adresse réelle
• Rôle dans l'entreprise (administrateur, contremaître, ouvrier)
• Photo de profil (facultatif)

2.2 Renseignements d'entreprise

• Raison sociale, adresse
• Licence de la Régie du bâtiment du Québec (RBQ), le cas échéant
• Numéros d'inscription fiscale TPS/TVQ, le cas échéant
• Logo et coordonnées

2.3 Renseignements opérationnels de chantier

• Adresses de projets, noms et coordonnées des clients
• Feuilles de temps, coordonnées GPS des pointages (punch in/out)
• Photos de chantier, documents (plans, permis, soumissions, factures)
• Journaux quotidiens, communications entre membres de l'équipe
• Reçus de dépenses (incluant les données numérisées par OCR)

2.4 Renseignements techniques

• Adresses IP, type d'appareil, système d'exploitation, identifiant d'appareil
• Journaux d'activité (authentifications, actions critiques)
• Données de télémétrie anonymisées sur l'utilisation de la Plateforme

2.5 Données sensibles

CADRIXO ne collecte pas délibérément de renseignements de santé, de données biométriques, de renseignements financiers personnels (numéros de carte de crédit, comptes bancaires personnels) ni de numéros d'assurance sociale. Si un de ces renseignements apparaît accidentellement dans un document téléversé par un utilisateur, l'entreprise cliente en est responsable.

3. Finalités de l'utilisation

Les renseignements sont utilisés uniquement pour :

1. Fournir le service : gérer vos projets, clients, employés, feuilles de temps, soumissions, factures, dépenses.
2. Authentifier et sécuriser : identifier les utilisateurs et prévenir les accès non autorisés.
3. Communiquer : envoyer des notifications transactionnelles (confirmations, rappels, alertes) et des emails de service.
4. Améliorer la Plateforme : analyser l'utilisation de façon agrégée et anonymisée pour corriger des bugs et prioriser des fonctionnalités.
5. Respecter nos obligations légales : conformité CCQ, obligations fiscales, demandes légales valides.
6. Intégrer des outils d'intelligence artificielle (IA) pour des fonctionnalités spécifiques : numérisation de reçus (OCR), suggestions de soumissions, analyse de photos de plans (takeoff), copilote chantier. Le contenu envoyé aux IA est strictement le minimum requis pour la tâche demandée et n'est pas utilisé pour entraîner des modèles tiers (voir §5). Votre entreprise peut désactiver le traitement IA dans ses paramètres : CADRIXO ne transmet alors aucune de ses données à un fournisseur d'IA, et toutes les fonctionnalités IA, actuelles et futures (copilote Flow, suggestions dans les formulaires, lecture de reçus, métré de plans, évaluation des prospects et brouillons de réponse, résumés et sommaires générés par IA), sont indisponibles jusqu'à leur réactivation ; le reste de la Plateforme continue de fonctionner.

Nous n'utilisons pas vos renseignements personnels à des fins de marketing par des tiers et ne les vendons à personne.

4. Base légale du traitement

Le traitement repose sur une ou plusieurs des bases suivantes :

• Le consentement que vous donnez à l'ouverture de votre compte.
• L'exécution du contrat de service qui vous lie à CADRIXO.
• Les obligations légales applicables (CCQ, fisc, etc.).
• L'intérêt légitime pour la sécurité de la Plateforme et la prévention de la fraude.

Le consentement est libre, éclairé, spécifique, et peut être retiré en tout temps(§7).

5. Communication à des tiers et transferts hors-Québec

5.1 Sous-traitants

Certaines opérations sont confiées à des fournisseurs de services qui agissent comme sous-traitants au sens de la Loi 25. Chaque sous-traitant est lié par une entente de traitement des données (Data Processing Addendum, DPA) qui l'oblige à appliquer des mesures de protection équivalentes aux nôtres.

5.2 Transferts hors-Québec

Certains sous-traitants ci-dessus transfèrent des renseignements en dehors du Québec (principalement aux États-Unis). Une Évaluation des facteurs relatifs à la vie privée (EFVP) a été réalisée avant chaque transfert, conformément à l'article 17 de la Loi 25. Le rapport est disponible sur demande auprès du RPRP.

Les mesures suivantes encadrent ces transferts :

• Chiffrement des données en transit (TLS 1.2+)
• Chiffrement au repos chez tous les sous-traitants
• Accès restreint par le principe du moindre privilège
• Clauses contractuelles protectrices dans chaque DPA
• Minimisation : seuls les renseignements strictement nécessaires à la finalité sont transférés

Si vous ne souhaitez pas qu'un renseignement particulier soit traité par un sous-traitant hors-Québec (par exemple, ne pas envoyer une adresse client à Google Maps), vous pouvez désactiver la fonctionnalité correspondante depuis les paramètres de votre compte, ou en faire la demande auprès du RPRP.

5.3 Divulgations légales

CADRIXO peut être tenue de communiquer des renseignements à une autorité publique en réponse à une demande légalement valide (mandat, ordonnance, sommation). Nous évaluerons chaque demande et n'y donnerons suite que dans la stricte mesure requise par la loi.

6. Durée de conservation

Les renseignements sont conservés aussi longtemps que nécessaire aux finalités pour lesquelles ils ont été collectés, ou tant que vous utilisez la Plateforme.

Lorsqu'un renseignement atteint la fin de sa période de conservation, il est supprimé de manière sécurisée ou anonymisé de façon irréversible si nous en conservons une version agrégée à des fins statistiques.

7. Vos droits

En vertu de la Loi 25 et du Code civil du Québec, vous disposez des droits suivants :

1. Droit d'accès : obtenir la confirmation que nous détenons des renseignements sur vous et en obtenir copie.
2. Droit de rectification : faire corriger tout renseignement inexact, incomplet, équivoque ou périmé.
3. Droit au retrait du consentement : retirer votre consentement en tout temps (ce qui peut entraîner la résiliation du service).
4. Droit à la portabilité : recevoir vos renseignements dans un format technologique structuré et couramment utilisé.
5. Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos renseignements, sous réserve des obligations légales de conservation.
6. Droit à la désindexation : demander que vos renseignements ne soient plus référencés par un moteur de recherche.
7. Droit d'opposition à une décision automatisée : demander l'intervention humaine si une décision vous concernant a été prise uniquement par un traitement automatisé.

Comment exercer ces droits :

• Par courriel à confidentialite@cadrixo.com
• Par les fonctions intégrées dans la Plateforme (Mon compte (/compte) → Confidentialité (Loi 25) → Télécharger mes données / Supprimer mon compte)

Nous répondons à toute demande dans un délai maximal de 30 jours. Si vous estimez que votre demande n'a pas reçu une réponse satisfaisante, vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec : cai.gouv.qc.ca.

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles raisonnables pour protéger les renseignements contre la perte, le vol, l'accès non autorisé, la divulgation, la copie, l'utilisation ou la modification :

• Chiffrement : TLS 1.2+ en transit ; AES-256 au repos (Cloud SQL, Cloud Storage, Secret Manager).
• Authentification forte : Firebase Authentication (Google), avec MFA et SSO.
• Contrôle d'accès : rôles (admin, contremaître, ouvrier) avec privilèges minimum, isolation multi-locataire stricte par company_id.
• Journalisation : toutes les actions sensibles sont journalisées et conservées 12 mois.
• Sauvegardes : automatiques, chiffrées, à rétention 14 jours.
• Revue régulière : audits de sécurité trimestriels des dépendances et des configurations cloud.

Aucune mesure n'est infaillible ; en cas d'incident, voir §9.

9. Incidents de confidentialité

En cas d'incident de confidentialité présentant un risque qu'un préjudice sérieux soit causé (au sens de l'article 3.5 de la Loi 25), nous :

1. Contenons et évaluons l'incident dans les plus brefs délais.
2. Notifions la Commission d'accès à l'information (CAI) dans les 72 heures suivant la prise de connaissance.
3. Notifions chaque personne concernée, sauf exception prévue par la loi.
4. Documentons l'incident dans notre registre des incidents (conservé au moins 5 ans).
5. Appliquons les mesures correctives nécessaires pour prévenir une récidive.

10. Accès du support CADRIXO

Notre équipe support peut accéder à votre compte uniquement sur demande explicite de votre part (ex. demande d'assistance) ou en cas d'incident technique critique nécessitant une intervention urgente.

• En mode support, l'accès est en lecture seule par défaut : nos agents peuvent consulter vos données métier (projets, clients, feuilles de temps, factures, etc.) pour diagnostiquer le problème.
• Les actions modifiant vos données sont limitées à une liste fermée d'opérations correctives auditées (ex. réinitialisation de mot de passe, restauration d'un élément supprimé par erreur, changement de rôle interne). Chaque action est tracée dans un journal immuable conservé 7 ans.
• Notification automatique : à la première intervention de notre équipe sur votre compte, un courriel est envoyé à l'administrateur de votre entreprise dans les 24 heures.
• L'administrateur de votre entreprise peut consulter l'historique des sessions support depuis Paramètres → Données et confidentialité → Historique d'accès du support.

11. Témoins (cookies) et technologies similaires

La Plateforme utilise uniquement des témoins essentiels au fonctionnement du service (session, préférences d'affichage). Aucun témoin publicitaire ni traceur tiers n'est déployé sans votre consentement explicite.

12. Renseignements concernant des mineurs

La Plateforme est destinée à un usage professionnel et n'est pas conçue pour collecter sciemment des renseignements de personnes de moins de 14 ans. Si nous apprenons qu'un tel renseignement a été collecté, nous le supprimons sans délai.

13. Modifications à la présente politique

Nous pouvons modifier cette politique pour refléter des changements légaux, techniques ou opérationnels. Toute modification significative vous sera notifiée par courriel au moins 30 jours avant son entrée en vigueur, et vous pourrez consulter l'historique des versions sur demande.

La date figurant en entête indique la version en vigueur. Votre utilisation continue de la Plateforme après une mise à jour constitue acceptation de la version révisée.

14. Site web cadrixo.com

Cette section vise le site public https://cadrixo.com, exploité par Logiciel Cadrixo inc.

14.1 Bac à sable (sandbox.cadrixo.com)

• Fonctionnement : la démo s'exécute dans votre navigateur. Le prénom, l'adresse courriel, le métier et le nom de compagnie saisis à l'entrée, comme tout ce que vous faites dans la démo, restent dans le stockage local de votre navigateur et ne nous sont pas transmis sans votre consentement. Une vérification anti-robot s'exécute à l'entrée ; elle est traitée par Cloudflare Turnstile (voir la section 5).
• Renseignements transmis avec votre consentement : prénom, adresse courriel, métier, nom de la compagnie (s'il est fourni) et paramètres de campagne (UTM) présents dans l'adresse, avec la preuve du consentement (texte affiché, date et endroit où il a été donné). Notre serveur conserve une empreinte (hachage) de votre adresse IP, jamais l'adresse elle-même.
• Finalités : vous écrire au sujet de la démo et de l'offre CADRIXO.
• Destination : les renseignements sont enregistrés par Logiciel Cadrixo inc. dans sa propre liste de leads, distincte des comptes de ses clients, et un avis est envoyé à leads@cadrixo.com.
• Consentement : il est facultatif et se donne en cochant une case non cochée par défaut, à l'entrée de la démo ou à sa sortie. Vous pouvez le retirer en tout temps (lien de désabonnement dans chaque courriel ou confidentialite@cadrixo.com).
• Conservation : jusqu'à 24 mois sans activité, ou moins si vous demandez la suppression. Après un désabonnement, seuls l'adresse courriel, la date du désabonnement et la preuve du consentement sont gardés, pour respecter votre refus.

Les autres demandes passent par courriel (support@cadrixo.com, demo@cadrixo.com) et sont traitées comme toute correspondance.

14.2 Mesure d'audience

Le site peut charger Cloudflare Web Analytics (script static.cloudflareinsights.com). Cet outil mesure des visites de façon agrégée (pages vues, provenance, performance) sans déposer de témoin (cookie) de traçage.

14.3 Témoins et stockage local

Le site ne dépose aucun témoin publicitaire. Il garde seulement votre choix de thème (clair ou sombre) dans le stockage local de votre navigateur (cx-theme). La page d'abonnement garde aussi, le temps de l'onglet, une session de paiement dans le stockage de session de votre navigateur (cadrixo.abonnement.session, voir la section 14.4).

14.4 Page d'abonnement (cadrixo.com/abonnement)

• Accès : la page s'ouvre seulement par un lien à usage unique créé dans l'application CADRIXO par un administrateur de l'entreprise. Le lien expire après 15 minutes et il est retiré de la barre d'adresse dès l'ouverture.
• Renseignements utilisés : le nom de l'entreprise et l'état de l'abonnement, lus sur nos serveurs et affichés pendant la session. L'adresse courriel de l'administrateur est aussi transmise à la page, sans y être affichée.
• Stockage : une session de 30 minutes est gardée dans le stockage de session de votre navigateur (cadrixo.abonnement.session). Elle s'efface à la fermeture de l'onglet et sert seulement à afficher et à gérer l'abonnement. Aucun témoin n'est déposé.
• Paiement : il se fait chez Stripe (voir la section 5) ; les renseignements de carte ne transitent pas par CADRIXO.

15. Contact