Confidentialité
Politique de protection des renseignements personnels
Cette politique est rédigée pour répondre à la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25, Québec) et, pour les personnes situées dans l’Union européenne, au Règlement général sur la protection des données (RGPD).
1. Qui nous sommes
Exposphere est exploitée par Jérôme Robitaille, Québec (Québec), Canada (« Exposphere », « nous »). Exposphere est un logiciel qui aide les fournisseurs de services de salons et d’expositions (électricité, eau, accrochage, audiovisuel) à planifier et à installer les services commandés par les exposants.
Responsable de la protection des renseignements personnels : Jérôme Robitaille, propriétaire et responsable de la protection des renseignements personnels — confidentialite@exposphere.ca. C’est à cette personne que s’adressent les demandes d’accès, de rectification, de retrait et les plaintes.
2. Deux rôles, selon les renseignements
Pour les organisations qui utilisent Exposphere (vos fournisseurs de services), Exposphere est un mandataire (un « sous-traitant » au sens du RGPD) : les renseignements des exposants, de leurs contacts et des techniciens sont recueillis par l’organisation et traités par Exposphere pour son compte, selon ses instructions. C’est l’organisation qui en est responsable ; ses coordonnées et celles de sa personne responsable figurent dans l’avis de confidentialité de sa boutique et dans l’application.
Pour les comptes d’utilisateurs de l’application, les visiteurs de ce site et les échanges avec nous, Exposphere est responsable du traitement.
3. Ce que nous recueillons et pourquoi
| Personnes | Renseignements | Pourquoi | Conservation |
|---|---|---|---|
| Utilisateurs de l’application (personnel des organisations) | Nom, courriel, mot de passe (haché, jamais lisible), rôle, organisation ; pour chaque session : date, adresse IP et navigateur ; journal des actions (ex. commande importée, tâche terminée). | Ouvrir et sécuriser le compte, savoir qui a fait quoi dans un salon. | Tant que le compte existe ; sessions supprimées à leur expiration ; journal des actions conservé avec le salon. |
| Techniciens sur le plancher (mode terrain) | Nom tel que tapé, équipe, heures de début et de fin sur chaque tâche. | Attribuer et suivre l’installation ; facturer les services à l’heure. | Anonymisés avec le salon (voir section 6). |
| Exposants et leurs contacts (saisis par l’organisation, ou reçus de sa boutique ou de ses fichiers) | Nom de l’entreprise, nom du contact, courriel, téléphone, remarques, documents (plans de kiosque). | Installer les bons services au bon kiosque et joindre l’exposant pendant le montage. | Anonymisés avec le salon ; les contacts du répertoire d’entreprises sont effacés sur demande. |
| Exposants qui commandent sur une boutique en ligne hébergée par Exposphere | Entreprise, nom, courriel, téléphone, précisions, numéro de kiosque, services commandés ; paiement traité par Stripe (nous ne voyons jamais le numéro de carte). | Fournir, installer et facturer les services commandés ; envoyer la confirmation. | Comme les exposants ci-dessus ; les reçus restent chez Stripe selon ses règles. |
| Visiteurs du site exposphere.ca | Aucun témoin, aucun outil de mesure d’audience. Le serveur conserve des journaux techniques (adresse IP, page demandée) quelques jours, pour la sécurité. | Servir la page et détecter les abus. | Journaux techniques : 30 jours au plus. |
| Personnes qui nous écrivent (commentaires dans l’application, courriels) | Nom, courriel, message, et pour les commentaires faits dans l’application : la page et une capture d’écran si vous l’ajoutez. | Répondre et améliorer le produit. | Le temps de traiter la demande, au plus 2 ans. |
Nous ne recueillons rien d’autre, et jamais à votre insu : il n’y a ni profilage, ni publicité, ni revente de renseignements.
4. Témoins (cookies) et stockage dans le navigateur
L’application n’utilise que des témoins strictement nécessaires à son fonctionnement. Aucun témoin de mesure d’audience, de publicité ou de tiers n’est déposé, ni sur le site ni dans l’application. C’est pourquoi aucune bannière de consentement n’est affichée : la loi n’exige pas de consentement pour ces témoins, mais elle demande de vous en informer, ce que fait ce tableau.
| Nom | Rôle | Durée |
|---|---|---|
exposphere_session | Vous garder connecté à votre compte (jeton aléatoire, lisible par le serveur seulement). | Jusqu’à 30 jours, ou la déconnexion. |
exposphere_device | Reconnaître une tablette autorisée pour le mode terrain. | 1 an, révocable par l’organisation. |
exposphere_field | La connexion d’une équipe sur une tablette, le temps d’un quart de travail. | 14 heures. |
Stockage local (localStorage) | Vos préférences d’affichage (thème, menu replié, calques du plan, équipe choisie) et, sur une boutique, votre panier en cours. Ces données restent dans votre navigateur et ne nous sont pas transmises. | Jusqu’à ce que vous vidiez les données du site. |
5. Avec qui nous partageons des renseignements
Nous ne vendons ni ne louons aucun renseignement. Nous faisons appel à des fournisseurs qui les traitent pour nous, sous contrat, et seulement pour les fins suivantes :
| Fournisseur | Pour quoi | Où |
|---|---|---|
| OVHcloud | Hébergement des serveurs et de la base de données. | Beauharnois (Québec), Canada |
| Stripe | Paiement des commandes sur les boutiques en ligne. | États-Unis et Union européenne |
| Resend | Envoi des courriels transactionnels (accès à un compte, mot de passe temporaire, confirmations). | États-Unis |
| Anthropic (Claude) | Lecture, par intelligence artificielle, d’un document que l’utilisateur choisit de faire analyser (liste d’exposants, courriel de besoins) ; le document est transmis le temps de l’analyse et n’est pas utilisé pour entraîner les modèles, selon les conditions commerciales d’Anthropic. | États-Unis |
| Shopify | Lecture des commandes de la boutique Shopify d’une organisation qui a choisi de la relier. | Canada et États-Unis |
Communication hors du Québec. Certains de ces fournisseurs sont à l’extérieur du Québec et du Canada. Avant d’y confier des renseignements, nous évaluons les facteurs relatifs à la vie privée (sensibilité, fins, protection offerte par le fournisseur et par le droit applicable) comme l’exige la Loi 25, et nous encadrons chaque transfert par contrat. Pour les personnes de l’Union européenne, ces transferts reposent sur les clauses contractuelles types de la Commission européenne ou sur une décision d’adéquation.
Nous pouvons aussi communiquer des renseignements si la loi l’exige, ou pour protéger nos droits et la sécurité des personnes.
6. Combien de temps nous conservons
- Un salon : les renseignements personnels qu’il contient (contacts, courriels, téléphones, remarques, noms des techniciens, documents importés bruts) sont anonymisés automatiquement un certain temps après le dernier jour du salon. Ce délai est fixé par chaque organisation (3 ans par défaut, entre 1 et 10). Les commandes, services, quantités, montants et heures de travail restent, sans lien avec une personne, pour la comptabilité et les statistiques. Une organisation peut aussi anonymiser un salon plus tôt, d’un clic.
- Le répertoire d’entreprises d’une organisation (contacts, journal des échanges) : tant que la relation d’affaires dure ; effacé sur demande de la personne ou de l’organisation.
- Les comptes : désactivés quand une personne quitte l’organisation, supprimés sur demande. Les sessions expirent d’elles-mêmes.
- Les sauvegardes de la base de données sont conservées 14 jours puis écrasées.
7. Comment nous protégeons les renseignements
- Chiffrement en transit (HTTPS) et, pour les clés d’intégration confiées par les organisations, chiffrement dans la base (AES-256-GCM).
- Mots de passe hachés avec un algorithme moderne ; mot de passe temporaire à changer à la première connexion ; limitation des tentatives.
- Témoins de session inaccessibles aux scripts, protégés contre les requêtes falsifiées.
- Chaque organisation ne voit que ses propres données ; les accès sont limités par rôle ; les tablettes de terrain sont autorisées une à une et révocables.
- Journal des actions sur les salons ; sauvegardes régulières ; mises à jour de sécurité des serveurs.
8. Vos droits
Vous pouvez, en tout temps :
- Savoir si nous détenons des renseignements sur vous, et en obtenir une copie (dans un format structuré et couramment utilisé, lorsque la loi le prévoit).
- Les faire rectifier s’ils sont inexacts ou incomplets.
- Retirer votre consentement ou demander leur effacement, sous réserve des obligations légales (par exemple, la conservation des pièces comptables).
- Pour les personnes de l’Union européenne : limiter ou vous opposer au traitement, et porter plainte auprès de votre autorité de protection des données.
- Au Québec : porter plainte à la Commission d’accès à l’information.
Écrivez à confidentialite@exposphere.ca. Nous répondons dans les 30 jours. Si vos renseignements ont été recueillis par une organisation qui utilise Exposphere (vous êtes exposant, contact ou technicien), nous transmettons votre demande à sa personne responsable, ou vous pouvez lui écrire directement : ses coordonnées figurent sur sa boutique et dans l’application.
9. Incidents de confidentialité
Nous tenons un registre des incidents de confidentialité. Si un incident présente un risque de préjudice sérieux, nous en avisons la Commission d’accès à l’information, les personnes concernées et, le cas échéant, l’organisation responsable, dans les meilleurs délais (et, pour le RGPD, l’autorité de contrôle dans les 72 heures).
10. Mineurs
Exposphere s’adresse à des entreprises. Nous ne recueillons pas sciemment de renseignements sur des personnes de moins de 14 ans.
11. Modifications
Nous pouvons mettre cette politique à jour. La date en haut de page indique la dernière version ; un changement important est annoncé dans l’application.