Comment nous protégeons vos données

Où vos données sont conservées

Aujourd'hui : aux États-Unis. L'application, sa base de données, les fichiers téléversés et nos propres sauvegardes sont sur des serveurs exploités par notre hébergeur, Hostinger, aux États-Unis. Pendant qu'ils y sont, les tribunaux et les autorités des États-Unis peuvent y avoir accès en vertu des lois américaines.

Une fois par mois, un administrateur reçoit un rappel pour télécharger la plus récente sauvegarde, la garder sur un disque externe chiffré au Canada (pas un service infonuagique), hors du serveur, et supprimer les copies de plus de 90 jours.

Prévu : nous déménageons l'application, sa base de données et ses sauvegardes au Canada, dans la région de Montréal d'Amazon Web Services (AWS Lightsail). Ce n'est pas encore fait et aucune date n'est fixée. Cette page et nos politiques de confidentialité le diront le jour même.

Les disques de la base de données : nous n'avons pas encore confirmé auprès de notre hébergeur s'ils sont chiffrés, alors nous ne l'affirmons pas. La base de données prévue au Canada est chiffrée au repos.

Vos livres et l'ARC : l'ARC exige que les registres d'une entreprise soient tenus au Canada, sauf si elle autorise un autre endroit par écrit, et elle recommande de garder des sauvegardes au Canada. D'ici le déménagement, téléchargez vos livres chaque mois (Finances → Télécharger pour votre comptable) et gardez-en une copie au Canada. L'application le rappelle aux propriétaires chaque mois.

Comment vos données circulent

Les pages sont transmises en HTTPS : ce qui circule entre votre navigateur et l'application est chiffré, et notre site indique aux navigateurs de n'utiliser que le HTTPS (HSTS).

L'application remet chaque courriel à son service de messagerie par une connexion chiffrée. Ensuite, comme tout courriel, il est livré dans la boîte du destinataire et y reste.

La connexion

• Les mots de passe ne sont jamais conservés tels que vous les tapez : seule une forme brouillée à sens unique (un hachage bcrypt) est gardée, alors personne chez nous ne peut lire votre mot de passe.
• La connexion en deux étapes est offerte à tous : un code d'une application d'authentification sur votre téléphone, et des codes de récupération à usage unique si vous le perdez. Nous vous recommandons de l'activer (Sécurité, dans le menu).
• Les tentatives de connexion sont limitées : quelqu'un qui devine des mots de passe est refusé pendant un moment, et changer votre mot de passe déconnecte tous vos autres appareils.
• Les clés des services connectés (comme un flux bancaire) et les secrets de la connexion en deux étapes sont conservés chiffrés (AES-256-GCM).

Les données de chaque entreprise sont tenues à part

Chaque page, téléchargement et action vérifie dans quel compte d'entreprise ou de propriétaire-bailleur vous travaillez, et n'affiche que les registres de ce compte. Les registres d'un autre compte répondent « introuvable », même avec le bon lien.

Des tests automatisés vérifient cette séparation à chaque modification du logiciel, avant qu'elle puisse atteindre le site en ligne.

Qui peut les voir

• Votre entreprise, et les personnes que vous invitez. Chaque membre de l'équipe ne voit que ce que son rôle permet (par exemple, seul le propriétaire peut rouvrir des livres fermés, sauf s'il le permet).
• Pour les propriétaires-bailleurs : les locataires ne voient que leur propre location, les propriétaires d'immeubles ne voient que leurs propres immeubles, et les entrepreneurs que les travaux qui leur sont offerts ou confiés.
• Notre soutien, seulement en accédant à votre compte tel que vous le voyez, pour régler un problème. Chaque séance d'accès du soutien prend fin après 60 minutes au plus et est enregistrée au début, à chaque modification faite par un formulaire, et quand le soutien y met fin. Pendant ce temps, le soutien ne peut pas signer de documents ni donner de consentement, et voit seulement si la connexion en deux étapes est activée : il ne peut ni voir ni changer votre mot de passe, vos codes de connexion en deux étapes ou vos codes de récupération.
• Aujourd'hui, seul le fondateur a un accès administrateur aux systèmes en ligne.

Les sauvegardes

Une copie complète de la base de données est faite chaque nuit (les 7 plus récentes sont gardées) et avant chaque mise à jour qui modifie la base de données (les 5 plus récentes). Aucune de nos propres sauvegardes sur le serveur n'est gardée plus de 90 jours. Elles sont sur le même service d'hébergement que l'application, aux États-Unis. Notre hébergeur peut aussi faire ses propres sauvegardes du serveur, selon son propre calendrier.

Chaque modification du logiciel répète automatiquement la sauvegarde de données d'essai et leur restauration avant de pouvoir être publiée. La restauration de la plus récente vraie sauvegarde dans une base de données temporaire distincte, pour la vérifier, est prévue deux fois par année (avril et octobre); aucune n'a encore été consignée.

Si nous devons un jour restaurer une sauvegarde, nous appliquons d'abord de nouveau notre registre des suppressions, pour qu'un compte ou une personne supprimé après cette sauvegarde le reste.

Ce qui est enregistré

• Chaque modification faite par un administrateur, et chaque séance « voir comme », est inscrite dans un journal d'audit (qui, quoi et quand), gardé 24 mois.
• Chaque courriel et texto envoyé par l'application est enregistré, avec l'indication qu'il a été envoyé ou non. Les liens personnels sont masqués dans les copies conservées.
• Les tentatives de connexion échouées, avec leur adresse réseau, sont gardées une journée, seulement pour empêcher qu'on devine des mots de passe. L'inscription et les formulaires publics (demandes de location, réservations de visite, contact) utilisent l'adresse réseau pour limiter les envois répétés.
• Quand un bail est signé dans l'application, l'adresse réseau et les détails du navigateur de l'appareil sont gardés avec la signature, comme preuve de qui a signé.
• Quand quelque chose ne va pas, l'erreur est enregistrée pendant 12 mois. Avant qu'un rapport d'erreur quitte notre serveur (vers GitHub, où nous corrigeons les problèmes), les adresses courriel, les numéros de téléphone, les longs numéros et les valeurs entre guillemets sont retirés.
• Le journal d'activité d'une entreprise indique qui a modifié quel registre, et quand.

Quand un compte est fermé

• Entreprises : on offre d'abord au propriétaire de télécharger tous les registres, puis tout ce que l'entreprise a dans l'application est supprimé.
• Propriétaires-bailleurs : tout le monde sur le compte est déconnecté immédiatement, et les registres du compte sont supprimés 30 jours plus tard (d'ici là, il peut être rouvert). Les registres de facturation que la loi fiscale nous oblige à garder sont conservés comme le décrit la politique de confidentialité.

Nos propres sauvegardes sur le serveur qui les contiennent encore sont supprimées en 90 jours au plus, et la copie mensuelle au Canada doit être supprimée au même âge. Les sauvegardes que notre hébergeur peut faire suivent son propre calendrier.

Les services externes, et ce qu'ils voient

Quelques entreprises aident à faire fonctionner l'application. Chacune ne reçoit que ce dont elle a besoin :

• Hébergement (Hostinger, États-Unis) : tout ce qui est dans l'application, comme décrit plus haut.
• Courriel (le service de messagerie de Hostinger, ou Resend aux États-Unis) : l'adresse, l'objet et le contenu de chaque courriel.
• Textos (Twilio, États-Unis), seulement là où les textos sont activés : le numéro de téléphone, le texto et toute réponse.
• Suggestions d'adresses (Google, États-Unis), seulement là où elles sont activées : la partie de l'adresse en cours de saisie, envoyée par notre serveur, jamais de noms.
• Paiements (Stripe), pour l'abonnement d'un propriétaire-bailleur : les données de carte sont tapées sur la page de Stripe et ne nous parviennent jamais. Stripe reçoit le courriel du propriétaire-bailleur, notre numéro de référence du compte, le nombre de logements facturés et ce que le propriétaire-bailleur tape sur sa page.
• IA (Anthropic), seulement pour les propriétaires-bailleurs qui activent l'assistant IA : une demande de réparation (le problème tel que le locataire l'a écrit, la ville et le type de réparation), les caractéristiques d'un logement pour une annonce, ou les lignes problématiques d'un chiffrier que le propriétaire-bailleur téléverse. Nous n'ajoutons pas de noms ni de coordonnées tirés de vos registres, mais les mots d'une demande de réparation sont envoyés tels qu'écrits. Dans les lignes d'un chiffrier, les courriels et numéros de téléphone, et les colonnes dont l'en-tête désigne des noms, sont d'abord remplacés; les autres cellules (comme les adresses) sont envoyées telles qu'écrites. Anthropic ne s'en sert pas pour entraîner ses modèles. Les livres n'utilisent pas l'IA.
• Rapports d'erreur (GitHub, États-Unis) : les adresses courriel, numéros de téléphone, longs numéros et valeurs entre guillemets sont retirés d'abord.

Nous ne vendons jamais vos données

Nous ne vendons pas de renseignements personnels, ne les utilisons pas pour la publicité et n'envoyons pas notre propre marketing à vos clients ou locataires. Nous n'utilisons que nos propres témoins : pour vous garder connecté, retenir votre langue, afficher une seule fois un nouveau lien privé juste après sa création, et retenir un code de parrainage que vous avez suivi. Aucun témoin publicitaire, d'analyse ou de pistage par des tiers.

La loi canadienne sur la vie privée, et demander vos données

Nos politiques de confidentialité sont rédigées pour la loi fédérale canadienne sur la protection des renseignements personnels (LPRPDE) et, au Québec, la Loi 25.

Vous pouvez télécharger vos registres vous-même en tout temps : les entreprises sous Mes données, les propriétaires-bailleurs sous Paramètres.

Pour voir, corriger ou obtenir une copie d'autres renseignements que nous détenons à votre sujet, écrivez à residentservice@jamesstreetchateau.com. Nous confirmerons votre identité et répondrons dans les 30 jours. Vous pouvez aussi porter plainte auprès du Commissariat à la protection de la vie privée du Canada ou, au Québec, de la Commission d'accès à l'information.

Aucun système n'est parfaitement sûr. Si une atteinte crée un risque réel de préjudice grave, nous en informerons les personnes touchées et le Commissaire à la protection de la vie privée du Canada et, au Québec, la Commission d'accès à l'information, comme la loi l'exige.

Les détails

Les règles complètes sont dans les politiques de confidentialité :

• Politique de confidentialité (entreprises)
• Politique de confidentialité (propriétaires-bailleurs, en anglais)
• Le guide de l'ARC sur la tenue de registres électroniques