Une signature courriel semble anodine, mais le service qui la gère lit l'annuaire de votre organisation et s'exécute dans Outlook, sur chaque message envoyé. Cette page décrit, sans jargon commercial, comment ATOM Signatures protège vos données : où elles sont hébergées, comment les organisations clientes sont isolées les unes des autres, ce qui est conservé, combien de temps, et à qui nous faisons appel. Chaque point ci-dessous correspond à ce que le produit fait réellement aujourd'hui.
- Où vos données sont-elles hébergées ?
- Isolation entre organisations
- Le courriel passe-t-il par les serveurs d'ATOM ?
- Authentification et accès
- Journal d'audit
- Loi 25 et conservation des données
- Entente de traitement des données (DPA)
- Sous-traitants
- Divulgation responsable
- Ce que nous ne prétendons pas
- Questions fréquentes
Où vos données sont-elles hébergées ?
L'infrastructure du service — serveurs applicatifs, base de données et fichiers téléversés (logos, par exemple) — est exploitée directement par ATOM Solutions, au Québec. Ce n'est pas un hébergeur externe : nous ne confions pas vos données de configuration à un infonuagique étranger.
- Base de données et fichiers : sur notre propre infrastructure, au Québec.
- Sauvegardes : chiffrées avant de quitter nos serveurs, puis conservées au Canada, à Toronto (Ontario).
- Trafic : il transite par un tunnel Cloudflare. Cloudflare termine le chiffrement TLS et voit donc le trafic en transit, sans le stocker. Toutes les communications sont chiffrées (TLS) et le service impose HTTPS.
Les seuls traitements susceptibles de sortir du Canada sont ceux de sous-traitants désignés pour des fonctions précises (paiement, mesure d'audience) : voir la section Sous-traitants. Pour le cadre général, consultez notre guide sur l'hébergement des données au Canada.
Isolation entre organisations
ATOM Signatures est un service partagé par plusieurs organisations. Chacune est identifiée par son tenant Microsoft 365, et toutes les données qui lui appartiennent — signatures, assignations, logos, image de marque, préférences — portent l'identifiant de cette organisation.
L'isolation ne repose pas seulement sur le code de l'application. Elle est appliquée par la base de données elle-même, grâce à la sécurité au niveau des lignes de PostgreSQL (row-level security), activée de façon forcée sur ces tables : une requête faite pour le compte d'une organisation ne peut ni lire ni écrire les lignes d'une autre, même si un défaut de programmation tentait de le faire. Sans organisation identifiée, la base ne renvoie aucune ligne.
Cette garantie est vérifiée par des tests automatisés qui rejouent des tentatives d'accès d'une organisation aux données d'une autre.
Le courriel passe-t-il par les serveurs d'ATOM ?
ATOM Signatures n'est pas un relais de messagerie. Il n'y a ni connecteur sortant ni règle de transport Exchange : la signature est insérée par un complément Outlook, dans l'application de l'employé, au moment où il rédige son message. Le courriel suit ensuite son trajet normal dans Microsoft 365.
- Contenu des messages : nous ne lisons ni ne conservons le corps ni l'objet de vos courriels.
- Ce que le complément transmet : l'adresse de l'expéditeur et, le cas échéant, l'adresse de la boîte partagée, pour choisir la signature applicable et compter les licences utilisées, ainsi que la plateforme utilisée (ordinateur, web, mobile). À l'envoi, avec Outlook sur ordinateur ou sur le Web, il transmet aussi les seuls domaines des destinataires (jamais leurs adresses ni leurs noms), pour choisir entre une signature interne et une signature externe ; ces domaines ne sont ni enregistrés ni journalisés.
- Accès à l'annuaire : en lecture seule, limité aux utilisateurs et aux groupes, après le consentement d'un administrateur. Le service ne demande aucune permission d'accès au contenu des boîtes aux lettres.
Pourquoi ce choix compte : un service qui route chaque message voit le contenu de tous vos courriels. Voyez l'architecture sans routage pour la comparaison complète.
Authentification et accès
- Microsoft Entra (SSO) : l'accès à la console passe par la connexion Microsoft de l'administrateur. ATOM ne gère aucun mot de passe et n'en stocke aucun.
- Accès réservé : la console est réservée aux administrateurs Microsoft 365, ou aux personnes qu'ils autorisent explicitement, d'une organisation activée.
- Volet « Ma signature » : l'employé s'authentifie par l'authentification déléguée de Microsoft, sans mot de passe propre à ATOM.
- Jeton du complément : le jeton qui relie le complément Outlook à une organisation n'est conservé que sous forme hachée, jamais en clair.
- Session : le témoin de session de la console est protégé (inaccessible au JavaScript de la page, transmis seulement en HTTPS) et expire après 8 heures.
- Protections courantes : en-têtes de sécurité (HSTS, politique de sécurité du contenu), limitation du débit et protections contre les abus.
Journal d'audit
Les actions sensibles sont consignées dans un journal d'audit en ajout seul : connexions à la console, création, modification et suppression de signatures, téléversement de logos, changements de facturation. Les preuves de consentement des administrateurs sont conservées à part. Chaque entrée indique l'acteur, l'action, l'objet concerné, l'adresse IP et l'horodatage. Lorsqu'un partenaire autorisé (MSP) intervient dans votre console, ses actions y figurent avec le nom de son organisation.
« En ajout seul » a un sens précis : aucune fonction de l'application ne modifie ni ne supprime une entrée. Seule la purge de rétention les retire ; la durée de conservation est précisée dans notre politique de confidentialité.
Loi 25 et conservation des données
Pour les renseignements de l'annuaire et du personnel de votre organisation, votre organisation demeure responsable au sens de la loi ; ATOM Solutions agit comme son mandataire, selon vos instructions et dans les limites nécessaires à la fourniture du service (article 18.3 de la Loi 25, repris à l'article 11 de nos conditions d'utilisation). Le responsable de la protection des renseignements personnels est joignable à info@atomsolutions.ca.
La conservation est automatique : une planification embarquée dans l'application purge les données échues, sans intervention manuelle.
| Donnée | Conservation |
|---|---|
| Données de l'organisation (signatures, configuration, attributs d'annuaire, préférences des employés) | Pendant l'abonnement, puis suppression automatique 30 jours après la prise d'effet de la résiliation |
| Signature supprimée dans la console | Corbeille pendant 30 jours, puis purge définitive |
| Journal d'audit | Durée précisée dans la politique de confidentialité |
| Statistiques agrégées de clics et d'envois | 25 mois au plus, sans adresse IP ni événement individuel |
| Registres de facturation | Selon les durées exigées par les lois fiscales |
En cas d'incident de confidentialité touchant les renseignements de votre organisation, nous l'en avisons sans délai et l'assistons dans ses démarches. Vous pouvez demander l'exportation de vos données avant la fin de l'abonnement. Le détail complet figure dans notre politique de confidentialité ; pour l'application de la loi aux signatures, voyez la Loi 25 appliquée aux signatures courriel.
Cette page est fournie à titre informatif et ne constitue pas un avis juridique.
Entente de traitement des données (DPA)
Le mandat de traitement des renseignements personnels est déjà prévu à l'article 11 de nos conditions d'utilisation. Si votre organisation exige en plus une entente de traitement des données (DPA) distincte, par exemple pour son registre ou un appel d'offres, nous la fournissons sur demande : écrivez à info@atomsolutions.ca en précisant le nom de votre organisation.
Sous-traitants
Nous ne vendons ni ne louons aucun renseignement personnel. Nous faisons appel à un nombre limité de sous-traitants, pour des fonctions précises. Ceux-ci sont liés par des obligations contractuelles de confidentialité et ne peuvent utiliser les renseignements qu'aux fins prévues.
| Sous-traitant | Rôle | Renseignements concernés |
|---|---|---|
| Microsoft (Graph / Entra) | Authentification et lecture de l'annuaire | Comptes, attributs d'annuaire |
| Stripe | Traitement des paiements ; vérification d'identité et versements aux revendeurs (Stripe Connect) | Coordonnées de facturation, données de paiement ; identité et coordonnées bancaires du revendeur, recueillies directement par Stripe |
| Cloudflare | Tunnel reliant notre infrastructure à Internet ; chiffrement TLS ; mesure d'audience et de performance des pages, sans témoin | Trafic en transit (vu, non stocké) ; mesures de navigation anonymes |
| Google LLC (Google Analytics 4) | Mesure d'audience des pages publiques, uniquement après consentement | Données de navigation agrégées (pages publiques) |
| Microsoft Corporation (Microsoft Advertising) | Mesure de l'efficacité de nos annonces et reciblage, uniquement après consentement | Pages publiques consultées, conversions, identifiants de témoins publicitaires |
| Meta Platforms, Inc. | Mesure de l'efficacité de nos annonces et reciblage, uniquement après consentement | Pages publiques consultées, identifiants de témoins publicitaires |
La politique de confidentialité (article 6) fait foi pour cette liste. Avant toute communication de renseignements hors du Québec, nous évaluons les facteurs relatifs à la vie privée et l'encadrons par contrat.
Divulgation responsable
Vous avez trouvé une faille ou un comportement qui ressemble à une faille ? Écrivez-nous à info@atomsolutions.ca, en décrivant ce que vous avez observé et comment le reproduire. Nos coordonnées de sécurité sont aussi publiées au format standard (RFC 9116) dans /.well-known/security.txt.
- Signalez-nous le problème en privé, avant toute publication, pour nous laisser le temps de le corriger.
- N'accédez qu'à vos propres données et n'en conservez aucune qui appartienne à une autre organisation.
- Écrivez-nous en français ou en anglais.
Ce que nous ne prétendons pas
Nous ne revendiquons aucune certification de tiers, comme SOC 2 ou ISO 27001. Les garanties décrites ici sont des choix d'architecture et des mécanismes que le produit applique ; elles ne remplacent pas une attestation indépendante. Si votre organisation a des exigences particulières, dites-le-nous à info@atomsolutions.ca.
Questions fréquentes
Où sont hébergées les données d'ATOM Signatures ?
L'infrastructure du service (serveurs, base de données, fichiers) est exploitée par ATOM Solutions elle-même, au Québec. Les sauvegardes sont chiffrées avant de quitter nos serveurs et conservées au Canada, à Toronto. Le trafic transite par un tunnel Cloudflare, qui termine le chiffrement TLS sans stocker le contenu.
ATOM Signatures lit-il le contenu de mes courriels ?
Non. Le complément Outlook insère la signature localement, au moment de la rédaction ; le courriel n'est jamais routé par nos serveurs. Nous ne lisons ni ne conservons le corps ni l'objet des messages. Le complément transmet seulement l'adresse de l'expéditeur et, le cas échéant, l'adresse de la boîte partagée, pour choisir la signature et compter les licences. À l'envoi, avec Outlook sur ordinateur ou sur le Web, il transmet aussi les seuls domaines des destinataires, pour choisir entre une signature interne et une signature externe ; ces domaines ne sont ni enregistrés ni journalisés.
Comment les données de mon organisation sont-elles séparées de celles des autres clients ?
Chaque donnée porte l'identifiant de l'organisation, et l'isolation est appliquée par la base de données elle-même grâce à la sécurité au niveau des lignes de PostgreSQL. Une requête faite pour une organisation ne peut ni lire ni écrire les données d'une autre. Des tests automatisés vérifient cette séparation.
Que deviennent mes données si je résilie mon abonnement ?
Les données propres à votre organisation sont supprimées automatiquement 30 jours après la prise d'effet de la résiliation. Les registres de facturation sont conservés selon les durées exigées par les lois fiscales. Vous pouvez demander l'exportation de vos données avant la fin de l'abonnement.
Pouvez-vous signer une entente de traitement des données (DPA) ?
Le mandat de traitement est prévu à l'article 11 de nos conditions d'utilisation. Si votre organisation exige une entente de traitement des données distincte, nous la fournissons sur demande : écrivez à info@atomsolutions.ca en précisant le nom de votre organisation.
Comment signaler une faille de sécurité ?
Écrivez à info@atomsolutions.ca en décrivant ce que vous avez observé et comment le reproduire. Nos coordonnées de sécurité sont aussi publiées dans le fichier /.well-known/security.txt, au format standard RFC 9116. Merci de nous signaler le problème en privé avant toute publication.
Des signatures Microsoft 365 qui respectent vos données. ATOM Signatures applique la signature de votre organisation dans Outlook, côté client, avec une infrastructure exploitée au Québec et sans jamais router vos courriels.
Pour approfondir : l'hébergement des données au Canada, la souveraineté des données courriel et la politique de confidentialité.