Politique de confidentialité

1. Qui nous sommes et portée de cette politique

ATOM Signatures (le « Service ») est un service de gestion centralisée des signatures de courriel pour Microsoft 365, exploité par ATOM Solutions (NEQ 1182200098) (« nous »), accessible à l'adresse signatures.atomsolutions.ca, et comprenant un complément (add-in) pour Microsoft Outlook.

Cette politique s'applique aux renseignements traités par le Service : ceux des administrateurs qui gèrent un compte d'organisation cliente ou un compte revendeur (partenaire qui gère les abonnements de ses propres clients), et ceux des membres du personnel de ces organisations dont les attributs d'annuaire servent à composer les signatures. Elle ne s'applique pas aux pratiques de Microsoft ni à celles des autres sites vers lesquels nous pointons.

2. Responsable de la protection des renseignements personnels

Conformément à la Loi 25, le président d'ATOM Solutions, à titre de responsable de la protection des renseignements personnels, peut être joint à info@atomsolutions.ca. Toute question, demande d'accès ou plainte relative à cette politique peut lui être adressée.

3. Renseignements que nous recueillons

a) Compte administrateur et compte revendeur

Lorsqu'un administrateur — ou un revendeur partenaire — se connecte à la console avec son compte Microsoft (SSO Microsoft Entra), nous recevons son nom, son adresse courriel professionnelle et l'identifiant de son organisation (tenant Microsoft 365). Un revendeur invité à gérer un compte reçoit un lien d'invitation à usage unique, dont le jeton est conservé sous forme hachée.

b) Annuaire de l'organisation (Microsoft Graph)

Avec le consentement d'un administrateur, nous lisons en lecture seule certains attributs de l'annuaire Microsoft 365 de l'organisation, uniquement pour composer les signatures : nom, prénom, titre de poste, service, numéros de téléphone, adresse courriel, adresses de bureau, appartenance aux groupes et, le cas échéant, attributs d'extension définis par l'organisation.

c) Utilisation du complément Outlook

Lorsqu'un utilisateur compose ou envoie un courriel, le complément transmet à notre service l'adresse courriel de l'expéditeur afin de déterminer la signature applicable et de comptabiliser les licences (sièges) utilisées. La plateforme utilisée (ordinateur, navigateur Web ou mobile) et l'horodatage de ces appels sont journalisés.

d) Le volet « Ma signature »

Lorsqu'un employé ouvre le volet « Ma signature » dans Outlook et s'y connecte (authentification déléguée Microsoft, sans mot de passe propre à ATOM), nous recevons son identifiant de connexion. S'il choisit une signature parmi celles qui lui sont proposées, ce choix est conservé. Si son administrateur l'y autorise, il peut aussi remplacer certaines coordonnées affichées dans sa signature (numéro de téléphone, titre, adresse, etc.); ces valeurs personnalisées sont alors conservées et priment sur celles de l'annuaire.

e) Boîtes partagées et ciblage individuel

Lorsqu'un employé envoie un courriel au nom d'une boîte partagée, l'adresse de cette boîte nous est transmise afin d'appliquer la bonne signature; elle ne consomme aucun siège. Un administrateur peut aussi recenser manuellement les boîtes partagées de son organisation, ou cibler une signature vers une adresse individuelle précise plutôt que vers un groupe; ces choix sont conservés.

f) Demandes de soutien

Lorsque vous nous écrivez par le formulaire de soutien, nous recevons votre nom, votre adresse courriel, votre message et le nom de votre organisation, transmis par courriel à notre équipe.

g) Consentements administrateur

Lorsqu'un administrateur autorise l'accès à l'annuaire de son organisation ou approuve un autre traitement requis par le Service, nous conservons la preuve de ce consentement : qui l'a donné, pour quoi, à quel moment et depuis quelle adresse IP.

h) Facturation

La facturation est traitée par Stripe. Nous conservons l'identifiant d'abonnement, le nombre de sièges et l'état du paiement. Nous ne stockons aucun numéro de carte de paiement.

i) Journaux techniques

Comme tout service en ligne, nous journalisons des événements techniques (adresse IP, type de navigateur, horodatage, action effectuée) à des fins de sécurité, de diagnostic et d'audit. Nos journaux d'audit sont en ajout seul.

j) Mesure d'audience du site (Google Analytics)

Sur nos pages publiques (site vitrine), nous utilisons Google Analytics 4 pour mesurer l'audience de façon agrégée (pages vues, provenance, type d'appareil). Cet outil dépose des témoins (cookies) uniquement après votre consentement, recueilli via la bannière affichée à votre première visite (Google Consent Mode v2). Tant que vous n'avez pas accepté, aucun témoin de mesure n'est déposé. Les données sont traitées par Google LLC, ce qui peut impliquer un transfert hors du Canada; nous n'activons aucune fonction publicitaire (pas de profilage ni de ciblage). Vous pouvez retirer ou modifier votre choix à tout moment en effaçant les témoins de votre navigateur ou en nous écrivant. La console d'administration (espace authentifié) n'utilise pas Google Analytics.

4. Ce que nous ne recueillons jamais

• Aucun contenu de courriel : nous ne lisons, ne stockons et ne transmettons jamais le corps, l'objet ni les destinataires de vos messages. Le complément insère la signature localement, dans Outlook.
• Aucun mot de passe : l'authentification passe entièrement par Microsoft Entra.
• Aucune donnée à des fins publicitaires : pas de suivi publicitaire, pas de revente de renseignements, pas de profilage.

5. Pourquoi nous utilisons ces renseignements (finalités)

• Composer et appliquer les signatures de courriel de votre organisation;
• Cibler les signatures par groupes, par boîtes partagées ou par adresses individuelles, et remplir les champs dynamiques (nom, titre, téléphone, etc.);
• Compter les sièges utilisés et facturer l'abonnement, y compris la facturation agrégée d'un compte revendeur;
• Assurer la sécurité du Service, prévenir les abus et diagnostiquer les incidents;
• Répondre aux demandes de soutien;
• Respecter nos obligations légales.

Nous n'utilisons pas ces renseignements à d'autres fins sans votre consentement.

6. Communication à des tiers (sous-traitants)

Nous ne vendons ni ne louons aucun renseignement personnel. Notre infrastructure (serveurs, base de données, fichiers) est exploitée directement par ATOM Solutions, au Québec : ce n'est donc pas un sous-traitant externe. Nous faisons appel à un nombre limité de sous-traitants, uniquement pour des fonctions précises :

Ces sous-traitants sont liés par des obligations contractuelles de confidentialité et ne peuvent utiliser les renseignements qu'aux fins prévues.

7. Hébergement et transferts hors Québec

L'infrastructure du Service (base de données, fichiers, serveurs applicatifs) est exploitée par ATOM Solutions elle-même, au Québec. Le trafic transite par un tunnel Cloudflare : Cloudflare termine le chiffrement TLS et voit donc le trafic en transit, mais ne le stocke pas. Les copies de sauvegarde, chiffrées avant de quitter nos serveurs, sont conservées au Canada, à Toronto (Ontario). Certains sous-traitants (Stripe pour le paiement, Google LLC pour la mesure d'audience) peuvent traiter des renseignements à l'extérieur du Québec ou du Canada. Avant toute communication de renseignements hors du Québec, nous évaluons les facteurs relatifs à la vie privée et l'encadrons par contrat, conformément à la Loi 25.

8. Conservation

• Les données propres à votre organisation (signatures, configuration, attributs d'annuaire, préférences des employés) sont conservées pendant la durée de l'abonnement, puis supprimées automatiquement dans les 30 jours suivant la prise d'effet de la résiliation;
• Font exception à cette suppression : les registres de facturation, conservés selon les durées exigées par les lois fiscales, ainsi que les journaux d'audit et les preuves de consentement, conservés au plus 12 mois;
• Les journaux techniques applicatifs sont conservés au plus 12 mois;
• Une signature supprimée dans la console est d'abord placée dans une corbeille, puis purgée définitivement 30 jours après sa suppression;
• Les copies de sauvegarde sont renouvelées selon leur cycle de rotation; les données supprimées en disparaissent au fil de ce cycle;
• Vous pouvez demander l'exportation de vos données avant la fin de votre abonnement ou avant une suppression, en écrivant à info@atomsolutions.ca.

9. Rôles et responsabilités

Pour les renseignements de l'annuaire et des employés de votre organisation, c'est votre organisation qui demeure responsable au sens de la loi; ATOM Solutions agit comme son mandataire (article 18.3 de la Loi 25), selon vos instructions et dans les limites strictement nécessaires à la fourniture du Service.

En cas d'incident de confidentialité touchant ces renseignements, nous avisons votre organisation sans délai et l'assistons dans ses démarches; c'est à elle qu'il revient d'aviser la Commission d'accès à l'information et les personnes concernées. Pour les renseignements dont nous sommes nous-mêmes responsables — comptes administrateurs et revendeurs, facturation, données du site public — nous avisons directement la Commission d'accès à l'information et les personnes concernées, conformément à la Loi 25.

10. Sécurité

• Chiffrement TLS pour toutes les communications;
• Isolation stricte des données de chaque organisation (cloisonnement par tenant, contrôles au niveau de la base de données);
• Accès selon le principe du moindre privilège; l'accès à l'annuaire Microsoft est en lecture seule;
• Le jeton utilisé par le complément Outlook pour s'authentifier auprès du Service est conservé sous forme hachée, jamais en clair;
• Des copies de sauvegarde régulières, chiffrées avant tout envoi hors du serveur et conservées au Canada (Toronto);
• Journaux d'audit en ajout seul;
• Limitation du débit et protections contre les abus.

11. Vos droits

Conformément à la Loi 25 et aux lois canadiennes applicables, vous pouvez :

• demander l'accès aux renseignements personnels que nous détenons à votre sujet;
• en demander la rectification s'ils sont inexacts ou incomplets;
• demander leur suppression (cessation de diffusion) lorsque la loi le permet;
• retirer votre consentement à tout moment;
• demander la portabilité des renseignements personnels informatisés que vous nous avez fournis;
• porter plainte auprès de la Commission d'accès à l'information du Québec ou du Commissariat à la protection de la vie privée du Canada.

Pour exercer ces droits, écrivez à info@atomsolutions.ca. Si vous êtes membre du personnel d'une organisation cliente, nous pourrions vous rediriger vers votre employeur, qui demeure responsable des renseignements de son annuaire.

12. Incidents de confidentialité

Tout incident de confidentialité présentant un risque de préjudice sérieux est consigné dans notre registre des incidents. Selon les responsabilités décrites à la section 9, il est notifié directement par nous à la Commission d'accès à l'information et aux personnes concernées, ou votre organisation en est avisée sans délai pour qu'elle procède elle-même à ces avis.

13. Témoins et stockage local

Le Service utilise les témoins (cookies) et le stockage local suivants :

• un témoin de session, essentiel, pour maintenir la connexion à la console (expire après 8 heures);
• un témoin de préférence de langue (atom_lang, essentiel, 12 mois);
• un stockage local du navigateur (localStorage), sur nos pages publiques, pour retenir votre langue d'affichage (atom:lang) et votre choix de consentement à la mesure d'audience (atom:analytics-consent);
• les témoins de mesure d'audience de Google Analytics 4 (_ga, _ga_*), déposés uniquement après votre consentement à la bannière affichée sur nos pages publiques, et jamais sur la console d'administration.

Aucun témoin publicitaire n'est utilisé.

14. Modifications de cette politique

Nous pouvons mettre à jour cette politique pour refléter l'évolution du Service ou des exigences légales. La date de mise à jour figure en haut de la page; en cas de changement important, les administrateurs des organisations clientes en seront avisés.

15. Nous joindre

ATOM Solutions (NEQ 1182200098) — info@atomsolutions.ca — atomsolutions.ca