Politique de confidentialité

1. Qui nous sommes et portée de cette politique

ATOM Signatures (le « Service ») est un service de gestion centralisée des signatures de courriel pour Microsoft 365, exploité par ATOM Solutions (NEQ 1182200098) (« nous »), accessible à l'adresse signatures.atomsolutions.ca, et comprenant un complément (add-in) pour Microsoft Outlook.

Cette politique s'applique aux renseignements traités par le Service : ceux des administrateurs qui gèrent un compte d'organisation cliente ou un compte revendeur (partenaire qui propose le Service à ses propres clients), et ceux des membres du personnel de ces organisations dont les attributs d'annuaire servent à composer les signatures. Elle ne s'applique pas aux pratiques de Microsoft ni à celles des autres sites vers lesquels nous pointons.

2. Responsable de la protection des renseignements personnels

Conformément à la Loi 25, le président d'ATOM Solutions, à titre de responsable de la protection des renseignements personnels, peut être joint à info@atomsolutions.ca. Toute question, demande d'accès ou plainte relative à cette politique peut lui être adressée.

3. Renseignements que nous recueillons

a) Compte administrateur et compte revendeur

Lorsqu'un administrateur — ou un revendeur partenaire — se connecte à la console avec son compte Microsoft (SSO Microsoft Entra), nous recevons son nom, son adresse courriel professionnelle et l'identifiant de son organisation (tenant Microsoft 365). Un revendeur invité par ATOM reçoit un lien d'invitation à usage unique, valable 7 jours, dont le jeton est conservé sous forme hachée. Un revendeur qui adhère au programme de versement par Stripe Connect fournit ses renseignements d'identité et bancaires directement à Stripe, sur les pages de Stripe : nous ne les recevons pas et ne les conservons pas. Nous conservons seulement l'identifiant de son compte Stripe, l'état d'activation de ses paiements et versements, ses prix et l'historique des montants qui lui sont versés, frais Stripe compris. Nous utilisons l'adresse courriel de son compte Stripe pour l'avertir de chaque versement ; ATOM ne la conserve pas (elle est transmise à notre fournisseur d'envoi de courriels pour cet envoi seulement). En tant que plateforme, ATOM Solutions peut consulter dans son espace Stripe les renseignements que Stripe affiche au sujet des comptes rattachés.

b) Annuaire de l'organisation (Microsoft Graph)

Avec le consentement d'un administrateur, nous lisons en lecture seule certains attributs de l'annuaire Microsoft 365 de l'organisation, uniquement pour composer les signatures : nom, prénom, titre de poste, service, numéros de téléphone, adresse courriel, adresses de bureau, appartenance aux groupes et, le cas échéant, attributs d'extension définis par l'organisation.

c) Utilisation du complément Outlook

Lorsqu'un utilisateur compose ou envoie un courriel, le complément transmet à notre service l'adresse courriel de l'expéditeur afin de déterminer la signature applicable et de comptabiliser les licences (sièges) utilisées. La plateforme utilisée (ordinateur, navigateur Web ou mobile) et l'horodatage de ces appels sont journalisés.

d) Le volet « Ma signature »

Lorsqu'un employé ouvre le volet « Ma signature » dans Outlook et s'y connecte (authentification déléguée Microsoft, sans mot de passe propre à ATOM), nous recevons son identifiant de connexion. S'il choisit une signature parmi celles qui lui sont proposées, ce choix est conservé. Si son administrateur l'y autorise, il peut aussi remplacer certaines coordonnées affichées dans sa signature (numéro de téléphone, titre, adresse, etc.); ces valeurs personnalisées sont alors conservées et priment sur celles de l'annuaire.

e) Boîtes partagées et ciblage individuel

Lorsqu'un employé envoie un courriel au nom d'une boîte partagée, l'adresse de cette boîte nous est transmise afin d'appliquer la bonne signature; elle ne consomme aucun siège. Un administrateur peut aussi recenser manuellement les boîtes partagées de son organisation, ou cibler une signature vers une adresse individuelle précise plutôt que vers un groupe; ces choix sont conservés.

f) Demandes de soutien

Lorsque vous nous écrivez par le formulaire de soutien, nous recevons votre nom, votre adresse courriel, votre message et le nom de votre organisation, transmis par courriel à notre équipe.

g) Consentements administrateur

Lorsqu'un administrateur autorise l'accès à l'annuaire de son organisation ou approuve un autre traitement requis par le Service, nous conservons la preuve de ce consentement : qui l'a donné, pour quoi, à quel moment et depuis quelle adresse IP.

h) Facturation

La facturation est traitée par Stripe. Nous conservons l'identifiant d'abonnement, le nombre de sièges et l'état du paiement. Nous ne stockons aucun numéro de carte de paiement.

i) Journaux techniques

Comme tout service en ligne, nous journalisons des événements techniques (adresse IP, type de navigateur, horodatage, action effectuée) à des fins de sécurité, de diagnostic et d'audit. Nos journaux d'audit sont en ajout seul.

j) Mesure d'audience, de performance et des annonces (Google Analytics, Microsoft Advertising, Meta, OpenAI, Cloudflare Web Analytics, HeyCatch, mesure maison)

Sur nos pages publiques (site vitrine), nous utilisons Google Analytics 4 pour mesurer l'audience de façon agrégée (pages vues, provenance, type d'appareil). Cet outil dépose des témoins (cookies) uniquement après votre consentement, recueilli via la bannière affichée à votre première visite (Google Consent Mode v2). Tant que vous n'avez pas accepté, aucun témoin de mesure n'est déposé. Les données sont traitées par Google LLC, ce qui peut impliquer un transfert hors du Canada; nous n'activons aucune fonction publicitaire (pas de profilage ni de ciblage). Vous pouvez retirer ou modifier votre choix à tout moment par le lien « Gérer les témoins » du pied de page, en effaçant les données de ce site dans votre navigateur ou en nous écrivant. La console d'administration (espace authentifié) n'utilise pas Google Analytics.

Nous utilisons aussi la balise UET de Microsoft Advertising (Microsoft Corporation) pour mesurer l'efficacité de nos annonces diffusées sur le réseau de recherche de Microsoft (Bing) : elle relève les pages publiques consultées et les actions qui suivent un clic sur une de nos annonces (conversions), et peut servir à présenter nos annonces aux personnes qui ont déjà visité notre site (reciblage). Cette balise n'est chargée et ne dépose de témoins qu'après votre consentement, recueilli par la même bannière; tant que vous n'avez pas accepté, aucune requête n'est envoyée à Microsoft. Les données sont traitées par Microsoft Corporation, ce qui peut impliquer un transfert hors du Canada, et Microsoft peut les relier aux renseignements dont elle dispose déjà sur vous selon sa propre politique de confidentialité. Vous retirez ou modifiez ce choix de la même façon que pour Google Analytics. La console d'administration n'utilise pas cette balise.

Nous utilisons également le pixel Meta (Meta Platforms, Inc.) pour mesurer l'efficacité de nos annonces diffusées sur Facebook et Instagram : il relève les pages publiques consultées, et peut servir à présenter nos annonces aux personnes qui ont déjà visité notre site (reciblage). Ce pixel n'est chargé et ne dépose de témoins qu'après votre consentement, recueilli par la même bannière; tant que vous n'avez pas accepté, aucune requête n'est envoyée à Meta. Les données sont traitées par Meta, ce qui peut impliquer un transfert hors du Canada, et Meta peut les relier aux renseignements dont elle dispose déjà sur vous selon sa propre politique de confidentialité. Vous retirez ou modifiez ce choix de la même façon que pour Google Analytics. La console d'administration n'utilise pas ce pixel.

Nous utilisons enfin le pixel OpenAI Ads (OpenAI, L.L.C.) pour mesurer l'efficacité de nos annonces diffusées dans ChatGPT : il relève les pages publiques consultées, l'arrivée depuis l'une de nos annonces et le démarrage d'un essai gratuit (page de confirmation de l'inscription, où la même bannière vous est présentée). Lorsque vous arrivez par une de nos annonces, l'identifiant de clic qu'OpenAI ajoute à l'adresse (oppref) accompagne votre lien d'inscription vers notre domaine applicatif et n'est conservé que le temps de l'inscription, dans votre session; il n'est transmis à OpenAI qu'après votre consentement. Lorsqu'un essai gratuit démarre réellement, notre serveur le signale aussi directement à OpenAI (API de conversions) : si vous aviez accepté la bannière sur notre site avant de suivre le lien d'essai, ce signal comprend l'identifiant de clic ainsi que votre adresse courriel et l'identifiant de votre organisation, ces deux derniers seulement sous forme hachée (SHA-256); sinon, il ne comprend que la date du démarrage, sans aucun renseignement sur vous ni sur votre organisation. Ce pixel n'est chargé et ne dépose de témoins qu'après votre consentement, recueilli par la même bannière; tant que vous n'avez pas accepté, aucune requête n'est envoyée à OpenAI. Les données sont traitées par OpenAI, ce qui peut impliquer un transfert hors du Canada, et OpenAI peut les relier aux renseignements dont elle dispose déjà sur vous selon sa propre politique de confidentialité. Vous retirez ou modifiez ce choix de la même façon que pour Google Analytics. La console d'administration n'utilise pas ce pixel.

Nous utilisons aussi Cloudflare Web Analytics pour mesurer la fréquentation et la vitesse de chargement de nos pages web (page consultée, page de provenance, type de navigateur et d'appareil, pays, temps de chargement). Cet outil ne dépose aucun témoin, n'utilise aucun stockage du navigateur et n'identifie pas les visiteurs : il ne relève donc pas de la bannière de consentement. L'adresse IP, reçue par Cloudflare lors de l'envoi de la mesure, est écartée au centre de données le plus proche et n'est pas conservée; les mesures peuvent être traitées hors du Canada.

Nous utilisons enfin HeyCatch pour mesurer l'audience de nos pages publiques et le parcours des visiteurs (pages consultées, clics sur la page, page de provenance et paramètres de campagne, type de navigateur et d'appareil). Contrairement aux outils ci-dessus, HeyCatch est chargé dès l'ouverture de la page, sans attendre la bannière de consentement : il attribue à votre navigateur un identifiant aléatoire, conservé dans un témoin et dans le stockage local (section 13), qui permet de relier vos visites entre elles. Il n'est pas utilisé à des fins publicitaires et la console d'administration ne l'utilise pas. Les données sont traitées par HeyCatch et ses fournisseurs, ce qui peut impliquer un transfert hors du Canada. Le lien « Gérer les témoins » ne s'applique pas à cet outil : vous pouvez effacer ces données en supprimant les données de ce site dans votre navigateur, ou nous écrire.

Nous exploitons enfin notre propre mesure d'audience, sur nos pages publiques seulement (jamais dans la console), qui ne fait appel à aucun tiers : les données ne sont envoyées qu'à nos serveurs, et aucun tiers ne les reçoit, hormis le transit chiffré par Cloudflare (sections 6 et 7), qui voit le trafic mais ne le stocke pas. Elle ne dépose aucun témoin, n'utilise aucun stockage du navigateur et fonctionne que vous ayez accepté ou refusé la bannière de consentement. Lorsque vous quittez la page ou la mettez en arrière-plan, votre navigateur envoie à nos serveurs un seul message qui indique la page consultée (sans ses paramètres d'adresse), le nom de domaine du site de provenance (jamais l'adresse complète), les paramètres de campagne de l'adresse, la langue de la page, la section la plus basse que vous avez atteinte, les boutons d'action sur lesquels vous avez cliqué et des mesures de vitesse d'affichage. Nous en déduisons le type d'appareil (téléphone, tablette ou ordinateur) et le pays (à partir de l'adresse IP, par Cloudflare). Aucune adresse IP ni aucun identifiant de navigateur n'est enregistré. Pour compter chaque visiteur une seule fois par jour, nous calculons, en mémoire seulement, une empreinte à partir de l'adresse IP, du type de navigateur et d'une valeur aléatoire qui change chaque jour à minuit (heure de l'Est) : cette empreinte n'est jamais écrite dans une base de données, un fichier ou un journal, et elle est oubliée à minuit ou au redémarrage du serveur. Un visiteur ne peut donc être reconnu que pendant une journée au plus, jamais d'un jour à l'autre. Seuls des totaux par jour sont conservés (pages vues et visiteurs par page, provenance, pays, appareil, langue, bouton et section, répartition des mesures de vitesse), sans aucune ligne individuelle, pendant au plus 25 mois (section 8). Nous comptons de la même façon, en nombre seulement, les étapes du parcours d'inscription (par jour et par provenance), sans lien avec une organisation ni une personne; la provenance (site référent ou campagne) est ajoutée au lien d'inscription et n'est conservée que dans votre session, jusqu'à son expiration (8 heures sans activité).

k) Liens suivis et statistiques de signature

Lorsqu'une signature, une version « réponse » ou une bannière de campagne contient un lien, ce lien pointe d'abord vers notre domaine applicatif avant de rediriger vers sa destination réelle. Chaque redirection alimente des statistiques agrégées par jour (pays à deux lettres, déduit de l'adresse IP au moment du clic, type d'appareil, part attribuée aux robots) : nous ne conservons jamais l'adresse IP, ni aucun événement individuel, et nous n'identifions jamais la personne qui a cliqué. Cette redirection ne dépose aucun témoin (voir section 13). Nous comptons aussi, de façon tout aussi agrégée, le nombre de courriels envoyés (pour calculer un taux de clic), sans autre détail que le jour et l'expéditeur interne. Ces statistiques sont conservées au plus 25 mois (voir section 8), et l'administrateur du Client peut désactiver ce suivi à tout moment depuis les Paramètres de la console; les liens déjà transmis continuent alors de rediriger normalement, sans plus être comptabilisés.

l) Photo de profil des employés (facultatif)

Cette fonction est désactivée par défaut : seul l'administrateur de l'organisation peut l'activer, dans les Paramètres de la console, et la désactiver à tout moment. Lorsqu'elle est activée et qu'une signature utilise le jeton « Photo (employé) », la photo de profil de l'employé dans l'annuaire Microsoft 365 est lue (lecture seule, au moment où un destinataire affiche le courriel, et non à l'envoi), recadrée en un rond de 192 × 192 pixels et affichée dans la signature. L'image est servie par une adresse signée qui ne contient ni adresse courriel ni identifiant lisible; toute personne qui reçoit le courriel peut donc afficher l'image. Une copie recadrée est conservée temporairement (environ 24 heures) sur nos serveurs au Québec pour éviter de relire l'annuaire à chaque affichage; elle est supprimée dès que l'administrateur désactive le réglage et avec les autres données de l'organisation à la fin de l'abonnement (section 8). Lorsque le réglage est désactivé, ou que l'employé n'a pas de photo dans l'annuaire, un avatar neutre identique pour tous est affiché à la place, sans indiquer si le compte existe. La photo n'est jamais transmise à un service d'intelligence artificielle ni à un tiers, et n'est jamais journalisée. Il appartient à l'organisation d'informer ses employés de cet usage. Exception : si l'organisation active l'option « Images intégrées au message », la photo (et le nom affiché en image) sont alors jointes au courriel à l'envoi, et la lecture au moment de l'affichage, l'avatar neutre et la suppression des copies décrits ci-dessus ne s'appliquent plus à ces courriels : une copie de l'image reste dans les éléments envoyés de l'expéditeur et chez les destinataires, et désactiver ensuite la photo ou l'intégration n'agit que sur les courriels suivants. Les copies déjà conservées par le client de messagerie d'un destinataire (par exemple par un serveur mandataire d'images) échappent à notre contrôle.

m) Fiche de contact (vCard) et code QR (facultatif)

Lorsqu'une signature utilise le jeton « Lien vCard » (bouton « Ajouter à mes contacts ») ou « Code QR », le destinataire du courriel peut télécharger ou scanner une fiche de contact de l'expéditeur. Cette fiche ne contient que les coordonnées affichées dans cette signature : le nom est toujours inclus, et le titre, le service, la société, le téléphone, le cellulaire, l'adresse postale ou le courriel ne le sont que si la signature les affiche; l'adresse du site web de l'organisation s'y ajoute lorsqu'elle est définie dans la marque. Les coordonnées sont placées, chiffrées, dans une adresse signée qui ne contient aucune coordonnée lisible : nous ne les conservons pas dans une base de données à cette fin. Cette adresse est valable 12 mois à compter de son émission, puis refuse de s'ouvrir; chaque nouvel envoi en émet une adresse à jour. Elle n'est pas conservée par le réseau de diffusion de contenu (CDN), cesse de fonctionner si l'organisation est désactivée ou si son abonnement est impayé, ne fait l'objet d'aucun suivi de clic et n'est jamais journalisée. Toute personne qui reçoit le courriel peut ouvrir cette adresse; une fiche déjà enregistrée dans le carnet d'adresses d'un destinataire échappe à notre contrôle. Il appartient à l'organisation d'informer ses employés de cet usage.

n) Accès d'un partenaire autorisé (fournisseur de services gérés)

Un administrateur Microsoft 365 de votre organisation peut autoriser un partenaire — un revendeur du Service, par exemple le fournisseur de services informatiques qui gère votre environnement — à administrer votre console en votre nom, sans compte invité ni mot de passe partagé. Cet accès n'existe que si un administrateur de votre organisation l'approuve explicitement, à partir d'un lien transmis par le partenaire (à usage unique, valable 7 jours, dont le jeton est conservé sous forme hachée). L'administrateur choisit le rôle accordé (« Éditeur » ou « Administrateur »). L'accès vaut jusqu'à sa révocation : votre organisation peut le révoquer ou en abaisser le rôle à tout moment dans la section « Accès console » de la console, le partenaire peut y renoncer de son côté, et ATOM peut aussi le révoquer, notamment si le partenaire cesse d'être revendeur du Service. Une révocation prend effet immédiatement.

Pendant l'accès, les techniciens du partenaire, connectés avec leur propre compte Microsoft (section 3a), voient et modifient dans votre console ce que le rôle accordé permet, y compris les attributs d'annuaire de vos employés qui y sont affichés (section 3b). Un partenaire ne peut jamais gérer les accès à votre console, approuver un autre partenaire, ni créer de jeton ou de clé d'accès qui survivrait à la révocation. Pour ce dispositif, nous conservons : le nom et le domaine de l'organisation partenaire, le libellé de la demande et l'identifiant de connexion de la personne qui l'a créée, l'identifiant de connexion de l'administrateur qui a approuvé l'accès, le rôle, les dates d'approbation et de révocation, et l'auteur de la révocation. Les actions des techniciens du partenaire dans votre console — modifications, ainsi que les consultations sensibles comme les exportations et les listes d'employés — sont inscrites à votre journal d'audit avec leur identifiant et le nom de leur organisation; votre administrateur consulte ce journal dans la console. Un courriel avise l'approbateur et le créateur de la demande lors de l'approbation, et l'autre partie lors d'une révocation.

o) Carte de visite Apple Wallet et Google Wallet (facultatif)

Cette fonction est désactivée par défaut : seul l'administrateur de l'organisation peut l'activer, dans les Paramètres de la console, et la désactiver à tout moment. Lorsqu'elle est activée, chaque employé peut, depuis le volet « Ma signature » d'Outlook, ajouter sa propre carte de visite à Apple Wallet ou à Google Wallet; aucune carte n'est créée sans cette démarche de l'employé. Le lien d'ajout est à usage unique, valable 15 minutes, et conservé sous forme hachée. La carte contient : le nom, le titre, le service, la société, le cellulaire, le téléphone du bureau, le courriel (l'adresse de courriel, jamais l'identifiant de connexion), l'adresse du site web de l'organisation, les couleurs et le logo de la marque, ainsi qu'un code QR qui ouvre la page de contact de l'employé. L'administrateur peut personnaliser l'apparence de la carte : couleurs, logo de la carte (une image téléversée par l'organisation, à défaut le logo de la marque), libellés des champs, champs affichés (il peut masquer le service, le cellulaire, le téléphone du bureau, le courriel ou le site web, ou afficher le lien de prise de rendez-vous de l'employé), jusqu'à trois champs libres (un libellé et un texte, identiques pour tous les employés de l'organisation), le code (sa forme, ce qu'il ouvre et le texte affiché sous lui), une bannière (une image téléversée par l'organisation, pour Google Wallet seulement) et, s'il l'active, la photo de profil de l'employé, affichée en vignette sur la carte Apple Wallet seulement. Cette photo est lue dans l'annuaire Microsoft 365 de l'organisation à chaque création ou mise à jour de la carte; elle n'est ni conservée dans notre base de données ni gardée en cache sur nos serveurs, et elle n'est jamais transmise à Google. Le lien de prise de rendez-vous et les champs libres, s'ils sont affichés, font partie de la carte : ils figurent sur la carte Apple Wallet, sur la page de contact de l'employé et dans le contenu envoyé à Google pour la carte Google Wallet; le lien de rendez-vous peut aussi être ce que le code ouvre, si l'administrateur le choisit. Ces renseignements sont lus dans l'annuaire (section 3b) et dans les coordonnées saisies dans le volet (section 3d) au moment de l'ajout et à chaque mise à jour : nous ne les conservons pas dans notre base de données. Nous y conservons seulement l'identifiant de connexion de l'employé, des identifiants aléatoires de la carte, une empreinte du contenu (pour détecter un changement), les dates de création et de révocation, un jeton d'authentification haché et, pour Apple, l'identifiant d'appareil et le jeton de notification que l'appareil nous remet pour recevoir les mises à jour.

Où se trouve la carte. Avec Apple Wallet, l'appareil de l'employé télécharge la carte directement depuis nos serveurs et la conserve : nos serveurs n'en transmettent pas le contenu à Apple, seule une notification de mise à jour sans contenu transite par le service de notification d'Apple. Avec Google Wallet, nos serveurs envoient le contenu de la carte (nom, titre, service, société, coordonnées affichées, lien de prise de rendez-vous et champs libres s'ils sont affichés, libellés choisis par l'administrateur, couleur, logo, bannière s'il y en a une, et ce que le code contient et affiche) à Google, mais jamais la photo de l'employé, qui le conserve sur ses propres serveurs, possiblement à l'extérieur du Québec (section 7). Ce que l'appareil ou le compte de l'employé fait ensuite de la carte relève d'Apple et de Google.

Page de contact. Toute personne qui scanne le code QR de la carte ou en ouvre l'adresse peut voir ces coordonnées et enregistrer la fiche de contact. La page n'est pas indexée par les moteurs de recherche, n'est pas conservée par le réseau de diffusion de contenu (CDN), ne dépose aucun témoin, ne fait l'objet d'aucun suivi de clic et aucune coordonnée n'est inscrite dans les journaux. Une fiche déjà enregistrée dans le carnet d'adresses d'une personne échappe à notre contrôle.

Mise à jour et révocation. La carte se met à jour automatiquement lorsque l'annuaire, les coordonnées du volet ou la marque de l'organisation changent, en général dans un délai de quelques heures. L'employé peut retirer sa carte à tout moment depuis le volet; l'administrateur peut révoquer la carte de n'importe quel employé depuis la console, ou désactiver le réglage, ce qui révoque toutes les cartes de l'organisation. Une carte est aussi révoquée automatiquement lorsque l'employé n'existe plus dans l'annuaire. Une carte révoquée cesse de fonctionner : la page de contact ne répond plus, la carte Apple est marquée comme annulée sur l'appareil à sa prochaine mise à jour, et la carte Google est désactivée, puis vidée de son contenu à la fin de l'abonnement avec les autres données de l'organisation (section 8). La page et les mises à jour cessent aussi si l'organisation est désactivée ou si son abonnement est impayé. Il appartient à l'organisation d'informer ses employés de cet usage.

4. Ce que nous ne recueillons jamais

• Aucun contenu de courriel : nous ne lisons, ne stockons et ne transmettons jamais le corps ni l'objet de vos messages, ni l'adresse ou le nom de leurs destinataires. Une seule information sur les destinataires est transmise : à l'envoi, avec Outlook sur ordinateur ou sur le Web, le complément envoie à notre service uniquement les domaines des destinataires (À, Cc, Cci), afin de choisir entre une signature interne et une signature externe. Ces domaines ne servent qu'à cette comparaison avec les domaines de votre organisation : ils ne sont ni enregistrés dans notre base de données ni inscrits dans les journaux de notre application. Avec Outlook mobile, aucun destinataire n'est lu. Le complément insère la signature localement, dans Outlook.
• Aucun mot de passe : l'authentification passe entièrement par Microsoft Entra.
• Aucune donnée à des fins publicitaires : pas de suivi publicitaire, pas de revente de renseignements, pas de profilage — les statistiques agrégées et anonymes des liens suivis (section 3k) servent uniquement à mesurer l'efficacité des signatures et bannières de votre organisation, jamais à des fins publicitaires, et votre administrateur peut les désactiver à tout moment.

5. Pourquoi nous utilisons ces renseignements (finalités)

• Composer et appliquer les signatures de courriel de votre organisation;
• Cibler les signatures par groupes, par boîtes partagées ou par adresses individuelles, et remplir les champs dynamiques (nom, titre, téléphone, etc.);
• Compter les sièges utilisés et facturer l'abonnement, y compris, pour les clients d'un revendeur, la facturation au prix que le revendeur fixe et le versement de sa marge par Stripe Connect;
• Assurer la sécurité du Service, prévenir les abus et diagnostiquer les incidents;
• Permettre à un partenaire que votre organisation a autorisé d'administrer la console en son nom, et conserver la trace de ses actions (section 3n);
• Permettre aux employés, lorsque l'organisation active cette fonction, d'ajouter leur carte de visite à Apple Wallet ou à Google Wallet et de la tenir à jour (section 3o);
• Répondre aux demandes de soutien;
• Respecter nos obligations légales.

Nous n'utilisons pas ces renseignements à d'autres fins sans votre consentement.

6. Communication à des tiers (sous-traitants)

Nous ne vendons ni ne louons aucun renseignement personnel. Notre infrastructure (serveurs, base de données, fichiers) est exploitée directement par ATOM Solutions, au Québec : ce n'est donc pas un sous-traitant externe. Nous faisons appel à un nombre limité de sous-traitants, uniquement pour des fonctions précises :

Ces sous-traitants sont liés par des obligations contractuelles de confidentialité et ne peuvent utiliser les renseignements qu'aux fins prévues.

Partenaire autorisé par votre organisation (section 3n) : lorsque votre organisation approuve l'accès d'un partenaire, celui-ci accède aux renseignements de votre console selon le rôle accordé. Ce partenaire n'est pas un sous-traitant d'ATOM Solutions : c'est votre organisation qui le choisit, l'autorise et peut révoquer son accès à tout moment, et il lui revient d'encadrer cette relation et d'en informer ses employés au besoin.

7. Hébergement et transferts hors Québec

L'infrastructure du Service (base de données, fichiers, serveurs applicatifs) est exploitée par ATOM Solutions elle-même, au Québec. Le trafic transite par un tunnel Cloudflare : Cloudflare termine le chiffrement TLS et voit donc le trafic en transit, mais ne le stocke pas. Les copies de sauvegarde, chiffrées avant de quitter nos serveurs, sont conservées au Canada, à Toronto (Ontario). Certains sous-traitants (Stripe pour le paiement, Google LLC et Cloudflare pour la mesure d'audience, Microsoft Corporation pour la mesure des annonces) peuvent traiter des renseignements à l'extérieur du Québec ou du Canada. Il en va de même de Google LLC lorsqu'un employé ajoute sa carte de visite à Google Wallet (section 3o) : le contenu de la carte est alors conservé sur les serveurs de Google, possiblement à l'extérieur du Québec. Avant toute communication de renseignements hors du Québec, nous évaluons les facteurs relatifs à la vie privée et l'encadrons par contrat, conformément à la Loi 25.

8. Conservation

• Les données propres à votre organisation (signatures, configuration, attributs d'annuaire, préférences des employés) sont conservées pendant la durée de l'abonnement, puis supprimées automatiquement dans les 30 jours suivant la prise d'effet de la résiliation;
• Font exception à cette suppression : les registres de facturation, conservés selon les durées exigées par les lois fiscales, ainsi que les journaux d'audit et les preuves de consentement, conservés au plus 12 mois;
• Les journaux techniques applicatifs sont conservés au plus 12 mois;
• Une signature supprimée dans la console est d'abord placée dans une corbeille, puis purgée définitivement 30 jours après sa suppression;
• Les statistiques agrégées de clics et d'envois liées aux liens suivis (section 3k) sont conservées au plus 25 mois, puis purgées automatiquement, indépendamment du sort de l'abonnement;
• Les totaux quotidiens de notre mesure d'audience maison (section 3j) sont conservés au plus 25 mois, puis purgés automatiquement;
• La copie recadrée d'une photo de profil d'employé (section 3l), lorsque cette fonction est activée, est conservée environ 24 heures, et supprimée immédiatement si l'administrateur désactive le réglage (sauf les images jointes aux courriels lorsque l'organisation active l'intégration des images au message, voir section 3l);
• Pour les cartes de visite Wallet (section 3o), les renseignements conservés chez nous (identifiant de connexion de l'employé, identifiants de la carte, jeton d'authentification haché, empreinte, dates) le sont tant que la carte est active, puis jusqu'à leur suppression avec les autres données de l'organisation à la fin de l'abonnement; l'identifiant d'appareil et le jeton de notification le sont jusqu'au retrait de la carte de l'appareil, au plus tard à la fin de l'abonnement; un lien d'ajout non utilisé expire après 15 minutes;
• Pour l'accès d'un partenaire (section 3n), une demande d'accès est supprimée 90 jours après son expiration, son utilisation ou sa révocation, sauf si l'accès qu'elle a créé est toujours en vigueur; un accès révoqué est supprimé 2 ans après sa révocation. Demandes et accès sont aussi supprimés avec les autres données de l'organisation à la fin de l'abonnement, que celle-ci soit l'organisation cliente ou le partenaire;
• Les copies de sauvegarde sont renouvelées selon leur cycle de rotation; les données supprimées en disparaissent au fil de ce cycle;
• Vous pouvez demander l'exportation de vos données avant la fin de votre abonnement ou avant une suppression, en écrivant à info@atomsolutions.ca.

9. Rôles et responsabilités

Pour les renseignements de l'annuaire et des employés de votre organisation, c'est votre organisation qui demeure responsable au sens de la loi; ATOM Solutions agit comme son mandataire (article 18.3 de la Loi 25), selon vos instructions et dans les limites strictement nécessaires à la fourniture du Service.

Lorsque votre organisation autorise un partenaire (section 3n), elle demeure responsable des renseignements auxquels ce partenaire accède en son nom; ATOM Solutions se limite à appliquer l'autorisation donnée, le rôle choisi et leur révocation.

En cas d'incident de confidentialité touchant ces renseignements, nous avisons votre organisation sans délai et l'assistons dans ses démarches; c'est à elle qu'il revient d'aviser la Commission d'accès à l'information et les personnes concernées. Pour les renseignements dont nous sommes nous-mêmes responsables — comptes administrateurs et revendeurs, facturation, données du site public — nous avisons directement la Commission d'accès à l'information et les personnes concernées, conformément à la Loi 25.

10. Sécurité

• Chiffrement TLS pour toutes les communications;
• Isolation stricte des données de chaque organisation (cloisonnement par tenant, contrôles au niveau de la base de données);
• Accès selon le principe du moindre privilège; l'accès à l'annuaire Microsoft est en lecture seule;
• Le jeton utilisé par le complément Outlook pour s'authentifier auprès du Service est conservé sous forme hachée, jamais en clair;
• L'accès d'un partenaire (section 3n) est vérifié de nouveau à chaque requête : une révocation ou un abaissement de rôle prend effet immédiatement;
• Des copies de sauvegarde régulières, chiffrées avant tout envoi hors du serveur et conservées au Canada (Toronto);
• Journaux d'audit en ajout seul;
• Limitation du débit et protections contre les abus.

11. Vos droits

Conformément à la Loi 25 et aux lois canadiennes applicables, vous pouvez :

• demander l'accès aux renseignements personnels que nous détenons à votre sujet;
• en demander la rectification s'ils sont inexacts ou incomplets;
• demander leur suppression (cessation de diffusion) lorsque la loi le permet;
• retirer votre consentement à tout moment;
• demander la portabilité des renseignements personnels informatisés que vous nous avez fournis;
• porter plainte auprès de la Commission d'accès à l'information du Québec ou du Commissariat à la protection de la vie privée du Canada.

Pour exercer ces droits, écrivez à info@atomsolutions.ca. Si vous êtes membre du personnel d'une organisation cliente, nous pourrions vous rediriger vers votre employeur, qui demeure responsable des renseignements de son annuaire.

12. Incidents de confidentialité

Tout incident de confidentialité présentant un risque de préjudice sérieux est consigné dans notre registre des incidents. Selon les responsabilités décrites à la section 9, il est notifié directement par nous à la Commission d'accès à l'information et aux personnes concernées, ou votre organisation en est avisée sans délai pour qu'elle procède elle-même à ces avis.

13. Témoins et stockage local

Le Service utilise les témoins (cookies) et le stockage local suivants :

• un témoin de session, essentiel, pour maintenir la connexion à la console (expire après 8 heures);
• un témoin de préférence de langue (atom_lang, essentiel, 12 mois);
• un stockage local du navigateur (localStorage), sur nos pages publiques, pour retenir votre langue d'affichage (atom:lang) et votre choix de consentement à la mesure d'audience et des annonces (atom:analytics-consent, atom:consent-version);
• un stockage de session du navigateur (sessionStorage), dans la console, propre à l'onglet et effacé à sa fermeture : pour conserver le lien d'approbation d'un partenaire pendant la connexion de l'administrateur (atom:partner-approve, 30 minutes au plus) et, pour un partenaire, la liste de ses organisations clientes (nom et identifiant) affichée dans son sélecteur (atom:partner-clients);
• les témoins de mesure d'audience de Google Analytics 4 (_ga, _ga_*), déposés uniquement après votre consentement à la bannière affichée sur nos pages publiques, et jamais sur la console d'administration;
• les témoins publicitaires de Microsoft Advertising (_uetsid, 1 jour; _uetvid, 13 mois; ainsi que ceux que Microsoft dépose sur ses propres domaines), déposés uniquement après votre consentement à la même bannière, et jamais sur la console d'administration;
• les témoins publicitaires de Meta (_fbp, 3 mois; ainsi que ceux que Meta dépose sur ses propres domaines), déposés uniquement après votre consentement à la même bannière, et jamais sur la console d'administration;
• les témoins publicitaires d'OpenAI (__oppref, 30 jours; __obref et __oaiq_consent), déposés uniquement après votre consentement à la même bannière, et jamais sur la console d'administration;
• la mesure de Cloudflare Web Analytics (section 3j) ne dépose aucun témoin et n'utilise aucun stockage du navigateur;
• la mesure d'audience de HeyCatch (section 3j), sur nos pages publiques seulement, dépose dès l'ouverture de la page, sans attendre la bannière, un témoin (ph_*_posthog, 12 mois) et des entrées du stockage local et du stockage de session portant le même identifiant aléatoire;
• notre mesure d'audience maison (section 3j), sur nos pages publiques seulement, ne dépose aucun témoin et n'utilise aucun stockage du navigateur;
• la redirection des liens suivis (section 3k) ne dépose aucun témoin : elle ne dépend jamais de la session de la console.

Aucun autre témoin publicitaire n'est utilisé.

14. Modifications de cette politique

Nous pouvons mettre à jour cette politique pour refléter l'évolution du Service ou des exigences légales. La date de mise à jour figure en haut de la page; en cas de changement important, les administrateurs des organisations clientes en seront avisés.

15. Nous joindre

ATOM Solutions (NEQ 1182200098) — info@atomsolutions.ca — atomsolutions.ca