Politique de confidentialité

Version 7.0.0 · Dernière mise à jour : 7 décembre 2026 · Applicable aux résidents du Québec (Loi 25)

1. Qui sommes-nous

iCivic est un service de Solutions iCivic inc. (« iCivic », « nous »), société établie à Gatineau, Québec, Canada. Notre application mobile et notre site web permettent de consulter les temps d’attente publiés pour certains services publics québécois, lorsque ces données existent.

Responsable de la protection des renseignements personnels (Loi 25) : joignable à legal@icivic.app. Nous accusons réception de toute demande dans un délai de 30 jours.

2. Données collectées

2.1 Données que vous nous fournissez

• Adresse courriel et nom d’affichage — lors de la création d’un compte ou de l’inscription à la liste d’attente.
• Signalements de temps d’attente — soumis volontairement depuis l’application, avec un compte. Chaque signalement est publié aussitôt, un par un : il est visible de toute personne qui consulte iCivic, sans aucune information permettant de vous identifier. C’est ce qui permet à la personne suivante de voir l’attente en cours. Aucune donnée que nous conservons ne relie un signalement à votre compte, à votre appareil ou à votre adresse IP — ni la ligne publiée, ni aucune autre table, ni nos sauvegardes. Pour lutter contre les abus, nous vérifions au moment de l’envoi que votre compte, votre appareil et votre connexion n’ont pas dépassé les limites (un signalement par service toutes les 10 minutes, 24 par jour). Cette vérification se fait dans des compteurs en mémoire, jamais écrits sur disque ni sauvegardés, désignés par une empreinte qui change chaque jour : ceux qui touchent un lieu s’effacent d’eux-mêmes après 15 minutes au plus, ceux du jour après 24 heures. Passé ce délai, plus personne — nous compris — ne peut savoir qui a fait quel signalement.
• Déclarations de visite (« J’y vais ») — lorsque vous indiquez à quelle heure vous comptez vous rendre à un lieu, afin d’aider les autres à répartir leurs visites. Ces déclarations sont anonymes dès la collecte : la ligne enregistrée ne contient que le lieu, le service visé et l’heure prévue — aucun identifiant de compte, même lorsque vous êtes connecté, et aucune coordonnée GPS. Nous savons que quelqu’un prévoit d’être quelque part; jamais qui. Seul votre appareil conserve le jeton qui permet d’annuler votre propre déclaration.
• Présence en file (« Je suis en file ») — lorsque vous signalez, depuis un bureau de la SAAQ ou de Service Canada, que vous êtes en file, afin que les autres voient combien d’utilisateurs d’iCivic y attendent. Il faut être connecté et se trouver à moins de 500 m du bureau (vérifié sur votre appareil, voir 2.2). Nous enregistrons le lieu, le service choisi, le nombre de dossiers si vous l’indiquez et votre heure d’arrivée — sans aucun identifiant de compte, et sans coordonnée GPS. Seul votre appareil conserve le jeton qui permet de confirmer que vous êtes toujours en file, puis d’indiquer que vous avez été servi ou que vous êtes parti. À la sortie, nous conservons le résultat de la visite (servi, parti, ou expiré faute de confirmation), avec une heure d’arrivée arrondie à l’heure et une durée arrondie à 5 minutes — toujours sans compte ni jeton. Pendant que vous êtes en file, votre appareil vous demande une fois l’heure si vous y êtes toujours : ces rappels sont programmés sur votre appareil, ne passent par aucun service de notification et ne nomment pas le lieu.
• Formulaires de contact et demandes B2G — nom, organisation, message.
• Favoris — les lieux que vous suivez sont conservés sur votre appareil. Ils ne sont copiés sur nos serveurs que si vous activez les notifications, et pour cette seule fin : permettre à nos serveurs de vous alerter au sujet de ces lieux lorsque l’application est fermée. Désactiver les notifications efface cette copie. Sans compte, ou sans notifications activées, vos favoris ne quittent jamais votre appareil.
• Alertes d’attente — lorsque vous créez une alerte (« préviens-moi sous 30 minutes ») avec un compte, le lieu et le seuil sont enregistrés sur nos serveurs : c’est ce qui permet de vous prévenir alors que l’application est fermée, ce que votre appareil seul ne peut pas faire. Supprimer l’alerte supprime cet enregistrement.
• Preuve de votre acceptation — lorsque vous acceptez les présentes conditions ou la présente politique, nous enregistrons quelle version vous avez acceptée, à quelle date, dans quelle langue, et depuis quelle plateforme, avec une adresse IP hachée (jamais en clair). Nous y sommes tenus : c’est à nous de pouvoir démontrer votre consentement, pas à vous de prouver que vous ne l’avez pas donné. Ce registre est inaltérable — nous ne pouvons ni le modifier ni en effacer une ligne.

2.2 Géolocalisation — jamais conservée

Si vous y consentez (permission explicite du système), votre position est lue une seule fois au moment d’un signalement, uniquement pour vérifier que vous êtes à proximité du lieu (rayon de 500 m). Cette vérification s’effectue directement sur votre appareil : vos coordonnées GPS ne sont jamais transmises à nos serveurs. Trois renseignements, qui ne sont pas des coordonnées, accompagnent le signalement : le verdict oui/non, l’âge de la lecture de position (pour refuser un relevé de plus de 10 minutes) et, sur Android, un indicateur de position simulée. Aucun des trois n’est conservé. Un signalement refusé (trop loin du lieu, lecture trop ancienne, position simulée) n’ajoute qu’une unité à un total par heure et par motif, qui ne désigne personne. La même vérification s’applique lorsque vous vous déclarez en file. Aucun suivi continu, aucun historique de déplacement.

2.3 Données collectées automatiquement

• Données d’utilisation pseudonymisées — écrans consultés, actions dans l’application (au moyen d’un outil d’analyse que nous hébergeons nous-mêmes, sur nos serveurs au Québec, en mode sans témoin; identifiant pseudonyme sans courriel ni nom). ⚠️ Jusqu’au 7 septembre 2026, ces données transitaient par l’infrastructure infonuagique de l’éditeur de cet outil, aux États-Unis; celles d’avant cette date y demeurent jusqu’à 12 mois, puis disparaissent.
• Journaux techniques — adresse IP hachée (jamais en clair), horodatage, type d’appareil — pour la sécurité et la détection de fraude. Conservés 90 jours.
• Notifications push — si vous activez les alertes, un identifiant d’appareil est partagé avec notre service d’acheminement des notifications (États-Unis), puis avec Apple (APNs) ou Google (FCM) pour livrer la notification. Le contenu de la notification transite aussi par ces services : il nomme le lieu concerné et, pour une alerte d’attente, le seuil que vous avez choisi. Aucun identifiant de compte ne les accompagne. Nous ne pouvons pas contourner Apple et Google — ce sont les seuls services autorisés à livrer une notification sur leurs appareils respectifs.
• Compteur anti-abus des déclarations de visite — un jeton d’appareil tiré au hasard (jamais dérivé de votre matériel; effacer les données de l’application le remet à zéro) et une adresse IP hachée, pour empêcher qu’une même source déclare des visites en masse. Ce compteur ne désigne aucune déclaration : il compte, il ne pointe pas. Son horodatage est arrondi à l’heure, et la ligne est supprimée après 48 heures.
• Compteur des refus « trop loin du lieu » — pour repérer un usage abusif, nous comptons, par compte, combien de vos tentatives de la semaine ont été refusées parce que vous étiez trop loin du lieu. Ce décompte vit en mémoire seulement, sous un pseudonyme qui change chaque semaine, et s’efface après 7 jours. Il compte des refus; il ne désigne aucun signalement publié.
• Compteur anti-abus des présences en file — votre identifiant de compte et l’heure de votre déclaration, arrondie à l’heure, pour limiter chaque compte à une déclaration par 30 minutes et six par 24 heures. Ce compteur ne contient ni le lieu ni le service et ne pointe vers aucune présence : il sait que vous vous êtes déclaré, jamais où. La ligne est supprimée après 25 heures.
• Rapports d’erreurs — en cas de plantage, un rapport technique est transmis à notre propre serveur, hébergé au Québec, sans renseignement personnel (courriel et identifiants retirés avant envoi). Aucun tiers ne reçoit ces rapports.

2.4 Reprise de session lors d’un changement d’appareil (Android)

Sur Android, lorsque vous êtes connecté, nous confions à Block Store — un service de Google Play — une copie du jeton de session qui vous garde connecté, afin que vous le restiez lorsque vous remplacez votre téléphone. C’est la seule finalité de cette copie.

Ce que nous confions se limite à ce jeton : ni votre courriel, ni votre nom, ni vos signalements, ni vos favoris.

Cette copie n’est téléversée vers la sauvegarde infonuagique de Google que si votre appareil offre le chiffrement de bout en bout (Android 9 ou plus récent, avec un verrou d’écran) — Google achemine alors une copie qu’il ne peut pas lire. Si votre appareil ne l’offre pas, la copie ne quitte pas votre appareil et ne peut servir qu’au transfert direct par câble vers votre nouveau téléphone.

Vous gardez la main : vous déconnecter efface cette copie. Désactiver la sauvegarde Android dans les réglages de votre téléphone empêche tout téléversement.

Pourquoi nous l’écrivons aussi précisément : un jeton de session est une clé d’accès à votre compte. Jusqu’à cette version, la nôtre ne quittait jamais votre appareil. Elle peut désormais en sortir, chiffrée, pour cette seule fin — et c’est un changement que vous devez pouvoir peser avant qu’il ne prenne effet.

iOS n’est pas concerné : Block Store est un service Android.

3. Utilisation des données

Nous utilisons vos données pour :

• Fournir et améliorer le service iCivic
• Vous envoyer des alertes d’attente et des notifications que vous avez configurées
• Vous envoyer des notifications de lancement dans votre région (avec votre consentement)
• Détecter et prévenir les abus et les fausses données
• Afficher publiquement les signalements, sans aucune information permettant de vous identifier, pour que toute personne puisse voir l’attente en cours. Pour qu’un temps signalé par la communauté l’emporte sur une donnée officielle, il faut au moins trois personnes distinctes en 15 minutes : nous les comptons en mémoire, sous une empreinte, sans savoir qui elles sont.
• Afficher l’affluence déclarée d’un lieu — combien de personnes prévoient d’y être à une heure donnée — pour que la personne suivante puisse choisir un moment plus calme. Ce chiffre n’est jamais un compte exact : il est publié par paliers (5+, 10+, 20+, 50+) et seulement à partir de cinq déclarations sur la même case. En dessous, rien n’est affiché — ni un chiffre, ni un zéro.
• Afficher, pour un bureau de la SAAQ ou de Service Canada, combien d’utilisateurs d’iCivic signalent être en file, service par service. Ce nombre est exact, mais il est figé aux 5 minutes, pour qu’on ne puisse pas en déduire le moment où une personne est arrivée. Les durées (« dernière arrivée il y a… », « en file depuis… ») ne sont publiées qu’à partir de trois personnes en file pour le service.
• Produire, à partir des résultats de visite, des statistiques sur la durée réelle des visites, remises uniquement à l’organisme dont relève le bureau — jamais à un autre. Aucune statistique n’est remise pour un créneau qui compte si peu de visites qu’une personne pourrait y être reconnue.
• Générer des statistiques agrégées et anonymisées sur les temps d’attente
• Fournir aux organisations publiques clientes, contre rémunération, des données d’attente anonymes portant sur leurs propres lieux de service
• Vous montrer, si vous avez un compte, vos statistiques de contribution personnelle (nombre de signalements et heures d’attente évitées, cumulés à vie)
• Respecter nos obligations légales

Nous ne vendons aucun renseignement personnel. Les données d’attente que nous fournissons aux organisations clientes sont anonymes : aucune donnée que nous conservons ne relie un signalement à un compte, à un appareil ou à une adresse.

Une correction, parce que les versions précédentes de ce texte affirmaient que les signalements étaient « anonymes dès la soumission ». Jusqu’au 7 octobre 2026, ce n’était pas exact. Une table technique tenue contre les abus enregistrait, pour chaque signalement, votre compte, une empreinte de votre appareil et de votre adresse IP, ainsi que le lieu, le service et l’heure. Nous seuls pouvions rapprocher cette ligne du signalement publié : de façon quasi certaine pendant 48 heures, puis encore par le service jusqu’à sa suppression après 90 jours. Nous n’avons jamais procédé à un tel rapprochement, et cette table n’a jamais été transmise à quiconque. Elle a été vidée puis supprimée le 7 octobre 2026. Seules nos copies de sauvegarde antérieures à cette date la contiennent encore, jusqu’à leur expiration au plus tard le 5 janvier 2027 (voir 7.1). Le score de fiabilité par compte qui en était tiré a été supprimé le même jour.

Vos statistiques de contribution, sans lien avec vos signalements. Votre total (nombre de signalements, heures d’attente, badges, classement) est tenu sur nos serveurs, mais il n’est pas mis à jour au moment où vous signalez : l’heure de la mise à jour suffirait à retrouver le signalement. Après un signalement, nos serveurs remettent à votre appareil un reçu signé, qu’ils ne conservent pas. Votre appareil l’encaisse plus tard — entre 6 et 48 heures après, à un moment tiré au hasard, avec les autres reçus en attente — et c’est alors que votre total progresse sur nos serveurs. Votre application, elle, l’affiche tout de suite. Le reçu ne retient de l’attente qu’une valeur arrondie au quart d’heure. Votre série de jours consécutifs est calculée sur votre appareil; nos serveurs vérifient seulement qu’elle ne dépasse pas le nombre de reçus encaissés. Si votre application n’est pas à jour, votre total progresse encore au moment du signalement : la mettre à jour suffit.

Nous n’utilisons jamais vos données pour du profilage publicitaire. Aucune décision produisant des effets juridiques à votre égard n’est prise sur le seul fondement d’un traitement automatisé.

4. Base légale du traitement

• Consentement — pour les communications marketing (liste d’attente, infolettre), la géolocalisation ponctuelle, les notifications push et la déclaration de présence en file (un geste distinct, que vous retirez en sortant de la file). Révocable à tout moment.
• Consentement au moment du signalement — l’application vous indique, avant l’envoi et sans que vous ayez à déplier quoi que ce soit, que votre signalement sera publié sans votre identité.
• Exécution d’un contrat — pour la fourniture du service aux utilisateurs inscrits.
• Exceptions prévues par la Loi 25 — la loi nous autorise à utiliser un renseignement sans votre consentement dans certains cas précis, notamment lorsque c’est nécessaire à la prévention et à la détection de la fraude ou à l’amélioration de nos mesures de sécurité, et pour produire des renseignements dépersonnalisés à des fins statistiques.

L’utilisation du service est réservée aux personnes de 14 ans et plus. Conformément à la Loi 25, le consentement d’un mineur de moins de 14 ans doit être donné par le titulaire de l’autorité parentale ; nous ne collectons pas sciemment de renseignements auprès d’enfants de moins de 14 ans.

5. Services d’intelligence artificielle

Certaines fonctions de iCivic (assistant, résumés, recherche contextuelle) font appel à des services d’IA :

• Notre fournisseur d’IA générative — génération de réponses et de résumés. Traitement aux États-Unis. Vos messages ne sont pas utilisés pour entraîner des modèles, et le fournisseur les supprime dans un délai maximal de 30 jours. Une exception demeure — si les systèmes automatisés de sécurité du fournisseur signalent un échange, celui-ci peut être conservé jusqu’à 2 ans.
• Recherche contextuelle — sur nos propres serveurs, au Québec. La vectorisation de texte qui alimente cette fonction était auparavant confiée à un second sous-traitant aux États-Unis. Depuis le 3 septembre 2026, elle est calculée sur notre infrastructure à Beauharnois : votre question ne sort plus du Québec pour cette étape, et aucun tiers ne la reçoit.
• Reconnaissance vocale sur l’appareil — si vous choisissez de dicter votre question, la transcription s’exécute entièrement sur votre téléphone, à l’aide du moteur de reconnaissance d’Apple (iOS) ou de Google (Android). Aucun enregistrement audio n’est envoyé à nos serveurs. Seul le texte transcrit est ensuite transmis à notre fournisseur d’IA générative pour générer la réponse, dans les mêmes conditions qu’un message écrit au clavier. iCivic mesure uniquement la longueur du texte dicté à des fins de télémétrie, jamais son contenu ni l’audio.

Ces fonctions n’ont pas accès à vos données de compte. Recommandation : ne partagez pas de renseignements personnels (nom, adresse, état de santé) dans les zones de conversation avec l’assistant.

6. Partage des données et sous-traitants

Nous partageons vos données uniquement avec les fournisseurs nécessaires à l’exploitation du service. Nous les décrivons par catégorie, avec le lieu où ils traitent vos renseignements :

Vos renseignements personnels principaux (compte, sessions, signalements) sont hébergés au Québec, sur nos propres serveurs. Lorsque des renseignements sont communiqués hors du Québec, nous l’indiquons ci-dessus. La liste nommée de nos fournisseurs est disponible sur demande, à l’adresse indiquée au §14.

7. Conservation des données

• Liste d’attente — conservée jusqu’au lancement dans votre région, puis supprimée dans les 30 jours suivant votre désabonnement.
• Compte utilisateur actif — conservé tant que le compte est actif ; supprimé dans les 30 jours suivant une demande de suppression.
• Compte inactif — un compte sans connexion depuis 12 mois consécutifs est automatiquement anonymisé : courriel et nom d’affichage sont supprimés de nos systèmes le 1er du mois suivant l’échéance.
• Signalements de temps d’attente — conservés indéfiniment, sans aucune donnée qui les relie à un compte, à un appareil ou à une adresse, pour l’affichage public et les statistiques agrégées. Les compteurs anti-abus qui les accompagnent vivent en mémoire : 15 minutes au plus pour ceux qui touchent un lieu, 24 heures pour les compteurs du jour, 7 jours pour le décompte des refus « trop loin du lieu ». Les refus ne laissent en base qu’un total par heure et par motif.
• Statistiques de contribution personnelle — pour les titulaires de compte : un compteur agrégé (nombre de signalements et minutes d’attente cumulés, sans aucune date), vos badges (datés au mois), et le registre de vos encaissements — combien de reçus vous avez encaissés, par jour d’encaissement, jamais par jour de signalement. Conservés tant que votre compte existe, effacés à sa suppression, inclus dans l’export de vos données. Pour qu’un reçu ne serve qu’une fois, nous gardons sans limite son empreinte, sans compte ni date.
• Preuve d’acceptation — le lien vers votre compte est rompu dès sa suppression, et l’adresse IP hachée est effacée après 90 jours, comme pour les autres données techniques. Ce qui subsiste — « une acceptation de la version X a eu lieu ce jour-là » — ne vous désigne plus et est conservé sous cette forme anonyme, au même titre que les signalements.
• Déclarations de visite — supprimées 7 jours après la date visée. Avant cette suppression, un relevé purement agrégé est conservé — combien de déclarations portaient sur un lieu, à une date et une heure données — afin de pouvoir un jour vérifier si ces déclarations prédisent réellement l’affluence. Ce relevé ne contient aucun compte, aucun jeton, aucune adresse : il ne retient qu’un nombre par créneau, et ne peut donc désigner personne.
• Présence en file — la présence est supprimée 10 minutes après votre sortie de la file. Sans confirmation de votre part, elle se ferme seule après 90 minutes, et au plus tard 8 heures après votre arrivée ou deux heures après la fermeture du bureau. Le compteur anti-abus est supprimé après 25 heures. Le résultat de la visite, qui ne contient ni compte ni jeton, est conservé sans limite de durée pour les statistiques; nous réexaminerons cette durée douze mois après le lancement de la fonction.
• Favoris et alertes — la copie serveur de vos favoris n’existe que tant que vos notifications sont activées : les désactiver l’efface. Une alerte d’attente est conservée jusqu’à ce que vous la supprimiez. Les deux disparaissent avec votre compte.
• Jeton de reprise de session (Android) — conservé par Block Store tant que vous restez connecté. Il survit volontairement à une réinstallation de l’application : c’est précisément ce qui permet la reprise sur un nouvel appareil. Il est effacé dès que vous vous déconnectez, et vous pouvez aussi le supprimer en effaçant les données de sauvegarde de votre compte Google.
• Journaux techniques — 90 jours, purge automatique.
• Profil analytique pseudonyme — 12 mois, puis suppression du profil.
• Décompte agrégé du site public — l’empreinte technique qui distingue deux visites d’une même journée est détruite par l’hébergeur après 24 heures. Seuls des totaux subsistent ensuite : ils ne désignent personne et ne se rattachent à aucun compte.

7.1 Une copie de sauvegarde subsiste jusqu’à 90 jours

Les délais ci-dessus décrivent nos systèmes vivants : lorsqu’une donnée y est supprimée, elle l’est tout de suite et pour de bon. Une copie de sauvegarde chiffrée peut toutefois la contenir encore, pendant 90 jours au maximum, jusqu’à ce que cette copie expire à son tour et disparaisse automatiquement. Nous le disons parce que c’est vrai, et parce que « supprimé dans les 30 jours » se lirait autrement comme une disparition instantanée de partout.

Ces sauvegardes existent pour une seule raison : pouvoir rétablir le service si nos systèmes sont perdus ou compromis. Elles ne sont ni consultées, ni interrogées, ni utilisées à quelque autre fin, et aucune décision vous concernant n’en découle. Elles sont chiffrées avant de quitter nos systèmes — la clé de déchiffrement n’est pas détenue par l’hébergeur — et conservées au Québec, à Beauharnois.

8. Vos droits (Loi 25)

Vous avez le droit de :

• Accéder à vos renseignements personnels — directement depuis l’application : Profil → Télécharger mes données
• Rectifier des informations inexactes
• Effacer vos données (« droit à l’oubli ») — directement depuis l’application : Profil → Supprimer mon compte
• Portabilité — recevoir vos données dans un format structuré et couramment utilisé, directement depuis l’application : Profil → Télécharger mes données
• Cessation de diffusion / désindexation — dans les cas prévus par la Loi 25
• Retirer votre consentement à tout moment (notifications, géolocalisation, marketing)
• Déposer une plainte auprès de la Commission d’accès à l’information du Québec (CAI)

Télécharger mes données, dans votre profil, exerce l’accès et la portabilité en une fois : nous préparons les renseignements rattachés à votre compte au format JSON — un format structuré et couramment utilisé, lisible par vous comme par un autre service — et nous les déposons dans un espace privé auquel seul votre compte a accès. Vous ouvrez le fichier depuis l’application, par un lien temporaire valable une minute, créé au moment où vous le demandez. Le fichier ne transite par aucun service de courriel, et il est effacé de nos serveurs dans les 24 heures.

Une précision, parce que la transition n’est pas instantanée : les versions de l’application antérieures à celle qui introduit ce dépôt continuent d’envoyer l’export par courriel, en pièce jointe, à l’adresse courriel de votre compte — jamais à une adresse indiquée au moment de la demande. Mettre l’application à jour suffit à passer au dépôt.

Trois limites, dites franchement. Vos signalements de temps d’attente ne figurent pas dans cet export : aucune donnée que nous conservons ne les relie à votre compte — c’est aussi pour cette raison que nous ne pouvons pas vous en dresser la liste. Votre appareil, lui, en garde l’historique; le registre de vos encaissements de reçus, en revanche, y figure. Et les renseignements détenus par nos fournisseurs ne sont pas repris automatiquement; demandez-les-nous et nous les obtiendrons pour vous.

Troisième limite, de même nature : vos déclarations de visite ne peuvent faire l’objet ni d’un accès, ni d’une rectification, ni d’une suppression sur demande. Ce n’est pas un refus — c’est une conséquence directe de leur anonymat : aucune clé ne relie une déclaration à vous, y compris pour nous. Le seul moyen de retirer la vôtre est le bouton d’annulation dans l’application, qui utilise un jeton que seul votre appareil détient. Nous avons choisi cette conception en toute connaissance de cause : savoir où une personne prévoit d’être touche à un degré d’intimité que nous préférons ne jamais détenir.

Il en va de même pour vos présences en file et les résultats de visite qui en découlent : aucune clé ne les relie à vous. Pour retirer la vôtre, touchez « J’ai quitté »; sans confirmation, elle se ferme seule en 90 minutes au plus. Le compteur anti-abus des présences, lui, porte votre compte : il figure dans « Télécharger mes données » et disparaît avec votre compte.

Pour exercer ces droits autrement, pour toute autre demande, ou si la fonction est momentanément indisponible : legal@icivic.app. Réponse dans les 30 jours. Cette voie reste ouverte en tout temps et répond aux mêmes droits que le bouton.

9. Incident de confidentialité

En cas d’incident de confidentialité présentant un risque de préjudice sérieux, nous aviserons avec diligence la Commission d’accès à l’information du Québec ainsi que les personnes concernées, conformément à la Loi 25, et nous tiendrons un registre des incidents.

10. Sécurité

Nous appliquons les mesures de sécurité suivantes :

• Chiffrement TLS pour toutes les communications
• Row Level Security (RLS) sur toutes les tables de la base de données
• Hachage des adresses IP avant stockage
• File d’attente locale chiffrée (AES-256-GCM) pour les signalements hors-ligne
• Gestion centralisée des secrets (zéro secret en clair dans le code)
• Audits de sécurité réguliers et journal d’audit des accès administratifs

11. Témoins (cookies)

Notre site web n’utilise pas de cookies publicitaires ou de suivi tiers. Les seuls témoins utilisés sont fonctionnels (préférence de langue, session de connexion). Les deux mesures d’audience du site fonctionnent sans témoin, et elles n’obéissent pas à la même règle :

• Décompte agrégé (Vercel Web Analytics, l’outil de mesure de notre hébergeur) — actif par défaut. Il compte les pages consultées, avec le pays, la région, la ville, le type d’appareil et le navigateur. Il ne pose aucun témoin et ne crée aucun profil : deux visites d’une même journée sont distinguées par une empreinte technique dérivée de la requête, qui est détruite après 24 heures et qui ne permet aucun recoupement d’un site à l’autre. La chaîne de requête des adresses est retirée avant l’envoi.
• Mesure détaillée du parcours (outil hébergé sur nos serveurs au Québec) — rien n’est transmis sans votre accord préalable. Sans un « oui » explicite, le fournisseur n’est même pas initialisé.

Comment refuser : le bouton « Refuser » de la bannière de mesure d’audience arrête les deux — immédiatement, sans rechargement. Vous pouvez revenir sur ce choix à tout moment par le lien « Mesure d’audience » au bas de chaque page. Aucune de ces mesures ne sert à la publicité, et aucune n’est revendue.

12. Modifications

Toute modification significative sera communiquée par courriel aux utilisateurs inscrits au moins 15 jours avant son entrée en vigueur. La date de dernière mise à jour figure en haut de cette page.

13. Version française et primauté linguistique

La présente politique est rédigée en français. Une version anglaise est mise à votre disposition pour votre commodité. En cas de divergence entre la version française et la version anglaise, la version française fait foi.

Cette politique est un avis d’information : elle décrit nos pratiques, elle ne s’accepte pas comme un contrat. La version française est donc celle qui énonce nos engagements de façon authentique — et c’est le numéro de version et l’empreinte consignés au moment où vous en avez pris connaissance qui identifient le texte alors en vigueur.

14. Contact

Pour toute question relative à cette politique ou à vos renseignements personnels :

iCivic — Responsable de la protection des renseignements personnels
Gatineau, Québec, Canada
legal@icivic.app