KJTB Factures
Connexion

Politique de confidentialité

Dernière mise à jour : 25 mai 2026 — Version v1

Cette politique décrit comment KJTB Factures collecte, utilise, communique et conserve vos renseignements personnels. Elle est conforme à la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, Québec) et à la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques, Canada).

1. Responsable du traitement

Le responsable du traitement est [À COMPLÉTER avant mise en production] — dénomination légale de l’exploitant de KJTB Factures ; voir les mentions légales. Conformément à l’art. 3.1 de la Loi 25, le responsable de la protection des renseignements personnels est [À COMPLÉTER avant mise en production], joignable à [À COMPLÉTER avant mise en production] pour toute question ou demande d’exercice de vos droits.

2. Renseignements collectés

  • Compte : courriel (identifiant unique), nom d’entreprise, adresse, téléphone, province, langue, numéros de taxe (TPS/TVQ), site web.
  • Données métier que VOUS saisissez : clients (nom, courriel, adresse, téléphone), factures, devis, bons de travail, photos avant/après, signatures électroniques de vos clients.
  • Métadonnées techniques : adresse IP, user-agent, horodatage, hash SHA-256 des documents signés (preuve d’intégrité non-répudiation art. 2841 C.c.Q.).
  • Données de facturation : informations transmises par Stripe lors d’un abonnement payant (nous ne stockons jamais le numéro de carte).
  • Journaux : journaux d’erreurs serveur (90 jours), journaux de connexion, journal des consentements (audit Loi 25).

3. Finalités

Les renseignements sont utilisés uniquement pour les finalités suivantes :

  • Fournir le service (créer/émettre/archiver les documents commerciaux).
  • Garantir la non-répudiation des signatures électroniques (Code civil du Québec art. 2839-2844).
  • Respecter nos propres obligations comptables et fiscales, liées à la facturation de votre abonnement (Revenu Québec, ARC). La conservation de vos pièces reste votre obligation — cf. §6.
  • Sécuriser le service (rate limiting, audit log, journaux d’erreurs).
  • Vous contacter pour des raisons opérationnelles strictement nécessaires (renouvellement, sécurité du compte). Aucun courriel marketing sans opt-in séparé.

4. Hébergement et localisation des données

Toutes les données applicatives (base PostgreSQL, fichiers PDF archivés, photos) sont hébergées au Québec, Canada sur l’infrastructure OVH à Beauharnois.

Deux communications hors du Québec existent, limitées aux sous-traitants énumérés au §5 :

  • Courriels transactionnels. Lorsqu’un document est transmis par courriel (facture, devis, bon de travail signé, code de connexion), le message et sa pièce jointe transitent par Resend, établie aux États-Unis. Le contenu du message y est conservé jusqu’à 30 jours, puis supprimé.
  • Paiements d’abonnement. Traités par Stripe Inc., établie aux États-Unis. Aucune donnée relative à vos clients ni à vos factures n’y est transmise.

En dehors de ces deux cas, aucune donnée applicative ne quitte le Canada.

5. Sous-traitants

Les sous-traitants suivants peuvent traiter des renseignements limités strictement nécessaires aux finalités :

  • Stripe Inc. (paiements abonnement KJTB Factures uniquement) — siège États-Unis, soumis aux CCT et au cadre de protection des données UE-États-Unis. Cf. stripe.com/privacy.
  • Resend (envoi des courriels transactionnels — factures, devis, codes OTP, etc.) — siège États-Unis, contenu chiffré en transit. Le contenu des messages envoyés (objet, corps, et donc les renseignements qui y figurent : nom du destinataire, montants, numéros de document) est conservé jusqu’à 30 jours sur ses serveurs avant suppression. Cette durée est fixée par le forfait et n’est pas modifiable. Cf. resend.com/privacy.
  • OVH Cloud Canada inc. (hébergeur d’infrastructure VPS, Québec) — pas d’accès aux données applicatives.

Aucun renseignement n’est vendu ou loué à un tiers à des fins commerciales.

6. Durée de conservation

  • Vos documents commerciaux (factures, devis, bons de travail) : conservés tant que votre compte existe. Ils restent accessibles et exportables à tout moment.
  • Après la suppression de votre compte : 7 jours pendant lesquels la suppression peut être annulée, puis effacement définitif de votre compte, de vos données et de vos documents.
  • Hashes SHA-256 et audit des signatures : conservés aussi longtemps que le document correspondant (preuve de non-répudiation).
  • Nos propres registres de facturation (votre abonnement à KJTB Factures) : 6 ans, conformément à nos obligations comptables (art. 35.1 LAF Québec, art. 230 LIR Canada).
  • Journal des consentements (Loi 25) : conservé tant que votre compte existe, puis 3 ans après sa suppression — le délai de prescription d’une action civile au Québec. À la suppression, il est réellement anonymisé : adresse IP et navigateur effacés, et votre courriel remplacé par une empreinte qui ne permet pas de remonter à vous. Il enregistre vos acceptations et vos retraits comme preuve, et survit volontairement à la suppression du compte — sans lui, un retrait de consentement ne pourrait pas être démontré.
  • Journal d’erreurs serveur : 90 jours glissants.
  • Sessions : 30 jours d’inactivité maximum.
  • Sauvegardes : une suppression prend effet immédiatement dans le service. Nos sauvegardes chiffrées peuvent encore contenir la donnée pendant 190 jours au maximum, le temps qu’elles expirent d’elles-mêmes. Elles servent uniquement à rétablir le service après un sinistre et ne sont jamais utilisées pour restaurer un compte supprimé.

Important — la conservation légale de vos pièces vous incombe. L’obligation de conserver vos registres et pièces justificatives pendant 6 ans (art. 35.1 LAF Québec, art. 230 LIR Canada) vise l’entreprise qui les émet, c’est-à-dire vous. KJTB Factures héberge vos documents et vous les rend exportables : ce n’est pas un service d’archivage légal, et nous ne les conservons pas au-delà de la vie de votre compte. Exportez vos données avant de supprimer votre compte (Paramètres → Confidentialité).

7. Vos droits (Loi 25 + LPRPDE)

Vous disposez des droits suivants :

  • Droit d’accès (art. 27 LPRPSP) : obtenir la liste de vos renseignements et leur contenu.
  • Droit de rectification (art. 28 LPRPSP) : corriger un renseignement inexact ou incomplet.
  • Droit à la portabilité (art. 27.1 LPRPSP, en vigueur 2024) : recevoir vos données dans un format technologique structuré.
  • Droit à l’effacement / cessation de diffusion (art. 28.1 LPRPSP) : vos documents commerciaux sont effacés ; seuls les renseignements que la loi nous impose à nous de conserver subsistent (cf. §6).
  • Droit de retirer votre consentement : à tout moment, pour les finalités où il est requis.
  • Droit de désindexation et droit à l’oubli selon les modalités prévues par la Loi 25.

Pour exercer un droit, allez dans Paramètres → Confidentialité (export RGPD + suppression de compte). Nous répondons sous 30 jours conformément à l’art. 32 LPRPSP.

Plainte : en cas d’insatisfaction, vous pouvez déposer une plainte auprès de la Commission d’accès à l’information du Québec (CAI, cai.gouv.qc.ca) ou du Commissariat à la protection de la vie privée du Canada (CPVP, priv.gc.ca).

8. Sécurité

Mesures techniques : chiffrement TLS 1.3 en transit, chiffrement au repos (LUKS), Row Level Security PostgreSQL, accès par OTP sans mot de passe, journalisation et alerte sur les comportements suspects (rate limiting), revues de sécurité régulières.

9. Cookies

  • Strictement nécessaires : cookie de session (HttpOnly, Secure, SameSite=Strict, 30 jours).
  • Préférence : cookie de langue (session-only sur les pages publiques, persistant en BD sur le compte).
  • Aucun cookie de tracking, analytics ou publicitaire.

10. Mineurs

Le service n’est pas destiné aux mineurs de moins de 14 ans. Aucun renseignement n’est collecté sciemment auprès d’un mineur.

11. Modifications

Toute modification substantielle de la présente politique entraînera l’incrémentation de la version (v2, v3, …) et une demande de re-consentement à votre prochaine connexion. Les versions précédentes sont disponibles sur demande.

Contact

Responsable des renseignements personnels — voir Paramètres → À propos.