⚠️ Version provisoire (v1.0) — la version finale est en cours de rédaction avec un avocat spécialisé en protection des renseignements personnels au Québec. Pour toute question urgente, contactez privacy@rexaiconseil.com.

Politique de confidentialité

Dernière mise à jour : 2026-05-05 (v1.0)

1. Qui sommes-nous

RexAI Conseil (« nous », « notre ») est une entreprise québécoise éditrice de la plateforme SaaS RexAI accessible à https://app.rexaiconseil.com. Nous opérons sous le droit applicable au Québec, notamment la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP, RLRQ chapitre P-39.1) telle que modernisée par la Loi 25.

2. Renseignements personnels collectés

Nous collectons les catégories suivantes de renseignements personnels :

• Identifiants de compte : adresse courriel, nom, mot de passe (haché avec bcrypt, jamais stocké en clair).
• Métadonnées d'utilisation : date de dernière connexion, adresse IP, user-agent du navigateur (à des fins de sécurité et journal d'audit).
• Contenu utilisateur : organisations, objectifs stratégiques, projets, tâches, indicateurs SMART, commentaires que vous saisissez.
• Communications par courriel : courriels sortants (point du jour) et entrants (réponses au point du jour, requêtes IA par courriel).
• Interactions IA : prompts envoyés à l'IA, réponses reçues, actions appliquées.
• Consentements : registre horodaté des consentements donnés (CGU, politique de confidentialité, opt-in IA).

3. Finalités de la collecte

• Fournir et maintenir le service (gestion stratégique de votre organisation)
• Authentifier votre compte et sécuriser l'accès à vos données
• Vous envoyer votre point du jour et les notifications d'activité demandées
• Permettre l'analyse IA de vos données de gestion (avec votre consentement explicite)
• Répondre à vos demandes d'assistance
• Respecter nos obligations légales (Loi 25, PIPEDA, fiscalité)

4. Base légale du traitement

Le traitement repose sur votre consentement explicite (LPRPSP art. 14) au moment de l'inscription. Vous pouvez retirer votre consentement à tout moment en supprimant votre compte (voir section 9).

5. Conservation des données

• Compte actif : conservées tant que votre compte existe.
• Compte supprimé : anonymisation immédiate des identifiants (courriel, nom). Les enregistrements opérationnels (objectifs, projets, tâches que vous avez créés) restent dans les organisations dont vous étiez membre, mais sans rattachement nominatif.
• Logs courriels et IA : 1 an pour audit.
• Registre des incidents de sécurité : 5 ans (obligation légale).

6. Communication à des tiers (sous-processeurs)

Nous utilisons des sous-processeurs pour héberger l'application, envoyer/recevoir des courriels, exécuter les analyses IA et stocker les données. La liste à jour est publiée sur notre page sous-processeurs. Tous nos sous-processeurs sont liés par contrat (Data Processing Agreement) à des standards de protection des renseignements personnels équivalents.

7. Transferts hors-Québec

Plusieurs de nos sous-processeurs (Vercel, Neon, OpenAI, Resend) sont situés aux États-Unis. Nous avons effectué une évaluation préalable conformément à l'article 17 LPRPSP et avons conclu que la combinaison des clauses contractuelles et des mesures techniques (chiffrement en transit et au repos, contrôle d'accès) offre une protection adéquate. Vous serez informé·e de tout changement matériel.

8. Décisions automatisées

Notre module d'intelligence artificielle peut prendre des décisions de manière exclusivement automatisée (ex: appliquer une mise à jour de statut de tâche suite à votre courriel de réponse). Conformément à l'article 12.1 LPRPSP, vous disposez du droit :

• D'être informé·e de l'existence de tels traitements (signalés dans la page Suivi IA)
• De connaître les raisons et facteurs ayant mené à la décision
• De faire des observations
• De demander la correction des renseignements utilisés
• De refuser/réviser une décision (bouton "Rejeter" sur les propositions IA)

9. Vos droits

Vous disposez en tout temps des droits suivants :

• Droit d'accès : exporter toutes vos données via /settings/privacy (réponse instantanée).
• Droit de correction : modifier directement votre profil, ou faire une demande pour les RP non éditables.
• Droit à l'oubli : supprimer votre compte (anonymisation immédiate des identifiants).
• Droit à la portabilité : recevoir vos données dans un format structuré (JSON).
• Droit de retirer le consentement à un traitement spécifique (ex: opt-out IA).
• Droit de plainte auprès de la Commission d'accès à l'information du Québec.

10. Sécurité

Nous appliquons des mesures techniques et organisationnelles pour protéger vos données : chiffrement TLS en transit, chiffrement au repos par les fournisseurs (AWS), authentification bcrypt avec sel par compte, journaux d'audit, contrôle d'accès multi-tenant, vérification des signatures de webhooks (Svix). Voir aussi notre page sécurité (à venir).

11. Notification d'incident

En cas d'incident de confidentialité présentant un « risque sérieux de préjudice » (LPRPSP art. 3.5), nous notifierons sans délai la Commission d'accès à l'information du Québec et les personnes concernées, conformément à la loi.

12. Coordonnées du Responsable de la protection des RP

13. Modifications de cette politique

Toute modification matérielle de cette politique sera notifiée aux utilisateurs par courriel et dans l'application avant son entrée en vigueur. Vous serez invité·e à donner un nouveau consentement à votre prochaine connexion.