Politique de confidentialité

1. Qui est responsable de vos renseignements

9575-2499 Québec inc., société constituée au Québec, Canada, faisant affaire sous le nom de Maxel Ledger, est responsable des renseignements traités par le logiciel.

Conformément à la Loi sur la protection des renseignements personnels dans le secteur privé, la personne responsable de la protection des renseignements personnels est le plus haut dirigeant de la société. Pour toute question, demande d'accès ou de rectification, écrivez à maxelledger@gmail.com.

2. Deux rôles à ne pas confondre

Maxel Ledger est vendu à des entreprises de livraison. L'entreprise cliente décide quelles données elle saisit et pourquoi : elle en demeure responsable. Maxel Ledger héberge et traite ces données pour son compte, selon ses instructions, et ne s'en sert pour aucune finalité qui lui serait propre.

Si vous êtes chauffeur ou employé d'une entreprise utilisant Maxel Ledger, c'est à cette entreprise qu'il faut adresser vos demandes d'accès ou de rectification. Nous l'assisterons pour y répondre.

3. Ce que nous recueillons

Comptes : nom, adresse de courriel, rôle et mot de passe. Les mots de passe ne sont jamais conservés en clair : seule une empreinte cryptographique est stockée.

Données d'exploitation saisies par l'entreprise cliente : chauffeurs, véhicules, affectations, clients, factures, dépenses, entretiens, contraventions, courrier et documents numérisés. Ces contenus proviennent du client, pas de nous.

Journal de signature : lors de l'acceptation de l'entente de service, nous consignons le nom du signataire, sa fonction, son courriel, la date et l'heure, l'adresse IP et le navigateur utilisés, ainsi que l'empreinte des textes acceptés. Ce journal sert uniquement de preuve de l'entente.

Journaux techniques : adresse IP et horodatage des connexions et des actions sensibles, conservés pour la sécurité et la traçabilité.

Paramètres techniques : réglages de messagerie sortante de l'entreprise. Les mots de passe de messagerie et les jetons d'accès sont chiffrés avant d'être enregistrés.

Nous n'utilisons ni traceurs publicitaires, ni revente de données, ni profilage à des fins de marketing. Nous ne recueillons aucun renseignement bancaire par le logiciel.

4. Témoins (cookies)

Le site maxelledger.com n'utilise aucun témoin : aucune mesure d'audience, aucun traceur.

L'application app.maxelledger.com utilise uniquement des témoins strictement nécessaires à son fonctionnement : le jeton de session qui vous garde connecté, le jeton de protection contre la falsification de requêtes, et une préférence d'affichage conservée dans votre navigateur. Ces témoins ne servent pas à vous suivre et ne sont transmis à aucun tiers. Comme ils sont indispensables au service, ils ne requièrent pas de consentement ; nous vous en informons par une bannière lors de votre première visite.

5. Accès à Google Drive : ce que le logiciel peut, et ce qu'il ne peut pas

Lorsqu'une entreprise cliente relie son compte Google, Maxel Ledger demande une seule autorisation d'accès aux fichiers, appelée « drive.file ». C'est la portée la plus étroite offerte par Google : le logiciel ne voit que les fichiers qu'il a lui-même créés. Le reste du Drive demeure invisible pour Maxel Ledger, qui ne peut ni le lire, ni le lister, ni le modifier, ni le supprimer. C'est une limite imposée par Google, que nous ne pouvons pas contourner.

Les documents classés sont déposés sur le Drive de l'entreprise cliente, dans le dossier qu'elle a choisi. Ils lui appartiennent et lui restent accessibles même si elle cesse d'utiliser Maxel Ledger. Une fois le document déposé sur son Drive, nous l'effaçons de notre base.

Les jetons d'accès Google sont chiffrés au repos. L'entreprise peut révoquer l'autorisation à tout moment, depuis Maxel Ledger ou depuis les paramètres de sécurité de son compte Google.

Usage limité : l'utilisation que Maxel Ledger fait des renseignements reçus des interfaces de programmation de Google respecte la politique relative aux données utilisateur des services d'API Google, y compris ses exigences d'usage limité. Ces données servent uniquement à fournir les fonctionnalités demandées par le client, ne sont jamais vendues ni utilisées à des fins publicitaires, et aucun humain ne les consulte, sauf accord explicite du client pour résoudre un incident, ou lorsque la loi l'exige.

6. La lecture des documents se fait chez nous

Maxel Ledger extrait automatiquement les informations utiles d'un document numérisé : montant, date, numéro de référence, immatriculation. Cette lecture est effectuée par des traitements exécutés sur nos propres serveurs.

Vos documents ne sont transmis à aucun service d'intelligence artificielle externe ni à aucun sous-traitant d'analyse tiers. Ils ne servent à entraîner aucun modèle.

7. Où vos données sont hébergées et qui y touche

L'application s'exécute chez Vercel, dans sa région de Montréal (Canada), et la base de données est hébergée chez Supabase, dans la région Canada (Central) d'Amazon Web Services, à Montréal. Ces fournisseurs agissent comme sous-traitants : ils hébergent, ils n'exploitent pas.

Certaines opérations ont lieu hors du Québec et nous vous le disons clairement : la construction des nouvelles versions du logiciel (sans aucune donnée client) sur les serveurs de Vercel aux États-Unis ; l'acheminement chiffré des requêtes par le réseau de diffusion de Vercel ; l'envoi des courriels transactionnels (accès, mots de passe, factures, copies de l'entente) par Google ; et les copies de sauvegarde chiffrées de la base, déposées sur Google Drive, dont l'emplacement est déterminé par Google. Ces communications hors Québec font l'objet de l'évaluation prévue à l'article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé, tenue à jour par la personne responsable ; les fournisseurs visés sont liés par des engagements contractuels de protection.

Les échanges avec l'application sont chiffrés en transit (HTTPS). Chaque entreprise est cloisonnée : l'isolation est appliquée au cœur de l'application, sur chaque requête, et par des règles de sécurité au niveau de la base de données.

8. Durée de conservation

Les données sont conservées tant que l'entreprise cliente utilise le service. À la fin de l'entente, elle dispose de trente (30) jours pour exporter ses données, après quoi elles sont supprimées de nos systèmes actifs. Les copies de sauvegarde sont écrasées selon leur cycle habituel (trente jours).

Le journal de signature de l'entente et les factures sont conservés le temps prescrit par la loi (sept ans à des fins fiscales). Les documents déjà déposés sur le Drive du client ne sont pas touchés : ils sont chez lui, et le restent.

9. Vos droits

Selon la législation québécoise sur la protection des renseignements personnels et la loi fédérale applicable, vous pouvez demander l'accès à vos renseignements, leur rectification, leur suppression, ou le retrait de votre consentement.

Adressez votre demande à maxelledger@gmail.com. Nous y répondons dans un délai de trente (30) jours. Si la demande concerne des données saisies par une entreprise cliente, nous la transmettons à celle-ci et l'aidons à y donner suite. Vous pouvez aussi porter plainte auprès de la Commission d'accès à l'information du Québec ou du Commissariat à la protection de la vie privée du Canada.

10. Incidents de confidentialité

En cas d'incident présentant un risque sérieux de préjudice, nous avertissons les entreprises clientes concernées ainsi que la Commission d'accès à l'information, dans les délais prévus par la loi, et nous consignons l'incident dans un registre.

11. Modifications

Toute modification substantielle de cette politique est annoncée aux entreprises clientes par courriel avant son entrée en vigueur et leur est soumise pour acceptation. La date figurant en tête indique la version applicable.