Politique de confidentialité.

La présente politique de confidentialité explique les renseignements personnels que invup recueille, pourquoi, à qui nous les communiquons, et les choix qui s'offrent à vous. Elle s'applique au site web de invup à l'adresse invup.me, au produit à l'adresse app.invup.me, et à tout autre produit ou service que nous fournissons qui renvoie à la présente politique.

invup est exploité par INVUP INC., une société constituée en Ontario, au Canada. Dans la présente politique, « invup », « nous » et « notre » désignent INVUP INC.

À qui s'adresse la présente politique#

invup sert trois types de personnes :

• Membres — les personnes qui s'inscrivent pour utiliser invup afin de gérer leur entreprise de services (la firme).
• Clients — les clients de la firme, qui peuvent recevoir des factures de invup au nom de la firme et les payer par l'intermédiaire de notre portail client.
• Visiteurs — les personnes qui visitent invup.me sans s'inscrire.

Pour les membres et les visiteurs, nous sommes le responsable du traitement de vos renseignements personnels — nous décidons ce que nous recueillons et pourquoi. Pour les clients, la firme est le responsable et nous agissons à titre de sous-traitant selon les instructions de la firme. Si vous êtes un client et souhaitez exercer des droits relatifs aux renseignements personnels que la firme a saisis à votre sujet, veuillez communiquer directement avec la firme. Nous l'aiderons à vous répondre.

Ce que nous recueillons#

Nous ne recueillons que ce qui est nécessaire pour faire fonctionner le produit et l'entreprise.

Auprès des membres, lorsque vous vous inscrivez et utilisez invup :

• Votre nom, votre courriel et un mot de passe (stocké sous forme de hachage, jamais en clair).
• Le nom, l'adresse, la devise, le fuseau horaire, les jours ouvrables et le logo de votre organisation.
• Les détails de votre abonnement — forfait, nombre de sièges, cycle de facturation, historique de facturation et un jeton de mode de paiement émis par Stripe. Nous ne voyons ni ne stockons votre numéro de carte.
• Le travail que vous consignez dans invup — entrées de temps, projets, services, tarifs, clients que vous ajoutez, factures que vous créez.
• Si vous connectez Slack, les identifiants et les jetons nécessaires pour envoyer les invitations quotidiennes et accepter les commandes par barre oblique.
• Des journaux d'activité concernant les actions importantes, avec horodatage et adresse IP, à des fins de sécurité et d'audit.

Auprès des clients, au nom de la firme :

• Tout ce que la firme saisit à votre sujet — nom, organisation, courriel, téléphone, adresse, contacts supplémentaires.
• Les factures que la firme vous envoie et l'état de votre paiement. Si vous payez par l'intermédiaire du portail client, Stripe enregistre le paiement et nous enregistrons uniquement l'identifiant d'intention de paiement, le montant et l'état.
• Les événements de remise de courriel (livré, retourné, ouvert) pour les factures que nous vous envoyons, retournés par notre fournisseur de courriel.

Auprès des visiteurs du site invup.me :

• Rien au-delà de ce qui est strictement nécessaire pour servir la page. Nous n'utilisons ni outils d'analyse, ni pixels de marketing, ni traceurs publicitaires sur notre site marketing.

Automatiquement, lorsque vous utilisez l'application :

• Journaux du serveur — chemins des requêtes, horodatages, adresse IP, agent utilisateur.
• Métadonnées de session et horodatages de « dernière connexion » pour la sécurité du compte.
• Rapports d'erreurs lorsque quelque chose ne fonctionne pas, afin que nous puissions le corriger.

Ce que nous ne recueillons pas#

Nous ne recueillons pas de pièces d'identité gouvernementales, de renseignements sur la santé, de données biométriques ni de renseignements concernant des enfants. invup est un outil professionnel et ne s'adresse pas aux enfants de moins de 13 ans; nous n'acceptons pas sciemment d'inscriptions de leur part. Si vous croyez qu'un enfant s'est inscrit, communiquez avec nous et nous fermerons le compte et supprimerons les données.

Comment nous utilisons ce que nous recueillons#

• Pour faire fonctionner le produit — vous authentifier, afficher l'espace de travail, suivre le temps, générer et envoyer les factures, accepter les paiements.
• Pour vous facturer — traiter les paiements d'abonnement par l'intermédiaire de Stripe et envoyer les reçus.
• Pour vous soutenir — répondre à vos questions et vous aider à récupérer votre accès.
• Pour assurer la sécurité du produit — détecter les abus, enquêter sur les incidents, faire respecter nos modalités de service.
• Pour améliorer le produit — comprendre quelles fonctionnalités sont utilisées et où les choses se brisent. Nous ne vendons pas vos données et nous ne les utilisons pas pour entraîner des modèles d'apprentissage automatique sans votre demande.
• Pour respecter nos obligations légales — registres fiscaux, comptabilité, réponses aux demandes légales.

Nous nous appuyons sur les bases juridiques de l'exécution du contrat, sur nos intérêts commerciaux légitimes, et sur votre consentement lorsque le consentement est requis. Au Québec, nous nous appuyons sur votre consentement pour la collecte et l'utilisation de renseignements personnels comme l'exige la Loi 25.

Les plateformes sur lesquelles invup fonctionne#

invup est bâti sur l'infrastructure exploitée par d'autres entreprises, généralement appelée services infonuagiques. Vos renseignements personnels résident sur ces plateformes en tant qu'élément nécessaire au fonctionnement du produit — elles les traitent en notre nom, selon nos instructions, et aux seules fins de faire fonctionner invup pour vous. Elles ne sont pas des destinataires distincts de vos données. Chacune est énumérée ci-dessous, avec ce qu'elle traite et où elle le traite.

Fournisseur de services	Finalité	Lieu de traitement
Railway Corp.	Hébergement de l'application invup — le serveur principal, le portail client, le service PDF et la base de données de production	États-Unis
Amazon Web Services, Inc.	Sauvegardes chiffrées de la base de données, fichiers statiques (ressources de l'application compilée, fichiers téléversés tels que logos et factures PDF)	Canada (région de Montréal)
Stripe, Inc.	Traitement des paiements pour les abonnements et les factures des clients	États-Unis
Slack Technologies, LLC	Intégration Slack, lorsque vous choisissez de la connecter	États-Unis
Postmark (ActiveCampaign, LLC)	Envoi de courriels transactionnels et de courriels de factures	États-Unis

Quand nous pouvons divulguer des renseignements personnels#

Nous pouvons divulguer des renseignements personnels lorsque la loi l'exige, en réponse à une demande légale valide, pour défendre nos droits légaux, ou dans le cadre d'une opération d'entreprise telle qu'une fusion ou une acquisition. Si une opération d'entreprise devait changer qui contrôle vos renseignements personnels, nous vous en aviserons à l'avance.

Nous ne vendons pas vos renseignements personnels. Nous ne les divulguons pas à des annonceurs.

Où vos données résident, et la réalité transfrontalière#

L'application invup — le serveur principal qui fait fonctionner le produit, le portail client, le service qui transforme les factures en PDF et la base de données de production — est hébergée aux États-Unis par Railway. Les autres fournisseurs de services énumérés ci-dessus traitent également des données aux États-Unis. Nos sauvegardes chiffrées de la base de données et nos fichiers statiques (ressources de l'application compilée, fichiers téléversés tels que logos et factures PDF) sont stockés au Canada (Montréal) chez AWS.

Concrètement, cela signifie que vos renseignements personnels sont principalement stockés et traités aux États-Unis aujourd'hui, l'empreinte canadienne se limitant aux sauvegardes et aux fichiers statiques. Ils sont assujettis aux lois de ces deux juridictions, y compris à des lois américaines qui peuvent permettre un accès gouvernemental différent du droit canadien.

Nous avons l'intention de déplacer la couche applicative en service vers une infrastructure résidant au Canada au fil du temps. D'ici à ce que ce changement soit complet, c'est l'état honnête des choses.

Combien de temps nous les conservons#

• Comptes actifs : aussi longtemps que votre compte est ouvert.
• Données du forfait gratuit : le produit masque les enregistrements plus anciens que 30 jours et les supprime après 189 jours, conformément aux limites du forfait gratuit.
• Comptes résiliés : nous conservons vos données pendant 30 jours après la résiliation pour que vous puissiez changer d'avis. Après cela, nous les supprimons ou les anonymisons, sauf pour les registres que nous devons conserver à des fins fiscales, comptables ou légales (généralement jusqu'à sept ans).
• Sauvegardes : les copies dans nos sauvegardes expirent selon le calendrier de conservation des sauvegardes et ne sont pas utilisées activement.

Si vous souhaitez que vos données soient supprimées plus tôt, communiquez avec nous à l'adresse ci-dessous.

Vos droits et choix#

Vous pouvez :

• Accéder aux renseignements personnels que nous détenons à votre sujet.
• Corriger ce qui est inexact — la plupart des champs sont modifiables directement dans le produit; pour les autres, communiquez avec nous.
• Exporter vos données — les factures et les entrées de temps sont exportables à partir du produit; pour une exportation plus large, communiquez avec nous.
• Supprimer votre compte et les renseignements personnels qui y sont associés, sous réserve des exceptions de conservation ci-dessus.
• Retirer votre consentement à tout traitement qui dépend du consentement. Certains retraits feront en sorte que nous ne pourrons plus vous fournir le produit.
• Porter plainte auprès d'un organisme de réglementation en matière de vie privée. Au Canada, il s'agit du Commissariat à la protection de la vie privée du Canada; au Québec, de la Commission d'accès à l'information du Québec; dans votre province, votre organisme provincial.

Pour faire une demande, écrivez-nous à l'adresse indiquée dans la section Pour nous joindre. Nous répondons dans les 30 jours. Si nous ne le pouvons pas, nous vous dirons pourquoi et quand nous prévoyons le faire.

Si vous êtes au Québec, vous avez également le droit d'être informé de toute décision automatisée qui vous affecte de manière importante. Nous n'utilisons pas actuellement de prise de décision automatisée en ce sens — les décisions concernant votre compte sont prises par des personnes, et non par des algorithmes.

Si vous êtes un client (et non un membre) et souhaitez exercer des droits sur des renseignements que la firme a saisis, veuillez communiquer avec la firme. C'est elle qui est responsable du traitement de ces renseignements. Nous l'aiderons à vous répondre.

Comment nous les protégeons#

Nous utilisons le chiffrement en transit (TLS) et au repos, des contrôles d'accès, la journalisation d'audit et les outils de sécurité fournis par nos fournisseurs d'infrastructure. Les membres sont responsables de la sécurité de leurs identifiants de compte — utilisez un mot de passe fort et unique. Si vous croyez que votre compte a été compromis, communiquez avec nous immédiatement.

Aucun système n'est parfaitement sécuritaire. Si un incident de sécurité touche vos renseignements personnels, nous vous en aviserons ainsi que les organismes de réglementation concernés comme l'exigent la LPRPDE, la Loi 25 du Québec et toute autre loi applicable.

Témoins et technologies similaires#

Le produit utilise les témoins (« cookies ») dont il a besoin pour vous garder connecté et pour que l'application fonctionne — ce qu'on appelle communément les témoins « strictement nécessaires ». Le site marketing n'utilise pas de témoins de marketing ou d'analyse. Si cela change, nous mettrons à jour la présente politique et publierons un avis clair sur le site.

Modifications à la présente politique#

Lorsque nous modifions la présente politique, nous mettrons à jour la mention « En vigueur » au haut et publierons la modification à l'adresse invup.me/privacy. Si la modification est importante — une nouvelle catégorie de données, un nouveau sous-traitant qui traite une nouvelle catégorie de données, un changement dans le traitement transfrontalier — nous vous en aviserons à l'avance dans un délai raisonnable, y compris par courriel lorsque cela est approprié.

Pour nous joindre#

Questions, demandes ou plaintes concernant vos renseignements personnels :

INVUP INC. A/s : Responsable de la protection des renseignements personnels Courriel : privacy@invup.me

Nous répondons dans les 30 jours.