Politique de confidentialitéPrivacy Policy

1. Qui nous sommes1. Who we are

La présente politique s'applique au service Alinova, exploité par Alinova Inc. (« nous », « notre »), société par actions constituée selon les lois du Québec, ayant un établissement à Brossard (Québec), Canada (adresse postale complète disponible sur demande écrite), immatriculée au Registre des entreprises du Québec sous le NEQ 1181341117. This policy applies to the Alinova service, operated by Alinova Inc. ("we", "our"), a corporation incorporated under the laws of Quebec, with a place of business in Brossard (Quebec), Canada (full mailing address available upon written request), registered with the Quebec Enterprise Register under NEQ 1181341117.

2. Renseignements collectés2. Information we collect

2.1 Données de compte2.1 Account data

Lors de la création de votre compte ou du lancement d'un audit : nom, courriel professionnel, nom de l'organisation, langue de préférence, pays. Ces renseignements sont fournis directement par vous. When you create an account or run an audit: name, work email, organization name, preferred language, country. You provide this data directly.

2.2 Données techniques d'audit Microsoft 3652.2 Microsoft 365 audit technical data

Avec votre consentement administrateur, nous récupérons via l'API Microsoft Graph : With your admin consent, we retrieve via the Microsoft Graph API:

• Les rôles d'administration et les méthodes d'authentification (MFA) des comptes administrateursAdmin roles and the authentication methods (MFA) of administrator accounts
• La liste des utilisateurs (identifiants, dates de connexion, statut MFA) — jamais le contenu de leurs courriels ou fichiersUser list (IDs, sign-in dates, MFA status) — never the content of their emails or files
• Le nom de votre organisation et l'identifiant de votre tenantYour organization name and tenant ID
• Les métadonnées de partage des fichiers SharePoint et OneDrive (nom du fichier, lien, type d'accès) — jamais le contenu des fichiersSharePoint and OneDrive file sharing metadata (file name, link, access type) — never the file contents
• La configuration DNS publique du domainePublic DNS configuration of the domain
• La liste des applications OAuth tierces ayant un consentementList of consented third-party OAuth apps

2.3 Données techniques de navigation2.3 Browsing data

Adresse IP (anonymisée dans les 30 jours), type de navigateur, pages visitées, durée de session, source de la visite. Voir la section Témoins. IP address (anonymized within 30 days), browser type, pages visited, session duration, traffic source. See Cookies section.

2.4 Données de facturation2.4 Billing data

Si vous achetez un rapport, les données de paiement sont traitées par Stripe Inc. — nous ne stockons pas votre numéro de carte. Nous conservons uniquement les informations de facturation requises par la loi (nom, adresse, montant, date, numéro de transaction). If you purchase a report, payment data is processed by Stripe Inc. — we do not store your card number. We retain only the billing information required by law (name, address, amount, date, transaction ID).

2.5 Avis clients2.5 Customer reviews

Si vous laissez un avis depuis votre rapport : note, commentaire et, si vous les indiquez, nom, entreprise et poste. L'avis n'est publié sur alinova.ca que si vous cochez la case de consentement et après validation par Alinova ; sinon il reste privé et sert uniquement à améliorer le service. Aucune donnée de votre tenant n'est jointe à l'avis. If you leave a review from your report: rating, comment and, if you provide them, name, company and role. The review is published on alinova.ca only if you tick the consent box and after Alinova approves it; otherwise it stays private and is used only to improve the service. No data from your tenant is attached to the review.

3. Finalités d'utilisation3. How we use it

DonnéeData	FinalitéPurpose
Compte + auditAccount + audit	Fournir le service (générer et afficher le rapport, produire le PDF)Deliver the service (generate and display the report, produce the PDF)
CourrielEmail	Répondre à vos demandes envoyées via le formulaire de contactReply to requests sent through the contact form
Données techniques de navigationBrowsing data	Mesurer l'usage du site, détecter les abus, améliorer l'expérienceMeasure site usage, detect abuse, improve UX
FacturationBilling	Émettre les factures, respecter nos obligations fiscalesIssue invoices, meet tax obligations

Nous ne vendons jamais vos renseignements personnels à des tiers. Nous ne les utilisons pas pour faire de la publicité comportementale. We never sell your personal information to third parties. We do not use it for behavioral advertising.

4. Bases légales du traitement4. Legal basis

Selon votre juridiction, nous traitons vos données sur la base de : Depending on your jurisdiction, we process data on the basis of:

• Exécution du contratPerformance of contract — pour fournir le service souscritto deliver the requested service
• ConsentementConsent — pour l'audit Microsoft 365 (consentement admin) et les communications marketingfor the Microsoft 365 audit (admin consent) and marketing communications
• Intérêt légitimeLegitimate interest — pour la sécurité du service et l'amélioration produitfor service security and product improvement
• Obligation légaleLegal obligation — pour la facturation et la comptabilitéfor billing and accounting

5. Sous-traitants5. Sub-processors

Nous faisons appel à des prestataires soigneusement sélectionnés. Tous sont liés par un accord de traitement des données : We rely on carefully selected providers, each bound by a data processing agreement:

PrestataireProvider	RôleRole	LocalisationLocation
Microsoft	API Graph (lecture du tenant)Graph API (tenant read)	Région de votre tenant Microsoft 365 (Alinova ne déplace aucune donnée)Your Microsoft 365 tenant region (Alinova moves no data)
Supabase	Base de données (résultats d'audit, avis clients)Database (audit results, customer reviews)	Canada (Montréal)
Vercel	Hébergement de l'application (traitement à Montréal ; réseau de diffusion mondial)Application hosting (processing in Montreal; global content delivery network)	Canada (Montréal)Canada (Montreal)
Stripe	Traitement des paiements (achat d'un rapport seulement)Payment processing (report purchase only)	US
Resend	Envoi des courriels transactionnels (confirmation d'achat, lien d'accès au rapport)Transactional email delivery (purchase confirmation, report access link)	US
Formspree	Réception des messages du formulaire de contactContact form message delivery	US
Plausible	Mesure d'audience anonyme du siteAnonymous site analytics	Union européenne (Allemagne)European Union (Germany)

6. Communication hors Québec6. Transfers outside Quebec

Les résultats de vos audits sont hébergés et traités au Canada. Certaines données transitent hors du Québec dans des cas précis : les messages du formulaire de contact (Formspree, États-Unis), les paiements (Stripe, États-Unis), les courriels de confirmation d'achat (Resend, États-Unis) et la mesure d'audience anonyme (Plausible, Union européenne). Conformément à l'article 17 de la Loi 25, nous évaluons chacun de ces transferts et exigeons des protections équivalentes par contrat. Your audit results are hosted and processed in Canada. Some data leaves Quebec in specific cases: contact form messages (Formspree, United States), payments (Stripe, United States), purchase confirmation emails (Resend, United States) and anonymous analytics (Plausible, European Union). Per Quebec Law 25 section 17, we assess each of these transfers and require equivalent protections by contract.

Vous pouvez nous demander, via notre formulaire de contact (catégorie « Vie privée / Loi 25 »), l'évaluation de tout transfert spécifique vous concernant. You can request an evaluation of any specific transfer concerning you via our contact form (category "Privacy / Law 25").

7. Durées de conservation7. Retention

• Données brutes lues dans votre tenant : non conservées. Le jeton d'accès Microsoft est détruit dès la fin de l'analyse.Raw data read from your tenant: not retained. The Microsoft access token is discarded as soon as the analysis ends.
• Résultats d'audit gratuit (score, constats, y compris les noms des comptes concernés et les liens des fichiers partagés) : supprimés automatiquement 24 heures après l'audit. Téléchargez le PDF pour conserver votre rapport.Free audit results (score, findings, including the names of affected accounts and the links of shared files): automatically deleted 24 hours after the audit. Download the PDF to keep your report.
• Rapports complets payés : conservés 12 mois, pour que vous puissiez retélécharger votre PDF, puis supprimés automatiquement.Paid full reports: kept for 12 months so you can re-download your PDF, then automatically deleted.
• Avis clients : conservés tant qu'ils sont publiés ou utiles à l'amélioration du service ; retrait sur simple demande via le formulaire de contact.Customer reviews: kept as long as they are published or useful to improve the service; removed on request through the contact form.
• Suppression anticipée : sur demande via le formulaire de contact, sous 30 jours.Early deletion: on request through the contact form, within 30 days.
• Messages du formulaire de contact : conservés le temps de traiter votre demande.Contact form messages: kept for as long as needed to handle your request.
• Factures : 6 ans (obligation fiscale au Canada).Invoices: 6 years (Canadian tax obligation).
• Journaux techniques : 90 jours.Technical logs: 90 days.

8. Sécurité des données8. Data security

• Chiffrement TLS 1.3 pour toutes les communicationsTLS 1.3 encryption for all communications
• Chiffrement au repos AES-256 sur les bases de donnéesAES-256 encryption at rest on databases
• Authentification à deux facteurs obligatoire pour tout accès employéTwo-factor authentication required for all employee access
• Principe du moindre privilège pour les accès internesPrinciple of least privilege for internal access
• Journalisation et audits trimestriels des accèsLogging and quarterly access audits
• Procédure de notification d'incident sous 72 h (Loi 25, RGPD)72-hour breach notification procedure (Law 25, GDPR)

9. Vos droits9. Your rights

Que vous soyez au Québec (Loi 25), ailleurs au Canada (LPRPDE) ou dans l'UE (RGPD), vous disposez des droits suivants : Whether you are in Quebec (Law 25), elsewhere in Canada (PIPEDA), or in the EU (GDPR), you have the following rights:

• AccèsAccess — obtenir une copie de vos renseignementsget a copy of your data
• RectificationRectification — corriger des données inexactes ou incomplètescorrect inaccurate or incomplete data
• Désindexation / suppressionErasure — demander l'effacement (sous réserve de nos obligations légales)request deletion (subject to our legal obligations)
• PortabilitéPortability — recevoir vos données dans un format structuréreceive your data in a structured format
• Retrait du consentementWithdraw consent — à tout moment, sans affecter la licéité du traitement antérieurat any time, without affecting the lawfulness of prior processing
• Limitation et oppositionRestriction & objection — vous opposer à certains traitementsobject to certain processing

Pour exercer ces droits : utilisez notre formulaire de contact en sélectionnant « Vie privée / Loi 25 ». Nous répondons sous 30 jours. To exercise these rights: use our contact form and select "Privacy / Law 25". We respond within 30 days.

10. Témoins (cookies)10. Cookies

Nous utilisons un nombre minimal de témoins, gérés via notre bannière de consentement affichée à votre première visite : We use a minimal set of cookies, managed via the consent banner shown on your first visit:

• Témoins strictement nécessaires : préférence de langue et de devise, choix de consentement aux témoins (stockés localement dans votre navigateur, jamais envoyés à des tiers)Strictly necessary: language and currency preference, cookie consent choice (stored locally in your browser, never sent to third parties)
• Mesure d'audience anonyme : Plausible Analytics — sans suivi inter-sites, sans empreinte numérique, sans cookie de pistage. Bien que Plausible ne requière pas techniquement de consentement, nous demandons votre choix par transparence.Anonymous analytics: Plausible Analytics — no cross-site tracking, no fingerprinting, no tracking cookies. Although Plausible technically does not require consent, we ask for your choice out of transparency.

Votre choix de consentement est conservé localement avec la date de la décision. Vous pouvez modifier votre choix à tout moment en vidant le stockage local de votre navigateur pour notre site, ou via notre formulaire de contact. Your consent choice is stored locally along with the decision date. You can update your choice at any time by clearing your browser's local storage for our site, or via our contact form.

11. Décisions automatisées11. Automated decisions

Le score de sécurité et les recommandations sont générés automatiquement à partir de règles documentées. Aucune décision juridiquement opposable n'est prise par notre système sur la base de ce score. Vous pouvez demander une explication détaillée de la méthodologie via notre formulaire de contact. The security score and recommendations are generated automatically from documented rules. No legally binding decision is made by our system based on this score. You can request a detailed methodology via our contact form.

12. Mineurs12. Minors

Le service est destiné exclusivement aux organisations. Nous ne collectons sciemment aucune donnée concernant des personnes de moins de 14 ans (Québec) ou de moins de 16 ans (UE). The service is intended for organizations only. We do not knowingly collect data about individuals under 14 (Quebec) or under 16 (EU).

13. Modifications13. Changes

Toute modification substantielle de cette politique sera publiée sur cette page au moins 30 jours avant son entrée en vigueur. La version en vigueur est toujours datée en haut de cette page. Any substantial change to this policy will be published on this page at least 30 days before taking effect. The current version is always dated at the top of this page.

14. Comment porter plainte14. How to file a complaint

Si nous n'avons pas répondu de manière satisfaisante : If we have not responded satisfactorily:

• Au QuébecIn Quebec : Commission d'accès à l'information du Québec (CAI)
• Ailleurs au CanadaElsewhere in Canada : Commissariat à la protection de la vie privée du Canada
• Union européenneEuropean Union : l'autorité de contrôle de votre pays (CNIL en France)the supervisory authority of your country (CNIL in France)