Politique de confidentialité

Date d'entrée en vigueur : 1er janvier 2026

La présente politique explique comment Technologies Smartbills inc. (« Smartbills », « nous ») traite les renseignements personnels lorsque vous utilisez nos sites Web, nos applications Web et mobiles, nos API et notre serveur MCP, notre réseau de reçus numériques, ou lorsque vous faites affaire avec nous à titre de client, de partenaire, de candidat ou de client potentiel.

Nous l'avons rédigée pour respecter les lois qui s'appliquent à nous en 2026, notamment la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada, la Loi sur la protection des renseignements personnels dans le secteur privé du Québec telle que modifiée par la Loi 25, les lois sur la protection des renseignements personnels dans le secteur privé de l'Alberta et de la Colombie-Britannique, la Loi canadienne anti-pourriel (LCAP), le Règlement général sur la protection des données de l'Union européenne (RGPD), le RGPD du Royaume-Uni et la Data Protection Act 2018, le California Consumer Privacy Act tel que modifié par le CPRA (CCPA), ainsi que les lois sur la protection de la vie privée des autres États américains, dans la mesure où elles s'appliquent à nous.

Lorsqu'une loi vous accorde plus de droits que ce que décrit la présente politique, vous bénéficiez de ces droits.

1. En bref#

• Nous exploitons une plateforme financière. Smartbills numérise les reçus et les factures, gère les dépenses, les factures fournisseurs, les paiements et la facturation, et les synchronise avec les logiciels comptables. Ces données concernent souvent des personnes : qui a acheté quoi, où, quand et avec quelle carte.
• Lorsque votre employeur utilise Smartbills, c'est lui qui est responsable de ces données. Nous les traitons pour son compte et selon ses instructions. La section 3 explique ces deux rôles.
• Nous ne conservons jamais les numéros de carte complets. Les connexions bancaires passent par Plaid et les paiements par carte par Stripe, qui gèrent les identifiants.
• Vos données sont hébergées au Canada (Amazon Web Services à Montréal et Microsoft Azure à Toronto). Certains de nos fournisseurs traitent des données aux États-Unis ou ailleurs. La section 9 les énumère et décrit les mesures de protection.
• Nous utilisons l'intelligence artificielle pour lire les documents, suggérer des catégories et des codes comptables, signaler les dépenses non conformes à une politique, et faire fonctionner l'assistant et le serveur MCP. Nous n'entraînons pas de modèles d'IA avec vos données, et nos fournisseurs d'IA ne le peuvent pas non plus. Section 7.
• Nous ne vendons pas de renseignements personnels contre de l'argent. Notre site utilise des témoins publicitaires seulement si vous les acceptez, ce que certaines lois américaines appellent un « partage ». Vous pouvez refuser ou retirer votre consentement en tout temps. Section 10.
• Vous avez des droits, notamment d'accès, de rectification, de suppression, de portabilité et d'opposition. Écrivez à privacy@smartbills.ca. Section 12.

2. Qui nous sommes et comment nous joindre#

Technologies Smartbills inc. est une société constituée au Canada dont le siège est situé au 105, rue Pierre-Mercure, Montréal (Québec) H1A 5S7, Canada.

Personne responsable de la protection des renseignements personnels (Québec) et agent de la protection de la vie privée (LPRPDE) : Sébastien Labine, chef de la direction, privacy@smartbills.ca.

Les personnes de l'Union européenne et du Royaume-Uni peuvent adresser toute demande ou plainte à la même personne.

| Pour | Contact | | --- | --- | | Questions et demandes relatives à la vie privée | privacy@smartbills.ca | | Problèmes de sécurité et signalement de vulnérabilités | security@smartbills.ca | | Aide concernant votre compte et la facturation | support@smartbills.ca | | Par la poste | Technologies Smartbills inc., à l'attention de : Protection des renseignements personnels, 105, rue Pierre-Mercure, Montréal (Québec) H1A 5S7, Canada |

3. Nos deux rôles : responsable et fournisseur de services#

Les lois sur la protection des renseignements personnels traitent une entreprise différemment selon qui décide des fins du traitement.

Lorsque nous agissons pour un client d'affaires (sous-traitant / fournisseur de services). Lorsqu'une organisation s'abonne à Smartbills, elle décide de ce que ses membres téléversent, des boîtes de courriel, comptes bancaires et systèmes comptables qu'elle connecte, ainsi que des politiques et des approbations qui s'appliquent. Les données de son espace de travail (reçus, dépenses, rapports, factures fournisseurs, fournisseurs, factures, clients, transactions bancaires, renseignements sur les employés) sont des Données client. Pour les Données client, l'organisation est le responsable du traitement (au Québec, l'entreprise qui détient les renseignements) et Smartbills agit à titre de sous-traitant, de fournisseur de services ou de mandataire. Nous traitons les Données client uniquement pour fournir le service, selon les instructions documentées du client, conformément à notre entente de traitement des données et aux Conditions générales.

Si vous êtes un employé, un contractuel ou un fournisseur d'un client de Smartbills, adressez d'abord vos demandes concernant vos données à cette organisation. Si vous nous écrivez, nous lui transmettrons votre demande et l'aiderons à y répondre.

Lorsque nous décidons (responsable du traitement). Nous sommes responsables du traitement pour :

• les renseignements de compte et de connexion de toute personne inscrite;
• les renseignements de facturation et d'abonnement;
• les utilisateurs individuels du forfait gratuit ou d'un compte personnel, pour les données de leur propre espace de travail;
• les destinataires de reçus numériques transmis par notre réseau de marchands, lorsque nous livrons et conservons le reçu;
• les visiteurs de nos sites, les abonnés à l'infolettre, les clients potentiels, les contacts d'événements et les personnes qui communiquent avec le soutien;
• les candidats à un emploi;
• les données dépersonnalisées et agrégées que nous créons (section 6).

4. Ce que nous recueillons#

4.1 Renseignements que vous nous fournissez

• Renseignements de compte : nom, adresse courriel professionnelle ou personnelle, numéro de téléphone, mot de passe (conservé uniquement sous forme de hachage salé) ou identité d'authentification unique, langue, fuseau horaire, rôle, service, gestionnaire et photo de profil.
• Renseignements sur l'organisation : dénomination, adresse, numéros d'entreprise (TPS/TVH, TVQ, EIN, TVA), inscriptions fiscales, plan comptable, établissements, services et politiques.
• Documents et dossiers financiers : reçus, factures, factures fournisseurs, relevés, notes de crédit, bons de commande, registres de kilométrage et tout ce que vous téléversez, transférez par courriel ou photographiez, ainsi que les données que nous en extrayons (marchand, date, montants, taxes, lignes de détail, type de moyen de paiement et quatre derniers chiffres, numéros de fidélité ou de membre lorsqu'ils sont imprimés).
• Dépenses et flux de travail : catégories, commentaires, participants, déplacements, budgets, approbations, refus, remboursements et historique d'audit.
• Fournisseurs et clients que vous gérez : noms des personnes-ressources, adresses courriel, adresses, numéros de taxes et coordonnées bancaires pour les paiements.
• Renseignements de paiement : pour votre abonnement, Stripe recueille votre carte ou votre compte bancaire et nous transmet un jeton ainsi que la marque, les quatre derniers chiffres et la date d'expiration. Si vous vous abonnez dans notre application mobile, Apple ou Google traite le paiement et nous indique seulement le statut de votre abonnement. Les coordonnées bancaires que vous inscrivez pour vos fournisseurs ou pour les remboursements sont conservées sous forme chiffrée. Smartbills ne transfère pas d'argent entre des comptes.
• Identifiants de portails : si vous utilisez la récupération de factures, le nom d'utilisateur et le mot de passe des portails de fournisseurs ou de services publics que vous choisissez de connecter. Ils sont conservés dans un coffre-fort de secrets géré, ne sont jamais écrits dans les journaux et ne sont transmis à Deck, notre fournisseur de récupération de factures, que pour se connecter aux portails que vous choisissez.
• Communications : messages au soutien, transcriptions de clavardage, commentaires, réponses aux sondages et enregistrements d'appels de vente ou de soutien lorsque vous êtes avisé que l'appel est enregistré.
• Candidatures : curriculum vitæ, expérience de travail, références et tout autre document que vous nous envoyez.

4.2 Renseignements provenant des services que vous connectez

C'est vous ou votre administrateur qui décidez de ce qui est connecté. Vous pouvez déconnecter un service en tout temps.

• Comptes bancaires et de cartes (Plaid) : noms et types de comptes, numéros masqués, soldes et transactions. Le traitement de vos identifiants par Plaid est décrit dans la politique de confidentialité de Plaid pour les utilisateurs finaux. Nous ne voyons jamais votre mot de passe bancaire.
• Boîtes de courriel (Google Gmail, Microsoft Outlook / Microsoft 365) : nous lisons les messages et les pièces jointes qui semblent être des reçus, des factures ou des factures fournisseurs afin de les importer. Nous ne lisons pas vos messages personnels sans lien avec ce but, à aucune autre fin. Voir la section 8 pour nos engagements envers Google et Microsoft.
• Logiciels comptables et PGI (QuickBooks, Xero, Sage, FreshBooks, NetSuite, SAP, Oracle et autres) : comptes, classes, codes de taxes, fournisseurs, clients et transactions comptabilisées.
• Applications de point de vente, de commerce et de productivité (Shopify, Square, Clover, Lightspeed, Dropbox, Slack et autres) : données de ventes et de reçus, fichiers que vous choisissez d'importer et messages nécessaires pour vous envoyer des notifications.
• Authentification unique et annuaires (Google, Microsoft Entra ID, fournisseurs SAML ou OIDC, SCIM) : nom, adresse courriel, appartenance aux groupes et statut d'emploi.
• Assistants et agents d'IA que vous connectez à notre serveur MCP ou à notre API : les requêtes qu'ils envoient et les résultats que nous retournons.

4.3 Renseignements provenant de marchands et de partenaires

• Reçus numériques : les marchands participants et leurs fournisseurs de points de vente nous transmettent les détails de transaction nécessaires pour émettre votre reçu (magasin, articles, montants, taxes, type de moyen de paiement, numéro de fidélité le cas échéant) et, pour la livraison, votre adresse courriel ou votre numéro de cellulaire.
• Partenaires bancaires : lorsqu'une banque affiche les reçus Smartbills dans sa propre application, elle nous transmet les détails de transaction associés à un identifiant aléatoire. Nous ne recevons pas votre nom de la banque.
• Coordonnées d'affaires : pour le marketing et la vente entre entreprises, nous pouvons obtenir des coordonnées professionnelles (nom, titre, employeur, courriel et téléphone professionnels) auprès de fournisseurs de données, lors d'événements, par recommandation et de sources professionnelles publiques.

4.4 Renseignements recueillis automatiquement

• Données d'appareil et de journalisation : adresse IP, type d'appareil et de navigateur, système d'exploitation, version de l'application, rapports de plantage, pages et écrans consultés, actions effectuées, page de provenance et horodatage.
• Localisation approximative déduite de l'adresse IP. Nous ne recueillons votre localisation précise que si vous activez une fonction qui en a besoin (par exemple pour enregistrer un trajet, détecter vos déplacements en voiture ou vous aviser lorsque vous arrivez à un commerce qui accepte Smartbills) et que votre appareil vous en demande la permission.
• Témoins (cookies), trousses de développement et technologies semblables (section 11).
• Registres de sécurité : historique de connexion, événements d'authentification multifacteur et journal d'audit des consultations et des modifications dans chaque espace de travail.

4.5 Renseignements sensibles

Nous ne demandons pas de renseignements sur la santé, la religion, l'origine ethnique, la biométrie ou les opinions politiques. Un reçu peut toutefois en révéler (un achat en pharmacie, un don, une cotisation syndicale). Nous traitons le contenu des documents comme confidentiel, ne l'utilisons que pour fournir le service, et ne nous en servons pas pour inférer des caractéristiques sensibles ni pour cibler des publicités.

Certaines lois considèrent comme sensibles les renseignements de comptes financiers, les identifiants de compte et la localisation précise. Nous ne les utilisons que pour fournir le service que vous avez demandé, ce qui constitue une fin permise par le CCPA, et nous obtenons un consentement exprès lorsque la loi québécoise ou une autre loi l'exige.

5. Pourquoi nous les utilisons, et sur quelles bases juridiques#

| Fin | Exemples | Base juridique (RGPD / RGPD du R.-U.) | | --- | --- | --- | | Fournir le service | Créer des comptes, numériser et extraire les documents, rapprocher les reçus des transactions bancaires, gérer les approbations, consigner les paiements, synchroniser avec les logiciels comptables, livrer les reçus numériques | Exécution d'un contrat; pour les Données client, les instructions du client | | Paiements et facturation | Facturer les abonnements, émettre des factures, percevoir les taxes, prévenir la fraude au paiement | Contrat; obligation légale | | Fonctions d'IA | Lire les documents, suggérer des catégories et des comptes de grand livre, détecter les doublons et les problèmes de conformité, répondre aux requêtes de l'assistant et du serveur MCP | Contrat; intérêt légitime à offrir un service exact et efficace | | Soutien et communications | Répondre aux demandes, envoyer des avis de service, de sécurité et de facturation | Contrat; intérêt légitime | | Sécurité et prévention de la fraude | Détecter les abus, protéger les comptes, enquêter sur les incidents, tenir des journaux d'audit | Intérêt légitime; obligation légale | | Améliorer et développer le service | Mesurer l'utilisation, corriger les bogues, tester des fonctions, produire des comparatifs agrégés | Intérêt légitime; consentement lorsqu'il est requis pour les témoins analytiques | | Marketing | Infolettres, nouveautés, événements, prospection entre entreprises, publicités de Smartbills sur d'autres sites | Consentement lorsqu'il est requis (LCAP, directive vie privée et communications électroniques, Loi 25); sinon intérêt légitime | | Recrutement | Évaluer les candidatures et communiquer avec les candidats | Mesures précontractuelles; intérêt légitime | | Obligations légales | Conserver les registres fiscaux et comptables, répondre aux demandes légales, faire respecter nos conditions, nous défendre en cas de réclamation | Obligation légale; intérêt légitime |

Lorsque nous nous fondons sur l'intérêt légitime, nous l'avons mis en balance avec vos droits, et vous pouvez vous y opposer (section 12). Lorsque nous nous fondons sur le consentement, vous pouvez le retirer en tout temps, sans effet sur le traitement déjà effectué.

En droit canadien, nous nous fondons sur votre consentement, exprès ou implicite selon la sensibilité des renseignements et vos attentes raisonnables, ou sur une exception prévue par la loi. Nous utilisons les renseignements personnels uniquement aux fins indiquées lors de leur collecte, ou à des fins compatibles que la loi permet. Autrement, nous demandons un nouveau consentement.

6. Données dépersonnalisées et agrégées#

Nous pouvons produire des statistiques qui ne permettent plus d'identifier une personne ou un client, par exemple la dépense moyenne par catégorie, les délais de traitement ou la couverture des marchands. Nous les utilisons pour améliorer Smartbills, publier des comparatifs et des analyses, et faire rapport à nos partenaires marchands et bancaires. Comme l'exigent la loi québécoise et le CCPA, nous prenons des mesures techniques et contractuelles raisonnables pour empêcher la réidentification de ces données, et nous ne tentons pas nous-mêmes de les réidentifier. Nous ne communiquons pas aux marchands ou aux banques les détails de transaction d'un client identifié, sauf pour fournir un service que vous ou votre organisation avez demandé.

7. Intelligence artificielle et décisions automatisées#

Ce que fait l'IA dans Smartbills. Nous utilisons l'apprentissage automatique et de grands modèles de langage pour :

• lire les reçus, les factures et les relevés (reconnaissance optique de caractères et extraction de champs);
• suggérer des catégories, des fournisseurs, un traitement fiscal, des comptes de grand livre et des services, et apprendre de vos corrections;
• détecter les doublons et rapprocher les documents des transactions bancaires;
• signaler les dépenses qui pourraient contrevenir aux politiques de votre organisation;
• faire fonctionner l'assistant Smartbills et répondre aux requêtes des agents d'IA connectés par notre serveur MCP ou notre API.

Fournisseurs. Ces fonctions reposent sur Amazon Web Services (notamment Amazon Textract et Amazon Bedrock), Anthropic et OpenAI. Selon nos ententes, ces fournisseurs traitent vos données uniquement pour nous retourner des résultats et ne peuvent pas s'en servir pour entraîner leurs propres modèles.

Nous n'entraînons pas de modèles d'IA avec vos données. Nous n'entraînons ni n'affinons de modèles d'apprentissage automatique avec vos documents ou vos Données client, et nos fournisseurs d'IA ne le peuvent pas non plus. Pour suggérer des catégories et des comptes de grand livre, nous convertissons les postes du plan comptable et les descriptions des lignes de détail en vecteurs (des représentations numériques du texte) à l'aide d'OpenAI. Nous les conservons dans un index de recherche de notre environnement infonuagique, associés à votre espace de travail, et ne les utilisons que pour trouver des correspondances dans cet espace. Smartbills apprend aussi des règles d'imputation à partir des choix faits dans votre espace de travail, fournisseur par fournisseur. Ces règles ne s'appliquent que dans votre espace de travail, et les administrateurs peuvent les consulter et les supprimer en tout temps.

Vous gardez le contrôle. Les suggestions de l'IA peuvent être erronées. Elles sont présentées comme des suggestions que vous ou les approbateurs de votre organisation pouvez modifier. Lorsque vous conversez avec l'assistant, vous interagissez avec un système d'IA.

Décisions automatisées. Smartbills ne prend pas de son propre chef de décisions à votre sujet qui produisent des effets juridiques ou des effets similaires importants. Une organisation peut configurer des règles qui s'appliquent automatiquement, par exemple refuser une dépense au-delà d'une limite ou en approuver une sous un seuil. Lorsqu'une décision vous concernant est fondée exclusivement sur un traitement automatisé, au sens de la loi québécoise, vous en serez informé. Vous pourrez alors demander quels renseignements personnels et quels principaux facteurs ont mené à la décision, faire rectifier ces renseignements, et demander qu'une personne révise la décision. Adressez votre demande à votre organisation ou à nous.

8. Données de Google et de Microsoft#

Si vous connectez un compte Gmail ou Google Workspace, l'utilisation et le transfert par Smartbills, vers toute autre application, des informations reçues des API de Google respecteront la politique relative aux données des utilisateurs des services d'API Google, y compris les exigences d'utilisation limitée (Limited Use). En particulier :

• nous utilisons les données Gmail uniquement pour repérer et importer les reçus, les factures et les factures fournisseurs, et pour vous les présenter dans Smartbills;
• nous ne les utilisons pas à des fins publicitaires, ne les vendons pas et ne nous en servons pas pour entraîner des modèles généraux d'IA ou d'apprentissage automatique;
• le personnel de Smartbills ne les lit pas, sauf si vous nous le demandez (par exemple dans une demande de soutien), si c'est nécessaire pour la sécurité ou pour respecter la loi, ou si les données ont été agrégées et anonymisées pour nos opérations internes.

Nous appliquons les mêmes limites aux données provenant de Microsoft Outlook et de Microsoft 365. Vous pouvez révoquer l'accès en tout temps dans Smartbills ou dans les paramètres de votre compte Google ou Microsoft.

9. Avec qui nous les communiquons#

Nous ne vendons pas de renseignements personnels contre de l'argent. Nous ne les communiquons que de la manière décrite ici.

Au sein de votre organisation. Les administrateurs, approbateurs et membres de l'équipe des finances de votre espace de travail peuvent voir les données que leur rôle permet.

Fournisseurs de services (sous-traitants). Ils agissent selon nos instructions, en vertu de contrats qui exigent la confidentialité, la sécurité et une utilisation limitée à nos fins. Les principaux sont :

| Fournisseur | Fin | Lieu possible du traitement | | --- | --- | --- | | Amazon Web Services | Hébergement, stockage, bases de données, reconnaissance optique, IA (Bedrock), courriel (SES), messages texte et messagerie | Canada (principal); États-Unis pour certains services d'IA et de messagerie | | Anthropic | Modèles d'IA pour l'extraction, la catégorisation et l'assistant | États-Unis | | OpenAI | Modèles d'IA pour certaines fonctions | États-Unis | | Plaid | Connexions aux comptes bancaires et de cartes | États-Unis, Canada | | Deck | Récupération de factures : se connecte aux portails de fournisseurs et de services publics que vous connectez, avec les identifiants que vous fournissez, et récupère vos factures | Canada, États-Unis | | Stripe | Paiement des abonnements, paiements par carte et bancaires | États-Unis, Canada | | Apple et Google | Distribution de l'application mobile, paiement des abonnements intégrés à l'application, analytique et suivi de la performance mobiles (Firebase) | États-Unis | | Google (Cloud, API Workspace, Firebase, Maps) | Importation des courriels, analytique, validation d'adresses, infrastructure des applications, hébergement de contenu | États-Unis, Canada | | Microsoft | Importation des courriels Outlook et Microsoft 365, connexion | États-Unis, Canada | | Twilio et SendGrid | Messages texte, vérification vocale et courriels transactionnels | États-Unis | | Expo | Notifications poussées mobiles | États-Unis | | Microsoft Azure | Index de recherche dans vos documents (Elasticsearch, exploité par nous) et serveur MCP | Canada | | Sentry | Surveillance des erreurs et de la performance | États-Unis | | Amplitude | Analytique de produit | États-Unis | | HubSpot | Gestion de la relation client et courriels marketing | États-Unis | | Apollo.io | Coordonnées d'affaires et prospection | États-Unis | | Fireflies.ai | Transcription des appels de vente et de soutien | États-Unis |

La liste complète et à jour des sous-traitants qui traitent les Données client, ainsi que la façon dont nous avisons les clients des changements, est disponible auprès de privacy@smartbills.ca et accompagne notre entente de traitement des données.

Services que vous connectez. Lorsque vous connectez un système comptable, une banque, une boîte de courriel, un partenaire de paiement, un agent d'IA ou une autre application, nous échangeons des données avec celui-ci selon vos instructions. Ses propres conditions et sa politique de confidentialité s'appliquent.

Processeur de paiement. Pour facturer votre abonnement et vous permettre d'encaisser en ligne le paiement de vos factures, nous communiquons les renseignements nécessaires à Stripe.

Marchands et banques du réseau de reçus. Nous communiquons les données d'un reçu au marchand qui l'a émis et à la banque ou à l'application qui vous l'affiche, dans la mesure nécessaire pour livrer ce reçu et ses fonctions de retour, de garantie et de fidélité.

Partenaires publicitaires. Seulement si vous acceptez les témoins de marketing sur nos sites, Google, Meta, LinkedIn, Microsoft et Apollo reçoivent des identifiants de témoins et les pages consultées, et Google peut recevoir une copie hachée de l'adresse courriel saisie dans un formulaire, afin de mesurer nos publicités. Ils ne reçoivent jamais le contenu de vos reçus ni de vos documents. Nos applications n'affichent aucune publicité de tiers. Notre Politique relative aux témoins énumère chaque outil.

Conseillers professionnels et auditeurs, tenus à la confidentialité.

Autorités. Lorsque la loi l'exige, ou pour répondre à une demande légale valide après l'avoir vérifiée, pour protéger les droits, les biens ou la sécurité de personnes ou de Smartbills, ou pour enquêter sur une fraude. Lorsque la loi le permet, nous en avisons d'abord le client ou la personne concernée.

Transactions commerciales. Si nous participons à une fusion, à un financement, à une acquisition ou à une vente d'actifs, des renseignements personnels peuvent être communiqués à l'autre partie en vertu d'une entente de confidentialité et utilisés uniquement pour cette transaction, comme la loi le permet.

Avec votre consentement, à toute autre fin que nous vous décrirons au moment opportun.

9.1 Communications à l'extérieur du Québec et du Canada

Nos principales bases de données et notre stockage de fichiers se trouvent au Canada (AWS à Montréal). Notre index de recherche et notre serveur MCP sont exploités sur Microsoft Azure à Toronto. Des renseignements personnels peuvent aussi être traités aux États-Unis et dans d'autres pays où nos fournisseurs exercent leurs activités. Les lois de ces pays peuvent permettre aux tribunaux et aux autorités d'y accéder.

• Québec : avant de communiquer des renseignements personnels à l'extérieur du Québec, nous procédons à une évaluation des facteurs relatifs à la vie privée et concluons des ententes écrites qui assurent une protection adéquate, comme l'exige l'article 17 de la loi québécoise.
• Union européenne et Royaume-Uni : le Canada bénéficie d'une décision d'adéquation de l'UE pour les organisations commerciales assujetties à la LPRPDE. Pour les transferts vers d'autres pays, nous nous fondons sur des décisions d'adéquation (notamment le Cadre de protection des données UE–États-Unis et son extension au Royaume-Uni pour les fournisseurs certifiés), les clauses contractuelles types de la Commission européenne et l'addenda britannique sur les transferts internationaux de données, avec des mesures supplémentaires au besoin. Vous pouvez obtenir une copie des garanties applicables auprès de privacy@smartbills.ca.

10. Vos choix en matière de marketing et de publicité#

• Courriel et messages texte. Nous envoyons des messages électroniques commerciaux uniquement avec votre consentement ou lorsque la LCAP, la loi américaine CAN-SPAM ou une autre loi le permet. Chaque courriel marketing contient un lien de désabonnement, et nous traitons les désabonnements dans un délai de 10 jours ouvrables. Répondez STOP (ou ARRET) à un message texte pour ne plus en recevoir, et AIDE (ou HELP) pour obtenir de l'aide. Des frais de messagerie et de données peuvent s'appliquer. Les messages de service, de sécurité et de facturation ne sont pas du marketing et nous continuerons de vous les envoyer tant que vous aurez un compte.
• Notifications poussées. Désactivez-les dans les paramètres de votre appareil.
• Publicités sur nos sites. Nous n'utilisons pas le contenu de vos documents pour cibler des publicités. Les témoins de marketing restent désactivés à moins que vous ne les acceptiez. Pour refuser ou retirer votre consentement, choisissez Tout refuser ou Plus de choix dans la bannière de témoins, ou utilisez le lien Préférences de témoins au bas de notre site.
• Profilage. Lorsque la loi québécoise s'applique, toute fonction permettant de vous identifier, de vous localiser ou d'effectuer un profilage est désactivée par défaut jusqu'à ce que vous l'activiez.

11. Témoins et technologies semblables#

Nous utilisons des témoins (cookies), le stockage local, des pixels et des trousses de développement mobiles. Notre Politique relative aux témoins les énumère, avec leur rôle et leur durée.

• Les témoins strictement nécessaires maintiennent votre connexion, sécurisent le service et mémorisent vos choix. Ils sont toujours actifs.
• Les outils de mesure d'audience (Google Analytics, Microsoft Clarity) et de marketing (Google Ads, Meta, LinkedIn, Microsoft Advertising, Apollo) ne fonctionnent qu'après votre acceptation. Cela vaut pour tous les visiteurs, où qu'ils soient, puisque la loi québécoise exige que le suivi soit désactivé par défaut.
• Nous comptons les visites avec Cloudflare Web Analytics, qui ne dépose aucun témoin.

Vous pouvez modifier votre choix en tout temps à partir du lien Préférences de témoins au bas de la page, et bloquer les témoins dans votre navigateur. Nos courriels marketing peuvent contenir des pixels qui nous indiquent s'ils ont été ouverts. Vous pouvez les bloquer en désactivant le chargement automatique des images dans votre application de courriel.

12. Vos droits#

Selon l'endroit où vous résidez, vous pouvez avoir le droit :

• de savoir et d'accéder aux renseignements personnels que nous détenons à votre sujet, et de savoir comment ils sont utilisés et communiqués;
• de faire rectifier des renseignements inexacts ou incomplets;
• de faire supprimer des renseignements, sous réserve des exceptions prévues par la loi;
• à la portabilité : recevoir les renseignements que vous avez fournis dans un format technologique structuré et couramment utilisé, ou les faire transmettre à une autre organisation;
• de retirer votre consentement en tout temps;
• de vous opposer au traitement fondé sur l'intérêt légitime, ainsi qu'à la prospection commerciale en tout temps;
• de faire limiter le traitement pendant le règlement d'un différend;
• de refuser la vente ou le partage de renseignements personnels, la publicité ciblée et le profilage produisant des effets juridiques ou des effets similaires importants;
• de limiter l'utilisation des renseignements personnels sensibles;
• à la désindexation (Québec) : nous demander de cesser de diffuser des renseignements ou de désindexer un hyperlien lorsque la loi le permet;
• d'être informé des décisions automatisées et de les faire réviser (section 7);
• de ne pas faire l'objet de discrimination pour avoir exercé vos droits. Nous ne vous refuserons pas le service et ne vous imposerons pas un prix différent pour cette raison;
• de contester notre décision concernant votre demande et de porter plainte auprès d'une autorité de contrôle.

Comment faire une demande. Écrivez à privacy@smartbills.ca, ou utilisez Paramètres → Confidentialité dans l'application pour exporter ou supprimer votre compte. Nous vérifierons votre identité à l'aide de renseignements que nous détenons déjà, habituellement en confirmant votre adresse courriel. Nous ne demanderons pas plus de renseignements que nécessaire. Un mandataire autorisé peut présenter une demande pour vous sur preuve de son autorisation. Nous pourrions vous demander de confirmer la demande directement.

Délais. Nous répondons dans un délai de 30 jours (Canada, Québec), d'un mois (UE, Royaume-Uni) ou de 45 jours (États américains). Lorsque la loi le permet, nous pouvons prolonger ce délai une fois si la demande est complexe, et nous vous en indiquerons la raison. Les demandes sont gratuites, sauf si elles sont manifestement infondées ou excessives. Si nous refusons une demande, en tout ou en partie, nous vous en expliquerons les motifs par écrit et vous indiquerons comment contester la décision ou porter plainte.

Données dans l'espace de travail d'un employeur. Si votre demande porte sur des Données client, nous la transmettrons à l'organisation qui les contrôle et l'aiderons à y répondre, comme le prévoient nos ententes (section 3).

Contestations (États-Unis). Si nous refusons votre demande, répondez à notre décision en inscrivant « Appeal » dans l'objet. Nous répondrons dans le délai prévu par la loi de votre État. Si vous n'êtes pas satisfait, vous pouvez communiquer avec le procureur général de votre État.

13. Avis pour la Californie et les autres États américains#

Cette section ajoute les renseignements exigés par le CCPA et par les lois sur la protection de la vie privée du Colorado, du Connecticut, du Delaware, de l'Indiana, de l'Iowa, du Kentucky, du Maryland, du Minnesota, du Montana, du Nebraska, du New Hampshire, du New Jersey, de l'Oregon, du Rhode Island, du Tennessee, du Texas, de l'Utah, de la Virginie et d'autres États, dans la mesure où elles s'appliquent à nous.

Catégories recueillies au cours des 12 derniers mois, avec leurs sources (section 4), leurs fins (section 5) et leurs destinataires (section 9) :

| Catégorie (CCPA) | Exemples | Communiqués à des fins commerciales à | Vendus ou partagés? | | --- | --- | --- | --- | | Identifiants | Nom, courriel, téléphone, adresse IP, identifiant de compte, identifiant d'appareil | Fournisseurs de services, services connectés, partenaires de paiement | Partagés avec des partenaires publicitaires (identifiants de témoins seulement, si vous acceptez les témoins de marketing) | | Dossiers clients (Cal. Civ. Code § 1798.80) | Adresse, coordonnées bancaires, marque et quatre derniers chiffres de la carte | Fournisseurs de services, partenaires de paiement | Non | | Renseignements commerciaux | Achats figurant sur les reçus, abonnements, historique de transactions | Fournisseurs de services, services connectés, marchands et banques du réseau de reçus | Non | | Activité Internet et réseau | Pages consultées, clics, utilisation de l'application | Fournisseurs de services, fournisseurs d'analytique | Partagés avec des partenaires publicitaires, si vous acceptez les témoins de marketing | | Géolocalisation approximative | Localisation déduite de l'IP; localisation précise seulement avec permission | Fournisseurs de services | Non | | Renseignements audio et électroniques | Appels de soutien ou de vente enregistrés | Fournisseurs de services | Non | | Renseignements professionnels | Employeur, titre, service, gestionnaire | Fournisseurs de services, services connectés | Non | | Inférences | Préférences de produits, intérêt probable pour un forfait | Fournisseurs de services | Non | | Renseignements personnels sensibles | Identifiants de connexion, renseignements de comptes financiers, localisation précise | Fournisseurs de services et partenaires de paiement, uniquement pour fournir le service | Non |

Nous ne vendons pas de renseignements personnels contre de l'argent. L'utilisation de témoins de marketing sur nos sites, lorsque vous les acceptez, peut constituer un « partage » à des fins de publicité comportementale intercontextuelle ou une « vente » au sens de certaines lois d'États. Vous pouvez vous y opposer de la manière décrite à la section 10. Nous ne vendons ni ne partageons sciemment les renseignements personnels de personnes de moins de 16 ans.

Nous utilisons les renseignements personnels sensibles uniquement à des fins que le CCPA permet sans droit de limitation, comme fournir les services demandés, assurer la sécurité et prévenir la fraude.

La conservation est décrite à la section 14.

Incitatifs financiers. Nous pouvons offrir des rabais, par exemple le rabais de première année sur le forfait Professionnel. Ils ne sont pas conditionnels à la communication de renseignements personnels au-delà de ceux nécessaires à la création du compte. Si nous offrons un incitatif lié aux renseignements personnels, nous en décrirons les modalités et la façon de s'en retirer avant votre adhésion.

Statistiques. Si la loi l'exige, nous publions chaque année le nombre de demandes reçues en vertu du CCPA et la façon dont nous y avons répondu.

Shine the Light. Les résidents de la Californie peuvent demander une fois par année si nous avons communiqué des renseignements personnels à des tiers à des fins de prospection directe. Nous ne le faisons pas.

Données de santé des consommateurs. Nous ne recueillons pas de données de santé des consommateurs, au sens de la My Health My Data Act de l'État de Washington ou de la loi équivalente du Nevada, dans le but d'établir l'état de santé d'une personne. Si les reçus que vous téléversez contiennent des achats liés à la santé, nous les utilisons uniquement pour fournir le service.

14. Durée de conservation#

Nous conservons les renseignements personnels seulement le temps nécessaire aux fins décrites dans la présente politique, puis nous les détruisons ou les anonymisons à des fins sérieuses et légitimes, comme la loi le permet.

| Données | Conservation | | --- | --- | | Données client d'un espace de travail actif | Pendant toute la durée de l'abonnement, sous le contrôle du client | | Données client après la fermeture d'un espace de travail ou d'un compte | Supprimées du service après une période de récupération de 30 jours. Les sauvegardes chiffrées des bases de données expirent selon une rotation de 12 mois au plus. Les versions antérieures des documents téléversés et du texte qui en est extrait demeurent dans un stockage de sauvegarde protégé en écriture pendant au plus 7 ans, afin de protéger les registres financiers contre la perte, l'altération et les rançongiciels. Elles ne servent à rien d'autre et ne sont restaurées qu'à la demande du client ou pour se remettre d'un incident | | Documents que le client doit conserver à des fins fiscales | Sous le contrôle du client, qui doit les exporter avant de fermer son compte. Les autorités fiscales exigent généralement six ans au Canada et au Québec, jusqu'à dix ans dans certains pays de l'UE, et de trois à sept ans aux États-Unis | | Nos propres registres de facturation et de comptabilité | Sept ans après la fin de l'exercice auquel ils se rapportent | | Reçus numériques livrés par le réseau | Tant que le compte du destinataire ou le programme du marchand est actif, puis supprimés conformément à l'entente avec le marchand | | Journaux d'application et de sécurité | 30 jours. Journaux des accès administratifs privilégiés : 12 mois. Le journal d'activité d'un espace de travail est conservé pendant toute la durée de vie de cet espace | | Demandes de soutien | 3 ans après la fermeture de la demande | | Enregistrements et transcriptions d'appels | 12 mois | | Contacts marketing | Jusqu'au désabonnement ou après 3 ans sans interaction. Nous conservons une liste d'exclusion pour ne pas vous solliciter de nouveau | | Candidatures | 12 mois après que le poste a été pourvu, sauf si vous acceptez une période plus longue |

Lorsque nous utilisons des renseignements personnels pour prendre une décision au sujet d'une personne, nous les conservons au moins un an après la décision, comme l'exige la loi québécoise.

15. Comment nous les protégeons#

• chiffrement en transit (TLS) et au repos, avec des clés gérées;
• isolement des clients : chaque enregistrement appartient à une seule organisation et chaque requête y est limitée;
• accès à la production fondé sur les rôles, accordé pour un motif précis, révisé et protégé par l'authentification multifacteur;
• coffre-fort géré pour les identifiants et les secrets;
• journal d'audit des consultations et des modifications dans chaque espace de travail;
• gestion des vulnérabilités, surveillance, sauvegardes et procédures de réponse aux incidents;
• engagements de confidentialité et formation sur la vie privée et la sécurité pour le personnel et les contractuels.

Plus de détails se trouvent sur notre page Sécurité. Aucun système n'est parfaitement sûr. Utilisez un mot de passe robuste et unique ainsi que l'authentification multifacteur, et avisez-nous à security@smartbills.ca si vous croyez que votre compte a été compromis.

Incidents de confidentialité et atteintes. Nous tenons un registre des incidents de confidentialité. Si un incident présente un risque qu'un préjudice sérieux soit causé (Québec), un risque réel de préjudice grave (LPRPDE) ou un risque pour les droits et libertés des personnes (RGPD), nous avisons la Commission d'accès à l'information, le Commissariat à la protection de la vie privée du Canada, l'autorité de contrôle compétente et les personnes concernées, dans les délais prévus par ces lois. Pour les Données client, nous avisons le client sans délai indu afin qu'il puisse s'acquitter de ses propres obligations.

16. Enfants#

Smartbills est un outil de gestion financière d'entreprise et personnelle destiné aux adultes. Il ne s'adresse pas aux enfants, et vous devez avoir atteint l'âge de la majorité là où vous résidez pour créer un compte. Nous ne recueillons pas sciemment de renseignements personnels d'enfants de moins de 14 ans (Québec), 13 ans (États-Unis) ou 16 ans (UE et Royaume-Uni). Si vous croyez qu'un enfant nous a fourni des renseignements personnels, écrivez à privacy@smartbills.ca et nous les supprimerons.

17. Liens et services de tiers#

Nos sites, nos applications et nos reçus contiennent des liens vers des marchands, des banques, des magasins d'applications et d'autres services que nous ne contrôlons pas. Leurs politiques de confidentialité s'appliquent lorsque vous les utilisez.

18. Modifications de la présente politique#

Nous mettrons cette politique à jour lorsque nos pratiques ou la loi changeront, et nous modifierons la date d'entrée en vigueur en haut de la page. Si un changement est important, nous vous en aviserons à l'avance par courriel ou dans l'application et, lorsque la loi l'exige, nous vous demanderons de nouveau votre consentement. Les versions antérieures sont disponibles sur demande.

19. Plaintes#

Veuillez d'abord communiquer avec nous à privacy@smartbills.ca. Nous accuserons réception de votre plainte, l'examinerons et vous répondrons dans un délai de 30 jours. Vous pouvez aussi porter plainte auprès d'une autorité de contrôle :

• Québec : Commission d'accès à l'information du Québec, www.cai.gouv.qc.ca, 1 888 528-7741.
• Canada : Commissariat à la protection de la vie privée du Canada, 30, rue Victoria, Gatineau (Québec) K1A 1H3, www.priv.gc.ca, 1 800 282-1376.
• Alberta : Office of the Information and Privacy Commissioner of Alberta. Colombie-Britannique : Office of the Information and Privacy Commissioner for British Columbia.
• Union européenne : l'autorité de protection des données de votre lieu de résidence ou de travail, ou du lieu où le problème est survenu (en France, la CNIL, www.cnil.fr).
• Royaume-Uni : Information Commissioner's Office, ico.org.uk.
• États-Unis : le procureur général de votre État, ou la California Privacy Protection Agency à cppa.ca.gov.

En cas de divergence entre la version française et la version anglaise de la présente politique, la version la plus favorable à la personne concernée prévaut.