Aller au contenu principal
Conformité — Loi 25

Politique de protection des renseignements personnels

Dernière mise à jour : 30 octobre 2026

Technologies CabFlow inc. (« CabFlow », « nous », « notre ») accorde une importance fondamentale à la protection de vos renseignements personnels. La présente politique décrit comment nous recueillons, utilisons, communiquons et protégeons les renseignements personnels qui nous sont confiés, conformément à la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25) du Québec et à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada.

1. Responsable de la protection des renseignements personnels

Conformément à la Loi 25, nous avons désigné un responsable de la protection des renseignements personnels (RPRP) que vous pouvez contacter pour toute question, plainte ou demande relative à vos renseignements personnels :

Marc-Olivier Blouin
Responsable de la protection des renseignements personnels
Technologies CabFlow inc.
Courriel : confidentialite@cabflowapp.com

2. Renseignements que nous recueillons

Le présent site web (cabflowapp.com) est un site de présentation. Il ne pratique aucune publicité ciblée. Il ne dépose de témoin (cookie) de mesure d'audience qu'avec votre accord explicite (section 2.2) ; sans cet accord, il n'en dépose aucun.

Nous recueillons uniquement les renseignements que vous nous transmettez volontairement :

  • Lorsque vous nous écrivez à une adresse courriel indiquée sur le site : votre adresse courriel, votre nom (si fourni) et le contenu de votre message.
  • Lorsque vous vous inscrivez à la liste d'attente ou nous demandez des informations sur la plateforme : votre nom, votre adresse courriel professionnelle, le nom de votre cabinet, votre ville et votre province, votre rôle, la taille de votre équipe, le logiciel que votre cabinet utilise actuellement, et tout message que vous choisissez de joindre.

2.1 Mesure d'audience anonymisée

Pour mesurer l'audience globale du site (volumes de visites par page, sources de trafic, erreurs techniques) et assurer son bon fonctionnement, nous utilisons Microsoft Azure Application Insights, configuré en mode sans témoins (cookieless) et sans identification individuelle. Aucune donnée permettant de vous reconnaître personnellement n'est associée à ces mesures. Les données techniques agrégées sont conservées exclusivement au Canada (région Azure Canada Central) pour une durée maximale de 90 jours, puis détruites automatiquement.

2.2 Témoins de mesure d'audience (avec votre accord)

Si vous cliquez sur « Accepter » dans le bandeau affiché à votre première visite, nous activons les outils suivants pour comprendre comment le site est consulté (pages vues, parcours, provenance des visites, appareil utilisé) et l'améliorer :

  • Google Analytics 4 (Google LLC) : statistiques de fréquentation, d'interaction (boutons d'action cliqués, sections de l'accueil consultées) et de conversion. Aucun contenu saisi dans un formulaire n'y est transmis. Google ne conserve pas l'adresse IP complète des visiteurs.
  • Microsoft Clarity (Microsoft Corporation) : cartes de chaleur et relectures anonymisées des déplacements et des clics sur les pages. Le contenu saisi dans les champs de formulaire est masqué.

Ces outils déposent des témoins et leurs données sont traitées à l'extérieur du Québec et du Canada, notamment aux États-Unis. Ils ne servent à aucune publicité ciblée et ne sont jamais reliés à votre inscription à la liste d'attente. Si vous cliquez sur « Refuser », ou si vous ne répondez pas, aucun de ces outils n'est chargé. Vous pouvez changer d'avis en tout temps grâce au lien « Gérer les témoins » au bas de chaque page.

2.3 Appels à notre ligne téléphonique

Lorsque vous appelez la ligne téléphonique de CabFlow, ou qu'une personne de CabFlow vous appelle depuis cette ligne, un message vous informe dès le début que l'appel est enregistré et transcrit. Nous recueillons alors :

  • votre numéro de téléphone, ainsi que la date, l'heure et la durée de l'appel ;
  • l'enregistrement de la conversation, ou du message que vous laissez, et sa transcription écrite ;
  • le cas échéant, un résumé de l'appel produit automatiquement par un outil d'intelligence artificielle, et les renseignements que vous choisissez de donner (nom, cabinet, motif de l'appel, numéro de rappel).

Ces renseignements servent uniquement à répondre à votre demande et à en assurer le suivi : dans notre outil de suivi des ventes si vous vous intéressez à la plateforme, ou dans votre demande de soutien si votre cabinet est client. Votre voix n'est jamais utilisée pour vous identifier. Si un assistant virtuel répond à votre appel, il se présente comme tel, et vous pouvez demander à parler à une personne en tout temps. Nous ne vous appelons jamais au moyen d'une voix synthétisée. Si vous ne souhaitez pas être enregistré, vous pouvez raccrocher et nous écrire à info@cabflowapp.com.

La présente politique couvre aussi l'application mobile CabFlow (section 3). Les renseignements que vous versez à votre dossier depuis l'application ou depuis le portail web de votre cabinet sont traités pour le compte de ce cabinet, qui en demeure le responsable : sa propre politique s'y applique, et c'est à lui qu'il faut adresser les demandes portant sur le contenu de votre dossier.

3. Application mobile CabFlow (iOS et Android)

L'application mobile CabFlow permet aux clients d'un cabinet utilisateur de la plateforme de consulter leurs documents, de répondre aux demandes de leur cabinet et de déposer des pièces justificatives. La présente section décrit ce que l'application recueille sur votre appareil. Elle ne comporte aucun outil publicitaire, aucun pistage à des fins de marketing et aucune mesure d'audience commerciale.

3.1 Appareil photo et photothèque

L'application demande l'accès à l'appareil photo et à votre photothèque uniquement lorsque vous choisissez de déposer un document dans votre dossier : photographier un reçu ou une pièce justificative, ou téléverser une image déjà présente sur votre appareil. Seules les images que vous sélectionnez vous-même sont transmises. Le cadrage automatique des documents photographiés est effectué sur votre appareil, par le système d'exploitation.

Nous ne parcourons pas votre photothèque, nous ne l'indexons pas et nous n'analysons pas le contenu des images à d'autres fins que leur versement au dossier tenu par votre cabinet. Ces autorisations peuvent être refusées ou révoquées en tout temps dans les réglages de votre appareil ; seule la fonction de dépôt de documents cesse alors de fonctionner.

3.2 Notifications poussées

Si vous acceptez de recevoir des notifications, nous conservons un identifiant d'appareil — le jeton de notification émis par le service que nous utilisons pour acheminer les avis — associé à votre compte, ainsi que la plateforme utilisée, le nom que vous avez donné à votre appareil et la version de l'application installée. Ces renseignements servent uniquement à vous transmettre les avis liés à votre dossier (nouveau document, nouvelle demande de votre cabinet, rappel) et à diagnostiquer un problème d'envoi. Ils ne sont jamais utilisés à des fins publicitaires et ne révèlent pas votre position.

Communication hors du Québec. Pour être remis à votre appareil, chaque avis est transmis à ce service, aux États-Unis, qui le relaie ensuite au service de notification d'Apple ou de Google. Transitent donc par ces services : l'identifiant d'appareil, le nom de votre cabinet et le titre du document ou de la demande concernée, tels qu'affichés sur l'écran verrouillé. Aucun document, aucun montant et aucun contenu de dossier n'y est transmis. Si vous ne souhaitez pas cette communication, il suffit de refuser ou de désactiver les notifications : l'application reste pleinement utilisable, et les avis vous sont alors transmis par courriel.

Vous pouvez désactiver les notifications en tout temps, soit dans l'application (onglet « Plus », section « Notifications », rangée « Mes notifications »), soit dans les réglages de votre appareil. L'identifiant d'appareil demeure enregistré tant que l'application reste installée sur cet appareil et rattachée à votre compte ; il est supprimé de nos serveurs dès qu'un envoi révèle que l'appareil n'accepte plus les avis — désinstallation de l'application ou retrait de l'autorisation dans les réglages du système. Vous pouvez aussi nous en demander la suppression immédiate à l'adresse indiquée à la section « Nous joindre ».

3.3 Verrou biométrique (Face ID, Touch ID, empreinte)

L'application offre un verrou biométrique facultatif, désactivé par défaut, qui exige une reconnaissance du visage ou de l'empreinte pour réafficher l'application. La vérification est effectuée entièrement par le système d'exploitation de votre appareil : vos données biométriques restent sur l'appareil, sous le contrôle du système, et ne sont jamais transmises à CabFlow, ni conservées, ni consultées par nous. L'application ne reçoit du système qu'un résultat — réussite ou échec.

3.4 Authentification

L'ouverture de session s'effectue auprès de Microsoft Entra External ID, dans une fenêtre de navigation sécurisée fournie par le système. Vos identifiants sont saisis chez Microsoft : ils ne transitent pas par l'application. Les jetons de session qui en résultent sont conservés sur l'appareil dans le magasin sécurisé du système (trousseau iOS, Keystore Android), accessibles à ce seul appareil, et effacés à la déconnexion. Votre compte lui-même — nom, prénom, adresse courriel qui vous sert d'identifiant, identifiant technique et historique de vos connexions — réside dans l'annuaire de ce service, hébergé aux États-Unis (section 7).

3.5 Diagnostics de plantage

Pour corriger les défauts de l'application, les plantages et les erreurs techniques sont transmis à notre outil de diagnostic, un service hébergé aux États-Unis (section 7). Ces rapports contiennent des renseignements techniques : modèle d'appareil, version du système, version de l'application et trace de l'erreur. Votre adresse courriel, votre nom d'utilisateur et votre adresse IP en sont retirés avant l'envoi. L'identifiant de votre compte y est remplacé par un identifiant technique qui en est dérivé : il ne permet pas de remonter à votre identité, mais il demeure stable dans le temps et d'un appareil à l'autre, ce qui nous permet de constater qu'une même personne subit des erreurs à répétition et de corriger le défaut en cause. Aucun document ni contenu de votre dossier n'est transmis à cet outil. Ces rapports ne sont produits que lorsqu'une erreur survient.

3.6 Exercer vos droits depuis l'application

Vous n'avez pas à nous écrire pour exercer les droits décrits à la section « Vos droits » : l'export de vos données et la suppression de votre compte sont accessibles directement dans l'application : onglet « Plus », section « Mes renseignements », rangée « Exportation et suppression (Loi 25) », qui ouvre l'écran « Mon profil ». Le pas-à-pas est décrit à la page Supprimer votre compte et vos données.

L'export vous transmet un lien de téléchargement de vos données. La suppression entraîne l'anonymisation de vos renseignements personnels (nom, adresse courriel, numéro de téléphone) ; le délai applicable et la confirmation vous sont indiqués dans l'application au moment de la demande. Les documents que vous avez déjà transmis à votre cabinet demeurent accessibles à ce dernier, qui doit les conserver pour se conformer à ses propres obligations légales.

4. Compléments Excel et Outlook (Microsoft 365)

CabFlow offre deux compléments pour Microsoft 365, destinés aux employés d'un cabinet utilisateur : CabFlow pour Excel et CabFlow pour Outlook. La présente section décrit ce que chacun lit, écrit et conserve. Ni l'un ni l'autre ne comporte d'outil publicitaire ni de mesure d'audience commerciale.

4.1 Connexion

Les deux compléments vous identifient par votre compte Microsoft 365 professionnel (authentification unique) ou, à défaut, par une fenêtre de connexion CabFlow. Nous recevons alors votre nom, votre adresse courriel professionnelle et l'identifiant de votre organisation Microsoft, afin de vous rattacher à votre cabinet. Un jeton de session CabFlow, valide au plus huit heures, est conservé dans les paramètres que Microsoft 365 associe au complément sur votre compte et sur votre appareil ; il est effacé à la déconnexion et à son expiration.

4.2 Complément Excel

Le complément lit et écrit uniquement dans les cellules que vous liez vous-même à un dossier de mission CabFlow (soldes, codes de liaison, totaux) et dans les feuilles que vous demandez d'insérer. Il ne parcourt pas vos classeurs, n'en transmet pas le contenu et ne lit aucun autre fichier. Les valeurs affichées proviennent du dossier tenu par votre cabinet dans CabFlow.

4.3 Complément Outlook

Le complément lit le courriel que vous avez ouvert (expéditeur, destinataires, objet, date, corps et liste des pièces jointes). Il transmet à CabFlow l'adresse de l'expéditeur, pour reconnaître le client, et les adresses des destinataires (À et Cc) : elles servent à chercher le client parmi les destinataires quand l'expéditeur n'en est pas un et, une fois le client choisi, à proposer d'autres clients chez qui classer aussi le courriel. Ces adresses ne servent qu'à ces recherches : le journal d'audit de votre cabinet n'en retient que le domaine de l'expéditeur, avec les termes que vous saisissez dans la recherche manuelle. Le courriel complet et ses pièces jointes ne sont transmis que lorsque vous choisissez de les classer ou de les joindre à une tâche ; ils sont alors conservés dans le dossier interne de votre cabinet. Le complément ne parcourt pas votre boîte aux lettres, ne lit pas vos autres messages et n'envoie aucun courriel en votre nom.

4.4 Journal technique

En cas d'erreur, le complément transmet à notre service de télémétrie (Microsoft Azure Application Insights, région Canada Central) la version du complément, la version d'Office, le type d'erreur et l'écran concerné. Le contenu de vos cellules, de vos courriels et de vos pièces jointes n'y figure jamais.

4.5 Désinstallation

Vous pouvez retirer un complément en tout temps depuis Excel ou Outlook, ou par l'administrateur Microsoft 365 de votre cabinet. Le retrait n'efface pas les données déjà classées dans le dossier de votre cabinet, qui demeurent soumises à ses propres obligations de conservation.

5. Finalités de la collecte

Nous utilisons vos renseignements personnels uniquement pour les finalités suivantes :

  • répondre à vos demandes et à vos questions ;
  • vous fournir, à votre demande, des informations sur l'évolution de la plateforme CabFlow ;
  • assurer le suivi de notre relation commerciale potentielle ;
  • répondre à vos appels téléphoniques et en assurer le suivi (section 2.3) ;
  • vous donner accès à l'application mobile et en assurer le fonctionnement : vous authentifier, afficher votre dossier, recevoir les documents que vous déposez et transmettre vos réponses à votre cabinet (section 3) ;
  • vous transmettre les avis liés à votre dossier, par notification poussée ou par courriel (section 3.2) ;
  • détecter et corriger les défauts techniques de nos logiciels, à partir des rapports de plantage (section 3.5).

Nous n'utilisons jamais vos renseignements à d'autres fins sans votre consentement explicite préalable.

6. Communication à des tiers

Nous ne vendons, ne louons ni ne communiquons vos renseignements personnels à des tiers à des fins commerciales. Vos renseignements peuvent être communiqués uniquement dans les cas suivants :

  • au cabinet comptable dont vous êtes le client, pour ce que vous déposez ou répondez dans l'application : ces renseignements sont versés au dossier que ce cabinet tient, et il en est le responsable ;
  • à nos prestataires de services, qui agissent strictement selon nos instructions et sont liés par des obligations de confidentialité. La liste est la suivante :
    • Microsoft — hébergement de la plateforme (Azure, région Canada Central, à Toronto), envoi de ses courriels (Azure Communication Services, données conservées au Canada), authentification du portail client et de l'application (Entra External ID, annuaire hébergé aux États-Unis, voir la section 7), hébergement du présent site (Azure Static Web Apps, aux États-Unis, voir la section 7) et messagerie professionnelle (Microsoft 365) ;
    • Amazon Web Services — notre ligne téléphonique (Amazon Connect) : acheminement, enregistrement et transcription des appels, conservés au Canada (région Canada Central, à Montréal), et outils d'intelligence artificielle qui peuvent être traités aux États-Unis (sections 2.3 et 7) ;
    • le fournisseur de nos notifications poussées — acheminement des avis vers votre appareil (États-Unis, voir la section 3.2) ;
    • le fournisseur de notre outil de diagnostic — réception des rapports de plantage de l'application (États-Unis, voir la section 3.5) ;
    • Google — mesure d'audience du site (Google Analytics 4), seulement si vous l'acceptez (États-Unis, voir la section 2.2) ;
    • Microsoft — cartes de chaleur et relectures de visite du site (Clarity), seulement si vous l'acceptez (États-Unis, voir la section 2.2) ;
  • aux services que votre cabinet choisit d'activer pour ses dossiers, sous son propre compte ou à sa demande (par exemple le paiement en ligne de ses factures, son logiciel fiscal ou un outil qu'il relie à CabFlow) : rien ne leur est transmis avant leur activation, et certains traitent les renseignements hors du Canada (section 7) ;
  • si la loi nous l'exige (ordonnance d'un tribunal, autorité réglementaire compétente).

Aucun autre tiers ne reçoit vos renseignements. Cette liste est mise à jour lorsqu'un prestataire est ajouté ou retiré, et la date en tête du document en fait foi.

7. Hébergement et lieu de conservation

Les renseignements que nous recueillons sont conservés au Canada, sur l'infrastructure infonuagique Microsoft Azure (région Canada Central) : cela vaut pour votre dossier, les documents que vous déposez et les renseignements de votre fiche. Les courriels que vous nous envoyez transitent par notre service courriel professionnel hébergé par Microsoft 365. Les exceptions sont énumérées ci-dessous.

Les enregistrements et les transcriptions des appels à notre ligne téléphonique (section 2.3) sont conservés au Québec, chez Amazon Web Services (région Canada Central, à Montréal) ; une copie est versée à notre outil de suivi, hébergé sur Microsoft Azure au Canada.

Les traitements suivants ont lieu hors du Québec et hors du Canada — ils sont décrits plus haut et repris ici pour être complets :

  • Comptes de connexion (section 3.4) — les comptes qui permettent aux clients d'un cabinet de se connecter au portail et à l'application sont gérés par Microsoft Entra External ID, dont l'annuaire est hébergé aux États-Unis. Y résident le nom, le prénom, l'adresse courriel qui sert d'identifiant, un identifiant technique de compte et l'historique des connexions. Aucun document, aucune donnée de dossier et aucune donnée fiscale n'y est déposé.
  • Formulaire de la liste d'attente (section 2) — ce que vous y saisissez est reçu par le serveur du présent site, hébergé par Microsoft Azure Static Web Apps dans la région East US 2, aux États-Unis, puis consigné dans notre outil de suivi des ventes, hébergé au Canada (Azure, région Canada Central), et transmis par courriel à notre équipe. Le site lui-même n'en conserve aucune copie.
  • Notifications poussées (section 3.2) — le contenu de l'avis (nom du cabinet, titre du document ou de la demande) et l'identifiant d'appareil transitent par notre service de notifications, aux États-Unis, puis par le service de notification d'Apple ou de Google. Refuser ou désactiver les notifications supprime entièrement ce transit.
  • Rapports de plantage (section 3.5) — les rapports techniques sont transmis à notre outil de diagnostic, aux États-Unis. Ils ne contiennent ni votre courriel, ni votre nom, ni votre adresse IP, ni aucun contenu de votre dossier.
  • Intelligence artificielle de notre ligne téléphonique (section 2.3) — le résumé automatique d'un appel et, lorsqu'il est en service, l'assistant virtuel peuvent être traités par Amazon Web Services aux États-Unis. Les enregistrements et les transcriptions restent conservés au Québec.
  • Services que votre cabinet choisit d'activer (section 6) — certains traitent hors du Canada les renseignements que votre cabinet leur confie, sous son propre compte ou à sa demande. Rien ne leur est transmis avant leur activation ; pour savoir lesquels votre cabinet utilise, adressez-vous à lui.
  • Mesure d'audience du site (section 2.2) — seulement si vous cliquez sur « Accepter » : les données de navigation sur le site sont traitées par Google et Microsoft (Clarity), aux États-Unis. Elles ne contiennent rien de ce que vous saisissez dans les formulaires du site.

Hors des services que votre cabinet choisit d'activer, aucun document, aucun état financier et aucune donnée fiscale ne sort du Canada. Seul ce que vous dites vous-même lors d'un appel peut être traité aux États-Unis par l'intelligence artificielle de notre ligne téléphonique, comme décrit ci-dessus.

8. Durée de conservation

Nous conservons vos renseignements personnels uniquement pour la durée nécessaire aux fins pour lesquelles ils ont été recueillis :

  • Demandes par courriel : conservées jusqu'à 24 mois après le dernier échange, puis détruites.
  • Manifestations d'intérêt commercial : conservées tant que la relation est active, puis 24 mois après le dernier contact.
  • Appels téléphoniques (section 2.3) : l'enregistrement est conservé 24 mois après le dernier contact pour un appel commercial, et 12 mois après la fermeture de la demande pour une demande de soutien ; la transcription est conservée 5 ans après le dernier contact ou la fermeture de la demande. Ils sont ensuite détruits.
  • Identifiant d'appareil pour les notifications (section 3.2) : conservé tant que l'application demeure installée sur cet appareil et rattachée à votre compte, et supprimé dès qu'un envoi révèle que l'appareil n'accepte plus les avis.
  • Rapports de plantage (section 3.5) : conservés par notre outil de diagnostic pour la durée de rétention prévue par son fournisseur — 90 jours pour les rapports d'erreur — puis détruits automatiquement.
  • Renseignements de votre dossier déposés depuis l'application : leur durée de conservation est fixée par votre cabinet comptable, tenu à ses propres obligations professionnelles et légales de conservation.

9. Vos droits

Conformément à la Loi 25, vous disposez des droits suivants à l'égard de vos renseignements personnels :

  • Droit d'accès — obtenir confirmation que nous détenons des renseignements vous concernant, et en obtenir une copie.
  • Droit de rectification — faire corriger des renseignements inexacts, incomplets ou équivoques.
  • Droit de retrait du consentement — retirer en tout temps le consentement donné à l'utilisation ou à la communication de vos renseignements.
  • Droit à la portabilité — obtenir vos renseignements dans un format technologique structuré et couramment utilisé.
  • Droit à la cessation de la diffusion ou à la désindexation — sous réserve des conditions prévues par la loi.
  • Droit de déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI).

Pour exercer l'un de ces droits, contactez notre RPRP à l'adresse confidentialite@cabflowapp.com. Nous répondrons dans un délai maximal de 30 jours.

10. Mesures de sécurité

Nous mettons en place des mesures de sécurité raisonnables et appropriées pour protéger vos renseignements personnels contre la perte, l'accès non autorisé, la divulgation, l'altération ou la destruction :

  • chiffrement TLS 1.2 ou plus récent pour les communications en transit ;
  • chiffrement AES-256 pour les données au repos ;
  • authentification à plusieurs facteurs imposée sur les comptes d'administration de CabFlow ;
  • principe de moindre privilège pour l'accès aux renseignements ;
  • formation continue des personnes ayant accès aux renseignements.

11. Incident de confidentialité

En cas d'incident de confidentialité présentant un risque de préjudice sérieux, nous aviserons sans délai la Commission d'accès à l'information du Québec et les personnes concernées, conformément aux obligations prévues par la Loi 25.

12. Modifications à la présente politique

Nous pouvons mettre à jour cette politique de temps à autre. La date figurant en tête du document indique la dernière mise à jour. En cas de modification importante, nous vous en informerons par un moyen approprié.

13. Pour nous joindre

Pour toute question relative à la présente politique ou à la protection de vos renseignements personnels :

Technologies CabFlow inc.
À l'attention du responsable de la protection des renseignements personnels
Courriel : confidentialite@cabflowapp.com