Politique de confidentialité

Version 2026-v2 · En vigueur le 19 juin 2026 · Québec, Canada

Votre vie privée nous tient à cœur. La présente politique explique quelles données nous collectons, pourquoi, et comment nous les protégeons, conformément à la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25, Québec) et à la loi fédérale LPRPDE.

1.Responsable du traitement et RPRP

Le responsable du traitement de vos données personnelles est :

SubmitX inc.

Québec, Canada

Responsable de la protection des renseignements personnels (RPRP) :

Mederick Provost, Fondateur & CEO

Courriel : legal@submitx.ca

Conformément à l'article 3.1 de la Loi 25 (Québec), le RPRP est désigné pour superviser la protection des renseignements personnels au sein de SubmitX inc.

2.Données collectées

Nous collectons les catégories de données suivantes :

2.1 Données d'identité et de compte

Nom, prénom, adresse courriel, numéro de téléphone ;
Nom de l'entreprise, numéro NEQ, numéro RBQ, numéro CCQ ;
Numéros fiscaux TPS/TVQ ;
Adresse physique et région d'activité ;
Rôle dans l'organisation (propriétaire, employé, etc.).

2.2 Documents et plans de construction

Plans architecturaux, dessins techniques et documents de soumission téléversés ;
Photos de chantier, documents contractuels et pièces justificatives ;
Données de facturation, devis et soumissions générées ;
Bons de commande, rapports d'avancement, rapports journaliers de chantier.

2.3 Données d'utilisation et journaux IA

Journaux d'utilisation des fonctionnalités IA (tokens consommés, actions déclenchées) ;
Historique des soumissions créées et leur statut ;
Journaux de conformité, alertes et analyses générées ;
Adresse IP (pseudonymisée par hachage salé), type d'appareil, navigateur et données de session.

2.4 Données de paiement

Les informations de paiement sont traitées directement par Stripe Inc. et ne sont jamais stockées sur les serveurs de SubmitX. Nous conservons uniquement les métadonnées de transaction (montant, date, statut) à des fins comptables.

2.5 Données de consentement

Horodatage et version des conditions acceptées ;
Adresse IP pseudonymisée et agent utilisateur au moment du consentement (pour preuve légale).

2.6 Données de localisation GPS (fonctionnalité optionnelle)

Si vous activez la fonctionnalité Punch Clock GPS, SubmitX collecte :

Coordonnées GPS (latitude, longitude) au moment du pointage ;
Précision de la mesure (en mètres) ;
Distance calculée entre votre position et le chantier assigné ;
Adresse géocodée (via l'API publique Nominatim/OpenStreetMap).

La collecte GPS est strictement optionnelle et requiert votre autorisation explicite via le système de permissions du navigateur ou de l'appareil mobile. Vous pouvez révoquer cette permission à tout moment dans les paramètres de votre appareil. Ces données sont conservées 2 ans conformément aux exigences de la Loi sur les normes du travail (Québec).

2.7 Données de messagerie Gmail (intégration optionnelle)

Si vous choisissez de connecter votre compte Gmail à SubmitX, nous accédons aux données suivantes, uniquement avec votre consentement explicite (OAuth 2.0) :

Lecture de vos courriels liés à vos projets de construction (scope gmail.readonly) ;
Envoi de courriels en votre nom (soumissions, relances, facturation) (scope gmail.send).

Ce que nous ne faisons PAS avec vos données Gmail :nous ne partageons pas le contenu de vos courriels avec des tiers (sauf pour fournir le service), nous ne les utilisons pas à des fins publicitaires, nous ne les vendons pas, et nous n'autorisons aucun humain à lire vos courriels sauf avec votre consentement explicite, pour des raisons de sécurité, ou lorsque la loi l'exige. Conforme à la Google API Services User Data Policy.

2.8 Données des employés (module RH)

Si vous utilisez le module de gestion des ressources humaines, SubmitX stocke pour chaque employé : nom, prénom, poste, taux horaire, heures travaillées, numéro d'assurance sociale (NAS — requis pour les rapports CCQ et les déclarations fiscales T4/RL-1). Le NAS est utilisé exclusivement pour la génération des documents réglementaires et est protégé par des mesures d'accès strictes (RBAC).

3.Finalités du traitement

Vos données sont utilisées aux fins suivantes :

Fourniture du service :génération de soumissions, analyses IA, conformité réglementaire, gestion de pipeline, facturation, pointage d'équipe.
Intelligence artificielle :vos données de projet (description, adresse chantier, matériaux, conditions d'entreprise) sont transmises à l'API Anthropic (Claude) pour générer des estimations. Les noms propres des employés ne sont pas inclus dans ces transmissions. Anthropic n'utilise pas ces données pour entraîner ses modèles (voir section 8).
Amélioration du service :analyse agrégée et anonymisée de l'utilisation. Vos données personnelles ne sont jamais utilisées pour entraîner des modèles IA sans consentement explicite.
Sécurité :détection de fraude, d'abus et protection contre les accès non autorisés.
Obligations légales : conservation requise par la législation fiscale et commerciale québécoise (Loi sur les impôts, LNT, CCQ).
Communication : notifications relatives au compte, alertes de sécurité et mises à jour du service (non commerciales par défaut).

4.Services tiers et sous-traitants

SubmitX fait appel aux sous-traitants suivants. Chaque sous-traitant est lié par un accord de traitement de données (DPA) conforme aux normes applicables :

Supabase Inc.

Base de données et authentification · États-Unis (AWS us-east-1, Virginie)

Données chiffrées AES-256 au repos et TLS en transit. Conforme SOC 2 Type II.

Anthropic, PBC

Modèles d'intelligence artificielle (Claude API) · États-Unis

Les données transmises via l'API Anthropic sont utilisées uniquement pour générer la réponse. Anthropic ne les utilise pas pour entraîner ses modèles (API commerciale). Aucune rétention après réponse.

Vercel Inc.

Hébergement de l'application web et fonctions serverless · États-Unis (Washington DC / Virginie par défaut)

Conforme SOC 2 Type II. Logs de déploiement conservés 30 jours.

Stripe Inc.

Traitement des paiements et abonnements · États-Unis

Certifié PCI DSS niveau 1. Les données de carte ne transitent jamais par nos serveurs.

Resend Inc.

Envoi de courriels transactionnels (notifications de compte) · États-Unis

Courriels de notification uniquement. Logs conservés 30 jours.

Sentry Inc. (Functional Software Inc.)

Surveillance des erreurs et diagnostics techniques · États-Unis

Les rapports d'erreurs peuvent contenir des identifiants utilisateur (UUID anonyme) et des traces de navigation. Session Replay activé avec masquage du texte (maskAllText: true) et blocage des médias. Données conservées 90 jours.

PostHog Inc.

Analytique d'utilisation (utilisateurs authentifiés uniquement) · Union européenne (eu.i.posthog.com)

Collecte uniquement les événements des utilisateurs identifiés (person_profiles: identified_only). Aucun traçage des visiteurs anonymes. Conforme RGPD/LPRPDE.

DocuSign Inc.

Signature électronique des contrats · États-Unis

Les enveloppes contiennent le nom, l'email et la signature des signataires. Conservées selon la politique DocuSign (généralement 10 ans pour les contrats signés).

Nango Inc.

Gestion des connexions OAuth (Gmail, QuickBooks, etc.) · États-Unis / Union européenne

Stocke et rafraîchit vos tokens OAuth. Tokens chiffrés côté SubmitX avant stockage en DB.

Upstash Inc.

Cache Redis (réponses IA temporaires) · États-Unis

Les résumés de soumissions IA sont cachés max. 1 heure. Aucune donnée nominative directement identifiable n'est conservée au-delà de ce délai.

Groq Cloud Inc.

Transcription vocale (dictée dans l'interface) · États-Unis

Audio transmis uniquement lors de l'utilisation de la dictée vocale. Aucune rétention confirmée par Groq pour l'API free tier.

5.Localisation et transferts de données hors Québec

Vos données sont principalement stockées aux États-Unis (Supabase AWS us-east-1) et accessoirement dans l'Union européenne (PostHog). SubmitX a réalisé une Évaluation des facteurs relatifs à la vie privée (EFVP)conformément à l'article 3.3 de la Loi 25 pour chaque transfert hors Québec.

Les mesures contractuelles et techniques en place pour encadrer ces transferts :

Accord de traitement de données (DPA) signé avec chaque sous-traitant ;
Chiffrement TLS 1.3 en transit pour toutes les communications ;
Chiffrement AES-256 au repos (Supabase, Vercel) ;
Tokens OAuth chiffrés avant stockage en base de données ;
Minimisation des données transmises aux API tierces.

L'EFVP documentée est disponible sur demande adressée au RPRP.

6.Conservation des données

Nous conservons vos données selon les durées suivantes :

Type de données	Durée · Base légale
Données de compte actif	Durée de l'abonnement + 90 jours
Soumissions, projets, factures	7 ans — obligation fiscale (Loi sur les impôts QC)
Données employés (RH, paie)	7 ans — obligation paie (LNT + CCQ)
Données GPS (punch clock)	2 ans — obligation paie (LNT art. 46)
Journaux IA (ai_cost_logs)	1 an
Journaux analytics (analytics_events)	90 jours
Journaux de courriels (email_logs)	180 jours
Journaux de sécurité	1 an
Données de consentement (user_consents)	5 ans — preuve légale (Loi 25)
Données de paiement (métadonnées)	7 ans — obligation fiscale
Prospects CRM (sx_prospects)	2 ans depuis la dernière activité
Sauvegardes automatiques	90 jours de rétention en rotation
Demandes de suppression	5 ans — preuve de traitement (Loi 25)

7.Vos droits

Conformément à la Loi 25 (Québec) et à la LPRPDE (Canada), vous disposez des droits suivants sur vos données personnelles :

Droit d'accès : obtenir une copie de vos données personnelles.
Droit de rectification : corriger des données inexactes ou incomplètes.
Droit à l'effacement : demander la suppression de vos données (sous réserve des obligations légales de conservation).
Droit à la portabilité : recevoir vos données dans un format structuré (JSON) et couramment utilisé.
Droit d'opposition : vous opposer au traitement de vos données à des fins de communication commerciale.
Droit de retrait du consentement : retirer votre consentement à tout moment, sans affecter la licéité du traitement antérieur.

Portabilité — Exporter mes données

Téléchargez immédiatement un fichier JSON contenant toutes vos données personnelles.

Effacement — Supprimer mon compte

Demande de suppression traitée dans 30 jours. Données fiscales conservées 7 ans.

Pour exercer tout autre droit ou pour toute question, envoyez une demande à legal@submitx.ca. Nous répondrons dans un délai de trente (30) jours conformément à la Loi 25.

8.Intelligence artificielle et traitements automatisés

SubmitX utilise des modèles d'intelligence artificielle (Claude API, Anthropic) pour générer des soumissions, analyses et estimations de coûts. Ces traitements sont encadrés comme suit :

Consentement :en acceptant nos conditions, vous consentez explicitement à la transmission de vos données de projet à l'API Anthropic pour générer les résultats demandés.
Absence d'entraînement :vos données ne sont pas utilisées pour entraîner les modèles IA. Anthropic n'utilise pas les données transmises via son API commerciale à des fins d'entraînement.
Données minimisées transmises :nous transmettons la description du projet, l'adresse du chantier, les lignes de travaux et les conditions d'entreprise. Les noms propres des employés sont exclus des prompts IA.
Supervision humaine :toute soumission générée par l'IA passe par une étape de validation manuelle (statut « en attente de validation ») avant d'être utilisée ou envoyée.
Décisions automatisées :aucune décision ayant des effets juridiques ou significatifs sur vous n'est prise de manière entièrement automatisée. Les scores (ex. : probabilité de gagner) sont informatifs uniquement.
Mode manuel : vous pouvez à tout moment désactiver les fonctionnalités IA et saisir vos données manuellement.

9.Sécurité des données

SubmitX met en œuvre les mesures techniques et organisationnelles suivantes :

Chiffrement TLS 1.3 pour toutes les communications réseau ;
Chiffrement AES-256 pour les données au repos (Supabase) ;
Tokens OAuth chiffrés avec une clé dédiée avant stockage en base de données ;
Adresses IP pseudonymisées par hachage salé dans les journaux ;
Contrôle d'accès basé sur les rôles (RBAC) et politiques RLS sur la base de données ;
Journalisation des accès aux données personnelles ;
Authentification multi-facteurs disponible pour tous les comptes ;
Surveillance continue des anomalies via Sentry ;
Révision de code et tests de sécurité réguliers.

En cas de violation de données susceptible de causer un risque sérieux à vos droits, SubmitX s'engage à vous en informer et à aviser la Commission d'accès à l'information du Québec (CAI)dans les 72 heures suivant la découverte de l'incident.

10.Témoins (cookies) et analytique

La Plateforme utilise des témoins de session strictement nécessaires au fonctionnement de l'authentification et à la sécurité. Nous n'utilisons pas de cookies de traçage publicitaires.

PostHog :collecte des événements d'utilisation anonymisés pour améliorer le service. Activé uniquement pour les utilisateurs identifiés (authentifiés). Hébergé dans l'Union européenne.
localStorage :vos préférences d'affichage (thème, langue) sont stockées localement dans votre navigateur et ne sont pas transmises à nos serveurs.

11.Modifications de la politique

En cas de modification substantielle de la présente Politique, vous en serez informé par courriel et/ou via une notification dans la Plateforme, et un nouveau consentement vous sera demandé. La version en vigueur est toujours disponible à l'adresse app.submitx.ca/legal/privacy.

12.Contact, plaintes et recours

Pour exercer vos droits, signaler un incident de confidentialité ou poser toute question relative à la présente Politique :

Responsable de la protection des renseignements personnels

Mederick Provost, Fondateur & CEO

SubmitX inc. — Québec, Canada

legal@submitx.ca

Délai de réponse : 30 jours (Loi 25, art. 27)

Si vous estimez que vos droits n'ont pas été respectés, vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI) : www.cai.gouv.qc.ca

Conditions d'utilisation Tableau de bord