Politique de confidentialité de Cargizon

La présente Politique de confidentialité explique comment 9485-2068 Québec Inc. (« Cargizon », « nous ») recueille, utilise, communique et protège les renseignements personnels dans le cadre de la plateforme, des sites Web et des services connexes de Cargizon (le « Service »). Le Service est offert d’entreprise à entreprise; la plupart des renseignements personnels que nous traitons concernent des employés et des représentants de nos clients d’affaires et de leurs partenaires commerciaux.

1. Nos rôles : responsable du traitement et sous-traitant

1.1 Responsable du traitement. Nous agissons à titre de responsable du traitement (RGPD) / d’organisation responsable des renseignements personnels (LPRPDE, Loi 25 du Québec) / d’entreprise (CCPA) à l’égard des renseignements concernant : les utilisateurs et les administrateurs de comptes; les visiteurs du site Web; les clients éventuels; et les personnes qui correspondent avec nous.

1.2 Sous-traitant. Nous agissons à titre de sous-traitant / de fournisseur de services à l’égard des renseignements personnels contenus dans les Données du Client (le contenu que nos clients versent dans le Service, comme les coordonnées de leurs fournisseurs, courtiers, transporteurs et destinataires figurant dans les dossiers d’expédition et les documents). Dans ce rôle, c’est notre client qui décide des finalités du traitement; notre traitement est régi par notre Entente sur le traitement des données (« DPA ») à /dpa. Les personnes dont les renseignements figurent dans les Données du Client doivent adresser leurs demandes au client concerné; nous assisterons ce client comme le prévoit la DPA.

1.3 La présente Politique décrit principalement nos pratiques dans notre rôle de responsable du traitement.

2. Qui nous sommes

• Entité : 9485-2068 Québec Inc., constituée en société au Québec, Canada
• Adresse : 1433 Rue de l’Everest, Montréal (Saint-Laurent), Québec H4R 2R3, Canada
• Responsable de la protection de la vie privée (LPRPDE / Loi 25, « personne responsable de la protection des renseignements personnels ») : Chris Lemieux, chef de la direction, privacy@cargizon.com
• Représentant pour l’UE/le Royaume-Uni (art. 27 du RGPD / RGPD du Royaume-Uni, le cas échéant) : Aucun n’est désigné : le Service est offert d’entreprise à entreprise à des organisations au Canada et ne s’adresse pas aux personnes se trouvant dans l’UE ou au Royaume-Uni.

3. Les renseignements que nous recueillons

3.1 Ce que vous fournissez directement :

• Renseignements de compte : nom, courriel professionnel, employeur/organisation, rôle, mot de passe haché (ou identifiants SSO)
• Renseignements de facturation : contact et adresse de facturation; les données de carte de paiement sont recueillies et traitées par Stripe; nous ne conservons pas les numéros de carte complets
• Contenu et communications : demandes de soutien, commentaires, messages
• Renseignements sur les participants externes : nom/courriel lorsqu’un client invite un fournisseur, un courtier ou un autre tiers à interagir au moyen de liens à jeton

3.2 Ce que nous recueillons automatiquement :

• Données de journalisation et d’appareil : adresse IP, navigateur/système d’exploitation, horodatages, pages et fonctionnalités utilisées, URL de référence
• Témoins (cookies) et technologies semblables (voir notre Politique sur les témoins à l’adresse /cookies) : témoins strictement nécessaires à l’authentification et à la sécurité; analytique comme il y est décrit
• Données d’erreur et de diagnostic (par l’intermédiaire de Sentry) : traces de pile et contexte technique lorsque le Service rencontre une erreur, ce qui peut comprendre incidemment des identifiants comme l’identifiant d’utilisateur ou l’adresse IP

3.3 Ce que nous obtenons de tiers :

• L’état des paiements et les événements d’abonnement provenant de Stripe
• Les événements de livraison de courriels provenant de Resend
• Les données logistiques publiques ou sous licence (positions des navires, jalons des transporteurs et des terminaux), portant généralement sur des navires et des expéditions, et non sur des personnes

3.4 Données du Client (rôle de sous-traitant) : le contenu des expéditions, des commandes, des factures et des documents que les clients versent, notamment par téléversement de fichiers et par les adresses d’importation de courriels propres à chaque client. Ces données peuvent contenir des renseignements personnels de tiers déterminés par le client.

4. Comment nous utilisons les renseignements personnels (et les bases juridiques)

Finalité	Exemples	Base juridique (RGPD)
Fournir le Service	comptes, authentification, fonctionnalités, soutien	Contrat
Facturation	abonnements, facturation, recouvrement	Contrat; obligation légale
Sécurité et intégrité	prévention de la fraude et des abus, limitation du débit, journaux d’accès, surveillance des erreurs	Intérêts légitimes
Communications	avis de service, réponses aux demandes	Contrat; intérêts légitimes
Marketing (nos propres services)	nouvelles sur le produit aux contacts d’affaires, sous réserve du consentement lorsqu’il est requis (y compris la LCAP)	Consentement; intérêts légitimes
Amélioration et analytique	mesure de l’utilisation, statistiques dépersonnalisées/agrégées	Intérêts légitimes
Conformité juridique	fiscalité, comptabilité, réponse aux demandes licites	Obligation légale

Nous ne vendons pas de renseignements personnels et nous ne les utilisons pas à des fins de publicité comportementale intercontextuelle.

5. Traitement par IA

5.1 Le Service utilise des modèles d’IA (fournis par Anthropic) pour extraire des données structurées des documents, classer les courriels et les pièces jointes, répondre à des questions portant sur les données propres à un client et produire des analyses.

5.2 Le traitement par IA des Données du Client s’effectue sur les instructions du client concerné (rôle de sous-traitant). Les résultats extraits sont présentés aux utilisateurs pour examen avant leur enregistrement.

5.3 Nos ententes avec les fournisseurs d’IA interdisent l’utilisation des données soumises par l’intermédiaire de notre intégration pour entraîner leurs modèles généralisés.

5.4 Décision automatisée. Le Service ne prend pas de décisions produisant des effets juridiques ou des effets semblablement importants à l’égard de personnes sans intervention humaine. Les résultats de l’IA constituent une aide à la décision et sont assujettis à l’examen de l’utilisateur.

6. Communication des renseignements personnels

Nous ne communiquons des renseignements personnels qu’à :

• Des fournisseurs de services (sous-traitants ultérieurs) qui exécutent des services pour nous : hébergement, base de données, paiements, courriel, traitement par IA, surveillance des erreurs, analytique. Liste à jour : /subprocessors (comprend, au 18 juillet 2026 : Vercel, Supabase, Stripe, Resend, Anthropic, Sentry, AISStream, PostHog et Google Workspace pour le courriel d’entreprise)
• Des conseillers et des autorités, lorsque la loi l’exige, pour protéger des droits et la sécurité, ou dans le cadre d’une procédure judiciaire (avec avis aux clients touchés lorsque la loi le permet)
• Des ayants cause dans le cadre d’une fusion, d’un financement ou d’une vente d’actifs, sous réserve de la confidentialité et du maintien de la protection
• Sur votre indication, p. ex. lorsqu’un utilisateur partage le lien d’un document avec un participant externe

7. Transferts internationaux

Nous sommes établis au Canada, et nos fournisseurs de services traitent des données au Canada, aux États-Unis et dans d’autres territoires. Lorsque des renseignements personnels assujettis au RGPD ou au RGPD du Royaume-Uni sont transférés vers des pays sans décision d’adéquation, nous nous appuyons sur les clauses contractuelles types de l’UE (et sur le UK Addendum/IDTA) ainsi que sur des mesures supplémentaires, selon le cas. Note sur la Loi 25 du Québec : les transferts de renseignements personnels à l’extérieur du Québec sont précédés d’une évaluation relative à la vie privée tenant compte de la sensibilité, des finalités et des mesures de protection. Les détails sont disponibles auprès du Responsable de la protection de la vie privée.

8. Conservation

Nous ne conservons les renseignements personnels que le temps nécessaire aux finalités ci-dessus : les données de compte pendant la durée de vie du compte et une période limitée après sa fermeture; les registres de facturation selon la loi fiscale (généralement 7 ans); les journaux et les diagnostics pendant des fenêtres d’exploitation plus courtes; les Données du Client selon les instructions du client et la DPA (exportation possible pendant 30 jours après la résiliation, puis suppression des systèmes actifs, les copies de sauvegarde expirant selon le calendrier prévu).

9. Sécurité

Nous appliquons des mesures de protection administratives, techniques et physiques adaptées à la sensibilité, notamment le chiffrement en transit et au repos, le cloisonnement des données au niveau de l’organisation au moyen de la sécurité au niveau des lignes, l’accès fondé sur les rôles, le stockage privé des documents au moyen d’URL signées expirables, le hachage et la délimitation des portées des clés d’API, la limitation du débit, la journalisation et la surveillance des erreurs. Aucun système n’est parfaitement sécuritaire; nous ne pouvons pas garantir une sécurité absolue.

Réponse aux violations. Nous maintenons un processus de réponse aux incidents. Lorsqu’une violation crée un risque réel de préjudice grave (LPRPDE) ou un risque de préjudice sérieux (Loi 25), nous avisons les personnes touchées et les autorités de réglementation applicables (y compris le CPVP et la CAI), dans la mesure requise, et nous avisons sans délai indu les clients qui sont responsables du traitement, conformément à la DPA (et, dans tous les cas, dans le délai nécessaire au respect de leurs obligations de 72 heures prévues par le RGPD).

10. Vos droits

Selon votre territoire, vous pouvez avoir le droit d’accéder à vos renseignements personnels, de les rectifier, de les supprimer ou d’en recevoir une copie; de retirer votre consentement; de vous opposer à certains traitements ou d’en obtenir la limitation; à la désindexation (Québec); et de déposer une plainte auprès d’une autorité de contrôle (p. ex. le Commissariat à la protection de la vie privée du Canada, la Commission d’accès à l’information du Québec ou votre autorité locale de l’UE ou du Royaume-Uni). Exercez vos droits en écrivant à privacy@cargizon.com. Nous répondons dans le délai prévu par la loi (généralement 30 jours). Si vos renseignements se trouvent dans les Données du Client, nous transmettrons votre demande au client responsable et nous l’assisterons.

Résidents de la Californie : nous ne vendons ni ne partageons de renseignements personnels au sens du CCPA/CPRA; vous pouvez exercer vos droits d’accès, de suppression et de rectification à privacy@cargizon.com, sans discrimination.

11. Communications de marketing et LCAP

Les messages électroniques commerciaux sont envoyés conformément à la Loi canadienne anti-pourriel : avec consentement (exprès ou tacite, p. ex. une relation d’affaires existante ou des coordonnées d’affaires publiées bien en vue et pertinentes au rôle du destinataire), avec l’identification de l’expéditeur et avec un mécanisme de désabonnement fonctionnel honoré promptement. Les messages transactionnels et les messages de service ne sont pas du marketing.

12. Enfants

Le Service ne s’adresse pas aux enfants et nous ne recueillons pas sciemment de renseignements personnels auprès de personnes de moins de 18 ans. Si vous croyez qu’une personne mineure a fourni des renseignements, écrivez à privacy@cargizon.com.

13. Modifications de la présente Politique

Nous publierons les mises à jour ici et nous réviserons la date de « Dernière mise à jour »; les modifications importantes seront communiquées par le Service ou par courriel. La poursuite de l’utilisation après la date d’entrée en vigueur vaut prise de connaissance.

14. Nous joindre

9485-2068 Québec Inc., Responsable de la protection de la vie privée 1433 Rue de l’Everest, Montréal (Saint-Laurent), Québec H4R 2R3, Canada privacy@cargizon.com