Politique de confidentialité d'AIOrouter

Version : 1.2.0 Date d'entrée en vigueur : 2026-05-13 Dernière mise à jour : 2026-05-13 ⚠️ Avis juridique: La version anglaise de ce document constitue la version officielle et fait foi en cas de divergence avec la presente traduction francaise. / The English version is the official and controlling version. English Version: Privacy Policy (EN)

1. Introduction et portée

AIOCANA Technologies Inc. (« AIOrouter », « nous », « notre »), une société fédérale canadienne basée en Ontario, exploite le service de proxy API AIOrouter à aiorouter.ca. La présente Politique de confidentialité explique comment nous recueillons, utilisons, divulguons et protégeons vos renseignements personnels lorsque vous utilisez l'API AIOrouter, le tableau de bord et le site Web (collectivement, le « Service »).

La présente politique est régie par :

En utilisant le Service, vous reconnaissez avoir lu et compris la présente Politique de confidentialité.

Pour une analyse technique détaillée de nos pratiques en matière de confidentialité, consultez notre Évaluation des facteurs relatifs à la vie privée (ÉFVP).

2. Aperçu du flux de données

Comprendre comment vos données circulent est essentiel à la transparence — un principe fondamental de la LPRPDE. Voici le flux complet des données pour chaque requête API :

Vous (Application développeur)
  │
  ├── HTTPS (chiffrement TLS 1.3)
  │
  ▼
Passerelle AIOrouter — Montréal, Canada (GCP northamerica-northeast1)
  │
  ├── 1. Authentification par clé API
  ├── 2. Pare-feu IA (détection d'injection de requête et de jailbreak)
  ├── 3. Analyseur de Renseignements Personnels (détection automatique d'informations personnelles sensibles)
  ├── 4. Pseudonymisation bidirectionnelle des RP (chiffrement réversible — Phase 2+)
  ├── 5. Routeur de modèles (sélectionne le meilleur fournisseur IA disponible)
  │
  ├── HTTPS sortant (TLS 1.3) → requête expurgée de RP uniquement
  │
  ▼
Fournisseur de modèle IA (DeepSeek, Qwen, Kimi, GLM, ou fournisseurs occidentaux)
  │
  └── Réponse ← retour via AIOrouter jusqu'à vous

Protections essentielles avant que les données ne quittent le Canada :

3. Renseignements que nous recueillons

3.1 Renseignements que vous fournissez

Élément de donnée Finalité Base légale Période de conservation
Adresse courriel Identification du compte, communications de facturation, notifications de sécurité, notification de violation Consentement (à l'inscription) + Nécessité contractuelle Jusqu'à la suppression du compte + délai de grâce de 30 jours
Profil de compte Affichage du tableau de bord, personnalisation du service Consentement Jusqu'à la suppression du compte
Transcriptions de billets de soutien (messages envoyés à support@aiorouter.ca, sujet/corps du billet, réponses, métadonnées de statut) Soutien à la clientèle, résolution d'incidents, suivi des SLA, prévention des abus Nécessité contractuelle + intérêt légitime (opérations de soutien et sécurité) Jusqu'à la résolution du billet + 1 an, ou suppression/anonymisation du compte, sauf si nécessaire pour un litige légal ou de conformité

3.2 Renseignements générés par l'utilisation du Service

Élément de donnée Finalité Base légale Période de conservation
Clé API (empreinte bcrypt uniquement — nous ne stockons jamais les clés en clair) Authentification pour l'accès API Nécessité contractuelle Jusqu'à la révocation de la clé
Identifiant de compte local Authentification du tableau de bord par l'Enclave d'authentification résidente au Canada Consentement + Nécessité contractuelle Jusqu'à la suppression du compte
Empreinte de mot de passe (si l'option de secours par mot de passe est activée — jamais en clair) Option locale de secours pour l'authentification du compte Nécessité contractuelle Jusqu'à la suppression du compte ou la réinitialisation du mot de passe
Clés publiques Passkey/WebAuthn Authentification prioritaire par passkey pour le tableau de bord Consentement + Nécessité contractuelle Jusqu'à la suppression de l'identifiant ou du compte
Secret TOTP (chiffré) et empreintes de codes de récupération Authentification multifacteur et récupération de compte Consentement + Nécessité contractuelle Jusqu'au remplacement, à l'utilisation ou à la suppression du compte
Registres d'utilisation (modèle, jetons, horodatage, coût) Facturation, tableau de bord d'utilisation, analyse des coûts Nécessité contractuelle + conformité fiscale ARC 7 ans (exigence de l'Agence du revenu du Canada)
Transactions de facturation (registres de paiement Stripe) Traitement des paiements, déclaration fiscale, rapprochement Nécessité contractuelle + conformité fiscale ARC 7 ans
Adresse IP (par requête API) Surveillance de sécurité, détection d'anomalies géographiques, limitation de débit, journalisation d'audit Intérêt légitime (sécurité) 90 jours (avec les journaux d'audit)
Agent utilisateur (par requête API) Surveillance de sécurité, analyse de compatibilité Intérêt légitime (sécurité) 90 jours
Résultats d'analyse RP (indicateurs booléens de détection + noms des types de RP uniquement — AUCUNE valeur RP réelle) Audit de conformité, détection de violation de confidentialité Obligation légale (LPRPDE) 90 jours (dans les journaux d'audit GCS)
Registres de consentement (portée, version, horodatage) Conformité au consentement LPRPDE, gestion du re-consentement Obligation légale (LPRPDE) Jusqu'à la suppression du compte
Demandes DARP (type de demande, statut, résolution) Conformité au principe 9 de la LPRPDE (accès individuel) Obligation légale (LPRPDE) 1 an après la résolution
Registres de violation (type d'incident, données affectées, statut de notification) Conformité à la notification de violation LPRPDE Obligation légale (LPRPDE) 2 ans après la résolution
Journaux d'audit d'authentification (événements de connexion, défis MFA, activité de session) Surveillance de sécurité, détection de prise de contrôle de compte Intérêt légitime (sécurité) 90 jours
Registres de session active (info appareil, IP, dernière activité) Gestion des sessions, déconnexion à distance Nécessité contractuelle Jusqu'à l'expiration de la session ou la déconnexion

3.3 Renseignements que nous NE recueillons PAS

3.4 Contenu des requêtes — Avis spécial

Vos requêtes (le texte que vous envoyez aux modèles IA) ne sont jamais stockées, enregistrées ou conservées. Elles existent uniquement dans la mémoire du serveur pendant la brève période entre la réception de votre demande et le retour de la réponse du modèle IA (généralement <500 ms). Après le retour de la réponse, la requête est définitivement supprimée de la mémoire sans possibilité de récupération.

Nous ne :

4. Comment nous utilisons vos renseignements

Nous utilisons vos renseignements personnels aux fins suivantes, et à aucune autre fin sans votre consentement :

4.1 Prestation du Service

4.2 Sécurité et conformité

4.3 Communication

4.4 Amélioration du Service (anonymisée uniquement)

Nous n'utilisons PAS vos renseignements personnels pour :

5. Protection des RP et mesures de sécurité

Le principe 7 de la LPRPDE exige que nous protégions vos renseignements personnels par des mesures de sécurité appropriées à la sensibilité des renseignements. AIOrouter met en œuvre un bouclier de confidentialité multicouche :

Couche 0 : Infrastructure de confidentialité (intégrée — Tous les utilisateurs)

Contrôle Description
Conservation zéro des requêtes Les requêtes sont traitées exclusivement en mémoire du serveur et jamais conservées sur disque, base de données ou fichiers journaux. Appliqué techniquement — aucun chemin de stockage n'existe pour le contenu des requêtes.
Résidence des données au Canada Toute l'infrastructure (Cloud Run, Cloud SQL, Redis, GCS, bucket d'audit Cloud Logging) fonctionne dans northamerica-northeast1 (Montréal, Québec, Canada). Vos données ne quittent jamais la juridiction canadienne, sauf pour la requête minimale expurgée de RP transmise au fournisseur IA que vous avez sélectionné.
Chiffrement TLS 1.3 Toutes les données en transit (entrantes de vous et sortantes vers les fournisseurs IA) sont chiffrées avec TLS 1.3, la norme actuelle de l'industrie.
HTTPS uniquement Le Service n'accepte que les connexions via HTTPS. Les requêtes HTTP sont automatiquement rejetées.

Couche 1 : Expurgation unidirectionnelle des RP (intégrée — Tous les utilisateurs)

Contrôle Description
Intégration GCP DLP L'API Google Cloud Data Loss Prevention (DLP) analyse automatiquement toutes les requêtes sortantes pour 7 types d'info canadiens : NAS, numéros de carte de crédit, numéros de carte d'assurance maladie, adresses courriel, numéros de téléphone, noms de personnes et adresses postales.
Expurgation automatique Les RP détectés sont remplacés par [EXPURGÉ {TYPE}] avant que la requête ne quitte notre infrastructure.
Pare-feu IA 21 catégories de règles détectent et bloquent les injections de requête, les tentatives de jailbreak et le contenu malveillant avant le traitement.
Analyse RP des réponses Les réponses des modèles IA sont analysées pour détecter les fuites de RP (certains modèles peuvent retourner par inadvertance des RP de leurs données d'entraînement). Les RP détectés dans les réponses sont signalés dans les journaux d'audit.

Couche 1.5 : Pseudonymisation bidirectionnelle des RP (Phase 2+)

Lorsqu'elle est activée, GCP DLP CryptoDeterministicConfig avec chiffrement AES-256-SIV remplace les RP détectés par des espaces réservés sémantiques réversibles (par ex., [PERSONNE_1] au lieu de [NOM EXPURGÉ]). Cela préserve la compréhension du LLM tout en maintenant la confidentialité cryptographique — les valeurs d'origine ne peuvent être récupérées qu'avec des clés stockées dans GCP Cloud KMS (Montréal). Consultez notre Architecture de sécurité pour les détails techniques.

Mesures de protection supplémentaires

Contrôle Description
WAF Cloud Armor Le pare-feu d'application Web Google Cloud Armor avec l'ensemble de règles de base OWASP ModSecurity protège contre l'injection SQL, XSS, le parcours de chemin et autres attaques Web en périphérie du réseau.
Chiffrement au repos CMEK Toutes les données au repos (Cloud SQL, journaux d'audit GCS) sont chiffrées à l'aide de clés de chiffrement gérées par Google, avec des clés de chiffrement gérées par le client (CMEK) disponibles pour les entreprises clientes.
Sécurité Redis Les connexions Redis Memorystore nécessitent une authentification par mot de passe TLS + AUTH. Les instances Redis sont sur un VPC privé uniquement — aucun point de terminaison public.
Conteneur non-root Les conteneurs de production s'exécutent en tant qu'utilisateur non-root avec un système de fichiers en lecture seule, sans capacités Linux, et des images de base distroless (pas d'accès shell).
Sécurité des clés API Les clés API sont stockées sous forme d'empreintes bcrypt (facteur de coût ≥12). Les clés en clair ne sont jamais stockées et ne peuvent pas être récupérées — si elles sont perdues, vous devez générer une nouvelle clé.

Pour les détails techniques complets, consultez notre document Architecture de sécurité.

5.5 Gestion interne de la confidentialité

Le principe 1 de la LPRPDE (Responsabilité) exige que nous mettions en œuvre des pratiques internes pour protéger vos renseignements personnels. AIOrouter maintient le programme de gestion interne de la confidentialité suivant :

Formation des employés : Tout le personnel d'AIOCANA Technologies Inc. ayant accès aux données des clients doit signer un accord de confidentialité (NDA) avant l'intégration et suivre une formation annuelle sur la conformité en matière de confidentialité. La formation couvre :

Contrôle d'accès : Nous appliquons le principe du moindre privilège — tout accès aux systèmes de production nécessite une authentification multifactorielle (MFA). Les opérations privilégiées sont consignées dans des pistes d'audit stockées dans un compartiment GCS à Montréal avec versionnement d'objets, accès uniforme au niveau du compartiment, blocage de l'accès public, et une politique de cycle de vie de rétention de 400 jours (verrouillage de compartiment disponible sur le palier Entreprise). Les droits d'accès sont examinés trimestriellement et immédiatement révoqués en cas de changement de rôle ou de départ.

Audit interne : Nous effectuons des examens internes réguliers des pratiques de confidentialité, des modèles d'accès aux données et des contrôles de sécurité. Les conclusions sont documentées et corrigées selon leur gravité.

Ces mesures internes sont disponibles pour examen par les partenaires sur demande. Contactez privacy@aiorouter.ca pour notre résumé de gestion interne de la confidentialité.

6. Partage de données et sous-traitants

Nous partageons vos renseignements uniquement comme décrit ci-dessous. Nous ne vendons, ne louons ni n'échangeons vos renseignements personnels.

6.1 Sous-traitants

Sous-traitant Service fourni Données partagées Emplacement
Google Cloud Platform (GCP) Cloud Run, Cloud SQL, Redis Memorystore, GCS, Secret Manager, Cloud DLP, Cloud KMS Toutes les données d'infrastructure (voir §3.2) Montréal, Canada
Stripe, Inc. Traitement des paiements Données de transaction de paiement, 4 derniers chiffres de la carte, adresse de facturation (CAD) Mondial (Stripe Canada)
DeepSeek Inférence de modèle IA (DeepSeek V4 Pro, R2) Contenu de requête expurgé de RP (en mémoire uniquement) Chine / Mondial
Alibaba Cloud (Qwen) Inférence de modèle IA (Qwen3-235B) Contenu de requête expurgé de RP (en mémoire uniquement) Chine / Mondial
Moonshot AI Inférence de modèle IA (Kimi-K2) Contenu de requête expurgé de RP (en mémoire uniquement) Chine
Zhipu AI Inférence de modèle IA (GLM-5) Contenu de requête expurgé de RP (en mémoire uniquement) Chine
Baidu AI Cloud Inférence de modèle IA (Ernie 5.0) Contenu de requête expurgé de RP (en mémoire uniquement) Chine
OpenAI Inférence de modèle IA (GPT-5.5 — au coût) Contenu de requête expurgé de RP (en mémoire uniquement) États-Unis
Anthropic Inférence de modèle IA (Claude — au coût) Contenu de requête expurgé de RP (en mémoire uniquement) États-Unis
Google AI Inférence de modèle IA (Gemini — au coût) Contenu de requête expurgé de RP (en mémoire uniquement) États-Unis

Note importante concernant les fournisseurs IA : Le contenu de la requête transmis aux fournisseurs IA a été expurgé de RP par notre couche de sécurité AVANT de quitter le Canada. Les fournisseurs IA reçoivent uniquement le contenu expurgé/pseudonymisé, PAS vos requêtes originales avec renseignements personnels.

Résidence de l'authentification : Par défaut, les identifiants de compte AIOrouter, les clés publiques passkey, les secrets TOTP chiffrés, les empreintes de codes de récupération, les sessions et les journaux d'audit d'authentification sont traités dans l'infrastructure canadienne. L'OAuth optionnel ou le SSO d'entreprise peut impliquer un fournisseur d'identité tiers uniquement lorsqu'il est activé par AIOrouter et explicitement choisi ou contracté par le client; tout tel fournisseur sera divulgué avant utilisation.

6.2 Circonstances où nous pouvons divulguer des renseignements

Nous pouvons divulguer vos renseignements :

6.3 Nouveaux sous-traitants

Nous vous informerons au moins 30 jours avant d'engager tout nouveau sous-traitant non listé ci-dessus. Vous pouvez vous opposer à de nouveaux sous-traitants pour des motifs raisonnables de protection des données. Les entreprises clientes ont des droits supplémentaires en vertu de notre Accord de traitement des données (DPA).

7. Conservation des données

Nous conservons vos renseignements personnels uniquement aussi longtemps que nécessaire aux fins décrites dans la présente politique :

Catégorie de données Période de conservation Base légale/opérationnelle
Adresse courriel Jusqu'à la suppression du compte + 30 jours de grâce Identification du compte
Clé API (empreinte bcrypt) Jusqu'à la révocation de la clé Authentification
Registres locaux d'authentification du compte Jusqu'à la suppression du compte Accès au tableau de bord
Registres passkey/TOTP/récupération Jusqu'à la suppression de l'identifiant, au remplacement, à l'utilisation ou à la suppression du compte MFA et récupération de compte
Registres d'utilisation (modèle, jetons, coût) 7 ans Exigences de tenue de registres fiscaux de l'Agence du revenu du Canada (ARC)
Transactions de facturation (Stripe) 7 ans Exigences de l'ARC + audit financier
Adresses IP 90 jours Sécurité + audit
Résultats d'analyse RP (indicateurs uniquement) 90 jours Audit de conformité LPRPDE
Registres de consentement Jusqu'à la suppression du compte Conformité au consentement LPRPDE
Demandes DARP 1 an après la résolution Registre de conformité LPRPDE
Registres de violation 2 ans après la résolution Exigence de l'annexe 1 de la LPRPDE
Transcriptions de billets de soutien Jusqu'à la résolution du billet + 1 an, ou suppression/anonymisation du compte sauf si nécessaire pour un litige légal ou de conformité Soutien à la clientèle et audit SLA
Journaux d'audit d'authentification 90 jours Surveillance de sécurité
Sessions actives Jusqu'à l'expiration ou la déconnexion Gestion des sessions

Après l'expiration des périodes de conservation, les données sont définitivement supprimées ou irréversiblement anonymisées. Les registres de facturation requis par l'ARC sont conservés pendant la période complète de 7 ans.

Le contenu des requêtes n'est jamais conservé — il existe uniquement en mémoire pendant le traitement actif de la requête et est définitivement supprimé lors du retour de la réponse.

8. Vos droits

En vertu de la LPRPDE et de la Loi 25 du Québec, vous disposez des droits suivants concernant vos renseignements personnels :

8.1 Droit d'accès

Vous pouvez consulter les renseignements de votre compte, l'historique d'utilisation, les registres de facturation et l'état des consentements directement dans le tableau de bord AIOrouter à tout moment.

8.2 Droit à la portabilité des données (Loi 25 §14)

Vous pouvez exporter vos données personnelles dans un format structuré et lisible par machine via le tableau de bord ou en soumettant une Demande d'accès aux renseignements personnels (DARP) à privacy@aiorouter.ca. Nous répondrons dans un délai de 30 jours.

8.3 Droit à la suppression (Loi 25 §15)

Vous pouvez demander la suppression de vos renseignements personnels en soumettant une demande à privacy@aiorouter.ca. La suppression du compte comprend :

8.4 Droit de retirer le consentement

Vous pouvez retirer votre consentement pour le traitement facultatif des données (communications marketing, partage de données avec des tiers) à tout moment via le tableau de bord. Le retrait du consentement n'affecte pas la licéité du traitement fondé sur le consentement avant son retrait.

8.5 Droit de contester la conformité (LPRPDE Principe 10)

Vous pouvez contester notre conformité à la présente Politique de confidentialité en contactant notre responsable de la protection des renseignements personnels à privacy@aiorouter.ca. Nous enquêterons et répondrons à toutes les plaintes dans un délai de 30 jours. Vous avez également le droit de déposer une plainte auprès de :

8.6 Transparence des décisions automatisées (Loi 25 §12.1)

AIOrouter utilise un routage automatisé de modèles pour sélectionner le meilleur fournisseur IA pour vos requêtes en fonction de la disponibilité, du coût et de la performance. Ce routage est purement opérationnel (non juridique ni de profilage). Vous pouvez voir quel fournisseur a traité votre requête dans l'en-tête de réponse X-Provider. Si vous estimez qu'une décision de routage automatisée vous a affecté négativement, contactez privacy@aiorouter.ca pour un examen humain.

9. Témoins et suivi

9.1 Tableau de bord (application Web)

Notre tableau de bord utilise uniquement des témoins de session essentiels :

9.2 Points de terminaison API

Nos points de terminaison API (/v1/*) n'utilisent aucun témoin. L'authentification se fait via l'en-tête Authorization: Bearer {api_key}.

9.3 Signal Ne pas suivre (Do Not Track)

Nous respectons les signaux de navigateur Ne pas suivre (DNT). Comme nous n'utilisons aucun témoin de suivi, cela n'a aucun effet pratique — mais nous respectons le signal.

10. Confidentialité des enfants

Le Service AIOrouter n'est pas destiné aux personnes de moins de 16 ans. Nous ne recueillons pas sciemment de renseignements personnels auprès d'enfants. Si vous croyez qu'un enfant nous a fourni des renseignements personnels, contactez immédiatement privacy@aiorouter.ca et nous supprimerons ces renseignements.

11. Transferts internationaux de données

11.1 Résidence des données au Canada

Tout le traitement et le stockage principaux des données ont lieu à Montréal, Québec, Canada (GCP northamerica-northeast1). Vos renseignements personnels (courriel, empreinte de clé API, registres d'utilisation, données de facturation) ne quittent jamais le Canada.

11.2 Transfert sortant des requêtes

Vos requêtes, après expurgation des RP, sont transmises aux fournisseurs de modèles IA dont les serveurs peuvent être situés en Chine ou aux États-Unis. Ces transferts sont :

En utilisant le Service, vous consentez à ce transfert transfrontalier minimal de données aux fins de l'inférence de modèle IA.

12. Mises à jour de la politique

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre pour refléter les changements dans nos pratiques, les exigences légales ou les fonctionnalités du Service. Lorsque nous apportons des modifications importantes :

Le numéro de version et la date de dernière mise à jour sont affichés en haut de cette page. Nous vous encourageons à consulter cette politique périodiquement.

Historique des versions :

Version Date Résumé des modifications
1.1.0 2026-05-05 Réparation de la résidence de l'authentification — l'authentification de compte par défaut reste dans l'infrastructure canadienne; IdP/SSO tiers optionnel uniquement avec divulgation et opt-in
1.0.0 2026-05-05 Publication initiale — politique complète conforme à la LPRPDE et à la Loi 25

13. Coordonnées et responsabilité

Responsable de la protection des renseignements personnels

En vertu du Principe 1 de la LPRPDE (Responsabilité), AIOCANA Technologies Inc. a désigné un responsable de la protection des renseignements personnels chargé de la conformité à la présente Politique :

Demandes générales

Processus de plainte LPRPDE

Si vous n'êtes pas satisfait de notre réponse, vous avez le droit de déposer une plainte auprès du Commissariat à la protection de la vie privée du Canada :

Résidents du Québec — Loi 25

Les résidents du Québec peuvent également déposer une plainte auprès de la Commission d'accès à l'information du Québec :

14. Base légale et droit applicable

La présente Politique de confidentialité est régie par les lois de la province de Québec et les lois fédérales du Canada, y compris mais sans s'y limiter :

Documents connexes :