Évaluation des communications hors Québec
Dernière mise à jour : 18 octobre 2026
1. Objet
Avant de communiquer des renseignements personnels à l'extérieur du Québec, la loi demande d'évaluer les facteurs relatifs à la vie privée (article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé). Ce document présente l'évaluation faite par Kitobiz pour chacun de ses fournisseurs. Il complète la Politique de confidentialité et l'Entente de traitement.
2. Méthode
Pour chaque fournisseur, nous avons considéré les quatre facteurs prévus par la loi :
- la sensibilité des renseignements communiqués ;
- la finalité de leur utilisation ;
- les mesures de protection, contractuelles et techniques, dont ils bénéficient ;
- le régime juridique applicable dans l'État où ils sont communiqués, y compris les principes de protection qui y sont reconnus.
La communication n'a lieu que si l'évaluation conclut que les renseignements bénéficient d'une protection adéquate, notamment au regard des principes de protection généralement reconnus. Chaque fournisseur est lié par une entente écrite de traitement des données qui encadre l'usage, la confidentialité, la sécurité et la suppression des renseignements.
3. Évaluation par fournisseur
Supabase
- Finalité
- Base de données, authentification, stockage des fichiers (toujours)
- Lieu
- Irlande (Union européenne)
- Renseignements
- Toutes les données du service (comptes, clients, documents, fichiers)
- Sensibilité
- Élevée
- Régime juridique
- Union européenne : Règlement général sur la protection des données (RGPD), régime reconnu comme offrant une protection comparable à celle du Québec.
- Mesures de protection
- Entente de traitement des données (DPA) du fournisseur ; chiffrement au repos et en transit ; accès cloisonné par entreprise (sécurité au niveau des lignes sur toutes les tables) ; API publique de données fermée ; jetons d'intégration chiffrés par Kitobiz.
- Conclusion
- Protection adéquate : la communication est autorisée pour cette finalité seulement.
Vercel
- Finalité
- Hébergement de l'application (toujours)
- Lieu
- Irlande (Union européenne) ; diffusion des pages par un réseau mondial
- Renseignements
- Données traitées le temps d'une requête ; journaux techniques
- Sensibilité
- Moyenne
- Régime juridique
- Union européenne : Règlement général sur la protection des données (RGPD), régime reconnu comme offrant une protection comparable à celle du Québec.
- Mesures de protection
- DPA du fournisseur ; exécution des traitements fixée à Dublin ; échanges chiffrés (HTTPS) ; aucune donnée conservée hors des journaux techniques.
- Conclusion
- Protection adéquate : la communication est autorisée pour cette finalité seulement.
Sentry
- Finalité
- Signalement des erreurs techniques (toujours)
- Lieu
- Allemagne (Union européenne)
- Renseignements
- Messages d'erreur techniques, sans nom, courriel, téléphone, témoin ni contenu de formulaire
- Sensibilité
- Faible
- Régime juridique
- Union européenne : Règlement général sur la protection des données (RGPD), régime reconnu comme offrant une protection comparable à celle du Québec.
- Mesures de protection
- DPA du fournisseur ; nettoyage des courriels, téléphones et jetons avant l'envoi ; aucun enregistrement de session ; données de l'Union européenne.
- Conclusion
- Protection adéquate : la communication est autorisée pour cette finalité seulement.
Resend
- Finalité
- Envoi des courriels (toujours)
- Lieu
- États-Unis
- Renseignements
- Adresse du destinataire, nom, contenu des courriels (devis, factures, relances, rendez-vous)
- Sensibilité
- Moyenne
- Régime juridique
- États-Unis : pas de loi fédérale générale sur la protection des renseignements personnels ; lois d'États (ex. Californie) ; accès possible des autorités américaines en vertu de lois comme le CLOUD Act ou la FISA.
- Mesures de protection
- DPA du fournisseur ; transmission chiffrée ; contenu limité à ce que l'utilisateur envoie ; liens vers les documents plutôt que les documents eux-mêmes.
- Conclusion
- Protection adéquate : la communication est autorisée pour cette finalité seulement.
Stripe
- Finalité
- Abonnement Kitobiz ; paiements en ligne sur le compte Stripe de l'utilisateur (paiement en ligne activé)
- Lieu
- États-Unis et Canada
- Renseignements
- Montants, courriel du payeur ; les données de carte sont saisies directement chez Stripe
- Sensibilité
- Élevée
- Régime juridique
- États-Unis : pas de loi fédérale générale sur la protection des renseignements personnels ; lois d'États (ex. Californie) ; accès possible des autorités américaines en vertu de lois comme le CLOUD Act ou la FISA.
- Mesures de protection
- DPA du fournisseur ; certification PCI DSS niveau 1 ; aucune donnée de carte ne transite par Kitobiz ; vérification de signature de chaque événement reçu.
- Conclusion
- Protection adéquate : la communication est autorisée pour cette finalité seulement.
Cloudflare (Turnstile)
- Finalité
- Protection anti-robot des formulaires publics (formulaires publics)
- Lieu
- États-Unis
- Renseignements
- Caractéristiques techniques du navigateur, adresse IP
- Sensibilité
- Faible
- Régime juridique
- États-Unis : pas de loi fédérale générale sur la protection des renseignements personnels ; lois d'États (ex. Californie) ; accès possible des autorités américaines en vertu de lois comme le CLOUD Act ou la FISA.
- Mesures de protection
- DPA du fournisseur ; aucune donnée saisie dans le formulaire n'est transmise ; service conçu sans suivi publicitaire.
- Conclusion
- Protection adéquate : la communication est autorisée pour cette finalité seulement.
Twilio
- Finalité
- SMS et numéros de téléphone de l'assistant (sms ou assistant téléphonique activés)
- Lieu
- États-Unis
- Renseignements
- Numéros de téléphone, contenu des SMS, acheminement des appels
- Sensibilité
- Moyenne
- Régime juridique
- États-Unis : pas de loi fédérale générale sur la protection des renseignements personnels ; lois d'États (ex. Californie) ; accès possible des autorités américaines en vertu de lois comme le CLOUD Act ou la FISA.
- Mesures de protection
- DPA du fournisseur ; SMS seulement aux clients qui ne s'y opposent pas, avec désabonnement ; numéros libérés 30 jours après la fin de l'abonnement.
- Conclusion
- Protection adéquate : la communication est autorisée pour cette finalité seulement.
ElevenLabs
- Finalité
- Assistant vocal et téléphonique : reconnaissance et synthèse vocales, transcription (assistant activé)
- Lieu
- États-Unis
- Renseignements
- Voix et transcription des appels, nom et courriel si l'appelant les donne
- Sensibilité
- Élevée
- Régime juridique
- États-Unis : pas de loi fédérale générale sur la protection des renseignements personnels ; lois d'États (ex. Californie) ; accès possible des autorités américaines en vertu de lois comme le CLOUD Act ou la FISA.
- Mesures de protection
- DPA du fournisseur ; avis fixe à l'appelant dès le début de l'appel ; l'assistant ne demande jamais de donnée bancaire ni de mot de passe ; accès aux factures seulement après un code de vérification ; transcriptions effacées selon la durée du forfait.
- Conclusion
- Protection adéquate : la communication est autorisée pour cette finalité seulement.
- Finalité
- Connexion avec Google ; Google Agenda et Google Meet (si l'utilisateur les connecte)
- Lieu
- États-Unis
- Renseignements
- Courriel, nom et photo (connexion) ; service, horaire, lieu et coordonnées du client des rendez-vous confirmés (Agenda) ; début et fin des événements occupés de l'utilisateur, lus sans être conservés
- Sensibilité
- Moyenne
- Régime juridique
- États-Unis : pas de loi fédérale générale sur la protection des renseignements personnels ; lois d'États (ex. Californie) ; accès possible des autorités américaines en vertu de lois comme le CLOUD Act ou la FISA.
- Mesures de protection
- Conditions de traitement des données de Google ; accès limité aux événements de l'agenda ; des événements de l'utilisateur, seuls le début, la fin et le statut « occupé » sont lus, jamais le titre, la description ni les invités ; jetons d'accès chiffrés par Kitobiz ; déconnexion possible en tout temps.
- Conclusion
- Protection adéquate : la communication est autorisée pour cette finalité seulement.
OpenAI
- Finalité
- Brouillons de réponses (« Proposer une réponse ») et notes de rendez-vous (transcription et résumé) rédigés par l'intelligence artificielle ; lecture des photos de reçus de dépenses (quand l'utilisateur demande une proposition ou des notes de rendez-vous, ou importe la photo d'un reçu)
- Lieu
- États-Unis
- Renseignements
- Derniers échanges avec le client ou le prospect, son nom et sa langue, ses devis, factures et rendez-vous en cours ; services et heures d'ouverture de l'entreprise ; enregistrement audio ou notes d'un rendez-vous, quand l'utilisateur les fournit ; photo d'un reçu ou d'une facture de fournisseur importée par l'utilisateur
- Sensibilité
- Moyenne
- Régime juridique
- États-Unis : pas de loi fédérale générale sur la protection des renseignements personnels ; lois d'États (ex. Californie) ; accès possible des autorités américaines en vertu de lois comme le CLOUD Act ou la FISA.
- Mesures de protection
- Conditions de traitement des données de l'API d'OpenAI : données non utilisées pour entraîner ses modèles et conservées au plus 30 jours pour la détection des abus ; envoi seulement quand l'utilisateur clique ; jamais de coordonnées bancaires, de numéros de taxes ni de notes internes (une photo de reçu montre seulement ce qui y est imprimé) ; le brouillon n'est pas conservé par Kitobiz et ne part au client que si l'utilisateur l'envoie lui-même ; un enregistrement de rendez-vous exige la confirmation du consentement des participants et l'audio est supprimé par Kitobiz dès sa transcription.
- Conclusion
- Protection adéquate : la communication est autorisée pour cette finalité seulement.
Intuit (QuickBooks), Sage
- Finalité
- Synchronisation comptable (si l'utilisateur les connecte)
- Lieu
- États-Unis
- Renseignements
- Clients, factures, paiements et dépenses synchronisés
- Sensibilité
- Moyenne
- Régime juridique
- États-Unis : pas de loi fédérale générale sur la protection des renseignements personnels ; lois d'États (ex. Californie) ; accès possible des autorités américaines en vertu de lois comme le CLOUD Act ou la FISA.
- Mesures de protection
- Conditions de traitement du fournisseur ; synchronisation choisie par l'utilisateur ; jetons d'accès chiffrés par Kitobiz ; déconnexion possible en tout temps.
- Conclusion
- Protection adéquate : la communication est autorisée pour cette finalité seulement.
4. Mesures communes à tous les fournisseurs
- Minimisation : chaque fournisseur ne reçoit que les renseignements nécessaires à sa tâche.
- Chiffrement des échanges (HTTPS) et, chez l'hébergeur, des données au repos.
- Données principales hébergées dans l'Union européenne (Irlande), sous le RGPD.
- Services optionnels (téléphone, agenda, comptabilité) activés seulement si l'entreprise le choisit, et désactivables en tout temps.
- Durées de conservation limitées et suppression complète à la fermeture d'un compte.
5. Risque résiduel et révision
Pour les fournisseurs situés aux États-Unis, le risque résiduel principal est un accès par les autorités américaines en vertu de leurs lois. Il est jugé acceptable compte tenu de la sensibilité des renseignements, de la minimisation et des engagements contractuels des fournisseurs, qui prévoient notamment de contester les demandes abusives et d'en informer leurs clients lorsque la loi le permet.
Cette évaluation est révisée à chaque ajout ou changement de fournisseur, lors d'un changement important du régime juridique d'un État, et au moins une fois par année.
Responsable : Marie-Andrée Aubergiste, responsable de la protection des renseignements personnels, info@kitobiz.com.