Politique de confidentialité

ERP Construction — NovaStructure AI Inc.

Dernière mise à jour : 23 juin 2026 · Conforme à la Loi 25 du Québec

1. Responsable du traitement

NovaStructure AI Inc. (ci-après « nous », « notre entreprise ») est responsable du traitement de vos renseignements personnels dans le cadre de l'utilisation du logiciel ERP Construction.

Responsable de la protection des renseignements personnels (RPRP) :
Max — max@growth-plan.ca
Toute demande relative à vos renseignements personnels doit être adressée à cette personne.

2. Renseignements personnels collectés

Nous collectons uniquement les renseignements nécessaires aux fins décrites dans cette politique :

Informations de compte :

• Nom complet
• Adresse courriel
• Mot de passe (chiffré — nous n'y avons jamais accès)

Informations des clients (données saisies par l'entreprise utilisatrice) :

• Nom, prénom et coordonnées des clients
• Adresses de projets de construction
• Informations de facturation (montants, devis, factures)
• Communications échangées via le portail client

Données techniques :

• Adresse IP (journaux de connexion)
• Type de navigateur et appareil
• Horodatages de connexion

Nous ne collectons pas de numéros d'assurance sociale, d'informations de santé, ni de données de carte de crédit (les paiements sont gérés par des processeurs tiers certifiés).

3. Finalités du traitement

Vos renseignements sont utilisés aux seules fins suivantes :

• Authentification : vérifier votre identité lors de la connexion
• Gestion opérationnelle : création de devis, factures, gestion de chantiers
• Communication : envoi de devis, rappels et confirmations par courriel
• Sécurité : détection de fraude et protection du compte
• Amélioration du service : analyse des fonctionnalités utilisées (données agrégées et anonymisées)

Nous n'utilisons pas vos renseignements à des fins de publicité ciblée. Nous ne vendons jamais vos données à des tiers.

4. Mesures de sécurité

Nous appliquons des mesures de sécurité techniques et organisationnelles appropriées pour protéger vos renseignements :

• Chiffrement au repos : AES-256 (via Supabase / infrastructure AWS)
• Chiffrement en transit : TLS 1.2+ sur toutes les connexions
• Mots de passe : hachés avec bcrypt — nous ne pouvons pas lire votre mot de passe
• Contrôle d'accès : Row Level Security (RLS) — chaque utilisateur n'accède qu'à ses propres données
• Authentification : sessions sécurisées par jetons JWT à durée limitée
• Infrastructure : hébergée sur AWS (région us-east-1) — conformité SOC 2 Type II

En cas d'incident de confidentialité susceptible de causer un préjudice sérieux, nous vous en informerons et le déclarerons à la Commission d'accès à l'information (CAI) dans les délais requis par la Loi 25.

5. Durée de conservation

• Données de compte actif : conservées tant que le compte est actif
• Données de compte inactif : supprimées après 2 ans d'inactivité
• Factures et devis : conservés 7 ans (obligation légale fiscale québécoise)
• Journaux de connexion : conservés 90 jours
• Données supprimées à la demande : effacement sous 30 jours

6. Vos droits (Loi 25)

Conformément à la Loi 25, vous avez les droits suivants :

• Droit d'accès : consulter les renseignements que nous détenons sur vous
• Droit de rectification : corriger des informations inexactes ou incomplètes
• Droit de suppression : demander l'effacement de vos données (sous réserve des obligations légales)
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine
• Droit de retrait du consentement : retirer votre consentement à tout moment
• Droit de déposer une plainte : auprès de la Commission d'accès à l'information (CAI) du Québec

7. Partage avec des tiers

Nous partageons vos données uniquement avec :

• Supabase (base de données et authentification) — conforme SOC 2, GDPR
• Netlify (hébergement) — certifié SOC 2 Type II
• Resend (envoi de courriels transactionnels) — données minimales
• OpenAI / Anthropic (fonctionnalités IA) — uniquement si vous utilisez les fonctions IA ; aucune donnée client identifiable n'est transmise

Aucun de ces fournisseurs n'est autorisé à utiliser vos données à d'autres fins que la prestation du service.

8. Témoins (cookies)

Nous utilisons uniquement les témoins essentiels au fonctionnement du service :

• sb-access-token — maintient votre session de connexion (expire en 1 heure)
• sb-refresh-token — permet le renouvellement automatique de session (expire en 30 jours)

Nous n'utilisons pas de témoins publicitaires, de traçage inter-sites, ni de Google Analytics.

9. Modifications de cette politique

Nous pouvons modifier cette politique pour refléter des changements législatifs ou opérationnels. Toute modification importante sera communiquée par courriel 30 jours avant son entrée en vigueur.

La version en vigueur est toujours accessible à cette adresse.