Politique de confidentialité

Growth Plan

Dernière mise à jour : 23 juin 2026 · Vos données sont protégées et hébergées de façon sécurisée.

1. Responsable du traitement

Growth Plan (ci-après « nous ») est responsable du traitement de vos renseignements personnels dans le cadre de l'utilisation du logiciel Growth Plan.

Responsable de la protection des renseignements personnels (RPRP) :
Max — max@growth-plan.ca
Toute demande relative à vos renseignements personnels doit être adressée à cette personne.

2. Renseignements personnels collectés

Nous collectons uniquement les renseignements nécessaires aux fins décrites dans cette politique :

Informations de compte :

• Nom complet
• Adresse courriel
• Mot de passe (chiffré — nous n'y avons jamais accès)

Informations des clients (données saisies par l'entreprise utilisatrice) :

• Nom, prénom et coordonnées des clients
• Adresses de projets de construction
• Informations de facturation (montants, devis, factures)
• Communications échangées via le portail client

Données techniques :

• Adresse IP (journaux de connexion)
• Type de navigateur et appareil
• Horodatages de connexion

Nous ne collectons pas de numéros d'assurance sociale, d'informations de santé, ni de données de carte de crédit (les paiements sont gérés par des processeurs tiers certifiés).

3. Finalités du traitement

Vos renseignements sont utilisés aux seules fins suivantes :

• Authentification : vérifier votre identité lors de la connexion
• Gestion opérationnelle : création de devis, factures, gestion de chantiers
• Communication : envoi de devis, rappels et confirmations par courriel
• Sécurité : détection de fraude et protection du compte
• Amélioration du service : analyse des fonctionnalités utilisées (données agrégées et anonymisées)

Nous n'utilisons pas vos renseignements à des fins de publicité ciblée. Nous ne vendons jamais vos données à des tiers.

4. Mesures de sécurité

Nous appliquons des mesures de sécurité techniques et organisationnelles appropriées pour protéger vos renseignements :

• Chiffrement au repos : AES-256 (via Supabase / infrastructure AWS)
• Chiffrement en transit : TLS 1.2+ sur toutes les connexions
• Mots de passe : hachés avec bcrypt — nous ne pouvons pas lire votre mot de passe
• Contrôle d'accès : Row Level Security (RLS) — chaque utilisateur n'accède qu'à ses propres données
• Authentification : sessions sécurisées par jetons JWT à durée limitée
• Infrastructure : hébergée sur AWS (région us-east-1) — conformité SOC 2 Type II

En cas d'incident de confidentialité susceptible de causer un préjudice sérieux, nous vous en informerons et le déclarerons à la Commission d'accès à l'information (CAI) dans les délais requis par la Loi 25.

5. Durée de conservation

• Données de compte actif : conservées tant que le compte est actif
• Données de compte inactif : supprimées après 2 ans d'inactivité
• Factures et devis : conservés 7 ans (obligation légale fiscale québécoise)
• Journaux de connexion : conservés 90 jours
• Données supprimées à la demande : effacement sous 30 jours

6. Vos droits (Loi 25)

Conformément à la Loi 25, vous avez les droits suivants :

• Droit d'accès : consulter les renseignements que nous détenons sur vous
• Droit de rectification : corriger des informations inexactes ou incomplètes
• Droit de suppression : demander l'effacement de vos données (sous réserve des obligations légales)
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine
• Droit de retrait du consentement : retirer votre consentement à tout moment
• Droit de déposer une plainte : auprès de la Commission d'accès à l'information (CAI) du Québec

7. Partage avec des tiers

Nous partageons vos données uniquement avec :

• Supabase (base de données et authentification) — conforme SOC 2, GDPR
• Netlify (hébergement) — certifié SOC 2 Type II
• Resend (envoi de courriels transactionnels) — données minimales
• OpenAI / Anthropic / Google Gemini (fonctionnalités IA) — les documents numérisés (par exemple les factures) sont traités par ces fournisseurs d'IA
• Google Tag Manager & Google Analytics 4 (mesure d'audience et suivi de conversion) — activés exclusivement sous réserve de votre consentement explicite via notre bannière (Loi 25)
• Meta Pixel (Facebook / Instagram) (mesure des campagnes publicitaires) — activé exclusivement sous réserve de votre consentement
• Leadfox (mesure d’audience du site public) — pages marketing uniquement, pas l’ERP connecté

Aucun de ces fournisseurs n'est autorisé à utiliser vos données à d'autres fins que la prestation du service et la mesure consentie.

8. Témoins (cookies)

Témoins essentiels au fonctionnement du service (ERP connecté) :

• sb-access-token — maintient votre session de connexion (expire en 1 heure)
• sb-refresh-token — permet le renouvellement automatique de session (expire en 30 jours)

Sur le site public (growth-plan.ca), nous utilisons des témoins et technologies similaires de mesure et de publicité, uniquement si vous y consentez via la bannière (choix enregistré localement, clé erp_consent_v2) :

• Google Tag Manager / Google Analytics 4 — mesurer l'audience des pages marketing, les parcours et les conversions (ex. demande d'essai, utilisation du simulateur)
• Meta Pixel (Facebook / Instagram) — mesurer les campagnes publicitaires et les conversions associées
• Leadfox — mesure d'audience marketing (pages publiques seulement, pas l'ERP connecté)

Conformément à la Loi 25 du Québec, ces outils non essentiels ne s'activent pas tant que vous n'avez pas accepté. Vous pouvez refuser ou retirer votre consentement à tout moment via la bannière ou en nous écrivant à max@growth-plan.ca. Le refus n'empêche pas la navigation sur le site public ni l'utilisation de l'ERP une fois connecté.

9. Modifications de cette politique

Nous pouvons modifier cette politique pour refléter des changements législatifs ou opérationnels. Toute modification importante sera communiquée par courriel 30 jours avant son entrée en vigueur.

La version en vigueur est toujours accessible à cette adresse.