Politique de confidentialité

Table des matières

1. Qui nous sommes et qui contacter

Neo-Frais est une application web développée et exploitée par :

Cap Commun, aussi connue sous le nom Les Solutions Teo Support, entreprise individuelle immatriculée au Québec. Montréal (Québec), Canada — 4388 rue Saint-Denis, suite 200 #1105, Montréal, QC, H2J 2L1, Canada.

La personne responsable de la protection des renseignements personnels

La Loi 25 exige que chaque entreprise nomme une personne responsable de la protection des renseignements personnels, et que ses coordonnées soient publiques. Chez nous, c'est :

Téo Blanc, propriétaire de Cap Commun, administrateur agréé (Adm.A.)
Courriel : teo@cap-commun.com

C'est la personne à qui écrire pour toute question, toute demande d'accès à vos renseignements, toute correction, ou toute plainte. Vous n'avez pas à formuler votre demande en langage juridique — écrivez simplement ce que vous voulez savoir ou obtenir.

2. Deux responsables, deux rôles — la chose la plus importante à comprendre

C'est le point que les gens comprennent le moins bien, et c'est celui qui détermine à qui vous devez vous adresser quand quelque chose ne va pas. Prenez trente secondes ici, ça vous en fera gagner beaucoup plus tard.

Neo-Frais est ce qu'on appelle un logiciel-service (en anglais SaaS) : votre organisation s'abonne à un outil que nous fournissons, et l'utilise pour gérer ses propres affaires. Résultat, il y a deux organisations différentes qui décident de choses différentes à propos de vos renseignements.

Ce que votre organisation (votre employeur) décide

Votre employeur est ce que la loi québécoise appelle la personne qui exploite une entreprise relativement aux données de remboursement : c'est lui qui décide de collecter ces renseignements, pourquoi, et qui y a accès. Concrètement, votre employeur décide :

• Qui a un compte dans l'organisation, et qui est administrateur ou approbateur.
• Qui voit vos demandes de remboursement — les règles d'approbation sont configurées par votre organisation, pas par nous.
• Quelles dépenses sont admissibles, quels barèmes s'appliquent, quels projets existent.
• Combien de temps ses données comptables sont conservées dans l'outil, et quand elles sont purgées.
• Ce qu'il fait de ces renseignements en dehors de Neo-Frais (les exporter, les transmettre à son comptable, les verser à votre dossier d'employé).

Si vous voulez savoir pourquoi telle dépense a été refusée, qui a vu votre demande, ou faire supprimer une demande : adressez-vous d'abord à votre employeur. Nous n'avons ni le droit ni la légitimité de modifier les dossiers de son organisation à la demande d'un de ses employés — pas plus qu'un fournisseur de classeurs n'a le droit d'ouvrir vos filières pour en retirer un document.

Ce que Cap Commun décide

Nous sommes le fournisseur de service qui héberge et fait fonctionner l'outil. Sur les données de remboursement, nous agissons pour le compte de votre organisation : nous les stockons, nous les protégeons, nous ne les utilisons pour rien d'autre.

Mais il y a des renseignements sur lesquels nous décidons nous-mêmes, en toute responsabilité :

• Votre compte d'utilisateur : votre adresse courriel, votre nom, votre mot de passe (que nous ne connaissons pas — voir la section 9), votre double authentification, vos sessions ouvertes.
• La sécurité de la plateforme : les tentatives de connexion, les adresses IP utilisées pour bloquer les attaques.
• La mesure d'audience : Google Analytics, si et seulement si vous l'avez acceptée.
• La facturation de l'abonnement à votre organisation.
• Les retours que vous nous envoyez volontairement par le formulaire de suggestion.

Pour tout ça, écrivez-nous directement à teo@cap-commun.com.

Résumé en tableau

Ce tableau présente les responsabilités et la personne-ressource pour chaque type de renseignement. Pour votre nom, courriel, mot de passe et authentification à deux facteurs (2FA), ainsi que pour les témoins (cookies), la mesure d'audience, la sécurité, les journaux techniques, les adresses IP et la facturation de l'abonnement, c'est Cap Commun qui prend les décisions et que vous devez contacter à teo@cap-commun.com (avec votre consentement pour les cookies et la mesure d'audience). En revanche, vos demandes de remboursement, vos reçus, vos montants et les règles d'approbation ou de visibilité au sein de votre organisation sont sous la responsabilité de votre organisation ; vous devez donc vous adresser à votre administrateur ou à votre gestionnaire.

3. Quels renseignements nous recueillons, et ce que nous ne savons pas

Nous détaillons chaque catégorie. Pour chacune, nous disons aussi ce que nous ne savons pas — parce que c'est souvent l'information la plus rassurante, et celle que personne ne prend le temps d'écrire.

3.1 Votre compte

Ce tableau détaille les renseignements personnels recueillis pour votre compte. Votre prénom, nom et adresse courriel (qui sert d'identifiant) sont fournis par vous ou votre administrateur et sont obligatoires. Un mot de passe est obligatoire et défini par vous pour chaque compte, même si vous privilégiez la connexion via Google ou Microsoft. La date de création du compte et le rôle au sein de l'organisation (employé ou administrateur, attribué par votre organisation) sont également obligatoires. Enfin, le secret de double authentification (2FA), généré par l'application, demeure facultatif.

Comment un compte est créé. Vous ne pouvez pas ouvrir un compte Neo-Frais tout seul. Soit l'administrateur de votre organisation vous ajoute, soit votre organisation dépose une demande d'ouverture que nous examinons. Ce verrou est délibéré : il évite qu'une personne extérieure se retrouve dans les données d'un organisme.

Ce que nous ne savons pas : votre mot de passe. Nous ne le stockons pas. Nous stockons une empreinte mathématique irréversible (voir la section 9). Si vous l'oubliez, nous ne pouvons pas vous le dire — seulement vous permettre d'en créer un nouveau.

3.2 Si vous vous connectez avec Google ou Microsoft

C'est la section que le plus de gens veulent lire, alors prenons le temps de bien l'expliquer.

Ce que « se connecter avec Google » veut dire techniquement. Quand vous cliquez sur ce bouton, Neo-Frais ne reçoit jamais votre mot de passe Google. Voici ce qui se passe réellement :

1. Votre navigateur quitte Neo-Frais et va chez Google (ou Microsoft). Nous ne voyons rien de ce qui se passe là-bas.
2. Vous vous authentifiez chez eux, comme d'habitude. Google vous montre un écran qui dit exactement ce que Neo-Frais demande.
3. Google renvoie votre navigateur vers Neo-Frais avec un jeton temporaire.
4. Notre serveur échange ce jeton contre une carte d'identité numérique signée par Google, qui contient un nombre très limité d'informations.

Ce que contient cette carte d'identité, et donc ce que nous recevons :

Ce tableau énumère les informations précises transmises à Neo-Frais lors de la connexion avec Google ou Microsoft. Il s'agit uniquement de votre nom tel qu'il figure dans votre compte (ex. Marie Tremblay), de votre adresse courriel (ex. marie.tremblay@organisme.org), de la confirmation que le fournisseur a vérifié cette adresse (ex. oui) et d'un identifiant numérique unique et permanent (ex. 10769150350006150715113082).

C'est tout. Il n'y a rien d'autre. Cet identifiant numérique ne veut rien dire ailleurs : il ne sert qu'à reconnaître que c'est bien vous quand vous revenez.

Ce que nous ne recevons pas, et ne pourrons jamais recevoir avec cette configuration :

• Vos courriels, vos brouillons, vos contacts
• Votre agenda, vos rendez-vous, vos réunions
• Vos fichiers Google Drive ou OneDrive, vos documents
• Votre adresse postale, votre numéro de téléphone, votre date de naissance
• Votre historique de recherche ou de navigation
• Ce que vous faites sur les autres sites où vous utilisez le même compte
• Votre photo de profil (nous ne la demandons pas)
• Votre mot de passe — ni maintenant, ni jamais

Pourquoi c'est vrai et pas seulement une promesse. Un service qui utilise la connexion Google doit déclarer à l'avance la liste précise de ce qu'il demande — on appelle ça des portées (en anglais, scopes). Neo-Frais déclare exactement trois portées : openid, email et profile. Ce sont les trois plus basiques qui existent. Pour obtenir votre agenda, il faudrait demander une portée supplémentaire, et Google vous afficherait un écran de consentement différent, qui nommerait explicitement l'agenda. Vous verriez la différence.

Un détail qui compte : dans Neo-Frais, se connecter avec Google ou Microsoft ne crée jamais un compte. Vous devez d'abord avoir un compte, puis associer volontairement Google ou Microsoft depuis la page « Mon compte ». Vous pouvez dissocier ce lien à tout moment au même endroit ; votre mot de passe continue de fonctionner.

Le revers de la médaille, à connaître : quand vous cliquez sur le bouton, Google ou Microsoft apprend que vous utilisez Neo-Frais, à quel moment, et depuis quel appareil. Ça, nous ne pouvons pas l'empêcher — c'est inhérent au fait de leur demander de vous authentifier. Si ça vous dérange, utilisez simplement votre courriel et votre mot de passe : c'est une option complète, jamais dégradée.

3.3 Vos demandes de remboursement

Ce sont les données pour lesquelles l'application existe. Elles appartiennent à votre organisation (voir la section 2) et nous les hébergeons pour elle.

• Les demandes d'autorisation préalable : ce que vous prévoyez dépenser, pourquoi, pour quel projet.
• Les demandes de remboursement : chaque ligne de dépense — montant, devise, date, catégorie, description, taxes (TPS, TVQ, TVH, autres).
• Les rapports de déplacement : indemnités quotidiennes (per diem), kilométrage, reçus de voyage.
• Les pièces justificatives que vous téléversez : photos de reçus, factures, billets. Formats acceptés : PDF, PNG, JPEG, WebP, HEIC. Maximum 15 Mo par fichier.
• L'historique d'approbation : qui a approuvé ou refusé, quand, avec quel commentaire, et quelles modifications un administrateur a apportées à votre demande.

Attention à une chose que vous contrôlez, vous. Une photo de reçu peut contenir des renseignements que vous n'aviez pas l'intention de partager — un numéro de carte partiellement visible, une adresse personnelle, la nature d'un achat en pharmacie. Nous ne pouvons pas deviner ce qui se trouve sur vos photos. Cadrez sur ce qui est nécessaire à la justification de la dépense, et rien de plus.

3.4 Données techniques et de sécurité

Ces renseignements-là, nous en sommes pleinement responsables. Ils servent uniquement à faire fonctionner et à protéger l'application.

Ce tableau présente les données techniques et de sécurité recueillies, leur utilité et leur durée de conservation. Votre adresse IP est collectée lors d'une connexion ou d'une réinitialisation de mot de passe pour bloquer les attaques automatisées, puis effacée après 15 minutes à 1 heure. Vos sessions ouvertes (sous forme de jeton) vous gardent connecté pendant 7 jours avant d'expirer automatiquement. Les journaux d'anomalies techniques permettent de détecter et corriger les pannes et sont supprimés après 90 jours. Enfin, les retours et suggestions envoyés volontairement (nom, courriel, message) servent à améliorer le produit et sont conservés tant qu'ils demeurent utiles.

Ce que nous ne faisons pas avec votre adresse IP : nous ne l'utilisons pas pour vous localiser, pas pour vous profiler, pas pour de la publicité, et nous ne la conservons pas au-delà de la fenêtre anti-attaque. Elle n'est associée à aucun historique de navigation.

3.5 Mesure d'audience

Uniquement si vous avez cliqué « J'accepte » sur le bandeau. Voir la section 10 et la Politique de témoins, qui donne le détail outil par outil.

3.6 Ce que nous ne recueillons jamais

Pour être complets, voici ce qui ne figure nulle part dans Neo-Frais :

• Numéro d'assurance sociale, permis de conduire, ou tout autre numéro d'identité gouvernementale
• Numéro de carte bancaire ou coordonnées bancaires personnelles (voir Stripe à la section 6 : nous ne les voyons jamais)
• Renseignements de santé, origine, religion, orientation sexuelle, opinions politiques, appartenance syndicale
• Données biométriques (empreinte digitale, reconnaissance faciale)
• Votre géolocalisation
• Le contenu de vos autres applications, de vos appareils ou de vos autres comptes

4. Pourquoi nous les recueillons

La loi québécoise interdit de recueillir un renseignement personnel sans un intérêt sérieux et légitime, et interdit d'en recueillir plus que nécessaire. Voici, pour chaque finalité, ce que nous utilisons et sur quel fondement.

Ce tableau indique les finalités de la collecte des renseignements, les données utilisées et leur fondement juridique. L'accès à votre compte (courriel, mot de passe, 2FA), le traitement des demandes de remboursement (données de demande) et l'envoi de courriels de service (courriel, nom, référence) reposent sur la nécessité d'exécuter le service ou le contrat avec votre organisation. La protection des comptes (adresse IP, tentatives de connexion) repose sur un intérêt légitime en sécurité. La facturation de l'abonnement (nom de l'organisation, courriel de l'administrateur) est nécessaire au contrat. L'amélioration de l'application (données de navigation anonymes) exige votre consentement explicite et révocable. La lecture automatique d'un reçu (image du reçu) découle de votre action volontaire. Enfin, le traitement de vos questions et demandes de droits (vos messages) constitue une obligation légale.

Nous n'utilisons vos renseignements pour aucune autre fin. Si un jour nous voulions en ajouter une, nous vous le dirions et, quand la loi l'exige, nous vous demanderions votre consentement d'abord.

5. Où vos données sont hébergées : Cloudflare, expliqué

5.1 Qu'est-ce que Cloudflare ?

Cloudflare, Inc. est une entreprise technologique américaine, cotée en bourse (NYSE : NET), dont le siège social est à San Francisco, en Californie. Fondée en 2009, elle exploite l'un des plus grands réseaux d'infrastructure Internet au monde, avec des centres de données dans plus de 330 villes.

À l'origine, Cloudflare faisait deux choses : accélérer les sites web et les protéger contre les attaques. Aujourd'hui, elle loue aussi de la puissance de calcul et du stockage — c'est ce qu'on appelle de l'infonuagique (cloud). C'est un fournisseur d'infrastructure comparable à Amazon Web Services, Microsoft Azure ou Google Cloud, et il est utilisé par une part très importante des sites web mondiaux.

Il faut le dire clairement : Cloudflare n'est pas notre partenaire commercial ni notre associé. C'est notre hébergeur. Nous leur louons de l'infrastructure, comme un commerçant loue un local. Ils n'ont aucun droit sur les données qu'ils hébergent pour nous, et n'y ont pas accès pour leurs propres fins.

5.2 Quels services de Cloudflare nous utilisons, et pour quoi

Ce tableau décrit les différents services Cloudflare utilisés par Neo-Frais. Cloudflare D1 est la base de données contenant l'ensemble des données texte (comptes, mots de passe hachés, demandes, décisions). Cloudflare R2 stocke les fichiers des pièces justificatives (reçus et factures). Cloudflare Workers exécute la logique applicative (API) sans stockage permanent. Cloudflare Pages héberge l'interface web sans stocker de données personnelles. Cloudflare Turnstile fournit le test anti-robot sur les pages de connexion via des signaux techniques. Cloudflare Registrar/DNS gère le nom de domaine neo-frais.com sans donnée personnelle. Enfin, Cloudflare Web Analytics mesure l'audience sans témoins ni identification à partir de statistiques agrégées.

5.3 Où sont physiquement rangées vos données ?

Nos bases de données ont été créées depuis Montréal, sans restriction de juridiction. Cloudflare place alors la base dans la région qu'il juge la plus proche, soit sa région « Est de l'Amérique du Nord » (enam). Cette région comprend le Canada et les États-Unis, et Cloudflare ne garantit pas que la donnée demeure au Canada. Les copies de sauvegarde suivent la même règle.

Nous vous le disons sans détour parce que c'est un fait juridiquement significatif : vos renseignements peuvent être stockés ou traités aux États-Unis, et y être soumis au droit américain. Voir la section 7.

Cloudflare offre des options de localisation restreinte à l'Union européenne ou à des centres conformes FedRAMP, mais aucune option « Canada seulement » n'existe actuellement pour ce service, et une juridiction ne peut de toute façon pas être ajoutée après la création d'une base de données.

5.4 Que dit Cloudflare de son côté ?

Nous ne vous demandons pas de nous croire sur parole. Voici leurs propres documents, en anglais dans leur version officielle :

• Politique de confidentialité de Cloudflare — ce qu'ils font des données : cloudflare.com/privacypolicy
• Conditions d'utilisation (Terms of Use) — le contrat général : cloudflare.com/terms
• Conditions des services d'abonnement (Self-Serve Subscription Agreement) — le contrat qui s'applique à notre compte : cloudflare.com/terms
• Addenda de traitement des données (Data Processing Addendum, DPA) — l'engagement contractuel de Cloudflare à ne traiter les données que sur nos instructions, à les sécuriser, et à nous aider en cas d'incident : cloudflare.com/cloudflare-customer-dpa
• Liste des sous-traitants ultérieurs de Cloudflare — les entreprises auxquelles Cloudflare fait elle-même appel : cloudflare.com/gdpr/subprocessors
• Centre de confiance (Trust Hub) — certifications, rapports SOC 2, ISO 27001 : cloudflare.com/trust-hub
• Rapports de transparence — les demandes gouvernementales reçues et ce qu'ils y répondent : cloudflare.com/transparency

Les deux points à retenir de ces documents :

1. Cloudflare s'engage contractuellement (par le DPA) à traiter les données de ses clients uniquement selon leurs instructions, à ne pas les vendre, et à ne pas les utiliser à ses propres fins.
2. Cloudflare peut néanmoins être contrainte par une autorité judiciaire de divulguer des données. C'est vrai de tout hébergeur, dans tout pays. Leur politique publiée est de contester les demandes trop larges et d'informer le client quand la loi le permet.

6. Les autres entreprises qui interviennent

En dehors de Cloudflare, cinq entreprises interviennent dans le fonctionnement de Neo-Frais. Chacune reçoit le minimum nécessaire à sa tâche, et rien de plus.

6.1 Le tableau complet

Ce tableau recense les entreprises tierces qui interviennent dans l'application, leur rôle, les données transmises, le moment du transfert et leur politique de confidentialité. Cloudflare, Inc. (É.-U.) héberge la plateforme et reçoit toutes les données stockées en permanence. Sentry (Functional Software, Inc., É.-U.) est utilisé pour la surveillance des erreurs et de la cybersécurité afin de détecter et corriger rapidement tout problème technique ou menace potentielle affectant l'application, en collectant uniquement les données techniques liées aux erreurs. Mailgun (Sinch, É.-U.) gère l'envoi des courriels de service en recevant votre nom, courriel et contenu des messages à chaque envoi. Stripe, Inc. (É.-U.) traite le paiement de l'abonnement pour les plans payants en recevant directement les coordonnées bancaires ainsi que le nom et courriel de l'administrateur. Microsoft Corporation (É.-U.) intervient pour la connexion Microsoft. Google LLC (É.-U.) intervient pour la connexion Google et la mesure Analytics/Tag Manager (sur consentement). Enfin, Anthropic PBC (É.-U.) traite la lecture automatique des reçus en recevant l'image uniquement à votre demande.

6.2 Précision importante sur Stripe

Nous ne voyons jamais votre numéro de carte de crédit. Quand votre organisation souscrit à un plan payant, votre navigateur est redirigé vers une page hébergée par Stripe, où vous saisissez vos coordonnées bancaires. Ces informations vont directement chez Stripe et ne transitent jamais par nos serveurs. Nous recevons ensuite de Stripe une confirmation qui dit essentiellement : « cette organisation a un abonnement actif, qui se renouvelle à telle date ». Stripe est certifiée PCI-DSS niveau 1, le standard le plus élevé de l'industrie du paiement.

Conditions de Stripe : stripe.com/fr-ca/legal/ssa

6.3 Ce que nous ne faisons jamais

• Nous ne vendons aucun renseignement personnel. À personne, sous aucune forme, y compris agrégée ou « anonymisée ».
• Nous ne faisons pas de publicité ciblée et ne partageons rien avec des courtiers en données ou des régies publicitaires. Aucune balise publicitaire n'est configurée dans notre gestionnaire de balises.
• Nous ne partageons pas vos données avec d'autres organisations clientes. Chaque organisation est cloisonnée ; une organisation ne peut pas voir les données d'une autre.
• Nous n'utilisons pas vos données pour entraîner des modèles d'intelligence artificielle. Voir la section 11.

7. Vos données sortent-elles du Québec ?

Oui, et nous devons vous le dire clairement.

Les six entreprises listées à la section 6 sont toutes établies aux États-Unis. Vos renseignements peuvent donc être stockés, consultés ou traités à l'extérieur du Québec, principalement aux États-Unis, et y être soumis aux lois locales — y compris à des demandes d'autorités judiciaires ou administratives américaines.

Ce que la Loi 25 exige de nous à ce sujet, et ce que nous faisons :

1. Vous en informer. C'est ce que fait cette section.
2. Procéder à une évaluation des facteurs relatifs à la vie privée (ÉFVP) avant de communiquer des renseignements personnels hors Québec, pour vérifier que ces renseignements y bénéficient d'une protection adéquate au regard de principes de protection généralement reconnus. Cette évaluation est en cours de réalisation pour l'ensemble des fournisseurs ci-dessus. Elle sera documentée et pourra être consultée par les organisations clientes sur demande.
3. Encadrer chaque communication par une entente écrite. Chacun des fournisseurs ci-dessus publie un addenda de traitement des données que nous acceptons dans le cadre de nos contrats de service.

Pourquoi ne pas simplement héberger au Canada ? C'est une question légitime. La réponse honnête : les services que nous utilisons (Cloudflare D1 et R2) n'offrent pas aujourd'hui de garantie de résidence canadienne. Migrer vers une infrastructure canadienne dédiée est possible mais représenterait un coût qui changerait le prix de l'abonnement. Si la résidence canadienne des données est une exigence formelle de votre organisation, écrivez-nous avant de vous abonner — nous préférons vous le dire d'emblée plutôt que vous laisser découvrir un problème de conformité six mois plus tard.

8. Combien de temps nous les conservons

La loi interdit de conserver des renseignements personnels indéfiniment « au cas où ». Voici nos durées.

Ce tableau détaille les durées de conservation des différentes données. Votre compte d'utilisateur reste actif tant que votre organisation est abonnée, et les demandes de remboursement sont conservées selon le choix de votre organisation. À la fermeture du compte d'une organisation, toutes les données et fichiers sont définitivement détruits après 12 mois. Les sessions de connexion expirent après 7 jours, les adresses IP et tentatives de connexion sont effacées après 15 minutes à 1 heure, et les journaux techniques sont supprimés après 90 jours. Les retours volontaires sont conservés tant qu'ils sont utiles au produit. Le registre des incidents de confidentialité est conservé 5 ans (exigence réglementaire) et les factures/pièces comptables de l'abonnement sont gardées 6 ans conformément aux lois fiscales.

Pourquoi 12 mois après la fermeture ? Parce qu'un organisme sans but lucratif a besoin de ses pièces justificatives pour terminer son exercice financier, produire ses états financiers et passer son audit. Effacer plus tôt vous mettrait en difficulté. Effacer plus tard serait conserver des renseignements devenus inutiles.

Vous pouvez demander la destruction plus tôt. Une organisation qui souhaite que ses données soient détruites immédiatement après la fermeture de son compte n'a qu'à nous écrire. Elle dispose aussi, dans l'application même, d'un outil de purge qui supprime définitivement ses demandes — cette suppression est irréversible, il n'y a ni corbeille ni annulation.

9. Comment nous les protégeons

Aucun système n'est invulnérable, et toute politique qui prétend le contraire vous ment. Voici concrètement ce qui est en place.

Vos mots de passe. Nous ne les stockons pas. Nous stockons une empreinte cryptographique produite par un algorithme (PBKDF2) qui rend le calcul inverse impraticable. Même si quelqu'un obtenait une copie complète de notre base de données, il n'y trouverait pas vos mots de passe. C'est aussi pourquoi nous ne pouvons pas vous rappeler le vôtre — seulement vous laisser en créer un nouveau.

Le chiffrement en transit. Toutes les communications entre votre navigateur et nos serveurs sont chiffrées (HTTPS/TLS), sans exception, avec une politique qui interdit au navigateur de tenter une connexion non chiffrée.

La double authentification (2FA). Disponible pour tous les comptes, fortement recommandée pour les administrateurs. Elle demande, en plus du mot de passe, un code temporaire généré par une application sur votre téléphone.

Le cloisonnement entre organisations. Chaque requête à la base de données est filtrée par l'identifiant de votre organisation, sans exception : une organisation ne peut pas lire les données d'une autre. Sur nos plans Gratuit et Basique, les organisations partagent une même base de données avec ce cloisonnement logique. Nos plans supérieurs prévoient une base de données distincte par organisation ; si la séparation physique est une exigence de votre organisation, écrivez-nous pour connaître l'état exact de cette option avant de vous engager.

La protection contre les attaques. Limitation du nombre de tentatives de connexion (par compte et par adresse IP), test anti-robot sur les formulaires publics, en-têtes de sécurité stricts qui empêchent le navigateur d'exécuter du code non autorisé, et messages d'erreur volontairement génériques qui ne révèlent jamais si une adresse courriel est enregistrée chez nous.

L'accès aux fichiers. Vos pièces jointes ne sont jamais accessibles par une adresse publique. Chaque téléchargement passe par notre serveur, qui vérifie à ce moment-là que vous appartenez bien à l'organisation propriétaire du fichier.

L'accès de notre côté. L'accès administratif à la production est limité au propriétaire de Cap Commun. Certaines opérations destructrices exigent une réauthentification complète (mot de passe et code à deux facteurs), même avec une session déjà ouverte.

La traçabilité. Toute modification apportée par un administrateur à la demande de quelqu'un d'autre est inscrite à son nom dans l'historique de la demande, visible par le demandeur et les approbateurs.

Ce que vous pouvez faire de votre côté : activez la double authentification, n'utilisez pas votre mot de passe Neo-Frais ailleurs, et prévenez immédiatement votre administrateur si vous soupçonnez que votre compte est compromis.

10. Témoins, traceurs et mesure d'audience

Le détail complet — chaque témoin, sa durée, son émetteur — se trouve dans la Politique de témoins (cookies) et de traceurs, document distinct. Voici l'essentiel.

10.1 Ce qui est strictement nécessaire

Certaines informations doivent être conservées dans votre navigateur pour que l'application fonctionne : votre jeton de session (sinon vous seriez déconnecté à chaque page), l'organisation que vous avez sélectionnée, votre choix de thème clair ou sombre, la saisie en cours d'un formulaire, et votre décision concernant la mesure d'audience. Ces éléments ne peuvent pas être refusés, parce que les refuser reviendrait à refuser l'application elle-même. Ils restent dans votre navigateur, ne sont pas partagés, et ne servent à aucun suivi publicitaire.

10.2 Ce qui demande votre consentement

Un seul outil analyse l'usage de l'application. Nous préférons décrire sa mécanique exacte plutôt que de simplifier à l'excès.

Google Tag Manager et Google Analytics nous indiquent d'où viennent les visiteurs et quelles communications amènent des gens vers l'application. Il faut le dire précisément : le conteneur Google Tag Manager se charge dès l'ouverture de la page, mais il est immédiatement placé en « Mode de consentement » (Consent Mode) refusé par défaut. Concrètement, le programme est présent mais bridé : tant que vous n'avez pas accepté, il ne dépose pas de témoin de mesure et ne transmet pas de données de mesure à Google Analytics. Quand vous cliquez « J'accepte », ce signal passe à « accordé » et la mesure commence ; si vous refusez, il reste à « refusé ».

Aucune balise publicitaire n'est configurée dans notre gestionnaire de balises — ni Google Ads, ni remarketing, ni pixel de conversion.

10.3 Comment changer d'avis

• Depuis l'application : « Mon compte » → section « Confidentialité » → « Modifier mon choix ». Le bandeau réapparaît et vous pouvez refuser.
• Votre choix s'applique à ce navigateur. Si vous utilisez Neo-Frais sur un autre appareil ou dans une fenêtre de navigation privée, il faudra refaire le choix.
• Refuser n'enlève aucune fonctionnalité. L'application fonctionne exactement pareil.

10.4 Une note d'honnêteté sur un cas particulier

Si votre navigateur a JavaScript désactivé, une balise de repli statique de Google Tag Manager figure dans la page et n'est pas conditionnée par le bandeau — parce qu'un bandeau de consentement est lui-même un programme JavaScript, et qu'il ne peut donc pas s'exécuter dans ce cas. Ça concerne une fraction infime des visiteurs, mais nous préférons le dire que de le taire.

11. Intelligence artificielle : la lecture automatique d'un reçu

Neo-Frais propose un bouton « Photographier le reçu » qui remplit automatiquement le montant, la date, la catégorie et les taxes à partir de l'image. Voici exactement ce qui se passe.

Comment ça fonctionne. Quand — et seulement quand — vous appuyez sur ce bouton, l'image est transmise à un modèle de vision d'Anthropic PBC (États-Unis), qui en extrait les champs et nous les renvoie. Vous voyez ensuite ces champs préremplis, que vous devez relire et confirmer un par un avant qu'ils n'entrent dans votre demande.

Ce qui est important de comprendre :

• Rien n'est décidé automatiquement. La lecture ne fait que proposer. Aucune dépense n'est approuvée, refusée ou modifiée par un programme : une personne relit et confirme chaque champ. Ce n'est donc pas une décision fondée exclusivement sur un traitement automatisé au sens de la Loi 25.
• C'est vous qui déclenchez l'envoi, à chaque fois. L'image n'est jamais transmise sans votre geste. Si vous préférez, saisissez la ligne à la main : la fonction est facultative de bout en bout.
• Nous ne conservons rien de cet échange. La route est sans état : elle lit le fichier, appelle le service, rend une suggestion, oublie. La photo, elle, reste dans votre navigateur et n'est téléversée que si vous choisissez de la joindre à votre demande.
• Vos reçus ne servent pas à entraîner des modèles. Anthropic indique que les données transmises par son interface de programmation commerciale ne sont pas utilisées pour entraîner ses modèles, et qu'elles sont supprimées dans un délai de 30 jours suivant leur réception (sauf obligation légale ou enquête sur un abus).
• Les montants en devise étrangère ne sont jamais préremplis automatiquement, précisément pour éviter qu'une conversion approximative vous rembourse moins que ce que votre banque a réellement débité.

Politique de confidentialité d'Anthropic : anthropic.com/legal/privacy — Conditions commerciales : anthropic.com/legal/commercial-terms

12. Vos droits et comment les exercer

La loi québécoise vous accorde plusieurs droits sur vos renseignements personnels. Ils sont gratuits et vous n'avez pas à les justifier.

Ce tableau résume les droits accordés par la loi québécoise concernant vos renseignements personnels. Vous disposez du droit d'accès (obtenir la liste et une copie de vos données), du droit de rectification (corriger toute information inexacte ou incomplète), du droit de retrait du consentement (retirer votre accord pour la mesure d'audience), du droit à la portabilité (recevoir vos données dans un format structuré), du droit de suppression ou cessation de diffusion (faire retirer des renseignements non autorisés par la loi), du droit à l'information en cas de traitement automatisé (être informé si une décision repose exclusivement sur un traitement automatisé, ce qui n'est pas le cas dans Neo-Frais) et du droit de porter plainte auprès de la Commission d'accès à l'information du Québec.

Comment faire une demande

Écrivez à teo@cap-commun.com avec :

• votre nom et l'adresse courriel de votre compte Neo-Frais ;
• ce que vous demandez (accès, correction, suppression, portabilité...) ;
• s'il s'agit d'une correction, l'information exacte à corriger.

Notre engagement : nous accusons réception rapidement et répondons dans les 30 jours de la réception de votre demande, comme la loi l'exige. Si nous refusons, nous vous expliquerons pourquoi, en vous indiquant sur quelle disposition nous nous appuyons et comment contester notre décision.

Nous devons d'abord vérifier votre identité, pour ne pas remettre vos renseignements à quelqu'un qui se ferait passer pour vous. Nous demanderons donc une confirmation depuis l'adresse courriel associée à votre compte, sans jamais exiger de pièce d'identité gouvernementale.

Une limite qu'il faut connaître

Nous ne pouvons pas supprimer les données de remboursement qui appartiennent à votre organisation à la simple demande d'un employé. Ces renseignements sont des pièces comptables détenues par votre employeur, et nous ne sommes que leur hébergeur. Une demande de ce type doit passer par votre organisation — et si votre organisation refuse, c'est à elle que la Commission d'accès à l'information s'adressera. Nous transmettrons toute demande reçue à votre administrateur et vous en informerons.

En revanche, tout ce qui concerne votre compte lui-même (nom, courriel, mot de passe, connexions Google/Microsoft, consentement analytique), c'est notre responsabilité et nous y donnons suite directement.

13. Incidents de confidentialité

Un incident de confidentialité, c'est l'accès, l'utilisation, la communication ou la perte non autorisés de renseignements personnels.

Si un tel incident survenait et présentait un risque de préjudice sérieux — vol d'identité, fraude, atteinte à la réputation, perte financière — nous nous engageons à :

1. Prendre immédiatement des mesures pour réduire le risque et éviter que ça se reproduise ;
2. Aviser la Commission d'accès à l'information du Québec avec diligence ;
3. Aviser les personnes concernées avec diligence, en leur disant ce qui s'est passé, quels renseignements sont touchés, et quoi faire ;
4. Aviser les organisations clientes dont les données seraient touchées, pour qu'elles puissent remplir leurs propres obligations ;
5. Consigner l'incident dans un registre que nous tenons à jour et que nous conservons 5 ans, comme le prévoit le règlement.

14. Mineurs

Neo-Frais est un outil professionnel, destiné aux membres du personnel et aux bénévoles d'organisations. Il n'est pas conçu pour des personnes de moins de 14 ans et nous n'en recueillons pas sciemment les renseignements.

Si une organisation cliente devait donner accès à l'outil à une personne mineure — un stagiaire, un jeune bénévole qui se fait rembourser un déplacement — il lui revient d'obtenir le consentement requis. Écrivez-nous si vous croyez qu'un compte a été créé pour un enfant de moins de 14 ans sans le consentement du titulaire de l'autorité parentale ; nous le traiterons sans délai.

15. Modifications de cette politique

Cette politique peut changer : nouveaux outils, nouvelles fonctionnalités, évolution de la loi.

• Toute modification importante sera annoncée par courriel aux administrateurs des organisations clientes et par un avis dans l'application, au moins 30 jours avant son entrée en vigueur quand c'est possible.
• La date de dernière mise à jour figure en haut de ce document.
• Les versions antérieures peuvent être obtenues sur demande à teo@cap-commun.com.
• Si une modification élargit ce que nous faisons de vos renseignements d'une façon qui exige votre consentement, nous vous le demanderons ; nous ne présumerons pas de votre accord.

16. Porter plainte

Si notre réponse ne vous satisfait pas, ou si vous estimez que nous ne respectons pas la loi, vous pouvez porter plainte auprès de l'autorité de surveillance du Québec. C'est gratuit.

Commission d'accès à l'information du Québec (CAI)

• Site web : cai.gouv.qc.ca
• Formulaire de plainte : cai.gouv.qc.ca/citoyens/formuler-une-plainte
• Québec : 525, boulevard René-Lévesque Est, bureau 2.36, Québec (Québec) G1R 5S9
• Montréal : 500, boulevard René-Lévesque Ouest, bureau 18.200, Montréal (Québec) H2Z 1W7
• Téléphone : 418 528-7741 · Sans frais : 1 888 528-7741

Vous pouvez aussi vous adresser au Commissariat à la protection de la vie privée du Canada (priv.gc.ca) lorsque la Loi sur la protection des renseignements personnels et les documents électroniques s'applique, notamment pour des activités interprovinciales ou internationales.

17. Le cadre légal que nous suivons

Cette politique a été rédigée pour respecter les lois et règlements applicables au Québec, tels que recensés par la Commission d'accès à l'information (cai.gouv.qc.ca/commission-acces-information/lois-reglements).

Ce qui s'applique directement à nous (secteur privé)

Ce tableau énumère les textes législatifs et réglementaires du secteur privé directement applicables à Cap Commun et fournit leurs liens officiels. Il comprend la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1, modifiée par la Loi 25), le Code civil du Québec (articles 3, 35 à 41 relatif à la vie privée), la Loi concernant le cadre juridique des technologies de l'information (RLRQ, c. C-1.1), le Règlement sur les incidents de confidentialité ainsi que le Règlement sur l'anonymisation des renseignements personnels.

Ce qui peut aussi s'appliquer selon le contexte

• Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE / PIPEDA), fédérale, pour les activités interprovinciales ou internationales : laws-lois.justice.gc.ca
• Loi canadienne anti-pourriel (LCAP) pour nos communications électroniques : crtc.gc.ca/fra/internet/anti.htm
• Charte de la langue française, pour la disponibilité en français de nos services et de cette politique.
• Loi sur les archives et les lois fiscales, pour les durées de conservation de nos propres pièces comptables.

Ce qui ne s'applique pas à nous

Plusieurs textes recensés par la CAI encadrent le secteur public — la Loi sur l'accès aux documents des organismes publics, la Loi sur les renseignements de santé et de services sociaux, la Loi sur la transformation numérique de l'administration publique, la Loi électorale, le Code des professions. Cap Commun est une entreprise privée : ces lois ne la régissent pas.

Mais attention si vous êtes un organisme public. Un OBNL financé majoritairement par des fonds publics, ou un organisme désigné comme organisme public, demeure soumis à la Loi sur l'accès pour ses propres pratiques, y compris lorsqu'il confie des renseignements à un fournisseur comme nous. Dans ce cas, votre organisation a des obligations supplémentaires — notamment une évaluation des facteurs relatifs à la vie privée avant de confier des renseignements à un tiers hors Québec. Écrivez-nous : nous fournirons la documentation nécessaire à votre évaluation.

Glossaire

Parce qu'une politique qu'on ne comprend pas ne protège personne.

• Renseignement personnel — Toute information qui concerne une personne physique et qui permet, directement ou indirectement, de l'identifier. Votre nom en est un. Votre adresse courriel professionnelle aussi. Le montant d'une dépense associée à votre nom aussi.
• Consentement — Votre accord. Sous la Loi 25, il doit être manifeste, libre, éclairé et donné à des fins spécifiques : autrement dit, une case déjà cochée ou un consentement noyé dans un contrat de vingt pages ne compte pas.
• Témoin (cookie) — Un petit fichier qu'un site dépose dans votre navigateur pour se souvenir de quelque chose : que vous êtes connecté, quel thème vous préférez, ou — pour les témoins de mesure — que vous êtes déjà venu.
• Stockage local (localStorage) — Une mémoire du navigateur qui ressemble au témoin mais qui, contrairement à lui, n'est jamais envoyée automatiquement au serveur à chaque page. Neo-Frais s'en sert pour votre session et vos préférences.
• Hachage — Une transformation mathématique à sens unique. On peut calculer l'empreinte d'un mot de passe, mais pas retrouver le mot de passe à partir de l'empreinte. C'est ce qui fait qu'un vol de base de données ne donne pas les mots de passe.
• Chiffrement — Le fait de rendre une donnée illisible pour quiconque n'a pas la clé. Utilisé ici pour tout ce qui circule entre votre navigateur et nos serveurs.
• Infonuagique (cloud) — Le fait de louer des serveurs et du stockage chez un fournisseur spécialisé plutôt que de posséder ses propres machines.
• Sous-traitant — Une entreprise qui traite des renseignements personnels pour le compte d'une autre, selon ses instructions, sans pouvoir en faire ce qu'elle veut. Cloudflare est notre sous-traitant ; nous sommes celui de votre organisation pour les données de remboursement.
• OpenID Connect — Le protocole standard derrière les boutons « Se connecter avec Google / Microsoft ». Il permet à un site de vérifier votre identité auprès d'un fournisseur sans jamais voir votre mot de passe.
• Portée (scope) — La liste précise de ce qu'un site demande à Google ou Microsoft. Neo-Frais en demande trois : openid, email, profile. C'est le strict minimum.
• ÉFVP — Évaluation des facteurs relatifs à la vie privée. Une analyse formelle des risques, exigée par la Loi 25 avant certains traitements, dont la communication de renseignements hors Québec.
• Loi 25 — Le nom courant de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée en 2021 et entrée en vigueur par étapes de 2022 à 2024. Elle ne remplace pas les lois existantes : elle les modifie, principalement la P-39.1 pour le secteur privé.