Vos renseignements de sympathisant(e), en clair
Si vous êtes une personne sympathisante qui écrit une lettre ou signe une pétition, voici exactement ce que nous recueillons et pourquoi, comme l'exige la loi fédérale canadienne sur la protection des renseignements personnels dans le secteur privé.
- Pourquoi (finalité)
- Composer la lettre ou la pétition que vous écrivez et la livrer à votre élu(e), au nom de l'organisation qui mène la campagne, et, si vous le demandez, vous en envoyer une copie par courriel.
- Ce que nous recueillons (renseignements précis)
- Votre nom, votre courriel, votre adresse postale et votre code postal ; le contenu de votre lettre et toute note ou réponse que vous ajoutez ; et, comme preuve de consentement, un horodatage et votre adresse IP sous forme hachée. Rien de plus.
- Comment (mode de collecte)
- Uniquement ce que vous saisissez vous-même dans un formulaire de campagne ou de pétition. Aucun suivi caché, aucun profil publicitaire, aucune donnée achetée.
- Infolettres
- Un formulaire autonome d’infolettre exige une confirmation unique de la boîte avant toute inscription. La mesure individuelle des ouvertures et clics est désactivée par défaut; si l’organisation l’active, le texte de consentement l’indique, ces événements peuvent être liés à sa fiche GRC et ils sont supprimés après 30 à 180 jours selon son réglage.
- Qui y a accès (utilisation et communication aux tiers)
- L'organisation qui mène la campagne (dans son tableau de bord); le bureau de votre élu(e), à qui la lettre est livrée en votre nom; et un petit nombre de fournisseurs vérifiés qui accomplissent chacun une étape, le service de courriel ou postal qui envoie votre lettre, les fournisseurs d'IA qui aident à la rédiger et la contrôlent pour du contenu dangereux (ils ne reçoivent jamais votre nom, courriel ni adresse), la protection contre les robots, et la recherche d'élu(e)s par code postal, chacun ne recevant que le nécessaire. Certains sont situés hors du Québec ou hors du Canada. La liste complète, avec le rôle et l'emplacement de chaque fournisseur, figure plus bas.
- Ce qui est transmis à l'IA
- Pour rédiger votre lettre, l'IA ne reçoit que les arguments de la campagne et la note ou les réponses en texte libre que vous écrivez, jamais votre nom, votre courriel ni votre adresse, saisis dans les champs du formulaire, qui sont entièrement tenus à l'écart de l'IA. La vérification automatisée qui contrôle la lettre terminée en retire également votre nom, votre courriel et votre adresse avant de s'exécuter. En revanche, tout ce que vous inscrivez dans un champ en texte libre (votre note, ou les questions ouvertes d'une campagne) est transmis à l'IA mot pour mot et intégré à votre lettre, n'y inscrivez donc aucun renseignement personnel (par exemple un numéro de téléphone, des détails de santé, ou les renseignements privés d'une autre personne). Ce traitement par IA passe par Spur Compute, un fournisseur canadien d'infrastructure d'IA; ces fournisseurs ne reçoivent jamais votre nom, votre courriel ni votre adresse.
- Comment votre nom, votre courriel et votre adresse sont utilisés
- Votre nom et votre adresse postale figurent sur la lettre livrée à votre élu(e), et aussi dans la version courriel, volontairement : cela permet à votre message de se lire comme une véritable lettre d'une personne de la circonscription, ce qui fait la crédibilité et la confiance en la démarche. Lorsque votre lettre part par courriel, elle est envoyée depuis le système de courriel de PoliPost, mais l'adresse de réponse (« répondre à ») est le courriel que vous avez fourni, le bureau de l'élu(e) peut donc vous répondre directement. Les gestionnaires de campagne de l'organisation voient votre nom et votre courriel, et, pour les lettres qu'ils révisent avant l'envoi, votre ville ou province afin de confirmer que vous êtes de la circonscription, mais ils ne voient pas votre adresse postale complète. Lorsque vous choisissez l'envoi papier ou l'écriture à la main, votre adresse postale est communiquée à nos fournisseurs d'impression et d’envoi postal, PostGrid (impression et envoi postal) et Scribeless (écriture manuscrite au vrai stylo), afin qu'ils adressent et postent la lettre physique.
- Ce que cela implique (conséquences prévisibles)
- Le bureau de votre élu(e) et l'organisation sauront qui vous êtes, où vous habitez et ce que vous demandez ; votre lettre devient un dossier de correspondance envoyé en votre nom; le bureau peut vous répondre directement.
- Votre consentement
- Le consentement doit être valide et donné expressément : rien n'est envoyé tant que vous n'avez pas coché une case confirmant que les mots sont les vôtres et que vous souhaitez l'envoi en votre nom. Vous pouvez retirer votre consentement, ou demander à consulter, corriger ou supprimer vos renseignements, en tout temps, écrivez à privacy@polipost.ca.
Notre engagement
PoliPost Canada existe pour aider les gens à écrire à leurs propres élu(e)s, en leur propre nom. Cela exige la confiance de celles et ceux qui nous confient quelques renseignements personnels, la vie privée est donc chez nous une exigence de conception, pas une formalité juridique. La présente politique suit les dix principes de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), et nous respectons aussi la Loi 25 du Québec pour les résidentes et résidents du Québec.
1 · Responsabilité
PoliPost Canada Inc., qui exploite PoliPost Canada, est responsable des renseignements personnels dont elle a la gestion. Notre responsable de la protection des renseignements personnels (agent de protection de la vie privée) est Avery Campbell, joignable à privacy@polipost.ca.
Écrivez à privacy@polipost.ca pour toute question, préoccupation ou plainte concernant votre vie privée, ou pour savoir quels renseignements personnels PoliPost détient à votre sujet, y accéder, les faire corriger ou modifier, ou en demander la suppression. Nous répondons dans les 30 jours. Les organisations qui mènent des campagnes demeurent responsables de l'usage qu'elles font des résultats.
2 · Détermination des fins
Nous recueillons des renseignements personnels principalement pour rédiger et livrer la lettre que vous avez écrite à un(e) élu(e), et, si vous le demandez, vous en envoyer une copie par courriel. Lorsque la campagne que vous appuyez choisit de les activer, nous pouvons aussi vous envoyer un rappel unique facultatif pour terminer une lettre commencée. Si vous cochez séparément la case facultative des nouvelles de l’organisation, votre nom et votre courriel sont ajoutés à sa liste de contacts ou à son GRC afin qu’elle puisse envoyer des nouvelles occasionnelles sur la campagne ou la pétition et ses activités de mobilisation connexes. Une inscription autonome à une infolettre prend effet lorsque vous soumettez le formulaire avec la case de consentement cochée. Chaque message comporte un lien de désabonnement, que nous respectons. La mesure identifiable des ouvertures et clics d’infolettres est désactivée par défaut; si une organisation l’active, le formulaire l’indique avant le consentement et les événements sont conservés pendant la période choisie de 30 à 180 jours. Aucun profil publicitaire, aucune vente de renseignements.
3 · Consentement
Votre lettre ne part qu'une fois que vous avez coché une case confirmant que les mots sont les vôtres et que vous souhaitez l'envoi en votre nom. L’ajout à la liste de contacts de l’organisation fait l’objet d’une autre case facultative, non cochée au départ et jamais requise pour écrire une lettre ou signer une pétition. Les formulaires autonomes d’infolettre affichent et exigent toujours la divulgation complète. Votre choix dans le formulaire constitue le consentement; aucun courriel de confirmation distinct n’est requis. Cocher une case n’annule jamais un désabonnement antérieur; un formulaire d’infolettre envoie plutôt un lien pour confirmer le réabonnement. Nous consignons la demande exacte, l’identité de l’organisation, les champs de profil facultatifs et leur finalité, l’horodatage, la langue, la divulgation du suivi (lorsqu’il est activé) et votre adresse IP sous forme hachée afin que l’organisation puisse démontrer votre choix. Les organisations acceptent la présente politique lorsqu'elles créent leur compte.
4 · Limitation de la collecte
Nous demandons le minimum qu'un bureau d'élu(e) exige pour prendre un(e) commettant(e) au sérieux : nom, courriel et adresse postale (les bureaux vérifient la circonscription). Une campagne peut aussi ajouter sa propre question ou note à sa lettre, parfois obligatoire, parfois facultative, et, dans les deux cas, elle est clairement indiquée. Les formulaires d’infolettre nomment chaque champ de profil facultatif et sa raison d’être. Aucun identifiant publicitaire ni empreinte numérique. Les ouvertures et clics individuels d’infolettres ne sont recueillis que si l’organisation commanditaire active expressément le réglage divulgué; son fournisseur peut quand même produire des statistiques globales de livraison.
5 · Limitation de l'utilisation, de la communication et de la conservation
Vos renseignements servent à livrer votre lettre et sont visibles de l'organisation commanditaire dans son tableau de bord. Au-delà, ils ne sont communiqués qu'au bureau du destinataire et aux fournisseurs vérifiés qui accomplissent une étape précise, chacun ne recevant que ce que son rôle exige : le fournisseur de courriel qui envoie votre lettre ou sa copie (Mailgun aux É.-U. par défaut, ou un serveur SMTP configuré) ; les fournisseurs postaux qui impriment et postent une lettre papier (PostGrid, Lob ou Scribeless) ; les services qui préremplissent ou vérifient l'adresse saisie (Zippopotam.us ne reçoit que le préfixe RTA/ZIP, tandis que PostGrid reçoit les éléments d'adresse saisis lorsque son service de vérification est activé) ; les fournisseurs d'IA utilisés pour rédiger les lettres des sympathisant(e)s, lesquels reçoivent les arguments de la campagne et votre note facultative, jamais votre nom, courriel ni adresse, la note leur est transmise mot pour mot, n'y inscrivez donc rien que vous ne voudriez pas leur communiquer ; Cloudflare Turnstile, qui reçoit votre adresse IP pour la protection contre les robots sur les formulaires publics ; les services de recherche par code postal qui trouvent vos élu(e)s (Open North, Geocodio) ; et, uniquement sur les campagnes qui l'activent, Didit pour la vérification facultative d'identité par pièce avec photo. La liste complète, rôle, emplacement et politique de confidentialité lorsqu'une telle politique est publiée, figure ci-dessous. Certains de ces fournisseurs sont situés hors du Québec, et certains hors du Canada; les renseignements qui y sont traités sont assujettis aux lois de ce territoire. Nous traitons toute communication de renseignements personnels hors du Québec conformément à la Loi 25 du Québec. Les lettres sont automatiquement dépersonnalisées après 730 jours.
A · Témoins et technologies similaires
Notre configuration se limite à l'essentiel : un témoin de session pour la sécurité et votre lettre en cours, un petit témoin mémorisant votre choix de consentement et, seulement si vous l'activez, vos préférences d'affichage. Les pages d'information ne déposent aucun témoin, et toute technologie facultative est désactivée par défaut. Inventaire complet, durées et retrait : Politique relative aux témoins.
6 · Exactitude
Vous voyez, et pouvez corriger, chaque mot de votre lettre, votre nom et votre adresse avant tout envoi. Après consentement, la lettre est immuable : l'équipe de campagne peut l'approuver ou la refuser, jamais la modifier. L'IA qui aide à rédiger votre lettre ne prend aucune décision à votre sujet, elle ne fait que proposer un texte. Séparément, une vérification automatisée (IA) du contenu peut signaler une lettre terminée pour révision humaine si elle paraît malveillante, violente ou inappropriée ; un signalement n'est pas un refus, c'est l'organisation pour laquelle vous avez écrit, et non l'IA, qui décide de l'accepter ou de la refuser, et une personne prend toujours cette décision finale. Rien n'est envoyé avant que vous ayez approuvé chaque mot.
7 · Mesures de sécurité
Noms, courriels, adresses et corps de lettres sont chiffrés au repos, avec des clés conservées hors de la racine Web. Les mots de passe sont hachés et ne sont visibles de personne, y compris de nous. L'accès administratif est restreint par rôle, offre l'authentification à deux facteurs et est journalisé. Les valeurs servant à retrouver les dossiers sont conservées sous une forme brouillée, impossibles à consulter directement : même notre propre base ne se feuillette pas. Si vos renseignements personnels sont perdus, volés ou consultés sans autorisation, et que l'incident présente un risque réel de préjudice sérieux pour vous, nous vous en avisons et nous avisons les autorités, le Commissariat à la protection de la vie privée du Canada et, au Québec, la Commission d'accès à l'information, lorsque la loi l'exige. Nous tenons un registre de chaque incident de confidentialité.
8 · Transparence
Cette page est la politique, écrite pour être lue. Chaque organisation peut voir, dans son tableau de bord, les consentements consignés liés à ses propres lettres. Nos en-têtes de sécurité et nos réglages de conservation relèvent de la configuration de l'exploitant, appliquée à toute l'installation, plutôt que d'un affichage par organisation.
9 · Accès aux renseignements
Chaque courriel de copie contient un lien privé où vous pouvez consulter les lettres liées à votre adresse. Une lettre envoyée est conservée comme dossier de correspondance ; les renseignements personnels sont dépersonnalisés automatiquement à la fin de la période de conservation, et nous les dépersonnalisons plus tôt sur demande. Vous pouvez aussi demander de recevoir les renseignements personnels informatisés que vous nous avez fournis dans un format technologique structuré et couramment utilisé, ou de les faire communiquer à une personne ou à un organisme autorisé par la loi à les recueillir (le droit à la portabilité prévu par la Loi 25, nous l'accordons à tout le monde). Écrivez à privacy@polipost.ca pour consulter ou corriger vos renseignements, ou pour retirer votre consentement.
10 · Possibilité de porter plainte
Si vous estimez que nous n'avons pas respecté cette politique, écrivez à privacy@polipost.ca, nous répondons sous 30 jours. En cas d'insatisfaction, vous pouvez vous adresser au Commissariat à la protection de la vie privée du Canada (priv.gc.ca) ou, au Québec, à la Commission d'accès à l'information (cai.gouv.qc.ca).
B · Fournisseurs et sous-traitants (la « liste de sous-traitants »)
Nous faisons appel à un petit nombre de tiers vérifiés, chacun ne recevant que le nécessaire à sa tâche. Pour la rédaction des lettres de sympathisant(e)s, les fournisseurs d'IA ne reçoivent pas votre nom, votre courriel ni votre adresse; des fonctions distinctes d'IA du GRC, activées par l'organisation, peuvent traiter les données du GRC décrites dans les lignes ci-dessous. La liste complète indique le rôle de chaque fournisseur, son emplacement et un lien vers sa politique de confidentialité lorsqu'une telle politique est publiée. Comme toute entreprise, nous utilisons aussi des outils administratifs courants pour gérer PoliPost, logiciel de comptabilité et de tenue de livres (comme Intuit QuickBooks, situé aux États-Unis), production des déclarations fiscales et conseillers professionnels tenus à la confidentialité. Ceux-ci ne reçoivent que les dossiers de facturation des organisations clientes (nom de l'organisation, coordonnées d'affaires, adresse de facturation, forfait, montants et taxes de vente), jamais les lettres ni les renseignements personnels des sympathisant(e)s.
| Fournisseur | Rôle et données partagées | Emplacement | Sur ce site | Confidentialité |
|---|---|---|---|---|
| Augure AI (AI processing) | Fournisseur canadien d'IA souveraine par lequel passe l'IA générative de PoliPost comme moteur principal, la rédaction de lettres, la démo publique, l'association des nouvelles fiches aux sujets surveillés et la recherche approfondie des personnes connectées, qui lui transmet la question de recherche et des fiches gouvernementales publiques sélectionnées selon leur pertinence afin de classer les sources, de synthétiser un breffage cité et d'en vérifier le résultat. Pour les organisations qui activent explicitement l'IA du GRC, il peut aussi recevoir le dossier GRC assemblé pour un résumé demandé (par exemple les noms et rôles des contacts, les notes, les interactions, les demandes et le contexte d'un enjeu), l'objet et le corps du courriel transféré lorsque des suggestions Courriel-vers-GRC sont demandées, ainsi que l'image complète d'une carte professionnelle lorsque le GRC doit la lire, cette image peut afficher le nom, le titre, l'organisation, le courriel, le téléphone et l'adresse postale d'un contact. Lorsqu'une personne administratrice de la plateforme demande explicitement un compte de démonstration synthétique, il reçoit le nom du prospect, la note libre et l'objectif de vente facultatif. Lorsqu'une personne autorisée demande un brouillon d'infolettre conçu par IA, il reçoit le texte des articles et les instructions de contenu et de conception soumises, mais aucun membre de l'audience, aucune fiche de contact du GRC, aucun identifiant du fournisseur d'envoi et aucune donnée du compte d'envoi. La rédaction de lettres ne reçoit jamais le nom, le courriel ni l'adresse de la personne sympathisante. | Canada | Politique | |
| Spur Compute (backup AI engine) | Fournisseur canadien d'infrastructure d'IA utilisé comme moteur de relève uniquement lorsque sa clé est configurée délibérément et que le moteur principal est indisponible : une demande d'IA admissible lui est alors retransmise une fois. Il reçoit les mêmes données que la demande initiale, les questions de recherche et les fiches gouvernementales publiques, le dossier GRC, le texte de courriel transféré ou l'image de carte professionnelle qu'inclut une demande d'IA du GRC, le texte des articles d'un brouillon d'infolettre conçu par IA (jamais les membres de l'audience), ou les images nécessaires aux tâches visuelles. Les champs structurés de nom, de courriel et d'adresse du sympathisant sont exclus de la rédaction de lettres; les notes libres sont transmises telles quelles. Les comptes souverains conservent leur voie générative distincte réservée à Augure. | Canada | Politique | |
| OpenRouter (semantic embeddings) | Crée des représentations numériques pour la recherche sémantique, la seule exception divulguée d’IA hors du Canada. Reçoit des passages gouvernementaux publics et le texte de recherche saisi par une personne connectée, ainsi que l’adresse et le nom du site comme en-têtes d’attribution. PoliPost n’ajoute pas à ces demandes le profil du compte, les renseignements de facturation, les dossiers GRC/sympathisant(e)s, le nom, le courriel ou l’adresse municipale des sympathisant(e)s. | États-Unis | Politique | |
| Mailgun | Fournisseur de courriel sortant par défaut. Envoie les notifications du compte, la copie facultative de votre lettre, toute lettre livrée par courriel et, uniquement lorsque la campagne les active, le rappel unique facultatif « terminez votre lettre » et les mises à jour de campagne avec consentement. Une organisation peut aussi connecter son propre compte Mailgun pour ses infolettres; le suivi identifiable des ouvertures et clics est désactivé par défaut et n’est activé qu’avec le réglage divulgué de mesure de l’engagement. Reçoit l'adresse courriel, le nom du destinataire et le contenu du message. Lorsque la réception Courriel-vers-GRC est configurée, Mailgun reçoit, analyse et transfère aussi les courriels entrants du GRC, y compris les en-têtes d'expéditeur et de destinataire, l'objet, le corps et les pièces jointes, au point d'entrée signé de PoliPost, même si un autre fournisseur gère le courriel sortant. | États-Unis | Politique | |
| Stripe | Facturation des abonnements et paiements. Les numéros de carte sont saisis chez Stripe et ne sont jamais vus ni conservés par nous. | États-Unis / Irlande | Politique | |
| Didit | Vérification facultative d'identité, uniquement sur les campagnes qui l'activent. Didit vérifie une pièce d'identité avec photo et un égoportrait, puis renvoie le prénom et le nom vérifiés. PoliPost ne conserve que ce nom ; le document, l'égoportrait et le numéro de pièce ne sont jamais conservés. Dès que la vérification atteint un résultat final, PoliPost demande la suppression de la session Didit (y compris l'image de la pièce et l'égoportrait) ; si Didit est temporairement indisponible, la demande chiffrée est conservée et réessayée jusqu'à confirmation de la suppression. | Union européenne / États-Unis | Politique | |
| PostGrid | Imprime et poste les lettres physiques lorsque l'envoi postal est activé. Séparément, son API de saisie semi-automatique et de vérification d'adresse peut être utilisée dès qu'une clé de vérification PostGrid est configurée, même si PostGrid n'est pas choisi pour l'impression. L'envoi postal communique le nom et l'adresse postale du destinataire et de l'expéditeur; la saisie et la vérification communiquent les éléments d'adresse saisis (rue, unité si fournie, ville, province/État, code postal/ZIP et pays), mais pas le courriel ni le contenu de la lettre. | Canada / États-Unis | Politique | |
| Zippopotam.us | Saisie automatique intégrée de la ville et de la province à partir du code postal dans les formulaires destinés aux sympathisant(e)s et les formulaires administratifs de saisie d'adresse. Reçoit seulement les trois premiers caractères d'un code postal canadien (la RTA) ou les cinq premiers chiffres d'un code ZIP américain; les recherches faites dans le navigateur exposent aussi l'adresse IP de la personne ou de l'administrateur(trice) et les métadonnées ordinaires de la requête. Ne reçoit ni adresse municipale, ni nom, ni courriel, ni contenu de lettre. | Non publié (API publique; à traiter comme hors Canada) | s. o. | |
| Cloudflare Turnstile | Protection contre les robots et les abus sur les formulaires publics lorsqu'activée. Reçoit l'adresse IP du visiteur et un jeton de défi, aucun contenu de lettre. | États-Unis | Politique | |
| Cloudflare, DNS & network protection | Protection DNS, diffusion de contenu et protection DDoS/WAF en amont du site. Le trafic web entrant est acheminé par Cloudflare pour filtrer les requêtes malveillantes et absorber les attaques. Voit l'adresse IP des visiteurs et les métadonnées des requêtes (URL, en-têtes, agent utilisateur) et termine le TLS ; le contenu des pages ne fait que transiter sans être conservé, et aucune donnée de la base ni contenu de sympathisant(e) n'est partagé. | États-Unis | Politique | |
| Sentry | Surveillance des erreurs et diagnostics applicatifs, lorsqu'elle est configurée. Reçoit les détails des exceptions, les traces d'appel, les noms de fichiers et numéros de ligne, les métadonnées de requête comme l'URL et l'agent utilisateur, ainsi que le contexte opérationnel nécessaire au débogage. PoliPost configure Sentry pour éviter les corps de requête et les renseignements personnels par défaut, et désactive la propagation des traces vers des tiers. | Union européenne (Allemagne) | Politique | |
| Open North, Represent API | Trouve vos élu(e)s des ordres fédéral et provincial à partir d'un code postal. Ne reçoit que le code postal. | Canada (Montréal) | Politique | |
| FullHost, hosting | Héberge l'application et stocke la base de données chiffrée. FullHost est une entreprise canadienne ; nos serveurs sont situés à Vancouver (C.-B.). | Canada (Vancouver, C.-B.) | Politique |
Annexe A, Combien de temps nous conservons vos renseignements, et comment ils sont anonymisés
En clair : combien de temps chaque type de renseignement est conservé, et comment il est retiré. « Dépersonnalisé » signifie que le dossier ne peut plus être rattaché à vous, tant les détails qui vous identifient que les valeurs brouillées qui pourraient les relier sont effacés.
- Votre lettre
- Conservée comme dossier d'une lettre envoyée en votre nom. L'exploitant de PoliPost fixe la durée de conservation des détails personnels avant leur retrait automatique ; si aucune limite n'est fixée, ils restent comme dossier de correspondance jusqu'à ce que vous demandiez leur retrait, ce que nous honorons toujours. Réglage actuel : les détails personnels sont retirés automatiquement 730 jours après l'envoi. Au retrait (automatiquement à la fin de la période, ou plus tôt sur demande), un traitement quotidien efface l'objet, le corps de la lettre, votre nom, votre courriel et votre adresse, votre note personnelle, les coordonnées du destinataire, ainsi que les valeurs de recherche brouillées qui pourraient rétablir le lien. Seules des statistiques anonymes demeurent. Le dossier de la lettre n'est jamais supprimé, seulement dépouillé de tout élément identifiant.
- Signatures de pétition
- Dépersonnalisées selon le même calendrier : votre nom, courriel, code postal, ville, province, commentaire et adresse IP hachée sont effacés, et le lien entre le dossier et votre courriel est rompu de façon permanente.
- Brouillons de récupération
- Pour les formulaires longs du tableau de bord, une copie temporaire est conservée dans le stockage local de votre navigateur afin de reprendre le travail après une interruption. Cette copie demeure en clair sur votre appareil, n’inclut ni mots de passe ni fichiers et expire après 7 jours. Une seconde copie, chiffrée au repos et limitée à votre organisation et à votre compte, est conservée sur le serveur pendant au plus 7 jours. Un envoi réussi ou le rejet du brouillon retire la copie; une déconnexion explicite efface aussi les copies de cet appareil.
- Activité des infolettres
- La mesure identifiable des ouvertures et clics est désactivée par défaut. Lorsqu’une organisation l’active après divulgation, les événements individuels, les instantanés de destinataires et les marqueurs GRC dérivés sont conservés pendant la période choisie par l’organisation, 30, 60, 90 ou 180 jours, puis supprimés par lots bornés. Le retrait du réglage met immédiatement en file leur suppression progressive et efface aussi les préférences de langue qui en ont été déduites.
- Journaux d'exploitation
- Conservés selon les durées configurées ci-dessous (valeurs actuelles, affichées en direct depuis les réglages de l'exploitant), puis supprimés : journal de sécurité/audit, 730 jours ; dossiers d'« appareils connus » derrière les alertes de nouvelle connexion, 365 jours ; rappels de brouillon abandonné, 30 jours ; brouillons de récupération chiffrés des formulaires clients, 7 jours ; journal d'envoi de courriels (destinataire, objet et corps chiffrés), 90 jours ; journaux des fournisseurs (webhooks), 90 jours ; journaux système/cron, 30 jours ; compteurs anti-abus, environ 1 jour ; cache de recherche par code postal, 180 jours.
- Anciennes générations de communiqués
- L'outil public a été retiré. Les saisies et communiqués déjà enregistrés restent chiffrés au repos, avec une adresse IP uniquement sous forme hachée, jamais en clair. Leur durée de conservation configurée reste de 30 jours.
- Recherches approfondies des client(e)s
- Les questions de recherche ponctuelles et les breffages générés sont chiffrés au repos et supprimés automatiquement après 30 jours. Ils sont accessibles à leur auteur ou, lorsque le module est conçu comme un espace de travail partagé, uniquement aux membres autorisés de la même organisation. Pour diagnostiquer un incident, assurer la sécurité ou fournir du soutien, un administrateur autorisé de la plateforme peut ouvrir la question et le rapport exacts seulement après avoir confirmé de nouveau son mot de passe et inscrit un motif; l’accès et toute relance diagnostique sont journalisés. Une relance crée un nouveau dossier invisible au client et ne modifie jamais l’original. Les copies diagnostiques chiffrées sont conservées au plus 30 jours. Les métadonnées chiffrées du journal d’administration, dont le motif inscrit, mais jamais les questions, rapports, clés ou corps bruts du fournisseur, sont conservées au plus 365 jours. Lorsqu’une personne crée une recherche programmée, sa définition chiffrée et sa question sont conservées jusqu’à ce que leur propriétaire ou un administrateur de l’organisation les supprime, ou jusqu’à la suppression du compte ou du membre. Les administrateurs de l’organisation peuvent voir, modifier, mettre en pause et supprimer les recherches programmées de l’équipe. Le corpus bilingue de documents gouvernementaux publics utilisé comme source n’est pas un renseignement personnel et demeure dans l’index partagé.
- Pendant la conservation
- Les noms, courriels, adresses et corps de lettres sont chiffrés au repos, avec des clés conservées hors du serveur web. Les valeurs servant à retrouver un dossier (comme votre courriel) ne sont conservées que sous forme d'index brouillé (haché) à sens unique : la base ne se feuillette pas pour y trouver des identités.
- Vos moyens de contrôle
- En tout temps, vous pouvez demander à consulter, corriger ou supprimer vos renseignements, ou retirer votre consentement, écrivez à privacy@polipost.ca.
We collect only what a letter needs: the supporter's name, contact details, address and the letter itself. Names, contact details, addresses and letter bodies are encrypted at rest. Sent letters form a permanent record. Personal details are de-identified automatically at the end of the retention window.