Politique de confidentialité

1. Qui est responsable de vos renseignements

9575-2499 Québec inc., société constituée au Québec, Canada, faisant affaire sous le nom de Maxel Ledger, est responsable des renseignements traités par le logiciel.

Conformément à la législation québécoise, la personne responsable de la protection des renseignements personnels est le plus haut dirigeant de la société. Pour toute question, demande d'accès ou de rectification, écrivez à maxelledger@gmail.com.

2. Deux rôles à ne pas confondre

Maxel Ledger est vendu à des entreprises de livraison. L'entreprise cliente décide quelles données elle saisit et pourquoi : elle en demeure responsable. Maxel Ledger héberge et traite ces données pour son compte, selon ses instructions, et ne s'en sert pour aucune finalité qui lui serait propre.

Si vous êtes chauffeur ou employé d'une entreprise utilisant Maxel Ledger, c'est à cette entreprise qu'il faut adresser vos demandes d'accès ou de rectification. Nous l'assisterons pour y répondre.

3. Ce que nous recueillons

Comptes. Nom, adresse de courriel, rôle, et mot de passe. Les mots de passe ne sont jamais conservés en clair : seule une empreinte cryptographique est stockée, et nous ne pouvons pas retrouver le mot de passe d'origine.

Données d'exploitation saisies par l'entreprise cliente. Chauffeurs, véhicules, affectations, clients, factures, dépenses, entretiens, contraventions, courrier et documents numérisés. Ces contenus proviennent du client, pas de nous.

Paramètres techniques. Réglages de messagerie sortante de l'entreprise. Les mots de passe de messagerie sont chiffrés avant d'être enregistrés.

Nous n'utilisons ni traceurs publicitaires, ni revente de données, ni profilage à des fins de marketing. Nous ne recueillons aucun renseignement bancaire par le logiciel.

3 bis. Témoins (cookies)

Le site maxelledger.com ne pose aucun témoin et aucun traceur publicitaire. Il mesure son audience avec Vercel Web Analytics : pages consultées, site d'origine de la visite, pays, type d'appareil, navigateur et système d'exploitation. Aucune adresse IP n'est conservée ; une visite est reconnue par une empreinte temporaire, effacée après 24 heures, qui ne permet ni de vous identifier ni de vous suivre d'un site à l'autre. Ces statistiques servent uniquement à savoir quelles pages sont lues.

L'application app.maxelledger.com utilise uniquement des témoins strictement nécessaires à son fonctionnement : le jeton de session qui vous garde connecté, le jeton de protection contre la falsification de requêtes, et une préférence d'affichage conservée dans votre navigateur. Ils ne servent pas à vous suivre et ne sont transmis à aucun tiers. Comme ils sont indispensables au service, ils ne requièrent pas de consentement ; une bannière vous en informe lors de votre première visite.

4. Accès à Google Drive : ce que le logiciel peut, et ce qu'il ne peut pas

Lorsqu'une entreprise cliente relie son compte Google, Maxel Ledger demande une seule autorisation d'accès aux fichiers, appelée drive.file. C'est la portée la plus étroite offerte par Google, et elle a une conséquence précise :

le logiciel ne voit que les fichiers qu'il a lui-même créés. Le reste du Drive (documents personnels, dossiers d'entreprise, fichiers partagés) demeure invisible pour Maxel Ledger. Nous ne pouvons ni les lire, ni les lister, ni les modifier, ni les supprimer. Ce n'est pas une promesse de notre part : c'est une limite imposée par Google, que nous ne pouvons pas contourner.

Les documents classés sont déposés sur le Drive de l'entreprise cliente, dans le dossier qu'elle a choisi. Ils lui appartiennent, occupent son espace de stockage, et lui restent accessibles même si elle cesse d'utiliser Maxel Ledger. Une fois le document déposé sur son Drive, nous l'effaçons de notre base.

Les jetons d'accès Google sont chiffrés au repos. L'entreprise peut révoquer l'autorisation à tout moment, depuis Maxel Ledger ou depuis les paramètres de sécurité de son compte Google : l'accès cesse immédiatement.

Usage limité. L'utilisation que Maxel Ledger fait des renseignements reçus des interfaces de programmation de Google respecte la politique relative aux données utilisateur des services d'API Google, y compris ses exigences d'usage limité. Concrètement : ces données servent uniquement à fournir les fonctionnalités demandées par le client, elles ne sont jamais vendues, jamais utilisées à des fins publicitaires, et aucun humain ne les consulte, sauf accord explicite du client, pour résoudre un incident qu'il nous a signalé, ou lorsque la loi l'exige.

5. La lecture des documents se fait chez nous

Maxel Ledger extrait automatiquement les informations utiles d'un document numérisé : montant, date, numéro de référence, immatriculation. Cette lecture est effectuée par des traitements exécutés sur nos propres serveurs.

Vos documents ne sont transmis à aucun service d'intelligence artificielle externe, ni à aucun sous-traitant d'analyse tiers. Ils ne servent à entraîner aucun modèle.

6. Où vos données sont hébergées et qui y touche

L'application s'exécute chez Vercel, dans sa région de Montréal (Canada), et la base de données est hébergée chez Supabase, dans la région Canada (Central) d'Amazon Web Services, à Montréal. Ces fournisseurs agissent comme sous-traitants : ils hébergent, ils n'exploitent pas.

Certaines opérations ont lieu hors du Québec et nous vous le disons clairement : la construction des nouvelles versions du logiciel (sans aucune donnée client) sur les serveurs de Vercel aux États-Unis ; l'acheminement chiffré des requêtes par le réseau de diffusion de Vercel ; les statistiques de visite du site maxelledger.com, traitées par Vercel ; l'envoi des courriels transactionnels (accès, mots de passe, factures, copies de l'entente) par Google ; et les copies de sauvegarde chiffrées de la base, déposées sur Google Drive, dont l'emplacement est déterminé par Google. Ces communications hors Québec font l'objet de l'évaluation prévue à l'article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé, tenue à jour par la personne responsable.

Les échanges avec l'application sont chiffrés en transit (HTTPS). Chaque entreprise est cloisonnée : l'isolation est appliquée au cœur de l'application, sur chaque requête, et par des règles de sécurité au niveau de la base de données.

7. Durée de conservation

Les données sont conservées tant que l'entreprise cliente utilise le service. À la résiliation, elle dispose de trente jours pour exporter ses données, après quoi elles sont supprimées de nos systèmes actifs. Les copies de sauvegarde sont écrasées selon leur cycle habituel.

Les documents déjà déposés sur le Drive du client ne sont pas touchés par cette suppression : ils sont chez lui, et le restent.

8. Vos droits

Selon la législation québécoise sur la protection des renseignements personnels et la loi fédérale applicable, vous pouvez demander l'accès à vos renseignements, leur rectification, leur suppression, ou le retrait de votre consentement.

Adressez votre demande à maxelledger@gmail.com. Nous y répondons dans un délai de trente jours. Si la demande concerne des données saisies par une entreprise cliente, nous la transmettons à celle-ci et l'aidons à y donner suite.

9. Incidents de confidentialité

En cas d'incident présentant un risque sérieux de préjudice, nous avertissons les entreprises clientes concernées ainsi que les autorités compétentes, dans les délais prévus par la loi, et nous consignons l'incident dans un registre.

10. Modifications

Toute modification substantielle de cette politique sera annoncée aux entreprises clientes par courriel avant son entrée en vigueur. La date figurant en tête de page indique la version applicable.