Innova-AI/dictia-public
3
0
Fork 0
Code Issues Pull Requests Releases Wiki Activity

fix(legal): conform site to signed master legal documents (PDC, CGU, EFVP, DPA)

Browse Source 
Audit conducted 2026-04-27 against signed PDFs in DOCS_DictIA/. All 6 legal
markdown files + 3 marketing templates aligned on the contractual ground truth
(documents signed by Allison Rioux + Jean-David Lévesque-Rioux 9 mars 2026).

CRITICAL DISCREPANCIES FIXED (D1-D9 — Loi 25 / contractual)

D1. Entity identity: removed false "filiale d'InnovA AI S.E.N.C." claim.
    Canonical (PDC §1.1, CGU §1, RPRP doc): DictIA Inc. is a standalone SPA
    constituted 22 mars 2026 (LSAQ), 50/50 owned by Allison Rioux + Jean-David
    Lévesque-Rioux. NOT a subsidiary of InnovA AI.

D2. NEQ: replaced placeholder with canonical NEQ 1181949562 (DictIA Inc.).

D3. Sub-processors list: PDC §6.2 declares 5 sub-processors. Site listed only
    OVH, Stripe, Resend (the latter two not in canonical). Now aligned:
    OVH Beauharnois QC + GCP Toronto ON (RAM-only, 5min) + Cloudflare US (CDN)
    + HubSpot US (CRM) + Stripe US (paiements). Resend removed.

D4. GCP Toronto disclosure: NEW. PDC §6.2, §11.2, EFVP_GCP all declare GPU
    processing on GCP Toronto Ontario as a transfer hors-Québec under art. 17
    LSP. Site previously claimed "100 % au Québec" without GCP disclosure.
    Now declared in confidentialite.md §6, §7 + conditions.md §2.4, §9 +
    conformite.html pillar.

D5. Biometrics: NEW dedicated section. PDC §12, CGU §6, EFVP_BIOVOCAL all
    require disclosure of voice biometrics (pyannote.audio embeddings) per
    LCCJTI art. 44-45 + CAI declaration K1. Site had ZERO mention. Now
    documented in confidentialite.md §12 + conditions.md §8.

D6. Wrong article number: landing.html cited "art. 60.1 LPRPSP" for biometric
    sanctions — that article does NOT exist. Replaced with canonical citation:
    "art. 44-45 LCCJTI + art. 12 LSP".

D7. Speakr fork attribution: CGU §13.1.1 explicitly requires the AGPL §13
    disclosure URL to be gitea.dictia.ca (not gitea.innova-ai.ca). Mentions.md
    + conformite.html + footer normalized.

D8. Conservation periods: aligned to canonical CGU §8.1.2 + PDC §7.2.
    Audio: 30 jours par défaut (extensible 12 mois opt-in) — was "indéfinie".
    Biométrie inter-sessions: max 12 mois — était absent.
    Facturation: 7 ans — était "6 ans".
    Sauvegardes: 30 jours OVH QC.

D9. RPRP contact: confirmed canonical rprp@dictia.ca (per PDC §1.2 + RPRP
    designation §1.3) — was already correct on site, kept as-is.

MEDIUM (M1-M3)

M1. Cookies categories: aligned to PDC §5.1 (5 categories: essentiels +
    Cloudflare + perf + fonctionnels + HubSpot). Removed "Plausible Analytics
    auto-hébergé" claim (not in any signed doc).

M2. DPA status: noted as "signed" for OVH + HubSpot (signed PDFs verified),
    "in vigueur" for Stripe.

M3. Footer mentions légales link: added (was missing).

MINOR (N1-N2)

N1. Stripe entity: "Stripe Inc., San Francisco CA" (canonical PDC §2.6),
    not "Stripe Payments Canada Ltd." (which doesn't appear in any signed doc).

N2. Engagement de non-entraînement IA: added to conditions.md §10 (canonical
    CGU §10).

NOT MODIFIED (per scope boundaries)

- src/api/auth.py, src/billing/*.py, src/models/*.py — code not touched.
- templates/marketing/{tarifs,fonctionnalites}.html — frontend A-2.x final.
- landing.html — only minimal art. 60.1 → art. 44-45 fix (factual law error).

PENDING ALLISON REVIEW

- landing.html line 167-174 marketing claim "Vos données ne sortent jamais
  de vos murs ou nos serveurs OVH Beauharnois" is technically inaccurate for
  DictIA Cloud users (audio briefly transits to GCP Toronto for GPU processing,
  RAM-only, 5min, zero persistence — encadré par EFVP signée). Decision
  required: rephrase OR add asterisk pointing to /conformite for Cloud
  architecture caveat.

- CAI form (CAI_FO_Declaration_Biometrie_DictIA_COMPLET_signé.pdf) declares
  90 jours retention for inter-sessions vectors, while PDC + CGU + EFVP
  all say 12 mois. Site uses 12 mois (latest, contractual). Allison should
  verify CAI form needs amendment before submission.

TESTS

9/9 test_legal_pages.py passing (added biometrics + decisions automatisees
to required_topics; corrected "transfert hors-québec" → "transferts hors
québec" to match canonical PDC §11 OQLF wording).

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
This commit is contained in:
Allison
2026-04-28 09:27:04 -04:00
parent e1e31b51fd
commit dc4ac9754b
10 changed files with 362 additions and 165 deletions
Download Patch File Download Diff File Expand all files Collapse all files

226
src/legal/content/confidentialite.md
View File

@@ -1,120 +1,230 @@
<div class="legal-draft-callout" role="note" aria-label="Document en cours de révision juridique">
<strong>BROUILLON v1.0</strong> &mdash; en attente de revue juridique par Allison Rioux. Ce document a valeur informative jusqu'à la revue finale par la responsable légale de DictIA Inc.
<strong>BROUILLON v1.0</strong> &mdash; en attente de revue juridique par Allison Rioux. Ce document a valeur informative jusqu'à la revue finale par la responsable légale de DictIA Inc. La version contractuelle de référence est le document signé <code>GOUV_PDC_Politique_confidentialite_DictIA</code> (v1.0, 9 mars 2026).
</div>
DictIA Inc. (filiale d'InnovA AI S.E.N.C.) attache la plus grande importance à la protection des renseignements personnels de ses utilisateurs. La présente Politique de confidentialité décrit, conformément à la *Loi modernisant des dispositions législatives en matière de protection des renseignements personnels* (Loi 25 du Québec), les pratiques de collecte, d'utilisation, de conservation et de communication des renseignements personnels.
DictIA Inc. attache la plus grande importance à la protection des renseignements personnels de ses utilisateurs. La présente Politique de confidentialité décrit, conformément à la *Loi sur la protection des renseignements personnels dans le secteur privé* (RLRQ, c. P-39.1, telle que modifiée par la *Loi 25*, L.Q. 2021, c. 25), à la *Loi concernant le cadre juridique des technologies de l'information* (RLRQ, c. C-1.1, ci-après « LCCJTI ») et à la *Loi sur la protection des renseignements personnels et les documents électroniques* (L.C. 2000, c. 5), les pratiques de collecte, d'utilisation, de conservation et de communication des renseignements personnels.
## 1. Identité du responsable
Le responsable du traitement des renseignements personnels est :
- **Raison sociale** : DictIA Inc. (filiale d'InnovA AI S.E.N.C.)
- **Adresse du siège social** : 77 chemin de la Seigneurie, Inverness QC G0S 1K0, Canada
- **Raison sociale** : DictIA Inc.
- **Forme juridique** : société par actions constituée le 22 mars 2026 en vertu de la *Loi sur les sociétés par actions du Québec* (RLRQ, c. S-31.1)
- **NEQ** : 1181949562
- **Siège social** : 77 chemin de la Seigneurie, Inverness QC G0S 1K0, Canada
- **District judiciaire** : Québec
- **Actionnaires** : Allison Rioux (50&nbsp;%) et Jean-David Lévesque-Rioux (50&nbsp;%)
- **Téléphone** : 581 996-8471
- **Courriel général** : <info@dictia.ca>
- **Activité** : service SaaS de transcription audio assistée par intelligence artificielle, conforme à la Loi 25 du Québec.
- **Site web** : <https://dictia.ca>
## 2. Coordonnées du responsable de la protection des renseignements personnels (RPRP)
Conformément à l'article 3.1 de la Loi 25, DictIA Inc. a désigné un responsable de la protection des renseignements personnels (RPRP) :
Conformément à l'article 3.1 de la *Loi sur le secteur privé*, DictIA Inc. a désigné une responsable de la protection des renseignements personnels :
- **Nom** : Allison Rioux, présidente
- **Responsable** : Allison Rioux
- **Titre** : Chef de la direction (CEO) & Responsable de la protection des renseignements personnels (RPRP)
- **Courriel dédié** : <rprp@dictia.ca> (alias surveillé exclusivement par la fonction RPRP)
- **Adresse postale** : RPRP — DictIA Inc., 77 chemin de la Seigneurie, Inverness QC G0S 1K0
- **Téléphone** : 581 996-8471
- **Adresse postale** : Allison Rioux, RPRP — DictIA Inc., 77 chemin de la Seigneurie, Inverness QC G0S 1K0
- **Délai de réponse** : 30 jours suivant la réception de la demande (prorogeable de 10 jours avec avis écrit motivé)
Toute demande relative à la présente Politique, à l'exercice des droits Loi 25 ou à un incident de confidentialité doit être adressée à <rprp@dictia.ca>.
## 3. Renseignements personnels collectés
DictIA collecte les catégories de renseignements personnels suivantes :
DictIA Inc. collecte et traite les catégories de renseignements personnels suivantes :
- **Identification** : adresse courriel, prénom, nom, mot de passe (haché en bcrypt — jamais stocké en clair) ;
- **Métadonnées professionnelles** (facultatives) : ordre professionnel d'appartenance et cabinet/organisation ;
- **Renseignements techniques** : adresse IP, en-tête User-Agent, identifiant de session ;
- **Contenu utilisateur** : fichiers audio téléversés et textes transcrits associés ;
- **Métadonnées de paiement** : adresse de facturation et identifiant client Stripe (les numéros de carte ne transitent jamais par les serveurs DictIA — ils sont collectés directement par Stripe) ;
- **Métadonnées d'authentification forte (WebAuthn)** : clé publique de la passkey, compteur de signatures, identifiant d'attestation.
### 3.1 Données d'identification
Nom, prénom, adresse courriel, numéro de téléphone, adresse postale, nom de l'organisation et titre professionnel (le cas échéant), identifiants de compte (nom d'utilisateur, mot de passe haché en bcrypt — jamais stocké en clair).
## 4. Finalités
### 3.2 Données audio
Enregistrements audio soumis par les utilisateurs pour transcription via DictIA. Ces enregistrements peuvent contenir la voix de l'utilisateur et de tiers.
Les renseignements personnels sont collectés et utilisés pour les finalités suivantes uniquement :
### 3.3 Transcriptions
Textes transcrits générés automatiquement à partir des enregistrements audio, versions corrigées ou annotées, résumés et post-traitements générés par le modèle de langage local.
- Fournir le Service de transcription audio ;
- Gérer les comptes utilisateurs et l'authentification (y compris l'authentification multifacteur) ;
- Émettre les factures et percevoir les paiements ;
- Assurer le support client ;
- Garantir la sécurité du Service (prévention de la fraude, journaux d'audit) ;
- Respecter les obligations légales et réglementaires applicables.
### 3.4 Données biométriques vocales
Vecteurs d'empreintes vocales (*voice embeddings*) extraits par le module de diarisation pyannote.audio. Ces empreintes constituent des **caractéristiques biométriques au sens des articles 44 et 45 de la LCCJTI** et des **renseignements sensibles au sens de la Loi 25** — soumises à des mesures de sécurité renforcées et à l'obligation de déclaration préalable à la Commission d'accès à l'information du Québec (CAI). La collecte et le traitement de ces données font l'objet d'un consentement distinct et explicite (voir sections 5 et 12).
## 5. Base légale
### 3.5 Données d'utilisation et données techniques
Adresse IP, type de navigateur et système d'exploitation, pages consultées, date et heure de consultation, données de session, journaux d'utilisation de la plateforme (actions effectuées, paramètres de transcription, durée des sessions), données de performance et diagnostics techniques.
La base légale du traitement est le **consentement explicite** de l'utilisateur, recueilli au moment de l'inscription conformément à l'article 14 de la Loi 25. Quatre consentements granulaires sont capturés et journalisés :
### 3.6 Données de paiement
Nom du titulaire du mode de paiement, informations de paiement tokenisées (les paiements sont traités par Stripe Inc., San Francisco CA, certifié PCI-DSS — DictIA Inc. ne stocke pas les numéros de cartes complets), adresse de facturation, historique des transactions.
## 4. Finalités du traitement
DictIA Inc. collecte et utilise les renseignements personnels uniquement aux fins suivantes :
- **Fourniture et exécution du service** : création et gestion des comptes, transcription automatique, diarisation vocale, post-traitement linguistique, support technique, facturation et gestion des paiements ;
- **Amélioration du service** : analyse des tendances d'utilisation, diagnostics techniques, développement de nouvelles fonctionnalités. **Important : DictIA Inc. n'utilise pas les enregistrements audio, les transcriptions ni les empreintes vocales des utilisateurs pour entraîner ses modèles d'intelligence artificielle, sauf consentement exprès et séparé** ;
- **Obligations légales et réglementaires** : respect des obligations fiscales, comptables et réglementaires, réponse aux demandes des autorités compétentes, tenue du registre des incidents de confidentialité ;
- **Sécurité** : prévention des accès non autorisés, détection et prévention des fraudes et incidents, journaux d'accès et de sécurité.
## 5. Base légale et consentement
Conformément aux articles 14 et suivants de la *Loi sur le secteur privé*, DictIA Inc. recueille un consentement **manifeste, libre, éclairé, spécifique et temporaire** avant toute collecte, utilisation ou communication de renseignements personnels.
Quatre consentements granulaires sont capturés et journalisés au moment de l'inscription :
1. Conditions d'utilisation (obligatoire pour la fourniture du Service) ;
2. Politique de confidentialité (obligatoire pour la fourniture du Service) ;
3. Communications marketing (facultatif, révocable à tout moment) ;
4. Mesures d'analyse d'audience anonymisées (facultatif, révocable à tout moment).
Le journal des consentements (`ConsentLog`) conserve la version exacte des documents acceptés, l'horodatage et l'adresse IP au moment du consentement.
Un **consentement explicite, distinct et spécifique** (case à cocher non pré-cochée) est requis pour :
## 6. Destinataires
- Les **données biométriques vocales** (voir section 12) — art. 12 al. 3 *Loi sur le secteur privé* et art. 44 LCCJTI ;
- L'utilisation des données à des fins d'amélioration des modèles d'IA ;
- Toute communication de renseignements personnels à des tiers non nécessaire à l'exécution du service ;
- Tout transfert de renseignements personnels hors du Québec (voir section 7).
Aucun tiers ne reçoit le contenu transcrit (audio source ou texte) ni les fichiers téléversés. Les destinataires limités sont :
Le journal des consentements (`ConsentLog`) conserve la version exacte des documents acceptés, l'horodatage et l'adresse IP au moment du consentement. Toute personne peut retirer son consentement à tout moment en écrivant à <rprp@dictia.ca>, sous réserve des obligations légales de DictIA Inc.
- **Stripe Payments Canada Ltd.** (siège : États-Unis) : reçoit le nom, le courriel et l'adresse de facturation aux fins exclusives du traitement du paiement ;
- **Resend Inc.** (États-Unis) : reçoit l'adresse courriel et le contenu des notifications transactionnelles (confirmation d'inscription, réinitialisation de mot de passe, factures) ;
- **OVH Hébergement Canada Inc.** (centre de données Beauharnois, Québec) : héberge les serveurs DictIA Cloud — l'opérateur n'a pas accès au contenu utilisateur (chiffrement au repos et en transit).
**Responsabilité de l'utilisateur — consentement des tiers (art. 184.1 *Code criminel*)** : lorsque l'utilisateur soumet un enregistrement contenant la voix de tiers, il lui incombe d'obtenir leur consentement préalable au traitement de leurs données, incluant le traitement biométrique. DictIA Inc. met à disposition un formulaire de consentement biométrique (document I2).
## 7. Transfert hors-Québec
## 6. Destinataires et sous-traitants techniques
Conformément à l'article 17 de la Loi 25, DictIA informe l'utilisateur que certains renseignements personnels limités sont transférés en dehors du Québec :
DictIA Inc. **ne vend, ne loue et ne commercialise pas** les renseignements personnels de ses utilisateurs. DictIA Inc. fait appel aux sous-traitants techniques suivants :
- **Stripe (États-Unis)** : nom, courriel, adresse de facturation, métadonnées de transaction ;
- **Resend (États-Unis)** : adresse courriel, contenu des courriels transactionnels.
| Sous-traitant | Service | Localisation des données | Encadrement |
| --- | --- | --- | --- |
| **OVH Hébergement Canada Inc.** | Stockage persistant principal de DictIA Cloud | Beauharnois (Québec, Canada) | DPA OVH (PIPA CA-1.0) signé + entente de sous-traitance art. 18.3 LSP |
| **Google Cloud Platform Inc.** | Traitement GPU (transcription, diarisation, inférence LLM) | Toronto (Ontario, Canada) — région *northamerica-northeast2-b* | EFVP signée *EFVP_GCP* + Cloud Data Processing Addendum GCP. Architecture **RAM-only** : aucune écriture sur disque, durée maximale 5 minutes par session, arrêt automatique. Données techniques en transit chiffrées via tunnel Tailscale VPN (WireGuard) entre OVH QC et GCP ON |
| **Cloudflare Inc.** | CDN du site institutionnel dictia.ca | États-Unis (réseau mondial) | EFVP signée *EFVP_Hubspot*. Données de navigation en transit uniquement (IP pseudonymisées, requêtes HTTP) — aucune donnée audio, transcription ni biométrique. La plateforme applicative DictIA n'est pas exposée via Cloudflare (accès restreint au tunnel Tailscale VPN) |
| **HubSpot Inc.** | CRM, gestion des contacts, formulaires web, courriel marketing | Cambridge (Massachusetts, États-Unis) | EFVP signée *EFVP_Hubspot* + DPA HubSpot signé (Standard Contractual Clauses incluses). Aucune donnée audio, transcription ni biométrique transmise |
| **Stripe Inc.** | Traitement des paiements en ligne | États-Unis (San Francisco CA) | DPA Stripe en vigueur. Certifié PCI-DSS. Données de paiement tokenisées — aucun numéro de carte complet stocké par DictIA Inc. |
Une évaluation des facteurs relatifs à la vie privée (EFVP) a été réalisée pour ces transferts. Les ententes contractuelles avec Stripe et Resend prévoient un niveau de protection équivalent à celui exigé par la Loi 25. **Aucun contenu transcrit (audio source ou texte) n'est transféré hors-Québec.**
Conformément à l'article 18.3 de la *Loi sur le secteur privé*, chaque entente de sous-traitance prévoit&nbsp;: les mesures de protection applicables, l'obligation d'utiliser les renseignements uniquement aux fins du mandat, l'obligation d'aviser DictIA Inc. de tout incident, et l'obligation de destruction ou restitution des renseignements à la fin du mandat.
DictIA Inc. peut communiquer des renseignements personnels sans consentement lorsque la loi l'exige, notamment à la CAI dans le cadre d'une enquête, à un tribunal ou organisme d'enquête, ou en cas de menace à la vie, à la santé ou à la sécurité d'une personne.
## 7. Transferts hors Québec
Conformément à l'article 17 de la *Loi sur le secteur privé*, DictIA Inc. a réalisé une **Évaluation des facteurs relatifs à la vie privée (EFVP)** documentée pour chaque transfert hors Québec. Les transferts autorisés sont :
| Destination | Sous-traitant | Nature des données | EFVP |
| --- | --- | --- | --- |
| Toronto, Ontario (Canada) | Google Cloud Platform | Audio et transcriptions traités en RAM uniquement (max. 5 min/session), aucune persistance sur disque | *EFVP_GCP* signée |
| Cambridge, MA (États-Unis) | HubSpot Inc. | Données de navigation et d'interaction CRM (nom, courriel, comportement web) — aucune donnée audio, transcription ni biométrique | *EFVP_Hubspot* signée |
| États-Unis (réseau global) | Cloudflare Inc. | Données techniques en transit (IP pseudonymisées, requêtes HTTP) — aucune donnée audio ni biométrique | *EFVP_Hubspot* signée |
| États-Unis (San Francisco CA) | Stripe Inc. | Données de paiement tokenisées — aucun numéro de carte complet | EFVP en cours |
**Engagement fondamental** : les données médicales et biométriques des utilisateurs de DictIA Cloud ne sont **jamais** transférées hors du Canada. Les données personnelles persistantes des utilisateurs résident sur OVH Beauharnois (Québec). Le traitement GPU temporaire en Ontario s'effectue exclusivement en mémoire vive, sans persistance.
DictIA Inc. ne transfère pas de renseignements personnels vers un territoire dont le régime juridique n'offre pas une protection équivalente à celle prévue par la loi québécoise, sauf en cas de nécessité, avec consentement explicite préalable, EFVP, entente écrite avec le destinataire et information de la personne concernée du nom du territoire et de la finalité.
## 8. Durée de conservation
Les renseignements sont conservés selon les durées suivantes :
Conformément à l'article 12 de la *Loi sur le secteur privé*, DictIA Inc. ne conserve les renseignements personnels que pour la durée nécessaire à la réalisation des finalités. Une fois la finalité réalisée, les renseignements sont détruits ou anonymisés de manière irréversible.
| Catégorie | Durée de conservation |
| --- | --- |
| Données de compte (courriel, nom, mot de passe haché) | Durée de l'abonnement + 24 mois après résiliation (obligation comptable québécoise) |
| Audio source téléversé | Conservé jusqu'à suppression manuelle par l'utilisateur OU jusqu'à expiration de la politique de rétention configurée par votre administrateur (par défaut sur DictIA Cloud : conservation indéfinie ; les administrateurs peuvent activer une rétention automatique via les paramètres). |
| Texte transcrit | Conservé jusqu'à suppression manuelle par l'utilisateur |
| Journal des consentements (ConsentLog) | 36 mois après le dernier consentement (Loi 25 art. 3.5) |
| Journaux d'audit de sécurité | 36 mois |
| Métadonnées de facturation Stripe | 6 ans (obligation fiscale Revenu Québec) |
| Données d'identification (compte) | Durée du contrat de service + 30 jours (suppression anticipée possible par l'utilisateur) |
| Fichiers audio | 30 jours après traitement (par défaut) — extensible jusqu'à 12 mois sur choix explicite de l'utilisateur |
| Transcriptions et résumés IA | Durée de la relation contractuelle (suppression à tout moment par l'utilisateur ou via DSAR) |
| Empreintes vocales — diarisation **intra-session** | Destruction immédiate (purge RAM automatique à la fin du traitement, max. 5 min) — jamais stockées sur disque |
| Empreintes vocales — diarisation **inter-sessions** (opt-in) | Maximum **12 mois** après la dernière utilisation (chiffrées AES-256, stockées sur OVH Beauharnois QC) |
| Données de facturation (Stripe) | 7 ans après la dernière transaction (obligations fiscales LIR, LTVQ) |
| Consentements et preuves de consentement (`ConsentLog`) | Durée du contrat + 3 ans (prescription civile art. 2925 C.c.Q.) |
| Journaux d'accès (logs) | 12 mois |
| Métadonnées d'utilisation | 12 mois |
| Correspondance support client | Durée du contrat |
| Sauvegardes chiffrées (OVH Beauharnois QC) | 30 jours après suppression des données sources |
**Destruction sécurisée** : à l'expiration des durées, les données numériques sont détruites par effacement cryptographique conforme à la norme NIST SP 800-88 Rev. 1 ; les données biométriques font l'objet d'une destruction renforcée (effacement cryptographique avec écrasement supplémentaire et double vérification) ; les documents papier sont déchiquetés selon la norme DIN 66399 niveau P-4 minimum.
L'utilisateur peut, à tout moment, supprimer ses enregistrements audio, transcriptions et empreintes vocales directement depuis l'interface de la plateforme.
## 9. Droits de l'utilisateur
Conformément à la Loi 25, l'utilisateur dispose des droits suivants :
Conformément à la *Loi sur le secteur privé*, vous disposez des droits suivants :
- **Droit d'accès** : obtenir copie des renseignements personnels détenus ;
- **Droit de rectification** : faire corriger des renseignements inexacts ou incomplets ;
- **Droit à l'effacement** (art. 28.1 — *right to erasure*) : faire supprimer les renseignements lorsque la finalité du traitement est atteinte ou que le consentement est retiré ;
- **Droit à la portabilité** : recevoir les renseignements dans un format technologique structuré et couramment utilisé ;
- **Droit d'opposition** : s'opposer au traitement à des fins de prospection commerciale.
- **Droit d'accès** (art. 27) : connaître l'existence et la nature des renseignements vous concernant ;
- **Droit de rectification** (art. 28) : faire corriger ou supprimer tout renseignement inexact, incomplet, équivoque ou non autorisé ;
- **Droit à la désindexation** (art. 28.1) : exiger la cessation de diffusion ou la désindexation d'un renseignement ;
- **Droit à la portabilité** (art. 27 al. 3) : recevoir les renseignements dans un format technologique structuré (CSV, JSON ou autre format standard) ou les faire transmettre à une autre entreprise ;
- **Droit de retrait du consentement** : à tout moment, sous réserve des obligations légales (sans effet rétroactif) ;
- **Droit d'être informé des décisions automatisées** (art. 12.1) : obtenir les renseignements utilisés, les facteurs et paramètres ayant mené à la décision, et faire réviser la décision par une personne physique compétente ;
- **Droit d'être avisé en cas d'incident de confidentialité** présentant un risque de préjudice sérieux (art. 3.5).
**Procédure** : adresser la demande à <rprp@dictia.ca> en joignant une preuve d'identité (copie de pièce d'identité avec photo). Délai de réponse maximal : 30 jours conformément à l'article 32 de la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP, RLRQ c. P-39.1, telle que modifiée par la Loi 25).
**Procédure** : adresser la demande à <rprp@dictia.ca> ou par courrier postal à l'adresse indiquée à la section 2. DictIA Inc. accuse réception et répond dans les **30 jours** suivant la réception (art. 32 *Loi sur le secteur privé*), prorogeable de 10 jours dans les cas complexes avec avis écrit motivé.
## 10. Procédure de plainte
DictIA Inc. n'exige pas de frais pour répondre à une demande d'accès ou de rectification, sauf frais raisonnables annoncés à l'avance. Une vérification d'identité est effectuée avant tout traitement.
Si l'utilisateur estime que DictIA Inc. ne respecte pas ses obligations en matière de protection des renseignements personnels, il peut déposer une plainte auprès de la **Commission d'accès à l'information du Québec (CAI)** :
## 10. Décisions automatisées
La plateforme DictIA utilise les traitements automatisés suivants, exécutés en mode inférence uniquement sur l'infrastructure de DictIA Inc. (aucune donnée envoyée à des services d'IA externes) :
| Traitement | Technologie | Description |
| --- | --- | --- |
| Transcription automatique | WhisperX (BSD-2-Clause) | Conversion automatique de la parole en texte écrit |
| Diarisation vocale | pyannote.audio | Identification et distinction automatique des locuteurs dans un enregistrement |
| Post-traitement linguistique | Modèle de langage local (Mistral, Apache 2.0, ou autre modèle configurable) | Correction grammaticale, ponctuation, mise en forme et résumé optionnel |
Les transcriptions et diarisations constituent des **outils d'aide** : elles ne produisent pas, à elles seules, de décisions juridiques ou administratives à l'égard des utilisateurs. Conformément à l'article 12.1 de la *Loi sur le secteur privé*, vous pouvez exercer vos droits relatifs aux décisions automatisées en communiquant avec le RPRP.
## 11. Procédure de plainte
Si vous estimez que DictIA Inc. ne respecte pas ses obligations en matière de protection des renseignements personnels, vous pouvez déposer une plainte auprès de la **Commission d'accès à l'information du Québec (CAI)** :
- **Site web** : <https://www.cai.gouv.qc.ca>
- **Courriel** : <cai.communications@cai.gouv.qc.ca>
- **Téléphone (Québec)** : 418 528-7741
- **Téléphone (Montréal)** : 514 873-4196
- **Sans frais** : 1 888 528-7741
- **Adresse** : 525 boulevard René-Lévesque Est, bureau 2.36, Québec (Québec) G1R 5S9
## 11. Cookies et traceurs
## 12. Données biométriques (LCCJTI art. 44-45)
DictIA utilise un nombre minimal de cookies, décrits en détail dans la [Politique de cookies](/legal/cookies) :
La fonctionnalité de **diarisation vocale** de DictIA repose sur l'extraction de vecteurs d'empreintes vocales (*voice embeddings*) par pyannote.audio. Ces vecteurs constituent des **caractéristiques biométriques** au sens des articles 44 et 45 de la LCCJTI et des **renseignements sensibles** au sens de la Loi 25 — à ce titre, ils bénéficient de mesures de protection renforcées.
- **Cookies essentiels** (sans consentement) : session Flask, jeton anti-CSRF ;
- **Cookies analytiques** (avec consentement opt-in) : Plausible Analytics auto-hébergé sur l'infrastructure DictIA au Québec, sans aucun cookie publicitaire ni traçage tiers.
DictIA offre **deux niveaux** de traitement biométrique :
## 12. Date de mise à jour
| Niveau | Description | Stockage | Consentement requis |
| --- | --- | --- | --- |
| **Diarisation intra-session** | Identification des locuteurs pour la session en cours uniquement | Aucun — traitement en RAM, destruction immédiate à la fin de la session | Standard (consentement biométrique distinct, niveau 1) |
| **Diarisation inter-sessions** (« mémoire des locuteurs ») | Reconnaissance vocale persistante entre plusieurs sessions | OVH Beauharnois QC — chiffré AES-256 — max. **12 mois** après dernière utilisation | Consentement exprès et distinct obligatoire (case à cocher non pré-cochée — formulaire I2) |
Version 2026-04-27 — Inverness, Québec.
Conformément à la LCCJTI :
- **Consentement exprès préalable** (art. 44 LCCJTI) recueilli via case à cocher distincte non pré-cochée ;
- **Déclaration à la CAI** (art. 44 LCCJTI) — DictIA Inc. a préparé et soumettra une déclaration de création d'une banque de caractéristiques biométriques (formulaire CAI K1) **au moins 60 jours avant l'activation** de la diarisation inter-sessions. Aucune collecte d'empreintes vocales persistantes n'aura lieu avant la réception de l'accusé de réception de la CAI ;
- **Finalité limitée** — usage exclusif&nbsp;: distinction des locuteurs (diarisation). Aucune utilisation à des fins d'identification, d'authentification, de surveillance ou d'entraînement de modèles d'IA ;
- **Conservation minimale** (art. 45 LCCJTI) — destruction irréversible après 12 mois maximum ; demande de destruction anticipée possible à tout moment ;
- **Destruction renforcée** — effacement cryptographique avec écrasement supplémentaire et double vérification.
**Droit de refus** : le refus de la diarisation inter-sessions n'empêche pas l'utilisation du service de transcription de base.
## 13. Sécurité
DictIA Inc. met en œuvre les mesures de sécurité suivantes :
- **Chiffrement au repos** : AES-256 (toutes les données stockées sur OVH Beauharnois) ;
- **Chiffrement en transit** : TLS 1.3 ou supérieur + tunnel Tailscale VPN (WireGuard, ChaCha20-Poly1305) entre OVH QC et GCP ON ;
- **Réseau zéro-confiance** : aucun port exposé publiquement ;
- **Authentification** : mots de passe hachés bcrypt + authentification multifacteur disponible (TOTP, WebAuthn / passkeys) — MFA obligatoire pour les administrateurs ;
- **Contrôle d'accès** : RBAC selon le principe du moindre privilège ;
- **Journalisation** : journaux d'accès immuables (append-only) ;
- **Sauvegardes** : quotidiennes, chiffrées AES-256, rétention 30 jours, stockées au Québec ;
- **Mesures organisationnelles** : politique interne de protection des renseignements personnels (GOUV_PPRP signée), ententes de confidentialité avec employés et sous-traitants, formation, audits périodiques, procédure structurée de gestion des incidents conforme au *Règlement sur les incidents de confidentialité*.
En cas d'**incident de confidentialité** présentant un risque de préjudice sérieux, DictIA Inc. avise la CAI avec diligence (art. 3.5 LSP), avise les personnes concernées et tient un registre des incidents.
## 14. Cookies et traceurs
DictIA utilise un nombre limité de témoins de connexion, décrits en détail dans la [Politique de cookies](/legal/cookies). Catégories utilisées sur dictia.ca :
- **Témoins essentiels** (sans consentement) : session, jeton anti-CSRF, mémorisation du choix de consentement ;
- **Témoins Cloudflare** (sans consentement, sécurité essentielle) : protection CDN, filtrage du trafic, sécurité des requêtes HTTP ;
- **Témoins de performance et fonctionnels** (consentement préalable) : analyse de la fréquentation, mémorisation des préférences ;
- **Témoins HubSpot** (consentement préalable) : CRM, suivi des interactions visiteurs, formulaires de contact, courriel marketing.
## 15. Modifications à la présente politique
DictIA Inc. se réserve le droit de modifier la présente politique pour tenir compte des évolutions législatives, réglementaires ou technologiques. En cas de modification substantielle, DictIA Inc. publiera la version mise à jour avec la date de révision, informera les utilisateurs au moins **30 jours avant l'entrée en vigueur** des modifications, et recueillera un nouveau consentement lorsque requis (notamment pour les modifications portant sur les finalités du traitement biométrique).
## 16. Date de mise à jour
Version 2026-04-27 — Inverness, Québec. Politique alignée sur le document signé *GOUV_PDC_Politique_confidentialite_DictIA* (v1.0, 9 mars 2026, signé par Allison Rioux et Jean-David Lévesque-Rioux).