Politique de confidentialité

Cette politique dit quels renseignements personnels SpoolStream recueille, pourquoi, qui les voit, où ils sont conservés, pour combien de temps, et ce que vous pouvez nous demander. SpoolStream est exploité depuis le Québec, au Canada. La personne responsable de la protection des renseignements personnels est l'exploitant du service, joignable à [email protected].

1. Deux rôles

Pour les personnes qui utilisent le service (leur courriel, leur nom et leurs données de connexion), nous décidons pourquoi et comment les renseignements sont utilisés : cette politique en traite. Pour les documents et les données que votre organisation envoie par le service, c'est votre organisation qui décide, et nous les traitons pour elle : cela relève de l'addenda sur le traitement des données.

2. Ce que nous recueillons

À l'inscription. L'inscription dans le tableau de bord demande une adresse courriel et un nom pour votre organisation, et envoie un code pour confirmer l'adresse.
À la connexion. Le tableau de bord authentifie les personnes par courriel et mot de passe avec un code à usage unique, par Google ou par Microsoft Entra ID, et une organisation peut exiger sa propre authentification unique. Les rôles sont propriétaire (owner), administrateur (admin), opérateur (operator) et lecteur (viewer). La connexion par Google ou Microsoft transmet à SpoolStream l'adresse courriel, le nom et l'identifiant de compte de la personne chez ce fournisseur; aucun jeton du fournisseur n'est conservé.
Pendant l'utilisation du service. Les tâches et les documents que vos applications envoient, les imprimantes et les ordinateurs que vous connectez, et les réglages que vous choisissez. L'agent communique au service le nom de l'ordinateur, son système d'exploitation et son architecture, la version de l'agent, et les imprimantes qu'il peut atteindre (nom de la file, serveur d'impression et pilote).
La trace de ce qui se passe. Chaque entrée d'audit indique qui a agi (une personne, une clé d'API ou un agent), ce qui a été fait, quand, ainsi que l'adresse réseau et le nom du navigateur ou du client de l'appelant; elle n'enregistre jamais un mot de passe, un jeton ni un document.
Au paiement. Les cartes de paiement sont saisies sur les pages de Stripe elles-mêmes : aucune donnée de carte ne parvient à SpoolStream. Stripe reçoit une fiche client portant l'identifiant de l'organisation, et un total par quantité comptée pour chaque période close.
Sur ce site. Ce site Web ne dépose aucun témoin, n'exécute aucun script tiers, ne charge aucune police ni image d'un autre site et n'a aucun outil d'analyse d'audience.

Nous ne vendons pas de renseignements personnels et nous ne les utilisons pas à des fins publicitaires.

3. Pourquoi nous les utilisons

Pour créer et sécuriser votre compte, exploiter le service que vous avez demandé (impression, historique, rapports, avis), facturer lorsque la facturation existera, assurer la sécurité du service et vous répondre. Nous ne les utilisons à rien d'autre que ce à quoi vous pouvez vous attendre à partir de ces fins. Lorsque la loi exige votre consentement, vous le donnez en vous inscrivant et en utilisant le service, et vous pouvez le retirer en fermant votre compte.

4. Qui peut les voir

Nos sous-traitants ultérieurs, qui hébergent et exploitent le service pour nous. Ils sont listés, avec ce que chacun reçoit et où, à la page des sous-traitants.
Le service n'a ni console d'exploitation, ni écran d'administrateur de la plateforme, ni moyen pour son personnel de se connecter à la place d'un client. Les tâches d'exploitation (attribuer un forfait, relier un client de facturation) sont des commandes ponctuelles exécutées avec l'identifiant du propriétaire de la base de données, que la sécurité au niveau des lignes ne restreint pas; chaque modification qu'elles apportent est inscrite dans la piste d'audit de l'organisation.
Les autorités, lorsque la loi l'exige, après que nous avons vérifié que la demande est valide.

5. Où ils sont conservés

Le service hébergé fonctionne à Toronto chez DigitalOcean (App Platform pour l'application, PostgreSQL géré pour la base de données), avec Cloudflare pour son nom de domaine et Cloudflare R2 pour les documents. Les paiements par Stripe et la surveillance sur Grafana Cloud sont prévus et ne sont pas activés. L'application et la base de données fonctionnent à Toronto, au Canada. La région du stockage des documents n'est pas choisie : le stockage (Cloudflare R2) ne garantit pas que les documents restent au Canada. Certains fournisseurs sont établis aux États-Unis ou ailleurs : des renseignements personnels peuvent donc être traités hors du Québec et hors du Canada. Nous choisissons des fournisseurs qui les protègent et nous signons leurs conditions de traitement des données.

6. Combien de temps nous les conservons

Par défaut, un document est supprimé du stockage 24 heures après la fin de sa tâche, et 168 heures (7 jours) après l'échec d'une tâche, et jamais tant que la tâche est en cours ou incertaine.
La fiche d'une tâche et son historique survivent au document et sont conservés tant que l'organisation existe; aucune durée de conservation distincte ne s'y applique encore.
La piste d'audit d'une organisation est conservée 7 ans par défaut (son propriétaire peut choisir de 1 à 25 ans). Les événements de sécurité qui n'appartiennent à aucune organisation sont conservés un an.
Les enregistrements de livraison des webhooks sont supprimés 30 jours après la fin de la livraison.
Les statistiques quotidiennes des tâches de chaque organisation (nombres par état et par imprimante, aucun document) sont conservées 25 mois; le registre d'utilisation est conservé jusqu'à l'effacement de l'organisation.
Une inscription jamais vérifiée est supprimée après 24 heures.
Le retrait d'un membre supprime le compte de cette personne, ses méthodes de connexion et son second facteur; les tâches qu'elle a envoyées restent à l'organisation et la piste d'audit conserve l'identifiant du compte.
La suppression d'une organisation efface tout, y compris les tâches et leur historique, 30 jours après la demande du propriétaire; le propriétaire peut la restaurer pendant ces 30 jours. Une seule chose est conservée : si l'organisation était facturée par Stripe, son numéro de client Stripe, avec la date de l'effacement et rien d'autre du client dans notre base de données, afin qu'un message tardif de Stripe soit reconnu et ignoré. Lorsque l'effacement est effectué, les abonnements de l'organisation chez Stripe sont résiliés, de sorte que Stripe cesse de la facturer; ce numéro n'est plus jamais relié à une organisation.
Après un effacement, SpoolStream conserve pendant un an un événement de sécurité qui nomme l'organisation effacée. Le lien vers la fiche client de l'organisation chez Stripe est supprimé avec l'organisation; seul le numéro de client Stripe est conservé, avec la date de l'effacement, tandis que Stripe conserve sa propre fiche.

7. Comment nous les protégeons

Chaque table qui contient les données d'un client porte l'identifiant de l'organisation, un filtre dans l'application et la sécurité au niveau des lignes (row-level security) de PostgreSQL. Nos tests d'intégration prouvent que l'organisation B ne peut ni lire ni modifier les données de l'organisation A, et reçoit 404, non 403.
Les clés d'API et les justificatifs des agents ne sont stockés que sous forme de hachage à clé (HMAC-SHA256 sous un « poivre » secret). Une clé perdue est remplacée, jamais récupérée.
Les secrets de second facteur, les codes de récupération et les secrets de signature des webhooks sont stockés chiffrés (AES-256-GCM) sous une clé conservée dans le magasin de secrets, et non dans la base de données. Les mots de passe ne sont stockés que sous forme de hachage produit par ASP.NET Core Identity.
Après 5 tentatives de connexion échouées, un compte est verrouillé pendant 15 minutes, et les codes à usage unique comptent dans la même limite. Une organisation ne peut pas encore exiger de ses membres un second facteur. Une session du tableau de bord prend fin après 8 heures sans activité, et après 7 jours au plus.
Notre règle veut que le contenu des documents, les noms de fichiers et les références externes n'apparaissent jamais dans les journaux, les traces, les exceptions, les diagnostics, les journaux de livraison des webhooks ni la piste d'audit.

La page Sécurité donne le reste. Si un incident expose vos renseignements personnels à un risque de préjudice sérieux, nous prévenons les personnes concernées et les autorités comme la loi l'exige, et nous prévenons nos clients sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance.

8. Vos droits

Vous pouvez nous demander d'accéder aux renseignements personnels que nous détenons sur vous, de les corriger, de les supprimer ou de les recevoir dans un format courant. Écrivez à [email protected]. Nous répondons dans les 30 jours. Un membre d'une organisation peut aussi être retiré par un propriétaire de cette organisation. Pour les renseignements contenus dans des documents que votre organisation nous a envoyés, adressez-vous d'abord à votre organisation : c'est elle qui décide.

Si vous n'êtes pas satisfait, vous pouvez porter plainte à la Commission d'accès à l'information du Québec ou au Commissariat à la protection de la vie privée du Canada. Si vous habitez ailleurs, vous pouvez vous adresser à votre propre autorité.

9. Témoins

Ce site Web ne dépose aucun témoin, n'exécute aucun script tiers, ne charge aucune police ni image d'un autre site et n'a aucun outil d'analyse d'audience. Le tableau de bord n'utilise que les témoins nécessaires pour vous garder connecté : voir l'avis sur les témoins.

10. Enfants

SpoolStream est un service pour les entreprises. Il n'est pas destiné aux personnes de moins de 18 ans, et nous ne recueillons pas sciemment leurs renseignements. Si vous pensez qu'un enfant s'est inscrit, écrivez-nous et nous supprimerons le compte.

11. Modifications

Lorsque nous modifions cette politique de façon importante, nous prévenons par courriel les propriétaires de chaque organisation au moins 30 jours avant. La date en haut de cette page est celle de la dernière mise à jour.