Engagements de l'éditeur envers le client

Dernière mise à jour : 26 octobre 2026.

Cette page dit ce que l'éditeur de hide4ai fait, et ne fait pas, avec les renseignements personnels d'un client quand il y a accès. Elle reprend les éléments qu'un mandat écrit doit contenir quand une entreprise confie des renseignements personnels à un mandataire (art. 18.3 de la Loi sur le privé) : le client peut la joindre au mandat qu'il confie à l'éditeur.

1. Quand ces engagements s'appliquent

• Service hébergé : le client se connecte au logiciel exploité par l'éditeur ; les documents qu'il dépose passent par le serveur de l'éditeur.
• Essai de 14 jours : le compte d'essai est dans le logiciel hébergé par l'éditeur.
• Soutien avec accès : le client donne à l'éditeur l'accès à son installation pour l'aider.

Quand le client installe hide4ai chez lui et ne donne aucun accès à l'éditeur, l'éditeur ne reçoit aucun renseignement personnel : le logiciel ne fait aucun appel obligatoire à l'éditeur, n'envoie aucune télémétrie et vérifie sa licence sans connexion Internet. Ces engagements ne s'appliquent alors pas.

2. N'utiliser les renseignements que pour rendre le service

L'éditeur n'utilise les renseignements du client que pour fournir le service demandé : faire fonctionner le logiciel hébergé, ou résoudre le problème pour lequel le client a donné l'accès.

L'éditeur ne les utilise ni pour entraîner un modèle, ni pour améliorer ses produits, ni pour mesurer la qualité de sa détection, ni pour aucun autre usage, sauf accord écrit distinct du client. Les mesures de détection qu'il publie sont faites sur des documents fictifs.

3. Protéger le caractère confidentiel

Dans le service hébergé, les mesures de sécurité du logiciel s'appliquent aux renseignements du client. Elles sont décrites dans la fiche de traitement : chiffrement du coffre, des secrets de double authentification et des clés de fournisseurs d'IA ; mots de passe, clés d'API et codes de secours gardés seulement sous forme d'empreinte ; double authentification ; chaque personne ne voit que ses propres documents ; journal d'audit chaîné qui ne contient jamais la valeur d'un document ni un nom de fichier.

Le contenu d'un document ne sort du serveur de l'éditeur que dans un seul cas : quand une personne du client décide d'envoyer un document généré au fournisseur d'IA que l'administrateur du client a choisi. Le texte envoyé est alors dépersonnalisé et le fournisseur ne reçoit jamais la correspondance entre les jetons et les vraies valeurs. L'administrateur du client peut interdire tout envoi par le serveur.

4. Ne pas conserver les renseignements après la fin du service

• Dans le logiciel, le contenu d'un document disparaît de la mémoire après 30 minutes sans utilisation, et les correspondances du coffre sont supprimées après 30 jours par défaut, ou plus tôt si le client les supprime.
• Quand le service prend fin, l'éditeur ne conserve pas les renseignements du client.
• Pour un essai, ces suppressions sont faites automatiquement : le compte est désactivé à la fin des 14 jours, puis le compte et les coffres sont supprimés 30 jours plus tard.

5. Aviser sans délai

L'éditeur avise sans délai le responsable de la protection des renseignements personnels du client de toute violation ou tentative de violation, par quiconque, des obligations relatives à la confidentialité des renseignements communiqués (art. 18.3 de la Loi sur le privé).

6. Permettre les vérifications

L'éditeur permet au responsable de la protection des renseignements personnels du client d'effectuer toute vérification relative à cette confidentialité (art. 18.3 de la Loi sur le privé).

7. Incidents de confidentialité

La Loi sur le privé définit l'incident de confidentialité : l'accès, l'utilisation ou la communication non autorisés par la loi d'un renseignement personnel, sa perte, ou toute autre atteinte à sa protection (art. 3.6 de la Loi sur le privé). Si un incident touche des renseignements que l'éditeur détient pour le compte du client :

1. l'éditeur avise le client sans délai et prend les mesures raisonnables pour diminuer les risques ;
2. l'éditeur remet au client, avec diligence, les éléments dont il a besoin pour remplir ses propres obligations : mesures et avis à la Commission d'accès à l'information et aux personnes concernées en cas de risque de préjudice sérieux (art. 3.5 de la Loi sur le privé), évaluation du risque (art. 3.7 de la Loi sur le privé) et registre des incidents (art. 3.8 de la Loi sur le privé) ;
3. ces éléments recoupent ce que le Règlement sur les incidents de confidentialité demande des avis et du registre : description des renseignements visés, circonstances de l'incident, date ou période, date à laquelle l'incident a été découvert, nombre de personnes concernées, éléments sur le risque de préjudice, mesures prises (art. 3, 5 et 7 du Règlement sur les incidents de confidentialité). L'éditeur les rassemble de façon à ce que le client puisse les y reporter ;
4. c'est le client, et non l'éditeur, qui avise la Commission d'accès à l'information et les personnes concernées, et qui tient le registre.

8. Ce que ces engagements ne font pas

Ils ne remplacent pas les obligations du client : c'est lui qui est responsable des renseignements personnels qu'il détient (art. 3.1 de la Loi sur le privé). Le fournisseur d'IA que le client choisit est lié au client par son propre contrat : l'éditeur n'en est pas partie.

9. Nous joindre

Pour toute question sur ces engagements, écrivez-nous par le formulaire de la page Contact.