MailX

Documentation juridique

Politique de confidentialité

Cette politique explique comment Dataryx traite les renseignements personnels dans le cadre de MailX, sa plateforme de communication documentaire sécurisée.

Dernière mise à jour : 6 novembre 2026

1. Définitions

Dans cette politique :

  • « renseignement personnel » désigne toute information concernant une personne identifiable, directement ou indirectement;
  • « client » désigne l’organisation ou la personne qui utilise MailX ou qui conclut une relation de service avec Dataryx;
  • « destinataire » désigne la personne à qui un client transmet un lien sécurisé, un code de vérification ou un document;
  • « contenu chiffré » désigne les documents, pièces jointes, messages ou réponses protégés par les mécanismes de chiffrement pris en charge par MailX.

2. Portée et rôles

Cette politique s’applique au site web, au portail MailX, aux liens sécurisés destinataires et aux services de soutien connexes (collectivement, « MailX »). MailX est exploité par Dataryx (« nous », « notre » ou « nos »).

Pour les données de compte, de facturation, de sécurité et de soutien, Dataryx agit généralement comme organisation responsable du traitement. Pour les documents, messages, destinataires et fichiers soumis par une organisation cliente, cette organisation demeure responsable de ses données; Dataryx les traite uniquement afin de fournir le service et selon les instructions du client.

3. Renseignements que nous traitons

Nous limitons la collecte aux renseignements nécessaires au fonctionnement, à la sécurité et à l’amélioration de MailX. Selon votre utilisation, cela peut comprendre :

  • données de compte : nom, nom d’organisation, adresse courriel, rôle, préférences de langue et identifiants de connexion protégés;
  • données d’envoi : adresse courriel ou numéro de téléphone du destinataire, objet, métadonnées de fichier, dates d’expiration, choix de vérification et paramètres du message;
  • données de sécurité et d’audit : adresse IP, appareil ou navigateur, horodatages, demandes et validations OTP, ouvertures, téléchargements, révocations et événements de sécurité;
  • données de connexion : si vous vous connectez avec Microsoft ou Google, votre nom, votre adresse courriel et l’identifiant de votre compte chez ce fournisseur;
  • signaux de protection anti-robot : à l’inscription et à la connexion du service infonuagique, le service Cloudflare Turnstile reçoit des signaux de votre navigateur et votre adresse IP afin de détecter les robots;
  • contenu fourni par les clients : documents, pièces jointes, messages et réponses sécurisées;
  • communications avec nous : demandes de soutien, commentaires et correspondance avec Dataryx.

4. Finalités du traitement

  • créer et administrer votre compte et votre organisation;
  • transmettre les liens sécurisés, vérifier les destinataires et fournir l’accès aux documents;
  • assurer la sécurité, prévenir la fraude, appliquer les limites de forfait et conserver un journal d’audit;
  • répondre aux demandes de soutien et communiquer les informations de service importantes;
  • respecter nos obligations légales, réglementaires, contractuelles et de sécurité.

5. Chiffrement et sécurité

MailX applique des mesures techniques et organisationnelles adaptées à la sensibilité des renseignements traités. Elles comprennent notamment le chiffrement des communications en transit, des contrôles d’accès fondés sur les rôles, une journalisation des événements de sécurité, des liens temporaires, la vérification OTP lorsque configurée et des mécanismes d’expiration et de révocation.

Par défaut, les fichiers sont chiffrés en AES-256 dans le navigateur avant leur transfert, avec une clé propre à chaque envoi; cette clé est protégée par un coffre de clés de l’organisation cliente, au Canada, et Dataryx n’y a pas accès. Lorsque l’organisation active le chiffrement de bout en bout, les clés de déchiffrement ne sont pas conservées par les services MailX. Aucun système n’est toutefois infaillible; nous révisons nos mesures en fonction des risques, de la technologie et de l’évolution du service.

6. Hébergement et lieu de traitement

Le service infonuagique de MailX est hébergé au Canada. Les données de production (base de données, fichiers chiffrés, coffre de clés) se trouvent au Québec, dans la région Canada Est (Québec).

Deux types de copies de sécurité sortent toutefois du Québec : les sauvegardes géographiques de la base de données et la copie de secours du coffre de clés sont répliquées par notre fournisseur d’hébergement dans sa région jumelle, Canada Centre (Ontario). Ces copies demeurent au Canada, mais elles sont communiquées à l’extérieur du Québec; nous le faisons pour pouvoir rétablir le service après un incident majeur.

Le service de protection anti-robot (Cloudflare Turnstile) et les fournisseurs de connexion (Microsoft, Google) peuvent traiter les renseignements limités décrits plus bas dans d’autres territoires, selon leurs propres infrastructures. Pour l’offre Entreprise installée chez le client, les données se trouvent là où l’organisation cliente choisit d’installer MailX.

Nous exigeons de nos fournisseurs qu’ils protègent les renseignements traités pour notre compte et qu’ils ne les utilisent pas à leurs propres fins.

7. Sous-traitants

Pour le service infonuagique, nous faisons appel aux fournisseurs suivants. Nous mettrons cette liste à jour avant d’en ajouter un :

  • Microsoft Azure (Microsoft) : hébergement, stockage, base de données, journalisation et envoi des courriels du service, au Canada (Canada Est (Québec), avec les copies de secours décrites à la section 6);
  • Cloudflare (Turnstile) : protection anti-robot à l’inscription et à la connexion; reçoit des signaux du navigateur et l’adresse IP; traitement possible hors du Canada;
  • Microsoft et Google : connexion seulement, lorsque vous choisissez ce mode (voir la section 10);
  • Stripe : annoncé, pour le traitement des paiements lorsque le paiement en ligne sera ouvert; il n’est pas encore en service.

8. Conservation et suppression

Service infonuagique : un envoi est conservé 14 jours au plus, et chaque fichier peut être téléchargé 3 fois au plus par destinataire. À l’échéance, les fichiers chiffrés sont effacés du stockage; il n’y a ni corbeille ni version antérieure. Pour l’offre Entreprise, la durée est celle choisie par l’organisation cliente.

Le journal d’audit du service infonuagique est conservé 12 mois. Les données de compte sont conservées pendant la relation d’affaires puis supprimées ou anonymisées dans un délai raisonnable, sous réserve de nos obligations légales, fiscales, de prévention de la fraude et de sauvegarde. Les sauvegardes de la base de données suivent leur propre cycle de conservation, de l’ordre de quelques semaines.

9. Partage et divulgation

Nous ne vendons pas les renseignements personnels et nous ne les utilisons pas à des fins de publicité comportementale. Nous ne les divulguons qu’aux personnes autorisées de Dataryx, à nos fournisseurs agissant pour notre compte, à votre organisation lorsque nécessaire à l’administration du service, ou lorsque la loi l’exige ou le permet.

Un expéditeur qui choisit d’envoyer un document à un destinataire est responsable d’obtenir les autorisations nécessaires pour utiliser les coordonnées de ce destinataire dans MailX.

10. Connexion avec Microsoft ou Google

Si vous choisissez de vous connecter avec Microsoft ou Google, nous recevons de ce fournisseur votre nom, votre adresse courriel et l’identifiant de votre compte. Ces renseignements servent seulement à créer votre compte, à vous reconnaître et à vous connecter. Nous ne demandons pas l’accès à votre boîte courriel, à vos contacts ni à vos fichiers, et nous ne les utilisons pas à des fins de publicité.

L’utilisation par MailX, et le transfert à toute autre application, des renseignements reçus des API de Google respecteront la Politique sur les données des utilisateurs des services d’API de Google (Google API Services User Data Policy), y compris les exigences d’utilisation limitée (Limited Use). En anglais : MailX’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

11. Vos droits et la Loi 25 (Québec)

Sous réserve des lois applicables, notamment la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25), vous pouvez demander l’accès aux renseignements personnels que nous détenons à votre sujet, leur rectification, leur suppression lorsque permise, et la communication de vos renseignements informatisés dans un format technologique structuré et couramment utilisé (portabilité). Vous pouvez aussi retirer un consentement lorsque le traitement repose sur celui-ci; cela peut toutefois empêcher certaines fonctions de MailX.

Le responsable de la protection des renseignements personnels de Dataryx reçoit ces demandes à info@dataryx.ca (mention « Protection des renseignements personnels »). Nous pouvons devoir vérifier votre identité, et nous répondons dans les 30 jours suivant la réception de la demande.

La communication de renseignements à l’extérieur du Québec est décrite à la section 6. Vous pouvez aussi déposer une plainte auprès de la Commission d’accès à l’information du Québec ou de l’autorité de protection des renseignements personnels compétente dans votre province ou votre territoire.

12. Témoins et stockage local

MailX utilise des technologies strictement nécessaires au fonctionnement du portail, à la sécurité de la session, au choix de langue et à la prévention des abus; à l’inscription et à la connexion du service infonuagique, le service anti-robot Cloudflare Turnstile en fait partie. Nous n’utilisons pas de témoins publicitaires ni de suivi comportemental pour vendre des profils publicitaires.

13. Incident de confidentialité

Si nous constatons ou soupçonnons un incident de confidentialité, nous l’évaluons rapidement, prenons des mesures raisonnables pour limiter ses effets, préservons les éléments nécessaires à son analyse et mettons en place des mesures correctives afin de réduire le risque qu’il se reproduise.

Lorsque la loi applicable l’exige, nous avisons les personnes concernées, les organisations clientes et les autorités compétentes selon les modalités et délais requis. Nous collaborons avec nos clients lorsqu’un incident concerne des données qu’ils contrôlent.

14. Modifications à cette politique

Nous pouvons mettre à jour cette politique afin de refléter l’évolution de MailX, de nos pratiques ou des lois applicables. La date de dernière mise à jour sera modifiée et, lorsqu’un changement est important, nous fournirons un avis approprié.