Politique de confidentialité

1. Qui nous sommes et portée de la présente politique

YourFirstAI Inc. est une société canadienne de régime fédéral établie à Kitchener-Waterloo, en Ontario. Nous concevons des sites Web propulsés par l'IA, avec un agent IA fonctionnel intégré, pour les petites entreprises (yourfirst.ai).

La présente politique explique, conformément à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada, comment nous traitons les renseignements personnels des visiteurs de notre site Web public yourfirst.ai et des prospects qui communiquent avec nous. Pour les services nécessitant une connexion (portail client et outils d'IA), le traitement des renseignements personnels est régi principalement par le contrat de service signé avec chaque client — voir les sections 6 et 7.

2. Responsabilité et coordonnées

YourFirstAI Inc. est responsable des renseignements personnels dont elle a la gestion ou le contrôle. Les demandes et les questions sur vos renseignements personnels sont adressées à notre responsable de la protection de la vie privée :

• Responsable de la protection de la vie privée : [email protected]
• Adresse postale : YourFirstAI Inc., 151 Charles St. W., Suite 100, Kitchener, ON N2G 1H6, Canada

Nous répondons aux demandes d'accès et de correction dans un délai raisonnable et, lorsque la loi l'exige, dans un délai de 30 jours. Aucuns frais ne s'appliquent aux demandes courantes.

3. Renseignements que nous recueillons sur le site

• Demandes de soumission (la page /express) : le nom, le type, la ville et le site Web actuel de votre entreprise; ce qu'il vous faut, dans vos mots; votre nom, votre courriel et, si vous le donnez, votre numéro de téléphone; l'étape ou le projet créatif choisi et tout code promotionnel; la façon dont vous nous avez trouvés (balises de campagne et canal); la langue de la page; si vous avez écrit ou utilisé votre voix; et vos choix dans le formulaire, avec la version du texte que vous avez vu et l'heure. Les conseils et offres par courriel sont une case distincte, non cochée tant que vous ne la cochez pas.
• Coupons : chaque coupon ne peut servir qu'une fois par personne. Pour le vérifier, nous conservons votre courriel en minuscules et en comparons une forme simplifiée (sans « +étiquette » et, pour les adresses Gmail, aussi sans points). Nous l'utilisons seulement pour empêcher un usage répété.
• Description vocale sur la page de soumission : si vous choisissez de parler au lieu d'écrire, jusqu'à environ deux minutes d'audio sont envoyées au service Gemini de Google, à l'extérieur du Canada, pour être transformées en texte qui remplit le formulaire. Nous ne conservons pas l'enregistrement. Vous vérifiez chaque champ avant l'envoi.
• Formulaires de contact, de démo et de diagnostic : votre nom, votre courriel et, si vous la donnez, votre entreprise; votre message (formulaire de contact); vos réponses au diagnostic (type d'activité, nombre de questions de clients par jour, ce que les clients demandent le plus et où votre équipe perd du temps); ainsi qu'une trace indiquant que vous avez vu notre avis de confidentialité (la version du texte et l'heure).
• Clavardage du site (AssistPro) : l'assistant de clavardage de ce site est notre propre produit AssistPro, intégré sous forme de widget servi depuis yourai-assistpro.pages.dev dans un iframe. Il conserve un jeton de session dans le stockage local (localStorage) de votre navigateur (yourai_widget_session) afin que votre conversation se poursuive d'une page à l'autre. Le contenu de vos conversations est traité par notre plateforme au moyen de l'API Google Gemini (voir la section 5) et conservé dans notre base de données hébergée au Canada (voir la section 8). Vous pouvez demander la suppression de vos conversations en tout temps. Tout assistant IA de ce site, y compris celui de la page de soumission, fonctionne de la même façon.
• Sondages et NPS : vos réponses et toute note que vous attribuez.
• Prise de rendez-vous : nom, courriel et la plage horaire choisie.
• Paiements : le cas échéant, les paiements sont traités par Stripe; nous ne conservons jamais les données de carte.
• Infolettre : le courriel avec lequel vous vous inscrivez et la langue de la page.
• Recherche sur le blogue : les termes que vous recherchez, avec le type de navigateur, la page d'où vous venez et un identifiant de session aléatoire, afin d'améliorer notre contenu.
• Diagnostic gratuit, notes vocales : si vous enregistrez une note vocale dans le cadre du diagnostic gratuit, l'audio est envoyé au service Gemini de Google, à l'extérieur du Canada, pour être transcrit, et la transcription est jointe à votre dossier de prospect (voir la section 5). Nous conservons l'audio dans un espace de stockage privé pendant 90 jours, puis nous le supprimons. Notre équipe n'y accède que par des liens qui expirent après 30 jours.
• Utilisation du site : télémétrie de première partie développée par nos soins (aucun témoin, et les événements sont conservés sans votre adresse IP) et Google Analytics 4. Les deux ne fonctionnent que si vous sélectionnez « Accepter » dans la bannière de témoins (voir la section 9).
• Registres de sécurité : pour empêcher les abus de nos formulaires, du clavardage et de la télémétrie, nous comptons les requêtes par adresse IP et par connexion. La vérification anti-robot de nos formulaires (Cloudflare Turnstile) reçoit aussi votre adresse IP et des détails sur votre navigateur. Les adresses IP que nous conservons à cette fin sont supprimées dans les 3 jours suivant votre dernière requête.

4. Pourquoi nous utilisons vos renseignements et notre fondement juridique

En vertu de la LPRPDE, nous nous appuyons sur votre consentement — exprès ou implicite — et sur des exceptions limitées permises par la loi. Nous déterminons la fin avant la collecte de vos renseignements ou au moment de celle-ci :

Nous n'utilisons pas vos renseignements à des fins incompatibles avec celles déterminées. Si une nouvelle fin survient, nous vous en informerons et, lorsque le consentement est requis, nous le solliciterons de nouveau. Vous pouvez retirer votre consentement en tout temps, sous réserve de restrictions légales ou contractuelles (section 10).

5. Intelligence artificielle sur le site

Trois fonctionnalités du site font appel à un traitement de vos renseignements par l'IA :

• Assistant de clavardage (AssistPro) : les réponses viennent d'un assistant IA. Les messages que vous envoyez sont traités par notre plateforme AssistPro au moyen de l'API Google Gemini, sur une infrastructure située à l'extérieur du Canada (voir la section 8). Nous n'entraînons pas de modèles d'IA sur vos données. L'assistant est une IA : n'y saisissez pas de données sensibles (santé, biométrie et autres), de documents de tiers, de mots de passe ni de données financières.
• Description vocale sur la page de soumission : votre enregistrement est envoyé à l'API Google Gemini, à l'extérieur du Canada, pour être transformé en texte. Nous ne le conservons pas. Vous vérifiez chaque champ avant l'envoi, et le prix affiché est calculé à partir de notre catalogue publié, jamais par l'IA.
• Transcription des notes vocales : les notes vocales soumises dans le cadre du diagnostic gratuit sont transcrites par l'API Google Gemini, à l'extérieur du Canada. La transcription est jointe à votre dossier de prospect.

Le traitement par Google du contenu envoyé à l'API Gemini (requêtes, enregistrements et réponses) est régi par les conditions de l'API Gemini de Google. Selon ses politiques d'utilisation de l'API, Google conserve ce contenu 55 jours pour détecter et prévenir les usages abusifs de son service et pour toute communication exigée par la loi. Nous n'utilisons pas l'IA pour prendre des décisions à votre sujet : le prix d'une soumission vient de notre catalogue publié, et notre équipe s'occupe du suivi.

6. Services authentifiés (portail et outils)

Notre portail client et nos outils d'IA nécessitent une connexion et sont fournis en vertu d'ententes conclues avec des clients d'affaires. Dans ces cas, le traitement des renseignements personnels est régi par le contrat de service et les conditions de traitement des données signés avec chaque client — dans plusieurs de ces ententes, YourFirstAI agit comme fournisseur de services, pour le compte et selon les directives du client, qui demeure responsable des renseignements et de sa propre politique de confidentialité.

Si vous utilisez l'un de ces outils en tant qu'employé ou utilisateur final d'un de nos clients, la politique de confidentialité applicable est généralement celle du client. Les demandes que nous recevons dans ce contexte sont transmises au client, que nous assistons. Pour savoir quel régime s'applique à votre situation, écrivez à [email protected].

7. Plateforme WhatsApp Business — données de conversation traitées pour nos clients

Certains de nos clients d'affaires utilisent notre plateforme pour communiquer avec leur propre clientèle au moyen de la plateforme WhatsApp Business. Dans ce service, YourFirstAI agit à titre de fournisseur de technologie (« Tech Provider ») reconnu par Meta : le client est propriétaire de son compte WhatsApp Business (WABA), nous y donne accès au moyen de l'inscription intégrée (« Embedded Signup ») de Meta et peut retirer cet accès en tout temps.

Pour les conversations qui y circulent, le client d'affaires est l'organisation responsable des renseignements personnels — c'est lui qui détermine les fins et les modalités du traitement — et YourFirstAI agit pour son compte et selon ses directives, à titre de fournisseur de services au sens de la LPRPDE et d'operador au sens de la LGPD du Brésil lorsque le client est brésilien. Il s'agit du régime décrit à la section 6.

Sur les directives du client, nous traitons :

• Le contenu des messages — textes, médias et éléments interactifs échangés entre l'utilisateur final et le numéro WhatsApp du client.
• Le numéro de téléphone de l'utilisateur final, en format E.164, lorsque la plateforme nous le transmet.
• L'identifiant d'utilisateur propre à l'entreprise (« business-scoped user ID » ou BSUID) — un identifiant que Meta attribue à un utilisateur final pour la seule entreprise du client. Depuis 2026, l'utilisateur final qui écrit à une entreprise au moyen d'un nom d'utilisateur WhatsApp peut voir son numéro de téléphone retiré des données que la plateforme nous transmet; dans ce cas, le BSUID est le seul identifiant de l'utilisateur final que nous recevons. Un BSUID ne permet pas de reconnaître la même personne dans le compte d'une autre entreprise.
• Les métadonnées des messages — horodatages, état de livraison et de lecture, ainsi que le nom et les variables de tout modèle de message utilisé.
• Les identifiants de compte — l'identifiant du WABA et celui du numéro de téléphone du client.

Nous utilisons ces données uniquement pour fournir le service demandé par le client. Nous ne les vendons pas, nous ne les utilisons pas à des fins publicitaires et nous ne nous en servons pas pour entraîner nos propres modèles d'IA. Lorsque le client active des fonctions d'IA, le contenu des messages est transmis à des fournisseurs de modèles d'IA selon leurs conditions d'API (voir la section 5).

Lieu du traitement. Les données de conversation sont conservées au repos sur une infrastructure infonuagique située dans une région canadienne. La livraison des messages transite nécessairement par la plateforme WhatsApp Business de Meta et le traitement par l'IA s'effectue chez des fournisseurs situés à l'extérieur du Canada — deux transferts transfrontaliers exposés à la section 8.

Durée de conservation. La durée est fixée dans le contrat de service conclu avec le client. À défaut de stipulation, nous ne conservons les données de conversation que le temps nécessaire à la prestation du service et nous les supprimons sur instruction du client. À la fin du service, nous supprimons ou restituons les données et nous nous déconnectons du WABA, qui demeure celui du client.

Si vous êtes un utilisateur final ayant écrit à une entreprise. La politique de confidentialité applicable à votre conversation est celle de cette entreprise, et non la nôtre; il lui revient également d'obtenir votre consentement à être contacté et de respecter votre retrait. Adressez vos demandes d'accès, de correction et de suppression directement à elle. Si vous nous écrivez, nous transmettons votre demande au client, nous l'assistons et nous vous en informons — sauf lorsque le droit canadien ou brésilien vous confère un droit directement contre nous.

8. Avec qui nous partageons les renseignements — et traitement transfrontalier

Nous ne vendons pas de renseignements personnels. Nous ne partageons les renseignements qu'avec les fournisseurs nécessaires à la prestation du service. Notre base de données est hébergée par Supabase au Canada (région ca-central-1), où sont également conservées les données de conversation WhatsApp décrites à la section 7. Certains traitements s'effectuent néanmoins à l'extérieur du Canada : Google traite les requêtes d'IA sur une infrastructure située à l'extérieur du Canada et héberge les boîtes de courriel de notre équipe, et Cloudflare dessert le site et effectue la vérification anti-robot de nos formulaires par son réseau mondial. Ces flux constituent des transferts transfrontaliers aux fins de traitement, que nous divulguons ici conformément aux exigences de transparence de la LPRPDE. Pendant que les renseignements sont traités dans un autre pays, ils peuvent être accessibles aux tribunaux ainsi qu'aux autorités d'application de la loi et de sécurité nationale de ce territoire. Nous choisissons des fournisseurs qui offrent des conditions de traitement des données. L'utilisation par Google du contenu envoyé à l'API Gemini est régie par les conditions de l'API Gemini (section 5).

Le widget de clavardage du site est servi depuis yourai-assistpro.pages.dev — il s'agit de notre propre plateforme AssistPro, hébergée sur Cloudflare Pages, et non d'un tiers. Les conversations sont conservées dans notre base de données indiquée ci-dessus.

Le tableau ci-dessus vise notre site Web public et son assistant de clavardage. Les données de conversation traitées pour un client d'affaires dans le cadre du service de la plateforme WhatsApp Business (section 7) sont conservées dans la région canadienne de notre fournisseur infonuagique; Meta et les fournisseurs de modèles d'IA énumérés ci-dessus demeurent dans ce flux, comme il y est indiqué.

Les renseignements peuvent aussi être communiqués lorsque la loi ou une autorité compétente l'exige, dans la mesure de cette exigence.

Où vos renseignements sont traités

YourFirstAI Inc. est établie à Kitchener, en Ontario. Les renseignements que vous nous donnez sur ce site (demandes de soumission, formulaires de contact et de rendez-vous, conversations de clavardage et vos choix de consentement) sont conservés dans notre base de données au Canada, dans la région Canada (Centre) de notre fournisseur infonuagique, à Montréal. Les courriels que nous vous envoyons au sujet de votre demande partent par Amazon Simple Email Service, dans la même région canadienne.

Certains services sur lesquels nous comptons traitent des renseignements à l'extérieur du Canada, surtout aux États-Unis :

• Traitement par l'IA. Lorsque vous clavardez avec notre assistant, enregistrez une description vocale sur la page de soumission ou envoyez une note vocale avec le diagnostic gratuit, le contenu est envoyé à l'API Gemini de Google pour être compris ou transcrit. Les conditions de l'API Gemini de Google s'appliquent, y compris la conservation pendant 55 jours pour détecter les usages abusifs de son service. Nous ne conservons pas les enregistrements vocaux de la page de soumission, et nous supprimons les notes vocales du diagnostic après 90 jours. Le prix affiché est calculé à partir de notre catalogue publié, jamais par l'IA.
• Le courriel de notre équipe. Les avis sur votre demande arrivent dans les boîtes de courriel de notre équipe, hébergées par Google Workspace.
• Diffusion et protection du site. Cloudflare diffuse ce site par son réseau mondial et effectue la vérification anti-robot (Turnstile) de nos formulaires.
• Analytique, seulement si vous sélectionnez « Accepter » dans la bannière de témoins : Google Analytics 4.
• Paiements, seulement si vous nous payez : Stripe. Nous ne voyons ni ne conservons jamais votre numéro de carte.

Pendant que vos renseignements se trouvent dans un autre pays, ils sont assujettis aux lois de ce pays et peuvent être consultés par ses tribunaux et ses autorités d'application de la loi et de sécurité nationale. Chaque fournisseur est tenu par contrat de protéger vos renseignements; l'usage que Google peut faire du contenu envoyé à l'API Gemini est régi par les conditions de l'API Gemini (section 5). Le tableau ci-dessus indique chaque fournisseur, sa fin et son lieu. Pour toute question sur cette section, ou pour savoir quels renseignements nous détenons à votre sujet, écrivez à notre responsable de la protection de la vie privée à l'adresse indiquée à la section 2.

9. Témoins (cookies) et technologies de suivi

• Essentiels : session, sécurité et fonctionnement du site — y compris l'enregistrement de votre choix de témoins et le jeton de session du widget de clavardage (yourai_widget_session, conservé dans le stockage local de votre navigateur). Ceux-ci ne requièrent pas de consentement.
• Analytique de première partie (notre propre télémétrie) : si vous acceptez dans la bannière, notre propre télémétrie enregistre des événements d'utilisation anonymes, sans témoin et sans conserver votre adresse IP dans les événements, au moyen d'un simple condensé de visiteur anonyme (un SHA-256 de votre session et du jour, qui change chaque jour). Les événements bruts sont conservés 60 jours; ensuite, seuls des décomptes quotidiens agrégés subsistent. Si vous refusez, rien n'est enregistré. Nous respectons également le signal Do Not Track de votre navigateur.
• Google Analytics 4 : si vous sélectionnez « Accepter » dans la bannière, nous utilisons aussi Google Analytics 4 pour mesurer l'audience du site (pages visitées, sources de trafic). Il utilise des témoins. Tant que vous n'acceptez pas, le script de Google Analytics n'est pas chargé et rien n'est envoyé à Google; si vous refusez, il n'est jamais chargé. Nous n'utilisons pas les fonctions publicitaires.

La bannière vous permet d'accepter et de refuser avec la même facilité, sans cases précochées, et enregistre votre choix dans le navigateur. Pour modifier votre choix, effacez les données de ce site dans votre navigateur (la bannière réapparaîtra) ou écrivez à [email protected].

10. Vos droits

En vertu de la LPRPDE, vous pouvez en tout temps demander :

• De savoir si nous détenons des renseignements personnels à votre sujet et d'y accéder;
• De savoir comment vos renseignements sont utilisés et à qui ils ont été communiqués;
• De faire corriger des renseignements inexacts ou incomplets;
• De retirer votre consentement, sous réserve de restrictions légales ou contractuelles;
• De vous désabonner des communications de marketing en tout temps;

Envoyez vos demandes à [email protected]; nous répondons dans le délai indiqué à la section 2. Si notre réponse ne vous satisfait pas, vous pouvez déposer une plainte auprès du Commissariat à la protection de la vie privée du Canada (CPVP).

11. Durée de conservation de vos renseignements

Nous conservons les renseignements personnels uniquement le temps nécessaire aux fins déterminées et pendant les délais de conservation légaux applicables. Lorsque la fin est atteinte — ou sur demande de suppression de votre part — les renseignements sont supprimés ou anonymisés, sauf lorsque leur conservation est exigée par la loi ou nécessaire pour constater, exercer ou défendre des droits en justice.

Les copies de sauvegarde sont conservées par l'infrastructure selon son propre cycle et expirent dans une fenêtre limitée après la suppression des données d'origine.

12. Mesures de protection

Nous appliquons des mesures de protection techniques et organisationnelles proportionnelles à la sensibilité des renseignements, dès la conception :

• Chiffrement en transit (HTTPS/TLS) sur l'ensemble du site et des API;
• Chiffrement au repos sur l'infrastructure du fournisseur de base de données;
• Isolation des données par des politiques d'accès au niveau des lignes (Row Level Security);
• Analytique sans témoins ni conservation d'adresses IP — uniquement un condensé de visiteur anonyme (SHA-256) qui change chaque jour;
• Audio du diagnostic conservé dans un espace de stockage privé, accessible uniquement par des liens à durée limitée, et supprimé après 90 jours;
• Adresses IP utilisées contre les abus conservées 3 jours au plus;
• Identifiants à privilèges minimaux, avec des clés d'API tenues hors du code et du navigateur.

13. Incidents de sécurité

Nous tenons un registre des incidents de sécurité touchant des renseignements personnels. Lorsqu'une atteinte présente un risque réel de préjudice grave, nous avisons les personnes concernées et faisons rapport au Commissariat à la protection de la vie privée du Canada dès que possible, conformément aux exigences de déclaration des atteintes prévues par la LPRPDE. Lorsque nous agissons comme fournisseur de services, nous avisons le client sans délai afin qu'il puisse remplir ses propres obligations.

14. Mineurs

Nos services sont interentreprises (B2B) et ne s'adressent pas aux personnes de moins de 18 ans. Nous ne recueillons pas sciemment de renseignements auprès de mineurs. Si nous apprenons que les renseignements d'un mineur ont été recueillis, ils seront supprimés. Si vous croyez que c'est le cas, communiquez avec [email protected].

15. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique pour refléter l'évolution de nos services ou de la loi. La date de la dernière mise à jour figure au haut de la page. Les changements importants — nouvelles fins, nouvelles communications ou modifications des mesures transfrontalières — seront mis en évidence sur le site ou envoyés par courriel et, lorsque le consentement est requis, sollicités de nouveau.

16. Droit applicable

La présente politique est régie par la LPRPDE et par les lois applicables de la province de l'Ontario et du Canada. Le Commissariat à la protection de la vie privée du Canada est l'autorité compétente.