Politique de confidentialité

1. Qui nous sommes et portée de la présente politique

YourFirstAI Inc. est une société canadienne de régime fédéral établie à Kitchener-Waterloo, en Ontario. Nous concevons des sites Web propulsés par l'IA, avec un agent IA fonctionnel intégré, pour les petites entreprises (yourfirst.ai).

La présente politique explique, conformément à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada, comment nous traitons les renseignements personnels des visiteurs de notre site Web public yourfirst.ai et des prospects qui communiquent avec nous. Pour les services nécessitant une connexion (portail client et outils d'IA), le traitement des renseignements personnels est régi principalement par le contrat de service signé avec chaque client — voir la section 6.

2. Responsabilité et coordonnées

YourFirstAI Inc. est responsable des renseignements personnels dont elle a la gestion ou le contrôle et a désigné un responsable de la protection de la vie privée qui traite les demandes et les questions :

• Responsable de la protection de la vie privée : [email protected]
• Adresse postale : YourFirstAI Inc., 151 Charles St. W., Suite 100, Kitchener, ON N2G 1H6, Canada

Nous répondons aux demandes d'accès et de correction dans un délai raisonnable et, lorsque la loi l'exige, dans un délai de 30 jours. Aucuns frais ne s'appliquent aux demandes courantes.

3. Renseignements que nous recueillons sur le site

• Formulaires de contact et de prospection : nom, courriel, téléphone, entreprise, fonction et réponses de qualification (besoin, budget estimé, rôle décisionnel et échéancier).
• Clavardage du site (AssistPro) : l'assistant de clavardage de ce site est notre propre produit AssistPro, intégré sous forme de widget servi depuis yourai-assistpro.pages.dev dans un iframe. Il conserve un jeton de session dans le stockage local (localStorage) de votre navigateur (yourai_widget_session) afin que votre conversation se poursuive d'une page à l'autre. Le contenu de vos conversations est traité par notre plateforme au moyen de l'API Google Gemini (voir la section 5) et conservé dans notre base de données hébergée aux États-Unis (voir la section 7). Vous pouvez demander la suppression de vos conversations en tout temps.
• Sondages et NPS : vos réponses et toute note que vous attribuez.
• Prise de rendez-vous : nom, courriel et la plage horaire choisie.
• Paiements : le cas échéant, les paiements sont traités par Stripe; nous ne conservons jamais les données de carte.
• Recherche sur le blogue : les termes que vous recherchez, afin d'améliorer notre contenu.
• Score de prospect (lead score) : un score de priorité commerciale calculé automatiquement à partir des renseignements que vous fournissez (voir la section 5).
• Diagnostic gratuit — notes vocales : si vous enregistrez une note vocale dans le cadre du diagnostic gratuit, le fichier audio est conservé dans un espace de stockage privé, accessible uniquement par des liens à durée limitée (30 jours). Il est transcrit par l'API Google Gemini et la transcription est jointe à votre dossier de prospect (voir la section 5).
• Utilisation du site : télémétrie de première partie développée par nos soins (aucun témoin, aucune adresse IP conservée) et Google Analytics 4 — dans les deux cas, uniquement si vous acceptez dans la bannière de témoins (voir la section 8).

4. Pourquoi nous utilisons vos renseignements et notre fondement juridique

En vertu de la LPRPDE, nous nous appuyons sur votre consentement — exprès ou implicite — et sur des exceptions limitées permises par la loi. Nous déterminons la fin avant la collecte de vos renseignements ou au moment de celle-ci :

Nous n'utilisons pas vos renseignements à des fins incompatibles avec celles déterminées. Si une nouvelle fin survient, nous vous en informerons et, lorsque le consentement est requis, nous le solliciterons de nouveau. Vous pouvez retirer votre consentement en tout temps, sous réserve de restrictions légales ou contractuelles (section 9).

5. Intelligence artificielle sur le site

Trois fonctionnalités du site font appel à un traitement de vos renseignements par l'IA :

• Assistant de clavardage (AssistPro) : les messages que vous envoyez sont traités par notre plateforme AssistPro au moyen de l'API Google Gemini, sur une infrastructure située à l'extérieur du Canada (voir la section 7). Nous utilisons l'API selon des conditions qui interdisent l'utilisation du contenu pour entraîner les modèles du fournisseur. Nous n'entraînons pas non plus de modèles d'IA sur vos données. L'assistant est une IA — n'y saisissez pas de données sensibles (santé, biométrie, etc.), de documents de tiers, de mots de passe ni de données financières.
• Transcription des notes vocales : les notes vocales soumises dans le cadre du diagnostic gratuit sont transcrites par l'API Google Gemini, selon les mêmes conditions — le contenu n'est pas utilisé pour entraîner les modèles du fournisseur. La transcription est jointe à votre dossier de prospect.
• Résultats automatisés : le score de prospect (un score de priorité commerciale généré à partir des renseignements de qualification que vous fournissez) est produit automatiquement. Il n'utilise pas d'attributs sensibles et ne produit pas, à lui seul, d'effet d'exclusion ou de discrimination — le contact commercial est toujours assuré par des personnes.

Vous pouvez vous renseigner sur la logique de tout résultat automatisé et demander une révision humaine en écrivant à [email protected].

6. Services authentifiés (portail et outils)

Notre portail client et nos outils d'IA nécessitent une connexion et sont fournis en vertu d'ententes conclues avec des clients d'affaires. Dans ces cas, le traitement des renseignements personnels est régi par le contrat de service et les conditions de traitement des données signés avec chaque client — dans plusieurs de ces ententes, YourFirstAI agit comme fournisseur de services, pour le compte et selon les directives du client, qui demeure responsable des renseignements et de sa propre politique de confidentialité.

Si vous utilisez l'un de ces outils en tant qu'employé ou utilisateur final d'un de nos clients, la politique de confidentialité applicable est généralement celle du client. Les demandes que nous recevons dans ce contexte sont transmises au client, que nous assistons. Pour savoir quel régime s'applique à votre situation, écrivez à [email protected].

7. Avec qui nous partageons les renseignements — et traitement transfrontalier

Nous ne vendons pas de renseignements personnels et aucun fournisseur ne détient de droit d'utilisation secondaire sur ceux-ci. Nous ne partageons les renseignements qu'avec les fournisseurs nécessaires à la prestation du service. Notre base de données et nos traitements s'exécutent sur des infrastructures situées aux États-Unis et dans d'autres territoires à l'extérieur du Canada : Supabase héberge notre base de données aux États-Unis (région us-east-2), Google traite les requêtes d'IA sur une infrastructure située à l'extérieur du Canada et Cloudflare dessert le site par son réseau mondial. Chaque flux constitue donc un transfert transfrontalier aux fins de traitement, que nous divulguons ici conformément aux exigences de transparence de la LPRPDE. Pendant que les renseignements sont traités dans un autre pays, ils peuvent être accessibles aux tribunaux ainsi qu'aux autorités d'application de la loi et de sécurité nationale de ce territoire. Nous choisissons des fournisseurs qui offrent des ententes de traitement des données et des protections contractuelles comparables aux normes canadiennes.

Le widget de clavardage du site est servi depuis yourai-assistpro.pages.dev — il s'agit de notre propre plateforme AssistPro, hébergée sur Cloudflare Pages, et non d'un tiers. Les conversations sont conservées dans notre base de données indiquée ci-dessus.

Les renseignements peuvent aussi être communiqués lorsque la loi ou une autorité compétente l'exige, dans la mesure de cette exigence.

8. Témoins (cookies) et technologies de suivi

• Essentiels : session, sécurité et fonctionnement du site — y compris l'enregistrement de votre choix de témoins et le jeton de session du widget de clavardage (yourai_widget_session, conservé dans le stockage local de votre navigateur). Ceux-ci ne requièrent pas de consentement.
• Analytique de première partie (notre propre télémétrie) : si vous acceptez dans la bannière, notre propre télémétrie enregistre des événements d'utilisation anonymes — aucun témoin, aucune adresse IP conservée — au moyen d'un simple condensé de visiteur anonyme (un SHA-256 de votre session et du jour, qui change chaque jour). Les événements bruts sont conservés 60 jours; ensuite, seuls des décomptes quotidiens agrégés subsistent. Si vous refusez, rien n'est enregistré. Nous respectons également le signal Do Not Track de votre navigateur.
• Google Analytics 4 : si vous acceptez dans la bannière, nous utilisons aussi Google Analytics 4 pour mesurer l'audience du site (pages visitées, sources de trafic). Il utilise des témoins et est configuré avec le Consent Mode — tant que vous n'acceptez pas, le stockage analytique demeure refusé et aucun témoin analytique n'est déposé — ainsi qu'avec l'anonymisation des adresses IP. Nous n'utilisons pas les fonctions publicitaires. Si vous refusez, GA4 ne recueille rien.

La bannière vous permet d'accepter et de refuser avec la même facilité, sans cases précochées, et enregistre votre choix dans le navigateur. Pour modifier votre choix, effacez les données de ce site dans votre navigateur (la bannière réapparaîtra) ou écrivez à [email protected].

9. Vos droits

En vertu de la LPRPDE, vous pouvez en tout temps demander :

• De savoir si nous détenons des renseignements personnels à votre sujet et d'y accéder;
• De savoir comment vos renseignements sont utilisés et à qui ils ont été communiqués;
• De faire corriger des renseignements inexacts ou incomplets;
• De retirer votre consentement, sous réserve de restrictions légales ou contractuelles;
• De vous désabonner des communications de marketing en tout temps;
• De vous renseigner sur la logique de tout résultat automatisé et de demander une révision humaine.

Envoyez vos demandes à [email protected]; nous répondons dans le délai indiqué à la section 2. Si notre réponse ne vous satisfait pas, vous pouvez déposer une plainte auprès du Commissariat à la protection de la vie privée du Canada (CPVP).

10. Durée de conservation de vos renseignements

Nous conservons les renseignements personnels uniquement le temps nécessaire aux fins déterminées et pendant les délais de conservation légaux applicables. Lorsque la fin est atteinte — ou sur demande de suppression de votre part — les renseignements sont supprimés ou anonymisés, sauf lorsque leur conservation est exigée par la loi ou nécessaire pour constater, exercer ou défendre des droits en justice.

Les copies de sauvegarde sont conservées par l'infrastructure selon son propre cycle et expirent dans une fenêtre limitée après la suppression des données d'origine.

11. Mesures de protection

Nous appliquons des mesures de protection techniques et organisationnelles proportionnelles à la sensibilité des renseignements, dès la conception :

• Chiffrement en transit (HTTPS/TLS) sur l'ensemble du site et des API;
• Chiffrement au repos sur l'infrastructure du fournisseur de base de données;
• Isolation des données par des politiques d'accès au niveau des lignes (Row Level Security);
• Analytique sans témoins ni conservation d'adresses IP — uniquement un condensé de visiteur anonyme (SHA-256) qui change chaque jour;
• Audio du diagnostic conservé dans un espace de stockage privé, accessible uniquement par des liens à durée limitée;
• Identifiants à privilèges minimaux, avec des clés d'API tenues hors du code et du navigateur.

12. Incidents de sécurité

Nous tenons un registre des incidents de sécurité touchant des renseignements personnels. Lorsqu'une atteinte présente un risque réel de préjudice grave, nous avisons les personnes concernées et faisons rapport au Commissariat à la protection de la vie privée du Canada dès que possible, conformément aux exigences de déclaration des atteintes prévues par la LPRPDE. Lorsque nous agissons comme fournisseur de services, nous avisons le client sans délai afin qu'il puisse remplir ses propres obligations.

13. Mineurs

Nos services sont interentreprises (B2B) et ne s'adressent pas aux personnes de moins de 18 ans. Nous ne recueillons pas sciemment de renseignements auprès de mineurs. Si nous apprenons que les renseignements d'un mineur ont été recueillis, ils seront supprimés. Si vous croyez que c'est le cas, communiquez avec [email protected].

14. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique pour refléter l'évolution de nos services ou de la loi. La date de la dernière mise à jour figure au haut de la page. Les changements importants — nouvelles fins, nouvelles communications ou modifications des mesures transfrontalières — seront mis en évidence sur le site ou envoyés par courriel et, lorsque le consentement est requis, sollicités de nouveau.

15. Droit applicable

La présente politique est régie par la LPRPDE et par les lois applicables de la province de l'Ontario et du Canada. Le Commissariat à la protection de la vie privée du Canada est l'autorité compétente.