Politique de confidentialité

Portée

La présente Politique de confidentialité explique comment Formerie recueille, utilise, communique, conserve et protège des renseignements dans le cadre de l’exploitation de ses sites Web, de ses applications destinées aux clients, de ses API, de ses SDK, de ses formulaires hébergés, de ses formulaires intégrés, de la livraison par courriel et de ses canaux de soutien connexes. Formerie est établie au Québec, au Canada, et est en accès anticipé.

Formerie fournit une infrastructure que les clients utilisent pour publier des formulaires et recevoir des soumissions. Pour les données de formulaire soumises, le client qui contrôle le formulaire décide habituellement quels champs sont recueillis, pourquoi ils le sont, pendant combien de temps ils sont nécessaires et qui devrait les recevoir. Dans ce contexte, Formerie agit généralement à titre de fournisseur de services ou de sous-traitant pour le client. Pour les données relatives aux comptes, au site Web, à la sécurité et au soutien, Formerie peut agir à titre d’organisation indépendante, d’entreprise ou de responsable du traitement, selon le droit applicable et le contexte.

La présente politique est une version de travail qui décrit ce que le service fait aujourd’hui. Elle n’a pas été finalisée par un conseiller juridique.

Renseignements que nous traitons

Formerie traite les catégories de renseignements suivantes :

• Les renseignements de compte, tels que le nom, l’adresse courriel, l’organisation, le rôle, les identifiants de connexion, les mots de passe hachés, les détails de l’authentification multifacteur et des clés d’accès, ainsi que les paramètres du compte.
• La configuration du client, telle que les formulaires, les champs, les règles de validation, les versions publiées, les domaines, les règles de livraison, les destinataires, les expéditeurs, les gabarits, les préférences de notification et les paramètres des fournisseurs connectés. Les identifiants des fournisseurs sont chiffrés.
• Les données de formulaire soumises, qui dépendent de la configuration du formulaire contrôlée par le client.
• Les métadonnées des soumissions, telles que l’origine, l’URL de la page, l’agent utilisateur, un hachage salé de l’adresse IP, les résultats de validation et les résultats des contrôles antipourriel. Formerie ne stocke pas l’adresse IP en clair avec une soumission.
• Les données de livraison et les données opérationnelles, telles que les tentatives de livraison, les codes de réponse des fournisseurs, les identifiants de messages, l’état des files d’attente et les dossiers de livraisons en échec.
• Les données de forfait, telles que le type de forfait, les nombres d’utilisations et les limites de fonctionnalités. Formerie ne traite aucun paiement et ne détient aucune donnée de paiement ou de facturation.
• Les communications de soutien, telles que les courriels ainsi que les coordonnées et les renseignements qu’ils contiennent.
• Les données techniques et de sécurité, telles que l’adresse IP, l’agent utilisateur, l’URL de la requête, les horodatages, les identifiants de session, les événements d’authentification, les journaux d’erreurs et les événements de limitation de débit. Les journaux de requêtes sont détenus par Cloudflare.

Formerie n’offre pas le téléversement de fichiers. Aujourd’hui, Formerie n’utilise aucun outil d’analyse de produit ni outil publicitaire sur son site Web, sa documentation, son application ou ses formulaires hébergés.

Les clients devraient configurer les formulaires de manière à recueillir uniquement les renseignements nécessaires à la finalité qu’ils ont énoncée.

Sources des renseignements

Formerie reçoit des renseignements des sources suivantes :

• Les utilisateurs de comptes et les administrateurs d’organisations.
• Les visiteurs publics qui soumettent des formulaires de clients.
• Les sites Web ou les applications de clients qui intègrent des formulaires ou des SDK de Formerie.
• Google, GitHub ou Apple, si vous choisissez de vous connecter avec l’un d’eux. Ils fournissent l’identifiant de votre compte, votre adresse courriel et, selon le fournisseur, votre nom ou des détails de votre profil.
• Les fournisseurs de vérification humaine et de courriel, qui retournent des résultats de vérification et des réponses de livraison.
• Les systèmes de navigateur, d’appareil, de réseau et d’exécution qui transmettent des métadonnées techniques dans le cadre du fonctionnement normal du service.
• Les instructions de clients et les demandes de soutien.

Utilisation des renseignements

Formerie utilise les renseignements pour :

• Fournir, maintenir, sécuriser et améliorer le service.
• Authentifier les utilisateurs et administrer les organisations, les rôles, les forfaits, les domaines, les formulaires et les paramètres.
• Valider les soumissions de formulaires et appliquer, côté serveur, les règles relatives aux formulaires, à la livraison, à l’origine, à la sécurité, à la prévention du pourriel et à la limitation de débit.
• Stocker les soumissions et les dossiers opérationnels.
• Mettre en file d’attente, acheminer, relancer et consigner les notifications par courriel.
• Résoudre les erreurs, enquêter sur les abus, prévenir la fraude et protéger la fiabilité du service.
• Communiquer au sujet du produit, des demandes de soutien, des avis de sécurité, des mises à jour de politiques et des questions administratives.
• Compter l’utilisation par rapport aux limites de forfait.
• Respecter les obligations légales et faire respecter les ententes et les politiques de Formerie.

Formerie ne vend pas de renseignements personnels. Si le produit utilise ultérieurement de la publicité, de la publicité comportementale intercontextuelle ou un suivi similaire, la présente politique et la Politique relative aux témoins doivent être mises à jour avant le début de cette utilisation.

Fonctionnalités d’IA

Aujourd’hui, aucune fonctionnalité d’IA ne traite le contenu des clients ou les soumissions publiques, et Formerie ne les transmet à aucun service d’IA. Toute future fonctionnalité d’IA sera facultative et nécessitera une activation volontaire, et la présente politique sera mise à jour avant son lancement.

Communication et sous-traitants ultérieurs

Formerie communique des renseignements uniquement dans la mesure nécessaire à des fins légitimes liées au service, juridiques, de sécurité et commerciales, notamment :

• Au client qui contrôle un formulaire et aux destinataires configurés par ce client. Les notifications par courriel peuvent contenir les réponses soumises.
• Aux fournisseurs qui exploitent le service : Cloudflare pour l’hébergement, la base de données, les files d’attente, le courriel et la sécurité; GitHub pour les sauvegardes temporaires de la base de données; et Proton pour la boîte de courriel qui reçoit les messages envoyés à Formerie.
• Aux services choisis par un client ou un utilisateur : Google reCAPTCHA ou Cloudflare Turnstile pour les formulaires qui exigent une vérification humaine, Google, GitHub ou Apple pour la connexion, et le fournisseur de courriel connecté par un espace de travail. Turnstile et reCAPTCHA reçoivent l’adresse IP du visiteur à chaque vérification.
• Aux conseillers professionnels, aux auditeurs, aux assureurs ou aux parties à une éventuelle transaction commerciale, sous réserve de conditions de confidentialité appropriées.
• Aux autorités, aux tribunaux ou à des tiers lorsque la loi l’exige ou lorsque cela est nécessaire pour protéger Formerie, les clients, les utilisateurs ou le public.

La page Sous-traitants ultérieurs nomme ces fournisseurs et précise leur rôle.

Responsabilités des clients

Les clients ont la responsabilité de :

• Fournir leurs propres avis de confidentialité aux personnes qui soumettent leurs formulaires, y compris sur les lieux où les renseignements peuvent être traités.
• Disposer d’une base légale appropriée pour recueillir, utiliser et livrer les données soumises.
• Choisir des champs, des règles de validation, des destinataires, des intégrations et des autorisations d’accès adéquats.
• Éviter la collecte inutile ou excessive de renseignements personnels.
• Ne pas recueillir de catégories sensibles de renseignements, à moins que le cas d’utilisation soit permis par Formerie et que des contrôles contractuels, juridiques et techniques appropriés soient en place.
• Répondre aux demandes des personnes dont ils recueillent les renseignements au moyen de leurs formulaires, sauf lorsque Formerie est directement responsable des renseignements.

Renseignements sensibles

Formerie n’est pas destinée à recueillir des renseignements hautement sensibles, à moins que Formerie ait explicitement accepté le cas d’utilisation par écrit et que les mesures de protection requises soient en place.

Des exemples peuvent comprendre les données de cartes de paiement, les identifiants gouvernementaux, les renseignements sur la santé, les renseignements biométriques, les données de localisation précise, les secrets d’authentification, les casiers judiciaires, les données sur des enfants ou d’autres catégories sensibles en vertu du droit applicable.

Témoins et technologies similaires

L’application Formerie utilise deux témoins de connexion et le stockage local du navigateur pour les préférences et les données en cache. La Politique relative aux témoins les énumère.

Conservation et suppression

Formerie conserve les renseignements jusqu’à leur suppression. Il n’y a aujourd’hui aucune suppression automatique, et aucune durée de conservation fixe ne s’applique. Les forfaits indiquent des valeurs de conservation des soumissions, mais elles ne sont pas appliquées : les soumissions ne sont donc pas retirées à la fin de l’une de ces périodes.

Voici ce qui peut être supprimé aujourd’hui :

• Les soumissions et leurs dossiers de livraison restent stockés jusqu’à leur suppression. L’application ne permet pas de supprimer une soumission. Un formulaire qui contient des soumissions enregistrées ne peut pas être supprimé définitivement, et un espace de travail qui contient encore des formulaires ne peut pas l’être non plus.
• Pour faire supprimer des soumissions, un client peut écrire à hello@formerie.com. Les demandes sont traitées manuellement.
• La suppression d’un compte retire ses mots de passe, ses identités de connexion, ses méthodes d’authentification multifacteur et ses clés d’accès, révoque ses sessions et remplace son nom et son adresse courriel. Elle n’efface pas les soumissions des espaces de travail du compte, les événements de sécurité ni les dossiers d’acceptation des conditions. Un compte ne peut pas être supprimé tant qu’il est le seul propriétaire d’un espace de travail d’équipe ou qu’il a des formulaires actifs dans son espace de travail personnel.
• Des copies peuvent subsister après une suppression : les sauvegardes décrites ci-dessous, les journaux de requêtes aussi longtemps que Cloudflare les conserve, ainsi que les courriels déjà envoyés aux destinataires ou par l’entremise de fournisseurs de courriel.

Sauvegardes

Formerie n’a pas de programme de sauvegarde planifié. Une exportation complète de la base de données de production est créée avant une migration ou une opération de maintenance de cette base de données, puis conservée pendant 7 jours comme artefact privé de GitHub Actions. Lors d’une migration manuelle, un opérateur peut aussi conserver une copie temporaire à l’extérieur de GitHub. Cloudflare offre aussi des fonctions de récupération pour son service de base de données. Formerie ne promet aucun délai ni point de récupération.

Sécurité

Formerie utilise des mesures conçues pour protéger les renseignements, notamment le cloisonnement par espace de travail, les contrôles d’accès fondés sur les rôles, le transport chiffré, le hachage des mots de passe, l’authentification multifacteur et les clés d’accès, le chiffrement des identifiants des fournisseurs, le hachage salé des adresses IP, la consignation des changements de configuration et des événements d’authentification, la limitation de débit et les contrôles de prévention des abus.

Formerie n’utilise pas actuellement d’alertes de sécurité automatisées ni de surveillance en continu. Les erreurs et les incidents sont examinés à partir des journaux et des signalements.

Aucun système n’est parfaitement sécurisé. Les clients devraient configurer les accès avec soin, éviter de recueillir des données sensibles inutiles et signaler promptement les problèmes de sécurité soupçonnés.

Lieux de traitement des renseignements

Formerie est établie au Québec, mais les renseignements peuvent être traités et stockés à l’extérieur du Québec et du Canada, notamment aux États-Unis et dans d’autres pays où ses fournisseurs exercent leurs activités.

Formerie fonctionne sur le réseau mondial de Cloudflare : les requêtes peuvent donc être traitées dans un lieu près du visiteur. Cloudflare ne garantit pas que les données de Formerie restent au Canada. GitHub, Proton et les services choisis par un client ou un utilisateur exercent aussi leurs activités à l’extérieur du Québec.

Les renseignements détenus dans un autre lieu peuvent être assujettis aux lois de cet endroit, y compris aux règles sur l’accès par les autorités. La loi québécoise sur la protection des renseignements personnels dans le secteur privé prévoit que les personnes soient informées que leurs renseignements peuvent être communiqués à l’extérieur du Québec : la présente section donne cet avis en langage clair. Les clients devraient dire la même chose, dans leurs propres avis, aux personnes qui remplissent leurs formulaires.

Droits en matière de protection de la vie privée et demandes

Selon le lieu de résidence d’une personne et le contexte du traitement, les droits en matière de protection de la vie privée peuvent comprendre les droits d’accès, de rectification, de suppression, de portabilité, de retrait du consentement, de limitation, d’opposition, d’appel ou de plainte. Au Québec, une personne peut porter plainte auprès de la Commission d’accès à l’information.

Comme Formerie traite souvent des données de formulaire soumises pour le compte de clients, il peut être nécessaire d’adresser les demandes concernant un formulaire soumis précis au client qui contrôle le formulaire. Formerie peut devoir vérifier l’identité et le pouvoir du demandeur avant de donner suite à une demande.

Les demandes et les questions relatives à la protection de la vie privée, y compris celles destinées à la personne responsable de la protection des renseignements personnels chez Formerie, peuvent être envoyées à hello@formerie.com jusqu’à ce qu’un point de contact dédié à la protection de la vie privée soit publié.

Renseignements sur les enfants

Formerie n’est pas destinée à ce que des enfants créent des comptes ou soumettent des renseignements, sauf lorsqu’un client dispose d’une base légale appropriée et des mesures de protection requises pour son formulaire. Les clients ne devraient pas utiliser Formerie pour recueillir des renseignements sur des enfants, à moins que le cas d’utilisation soit légal et permis par Formerie.

Modifications de la présente politique

Formerie peut mettre à jour la présente politique pour tenir compte de changements liés au produit, aux fournisseurs, au droit ou aux opérations. Les changements importants devraient être communiqués au moyen du site Web, de l’application destinée aux clients, d’un courriel ou d’un autre moyen pratique.