Entente de traitement des données

Date d’entrée en vigueur : 24 octobre 2026

Parties et portée

Cette entente de traitement des données (« entente ») est conclue entre votre cabinet de tenue de livres (« le cabinet ») et IT-TECH, qui exploite Cosigne (« nous »). Elle s’applique chaque fois que nous traitons des renseignements personnels pour le cabinet afin de lui fournir Cosigne, et elle complète nos conditions d’utilisation. Le cabinet accepte cette entente quand il accepte les conditions d’utilisation.

Elle constitue le contrat écrit qu’exige la Loi sur la protection des renseignements personnels dans le secteur privé du Québec lorsqu’une entreprise communique des renseignements personnels à un fournisseur de services (article 18.3). Lorsque la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) fédérale s’applique, elle est aussi le contrat par lequel le cabinet s’assure que les renseignements bénéficient d’une protection comparable pendant que nous les traitons.

Définitions

• Cabinet : le cabinet de tenue de livres qui crée le compte Cosigne. Un propriétaire d’entreprise qui s’inscrit pour sa propre entreprise est considéré comme le cabinet aux fins de la présente entente.
• Renseignement personnel : tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l’identifier.
• Dossier client : l’entreprise QuickBooks Online d’un client que le cabinet connecte à Cosigne par la connexion d’Intuit.
• Données du cabinet : les renseignements personnels contenus dans les dossiers clients connectés du cabinet et dans le travail du cabinet dans Cosigne.
• Utilisateurs : les personnes que le cabinet invite à utiliser Cosigne, comme son teneur de livres principal et ses teneurs de livres.
• Sous-traitant : un fournisseur de services auquel nous faisons appel et qui traite des données du cabinet pour nous.
• Incident de confidentialité : l’accès à un renseignement personnel, son utilisation ou sa communication non autorisés par la loi, sa perte ou toute autre atteinte à sa protection.

Rôles

Le cabinet est responsable des données du cabinet. Il décide quels dossiers clients connecter, qui peut les utiliser et à quelles fins. Nous sommes son fournisseur de services : nous traitons les données du cabinet seulement pour son compte, afin de fournir Cosigne.

Intuit, Anthropic et OpenAI ne sont pas nos sous-traitants. Intuit fournit QuickBooks Online, la source des données, que le cabinet connecte par la connexion d’Intuit. Chaque teneur de livres choisit d’utiliser son propre assistant IA, Claude ou ChatGPT, selon sa propre entente avec Anthropic ou OpenAI.

Notre politique de confidentialité couvre les renseignements sur le compte du cabinet et ses utilisateurs.

Les renseignements visés et les personnes concernées

Les données du cabinet peuvent concerner :

• les clients du cabinet;
• les personnes nommées dans les livres des clients : leurs clients, leurs fournisseurs, leurs employés et d’autres;
• les utilisateurs du cabinet.

Elles comprennent :

• une copie complète des enregistrements QuickBooks de chaque dossier client connecté, gardée synchronisée : les renseignements et l’adresse de l’entreprise; le plan comptable; les codes, les taux et les organismes de taxes; les clients et les fournisseurs, avec les noms, adresses, courriels et autres coordonnées inscrits dans QuickBooks; les produits et services, les classes, les services (départements), les modalités et les modes de paiement; et les transactions (achats, factures fournisseurs, factures, reçus de vente, écritures de journal, dépôts, paiements, paiements de factures, notes de crédit, crédits fournisseurs, virements et reçus de remboursement), dont 12 mois sont copiés;
• un résumé de chaque transaction pour la recherche : date, numéro de document, nom du client ou du fournisseur, total, devise, note et comptes;
• les jetons de connexion qu’Intuit émet pour chaque dossier client connecté, stockés chiffrés;
• le travail du cabinet : brouillons, règles, réponses aux questions, résumés de vérification, exportations et paramètres;
• un journal d’activité de qui a fait quoi et quand, y compris les détails fournis pour chaque action;
• les noms, adresses courriel, rôles et restrictions de clients des utilisateurs, le nom du cabinet et ses connexions d’assistant IA (les jetons de connexion sont stockés uniquement sous forme de hachages).

Fins et instructions

Nous traitons les données du cabinet seulement pour fournir Cosigne comme le décrivent les conditions d’utilisation, et selon les instructions du cabinet. Le cabinet donne ses instructions par le service, par exemple en connectant ou en déconnectant des dossiers clients, en limitant des teneurs de livres à leurs clients, en approuvant ou en refusant des brouillons et en supprimant des données, ou par écrit à l’adresse indiquée plus bas.

Nous ne vendons pas les données du cabinet, ne les utilisons pas à des fins publicitaires et ne les utilisons pas pour entraîner des modèles d’IA.

Nous n’envoyons nous-mêmes les données du cabinet à aucun fournisseur d’IA : l’application n’a pas de clavardage IA intégré. Quand un teneur de livres connecte son propre assistant IA, les données que l’assistant lit vont au compte de ce teneur de livres chez Anthropic (pour Claude) ou OpenAI (pour ChatGPT), selon son entente avec ce fournisseur. C’est le choix du cabinet; voyez « Où les données du cabinet sont stockées et ce qui quitte le Canada » plus bas.

Si nous croyons qu’une instruction contrevient à la loi, nous en informerons le cabinet et pourrons refuser de la suivre.

Confidentialité

Seules les personnes de IT-TECH qui ont besoin des données du cabinet pour faire fonctionner, soutenir ou protéger Cosigne peuvent y accéder, et chacune est liée par une obligation de confidentialité écrite.

Mesures de sécurité

• Une base de données par cabinet. Les cabinets ne partagent jamais de base de données.
• Un teneur de livres limité à certains clients ne peut atteindre les autres par aucun moyen, y compris son assistant IA.
• Chaque cabinet est sauvegardé, chiffré avec sa propre clé. Les restaurations sont testées automatiquement. Les sauvegardes sont conservées 35 jours.
• Supprimer un cabinet détruit sa clé. Ses sauvegardes deviennent illisibles dans un délai de 35 jours.
• Les jetons de connexion d’Intuit sont stockés chiffrés. Les clés d’Intuit et de paiement sont gardées hors du code, et les utilisateurs ne voient jamais de clés de développeur. Les clés d’Intuit et de Stripe sont stockées sur le serveur dans des fichiers que seul son administrateur peut lire, et sont transmises à l’application sous forme de secrets Docker.
• Les jetons de connexion de l’assistant IA sont stockés uniquement sous forme de hachages. Les jetons d’accès durent une heure et sont renouvelés; un jeton réutilisé révoque la connexion.
• Une seule partie du système écrit dans QuickBooks, et seulement après l’approbation d’un teneur de livres. Les périodes fermées ne sont jamais modifiées.

Sous-traitants

Le cabinet nous autorise à faire appel à ces sous-traitants :

• OVHcloud : hébergement du serveur de l’application, des bases de données actives des cabinets et des sauvegardes chiffrées, à Beauharnois, au Québec.
• Resend : envoi des courriels de l’application (confirmations d’inscription, invitations, réinitialisations de mot de passe, avis de facturation et avertissements de suppression).
• Stripe : paiements par carte et facturation. Stripe reçoit seulement les données de facturation.

Chaque sous-traitant est lié par des conditions écrites qui protègent les renseignements au moins aussi bien que cette entente.

Nous informerons le cabinet par courriel au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant, et nous mettrons à jour la liste sur cette page. Le cabinet peut s’y opposer par écrit pendant ce délai. Si nous ne pouvons pas répondre à son objection, le cabinet peut annuler son abonnement avant que le changement s’applique, après avoir exporté ses données.

Où les données du cabinet sont stockées et ce qui quitte le Canada

Les données du cabinet sont stockées au Canada : le serveur de l’application et les bases de données actives des cabinets sont au centre de données d’OVHcloud à Beauharnois, au Québec. Les sauvegardes chiffrées sont conservées chez OVHcloud à Beauharnois, au Québec.

Certains renseignements sont traités à l’extérieur du Québec et du Canada :

• Courriels : Resend est établi aux États-Unis; le contenu d’un courriel, y compris l’adresse et le nom du destinataire, le nom du cabinet et le message, peut donc être traité à l’extérieur du Canada.
• Facturation : Stripe peut traiter les données de facturation à l’extérieur du Canada, selon sa propre politique de confidentialité.
• Assistants IA : quand un teneur de livres utilise son propre Claude ou ChatGPT, les données que l’assistant lit sont envoyées au compte de ce teneur de livres, selon son entente avec Anthropic ou OpenAI, et quittent le Canada.

La décision de permettre aux teneurs de livres du cabinet d’utiliser un assistant IA appartient au cabinet. Le cabinet est responsable de l’évaluer, y compris de faire toute évaluation des facteurs relatifs à la vie privée que la Loi exige avant qu’un renseignement personnel soit communiqué à l’extérieur du Québec. Nous appuyons cette évaluation avec de la documentation : ce que le connecteur permet à un assistant IA de consulter, comment les restrictions de clients s’y appliquent et comment fonctionnent les brouillons et les approbations. Pour les renseignements traités à l’extérieur du Canada par Resend et Stripe, nous fournissons au cabinet les détails dont il a besoin pour sa propre évaluation.

Incidents de confidentialité

Si nous avons des motifs de croire qu’un incident de confidentialité touchant des données du cabinet s’est produit, ou que quelqu’un a tenté de porter atteinte à la confidentialité de ces données, nous en informerons le teneur de livres principal du cabinet sans délai, et au plus tard 72 heures après en avoir pris connaissance.

Nous fournissons au cabinet les renseignements dont il a besoin pour inscrire l’incident à son registre et pour décider s’il doit aviser la Commission d’accès à l’information et les personnes concernées : ce qui s’est passé et quand, quels renseignements et quelles personnes sont touchés, le risque de préjudice sérieux que nous constatons et ce que nous avons fait pour le réduire. Nous prenons des mesures raisonnables pour diminuer le risque qu’un préjudice soit causé et éviter qu’un nouvel incident se produise, et nous tenons le cabinet informé.

Demandes des personnes concernées

Le cabinet répond aux demandes des personnes dont les renseignements se trouvent dans les livres de ses clients, comme les demandes d’accès, de rectification ou de copie dans un format technologique structuré et couramment utilisé. Nous l’aidons à y répondre :

• le cabinet peut consulter et exporter ses données depuis le service en tout temps, y compris quand il est en lecture seule;
• les corrections aux livres d’un client se font dans QuickBooks, directement ou par des brouillons qu’un teneur de livres approuve, et la copie dans Cosigne suit à la synchronisation;
• nous supprimons les données du cabinet à sa demande.

Si une personne communique directement avec nous au sujet des données du cabinet, nous transmettons sa demande au cabinet sans délai et n’y répondons pas nous-mêmes, sauf si le cabinet nous le demande.

Conservation, remise et suppression

• Nous conservons les données du cabinet tant qu’il a un compte, pour que le service fonctionne.
• Le cabinet peut consulter et exporter ses données en tout temps, y compris quand il est en lecture seule.
• Un dossier client déconnecté cesse d’être synchronisé; ses données copiées sont supprimées après 30 jours, sauf s’il est reconnecté.
• Si un essai gratuit se termine sans carte, si un abonnement est impayé ou si le cabinet annule, le cabinet passe en lecture seule. Nous envoyons des avertissements aux jours 23 et 29, et nous supprimons le cabinet au jour 30. Ajouter une carte avant cette date rétablit tout.
• Supprimer un cabinet détruit sa clé de chiffrement. Ses sauvegardes deviennent illisibles dans un délai de 35 jours.
• Nous ne conservons pas les données du cabinet après la fin de l’entente, sauf si la loi l’exige.

Vérifications et demandes de renseignements

À la demande écrite du cabinet, nous répondons à ses questions raisonnables sur la façon dont nous protégeons les données du cabinet, et nous permettons les vérifications dont il a besoin pour s’assurer que nous respectons les exigences de confidentialité de cette entente.

Responsabilité

La responsabilité de chaque partie aux termes de cette entente est celle prévue dans nos conditions d’utilisation.

Durée et fin

Cette entente s’applique tant que le cabinet a un compte Cosigne, pendant l’essai gratuit ou un abonnement. Elle prend fin avec l’abonnement, mais ses obligations continuent jusqu’à ce que nous ayons supprimé les données du cabinet comme décrit plus haut.

Préséance

Si cette entente et les conditions d’utilisation diffèrent sur une question de renseignements personnels, cette entente l’emporte.

Droit applicable

Cette entente est régie par les lois du Québec et les lois du Canada qui s’y appliquent.

Langue

Cette entente est offerte en français et en anglais. Les deux versions ont la même valeur.

Modifications de cette entente

Nous publierons toute modification sur cette page avec une nouvelle date d’entrée en vigueur. Nous informerons les cabinets par courriel avant qu’une modification importante s’applique.

Nous joindre

La personne responsable de la protection des renseignements personnels peut être jointe à info@getcosigne.com.