Politique de confidentialité

1. Responsable de la protection des renseignements personnels

17297394 Canada Inc. (« toncrm.io ») est responsable de la protection des renseignements personnels collectés via la plateforme toncrm.io et le site toncrm.io.

Responsable de la protection des renseignements personnels :

Le président, 17297394 Canada Inc.
Québec, Canada
Courriel : privacy@toncrm.io

Nos rôles : pour les renseignements de nos clients directs (compte, facturation, données d'utilisation), toncrm.io agit comme responsable du traitement. Pour les renseignements que nos clients stockent sur leurs propres contacts, toncrm.io agit comme sous-traitant : l'entreprise cliente demeure responsable, et c'est auprès d'elle que ces personnes exercent leurs droits. Ce rôle est encadré par notre entente de traitement des données (DPA), disponible dans l'application.

2. Renseignements collectés

Nous collectons les renseignements suivants :

• Informations d'inscription : nom, adresse courriel, numéro de téléphone
• Informations de facturation : adresse, informations de paiement (traitées par Stripe)
• Données d'utilisation : pages visitées, fonctionnalités utilisées, journaux d'activité
• Données de contacts CRM : les informations que vous saisissez dans votre compte toncrm.io
• Communications : courriels et messages échangés via la plateforme

3. Finalités de la collecte

Vos renseignements sont collectés et utilisés pour :

• Fournir et améliorer les services toncrm.io
• Traiter les paiements et la facturation
• Communiquer avec vous concernant votre compte et nos services
• Assurer la sécurité et prévenir la fraude
• Respecter nos obligations légales

4. Hébergement et conservation des données

L'infrastructure de toncrm.io est hébergée sur Hetzner Cloud (Allemagne et Finlande, Union européenne). Une évaluation des facteurs relatifs à la vie privée (EFVP) a été réalisée le 3 juillet 2026 pour les communications hors Québec. Elle est disponible sur demande à privacy@toncrm.io. Hetzner Cloud opère sous le RGPD européen, lequel offre un niveau de protection équivalent ou supérieur.

Les renseignements sont conservés aussi longtemps que votre compte est actif. Sur demande de suppression, votre compte est supprimé dans un délai de 30 jours. Les données d'une organisation fermée sont purgées 30 jours après la fermeture. Les sauvegardes sont conservées 7 jours. Les journaux sont conservés selon les obligations légales applicables. Les transactions bancaires importées via une connexion bancaire sont conservées tant que le compte est actif et supprimées à la déconnexion de la banque ou avec le compte.

5. Sous-traitants et partage des renseignements

Nous ne vendons jamais vos renseignements personnels. Nous faisons appel aux sous-traitants suivants pour opérer le service. La liste à jour est disponible dans l'application et sur demande à privacy@toncrm.io.

Ces sous-traitants sont liés par des ententes de traitement des données. Les fournisseurs marqués « si connecté » ou « si activé » ne reçoivent des données que si votre organisation active la fonctionnalité correspondante.

La voix de l'assistante virtuelle est une voix de synthèse générée par ElevenLabs.

6. Vos droits (Loi 25 du Québec)

Conformément à la Loi 25 sur la protection des renseignements personnels, vous avez le droit de :

• Accéder à vos renseignements personnels
• Demander la rectification de renseignements inexacts
• Demander la suppression de vos renseignements
• Retirer votre consentement à la collecte ou à l'utilisation de vos renseignements
• Obtenir la portabilité de vos données dans un format structuré
• Demander la cessation de la diffusion de vos renseignements ou leur désindexation (art. 28.1)
• Porter plainte auprès de la Commission d'accès à l'information du Québec (CAI) (art. 90)
• Être informé de tout incident de confidentialité

Pour exercer ces droits, contactez-nous à privacy@toncrm.io. Nous répondrons dans un délai de 30 jours.

7. Sécurité

Nous mettons en place des mesures de sécurité techniques et organisationnelles pour protéger vos renseignements, notamment :

• Chiffrement TLS 1.2+ en transit
• Chiffrement des secrets sensibles (jetons de connexion email, identifiants téléphonie)
• Sauvegardes hors site chiffrées
• Chiffrement au repos généralisé en cours de déploiement
• Authentification à deux facteurs disponible
• Contrôle d'accès basé sur les rôles (RLS)
• Revue de sécurité continue et tests automatisés

Les paiements par carte sont traités par Stripe, certifié PCI-DSS ; toncrm.io ne stocke aucun numéro de carte.

8. Communications electroniques (CASL)

toncrm.io permet a ses clients d'envoyer des messages electroniques commerciaux (SMS et courriels) a leurs contacts. Conformement a la Loi canadienne anti-pourriel (CASL) :

• Consentement : aucun message commercial n'est envoye sans consentement explicite (opt-in actif) ou implicite (relation d'affaires existante, max 2 ans).
• Desabonnement : chaque message marketing inclut un mecanisme de desabonnement fonctionnel. Les demandes de desabonnement sont traitees immediatement pour les SMS (mot-cle STOP) et dans un delai maximum de 10 jours ouvrables pour les courriels.
• Identification : chaque message identifie l'entreprise expeditrice (nom, coordonnees).
• Registre d'audit : tous les changements de consentement sont enregistres dans un registre immutable a des fins de preuve legale.

Les contacts de nos clients peuvent exercer leur droit de retrait en :

• Envoyant « STOP » par SMS
• Cliquant sur le lien « Se desabonner » dans un courriel
• Contactant directement l'entreprise en question

8.1 Programme SMS A2P 10DLC (operateurs americains)

Pour les envois SMS vers des numeros americains (10DLC), toncrm.io est enregistre comme « Independent Software Vendor (ISV) » aupres de The Campaign Registry (TCR) et des operateurs de telecommunication (AT&T, Verizon, T-Mobile). Les regles suivantes s'appliquent specifiquement aux SMS A2P :

• Aucun partage des numeros de telephone mobiles a des fins marketing tierces : Les numeros de telephone mobiles, les donnees d'opt-in SMS et toute information associee au consentement SMS ne sont JAMAIS vendues, louees, partagees ou divulguees a des tiers a des fins marketing ou promotionnelles. Aucun affilie, partenaire publicitaire ou tiers ne recoit ces donnees.
• Frequence des messages : La frequence varie selon l'usage de chaque entreprise cliente. Les destinataires peuvent demander une frequence reduite a tout moment en repondant directement a l'expediteur.
• Frais de messagerie et de donnees : Des frais de messagerie et de donnees peuvent s'appliquer selon votre forfait mobile (« Message and data rates may apply »). toncrm.io et ses clients ne facturent jamais directement les SMS recus.
• Mots-cles obligatoires : Repondre « STOP », « ARRET » ou « DESABONNER » pour vous desinscrire immediatement. Repondre « AIDE » ou « HELP » pour obtenir des informations de contact et d'assistance.
• Operateurs supportes : AT&T, Verizon, T-Mobile, US Cellular et autres operateurs nord-americains.
• Categories de messages SMS : notifications de rendez-vous, rappels (paiements, suivis), confirmations de transactions, promotions ponctuelles, sondages de satisfaction. Aucun contenu reglemente (jeux, alcool, cannabis, prets a haut taux d'interet, contenu pour adultes, armes a feu) n'est autorise sur le programme A2P de toncrm.io.
• Acces aux donnees mobile opt-in : Seul l'operateur de l'entreprise cliente (proprietaire du compte toncrm.io ayant collecte le consentement) y a acces. toncrm.io stocke ces donnees dans une base de donnees segmentee par organisation, hebergee chez Hetzner Cloud (Union europeenne). Une evaluation des facteurs relatifs a la vie privee (EFVP) a ete realisee le 3 juillet 2026 pour les communications hors Quebec.

Pour toute question concernant le traitement de vos donnees mobiles opt-in dans le cadre du programme A2P 10DLC, contactez privacy@toncrm.io.

9. Cookies et technologies de suivi

Sur notre site web, un bandeau de consentement s'affiche à la première visite. Les cookies analytiques (Google Analytics) ne sont chargés qu'après votre acceptation. Aucun cookie publicitaire n'est utilisé.

• Cookies strictement nécessaires au fonctionnement de la plateforme (session, préférences)
• Cookies analytiques (Google Analytics), posés seulement après consentement
• Cookie d'attribution partenaire (crm_ref, 60 jours), posé après consentement lorsque vous arrivez via un lien partenaire
• Analytique interne sans cookie (auto-hébergée)
• Les courriels envoyés via la plateforme peuvent contenir un pixel d'ouverture et des liens mesurés (statistiques d'ouverture et de clic)
• Le chat du site utilise un identifiant de session conservé dans le stockage local de votre navigateur (localStorage) pour maintenir la conversation ; les échanges sont traités par nos fournisseurs d'IA

Vous pouvez modifier votre choix en tout temps via le lien « Préférences cookies » au pied de page.

10. Utilisation des donnees Google (Google API Services User Data Policy)

Lorsqu'un utilisateur connecte son compte Google (Gmail, Google Calendar, Google Business Profile, Google Ads, YouTube) a toncrm.io, l'utilisation et le transfert de toute information recue des API Google sont conformes a la politique Google API Services User Data Policy, y compris les exigences Limited Use.

Concretement :

• Nous utilisons les donnees Google uniquement pour fournir les fonctionnalites du service que l'utilisateur connecte : synchronisation courriel (Gmail), incluant le classement et le tri automatiques des courriels entrants (suggestions, memoire IA), synchronisation calendrier (Google Calendar), gestion de fiche Google Business Profile, rapports Google Ads, publications YouTube.
• Nous ne transferons pas les donnees Google a des tiers, sauf si necessaire pour fournir le service demande ou pour respecter la loi applicable. Concretement, certaines fonctionnalites activees par l'utilisateur (classement des courriels, resumes, recherche semantique) font traiter le contenu des courriels Gmail synchronises par nos fournisseurs d'IA (Anthropic, OpenAI) agissant comme sous-traitants, dans le respect des exigences Limited Use ; ces fournisseurs n'entrainent pas leurs modeles avec ces donnees.
• Nous n'utilisons pas les donnees Google a des fins publicitaires.
• Nous n'utilisons pas les donnees Google pour entrainer, developper ou ameliorer des modeles d'intelligence artificielle ou d'apprentissage automatique, incluant les grands modeles de langage (LLM).
• Chaque utilisateur peut revoquer l'acces a tout moment depuis les parametres d'integration de toncrm.io, ou directement sur https://myaccount.google.com/permissions.

Les donnees Google sont cloisonnees par utilisateur authentifie et par organisation (isolation multi-locataires stricte). Aucun acces transversal entre organisations n'est possible.

10.1 Utilisation des donnees Microsoft

Lorsqu'un utilisateur connecte son compte Microsoft (Outlook / Microsoft 365) a toncrm.io via Microsoft Graph, les donnees synchronisees (courriels, contacts, signatures) sont utilisees uniquement pour fournir les fonctionnalites activees par l'utilisateur. Comme pour Gmail, le contenu des courriels Outlook synchronises peut etre traite par nos fournisseurs d'IA (Anthropic, OpenAI) pour le classement, les resumes et la recherche semantique, sans entrainement de modeles. Elles ne sont ni vendues, ni utilisees a des fins publicitaires, ni utilisees pour entrainer des modeles d'IA. L'acces est revocable en tout temps depuis les parametres d'integration de toncrm.io ou depuis le portail de compte Microsoft.

11. Décisions automatisées

Le service peut rendre des décisions fondées sur un traitement automatisé de renseignements personnels : tri et priorisation des appels entrants, filtrage de courriels entrants, détection automatique de répondeur lors des appels sortants, parcours de communication déclenchés par les interactions, actions de l'assistant Oracle.

Conformément à l'article 12.1 de la Loi sur la protection des renseignements personnels dans le secteur privé, vous avez le droit d'être informé d'une telle décision, de présenter vos observations à un membre de notre personnel en mesure de réviser la décision, de connaître les principaux facteurs et paramètres ayant mené à la décision, et de faire rectifier les renseignements utilisés. Contactez privacy@toncrm.io.

12. Données d'employés de nos clients

Nos clients peuvent utiliser des fonctions de gestion du personnel : pointage des heures avec géolocalisation optionnelle (le GPS peut être refusé; un repli approximatif par adresse IP est alors utilisé), photos de confirmation de présence si activées par l'employeur (aucune reconnaissance faciale), et données de temps et de paie.

Si votre employeur utilise toncrm.io, il est responsable de vous informer de ces traitements. Les données de localisation et les photos sont purgées selon le calendrier de rétention.

13. Modifications

Nous pouvons mettre à jour cette politique de temps à autre. Toute modification importante sera communiquée par courriel ou via une notification dans l'application. La date de dernière mise à jour est indiquée en haut de cette page.

14. Contact

Pour toute question concernant cette politique, contactez-nous à privacy@toncrm.io.