Politique de confidentialité

1. Qui sommes-nous

CloudNorma est une solution de gouvernance et de conformité cloud éditée par XYConsulting (Québec, Canada). Le responsable de la protection des renseignements personnels est Guy Piedjo, joignable à infos@xyconsulting.cloud.

2. Renseignements que nous recueillons

• Compte et organisation : nom, adresse courriel professionnelle, rôle, nom de l'organisation.
• Identifiants d'accès cloud : les credentials de lecture seule que vous fournissez pour connecter vos environnements (Azure, AWS, GCP). Ils sont chiffrés au repos avec Fernet (AES-128-CBC, authentifié par HMAC-SHA256) et ne servent qu'à l'exécution de vos scans.
• Résultats de conformité : scores, écarts détectés et métadonnées des ressources analysées.
• Facturation : le traitement des paiements est confié à Stripe ; CloudNorma ne stocke aucun numéro de carte.

3. Le formulaire de contact du site

La page Contact propose un formulaire. Il est distinct du service : on peut l'utiliser sans avoir de compte CloudNorma, et il ne crée pas de compte.

• Ce qu'il demande : votre nom, votre courriel et votre message. L'organisation et le sujet sont facultatifs. Aucun champ caché ne collecte de données vous concernant.
• Où va le message : il est transmis à une fonction hébergée sur notre propre domaine, qui nous l'envoie immédiatement par courriel. Il n'y a ni base de données, ni service de formulaire tiers, ni fichier conservé sur le serveur.
• Votre adresse IP est lue le temps de la requête, uniquement pour limiter les envois répétés depuis une même source. Elle n'est enregistrée nulle part et n'est pas jointe au courriel.
• Sur quelle base : votre consentement, donné par la case à cocher. Elle est obligatoire et n'est pas pré-cochée.
• Combien de temps : comme un courriel ordinaire, trois ans après le dernier échange — et immédiatement si vous demandez la suppression.
• Protection contre les automates : un champ piège invisible et une vérification du temps de remplissage. Pas de CAPTCHA : il aurait fallu charger du code tiers dans la page, ce que ce site s'interdit.

Le courriel qui nous transmet votre message transite par Google Workspace, notre messagerie professionnelle, dont les serveurs peuvent se trouver hors du Québec. C'est la même chose que si vous nous écriviez directement à notre adresse.

4. Finalités

Nous utilisons ces renseignements exclusivement pour : fournir le service (scans, scores, rapports, remédiation), gérer votre compte et vos abonnements, vous transmettre les communications de service (invitations, alertes), et respecter nos obligations légales. Nous ne vendons ni ne louons vos renseignements à des tiers.

5. Hébergement et résidence des données

Les données que CloudNorma produit et conserve — résultats de balayage, constats, scores, rapports, comptes utilisateurs et identifiants infonuagiques chiffrés — sont hébergées au repos dans des régions Azure situées au Canada.

Vos propres environnements infonuagiques restent sous votre contrôle : vous seul en déterminez la région, et nous ne formulons aucun engagement à son égard.

Certains traitements font appel aux fournisseurs listés à la section 6. L'un d'eux, Stripe, traite des données de paiement hors du Canada. Hors de ces cas, vos données ne quittent pas le Canada.

6. Fournisseurs de services (sous-traitants)

• Microsoft Azure — hébergement de l'infrastructure et des données (régions canadiennes).
• Stripe — traitement des paiements (États-Unis).
• Azure Communication Services — acheminement des courriels transactionnels (invitations, alertes, préavis).
• Microsoft / Google — authentification unique (SSO), si vous choisissez ce mode de connexion. L'identité est vérifiée chez le fournisseur que vous choisissez ; CloudNorma n'en reçoit que votre nom et votre adresse courriel.

7. Conservation et sécurité

Les renseignements sont conservés pendant la durée de votre abonnement. À la fin de l'abonnement ou de la période d'essai, le compte passe en lecture seule et les données demeurent consultables et exportables pendant quatre-vingt-dix (90) jours. À l'issue de ce délai, et après un préavis transmis par courriel au moins quinze (15) jours à l'avance, elles sont supprimées ou anonymisées, sous réserve des obligations légales.

Mesures en place : chiffrement en transit (TLS) et au repos, identifiants cloud chiffrés avec Fernet (AES-128-CBC, HMAC-SHA256), accès en lecture seule à vos environnements, authentification forte (SSO obligatoire pour les plans Business et Enterprise), journalisation des accès.

8. Témoins (cookies)

CloudNorma n'utilise aucun témoin publicitaire ni traceur tiers. L'application utilise uniquement le stockage de session de votre navigateur pour maintenir votre connexion, supprimé à la fermeture.

9. Vos droits

Conformément à la Loi 25, vous pouvez demander l'accès à vos renseignements personnels, leur rectification, leur retrait, ou la cessation de leur diffusion. Adressez toute demande à infos@xyconsulting.cloud — nous répondons dans un délai maximal de 30 jours. En cas d'incident de confidentialité présentant un risque de préjudice sérieux, les personnes concernées et la Commission d'accès à l'information du Québec seront notifiées conformément à la loi.

10. Modifications

Toute modification de cette politique sera publiée sur cette page avec sa date de mise à jour.