Centre de confiance

Résidence des données

• L'application s'exécute au Canada, à Montréal.

  Configuration d'exécution Vercel fixée à la région de Montréal (yul1).

• Tes conversations, ton compte et tes fichiers sont stockés au Canada.

  Base de données Supabase en région ca-central-1 (Montréal).

• Le mode Canada ferme les replis hors Canada et n'utilise que des chemins régionaux vérifiés à Montréal.

  L'organisation verrouille ce chemin dans /organisation. Aujourd'hui : Gemini Pro sur Vertex Montréal avec attestation opérateur. Bedrock n'est pas attesté au 20 août 2026 (pas de profil In-Region moderne; us.*/global.* refusés). Sinon échec fermé, pas de repli américain.

• Hydro traite hors Canada, aux États-Unis. La recherche web automatique passe aussi par les États-Unis. L'application et la base restent à Montréal.

  Chemin Hydro : Anthropic (Claude) et OpenAI (GPT), API directe US. Recherche web : Tavily (US), déclenchée automatiquement sur une question substantielle, sans interrupteur à cliquer. Le mode Canada, une fois verrouillé, n'emprunte pas ce chemin. Registre ci-dessous + politique de confidentialité.

• Kébek documente les mesures mises en place pour répondre aux exigences de la Loi 25.

  Politique de confidentialité, personne responsable, droits d'accès et de suppression.

• La qualité des réponses est mesurée chaque jour sur un jeu de questions québécoises.

  Banc d'essai automatisé avec questions québécoises et modèle juge distinct.

Souveraineté

L'application et ta base de données tournent au Canada, à Montréal. L'organisation choisit et verrouille ses chemins dans /organisation. Hydro : qualité, traitement hors Canada (Anthropic et OpenAI, API directe aux États-Unis), documenté ici. Mode Canada : chemins régionaux à Montréal, échec fermé, sans repli américain. Aujourd'hui, ce verrou sert Gemini Pro sur Vertex Montréal lorsque le chemin régional est attesté. Bedrock n'est pas un chemin Canada aujourd'hui : en ca-central-1, seuls des profils inter-région (us.*, global.*) sont offerts, et un profil inter-région n'est pas In-region. Si aucun chemin Montréal n'est disponible, le mode échoue fermé.

Sous-traitants

Le tableau suivant liste chaque fournisseur qui traite une partie de tes données, son rôle, son pays d'hébergement et les catégories de données concernées. Les lignes en bleu pâle indiquent un traitement au Canada.

Conservation, droits et incidents

Les réponses courtes aux questions qu'on nous pose le plus souvent en vérification diligente. Le détail complet est dans la politique de confidentialité.

Combien de temps les données sont-elles conservées ?

Tant que le compte est actif. Une conversation supprimée est retirée de la base. À la suppression d'un compte, les renseignements sont effacés dans des délais raisonnables, sauf ce que la loi oblige à conserver.

Quels droits peut exercer une personne ?

Accès, rectification, suppression du compte, retrait du consentement et obtention d'une copie des renseignements dans un format lisible par machine.

En combien de temps ces demandes sont-elles traitées ?

Dans les délais prévus par la loi, généralement 30 jours.

Que se passe-t-il en cas d'incident de confidentialité ?

Un registre des incidents est tenu. Lorsqu'un incident présente un risque de préjudice sérieux, la Commission d'accès à l'information et les personnes concernées en sont avisées.

Les échanges servent-ils à entraîner des modèles ?

Non. Les conditions commerciales des fournisseurs d'inférence l'excluent, et la politique de données du compte de routage des modèles ouverts interdit tout fournisseur qui journalise ou entraîne.

Un sous-traitant peut-il être ajouté sans préavis ?

Le registre publié sur cette page est mis à jour lorsqu'un fournisseur est ajouté ou retiré. C'est le même registre qui alimente la politique de confidentialité.

Mesures liées à la Loi 25

Kébek applique des mesures visant les exigences de la Loi sur la protection des renseignements personnels dans le secteur privédu Québec, telle que modifiée par la Loi 25 : personne responsable, droits d'accès et de suppression, et divulgation des transferts de données hors Québec. Le détail complet est dans notre politique de confidentialité.

Organismes publics

Une municipalité, un centre de services scolaire ou tout autre organisme public relève de la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels, modifiée par la Loi 25. Deux situations obligent à réaliser une évaluation des facteurs relatifs à la vie privée avant d'acquérir un outil comme Kébek. Voici lesquelles, et ce que Kébek fournit pour chacune.

• Article 63.5

  Projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services qui implique des renseignements personnels.

  Ce que Kébek fournit : Fiche fournisseur pré-remplie : description du service, catégories de renseignements traités, lieux de traitement, mesures de sécurité, durées de conservation.

• Article 70.1

  Communication de renseignements personnels à l'extérieur du Québec, ou fait de confier à une personne à l'extérieur du Québec une tâche de collecte, d'utilisation, de communication ou de conservation.

  Ce que Kébek fournit : Cartographie complète des flux par sous-traitant. L'organisation choisit et verrouille ses chemins de traitement. Le stockage reste à Montréal. Le verrou Canada reste en région et échoue fermé; Hydro (traitement hors Canada) est documenté ici.

Déploiement en organisation

Ce qu'on recommande à toute organisation qui ouvre Kébek à son personnel, secteur public comme entreprise. Ces mesures relèvent de l'organisation, pas du fournisseur, et ce sont elles qui déterminent le vrai niveau de risque.

1. 1. Écrire la directive d'utilisation avant d'ouvrir les accès

   Un assistant conversationnel ne collecte rien de lui-même : il traite ce que le personnel y saisit. Le volume et la sensibilité des renseignements dépendent donc de l'usage. Nommer explicitement les catégories qui ne doivent jamais être saisies est la mesure la plus efficace, et la moins coûteuse.

2. 2. Un compte par personne, jamais de compte partagé

   Le cloisonnement des données et la traçabilité reposent sur l'identité du compte. Un compte partagé annule les deux.

3. 3. Décider des fonctions optionnelles une par une

   Recherche web, connecteurs vers une boîte courriel ou un espace de fichiers, génération d'images : chacune ajoute un flux de données et parfois un sous-traitant. Activer par besoin démontré, pas par défaut.

4. 4. Former le personnel à vérifier les réponses

   Un modèle de langage peut produire une réponse inexacte avec assurance. Les réponses appuyées sur le corpus québécois citent leurs sources, ce qui rend la vérification rapide. Aucune décision administrative ne devrait reposer sur une réponse non vérifiée.

5. 5. Revoir le registre des sous-traitants à chaque renouvellement

   Le registre de cette page est daté et versionné. Une revue annuelle suffit à détecter tout changement de fournisseur ou de région.

IA responsable

On mesure la qualité de nos réponses tous les jours, sur un jeu de questions québécoises jugées par un modèle indépendant. On documente aussi quels modèles répondent à quelles questions et pourquoi. Le détail est sur notre page IA responsable.

Sécurité

Les contrôles réellement en place. Ce qui n'y figure pas n'existe pas : voir la section suivante.

• Chiffrement en transit sur toutes les communications.

  TLS entre l'appareil, l'application et chaque service en aval.

• Chiffrement au repos des données stockées.

  Chiffrement de la base de données gérée, région de Montréal.

• Cloisonnement des données par compte, appliqué par la base elle-même.

  Règles de sécurité au niveau des lignes sur les profils, les conversations et les messages : une requête ne peut pas lire les données d'un autre compte, même en cas de défaut applicatif.

• Authentification par mot de passe haché ou par fournisseur d'identité.

  Aucun mot de passe n'est stocké en clair ni sous une forme réversible. Une vérification anti-abus s'ajoute au premier appel d'authentification.

• Jetons des connecteurs chiffrés au repos.

  Les accès à une boîte courriel ou à un espace de fichiers ne sont jamais stockés en clair.

• Journalisation des erreurs sans contenu de conversation.

  Les diagnostics techniques n'emportent pas le texte des échanges.

Feuille de route

Où on en est, et où on s'en va. Une organisation qui doit documenter un achat a besoin des deux. On n'écrit ici que ce qu'on est prêt à livrer si un client l'exige.

• Certifications SOC 2 et ISO 27001 : pas encore obtenues.

  C'est sur notre feuille de route. D'ici là, ce qu'on met sur la table est la traçabilité : chaque affirmation de cette page renvoie à une configuration vérifiable, et le registre des sous-traitants est public et complet.

• Authentification à deux facteurs : offerte sur demande en déploiement d'organisation.

  L'authentification par fournisseur d'identité permet déjà à une organisation d'appliquer ses propres exigences au moment de la connexion. On met en place la double authentification native pour les organisations qui l'exigent, dans le cadre du déploiement.

• Profil de résidence par organisation : en place.

  Le propriétaire verrouille les chemins de traitement approuvés dans la console /organisation. Hydro : qualité, traitement hors Canada, documenté ici. Mode Canada : Gemini Pro sur Vertex Montréal, échec fermé, sans repli américain. Bedrock n'est pas un chemin Canada tant qu'un profil In-Region moderne n'est pas attesté. L'application et la base restent à Montréal.

• Service infonuagique, sans installation sur les serveurs du client.

  C'est un choix d'architecture, pas une étape à franchir. Le stockage et l'exécution de l'application sont à Montréal.

• Un modèle de langage peut produire une réponse inexacte.

  C'est vrai de tout système génératif. On mesure la qualité chaque jour sur un jeu de questions québécoises, et les réponses appuyées sur le corpus citent leurs sources pour rendre la vérification rapide.

Éditeur et contact