Politique de confidentialité

Dernière mise à jour : 24 septembre 2026

Cette politique explique quels renseignements personnels Duva recueille, pourquoi, qui y a accès, combien de temps nous les gardons et comment exercer vos droits. Elle est rédigée pour respecter la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (« Loi 25 ») et la LPRPDE.

1. Qui est responsable

Duva est exploité par 9573-4562 Québec inc. (NEQ 1182434036, 302 de l'Éboulis, Rimouski (Québec) G5L 7Z2) (« Duva », « nous »).

La personne responsable de la protection des renseignements personnels est la personne qui exerce la plus haute autorité dans l'entreprise. Pour toute question, demande ou plainte sur vos renseignements personnels, écrivez-lui à [email protected], en indiquant « Vie privée » en objet.

2. Deux situations à distinguer

Nos clients, leurs équipes et les visiteurs de nos sites. Nous décidons pourquoi et comment leurs renseignements sont utilisés : nous en sommes responsables, et cette politique s'applique directement.

Les destinataires des courriels envoyés par nos clients. Ce sont nos clients qui choisissent les destinataires, le contenu et les raisons d'écrire. Nous traitons ces renseignements pour leur compte, aux seules fins de fournir le service ; le client est responsable de les avoir recueillis légalement et d'avoir obtenu les consentements nécessaires.

Si vous avez reçu un courriel envoyé par Duva pour le compte d'un client et voulez accéder à vos renseignements, les faire corriger ou ne plus être contacté, adressez-vous d'abord à l'expéditeur, dont le nom figure dans le courriel. Vous pouvez aussi nous écrire : nous transmettrons votre demande au client, et nous cesserons d'envoyer à votre adresse à sa demande ou à la vôtre.

3. Les renseignements que nous recueillons

Clients et membres de leur équipe

• Compte : adresse courriel, rôle, langue, fuseau horaire, nom de l'organisation, domaines, adresses des webhooks. Les clés API ne sont conservées que sous forme d'empreinte irréversible : nous ne pouvons pas les relire.
• Connexion et sécurité : mot de passe (conservé sous forme d'empreinte), secret du second facteur (chiffré), codes de récupération (sous forme d'empreinte), dates de connexion. Pour chaque session : adresse IP et type de navigateur. Le journal d'audit consigne qui a fait quelle action sensible, quand et depuis quelle adresse IP.
• Facturation : forfait, état de l'abonnement, période de facturation et identifiants du client et de l'abonnement chez Stripe. Nous ne recevons jamais votre numéro de carte : il est saisi chez Stripe.
• Communications : les messages que vous nous écrivez.
• Billets de soutien : le sujet, la catégorie, le domaine concerné et les messages que vous écrivez à notre équipe dans l'écran « Soutien », avec nos réponses et nos notes internes. Notre personnel les lit pour vous répondre. N'y écrivez jamais de clé API, de mot de passe ni de clé privée : nous ne vous les demandons pas.
• Demande de mise en production : ce que vous déclarez dans l'écran « Mise en production » — contexte d'utilisation, types de courriels envoyés, volume mensuel attendu, origine des adresses de vos destinataires et, si vous l'indiquez, l'adresse de votre site. Notre personnel les lit pour évaluer la demande.

Envois (renseignements sur les destinataires de nos clients)

• Pour chaque message : adresse de l'expéditeur, adresses des destinataires (et leur nom, s'il est fourni), objet, étiquettes et métadonnées ajoutées par le client, date, état de chaque destinataire, événements (livré, rebondi, plainte, reporté) et réponse technique du serveur du destinataire.
• Contenu : le texte, le HTML et les pièces jointes ne sont conservés que 30 jours, puis supprimés.
• Listes de suppression : les adresses qui ont rebondi définitivement, se sont plaintes ou ont été supprimées par le client.
• Rapports DMARC : seulement si le client publie l'adresse de rapports de Duva dans son enregistrement DMARC. Nous recevons alors les rapports agrégés des fournisseurs de courriel : des compteurs (nombre de messages par adresse IP d'envoi et par résultat d'authentification), sans contenu ni adresse de destinataire.
• Suivi des ouvertures et des clics : seulement si le client l'a fait activer pour son domaine. Nous enregistrons alors le fait et le moment de l'ouverture ou du clic, et rien d'autre sur le visiteur.

Visiteurs de nos sites

• Le site public (duva.ca) ne dépose aucun témoin (cookie). Nous mesurons sa fréquentation avec un outil de statistiques anonymes, sans témoin, que nous hébergeons nous-mêmes : page consultée (sans identifiant), origine du renvoi, langue, type d'appareil, de navigateur et de système, pays approximatif. L'adresse IP n'est pas conservée et le signal « Ne pas suivre » de votre navigateur est respecté.
• Le tableau de bord dépose un témoin de session, nécessaire à la connexion, et un témoin de langue d'une heure. Il utilise les mêmes statistiques anonymes, nettoyées de tout identifiant ou nom de domaine de client avant l'envoi. Si vous cochez « Se souvenir de cet appareil » à la vérification en deux étapes, un témoin supplémentaire (un jeton aléatoire, valable 30 jours) permet à ce navigateur de ne pas redemander le code ; vous pouvez l'oublier à tout moment dans la page Sécurité du compte.
• Nos serveurs consignent dans des journaux techniques l'adresse IP, la date et la page demandée, pour la sécurité et le diagnostic. Pour la passerelle SMTP, ils consignent l'adresse IP, le domaine d'envoi et l'issue de chaque connexion ou message, jamais le contenu, le sujet, les adresses des destinataires ni un mot de passe.
• Les formulaires publics (inscription, mot de passe oublié), lorsqu'ils sont ouverts, sont protégés par Cloudflare Turnstile, qui peut recueillir des signaux techniques de votre navigateur pour distinguer une personne d'un robot.

4. Pourquoi nous les utilisons

• fournir le service : envoyer les courriels, en suivre la livraison, gérer les comptes et les accès ;
• assurer la sécurité du service, prévenir et enquêter sur les abus, protéger la réputation de nos adresses d'envoi ;
• facturer et gérer les abonnements ;
• répondre à vos demandes et communiquer avec vous à propos du service (par exemple pour un changement de conditions ou un incident) ;
• respecter nos obligations légales ;
• comprendre l'utilisation de nos sites, à partir de statistiques anonymes.

Nous ne vendons aucun renseignement personnel, nous n'affichons aucune publicité et nous ne faisons aucun profilage. Certains mécanismes sont automatiques (limites de débit, listes de suppression). Si une décision de suspension vous touche, vous pouvez nous écrire pour la faire revoir par une personne.

5. Consentement

Pour les fins nécessaires au service — ouverture et gestion de votre compte, facturation, sécurité et obligations légales — nous traitons vos renseignements sur la base de cette nécessité, sans requérir un consentement distinct. Pour toute autre fin, nous demandons votre consentement au moment de recueillir le renseignement. Vous pouvez retirer un consentement donné en tout temps en nous écrivant ; retirer un consentement nécessaire au service peut nous empêcher de vous le fournir.

6. Qui a accès aux renseignements

• Notre personnel, dans la mesure nécessaire à ses fonctions. La console interne est distincte du tableau de bord, ses accès sont limités et journalisés, et elle n'affiche ni le contenu des courriels ni les clés de signature privées.
• Nos fournisseurs, qui traitent des renseignements pour nous :
  • OVHcloud : hébergement des serveurs à Beauharnois (Québec) et stockage des sauvegardes chiffrées dans un centre de données canadien ;
  • Cloudflare : DNS, protection et acheminement du trafic web, contrôle anti-robot (Turnstile) ;
  • Stripe : paiement et gestion des abonnements.

Le détail de ce traitement, pour les renseignements de vos destinataires, est précisé dans l'addenda de traitement des données.

• Les serveurs de courriel des destinataires, à qui nous transmettons les messages : c'est inhérent à l'envoi d'un courriel.
• Des fournisseurs de courriel, des services de traitement des plaintes ou des autorités, lorsque la loi le permet ou l'exige, pour enquêter sur un abus ou respecter une ordonnance.

7. Renseignements communiqués hors du Québec

Nos serveurs et nos sauvegardes sont au Canada. Le trafic web vers nos applications (site, tableau de bord, API) passe par le réseau de Cloudflare, qui protège le service contre les attaques et termine le chiffrement TLS avant qu'il n'atteigne nos serveurs : le contenu de vos requêtes, y compris les courriels transmis par l'API, transite donc par le réseau mondial de Cloudflare avant d'arriver chez nous, au Canada. Les messages envoyés par SMTP (smtp.duva.ca) ne passent pas par Cloudflare : ils arrivent directement chez nous, chiffrés par TLS. Certains fournisseurs, dont Stripe et Cloudflare, peuvent aussi traiter des renseignements ailleurs, notamment aux États-Unis, et les courriels sont livrés à des destinataires partout dans le monde. Nous ne communiquons que ce qui est nécessaire, nous choisissons des fournisseurs qui s'engagent à protéger les renseignements, et nous faisons une évaluation des facteurs relatifs à la vie privée lorsque la loi l'exige.

8. Combien de temps nous les gardons

Lorsque nous n'avons plus besoin d'un renseignement, nous le détruisons ou l'anonymisons, sauf si la loi nous oblige à le garder.

Le propriétaire d'un compte peut le fermer lui-même depuis les paramètres du compte, ou nous demander de le fermer en nous écrivant à [email protected] : la fermeture est définitive, et les données du compte sont ensuite détruites, sauf ce que la loi nous oblige à garder.

9. Comment nous les protégeons

• Les connexions au service sont chiffrées (TLS).
• Le second facteur d'authentification est obligatoire ; les mots de passe et les clés API ne sont conservés que sous forme d'empreinte ; les secrets sensibles (clés de signature, secrets du second facteur) sont chiffrés.
• Chaque client ne voit que ses propres données, ce que nos tests vérifient.
• Les sauvegardes hors site sont chiffrées.
• L'accès de notre personnel est limité au nécessaire et journalisé.

Aucun système n'est infaillible. Nous tenons un registre des incidents de confidentialité et, lorsqu'un incident présente un risque de préjudice sérieux, nous avisons la Commission d'accès à l'information du Québec, les personnes touchées et, pour les renseignements de leurs destinataires, le client concerné.

10. Vos droits

Vous pouvez, en nous écrivant à [email protected] :

• savoir si nous détenons des renseignements sur vous et y avoir accès ;
• faire corriger des renseignements inexacts, incomplets ou équivoques ;
• retirer votre consentement ;
• obtenir vos renseignements dans un format technologique structuré et couramment utilisé ;
• demander qu'une décision qui vous touche soit revue par une personne.

Nous pouvons vous demander de prouver votre identité. Nous répondons dans les 30 jours ; un refus est motivé et indique vos recours. Pour les renseignements d'un destinataire de courriels, nous vous renvoyons au client concerné lorsque c'est lui qui les contrôle.

Si vous croyez que nous ne respectons pas vos droits, vous pouvez porter plainte à la Commission d'accès à l'information du Québec (cai.gouv.qc.ca) ou au Commissariat à la protection de la vie privée du Canada (priv.gc.ca).

11. Mineurs

Duva s'adresse aux entreprises et aux professionnels. Nous ne recueillons pas sciemment de renseignements sur des mineurs de moins de 14 ans ; si vous croyez que c'est arrivé, écrivez-nous et nous les supprimerons.

12. Modifications de cette politique

Nous pouvons mettre à jour cette politique. La date de la dernière mise à jour figure en haut de la page ; pour un changement important, nous en avisons les clients par courriel ou dans le tableau de bord.

13. Nous joindre

9573-4562 Québec inc. — 302 de l'Éboulis, Rimouski (Québec) G5L 7Z2 — [email protected]