Politique de confidentialité.

Article 01Quelles données on collecte

Plio collecte uniquement les informations strictement nécessaires à l'exécution de ta commande, à la sécurité de ton compte et à l'amélioration mesurée de notre service. Aucune donnée n'est collectée à des fins de profilage publicitaire externe.

Les catégories de données sont détaillées dans le tableau ci-dessous, à des fins de transparence. Pour chaque donnée, nous précisons son origine, l'usage que nous en faisons et sa durée de conservation.

Article 02Comment on les utilise

Les données collectées servent exclusivement à des finalités explicites, légitimes et documentées. Plus précisément, nous traitons tes informations afin de :

• Exécuter ta commande (configuration, prépresse, production, expédition, suivi);
• Gérer ton compte, ton historique d'achat et tes préférences;
• Émettre les factures, percevoir les taxes applicables et conserver les pièces comptables;
• Te notifier d'évènements liés à ta commande (confirmation, expédition, livraison, retard, réclamation);
• Améliorer le service par des analyses anonymisées et agrégées;
• Prévenir la fraude (paiement non autorisé, abus de compte, scraping);
• Respecter nos obligations légales, comptables et fiscales canadiennes.

Aucun traitement automatisé produisant des effets juridiques significatifs n'est effectué à ton égard. Aucune décision d'attribution ou de refus de commande n'est prise sans intervention humaine.

Article 03Partage avec des tiers (sous-traitants)

Plio travaille avec un nombre volontairement restreint de sous-traitants techniques, chacun lié par un accord de traitement de données conforme à la Loi 25 et au RGPD. La liste exhaustive ci-dessous reflète l'infrastructure réelle en date du 12 octobre 2026.

Transferts hors-Canada : certains sous-traitants (Stripe, Sentry, Upstash) traitent tes données aux États-Unis ou en Europe. L'hébergement de l'application (AWS Amplify, ca-central-1), la base de données (Supabase, ca-central-1), le stockage des fichiers (AWS S3), l'envoi de courriels (AWS SES) et l'impression (Sinalite, Markham ON) sont au Canada. Conformément à l'article 17 de la Loi 25, nous avons évalué que ces transferts offrent une protection équivalente, et les accords de traitement (DPA) couvrent les obligations de confidentialité et de sécurité. Tu peux demander la liste détaillée des DPA via privacy@plio.ca.

Aucune donnée personnelle n'est revendue, louée ou cédée à des fins publicitaires. Aucun partenaire publicitaire (Meta, Google Ads, TikTok) n'a accès à tes informations. Aucun outil d'analytique tiers (Google Analytics, Plausible, etc.) n'est actuellement déployé.

Article 04Cookies et tracking

Plio applique une politique cookies minimaliste : aucun cookie tiers publicitaire, aucun pixel de tracking cross-site, aucun outil de fingerprinting comportemental.

Les cookies utilisés se limitent à ceux strictement nécessaires au fonctionnement du service :

• authjs.session-token — maintien de la session utilisateur (HTTPOnly, SameSite=Lax, Secure en prod).
• plio_lang — mémorisation de la langue choisie (fr/en).
• plio_ref — capture du code de parrainage si tu arrives via un lien ?ref=CODE (TTL 30 jours).
• plio_pending_profile — workflow sign-up qui survit le round-trip magic-link (TTL 15 min).
• plio_consent — mémorisation du fait que tu as pris connaissance de l'usage des cookies (TTL 12 mois).

Aucun outil de mesure d'audience tiers (Google Analytics, Plausible, etc.) n'est déployé : on n'utilise que les cookies strictement nécessaires listés ci-dessus. La bannière cookies, présente conformément à la Loi 25, sert à confirmer que tu as pris connaissance de cet usage — il n'y a pas de cookies analytiques à refuser pour le moment. Si un tel outil était ajouté à l'avenir, ton consentement explicite serait demandé avant son activation.

Article 05Conservation des données

Les durées de conservation sont définies en fonction de la finalité de chaque traitement et des obligations légales applicables. Les durées détaillées figurent dans le tableau de l'article 1. À titre récapitulatif :

• Données de compte actif : pendant toute la durée de vie du compte;
• Pièces comptables (factures, adresses de facturation) : 6 ans, conformément à la Loi de l'impôt sur le revenu (art. 230);
• Fichiers de design soumis à production : 2 ans après livraison, pour permettre une réimpression rapide;
• Données techniques (logs, IP) : 90 jours;
• Compte inactif : conservé tant que tu n'en demandes pas la suppression; les données non soumises à une obligation légale de conservation sont supprimées sur demande (voir ci-dessous).

Tu peux demander la suppression anticipée de toutes les données non soumises à une obligation légale de conservation en écrivant à notre déléguée à la protection des données à dpo@plio.ca.

Article 06Tes droits

En vertu de la Loi 25 du Québec et, le cas échéant, du RGPD pour les résidents européens, tu disposes des droits suivants à l'égard de tes données :

Pour exercer ces droits, écris à dpo@plio.ca avec ton adresse courriel de compte. Nous répondons dans un délai maximal de 30 jours, gratuitement. Si la réponse ne te satisfait pas, tu peux saisir la Commission d'accès à l'information du Québec.

Article 07Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles raisonnables pour protéger tes données contre l'accès non autorisé, la perte, l'altération ou la divulgation accidentelle. Ces mesures incluent notamment :

• Chiffrement TLS 1.3 pour toutes les communications client-serveur;
• Chiffrement au repos (AES-256) des bases de données et des sauvegardes;
• Connexion sans mot de passe par lien magique à usage unique (expiration 24 h) — aucun mot de passe à stocker, voler ou réutiliser;
• Sauvegardes chiffrées quotidiennes avec rétention de 30 jours.

Aucun système n'étant infaillible, nous ne pouvons garantir une sécurité absolue. Toutefois, nous nous engageons à appliquer en permanence l'état de l'art en matière de cybersécurité pour les services SaaS canadiens.

Article 08Notifications de breach

En cas de violation de la confidentialité ou de l'intégrité de tes données présentant un risque sérieux pour tes droits, nous nous engageons à te notifier individuellement dans les 72 heures suivant la prise de connaissance de l'incident, conformément aux obligations de la Loi 25.

La notification précisera : la nature de l'incident, les catégories de données concernées, les mesures déjà prises pour le contenir, ainsi que les actions recommandées pour limiter ton exposition. Une déclaration est simultanément adressée à la Commission d'accès à l'information du Québec.

Un registre interne des incidents est tenu à jour et peut être consulté par les autorités compétentes sur demande.

Article 09Modifications de la politique

La présente politique peut être révisée pour refléter une évolution de notre service, de nos sous-traitants ou de la législation applicable. Toute modification substantielle te sera notifiée par courriel au moins 15 jours avant son entrée en vigueur.

L'historique complet des versions est disponible sur demande à dpo@plio.ca. La date de la dernière mise à jour figure en haut du présent document.

Article 10Contact

Pour toute question relative à la protection de tes données ou à la présente politique, notre déléguée à la protection des données reste joignable :

• Courriel : dpo@plio.ca
• Postal : Démocratik inc. · À l'attention de la DPD · 4220 boul. St-Laurent, suite 200, Montréal QC H2W 1Z3