Traitement des données, DPA et sous-traitants
Cette page présente les fournisseurs actuellement utilisés par Kyogo et les engagements couverts par notre accord de traitement des données (« DPA »). Elle complète notre politique de confidentialité.
| Question | Réponse courte |
|---|---|
| Où sont les données? | Au Québec |
| Les réponses sont-elles nominatives? | Non |
| OpenAI reçoit-il les verbatims? | Non — le traitement des commentaires est effectué sur l’infrastructure opérée par Kyogo, sans prestataire externe d’analyse de texte |
| Un employé peut-il consulter et supprimer ces données ? | Oui, pour les données personnelles attribuables |
| Qui contacter? | confidentialite@kyogo.ca |
1. Accord de traitement des données
Lorsqu’une organisation cliente commande un sondage, elle détermine les objectifs du traitement et les personnes autorisées à utiliser le service. Kyogo agit comme fournisseur technologique selon ses instructions documentées.
Le DPA de Kyogo est fourni sur demande. Il couvre notamment :
- la nature, les finalités et la durée des traitements;
- les catégories de renseignements et de personnes concernées;
- la confidentialité et les contrôles d’accès;
- les mesures de sécurité, de sauvegarde et de continuité;
- l’encadrement des sous-traitants et de l’acheminement des courriels par Resend;
- l’assistance pour les demandes d’accès, de rectification et de plainte;
- la notification et la collaboration en cas d’incident;
- les règles de conservation, de retour et de suppression;
- les renseignements permettant à l’organisation cliente de réaliser ses évaluations et vérifications.
Pour obtenir le DPA ou le questionnaire de sécurité de Kyogo, écrivez à confidentialite@kyogo.ca.
2. Où les données sont-elles réellement conservées?
L’architecture de Kyogo repose sur une séparation simple :
- Supabase conserve les données administratives, les campagnes, les résultats calculés et certaines données analytiques dérivées dans la région Canada (Centre) (
ca-central-1); - AWS EC2 et AWS Fargate exécutent le site, les applications, le portail répondant et les services de traitement dans cette même région;
- AWS S3 conserve les réponses anonymes aux sondages dans cette même région.
3. Rôle concret de chaque fournisseur
| Fournisseur | Rôle concret pour Kyogo | Ce qui y est réellement conservé | Héberge des données sensibles (réponses, noms ou prénoms) | Hébergé et traité au Québec |
|---|---|---|---|---|
| Supabase | Authentification, base de données PostgreSQL et API | Comptes administrateurs, invitations, permissions, campagnes, résultats calculés, extraits analytiques dissociés des questions ouvertes et journaux d’audit. Les objets bruts des réponses n’y sont pas stockés. Hébergement au Québec dans ca-central-1. DPA · Sécurité | ✅ Oui | ✅ Oui |
| Amazon Web Services (AWS) | Exécution du site, des applications et des traitements sur EC2 et Fargate; stockage S3 chiffré des réponses anonymes | Réponses, commentaires ouverts et contexte organisationnel limité, sans nom, courriel ni identifiant de répondant, d’invitation ou de session. Hébergement et traitement au Québec dans ca-central-1. Protection des données · Sous-traitants | ✅ Oui | ✅ Oui |
| Resend | Acheminement des courriels | Adresse nécessaire à l’acheminement et contenu transactionnel neutre. Aucune réponse, aucun commentaire, aucun résultat et aucun contexte organisationnel ne sont transmis. DPA · Sous-traitants | — | — |
Ce qui est hébergé et traité au Québec
Lorsqu’une personne consulte Kyogo ou effectue une action, AWS EC2 et AWS Fargate exécutent le code nécessaire pour afficher la page, répondre à la requête et effectuer les traitements. Ces services sont déployés dans la région Canada (Centre) (ca-central-1), située au Québec.
AWS S3 conserve séparément les objets bruts des réponses anonymes dans cette même région. Supabase conserve les données administratives, les campagnes et les résultats calculés dans son projet de production ca-central-1.
Kyogo dispose d’un système d’audit des accès administratifs permettant de savoir quel utilisateur a accédé à quel type d’espace sensible, pour quelle organisation et à quel moment. Ces traces ne contiennent ni réponses, ni commentaires, ni contenu consulté.
Supabase et AWS sont les seuls fournisseurs utilisés pour héberger et traiter les données du produit, au Québec. Resend constitue la seule exception : il reçoit uniquement l’adresse nécessaire à l’acheminement d’un courriel au contenu neutre.
4. Anonymat des réponses
Les réponses aux sondages sont anonymes dans Kyogo : le fichier transmis au stockage ne contient ni nom, ni adresse courriel, ni identifiant de répondant, d’invitation ou de session, ni date de soumission. Kyogo ne conserve pas de correspondance directe entre l’identité d’une personne et sa réponse.
AWS reçoit donc le contenu de la réponse sans identité. Supabase conserve les données nécessaires à la campagne et les résultats calculés, mais aucune clé ne permet à un administrateur de retrouver la réponse précise d’une personne.
Comme pour tout texte libre ou toute analyse par petits groupes, un recoupement contextuel peut parfois suggérer une origine. Kyogo ne conserve toutefois aucune association technique permettant de confirmer cette attribution.
5. Analyse automatisée
Kyogo peut classifier et regrouper automatiquement les commentaires ouverts, identifier les sujets récurrents dans des groupes d’employés et produire des recommandations collectives.
Ces traitements n’ont pas pour finalité d’identifier un répondant ou de prendre une décision individuelle à son sujet. Les réponses textuelles aux questions ouvertes des sondages ne sont transmises à aucun fournisseur de grands modèles de langage.
6. Hébergement et traitement au Québec
Les données du produit sont hébergées et traitées au Québec. Supabase conserve les données administratives et les résultats dans son projet de production ca-central-1. AWS EC2 et AWS Fargate exécutent les applications et les traitements dans cette même région, où AWS S3 conserve les réponses anonymes.
La seule exception concerne Resend, qui reçoit l’adresse nécessaire à l’acheminement d’un courriel au contenu neutre, sans donnée de sondage, résultat, commentaire ni contexte organisationnel.
7. Changements à la liste
Kyogo met cette page à jour lorsqu’un fournisseur est ajouté, remplacé ou voit sa fonction changer de façon importante. Les organisations clientes sont avisées selon le délai et le mécanisme prévus dans leur contrat ou leur DPA.
Une organisation cliente peut soulever une objection raisonnable liée à la protection des renseignements personnels en écrivant à confidentialite@kyogo.ca.
8. Références
Les contrats de service conclus avec les organismes publics québécois sont notamment encadrés par l’article 67.2 de la Loi sur l’accès. Les obligations applicables aux fournisseurs de services du secteur privé sont également décrites dans la Loi sur la protection des renseignements personnels dans le secteur privé.