Politique de confidentialité

Nous recevons ces renseignements directement de vous, de votre organisation ou d’un utilisateur qui vous invite, automatiquement lorsque vous utilisez le service, et des intégrations que votre organisation choisit d’autoriser.

RoomStack utilise le témoin applicatif strictement nécessaire « roomstack-auth » pour maintenir et sécuriser la session. Il contient un jeton d’authentification, n’est pas accessible au JavaScript de la page (HttpOnly), est transmis de façon sécurisée en production (Secure) et limite les envois entre sites (SameSite=Lax). Sans « Rester connecté », le jeton expire au plus tard après 12 heures. Avec cette option, le témoin peut persister jusqu’à 7 jours.

Les parcours de connexion gérée utilisent aussi des témoins temporaires strictement nécessaires pour relier la demande au retour d’authentification, prévenir les attaques de rejeu ou de falsification et terminer l’inscription ou la modification de l’authentification multifacteur. Ils comprennent les témoins de corrélation et de nonce générés par le serveur ainsi que les témoins RoomStack « roomstack-cognito-external », « roomstack-cognito-mfa » et « roomstack-cognito-required-mfa ». Les témoins MFA RoomStack sont chiffrés, HttpOnly, limités au chemin d’API requis et expirent au plus tard après dix minutes. Ils peuvent contenir temporairement une autorisation Cognito protégée; celle-ci n’est pas exposée au JavaScript ni enregistrée dans le stockage du navigateur.

Sur le domaine de connexion gérée auth.roomstack.ca, Amazon Cognito peut notamment utiliser les témoins « XSRF-TOKEN », « csrf-state », « csrf-state-legacy », « cognito », « lang » et « page-data ». Ils servent à protéger les requêtes, maintenir la cohérence du parcours de connexion, conserver la langue choisie et permettre une session de connexion gérée. Le témoin de session Cognito peut conserver une connexion réussie pendant une heure. RoomStack force néanmoins une nouvelle authentification lorsque le parcours ou l’opération de sécurité l’exige.

Le stockage local du navigateur conserve des préférences fonctionnelles comme la langue, le thème, le fuseau horaire, les unités et certains réglages d’affichage. Pendant la session du navigateur, le stockage de session conserve le contexte d’un mandat de soutien activé : son identifiant, un jeton d’activation temporaire, l’organisation visée, la portée et le niveau d’accès approuvés, son expiration et les projets autorisés. Ce contexte sert uniquement à authentifier et limiter l’accès de soutien délégué; il est supprimé lorsque le mandat est quitté ou révoqué, ou lorsque les données de session du navigateur sont effacées.

RoomStack n’utilise actuellement aucun témoin publicitaire ou analytique. Les témoins décrits ci-dessus sont nécessaires à la connexion et aux fonctions de sécurité; leur blocage peut empêcher l’authentification ou certaines opérations de sécurité. Si un témoin ou une technologie non essentielle était ajouté, il serait bloqué jusqu’à votre choix et la présente politique serait mise à jour.

Nous communiquons les renseignements seulement aux personnes autorisées de votre organisation, aux collaborateurs de projets selon leurs permissions, et aux fournisseurs qui nous aident à exploiter l’hébergement, le stockage, les courriels transactionnels, le soutien, la sécurité et les intégrations demandées. Ces fournisseurs reçoivent uniquement ce qui est nécessaire à leur mandat et sont assujettis à des obligations de protection.

Amazon Web Services, par l’intermédiaire d’Amazon Cognito, agit comme fournisseur technique d’identité pour la connexion gérée, la récupération de compte, l’authentification multifacteur et les clés d’accès. Cognito reçoit les renseignements nécessaires à ces fonctions, notamment l’adresse courriel vérifiée, l’identifiant du compte, les facteurs configurés et les données techniques de connexion. RoomStack demeure l’autorité pour l’état du compte, les organisations, les projets, les rôles et les permissions. Lorsqu’une clé d’accès utilise le NIP, l’empreinte digitale ou la reconnaissance faciale de l’appareil, cette vérification est effectuée localement par l’appareil; RoomStack ne reçoit ni l’empreinte ni l’image faciale.

Les pages publiques peuvent charger des polices auprès de services externes. Ces services reçoivent alors les données techniques nécessaires à la requête, notamment l’adresse IP et les renseignements usuels du navigateur.

Nous pouvons aussi communiquer des renseignements lorsque la loi l’exige, pour protéger des droits ou la sécurité, ou dans le cadre d’une opération commerciale encadrée. Nous ne vendons ni ne louons les renseignements personnels.

Les données principales de l’application sont hébergées au Canada. Certains fournisseurs ou membres autorisés d’une organisation peuvent toutefois traiter des renseignements à l’extérieur du Québec. Avant de confier des renseignements à un fournisseur, RoomStack évalue les facteurs pertinents et met en place les mesures contractuelles ou techniques appropriées.

Nous conservons les renseignements aussi longtemps que nécessaire pour fournir le service, respecter l’entente avec l’organisation, maintenir la sécurité et les journaux d’audit, régler un différend ou satisfaire une obligation légale. Les durées varient selon la nature du renseignement. À la fin de la période applicable, les renseignements sont supprimés, anonymisés ou détruits de façon sécuritaire.

RoomStack applique des mesures administratives, techniques et physiques proportionnelles à la sensibilité des renseignements, notamment des contrôles d’accès, l’isolement des organisations et projets, le chiffrement des communications, la journalisation et des procédures de sauvegarde et d’incident. Aucun système n’élimine entièrement les risques; signalez rapidement toute activité suspecte.

Sous réserve de la loi, vous pouvez demander l’accès à vos renseignements personnels, leur rectification ou, dans certains cas, leur suppression, le retrait d’un consentement ou des renseignements sur leur traitement. Nous pouvons vérifier votre identité et devons parfois transmettre une demande à l’organisation qui contrôle les données du projet. Vous pouvez modifier plusieurs renseignements de compte dans RoomStack et gérer les données du navigateur dans ses réglages.

RoomStack est un service professionnel destiné aux organisations et n’est pas conçu pour recueillir sciemment des renseignements auprès de personnes de moins de 14 ans sans l’autorisation requise.

Nous pouvons mettre cette politique à jour. Une modification importante sera communiquée de manière appropriée et la date ci-dessus sera modifiée.

Pour exercer un droit, poser une question ou déposer une plainte, communiquez avec le responsable de la protection des renseignements personnels de RoomStack à info@roomstack.ca. Vous pouvez également vous adresser à la Commission d’accès à l’information du Québec lorsque cette loi s’applique.