Politique de confidentialité

Dernière mise à jour : 28 septembre 2026

La présente politique de confidentialité décrit comment Kairos Intelligence (« Kairos », « nous ») recueille, utilise, communique et protège les données personnelles dans le cadre de l'application web kairosintelligence.ca (« le tableau de bord ») et de l'extension de navigateur Kairos (« l'extension »), désignées ensemble « le Service ».

Kairos est un outil de gouvernance de l'intelligence artificielle destiné aux agences et à leurs équipes. Sa conception repose sur un principe simple : les données les plus sensibles ne quittent pas votre appareil. La protection de la vie privée est intégrée dès la conception (privacy by design).

1. Qui sommes-nous

Kairos Intelligence est un projet en cours d'incorporation, établi à Montréal (Québec), Canada.

Pour toute question relative à la protection des renseignements personnels (au sens de la Loi 25), pour exercer vos droits ou pour joindre la personne responsable de la protection des renseignements personnels, écrivez à confidentialite@kairosintelligence.ca.

2. Le principe fondateur : la détection des PII est locale

La fonction de garde PII de Kairos analyse vos prompts entièrement dans votre navigateur, avant qu'ils ne soient envoyés au service d'IA que vous utilisez (ChatGPT, Claude, Gemini, Perplexity) :

• Passe 1 : règles locales (courriels, numéros de téléphone, IBAN, SIRET, numéros de carte, clés d'API, etc.) ;
• Passe 2 : un modèle de reconnaissance d'entités exécuté localement (WebAssembly). Le modèle est téléchargé une fois puis mis en cache sur votre appareil ; aucune donnée de votre prompt n'est transmise pour cette analyse.

En conséquence, le contenu de vos prompts et les données personnelles qu'ils contiennent ne sont jamais transmis aux serveurs de Kairos. La seule exception est décrite à la section 4 (bouton « Améliorer »).

3. Données que nous recueillons

Données que vous nous fournissez :

• Compte : adresse courriel, nom, mot de passe (conservé sous forme hachée, jamais en clair), appartenance à une agence et à des espaces de travail, rôle. Si vous vous connectez via Google, nous recevons votre adresse courriel, votre nom et un identifiant de compte.
• Contenu de la bibliothèque : les modèles (templates), blocs réutilisables (snippets) et cadres (frameworks) créés par les administrateurs d'agence.
• Données de paiement (le cas échéant) : traitées par notre prestataire de paiement. Kairos ne conserve pas vos numéros de carte.

Données collectées automatiquement :

• Télémétrie de l'extension — seulement si vous l'acceptez dans l'extension ; vous pouvez la refuser, ou la retirer à tout moment depuis ses réglages. Elle comprend :

  • les services d'IA consultés (domaine et catégorie), quand, et la durée des sessions (fonction anti-« shadow AI ») ;
  • le nombre et le type des données sensibles détectées dans un prompt, et l'action choisie (anonymiser, envoyer tel quel, annuler) — jamais les données elles-mêmes ;
  • pour chaque prompt réellement envoyé : sa longueur en caractères, son score de qualité et, le cas échéant, l'identifiant du modèle de la bibliothèque utilisé — jamais son contenu ;
  • l'état de la protection : un site sur lequel elle est restée inactive, un envoi parti sans attendre la fin de la détection locale, la désactivation automatique de la détection avancée avec sa raison technique ;
  • l'identifiant de l'appareil (tiré au hasard à l'installation), la version de l'extension, le navigateur, le système d'exploitation et, si vous êtes connecté à votre compte dans l'extension, l'identifiant de ce compte.

  Votre décision elle-même — acceptation ou retrait, et sa date — est transmise, retrait compris : votre agence sait ainsi que la télémétrie de cet appareil est arrêtée, et non en panne.

• Vérification de l'appareil — hors consentement, car nécessaire au fonctionnement de l'extension que votre agence déploie : toutes les 30 minutes par défaut, et au démarrage du navigateur, l'extension demande au serveur si l'appareil est toujours enrôlé et si une mise à jour est requise. Votre agence peut régler cet intervalle entre 5 minutes et 24 heures. Cette vérification sert à retirer l'extension d'un appareil que votre agence a supprimé et à signaler une version trop ancienne. Elle transmet la clé de l'appareil, la version de l'extension et le navigateur, ainsi que l'adresse IP inhérente à toute connexion ; elle ne transmet aucun contenu ni aucune donnée de navigation.

• Données techniques : journaux serveur, adresse IP, type de navigateur, identifiant d'appareil ou d'extension, horodatages — utilisés pour la sécurité et le bon fonctionnement du Service.

4. Ce que nous ne recueillons pas

• Le contenu de vos prompts n'est ni collecté ni stocké par Kairos lors de l'analyse PII (voir section 2).
• Exception — bouton « Améliorer » : si, et seulement si, vous cliquez sur « Améliorer » dans le tableau de bord, le texte du modèle concerné est transmis à Mistral AI (Union européenne) afin d'en proposer une version optimisée. Cette action est toujours déclenchée par vous.

5. À quelles fins utilisons-nous ces données

• fournir, maintenir et sécuriser le Service ;
• vous authentifier et gérer votre compte ;
• gérer la bibliothèque de prompts de votre agence ;
• fournir aux administrateurs d'agence des tableaux de bord de gouvernance de l'usage de l'IA (voir section 6) ;
• améliorer le produit à partir de mesures agrégées ;
• traiter les paiements, le cas échéant ;
• respecter nos obligations légales et prévenir la fraude et les abus.

Nous ne vendons pas vos données personnelles et ne les utilisons pas à des fins de publicité ciblée.

6. Données de gouvernance et rôle de votre employeur

Lorsqu'une agence déploie Kairos auprès de ses équipes, elle peut consulter des tableaux de bord sur l'usage de l'IA par ses salariés. Pour ces données, l'agence est responsable du traitement et Kairos agit comme sous-traitant, traitant les données selon les instructions de l'agence. Si vous êtes salarié d'une agence cliente, adressez vos questions relatives à cette gouvernance d'abord à votre agence.

7. Communication à des tiers et sous-traitants

Nous ne communiquons vos données qu'aux prestataires strictement nécessaires au fonctionnement du Service, liés par des engagements de confidentialité :

• OVHcloud — hébergement du serveur applicatif, de la base de données, des fichiers téléversés et des sauvegardes chiffrées — Beauharnois (Québec, Canada) ;
• Mistral AI — optimisation d'un modèle de prompt de votre bibliothèque, uniquement lorsque vous cliquez sur « Améliorer » — Union européenne ;
• Resend — envoi des courriels transactionnels (vérification, sécurité) — États-Unis ;
• Stripe — traitement des paiements, lorsque la facturation est activée — États-Unis ;
• Google — authentification, uniquement si vous choisissez de vous connecter au moyen d'un compte Google — États-Unis ;
• ImprovMX — acheminement du courrier entrant adressé à nos alias, y compris vos demandes d'exercice de droits — États-Unis ;
• Microsoft — hébergement de la boîte de réception vers laquelle ce courrier est redirigé — États-Unis ;
• Hugging Face — distribution du modèle de détection PII téléchargé une fois par l'extension ; aucun contenu de prompt n'y transite — États-Unis.

La liste à jour, avec le rôle et la localisation de chacun, est publiée sur la page sous-traitants.

Nous pouvons également communiquer des données si la loi l'exige, pour faire respecter nos conditions, ou dans le cadre d'une réorganisation d'entreprise (auquel cas la présente politique continuerait de s'appliquer).

8. Hébergement et transferts

• Les données de compte, les contenus de bibliothèque et les fichiers téléversés sont hébergés au Québec, dans les centres de données de OVHcloud à Beauharnois (Québec, Canada). Les sauvegardes chiffrées sont conservées dans un stockage objet distinct, chez le même fournisseur et dans la même région canadienne : elles ne quittent pas le Canada.
• Notre infrastructure applicative est auto-hébergée sur ces serveurs : nous ne confions ni vos données de compte ni votre bibliothèque à une plateforme d'infonuagique tierce.
• Le traitement par Mistral AI (bouton « Améliorer ») a lieu dans l'Union européenne.
• Certains prestataires accessoires (envoi de courriels transactionnels, acheminement du courrier entrant, traitement des paiements, authentification Google, distribution du modèle de détection) sont des sociétés établies aux États-Unis. Les renseignements qui leur sont transmis se limitent à ce qui est strictement nécessaire à leur fonction — une adresse courriel, des données de facturation, et le contenu des messages que vous nous adressez lorsque vous nous écrivez — et n'incluent jamais le contenu de votre bibliothèque ni celui de vos prompts. Conformément à la Loi 25, nous réalisons une évaluation des facteurs relatifs à la vie privée avant toute communication de renseignements à l'extérieur du Québec.

9. Durée de conservation

Nous ne conservons les données que le temps nécessaire aux finalités décrites, ou tel que l'exige la loi :

• Compte : pendant toute la durée de la relation, puis pour une période limitée après la fermeture du compte ;
• Bibliothèque : jusqu'à suppression par votre agence ;
• Jetons de session : au plus 20 jours, renouvelés au fil de votre utilisation ;
• Télémétrie de l'extension : 90 jours, puis supprimée. L'historique des décisions de consentement est conservé 3 ans, et la décision la plus récente reste sur la fiche de l'appareil tant que celui-ci existe ;
• Fiche de l'appareil (date de la dernière vérification, version de l'extension, navigateur) : jusqu'à ce que votre agence supprime l'appareil. Sa clé est alors révoquée et conservée 180 jours, pour qu'un appareil resté éteint apprenne quand même qu'il a été retiré ;
• Journaux techniques et données d'usage : pour une durée limitée, après quoi ils sont supprimés ou anonymisés.

10. Vos droits

Au Québec (Loi 25) et au Canada (LPRPDE), vous pouvez : accéder à vos renseignements, les faire rectifier, retirer votre consentement, demander la cessation de leur diffusion ou leur désindexation, et porter plainte auprès de la Commission d'accès à l'information du Québec (CAI) (https://www.cai.gouv.qc.ca).

Dans l'Union européenne (RGPD), vous disposez en outre des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit d'introduire une réclamation auprès de votre autorité de contrôle (en France, la CNIL).

Pour exercer ces droits, écrivez à confidentialite@kairosintelligence.ca. Nous répondrons dans les délais prévus par la loi applicable. Si votre demande porte sur des données de gouvernance détenues pour le compte de votre agence, nous vous orienterons vers celle-ci (voir section 6).

11. Décisions automatisées

Kairos ne prend aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative. La détection PII et le score de qualité sont des outils d'assistance : la décision finale (envoyer, anonymiser, annuler) vous appartient toujours.

12. Sécurité

Nous mettons en œuvre des mesures de sécurité raisonnables : chiffrement en transit (TLS), cloisonnement strict des données entre locataires (agences et espaces de travail) appliqué côté serveur à chaque lecture et à chaque écriture, authentification par jetons signés, hachage à sens unique des mots de passe et accès restreint au personnel. Aucune méthode de transmission ou de stockage n'étant parfaitement sûre, nous ne pouvons garantir une sécurité absolue.

13. Témoins (cookies)

Nous utilisons uniquement des témoins strictement nécessaires ou de préférence : maintien de votre session authentifiée, mémorisation de la langue choisie et de l'état de l'interface. Ces témoins sont exemptés de consentement préalable ; nous n'utilisons ni témoins publicitaires, ni mesure d'audience tierce.

14. Incidents de sécurité

Conformément à la Loi 25, nous tenons un registre des incidents de confidentialité et, en cas d'incident présentant un risque de préjudice sérieux, nous en informons la Commission d'accès à l'information du Québec (CAI) ainsi que les personnes concernées.

15. Données concernant les mineurs

Le Service est un outil professionnel qui ne s'adresse pas aux mineurs et n'est pas destiné à recueillir sciemment des données concernant des personnes de moins de 14 ans.

16. Modifications

Nous pouvons modifier la présente politique. La date de mise à jour figure en tête de page ; en cas de changement important, nous vous en informerons par un moyen approprié.

17. Nous joindre

Kairos Intelligence — Montréal (Québec), Canada. Pour toute question relative à la protection de vos données : confidentialite@kairosintelligence.ca.