Politique de confidentialité d’Incleus

Date d’entrée en vigueur : 13 septembre 2026

Incleus est un logiciel de facturation destiné aux travailleurs autonomes et aux petites entreprises de métier. Vos dossiers vous appartiennent : la présente politique décrit ce que nous en faisons pour votre compte, et non ce que nous pourrions en tirer. Elle explique ce que nous recueillons, pourquoi, qui d’autre y touche et ce que nous n’en ferons pas — conformément à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Elle décrit le service tel qu’il fonctionne réellement aujourd’hui, et non tel qu’il est prévu.

1. Responsabilité et notre double rôle

Incleus est responsable des renseignements personnels dont il a la gestion. Nous agissons à titre de responsable du traitement pour les données de compte et d’entreprise que vous fournissez afin d’utiliser Incleus. Nous agissons à titre de sous-traitant pour les renseignements concernant VOS clients et VOTRE personnel que vous saisissez ou téléversez — noms, adresses, montants, heures — qui demeurent les vôtres et que nous traitons suivant vos instructions. Nous avons désigné un responsable de la protection de la vie privée ; vous pouvez le joindre à privacy@incleus.com.

2. Ce que nous recueillons

Nous limitons la collecte à ce dont le service a besoin pour faire son travail. Tout ce qui suit est recueilli parce qu’une fonction que vous utilisez l’exige.

Votre compte : Votre adresse courriel et un mot de passe haché par Supabase Auth, le nom et le rôle de chaque membre de votre entreprise, ainsi que la langue de travail choisie. Nous ne voyons jamais votre mot de passe.
Les coordonnées de votre entreprise : Le nom de votre entreprise, son adresse, ses coordonnées, votre numéro d’inscription aux taxes, vos conditions de retard de paiement et votre logo — l’en-tête imprimé sur vos documents. À noter que votre logo est diffusé publiquement : il doit l’être, puisqu’il apparaît sur la page de paiement qu’un client ouvre à partir d’un courriel.
Vos clients : Noms, adresses courriel, adresses postales et fiscales, numéros d’inscription aux taxes et statut d’exonération. Il s’agit de renseignements personnels concernant des personnes qui ne sont pas nos utilisateurs, que vous nous confiez, et qui sont traités comme sensibles en raison de leur rôle dans des documents financiers.
Vos documents financiers : Factures, soumissions et reçus avec leurs postes et leurs taxes, paiements et remboursements, litiges et rajustements que vous consignez, ainsi que vos inscriptions fiscales et votre utilisation des calculs. Les numéros de carte ne sont jamais manipulés par Incleus — les paiements passent par Stripe, qui recueille directement les renseignements de carte.
Votre personnel, sur le forfait Opérations : Entrées de temps, heures de début et de fin de quart, qui a exécuté quel travail, et les taux facturés et coûtants rattachés à chaque travailleur. Il s’agit de renseignements sur vos employés et sous-traitants. Les données de coût et de rémunération sont réservées aux propriétaires et aux administrateurs par la base de données elle-même, et non simplement masquées dans l’interface.
Les documents que vous téléversez, sur le forfait Opérations : Reçus, factures de fournisseurs et photos d’odomètre, ainsi que les postes qui en sont lus et les demandes de kilométrage qui en découlent. Ils sont conservés de façon privée au Canada et ne sont accessibles qu’au moyen de liens de courte durée délivrés aux membres de votre entreprise.
Les sommaires tirés de vos propres dossiers : Incleus établit, pour vos yeux seulement, des sommaires de la façon dont vos clients paient — avec quelle avance ou quel retard les factures ont été réglées, les montants facturés, les soldes impayés — à partir de votre propre historique de transactions. Ils ne sont visibles qu’au sein de votre entreprise, ne sont jamais montrés au client qu’ils décrivent, et ne sont jamais regroupés, communiqués ni combinés d’un compte à l’autre. Incleus n’exploite aucun service d’évaluation du crédit ou de réputation et n’attribue aucune note, cote ni étiquette à quelque personne ou entreprise que ce soit.

3. Comment ils sont protégés

Nous mettons en place des mesures proportionnées à la sensibilité des données, et nous préférons vous dire où elles s’arrêtent plutôt que de laisser croire qu’elles vont plus loin.

Chiffrement : Les données sont chiffrées en transit au moyen du protocole TLS et au repos par le chiffrement des disques de la base de données.
Cloisonnement des entreprises : Chaque dossier d’affaires appartient à une seule entreprise, ce qu’applique la sécurité au niveau des lignes de Postgres, en refus par défaut. Le cloisonnement entre entreprises est vérifié à chaque version, en demandant au nom d’une entreprise les dossiers d’une autre par identifiant et en exigeant zéro résultat.
Stockage privé des documents : Les reçus et les photos téléversés résident dans un espace privé. L’accès se fait uniquement par lien signé à durée limitée, délivré aux membres de l’entreprise qui les a téléversés.
Accès interne : Restreint selon le principe du besoin de savoir.
Vérification en deux étapes : Vous pouvez protéger votre propre connexion au moyen d’une application d’authentification, depuis Réglages › Sécurité. Elle est offerte à tous les comptes et exigée d’aucun — nous recommandons de l’activer, en particulier pour les propriétaires et les administrateurs. Sans elle, la connexion se fait par courriel et mot de passe seulement : la robustesse et l’unicité de votre mot de passe sont alors tout ce qui sépare un attaquant de vos dossiers.
Un registre de ce qui a été consulté : Deux consultations sont consignées, parce que l’une comme l’autre peut faire sortir beaucoup de renseignements d’un seul coup. Lorsque l’exportation comptable est lancée, nous consignons qui l’a lancée, sur quelle période et combien de dossiers elle contenait. Lorsqu’un reçu ou une photo d’odomètre est ouvert, nous consignons qui l’a ouvert, de quel document il s’agit et combien de temps le lien est demeuré valide — ces liens sont des clés de courte durée qui fonctionnent jusqu’à leur expiration, de sorte que cette fenêtre compte. Les propriétaires et les administrateurs peuvent consulter les deux historiques pour leur propre entreprise. Ils existent pour que, si un compte était un jour utilisé à mauvais escient, la question « qu’ont-ils emporté ? » ait une réponse plutôt qu’une hypothèse pessimiste.

4. Sous-traitants ultérieurs

Nous faisons appel aux tiers suivants pour fournir le service, et nous employons des moyens contractuels pour exiger un niveau de protection comparable. Ce sont les seuls ; si cela change, cette liste change aussi.

Vercel: Hébergement de l’application et traitement des requêtes.
Supabase: Base de données, authentification et stockage de fichiers, dans la région ca-central-1 (Canada Central).
Stripe: Calcul des taxes, traitement des paiements et facturation des abonnements. Stripe recueille directement les renseignements de carte de paiement et Incleus ne les reçoit jamais.
Anthropic: Lecture des reçus et des photos d’odomètre téléversés. Lorsque vous en téléversez un, l’image est transmise à Anthropic pour que ses postes ou son relevé soient proposés, et elle est traitée à l’extérieur du Canada. Rien de ce qui en revient ne devient un coût tant qu’une personne ne l’a pas vérifié. Si vous préférez qu’aucune image ne quitte le pays, saisissez les coûts et les relevés à la main — chaque écran qui offre l’extraction accepte aussi la saisie.
Resend: Livraison des courriels transactionnels, y compris les documents que vous envoyez à vos clients.

5. Où vos données sont conservées

Vos données de compte, d’entreprise et vos documents financiers, ainsi que les documents que vous téléversez, sont conservés et traités dans la région ca-central-1 (Canada Central) par l’intermédiaire de Supabase. Deux sous-traitants travaillent à l’extérieur du Canada : Stripe, pour les paiements et le calcul des taxes, et Anthropic, pour la lecture des images téléversées. Les renseignements qu’ils traitent sont assujettis aux lois des juridictions où ce traitement a lieu.

6. Combien de temps nous les conservons

Nous ne conservons les renseignements personnels que le temps requis par leur finalité. Les documents financiers sont l’exception qui façonne tout le reste : la tenue de documents de type ARC s’étend sur environ six ans, de sorte qu’Incleus annule et supprime de façon logique plutôt que de détruire. Une demande de suppression retire les renseignements personnels des clients de l’usage courant tout en préservant l’intégrité du dossier financier historique. Une facture émise ne peut jamais être modifiée par la suite, pas même par nous.

7. Déclaration des atteintes

Incleus tient un registre interne des incidents de sécurité. Si une atteinte visant des renseignements personnels dont nous avons la gestion crée un risque réel de préjudice grave, nous en aviserons le Commissariat à la protection de la vie privée du Canada ainsi que chaque personne touchée dès qu’il sera raisonnablement possible de le faire.

8. Ce que nous ne faisons pas

Ce ne sont pas des intentions. Chacun de ces points est une règle appliquée par le logiciel, et en changer un exigerait de modifier la base de données, pas cette page.

Nous ne vendrons, ne louerons, ne concéderons ni n’échangerons jamais vos données ou celles de vos clients, à des fins de marketing comme à toute autre fin et à quelque prix que ce soit. Cet engagement survit à toute vente, fusion ou réorganisation d’Incleus : un acquéreur reçoit vos dossiers assujettis à celui-ci, ou ne les reçoit pas du tout.
Nous ne regroupons pas vos dossiers avec ceux d’autres entreprises, et nous n’exploitons aucun service de cotation, de notation ou de réputation entre clients.
Nous ne laissons jamais une lecture automatisée devenir un coût d’elle-même — une personne confirme chaque montant extrait avant l’enregistrement.
Nous ne produisons aucun montant de taxes dues. Nous rapportons les taxes perçues et les taxes payées comme deux faits distincts ; ce qui est dû est une détermination qui vous revient, à vous et à votre comptable.
Nous n’utilisons aucun traceur publicitaire ni aucun outil d’analyse tiers à l’intérieur de l’application.
Nous ne lisons pas vos dossiers pour examiner un problème à moins que vous n’ayez demandé de l’aide et donné votre accord, et alors uniquement dans la mesure nécessaire pour le régler — et nous vous disons ce que nous avons eu besoin de consulter. Contrairement aux quatre points précédents, celui-ci est une règle que nous nous imposons plutôt qu’une règle appliquée par la base de données : une clé d’administration peut atteindre vos dossiers, et c’est précisément pourquoi l’engagement est écrit et pourquoi les registres d’exportation et de consultation existent.

9. Vos droits

Vous pouvez accéder aux renseignements personnels que nous détenons à votre sujet, en contester l’exactitude et nous demander de les corriger. Vous pouvez exporter vos propres dossiers à tout moment au moyen de l’exportation comptable, sans nous le demander. Les demandes sont traitées dans les 30 jours.

10. Contester notre conformité

Si vous estimez que nous avons manqué à la présente politique ou à la LPRPDE, écrivez à privacy@incleus.com et nous vous répondrons. Si une préoccupation n’est pas résolue à votre satisfaction, vous avez le droit de porter plainte auprès du Commissariat à la protection de la vie privée du Canada.