AEVION — POLITIQUE DE CONFIDENTIALITÉ

Date d'entrée en vigueur : 12 juillet 2026 Dernière mise à jour : 3 août 2026 Version : 1.3

1. INTRODUCTION

La présente Politique de confidentialité explique comment Technologies Aevion Inc. (« Aevion », « nous », « notre » ou « nos ») recueille, utilise, communique, conserve, protège et traite les renseignements personnels lorsque vous accédez au Service ou l'utilisez. La présente Politique de confidentialité s'applique aux renseignements personnels recueillis par l'entremise du site Web, de l'application, des produits, des fonctionnalités, des communications et de tout service connexe d'Aevion.

La présente Politique de confidentialité est conçue pour respecter la *Loi sur la protection des renseignements personnels dans le secteur privé* du Québec (« Loi 25 »), la *Loi sur la protection des renseignements personnels et les documents électroniques* fédérale canadienne (« LPRPDE »), et, pour les personnes situées dans l'Union européenne, le *Règlement général sur la protection des données* (« RGPD »).

En utilisant le Service, vous reconnaissez avoir pris connaissance de la présente Politique de confidentialité. Lorsque la loi applicable l'exige, nous obtiendrons votre consentement ou nous nous fonderons sur une autre base légale applicable au traitement des renseignements personnels.

2. CHAMP D'APPLICATION

La présente Politique de confidentialité s'applique aux renseignements personnels concernant les utilisateurs, titulaires de compte, membres d'espaces de travail, visiteurs, prospects, clients, contractants et autres personnes dont Aevion peut traiter les renseignements personnels dans le cadre du Service.

La présente Politique de confidentialité ne s'applique pas aux renseignements anonymisés ou agrégés de manière à ne plus permettre d'identifier raisonnablement une personne, sauf si le droit applicable en dispose autrement.

3. RENSEIGNEMENTS PERSONNELS QUE NOUS RECUEILLONS

Nous pouvons recueillir les catégories de renseignements personnels suivantes :

• Les identifiants, tels que le nom, l'adresse courriel, le numéro de téléphone, l'adresse postale, le nom d'utilisateur et les identifiants de connexion.
• Les renseignements liés au compte et au profil, tels que le nom de l'espace de travail, le rôle, les préférences et les paramètres.
• Les renseignements relatifs au paiement et à la facturation, tels que l'historique des abonnements, les factures, les métadonnées de transaction et certains renseignements de paiement traités par notre prestataire de services de paiement.
• Les données techniques et relatives à l'appareil, telles que l'adresse IP, le type de navigateur, le système d'exploitation, les identifiants d'appareil, la langue, les horodatages, les journaux et les données d'utilisation.
• Le contenu et les communications, tels que les messages, notes, documents, tâches, éléments de calendrier, fichiers, entrées vocales et communications avec le soutien.
• Les données financières, lorsque vous choisissez de connecter des comptes financiers ou d'utiliser des fonctionnalités financières, y compris les métadonnées de compte, soldes, transactions, données de catégorisation et renseignements similaires fournis par des prestataires tiers.
• Les renseignements inférés et dérivés de l'utilisation, tels que les préférences, priorités, modèles comportementaux et autres renseignements issus de l'utilisation du Service.
• Les données de soutien et d'authentification, telles que les renseignements de vérification, les dossiers de communication et les événements de connexion.
• Tout autre renseignement que vous choisissez de transmettre par l'intermédiaire du Service ou de nos canaux de soutien.

4. SOURCES DES RENSEIGNEMENTS PERSONNELS

Nous recueillons les renseignements personnels auprès des sources suivantes :

• Directement auprès de vous, lorsque vous créez un compte, utilisez le Service, soumettez du contenu, communiquez avec le soutien ou interagissez autrement avec nous.
• Automatiquement, par l'intermédiaire de votre appareil, de votre navigateur, de l'application, des cookies, des journaux et de technologies similaires.
• Auprès de tiers, notamment des prestataires de services de paiement, d'analytique, d'authentification, de connexion bancaire et d'autres fournisseurs que vous autorisez.
• Gmail (connexion optionnelle et distincte) : si vous connectez explicitement votre compte Gmail (Paramètres → Intégrations), Aevion demande un accès envoi (`gmail.send`) afin que l'IA puisse envoyer, en votre nom, les courriels que vous approuvez. Aevion ne demande ni n'utilise actuellement d'accès en lecture à votre boîte de réception. Nous ne demandons ni n'utilisons aucune portée permettant de lire vos contacts. Vous pouvez vous déconnecter à tout moment; nous cessons alors de pouvoir envoyer en votre nom et supprimons le jeton d'accès stocké.
• Google Calendar (connexion optionnelle et distincte) : si vous connectez explicitement votre Google Calendar (Paramètres → Intégrations), Aevion demande un accès lecture seule (`calendar.readonly`) afin d'importer vos événements existants dans votre calendrier Aevion, où ils apparaissent aux côtés de vos tâches et événements Aevion. Les événements importés sont conservés dans votre compte Aevion comme tout autre élément de calendrier. Vous pouvez vous déconnecter à tout moment; nous cessons alors d'importer de nouveaux événements et supprimons le jeton d'accès stocké (les événements déjà importés restent dans votre compte à moins que vous ne les supprimiez).
• Auprès des administrateurs d'espaces de travail ou d'autres utilisateurs, lorsque votre accès ou votre participation à un espace de travail est géré ou initié par une autre personne.
• À partir de sources publiques, lorsque la loi le permet.

4.1 Services d'API Google — déclaration d'usage limité (« Limited Use »)

L'utilisation et le transfert par Aevion des informations reçues des API Google respectent la Politique relative aux données utilisateur des services d'API Google, y compris les exigences d'usage limité (« Limited Use »).

Plus précisément, et sans limiter ce qui précède :

• Nous utilisons les données utilisateur Google uniquement pour fournir ou améliorer des fonctionnalités visibles par l'utilisateur et bien en évidence dans l'interface d'Aevion — envoyer un courriel que vous avez approuvé, et afficher vos événements Google Calendar dans votre calendrier Aevion. Nous ne les utilisons à aucune fin que vous n'avez pas demandée.
• Nous ne transférons pas les données utilisateur Google à des tiers, sauf (a) dans la mesure nécessaire pour fournir ou améliorer ces fonctionnalités visibles par l'utilisateur, (b) pour nous conformer à la loi applicable, ou (c) dans le cadre d'une fusion, d'une acquisition ou d'une vente d'actifs, auquel cas nous en aviserons les utilisateurs concernés conformément à la loi. Les seuls transferts relevant du point (a) sont ceux vers les fournisseurs d'IA énumérés à la Section 9 : notre fournisseur de modèle de langage, pour le contenu strictement nécessaire à la génération de la réponse que vous avez demandée, au moment où vous la demandez, et notre fournisseur d'embeddings, pour le texte des événements de calendrier importés, afin que ces événements soient repérables par la recherche d'Aevion.
• Nous n'utilisons pas les données utilisateur Google à des fins publicitaires, y compris la publicité personnalisée, le reciblage ou la publicité par centres d'intérêt. Aevion n'affiche aucune publicité.
• Nous n'utilisons pas les données utilisateur Google pour entraîner, réentraîner ou affiner des modèles d'IA généralisés ou fondationnels, qu'ils soient les nôtres ou ceux d'un tiers. Voir la Section 8.
• Nous ne permettons pas à des personnes de lire les données utilisateur Google, sauf : (a) avec votre consentement préalable et explicite pour des messages ou événements précis, par exemple lorsque vous demandez à notre équipe de soutien d'examiner un problème; (b) lorsque cela est nécessaire à des fins de sécurité, comme l'examen d'un abus ou d'une atteinte présumée; (c) pour nous conformer à la loi applicable; ou (d) lorsque les données ont été agrégées et dépersonnalisées de sorte qu'elles ne vous identifient plus, à des fins d'exploitation interne telles que la mesure de fiabilité.

5. FINALITÉS D'UTILISATION

Nous pouvons utiliser les renseignements personnels aux fins suivantes :

• Créer, gérer et sécuriser les comptes et les abonnements.
• Fournir, exploiter, maintenir, personnaliser et améliorer le Service.
• Traiter les paiements, la facturation, les remboursements et les obligations fiscales.
• Authentifier les utilisateurs et prévenir la fraude, les abus, l'accès non autorisé et les incidents de sécurité.
• Fournir des fonctionnalités alimentées par l'IA, y compris la synthèse, la recherche, les recommandations, la transcription, la planification et d'autres fonctionnalités intelligentes.
• Envoyer des courriels en votre nom (uniquement si vous connectez Gmail, et uniquement pour les courriels que vous demandez ou approuvez — jamais automatiquement sans votre configuration; voir la Section 4).
• Importer vos événements Google Calendar dans Aevion (uniquement si vous connectez Google Calendar; voir la Section 4).
• Analyser l'utilisation, diagnostiquer les problèmes et améliorer la performance du produit.
• Communiquer avec vous au sujet du Service, y compris le soutien, les mises à jour, les avis et les messages administratifs.
• Respecter les obligations légales, réglementaires, fiscales, comptables et contractuelles.
• Faire respecter les Conditions d'utilisation, la Politique d'usage acceptable et les autres politiques applicables.
• Protéger les droits, les biens, la sécurité et la sûreté d'Aevion, de nos utilisateurs et de tiers.
• Pour toute autre fin divulguée au moment de la collecte ou autrement permise par la loi.

6. FONDEMENT LÉGAL DU TRAITEMENT

Lorsque le droit applicable (y compris le RGPD) nous oblige à identifier un fondement légal pour une activité de traitement donnée, le tableau suivant s'applique. Cela ne remplace pas les droits que vous confèrent la Loi 25 ou la LPRPDE, qui s'appliquent indépendamment de ce tableau.

Lorsque le traitement repose sur votre consentement, vous pouvez le retirer en tout temps tel que décrit à la Section 13; cela n'affecte pas la légalité du traitement effectué avant le retrait, et peut limiter ou empêcher votre utilisation de la fonctionnalité concernée par la suite. Lorsque le traitement repose sur notre intérêt légitime, vous disposez d'un droit d'opposition tel que décrit à la Section 13.

Le consentement n'est jamais déduit simplement de la poursuite de votre utilisation du Service — lorsque nous nous fondons sur le consentement, nous l'obtenons par un geste positif clair, spécifique et librement donné (par exemple, connecter une intégration ou accepter une bannière de cookies), jamais du silence ou de paramètres par défaut.

7. COOKIES ET TECHNOLOGIES SIMILAIRES

Nous utilisons des cookies, pixels, stockage local, stockage de session, SDK et technologies semblables pour exploiter et améliorer le Service, mémoriser les préférences, authentifier les sessions, analyser l'utilisation et soutenir la sécurité ainsi que la prévention de la fraude.

Certains cookies sont strictement nécessaires au fonctionnement du Service. D'autres peuvent nécessiter votre consentement selon le droit applicable et la finalité visée. Pour plus d'information, veuillez consulter notre Politique de cookies.

8. TRAITEMENT PAR IA ET FONCTIONNALITÉS AUTOMATISÉES

Le Service peut recourir à des technologies d'intelligence artificielle et d'apprentissage automatique pour traiter du contenu et générer des résultats, résumés, recommandations, classifications et résultats de recherche.

Dans la mesure permise par la loi, vous reconnaissez que :

• Les résultats générés par l'IA peuvent être inexacts, incomplets, biaisés ou obsolètes.
• Le traitement par IA peut nécessiter l'utilisation de votre contenu et des métadonnées connexes pour fournir la fonctionnalité demandée.
• Nous n'utilisons pas vos renseignements personnels pour entraîner des modèles fondamentaux de tiers, sauf divulgation claire de notre part et existence d'un fondement légal approprié.

Lorsqu'une décision est prise exclusivement par des moyens automatisés (sans intervention humaine significative) et produit des effets juridiques ou des effets similaires importants à votre égard, nous vous informerons, au moment de la décision, qu'elle a été rendue au moyen d'un traitement automatisé. Sur demande, et dans la mesure exigée par le droit applicable (y compris la Loi 25), nous fournirons également : les renseignements personnels utilisés pour rendre la décision, les principaux facteurs et paramètres l'ayant menée, votre droit de faire corriger les renseignements personnels inexacts utilisés dans la décision, et votre droit de présenter des observations à un membre de notre personnel habilité à réviser la décision. À la date d'entrée en vigueur de la présente Politique, nous considérons que les fonctionnalités d'IA d'Aevion (clavardage, Autopilot, analyses financières) n'atteignent pas ce seuil à elles seules — elles informent et assistent vos propres décisions plutôt que de décider quoi que ce soit à votre sujet de façon automatisée — mais cet engagement s'appliquera pleinement si cela devait changer.

9. COMMUNICATION DES RENSEIGNEMENTS PERSONNELS

Nous pouvons communiquer des renseignements personnels aux catégories de destinataires suivantes :

• Les prestataires de services et sous-traitants qui nous aident à héberger, maintenir, sécuriser, analyser, soutenir ou exploiter le Service. Les sous-traitants actuellement utilisés comprennent notamment : Resend (courriels transactionnels tels que les courriels de compte et de notification; États-Unis; entente de traitement des données conforme au RGPD), Google (API Gmail, API Google Calendar) (envoi de courriels en votre nom, uniquement si vous connectez votre compte Gmail — accès envoi, optionnel; importation de vos événements de calendrier, uniquement si vous connectez Google Calendar — accès lecture seule, optionnel; États-Unis; conditions de traitement des données de Google Cloud), OpenAI (traitement de votre contenu pour générer les réponses de clavardage IA, résumés et autres fonctionnalités alimentées par l'IA; États-Unis; conditions de traitement des données de l'API OpenAI), Voyage AI (génération d'embeddings sémantiques à partir de votre contenu — y compris vos tâches, projets, notes et événements de calendrier, qu'ils soient créés dans Aevion ou importés d'un calendrier connecté — afin que les fonctions de recherche et de suggestion d'Aevion puissent retrouver les éléments pertinents; États-Unis), Stripe (traitement des paiements et facturation des abonnements; États-Unis; conforme PCI-DSS, entente de traitement des données de Stripe), et Plaid (connexion bancaire optionnelle, uniquement si vous choisissez de lier un compte bancaire; États-Unis; entente de traitement des données de Plaid).
• Les processeurs de paiement, fournisseurs de facturation et prestataires de services fiscaux.
• Les fournisseurs d'authentification, de communication, d'analytique et d'infrastructure.
• Les fournisseurs de connexion bancaire ou de données financières, si vous choisissez d'utiliser ces fonctionnalités.
• Les conseillers professionnels, y compris les avocats, comptables, vérificateurs et assureurs.
• Les organismes de réglementation, autorités gouvernementales, tribunaux, forces de l'ordre ou autres tiers lorsque la loi l'exige ou le permet.
• Les parties impliquées dans une opération corporative, telle qu'une fusion, un financement, une acquisition, une réorganisation ou une vente d'actifs.
• Les autres utilisateurs ou membres d'un espace de travail, dans la mesure nécessaire au fonctionnement de l'espace de travail partagé ou selon vos instructions.

Nous ne vendons pas les renseignements personnels au sens courant du terme. Si le droit applicable considère certaines communications comme une vente ou un partage, nous fournirons les avis et mécanismes de retrait requis.

10. TRANSFERTS TRANSFRONTALIERS

Vos renseignements personnels peuvent être traités et stockés au Québec, au Canada, aux États-Unis ou dans d'autres juridictions où nous ou nos fournisseurs exerçons nos activités. Les sous-traitants énumérés à la Section 9 sont situés aux États-Unis.

Lorsqu'un transfert de renseignements personnels a lieu à l'extérieur de votre juridiction, ceux-ci peuvent être assujettis aux lois de cette autre juridiction. Nous nommons le mécanisme utilisé pour chaque type de transfert plutôt que de décrire nos mesures de protection uniquement en termes généraux :

• Transferts vers nos prestataires de services (Section 9), pour la plupart situés aux États-Unis : régis par l'entente de traitement des données conclue avec ce prestataire, laquelle — pour les transferts assujettis au RGPD — intègre les clauses contractuelles types (CCT) adoptées par la Commission européenne comme mécanisme de transfert.
• Transferts assujettis à la Loi 25 du Québec : avant toute communication de renseignements personnels à l'extérieur du Québec, nous procédons à une évaluation des facteurs relatifs à la vie privée (« ÉFVP ») conformément à l'article 17 de la Loi 25, afin d'évaluer si les renseignements bénéficieront d'une protection équivalente à celle dont ils bénéficieraient au Québec. Il s'agit d'un document interne, non publié, mais disponible sur demande à l'autorité de réglementation compétente.

Pour obtenir plus de détails sur les mesures de protection applicables à un transfert précis, communiquez avec nous à privacy@aevion.io.

11. CONSERVATION DES RENSEIGNEMENTS

Nous conservons les renseignements personnels uniquement pendant la durée nécessaire aux fins décrites dans la présente Politique de confidentialité, pour nous conformer à nos obligations légales, résoudre des différends, faire respecter les ententes et tenir les dossiers d'affaires légitimes.

Les périodes de conservation varient selon le type d'information, la sensibilité des données, nos obligations légales et les fins de la collecte. Lorsque les renseignements personnels ne sont plus requis, nous les supprimons, les anonymisons ou les détruisons de façon sécuritaire, sous réserve du droit applicable et des limites techniques.

Par exemple :

• Connexion Gmail (jeton d'accès chiffré) : conservé jusqu'à ce que vous déconnectiez Gmail ou fermiez votre compte.
• Registre des courriels envoyés en votre nom via Gmail (destinataire, objet, corps, statut, horodatage) : conservé afin que vous puissiez consulter votre propre historique d'envoi dans Aevion — il s'agit d'une copie de ce que Gmail conserve également dans votre dossier Envoyés.
• Connexion Google Calendar (jeton d'accès chiffré) : conservé jusqu'à ce que vous déconnectiez Google Calendar ou fermiez votre compte.
• Événements importés depuis Google Calendar : conservés comme tout autre événement de calendrier Aevion, jusqu'à ce que vous les supprimiez ou que vous fermiez votre compte. Vous déconnecter de Google Calendar ne supprime pas les événements déjà importés — cela cesse seulement d'en importer de nouveaux; les événements déjà présents dans votre compte y restent jusqu'à ce que vous les supprimiez vous-même. Tant que la connexion est active, une synchronisation retire également les événements déjà importés qui ont depuis été supprimés du côté Google.

12. SÉCURITÉ

Nous mettons en place des mesures de protection administratives, techniques et physiques raisonnables conçues pour protéger les renseignements personnels contre l'accès, la communication, la perte, l'utilisation abusive ou la modification non autorisés. Toutefois, aucun système ne peut être garanti comme étant totalement sécurisé.

Vous êtes responsable de la protection de vos identifiants de connexion et devez nous aviser sans délai si vous croyez que votre compte a été compromis.

Notification en cas d'atteinte. Si un incident de sécurité entraîne une atteinte à la confidentialité touchant des renseignements personnels, nous tenons un registre interne des incidents (non publié) consignant chaque atteinte, et nous avisons les personnes concernées ainsi que, le cas échéant, l'autorité compétente (y compris la Commission d'accès à l'information du Québec, et, pour les personnes situées dans l'Union européenne, l'autorité de contrôle compétente) dans les délais exigés par le droit applicable — sans délai indu et, lorsque le RGPD s'applique, au plus tard 72 heures après en avoir pris connaissance, à moins que l'atteinte ne soit pas susceptible d'engendrer un risque pour vos droits. En vertu de la Loi 25, nous avisons les personnes concernées et la CAI dès que raisonnablement possible lorsque l'atteinte présente un risque de préjudice sérieux.

13. VOS DROITS

Sous réserve du droit applicable, vous pouvez avoir le droit de :

• Accéder aux renseignements personnels que nous détenons à votre sujet.
• Demander la correction ou la rectification de renseignements inexacts, incomplets ou périmés.
• Retirer votre consentement lorsque le traitement repose sur le consentement et que le retrait est légalement possible.
• Demander l'effacement ou le déréférencement dans certaines circonstances.
• Vous opposer à certaines activités de traitement ou en limiter la portée.
• Recevoir une copie des renseignements personnels que vous nous avez fournis, dans un format structuré, couramment utilisé et lisible par machine, et, lorsque techniquement possible, la faire transmettre à une autre organisation (portabilité des données). Dans Aevion, cette fonction est accessible directement depuis l'application (Paramètres → Exporter mes données) ou sur demande.
• Demander des renseignements sur les communications, les transferts et les prestataires de services.
• Demander des précisions sur le traitement automatisé lorsque la loi l'exige.
• Déposer une plainte auprès d'une autorité de protection de la vie privée.

Pour exercer ces droits, écrivez-nous à privacy@aevion.io. Nous pourrions devoir vérifier votre identité avant de donner suite à votre demande. Nous répondrons dans le délai exigé par le droit applicable — généralement 30 jours en vertu de la Loi 25, un mois en vertu du RGPD (prolongeable de deux mois supplémentaires pour les demandes complexes, avec avis), et 45 jours en vertu du CCPA lorsqu'il s'applique.

14. ESPACES DE TRAVAIL ET CONTRÔLES ADMINISTRATEUR

Si vous utilisez le Service au sein d'un espace de travail, d'une équipe ou d'une organisation, l'administrateur ou le propriétaire de cet espace peut être en mesure d'accéder à certains contenus, paramètres, d'exporter certains renseignements ou de les supprimer, selon la configuration applicable et le droit en vigueur.

Votre utilisation d'un espace de travail peut être régie par des ententes contractuelles distinctes conclues avec le propriétaire ou l'administrateur de l'espace de travail.

15. ENFANTS

Le Service n'est pas destiné aux personnes de moins de 18 ans, et nous ne recueillons pas sciemment de renseignements personnels auprès de ces personnes. Si nous apprenons que nous avons recueilli des renseignements personnels d'une personne de moins de 18 ans, nous prendrons les mesures appropriées pour supprimer ou restreindre ces renseignements.

16. MODIFICATIONS DE LA PRÉSENTE POLITIQUE

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre. Si les modifications sont importantes, nous fournirons un avis par des moyens raisonnables, conformément au droit applicable. La poursuite de l'utilisation du Service après la date d'entrée en vigueur de la Politique de confidentialité modifiée vaut reconnaissance de la politique modifiée dans la mesure permise par la loi.

17. COORDONNÉES

Technologies Aevion Inc. 1-8251 boul. du Haut-Anjou, Anjou (Québec), H1J 1T8, Canada

Confidentialité : privacy@aevion.io Juridique : legal@aevion.io Sécurité : security@aevion.io

Responsable de la protection des renseignements personnels (au sens de l'article 3.1 de la Loi 25) : Jonathan Gamaliel Faustin, président — privacy@aevion.io

FIN DE LA POLITIQUE DE CONFIDENTIALITÉ