Des mesures à la hauteur de ce qu'elles protègent

Ce qui est en place En vigueur

Hébergement au Québec

La plateforme, sa base de données, ses fichiers, ses courriels et ses textos transactionnels sont hébergés chez Amazon Web Services, à Montréal. Les exceptions, déclarées dans notre politique de confidentialité, sont Google pour les adresses et les cartes, Stripe pour le paiement des courtiers et, à la demande d'un courtier, Meta pour Instagram.

Chiffrement de chaque renseignement

• En transit : toutes les pages, tous les formulaires et tous les échanges avec la plateforme passent en HTTPS.
• Au repos, champ par champ : chaque nom, courriel, téléphone, adresse, position, message, note, rendez-vous, référence de contrat et jeton d'accès est chiffré par la plateforme, en AES-256-GCM, avant d'être enregistré. La base de données ne voit que des octets illisibles. AES-256-GCM est l'algorithme retenu notamment par la suite CNSA de la NSA pour protéger l'information classifiée jusqu'au niveau Très secret.
• Des clés par portée : chaque courtier a ses propres clés, chaque site aussi, chaque compte aussi, et chaque dossier qu'un courtier doit conserver par la loi. Une clé ne peut ouvrir que sa portée : celle d'un courtier ne lit jamais les données d'un autre.
• Une clé maîtresse dans un module matériel : ces clés sont elles-mêmes chiffrées par une clé maîtresse gardée dans AWS Key Management Service, à Montréal, avec une copie de secours à Calgary. Elle ne sort jamais du module matériel (HSM) : la plateforme lui confie une clé à ouvrir, il la rend, et chaque appel est journalisé. Elle tourne automatiquement aux 90 jours.
• Un chiffré ne se déplace pas : chaque renseignement chiffré est lié à sa place (table, colonne, ligne et portée). Copié ailleurs dans la base, il devient illisible, et l'essai déclenche une alerte.
• Des empreintes plutôt que des valeurs : pour reconnaître une personne (ne plus la solliciter, éviter un doublon, la retrouver dans une recherche), la plateforme garde une empreinte HMAC-SHA256 calculée avec une clé secrète propre à chaque courtier. Deux courtiers obtiennent des empreintes différentes pour la même personne : aucune liste ne peut être croisée avec une autre.
• Aucun jeton en clair : les jetons de session, les codes de connexion et les liens d'accès ne sont jamais conservés : seulement leur empreinte.

Destruction cryptographique

Quand un compte est supprimé, quand un site fermé arrive au bout de sa quarantaine, ou quand un dossier conservé par obligation légale arrive à échéance, la plateforme supprime les renseignements, puis détruit la clé qui les protégeait. Ce qui aurait pu en rester, même dans une sauvegarde, devient illisible d'un seul geste. Chaque destruction est inscrite au journal d'audit.

Rien de confidentiel par courriel

Quand une demande arrive, le courtier reçoit un avis qui ne contient que des renseignements masqués (par exemple, un prénom tronqué et une partie du courriel), sans lien cliquable. Pour voir le détail, il doit se connecter à la plateforme. Ce choix ferme la porte la plus fréquente des fuites dans notre industrie : les boîtes courriel transférées, partagées, piratées ou simplement conservées pour toujours.

Accès et authentification

• Connexion par code à usage unique envoyé par courriel ou par texto, valide 10 minutes, conservé sous forme d'empreinte, avec un nombre limité de tentatives, après une vérification qui écarte les robots.
• Sessions à durée limitée, expirées après inactivité et au plus 12 heures après la connexion, liées à votre navigateur par un témoin dédié (une session copiée ailleurs ne fonctionne pas), et protégées contre la falsification de requêtes.
• Cloisonnement strict entre courtiers : chaque requête est vérifiée contre les droits de l'utilisateur sur le site concerné. Au sein d'une équipe, chacun ne voit que ce que son rôle permet, et chaque consultation d'une demande est consignée.
• Les comptes de service de la plateforme ne peuvent pas se connecter.
• Aucun mot de passe de production, aucune clé, aucun secret dans notre code source : ils vivent dans des coffres dédiés, et notre administration de l'infrastructure se fait dans la console, sans exporter de secret sur un poste de travail. Toute modification de la clé maîtresse déclenche une alerte.

Un journal d'audit scellé

• Les actions importantes (connexion, consultation et prise en charge d'une demande, modification d'une politique de conservation, destruction, changement de configuration) sont inscrites dans un journal d'audit. Il ne contient aucun renseignement personnel : des identifiants, des états et des dates ; l'adresse IP de l'acteur y est chiffrée, puis effacée après 90 jours.
• Chaque ligne est scellée par une empreinte avec clé, et chaque journée reçoit un sceau ; chaque semaine, tout est recalculé. Une ligne modifiée, retirée ou ajoutée après coup est détectée.
• La base de données elle-même refuse de modifier ou de supprimer une ligne d'audit avant la fin de sa durée de conservation.
• Nos journaux techniques ne contiennent ni adresse IP, ni courriel, ni message d'erreur brut.

Détection des incidents

Un renseignement chiffré qui refuse de s'ouvrir, une clé que le module ne rend pas, ou un journal d'audit altéré ouvrent d'office une entrée à évaluer dans notre registre des incidents de confidentialité, et notre responsable en est avisé. La suite est décrite dans Gouvernance.

Notre préparation

Nous nous préparons à ce qui peut mal tourner, pas seulement à ce qui va bien :

• Une procédure écrite de réponse aux incidents de confidentialité, et un exercice complet chaque année.
• Une alarme sur toute modification de nos clés de chiffrement, reçue en moins d'une minute.
• Des sauvegardes chiffrées de la base de données, et une procédure de restauration.
• Un soutien technique spécialisé, y compris un assistant d'intelligence artificielle, pour analyser une panne ou une anomalie, à partir de journaux qui ne contiennent aucun renseignement personnel.
• Une fiche de sécurité tenue à jour, gardée aussi hors ligne, et révisée chaque année.

Vérification des courtiers

Le permis de l'OACIQ de chaque courtier est vérifié à son inscription, puis chaque année. Sur Loi 16 expliquée, une demande n'est transmise qu'à un courtier dont le permis est valide, dont la vérification est à jour et qui a adhéré volontairement au réseau.

Conservation appliquée par la machine

La durée annoncée dans le formulaire est inscrite dans la demande au moment où vous la soumettez. Des tâches quotidiennes détruisent les demandes, les dossiers, les comptes et les traces échus ; la plateforme ne permet à personne de prolonger une durée déjà promise (art. 23). Les durées sont dans notre politique de confidentialité.

« Vérifier cet appareil »

Les formulaires de demande reçoivent des envois automatisés et frauduleux, souvent au nom de personnes qui n'ont rien demandé. Pour les bloquer, nous vérifions que la demande vient d'un vrai navigateur utilisé par une personne.

• Ce qui est analysé : des caractéristiques techniques du navigateur (taille de l'écran, fuseau horaire, façon d'afficher le texte et les graphiques), combinées en une empreinte calculée avec une clé secrète ; pendant la saisie, des indices de comportement (temps de saisie, mouvements, collages). Rien de tout cela ne contient votre nom ni vos coordonnées.
• Quand : par défaut, seulement après que vous ayez cliqué sur « Vérifier cet appareil », le texte d'information étant affiché à côté du bouton (art. 8.1).
• Pourquoi : uniquement pour prévenir et détecter la fraude (art. 12). Jamais pour de la publicité, jamais vendu, jamais partagé avec des tiers.
• Combien de temps : l'empreinte d'un appareil est effacée 90 jours après sa dernière utilisation, ou un an si elle est liée à un envoi frauduleux, pour bloquer ce même appareil.

Nous ne proposons pas d'outil public pour « vérifier » son appareil : une empreinte d'appareil n'identifie pas une personne de façon unique, et un tel outil renseignerait surtout les fraudeurs sur ce que nous détectons.

Décisions automatisées

Chaque soumission reçoit automatiquement un score de qualité et de risque. Une soumission qui présente les signes d'un envoi automatisé ou frauduleux peut être retenue au lieu d'être transmise à un courtier. Ce score ne sert jamais à juger une personne, son projet ou sa solvabilité : seulement à vérifier qu'une vraie personne a fait la demande.

Conformément à l'article 12.1, si une telle décision vous concerne, vous pouvez nous écrire pour connaître les renseignements utilisés, les raisons et les principaux facteurs qui l'ont fondée, faire rectifier un renseignement et présenter vos observations à une personne de notre équipe qui peut réviser la décision. Écrivez à support@conversion.realestate.

Ce que nous ne prétendons pas

Aucune mesure n'est absolue. Une application compromise pendant qu'elle fonctionne aurait accès aux clés qu'elle utilise : nous réduisons ce risque par le moindre privilège, des clés gardées peu de temps en mémoire, des limites de débit et l'audit des consultations. Les courriels et les textos, eux, transitent par les réseaux de leurs destinataires : c'est pourquoi ils ne contiennent rien de confidentiel.

Nos engagements

Réalisés En vigueur

1. Chiffrement applicatif de tous les renseignements personnels au repos, sous des clés propres à chaque courtier, à chaque site et à chaque compte.
2. Chiffrement des jetons d'accès des services reliés (Instagram et Google).
3. Destruction cryptographique à la suppression d'un compte, à la fin d'un site et à l'échéance d'un dossier conservé par obligation légale.
4. Évaluation des facteurs relatifs à la vie privée pour chaque fournisseur qui reçoit des renseignements hors du Québec (art. 17), conclue par notre responsable le 25 octobre 2026, avant toute collecte.
5. Entente de service écrite avec chaque courtier (art. 18.3) : l'annexe A de nos conditions d'utilisation.
6. Registre des incidents de confidentialité et procédure écrite (art. 3.5 à 3.8).
7. Traceurs des sites de courtiers sous consentement, refusés par défaut.

En cours En construction

1. Une revue juridique ciblée de nos politiques et de nos conditions d'utilisation par un avocat.
2. Un exercice d'incident chaque année, de bout en bout, dont le premier se tiendra après la publication de ces politiques.