Règles de gouvernance des renseignements personnels

En vigueur le 3 novembre 2026. Ces règles disent comment Syel protège les renseignements personnels des personnes qui l'utilisent, du moment où ils sont recueillis jusqu'à leur destruction. Elles sont publiées en application de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (article 3.2). La politique de confidentialité dit ce qui est recueilli et pourquoi ; ce document dit qui en répond et comment.

Qui est responsable

Syel est une entreprise individuelle du Québec (NEQ 2282670977). Son fondateur, Ted Nsangou, est le responsable de la protection des renseignements personnels. Il est la seule personne chez Syel qui a accès aux systèmes. On le joint à [email protected].

Le responsable :

• approuve ces règles et les revoit au moins une fois par an, et à chaque changement important (nouveau fournisseur, nouvelle fonction qui touche aux renseignements) ;
• évalue les risques avant tout projet qui touche aux renseignements personnels ;
• traite les demandes d'accès, de rectification, de portabilité et de suppression, et les plaintes ;
• tient le registre des incidents de confidentialité.

Si Syel engage un jour d'autres personnes, chacune n'aura accès qu'à ce dont elle a besoin, s'engagera par écrit à la confidentialité et sera formée à ces règles avant tout accès.

Le cycle de vie des renseignements

Collecte. Syel ne recueille que ce qui sert le service : ce que la personne écrit, ce que Syel écrit pour elle (ses pages et ses schémas), sa langue, sa région et son fuseau horaire, et, seulement si elle le choisit, une adresse courriel et un prénom. Aucune analytique, aucun traceur, aucune publicité.

Utilisation. Ces renseignements servent à répondre à la personne, à écrire ses pages et à tenir son compte. Rien d'autre. Personne chez Syel ne lit les conversations : elles ne sont déchiffrées que pour répondre et écrire les pages, et aucun outil interne ne les affiche.

Communication. Pour écrire une réponse, le texte nécessaire est confié, le temps de la requête, à des fournisseurs d'intelligence artificielle, dont certains sont situés hors du Québec et du Canada. Ne partent jamais l'adresse courriel, l'identifiant du compte ni l'adresse IP. Les autres fournisseurs (hébergement, courriel, abonnement, notifications) ne reçoivent que ce que leur rôle demande. Aucun renseignement n'est vendu.

Conservation. Tout ce que la personne écrit est conservé chiffré, avec une clé propre à son compte, elle-même scellée par une clé maîtresse gardée hors de la base de données. Les conversations restent lisibles tant que la personne les garde ; elle peut choisir qu'elles s'effacent d'elles-mêmes au-delà de la fenêtre de son forfait. Les données sont hébergées au Canada. Des copies de sauvegarde de la base sont gardées par le responsable sur un support privé ; ce que la personne a écrit y reste chiffré.

Destruction. La personne supprime elle-même, à tout moment et sur-le-champ, ses conversations ou son compte entier, dans Réglages, Compte. La suppression du compte détruit aussi la clé qui déchiffrait ses textes, ce qui les rend illisibles pour toujours. Une copie de sauvegarde faite avant la suppression peut encore contenir le compte, chiffré, jusqu'à ce qu'elle soit remplacée, au plus 60 jours. Le registre des dépenses garde ses lignes (modèle, nombre de jetons, coût), mais sans aucun lien vers la personne. Un compte de mineur découvert est supprimé.

Protection par défaut

Les réglages par défaut sont les plus protecteurs : aucune adresse courriel n'est demandée pour commencer, aucune notification n'est envoyée sans accord, et aucune notification ne montre ce que la personne a écrit.

Avant tout nouveau projet

Avant d'ajouter un fournisseur, de communiquer des renseignements hors du Québec, ou de lancer une fonction qui touche aux renseignements personnels, le responsable évalue les risques pour la vie privée : la sensibilité des renseignements, la finalité, les mesures de protection, et, pour une communication hors du Québec, le régime juridique du lieu de destination. Chaque fournisseur qui traite des renseignements est lié par une entente écrite qui limite leur usage au service rendu à Syel.

Incidents de confidentialité

Un accès, une utilisation ou une communication non autorisés, ou une perte de renseignements, est un incident. Quand il arrive, le responsable :

1. prend sans attendre les mesures pour réduire le préjudice et éviter que ça

recommence ;

2. évalue le risque de préjudice sérieux ;

3. si ce risque existe, avise sans délai la Commission d'accès à l'information et

chaque personne concernée ;

4. l'inscrit dans le registre des incidents, dans tous les cas, et l'y garde

5 ans.

Demandes et plaintes

Toute personne peut demander l'accès à ses renseignements, leur rectification, leur portabilité ou leur suppression, retirer son consentement, ou porter plainte sur la façon dont Syel traite ses renseignements.

• Plusieurs de ces gestes sont déjà des boutons dans l'application : exporter ses données, supprimer ses conversations, supprimer son compte.
• Pour le reste, ou pour une plainte, écrire à [email protected]. Le responsable accuse réception, examine la demande et répond par écrit dans les 30 jours. La réponse dit ce qui a été fait, ou pourquoi une demande est refusée.
• La personne qui n'est pas satisfaite peut s'adresser à la Commission d'accès à l'information du Québec (cai.gouv.qc.ca).

Nous joindre

Ted Nsangou, responsable de la protection des renseignements personnels [email protected] Syel (NEQ 2282670977), 1625, boulevard De Maisonneuve Ouest, Montréal (Québec) H3H 2N4, Canada