Politique de confidentialité

1. Portée et responsable

La présente politique explique comment LoonieLodge Inc. traite les renseignements personnels dans le cadre de LOONIELODGE. Nous sommes l'organisation responsable de vos renseignements personnels en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada et, pour les résidents du Québec, de la Loi sur la protection des renseignements personnels dans le secteur privé (« Loi 25 »).

2. Renseignements que nous recueillons

• Renseignements de compte : nom, adresse courriel, mot de passe (stocké uniquement sous forme de hachage sécurisé), préférence de langue, paramètres d'authentification à deux facteurs, ainsi que la date à laquelle vous avez accepté les présents documents et la version acceptée.
• La province ou le territoire où vous habitez, si vous nous le dites. Ce renseignement n'est pas pour vous : nous le demandons afin de voir dans quelles provinces se trouvent nos membres, et c'est son seul usage. La réponse est facultative et vous pouvez l'effacer à tout moment dans vos réglages; si vous la laissez vide, nous ne la devinons à partir de rien d'autre et vous êtes compté comme « non précisée ». Il ne s'agit jamais que d'un dénombrement — aucune fonction ne le lit, il ne change rien à ce que vous voyez ni à ce que vous payez, et il n'est communiqué à personne.
• Renseignements hypothécaires et immobiliers : prêteur, taux, soldes, termes, paiements, remboursements, le surnom et la valeur estimative que vous donnez à une propriété, son occupation, la province ou le territoire où elle se trouve, l'assurance et les chiffres connexes que vous saisissez — y compris ce qu'il vous en coûte de la posséder : taxe foncière, frais de copropriété, chauffage et assurance habitation. Tous ces champs sont facultatifs et nous ne les avons que si vous les saisissez. La province d'une propriété sert à estimer vos frais de clôture et à nommer les bons formulaires de fin d'année si vous la louez, et à rien d'autre. Nous ne demandons ni ne conservons l'adresse municipale d'une propriété.
• Estimations de capacité d'emprunt : si vous utilisez le calculateur et choisissez d'enregistrer une estimation, nous conservons les chiffres que vous avez saisis — revenu du ménage, paiements de dettes mensuels et mise de fonds — mais jamais le résultat, qui est recalculé chaque fois que vous le consultez. Les estimations que vous enregistrez vous sont privées. Si votre compte est géré par un partenaire, les analyses que votre courtier prépare pour vous sont distinctes et visibles par lui, et vous pouvez les supprimer à tout moment.
• Plans que vous activez : si vous transformez une simulation enregistrée en plan, nous conservons les leviers auxquels vous vous êtes engagé, les dates auxquelles vous avez dit vouloir agir, et si chaque étape a été menée à bien. Il s'agit d'un registre de ce que vous comptez faire de votre propre argent : nous le gardons pendant que le plan est en cours et deux ans après sa fin, et nous l'utilisons pour une seule fin — vous rappeler chaque échéance, dans l'application et par courriel. Vous pouvez suspendre les rappels sans perdre le plan, y mettre fin à tout moment, et désactiver entièrement les courriels depuis vos préférences de notification. Nous ne gardons jamais de seconde copie de l'argent : une étape est marquée comme faite par le remboursement anticipé que vous enregistrez sur l'hypothèque elle-même.
• Renseignements sur les coemprunteurs : noms et adresses courriel d'autres personnes liées à un prêt que vous saisissez.
• Dossiers que vous restaurez depuis un export : si vous ouvrez un export LOONIELODGE pour récupérer vos hypothèques — changement de compte, ou retour après une fermeture — nous y lisons vos propriétés, hypothèques, termes, paiements, remboursements anticipés, changements de taux et fiches de coemprunteur, et nous les enregistrons comme de nouveaux dossiers dans votre compte. Cela n'ajoute aucune catégorie de renseignements au-delà de celles déjà énumérées ci-dessus ; ce qui diffère, c'est leur provenance, et nous consignons donc qu'une importation a eu lieu et son volume. Nous ne conservons pas le fichier, et nous ne restaurons rien qui constitue notre propre trace de ce que nous avons fait — notifications, facturation, demandes d'assistance, activité communautaire ou journal d'audit — ni rien qui affirmerait le consentement d'une autre personne.
• Renseignements de facturation : dossiers d'abonnement et de paiement. Les paiements par carte sont traités par Stripe; nous ne recevons ni ne stockons votre numéro de carte complet.
• Demandes de soutien : les messages que vous nous envoyez, ainsi que la note et les commentaires que vous laissez une fois la demande résolue. Le service de soutien n'accepte aucune pièce jointe, nous ne détenons donc aucun document que vous nous auriez transmis.
• Activité communautaire : les sujets, réponses et réactions que vous publiez — y compris ceux publiés de façon anonyme, qui sont masqués aux autres membres mais demeurent liés à votre compte à l'interne afin que l'espace puisse être modéré — de même que votre score de réputation, les signalements que vous faites et les membres que vous bloquez.
• Suggestions : les idées d'amélioration que vous nous envoyez et les idées pour lesquelles vous votez. Une suggestion est privée par défaut — vous seul et nos administrateurs pouvez la voir — et elle n'est jamais rendue publique sans votre accord, donné à l'avance ou en réponse à une demande. Lorsque vous donnez cet accord, vous choisissez si elle porte votre nom ou paraît de façon anonyme, et vous pouvez la retirer à tout moment tant qu'elle n'a pas reçu de réponse.
• Demandes de partenariat : si vous demandez à joindre notre programme de partenariat, votre nom légal (y compris tout second prénom), la province ou le territoire où vous êtes titulaire d'un permis, votre numéro d'inscription professionnelle et, facultativement, votre agence. Nous les recueillons dans un seul but — vous retrouver au registre public de votre organisme de réglementation et confirmer que vous détenez un permis — et nous vous demandons la permission d'effectuer cette vérification avant que vous n'envoyiez la demande. Seuls nos administrateurs les voient. Ils ne sont pas montrés aux clients, ne servent pas au marketing et ne sont communiqués à personne.
• Appareils et sessions : votre activité de connexion et, pour chaque appareil que vous connectez, son nom, sa plateforme, la version de l'application, sa dernière utilisation et son inscription aux notifications poussées.
• Renseignements de recommandation, si un programme de recommandation est en cours : le code de recommandation attribué à votre compte, le fait qu'un compte s'est inscrit au moyen du lien d'un autre compte, ainsi que les récompenses obtenues et le moment où elles l'ont été. Nous ne recueillons aucun renseignement sur votre carte de paiement à cette fin. Une version antérieure de ce programme offrait du temps d'abonnement gratuit et hachait la carte utilisée pour un premier paiement afin de détecter l'auto-recommandation; la récompense est maintenant une capacité supplémentaire sur le compte qui l'a obtenue, ce que personne ne gagne à falsifier, et cette collecte a été retirée plutôt que conservée au cas où.
• Données de sécurité et données techniques : adresses IP hachées servant à limiter les abus (nous ne conservons pas les adresses elles-mêmes), registres d'audit des actions sensibles sur votre compte, et témoins strictement nécessaires pour vous garder connecté et mémoriser votre langue.
• Utilisation de nos pages publiques : lorsque vous consultez une page accessible à tous — l'accueil, les tarifs, le calculateur gratuit — nous comptabilisons la visite et mesurons la vitesse d'affichage de la page. Cet enregistrement contient la page consultée, le site qui vous a dirigé ici, votre navigateur, votre type d'appareil et votre pays. Aucun témoin n'est déposé, aucun identifiant ne vous suit d'un jour à l'autre, et rien n'est chargé sur un écran nécessitant une connexion. Nous nous en servons pour voir quelles pages sont utiles et lesquelles sont trop lentes.

3. Pourquoi nous les utilisons et notre fondement

Nous utilisons vos renseignements, avec votre consentement, pour : créer et sécuriser votre compte; faire fonctionner le moteur hypothécaire, les simulations, les rappels et les avis sur votre progression de remboursement; alimenter l’assistant LLODGE à partir de vos propres chiffres; traiter la facturation de votre abonnement; vous envoyer des courriels de service et de notification; offrir du soutien; exploiter le forum communautaire; comprendre quoi construire ensuite à partir des suggestions que vous nous envoyez; administrer tout programme de recommandation et vérifier que les récompenses sont réellement méritées; et respecter nos obligations légales. Nous ne vendons pas vos renseignements personnels et ne les utilisons pas à des fins de publicité par des tiers.

4. Fournisseurs de services et partage

Nous ne partageons des renseignements personnels qu'avec des fournisseurs qui nous aident à exploiter le Service, en vertu de contrats qui limitent leur utilisation, et lorsque la loi l'exige. Nos principaux fournisseurs sont :

• Supabase (hébergement de base de données, Montréal, Canada) — stocke vos données de compte et hypothécaires.
• Vercel (hébergement de l'application, Montréal, Canada) — exécute l'application. Nous ne stockons aucun fichier téléversé, où que ce soit ; aucun stockage de fichiers ne figure donc dans cette liste.
• Stripe (paiements, États-Unis) — traite les abonnements et les paiements par carte.
• Apple (achats intégrés sur iOS, États-Unis) — vend et renouvelle les abonnements souscrits dans l’application iPhone, et nous indique s’ils sont actifs. Nous ne voyons jamais votre carte; Apple nous transmet un identifiant de transaction et l’état de l’abonnement.
• OpenAI (fonctions d'IA, États-Unis) — reçoit les chiffres hypothécaires à l'origine d'une réponse du conseiller, les questions que vous posez à l'assistant intégré, les chiffres à l'origine d'une notification de changement de taux de la Banque du Canada — y compris le nom de votre prêteur —, les publications et réponses communautaires lors de leur filtrage avant publication, le texte d'une suggestion lors de son filtrage à la recherche de renseignements personnels, le texte intégral d'un fil de demande de soutien lorsqu'une réponse est rédigée ou résumée pour le personnel, le texte provisoire d'un partenaire lorsque le bouton Peaufiner le retravaille — ce qui peut inclure le nom légal et le numéro de permis d'une demande de partenariat, ou une note au sujet d'un client nommé —, ainsi qu'une entrée de notre journal d'audit interne lorsqu'un administrateur l'ouvre pour en lire une explication en langage clair. Une entrée d'audit peut consigner une action effectuée sur votre compte; elle est masquée avant l'envoi, les adresses courriel étant occultées, ses détails caviardés et les identifiants d'enregistrement abrégés. Il s'agit de tous les circuits en production; tout nouveau circuit est ajouté ici dans le même changement qui le déploie.
• Resend (courriel, États-Unis) — livre les courriels de notification et de compte.
• Expo (notifications poussées, États-Unis) — reçoit le titre et le texte d'une notification si vous avez connecté un appareil mobile, puis le remet à Apple (APNs) ou à Google (Firebase Cloud Messaging) pour livraison à cet appareil.
• Sentry (surveillance des erreurs, États-Unis) — reçoit un rapport lorsque l'application mobile plante — ce qu'elle faisait et où le code a échoué, sans compte associé.
• Google Analytics (analytique du site, États-Unis) — comptabilise les visites de nos pages publiques — la page consultée, le site qui vous a dirigé ici, votre navigateur, votre type d'appareil et votre région approximative. Le service est configuré pour ne rien conserver sur votre appareil : aucun témoin n'est déposé, aucun identifiant permettant de vous reconnaître lors d'une visite ultérieure ou sur un autre site Web n'est conservé, et aucun signal publicitaire n'est transmis. Rien n'est chargé sur les écrans nécessitant une connexion. Nous lui transmettons aussi le nombre de comptes créés, sans aucune information sur les personnes qui les ont créés.
• Vercel Analytics (analytique du site, États-Unis) — comptabilise les visites de nos pages publiques et mesure leur vitesse d'affichage — la page consultée, le site qui vous a dirigé ici, votre navigateur, votre type d'appareil et votre pays. Aucun témoin n'est déposé, aucun identifiant ne vous suit d'un jour à l'autre, aucun profil vous concernant n'est constitué d'un site à l'autre, et rien n'est chargé sur les écrans nécessitant une connexion.

5. Les partenaires qui gèrent votre compte

Certains comptes sont créés et administrés par un partenaire — un courtier, un conseiller ou une autre organisation qui utilise LOONIELODGE auprès des personnes avec qui il travaille. Un partenaire est une organisation distincte de la nôtre.

Avant qu'une personne ne devienne partenaire, nous vérifions son inscription professionnelle au registre public de son organisme de réglementation provincial, et nous consignons qui a effectué la vérification, dans quel registre et à quelle date expire le permis présenté. Nous ne la revérifions pas en continu : un partenaire dont le permis expire ne peut plus prendre de nouveaux clients tant que nous ne l'avons pas vérifié de nouveau, et un administrateur peut suspendre un partenaire le temps qu'une question sur son inscription soit tranchée.

Un partenaire qui administre votre compte peut toujours voir que vos prêts hypothécaires existent, qui est le prêteur et quand le terme vient à échéance. Il ne peut pas voir vos chiffres financiers — soldes, taux, montants de paiement, valeurs de propriété, revenus ou dettes — sauf si vous l'avez approuvé.

Pour voir ces chiffres, ou pour agir sur votre dossier, votre partenaire doit vous le demander. Vous décidez d'accepter ou non, d'autoriser ou non le fait d'agir en plus de consulter, et pour combien de temps, à partir d'une courte liste de périodes. La date de fin vous est indiquée avant que vous n'acceptiez, et vous pouvez y mettre fin plus tôt à tout moment depuis les paramètres. Si vous refusez, ou si vous ne répondez pas, rien ne change.

Le renouvellement, la restructuration, la quittance et la suppression de vos prêts hypothécaires vous appartiennent. Votre partenaire ne peut les faire que pendant la période où vous lui avez accordé l'accès pour agir.

Vous pouvez demander à être libéré de la gestion par un partenaire à tout moment depuis vos paramètres. Une fois libéré, l'accès du partenaire à vos prêts prend fin et vous les gérez entièrement vous-même.

6. Transferts hors du Canada

Vos données de compte et hypothécaires sont stockées à Montréal, au Canada, chez Supabase, notre hébergeur de base de données, et l’application elle-même s’exécute sur les serveurs de Vercel dans la même ville. Tous les autres fournisseurs énumérés ci-dessus sont situés aux États-Unis ou y traitent des données. Nous n’en tirons pas la conclusion que vos données ne quittent jamais le Canada, et vous ne devriez pas la tirer non plus : une région canadienne change l’endroit où les données sont conservées et le lieu où notre code tourne, non l’identité de l’exploitant des machines — Supabase et Vercel sont toutes deux des entreprises américaines — et les autres fournisseurs reçoivent toujours ce que la liste ci-dessus indique.

Une partie de vos renseignements personnels est donc toujours transférée hors du Canada — vers ces fournisseurs, aux fins indiquées à côté de chacun — et peut être accessible à des autorités étrangères en vertu des lois de ces pays. Nous prenons des mesures contractuelles et de sécurité raisonnables pour les protéger. En utilisant le Service, vous consentez à ce transfert. Pour les résidents du Québec, nous réalisons les évaluations que la Loi 25 exige avant de tels transferts.

7. Traitement automatisé, assistant LLODGE et modération

Lorsque vous utilisez l’assistant LLODGE, les chiffres du prêt concerné sont envoyés à notre fournisseur d'IA pour générer une explication. Le conseiller est purement informatif, ne fournit pas de conseil agréé et ne prend aucune décision à votre sujet.

Les publications communautaires font l'objet d'un filtrage automatisé avant leur affichage. Le contenu signalé par ce filtrage n'est pas rejeté : il est retiré de la liste publique et mis en file d'attente pour qu'une personne l'examine. Les décisions qui touchent votre compte — retrait de contenu, interdiction de publier, suspension — sont prises par une personne, et non par le filtrage.

Les suggestions font l'objet du même filtrage, dans un but plus étroit : repérer des renseignements personnels ou financiers avant toute publication. Une suggestion signalée n'est jamais rejetée et vous demeure toujours visible; elle ne peut simplement pas paraître sur le tableau public tant qu'un administrateur ne l'a pas lue.

Lorsqu'un administrateur consulte notre journal d'audit interne, une entrée peut être résumée en langage clair afin d'en faciliter l'examen. Le résumé est rédigé à partir de l'entrée masquée, ne peut que reformuler ce que l'entrée consigne déjà et ne prend aucune décision à votre sujet.

Nous n'utilisons rien de tout cela pour vous profiler. Une décision est prise automatiquement, sans intervention humaine préalable : un compte resté inactif pendant 250 jours est supprimé, avec ses prêts, à moins que vous ne vous connectiez avant cette date — c'est tout ce qu'il faut pour l'éviter. Nous vous en avisons par courriel avant que cela ne se produise, puis de nouveau peu avant l'échéance, et vous pouvez joindre une personne en répondant à l'un ou l'autre de ces courriels, ou aux coordonnées ci-dessous au sujet de toute décision touchant votre compte.

8. Durée de conservation

Nous conservons vos renseignements tant que votre compte est actif. Lorsque vous supprimez un prêt ou fermez votre compte, nous les conservons pendant une courte période de rétractation (pour vous permettre d'annuler la demande), puis nous les supprimons définitivement. Si votre compte est inactif pendant une longue période, nous vous avisons par courriel puis le supprimons après un délai de grâce.

La suppression pour inactivité ne vise pas tous les comptes. Nous ne supprimons pas un compte assorti d’un abonnement payant ou offert en cours, un compte qu’un administrateur a désactivé, un compte qu’un partenaire a créé et gère pour vous, ni un compte sans adresse courriel : nous ne supprimons jamais un compte sans l’avertir d’abord, donc un compte auquel nous ne pouvons pas écrire n’est jamais supprimé de cette façon. Dans ces cas, le compte demeure jusqu’à sa fermeture par une autre voie. Elle ne vise pas non plus les comptes de notre personnel.

Certains dossiers suivent leur propre échéance et sont supprimés automatiquement à son expiration :

• Registres d'audit des actions sensibles sur votre compte : 5 ans.
• Notifications : 12 mois après leur lecture, et 24 mois dans tous les cas.
• Conversations avec le conseiller IA : 12 mois après le dernier message d’une conversation. Le délai repart chaque fois que vous y ajoutez quelque chose : rien de ce que vous utilisez encore n’est supprimé par cette règle.
• Estimations de capacité d’emprunt que vous avez enregistrées : 24 mois après la dernière modification. Elles contiennent le revenu du ménage, les paiements de dettes mensuels et la mise de fonds que vous avez saisis, et après deux ans elles ne sont pas seulement vieilles, elles sont fausses — vous pouvez en supprimer une vous-même à tout moment avant ce terme.
• Demandes de soutien envoyées depuis votre compte : 24 mois après la résolution ou la fermeture de la demande, et 3 ans après son envoi dans tous les cas — y compris une demande qui n’a jamais été réglée. Les messages qui s’y rattachent partent avec elle.
• Demandes de soutien envoyées par le formulaire public sans compte : 12 mois après la fermeture de la demande, et 24 mois après son envoi dans tous les cas — y compris une demande qui n’a jamais été fermée.
• Appareils que vous avez déconnectés : 90 jours après la déconnexion. D’ici là, nous conservons le nom que vous avez donné à l’appareil et la date de la déconnexion, afin qu’une déconnexion inattendue puisse encore faire l’objet d’une vérification.
• Suggestions : conservées comme trace de ce que nous avons construit et pourquoi, mais dissociées de vous 24 mois après notre réponse ou votre retrait, et 3 ans après votre envoi dans tous les cas — y compris une suggestion à laquelle nous n’avons jamais répondu.
• Demandes de partenariat : si nous vous approuvons, 7 ans à compter de la décision — c'est la trace du fondement sur lequel un accès aux renseignements financiers d'autrui vous a été accordé. Si nous ne vous approuvons pas, 18 mois, afin de pouvoir répondre aux questions sur la décision. Si vous retirez une demande, 90 jours. Passé ce délai, nous supprimons votre nom légal et votre numéro d'inscription et ne conservons que le fait qu'une demande a été faite et son issue.
• Dossiers techniques de courte durée, comme les compteurs de prévention des abus et les clés servant à reconnaître une requête réessayée : 7 jours.
• Une liste est délibérément conservée sans limite de temps, et nous préférons le dire plutôt que de l’omettre : si un courriel que nous vous envoyons échoue définitivement, ou si vous signalez l’un des nôtres comme pourriel, nous inscrivons cette adresse courriel afin de cesser de lui écrire. Cette inscription doit survivre au compte dont elle provient — sans quoi fermer un compte puis en ouvrir un autre avec la même adresse relancerait les envois, ce qu’un signalement de pourriel nous demandait justement de ne pas faire. Elle contient l’adresse, le motif et la date, et rien d’autre. Écrivez-nous aux coordonnées ci-dessous et nous la retirerons.

9. Ce qui subsiste, et ce que la loi exige

Les publications communautaires demeurent dans la discussion à la fermeture d'un compte, mais cessent d'être attribuées à quiconque — le fil est aussi le compte rendu de la conversation pour les membres qui y ont participé. Il en va de même des messages d'une demande de soutien à laquelle une autre personne a pris part, et des suggestions, qui subsistent comme trace des raisons d'être d'une fonctionnalité mais cessent de vous être attribuées. Les votes que vous avez exprimés sur les suggestions d'autrui sont supprimés purement et simplement. Nous conservons des dossiers limités lorsque la loi l'exige, par exemple les dossiers de facturation. Ceux-ci se trouvent chez Stripe, notre prestataire de paiement, aux États-Unis : à la destruction de votre compte, nous retirons de votre fiche client votre nom, votre adresse courriel, votre numéro de téléphone et votre adresse de facturation, et nous détachons tout moyen de paiement enregistré, de sorte qu’aucune donnée de carte n’y demeure rattachée; nous inscrivons aussi sur cette fiche la date de la suppression. Ce qui subsiste est l’historique financier lui-même — les paiements et les factures — que la législation fiscale et les règles de conservation des documents financiers nous obligent à garder.

10. Vos droits

Sous réserve des limites prévues par la loi, vous avez le droit : d'accéder aux renseignements personnels que nous détenons à votre sujet; de les corriger; d'exporter une copie de vos données; de retirer votre consentement et de supprimer votre compte; et, pour les résidents du Québec, des droits additionnels prévus par la Loi 25. Vous pouvez exporter ou supprimer vos données depuis vos paramètres de sécurité, ou nous joindre aux coordonnées ci-dessous. Vous avez aussi le droit de porter plainte auprès du Commissariat à la protection de la vie privée du Canada ou, au Québec, de la Commission d'accès à l'information.

11. Sécurité

Nous protégeons vos renseignements par le chiffrement en transit et au repos, des mots de passe hachés, l'authentification à deux facteurs facultative, des contrôles d'accès et la journalisation des actions sensibles. Aucun système n'est parfaitement sécurisé, mais nous travaillons à protéger vos données et vous aviserons, ainsi que l'autorité compétente, de toute atteinte présentant un risque réel de préjudice sérieux en vertu de la loi fédérale — ou, pour un résident du Québec, un risque de préjudice sérieux en vertu de la Loi 25 — comme la loi l'exige.

12. Témoins

Nous utilisons des témoins nécessaires au fonctionnement du Service — pour vous garder connecté et mémoriser votre langue. Si vous arrivez par le lien de recommandation d'une personne, nous déposons aussi un témoin contenant uniquement ce code de recommandation, afin que l'invitation puisse être créditée si vous créez un compte; il est déposé par nous et par personne d'autre, il dure 30 jours, il ne contient rien qui vous identifie et il est supprimé dès votre inscription. Nous n'utilisons pas de témoins publicitaires ni de témoins de suivi par des tiers, et nous ne vous suivons pas sur d'autres sites Web.

13. Enfants

Le Service s'adresse aux adultes ayant l'âge de la majorité dans leur province ou territoire. Nous ne recueillons pas sciemment de renseignements personnels de mineurs. Si vous croyez qu'un mineur nous a fourni des renseignements, joignez-nous et nous les supprimerons.

14. Modifications de cette politique

Nous pouvons mettre à jour cette politique. Si un changement est important, nous prendrons des mesures raisonnables pour vous en aviser. La date d'entrée en vigueur en haut indique la dernière modification.

15. Nous joindre et responsable de la protection des renseignements personnels

Pour exercer vos droits ou poser une question de confidentialité, joignez notre responsable de la protection des renseignements personnels, Hermann Gael Nang-Song, à admin@loonielodge.com. Coordonnées générales : admin@loonielodge.com · LoonieLodge Inc., 2148 Carling Avenue, Unit #2, Suite 1031, Ottawa, ON K2A 1H1, Canada.