Politique de confidentialité

Qui nous sommes et responsable

Tarmac est un produit de Sphère 3 Solutions inc., au Québec.

Le responsable de la protection des renseignements personnels est Christian Leclerc, de Sphère 3 Solutions inc. Pour toute question sur cette politique ou sur vos renseignements, écrivez à l’adresse ci-dessous.

Courriel : confidentialite@tarmac.studio

Ce que le site collecte

Le site tarmac.studio est statique. Il n’utilise aucun témoin (cookie), aucun traceur et aucune analytique. Il ne contient aucun formulaire.

Le serveur web tient des journaux techniques : adresse IP, agent utilisateur et pages demandées. Ils sont conservés brièvement, à des fins de sécurité et de diagnostic.

Ce que le produit collecte

Demande d’accès

La demande d’accès, sur id.tarmac.studio, recueille votre nom, votre courriel, votre organisation et votre langue. Elle déclenche une notification interne et vous recevez un accusé de réception bilingue.

Compte et organisation

Le fournisseur d’identité de Tarmac, id.tarmac.studio, conserve :

• votre courriel, votre nom et votre langue préférée ;
• vos passkeys, c’est-à-dire des clés publiques, jamais de données biométriques ;
• vos appareils et vos sessions ;
• vos adhésions aux organisations et vos rôles ;
• les invitations, valables 7 jours ;
• un journal de sécurité.

Données d’affaires

Dans Tarmac, sur business.tarmac.studio, votre organisation enregistre ses idées, goals, analyses, cadrages, wireframes, décisions et commentaires, ainsi que les liens Jira Cloud ou Azure DevOps qu’elle fournit. Ces données sont séparées par organisation.

Pourquoi et sur quelle base

Nous utilisons ces renseignements pour trois raisons :

• fournir le service : traiter les demandes d’accès, ouvrir et gérer les comptes, faire fonctionner Tarmac pour votre organisation ;
• assurer la sécurité : protéger les comptes et diagnostiquer les problèmes ;
• respecter nos obligations légales, par exemple aviser en cas d’incident de confidentialité.

IA et recherche web

Certains traitements sont faits par des modèles d’intelligence artificielle : l’analyse des idées, le cadrage, les wireframes, les flux et le recodage depuis un système existant. Ils peuvent avoir lieu sur des serveurs situés aux États-Unis, chez un fournisseur infonuagique.

Seuls les contenus nécessaires à la fonction sont transmis (idées, descriptions, réponses aux questions, contenus de cadrage, extraits de code). Ils ne servent pas à entraîner les modèles. Aucun secret ni identifiant d’accès n’est transmis.

Aucune donnée personnelle n’est requise pour une analyse. Le coût de l’IA est visible par projet.

Pour la recherche web sourcée, des requêtes dérivées de l’analyse sont envoyées à un moteur de recherche tiers. Elles ne contiennent pas de renseignements personnels.

Recoder depuis un système existant

Pour recoder depuis un système existant, une personne peut relier un dépôt Git en lecture seule. Dans ce cas :

• l’archive du code est récupérée et stockée chiffrée. Elle n’est jamais exécutée ;
• elle est lue en mémoire pour en tirer des extraits, dont les secrets sont masqués ;
• elle est supprimée automatiquement au plus tard 24 heures après l’analyse, ou dès l’annulation ;
• le jeton d’accès Git est chiffré, puis effacé dès que l’archive est récupérée ;
• seuls les chemins des fichiers, les noms des symboles et les constats de l’IA sont conservés, jamais le code lui-même.

Hébergement et transferts

Les données de Tarmac sont hébergées au Canada. Certains contenus sont transmis à des services tiers :

• les contenus nécessaires aux traitements par IA, vers des serveurs qui peuvent être situés aux États-Unis ;
• les requêtes de recherche web, sans renseignement personnel, vers un moteur de recherche tiers ;
• les stories et l’avancement que votre organisation choisit de pousser vers Jira Cloud ou Azure DevOps.

Conservation

• Journaux techniques du site : conservés brièvement.
• Demandes d’accès : supprimées après 90 jours.
• Archives de code d’un recodage : supprimées au plus tard 24 heures après l’analyse, ou dès l’annulation.
• Jetons d’accès Git : effacés dès que l’archive est récupérée.
• Comptes jamais vérifiés : supprimés après 7 jours.
• Invitations closes, sessions et événements livrés : purgés après 30 jours.
• Codes et défis expirés : purgés chaque jour.
• Données d’affaires : conservées tant que l’organisation existe.
• Compte supprimé : le journal de sécurité en garde des traces pseudonymisées.

Partage

Nous ne vendons aucune donnée.

Jira Cloud et Azure DevOps reçoivent les stories et l’avancement que votre organisation choisit d’y pousser, avec les identifiants qu’elle fournit.

Les courriels du service (invitations, codes, accusés de réception, notifications) partent d’une adresse d’envoi de tarmac.studio. Il n’y a aucune infolettre.

Vos droits et comment les exercer

Vous exercez vos droits vous-même, dans votre compte sur id.tarmac.studio :

• consulter et corriger votre profil ;
• exporter vos données : un fichier JSON complet (profil, organisations, appareils, sessions, journal de sécurité), envoyé par un lien par courriel ;
• supprimer votre compte : l’effet est immédiat, après confirmation par code ou passkey, et un courriel le confirme. Le journal de sécurité garde des traces pseudonymisées.

Le propriétaire d’une organisation qui compte d’autres membres doit transférer la propriété avant de supprimer son compte.

Pour toute autre demande, écrivez au responsable. Vous pouvez aussi vous adresser à la Commission d’accès à l’information du Québec.

Courriel : confidentialite@tarmac.studio

Sécurité

Le site sert une politique de sécurité du contenu stricte.

La connexion se fait par passkeys. Pour les passkeys, seule la clé publique est conservée.

Dans Tarmac, le serveur vérifie les permissions à chaque requête et les données sont séparées par organisation. Chaque écriture et chaque décision est inscrite dans un journal d’audit en ajout seul : qui, quoi, quand.

Incidents

En cas d’incident de confidentialité présentant un risque de préjudice sérieux, nous avisons les personnes concernées et la Commission d’accès à l’information du Québec, conformément à la Loi 25.

Modifications

Cette politique peut changer. La date en haut de la page indique sa dernière mise à jour.

Contact

Christian Leclerc, responsable de la protection des renseignements personnels, Sphère 3 Solutions inc., Québec.

Courriel : confidentialite@tarmac.studio