Entente de traitement des données
Version 1 — 21 septembre 2026
Ce que Krealo Media fait, et ne fait pas, avec les renseignements personnels que Krealo Chat traite pour le compte d'un marchand. Tout ce qui est écrit ici est vrai aujourd'hui et correspond au code ; la politique de confidentialité et la page Sécurité disent la même chose, en d'autres mots.
1. Les parties et leurs rôles
Le marchand qui installe Krealo Chat sur son site est le responsable des renseignements personnels recueillis dans ses conversations : c'est lui qui décide quoi demander à ses clients et pourquoi. Krealo Media inc., Montréal (Québec), est le mandataire (sous-traitant) : elle exploite le service pour son compte et n'utilise ces renseignements pour rien d'autre.
Cette entente fait partie des conditions d'utilisation et s'applique dès qu'un site est créé dans la console. Elle dure tant que le compte existe.
2. Ce qui est traité
| Renseignement | De qui | Pourquoi |
|---|---|---|
| Messages, pièces jointes (images et PDF, 8 Mo max.) | Visiteurs et agents | C'est la conversation elle-même. |
| Identifiant de visiteur (dans le navigateur) | Visiteurs | Reconnaître le même fil quand la personne revient. |
| Pages visitées, page d'entrée, référent, langue | Visiteurs | Que l'agent sache de quoi on lui parle. |
| Appareil, navigateur, adresse IP, ville approximative | Visiteurs | Langue, fuseau horaire, limitation des abus. |
| Nom, courriel, téléphone — si la personne les écrit | Visiteurs | Reprendre la conversation, retrouver ses commandes. |
| Contenu du panier ; cinq dernières commandes du courriel donné | Visiteurs, via la boutique Shopify | Répondre sur ce que la personne achète. Jamais sans son courriel. |
| Nom, courriel, photo du compte Google | Agents et administrateurs | Ouvrir une session dans la console. |
Krealo Chat ne demande jamais de mot de passe ni de numéro de carte et n'a aucun moyen d'en recevoir. Aucun renseignement n'est utilisé pour de la publicité, ni vendu, ni croisé avec d'autres sources.
3. Où, et le transfert hors Québec
Les données sont hébergées chez Google Cloud (Firebase,
Firestore, Cloud Storage), région us-central1,
aux États-Unis. C'est un transfert hors Québec au sens de
l'article 17 de la Loi 25 : Krealo Media a fait l'évaluation des
facteurs relatifs à la vie privée correspondante et la tient à la
disposition du marchand sur demande. En résumé : les données sont
chiffrées en transit et au repos, l'accès est limité à deux
personnes de l'agence par comptes nominatifs, Google Cloud est lié
par ses propres engagements contractuels de traitement, et aucun
renseignement sensible (santé, finances, mot de passe) n'est
recueilli par le service.
4. Les sous-traitants ultérieurs
| Qui | Quoi | Quand |
|---|---|---|
| Google Cloud / Firebase (États-Unis) | Hébergement, base de données, fichiers, courriels de connexion | Toujours |
| Google — API Gemini | Brouillon de réponse, résumé, transcription vocale | Seulement quand un agent le demande, ou pour le robot hors horaires si le marchand l'active |
| Shopify | Catalogue, panier, commandes du courriel donné | Seulement si le marchand connecte sa boutique |
| Meta (Messenger, Instagram) | Messages reçus et envoyés sur ces canaux | Seulement si le marchand connecte sa page |
| Resend | Courriels transactionnels (invitations, réponse différée) | Pas encore actif : dès qu'il le sera, cette ligne prendra une date |
Ajouter un sous-traitant se fait en changeant cette page et en avisant les marchands par la page des nouveautés au moins 30 jours avant. Un marchand qui refuse peut fermer son compte et exporter ses conversations avant.
5. Combien de temps
La fiche de visiteur (parcours, panier, ville, appareil, IP) est anonymisée automatiquement après 30 jours sans visite. Les conversations sont conservées comme historique du commerce tant que le compte existe. Sur demande de suppression d'une personne, c'est son identité qui est effacée du fil — nom, courriel, téléphone, IP, ville — et ce qui reste n'identifie personne. À la fermeture du compte, rien n'est supprimé sans que le marchand le demande ; il peut demander l'effacement complet, qui est exécuté dans les 30 jours, ou exporter avant.
6. Sécurité
Décrite au présent, avec ce qui manque, sur la page Sécurité : chiffrement, règles d'accès par site et par espace de travail, liens signés d'une heure pour les fichiers, jetons de boutique hors de portée des navigateurs, copie de sauvegarde quotidienne conservée 30 jours, journal d'audit des actions dans la console.
7. Aide au marchand pour les droits des personnes
Accès, rectification, suppression, retrait du consentement : le
marchand peut y répondre lui-même depuis la console (fiche du
visiteur, export, « oublier ce visiteur »). Ce qu'il ne peut pas
faire seul, Krealo Media le fait sur demande écrite à
ken@krealomedia.com dans les 10 jours ouvrables. Les
demandes que Shopify transmet (customers/data_request,
customers/redact, shop/redact) sont
traitées automatiquement.
8. Incidents de confidentialité
Si un incident touche des renseignements du marchand, Krealo Media l'avise sans délai déraisonnable, au plus tard 72 heures après en avoir eu connaissance, avec ce qui est su à ce moment : quoi, qui, depuis quand, et ce qui a été fait. Elle tient le registre des incidents exigé par la Loi 25 et l'aide à évaluer si la Commission d'accès à l'information et les personnes concernées doivent être avisées.
9. Vérification
Le marchand peut poser par écrit toute question sur le traitement ; Krealo Media répond par écrit dans les 10 jours ouvrables. Le code du service est dans un dépôt privé et peut être montré sur demande pour vérifier ce que cette page affirme.
10. Personnel, droit et signature
Deux personnes de Krealo Media ont accès aux données, chacune avec son compte, et seulement pour exploiter et dépanner le service. L'entente est régie par les lois du Québec. Elle est acceptée par l'usage du service ; pour une version signée, ou en anglais, écrire à ken@krealomedia.com.
Responsable de la protection des renseignements personnels : Keneth Walters, Krealo Media — ken@krealomedia.com.