L’essentiel
Dans un mandat, on travaille dans vos systèmes : votre Microsoft 365, votre ERP, vos dossiers. Ces données restent chez vous. Certains outils sont hébergés par Avenor, par exemple Avenor Courriel et les CRM qu’on exploite pour nos clients : cette page dit exactement où leurs données vivent. Rien ne part sans qu’une personne l’ait vérifié : nos outils préparent des brouillons, ils n’envoient pas de courriels.
Où vivent les données
| Quoi | Où | Précision |
|---|---|---|
| Vos courriels et vos calendriers | Votre Microsoft 365 (ou Google) | Lus là où ils sont, avec des droits limités aux boîtes visées. On n’en fait pas de copie complète. |
| CRM et suivis des outils hébergés par Avenor | Cloudflare (bases D1) | Cloudflare choisit la région du serveur. Pour ce type de base, Cloudflare offre des juridictions pour l’Union européenne, les États-Unis et FedRAMP, mais pas pour le Canada. Aucune juridiction n’est fixée sur nos bases aujourd’hui. |
| Fichiers déposés dans un CRM | Cloudflare | Même hébergeur, accès réservé aux membres de l’espace. |
| Texte envoyé au modèle d’IA | Anthropic (États-Unis), modèles Claude | Par défaut, Anthropic n’utilise pas les entrées et les sorties de ses produits commerciaux pour entraîner ses modèles (politique d’Anthropic du 18 août 2026). |
| Sauvegardes des CRM | Stockage OneDrive d’Avenor (Microsoft) | Une copie par semaine, hors de Cloudflare. Restauration testée le 27 octobre 2026. |
Si votre organisation exige que ses données restent au Canada, dites-le-nous avant la soumission : on prévoit alors une installation dans votre propre environnement (section 6).
Ce qu’on garde, et ce qu’on ne garde pas
Quand un CRM est alimenté par les courriels, il ne garde qu’une fiche courte : la date, le sens (reçu ou envoyé), le client, le contact, l’objet et un court aperçu. Pas le corps du courriel, pas les pièces jointes.
Les transcriptions de rencontres Teams ne sont jamais gardées : seuls le résumé et les actions restent au dossier. Pour le calendrier d’une autre entreprise, on garde seulement les heures occupées, jamais le titre, le lieu ou les participants.
Les données d’un client ne servent jamais à un autre client. Elles ne sont ni vendues ni échangées.
Qui y a accès, et comment c’est protégé
On entre dans nos outils avec le compte Microsoft de votre organisation. Seules les personnes inscrites comme membres de votre espace y ont accès.
Les jetons qui donnent accès à votre Microsoft 365 sont chiffrés au repos (AES-GCM, 256 bits). La clé de chiffrement est gardée à part, jamais avec les données. Les échanges se font en HTTPS.
Un journal note les actions faites par l’outil : qui a créé, modifié ou supprimé quel brouillon, et quelle pièce jointe a été enregistrée. Avenor garde un accès d’administration pour le soutien, selon votre mandat écrit.
La Loi 25 dans un mandat
Le responsable de la protection des renseignements personnels chez Avenor est Raphaël Dionne, fondateur, joignable à [email protected].
Quand un projet traite des renseignements personnels, ou les communique à l’extérieur du Québec (Cloudflare et Anthropic le sont), on fait avec vous l’évaluation des facteurs relatifs à la vie privée avant la mise en service. Vos obligations sont dans la soumission, pas dans un ajout de fin de projet.
Un incident de confidentialité est noté et vous est signalé sans délai. S’il présente un risque de préjudice sérieux, les personnes concernées et la Commission d’accès à l’information en sont avisées. Une demande d’accès, de correction ou de suppression reçoit une réponse dans les trente jours. Le reste de notre politique est dans les informations légales.
Secteur public et santé
Pour une organisation publique ou du réseau de la santé, les outils peuvent être installés dans votre propre environnement, plutôt que chez Avenor. Vos données restent alors dans votre infrastructure, sous vos règles d’accès et votre journalisation. On l’évalue avec vous dès la première rencontre, avant de chiffrer le projet.
Ce qu’on ne prétend pas
Avenor n’a pas de certification de sécurité à son nom. Cloudflare, Microsoft et Anthropic publient les leurs. Si votre organisation a un questionnaire de sécurité, on le remplit avec ces faits, et on vous dit quand une réponse est « non ».
Des questions avant de commencer ? Voyez nos services, faites le diagnostic gratuit ou écrivez-nous.