1. Identité du Responsable

Kantia Inc.
Québec, Canada

Responsable de la protection des renseignements personnels (RPRP) :
Kantia Inc.
Courriel : security@kantia.ca

Conformément à l'article 3.1 de la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels), Kantia Inc. a désigné son plus haut dirigeant comme responsable de la protection des renseignements personnels. Cette désignation est publique. La fonction peut être déléguée par écrit à un membre de l'équipe, mais le plus haut dirigeant demeure ultimement responsable.

Le RPRP est chargé de veiller au respect de la présente politique, de traiter les demandes d'exercice de droits, de superviser la gestion des incidents de confidentialité et de servir de point de contact avec la Commission d'accès à l'information du Québec (CAI) et le Commissariat à la protection de la vie privée du Canada (CPVP).

2. Définitions

Aux fins de la présente politique, les termes suivants ont la signification indiquée ci-dessous :

3. Portée de la Politique

La présente politique s'applique à tous les renseignements personnels collectés, utilisés, communiqués ou traités par Kantia Inc. dans le cadre de :

• L'exploitation du site web kantia.ca et de ses sous-domaines
• La prestation des services de la Plateforme Kantia à ses Clients (cabinets, entreprises, organisations)
• Les communications commerciales, le marketing et le support client
• La facturation et la gestion des comptes clients
• Les processus de recrutement et de gestion des ressources humaines (le cas échéant)

Portée territoriale : La présente politique s'applique aux renseignements personnels des personnes situées au Canada, conformément à la PIPEDA et à la Loi 25. Kantia ne cible pas activement les personnes situées en dehors du Canada.

4. Types de Renseignements Personnels

4.1 Renseignements collectés directement par Kantia

4.2 Données métier transitant dans la Plateforme (zéro rétention)

Les catégories ci-dessous illustrent les types de données métier traitées selon le cas d'usage (fiscal, comptable, opérationnel). Elles sont présentées à titre d'exemples représentatifs — le principe de zéro rétention s'applique à l'ensemble des données Client traitées par la Plateforme.

Le Client est le responsable du traitement de ces données métier au sens de la Loi 25. Kantia agit strictement comme sous-traitant selon les termes du DPA (Contrat de Sous-Traitance des Données). L'Utilisateur final qui souhaite exercer ses droits relativement à ses données doit s'adresser à l'organisation Client (cabinet, entreprise, institution) qui traite son dossier, et non à Kantia.

4.3 Renseignements que Kantia ne collecte PAS

Kantia ne collecte pas les catégories de renseignements suivantes :

• Renseignements biométriques (empreintes digitales, reconnaissance faciale)
• Renseignements de santé
• Opinions politiques ou convictions religieuses
• Renseignements relatifs à un casier judiciaire
• Numéros de cartes de crédit ou de comptes bancaires (les paiements sont traités par des tiers certifiés PCI-DSS)

5. Finalités du Traitement

Kantia collecte et utilise des renseignements personnels aux fins suivantes :

Kantia ne vend pas, ne loue pas et ne partage pas les renseignements personnels à des fins de marketing tiers, de profilage publicitaire ou de monétisation de données. Kantia n'utilise aucune régie publicitaire tierce sur son site web.

6. Consentement

6.1 Formes de consentement

Le consentement est obtenu selon les modalités suivantes :

6.2 Retrait du consentement

Toute personne peut retirer son consentement en tout temps en communiquant avec Kantia à security@kantia.ca. Le retrait du consentement prend effet dans les délais suivants :

• Mesure anonyme du site : Sur demande à Kantia ou via les paramètres du navigateur lorsque des témoins essentiels sont concernés
• Communications commerciales : Dans les 10 jours ouvrables (lien de désabonnement inclus dans chaque communication)
• Services de la Plateforme : Selon les conditions prévues au contrat de service et au DPA

Le retrait du consentement ne s'applique qu'aux traitements futurs. Il ne peut pas invalider les traitements déjà effectués conformément au consentement initialement donné. Le retrait du consentement pour les services essentiels de la Plateforme peut entraîner la résiliation du contrat de service.

7. Partage avec des Tiers

7.1 Sous-traitant infrastructure : fournisseur d’infrastructure infonuagique certifié

Kantia utilise fournisseur d’infrastructure infonuagique certifié comme fournisseur d'infrastructure infonuagique. Les services d’infrastructure infonuagique sont utilisés pour :

• L'hébergement de la Plateforme (services de calcul, Canada)
• Le stockage temporaire chiffré des données en transit (Canada)
• Le traitement par intelligence artificielle (services d’intelligence artificielle conformes, Canada)
• La reconnaissance optique de caractères (technologies de reconnaissance documentaire conformes, Canada)
• Le monitoring de performance (métriques anonymisées)

fournisseur d’infrastructure infonuagique certifié est lié par son propre Data Processing Agreement (DPA conforme aux standards industriels), qui inclut les garanties suivantes :

• Certifications SOC 1/2/3, ISO 27001/27017/27018, CSA STAR
• Résidence des données au Canada (garantie contractuelle)
• Exclusion des données clients de l'entraînement des modèles IA
• Chiffrement AES-256 au repos et TLS 1.2+ en transit

Le fournisseur d’infrastructure peut faire appel à des sous-traitants ultérieurs pour la fourniture de ses services d’infrastructure infonuagique. La liste des sous-traitants ulterieurs est disponible sur demande à security@kantia.ca. Les sous-traitants ulterieurs du fournisseur d’infrastructure sont soumis aux mêmes obligations contractuelles de protection des données.

7.2 Autres sous-traitants

Kantia s'engage à tenir à jour la liste de ses sous-traitants et à informer les clients de tout changement significatif. Chaque sous-traitant est lié par des obligations contractuelles de confidentialité et de protection des données équivalentes à celles de Kantia.

7.3 Aucun partage à des fins commerciales

Kantia ne partage, ne vend, ne loue et ne communique les renseignements personnels avec aucun tiers à des fins commerciales, publicitaires ou de monétisation.

7.4 Communications obligatoires

Kantia peut être tenue de communiquer des renseignements personnels dans les cas suivants :

• Sur ordonnance d'un tribunal ou d'un organisme habilité par la loi
• Sur demande de la Commission d'accès à l'information du Québec (CAI)
• Sur demande du Commissariat à la protection de la vie privée du Canada (CPVP)
• Pour protéger les droits, la propriété ou la sécurité de Kantia, de ses clients ou du public, dans les cas prévus par la loi

Dans tous les cas, Kantia communiquera uniquement les renseignements strictement nécessaires et informera la personne concernée lorsque la loi le permet.

7.5 Transfert hors Québec / hors Canada

Kantia ne procède à aucun transfert de données métier Client en dehors du Canada. 100 % de l'infrastructure de traitement de la Plateforme est située dans les centres de données fournisseur d’infrastructure infonuagique certifié au Canada (régions Canada Central et Canada East). Aucun document métier, identifiant sensible (NAS, numéros d'entreprise) ou renseignement personnel d'Utilisateur final ne quitte le territoire canadien.

Si Kantia devait, dans le futur, envisager un transfert de renseignements personnels supplémentaires en dehors du Québec ou du Canada, elle s'engagerait à :

• Réaliser une évaluation des facteurs relatifs à la vie privée (ÉFVP) préalablement au transfert (Loi 25 art. 17)
• S'assurer que la juridiction de destination offre un niveau de protection adéquat
• Informer les personnes concernées et obtenir leur consentement si requis
• Conclure des ententes contractuelles garantissant un niveau de protection équivalent

8. Décision Automatisée et Intelligence Artificielle

Conformément à l'article 12.1 de la Loi 25, Kantia informe les personnes concernées que la Plateforme utilise des technologies d'intelligence artificielle pour le traitement automatisé des documents fiscaux.

8.1 Nature du traitement automatisé

La Plateforme utilise l'intelligence artificielle pour :

• La reconnaissance optique de caractères (lecture des documents)
• La classification des documents métier (identification du type de document, par exemple : feuillet fiscal, pièce comptable, document de paie)
• L'extraction des données structurées (montants, identifiants, dates, entités)
• La génération de rapports d'audit et de synthèse

8.2 Supervision humaine obligatoire

Aucune décision finale n'est prise de manière exclusivement automatisée. La Plateforme est conçue selon le principe de supervision humaine obligatoire, en cohérence avec les obligations déontologiques applicables aux professionnels qui l'utilisent (notamment le Code de déontologie des comptables professionnels agréés du Québec, RLRQ c. C-48.1, r. 6, et tout autre code professionnel équivalent en contexte juridique, financier ou opérationnel) :

• L'intelligence artificielle propose des résultats (classification, extraction, rapport)
• Un professionnel qualifié désigné par le Client (par exemple : comptable professionnel agréé en contexte fiscal, gestionnaire financier en contexte comptable) revoit, valide et corrige les résultats
• Ce professionnel valide et signe le livrable final avant toute transmission officielle, et demeure pleinement responsable du contenu transmis conformément à son code de déontologie
• Aucune transmission vers un tiers (autorité fiscale, institution financière, partenaire) n'intervient sans validation humaine préalable par le Client

8.3 Droit à l'explication

Toute personne dont les renseignements personnels font l'objet d'un traitement automatisé peut :

• Être informée du fait que ses données ont été traitées par intelligence artificielle
• Obtenir une explication des facteurs et paramètres ayant mené aux résultats du traitement
• Demander la révision du traitement par un humain (le professionnel désigné par le Client)
• Faire rectifier les résultats du traitement si nécessaire

Pour exercer ce droit, l'Utilisateur final doit s'adresser à l'organisation Client qui traite son dossier, car elle est le responsable du traitement de ses données métier.

9. Droits des Personnes Concernées

Conformément à la Loi 25 et à la PIPEDA, toute personne dont les renseignements personnels sont détenus par Kantia dispose des droits suivants :

Pour les données métier des Utilisateurs finaux : les droits d'accès, de rectification et de suppression s'exercent auprès du Client — cabinet, entreprise ou organisation — qui est le responsable du traitement, et non auprès de Kantia. Kantia n'a aucune donnée métier d'Utilisateur final à fournir car elle ne conserve rien (zéro rétention).

9.1 Procédure pour exercer vos droits

Adresser votre demande par courriel à : security@kantia.ca

Votre demande doit inclure :

• Votre nom complet et vos coordonnées
• Le droit que vous souhaitez exercer
• Toute information utile pour identifier les renseignements personnels concernés
• Une pièce d'identité si nécessaire pour vérifier votre identité (Kantia ne demandera jamais plus d'information que nécessaire à cette vérification)

Kantia accusera réception dans les 10 jours ouvrables et répondra dans les 30 jours suivant la réception de la demande. Si Kantia ne peut pas répondre dans ce délai, elle vous en informera par écrit et précisera le délai supplémentaire requis, qui ne pourra excéder 30 jours additionnels.

9.2 Refus et recours

Si Kantia refuse en tout ou en partie votre demande, elle vous communiquera par écrit les motifs de son refus ainsi que les recours à votre disposition, incluant la possibilité de porter plainte auprès de la CAI ou du CPVP (voir section 14).

10. Conservation des Renseignements Personnels

10.1 Durées de conservation

10.2 Destruction sécurisée

À l'expiration de la durée de conservation, les renseignements personnels sont détruits de manière sécurisée :

• Les données numériques sont supprimées de manière irréversible des systèmes de Kantia
• Les éventuels documents papier sont détruits par déchiquetage
• Un registre de destruction est maintenu pour fins d'audit

10.3 Exactitude des renseignements

Conformément au Principe 6 de la PIPEDA, Kantia s'engage à maintenir les renseignements personnels aussi exacts, complets et à jour que nécessaire aux fins pour lesquelles ils sont utilisés. Les clients sont invités à informer Kantia de tout changement dans leurs coordonnées ou informations de contact en communiquant avec security@kantia.ca.

11. Mesures de Sécurité

11.1 Mesures techniques

Kantia met en œuvre des mesures de sécurité techniques appropriées pour protéger les renseignements personnels contre l'accès, l'utilisation, la communication ou la destruction non autorisés, notamment :

• Chiffrement en transit : TLS 1.2+ (AES-256-GCM) sur toutes les communications entre les composants
• Chiffrement au repos : AES-256 sur tous les services de stockage
• Authentification renforcée : Authentification multi-couches avec contrôle d'accès basé sur les rôles (principe du moindre privilège)
• Dépersonnalisation des NAS : Les numéros d'assurance sociale sont automatiquement masqués par des jetons opaques avant tout envoi au moteur d'intelligence artificielle, puis reconvertis dans le résultat final
• Zéro rétention : Suppression immédiate de toutes les données en transit après chaque traitement, avec des mécanismes de purge automatique garantissant qu'aucune donnée résiduelle ne persiste
• Résidence des données : 100 % Canada (Canada Central et Canada East)
• Gestion sécurisée des clés : Coffre-fort numérique avec protection contre la suppression accidentelle et récupération en cas d'erreur
• Validation des entrées : Validation stricte de toutes les données d'entrée pour prévenir les attaques par injection
• Protection contre les fichiers malveillants : Vérification du type réel des fichiers, limites de taille et de profondeur de décompression
• Surveillance automatisée : Détection et alerte automatique en cas de comportement anormal ou d'accès suspect

11.2 Mesures organisationnelles

• Formation : Sensibilisation du personnel aux obligations de confidentialité et de sécurité
• Accès restreint : Seuls les membres autorisés de l'équipe Kantia ont accès aux systèmes contenant des renseignements personnels, selon le principe du besoin de savoir
• Politique d'accès : Les accès aux systèmes sont revus périodiquement et révoqués immédiatement lors du départ d'un membre de l'équipe
• Contrats de confidentialité : Tout membre de l'équipe et tout sous-traitant est lié par des obligations contractuelles de confidentialité
• Tests de sécurité : Des tests automatisés sont exécutés régulièrement pour vérifier l'intégrité des mesures de sécurité
• Plan de réponse aux incidents : Procédure documentée de gestion des incidents de confidentialité (voir section 13)

Pour le détail technique complet des mesures de sécurité, consulter le document K3 — Architecture de Sécurité, disponible sur demande.

12. Témoins de Connexion (Cookies)

12.1 Types de témoins utilisés

kantia.ca utilise des témoins strictement nécessaires ainsi qu'une mesure first-party et anonymisée de performance pour les finalités suivantes :

Kantia n'utilise aucun témoin de marketing, ne pratique aucun profilage publicitaire, et ne partage aucune donnée de navigation avec des régies publicitaires tierces.

Lorsque cette mesure de performance est activée, Kantia limite strictement la collecte à des événements techniques et de conversion minimisés, sans profilage publicitaire ni enrichissement marketing. Aucune donnée métier Client ni aucun renseignement personnel sensible n'est utilisé à cette fin.

12.2 Gestion des témoins

L'utilisateur peut à tout moment :

• Communiquer avec Kantia pour toute question relative à la mesure de performance du site
• Supprimer les témoins existants dans les paramètres de son navigateur
• Configurer son navigateur pour refuser tous les témoins ou être averti avant leur installation

Le refus des témoins essentiels peut affecter le fonctionnement du site. La mesure de performance first-party de Kantia est conçue pour rester limitée, anonymisée et sans impact sur l'expérience de navigation.

12.3 Autres technologies de suivi

Kantia n'utilise pas de technologies de suivi intrusives telles que :

• Pixels espions (tracking pixels)
• Empreintes numériques de navigateur (browser fingerprinting)
• Enregistrement de session (session recording)
• Scripts de reciblage publicitaire (retargeting)

13. Incident de Confidentialité

13.1 Définition

Un incident de confidentialité désigne tout accès, utilisation, communication ou perte de renseignements personnels non autorisé par la loi, ainsi que toute autre atteinte à la protection de ces renseignements.

13.2 Procédure de gestion

En cas d'incident de confidentialité impliquant des renseignements personnels, Kantia s'engage à :

1. Contenir — Prendre immédiatement les mesures nécessaires pour limiter l'étendue de l'incident et prévenir toute aggravation
2. Évaluer — Évaluer la gravité de l'incident dans les 24 heures suivant sa découverte, en déterminant la nature des renseignements concernés, le nombre de personnes touchées et le risque de préjudice sérieux
3. Notifier la CAI — Si l'incident présente un risque de préjudice sérieux, notifier la Commission d'accès à l'information du Québec dans les meilleurs délais
4. Notifier les personnes — Notifier les personnes concernées sans délai lorsque l'incident présente un risque de préjudice sérieux, en indiquant la nature des renseignements concernés, les mesures prises et les recours disponibles
5. Notifier le Client — Si l'incident concerne des données traitées pour le compte d'un Client, notifier le Client dans les quarante-huit (48) heures suivant la découverte de l'incident (plus rapide que l'obligation légale de 72h)
6. Consigner — Consigner l'incident dans le registre des incidents de confidentialité, conformément à la Loi 25
7. Corriger — Prendre les mesures correctives nécessaires pour prévenir la récurrence de l'incident

13.3 Registre des incidents

Kantia maintient un registre des incidents de confidentialité conformément à l'article 3.6 de la Loi 25. Ce registre est conservé pour une durée minimale de 5 ans et est mis à la disposition de la CAI sur demande.

13.4 Atténuation par le zéro rétention

L'architecture zéro rétention de la Plateforme constitue une mesure de sécurité significative en cas d'incident : puisque Kantia ne conserve aucune donnée métier d'Utilisateur final, un incident de confidentialité chez Kantia ne peut pas compromettre les données métier des Clients, car elles ne sont tout simplement pas présentes dans les systèmes au-delà de la durée du traitement.

14. Plainte et Recours

14.1 Plainte auprès de Kantia

Toute personne insatisfaite de la manière dont Kantia traite ses renseignements personnels ou dont la demande d'exercice de droits a été refusée peut adresser une plainte écrite au RPRP de Kantia à security@kantia.ca. Kantia s'engage à examiner la plainte et à répondre dans les 30 jours.

14.2 Plainte auprès de la Commission d'accès à l'information du Québec (CAI)

Si la réponse de Kantia ne vous satisfait pas, ou à tout moment, vous pouvez déposer une plainte auprès de la CAI :

Commission d'accès à l'information du Québec
Site web : www.cai.gouv.qc.ca
Téléphone : 1-888-528-7741
Formulaire de plainte : disponible sur le site web de la CAI

14.3 Plainte auprès du Commissariat à la protection de la vie privée du Canada (CPVP)

Vous pouvez également déposer une plainte auprès du CPVP :

Commissariat à la protection de la vie privée du Canada
Site web : www.priv.gc.ca
Téléphone : 1-800-282-1376
Formulaire de plainte : disponible sur le site web du CPVP

14.4 Autres recours

Toute personne dispose également de la possibilité de s'adresser aux tribunaux civils pour obtenir réparation en cas de préjudice subi en raison d'une atteinte à la protection de ses renseignements personnels, conformément aux dispositions de la Loi 25 et du Code civil du Québec.

15. Mineurs

Les services de Kantia sont destinés à des organisations Clientes professionnelles (cabinets, entreprises, institutions) et ne s'adressent pas directement aux personnes mineures. Kantia ne collecte pas sciemment de renseignements personnels auprès de personnes de moins de 14 ans.

Si Kantia prend connaissance qu'elle a collecté des renseignements personnels auprès d'une personne de moins de 14 ans sans le consentement du titulaire de l'autorité parentale, elle prendra les mesures nécessaires pour supprimer ces renseignements dans les meilleurs délais.

Conformément à la Loi 25 art. 14, le consentement d'une personne mineure de moins de 14 ans doit être donné par le titulaire de l'autorité parentale.

16. Registre de Communication

Conformément à l'article 18.2 de la Loi 25, Kantia tient un registre des communications de renseignements personnels effectuées à des tiers sans le consentement des personnes concernées (par exemple, en réponse à une ordonnance d'un tribunal ou à une demande d'un organisme habilité par la loi). Ce registre est conservé et mis à la disposition de la CAI sur demande.

À la date de la présente politique, Kantia n'a procédé à aucune communication de renseignements personnels sans consentement.

17. Modifications à la Politique

Kantia se réserve le droit de modifier la présente politique pour refléter les changements dans ses pratiques, dans la législation applicable ou dans ses services. Toute modification sera traitée selon sa nature :

Modification substantielle (changement de finalité, nouveau partage avec un tiers, modification des durées de conservation) :

• Publiée sur kantia.ca/politique-confidentialite avec la date de mise à jour
• Communiquée par courriel aux clients actifs au moins 30 jours avant l'entrée en vigueur
• Un nouveau consentement sera demandé si nécessaire

Modification non substantielle (correction typographique, reformulation sans changement de fond, ajout d'information) :

• Publiée sur kantia.ca/politique-confidentialite avec la date de mise à jour
• La version précédente reste disponible sur demande

L'historique des versions de la présente politique est maintenu par Kantia et peut être consulté sur demande.

18. Visiteurs Hors Canada

18.1 Règlement Général sur la Protection des Données (RGPD)

Kantia ne cible pas activement les personnes situées dans l'Union européenne. Toutefois, si des personnes situées dans l'UE accèdent au site kantia.ca ou interagissent avec les services de Kantia, nous nous efforçons de respecter les principes du RGPD (Règlement UE 2016/679) dans la mesure où ils sont compatibles avec nos obligations au titre de la PIPEDA et de la Loi 25.

Concrètement :

• Les principes de minimisation et de limitation de la finalité sont déjà appliqués dans notre politique zéro rétention
• Le droit d'accès, le droit de rectification et le droit à l'effacement sont exerçables selon les mêmes modalités que pour les personnes situées au Canada (voir section 9)
• Le droit à la portabilité des données est garanti (voir section 9)
• Aucune donnée métier Client n'est transférée hors du Canada (voir section 7.5)

Les personnes situées dans l'UE qui ont des questions spécifiques relatives au RGPD peuvent contacter Kantia à security@kantia.ca.

18.2 Autres juridictions

Pour les personnes situées dans d'autres juridictions, Kantia applique le cadre de protection offert par la PIPEDA et la Loi 25, qui sont reconnus comme offrant un niveau de protection adéquat par de nombreuses juridictions internationales, y compris la Commission européenne.

19. Loi Applicable et Juridiction

La présente politique est régie par les lois du Québec et du Canada, notamment :

• Loi 25 — Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (RLRQ c. P-39.1)
• PIPEDA — Loi sur la protection des renseignements personnels et les documents électroniques (L.C. 2000, ch. 5)
• Code civil du Québec (RLRQ c. CCQ-1991) — Dispositions relatives à la vie privée et à la protection des renseignements personnels (art. 35-41), prescription extinctive (art. 2925) et compétence internationale des autorités québécoises (art. 3148)
• Codes de déontologie professionnels applicables aux Clients et Utilisateurs finaux (notamment le Code de déontologie des comptables professionnels agréés du Québec, RLRQ c. C-48.1, r. 6)

Conformément à l'article 3148 du Code civil du Québec, tout litige relatif à la présente politique sera soumis à la juridiction exclusive des tribunaux du Québec, district judiciaire de Montréal. Les parties renoncent expressément à toute autre juridiction qui pourrait être compétente.

20. Conditions Générales d'Utilisation

Le site kantia.ca est un site de présentation et de prise de rendez-vous ; aucun contrat de service n'y est conclu directement. Les conditions générales d'utilisation s'appliquent au niveau de chaque produit de la Plateforme Kantia (Fiscalis, PayFlux, Finveris, CpaForce, etc.) et sont présentées à l'utilisateur lors de l'inscription au portail concerné, car les modalités (livrables, niveaux de service, obligations déontologiques applicables) diffèrent d'un produit à l'autre.

Pour obtenir un exemplaire des conditions d'utilisation d'un produit Kantia avant inscription, ou pour toute question contractuelle, contactez Kantia à security@kantia.ca.

21. Contact

Pour toute question relative à la protection de vos renseignements personnels, pour exercer vos droits ou pour signaler un incident :

Politique de Confidentialité — K1-V3.0 — Date d'effet : 15 mai 2026
Kantia Inc. — Tous droits réservés.