Où vont vos données, et ce qui quitte le Québec
Echo Support tourne sur un serveur à Beauharnois, au Québec : les applications, la base de données et les fichiers y restent. Mais le texte de chaque conversation traitée par l’IA est transmis à OpenRouter, aux États-Unis, qui l’achemine vers le fournisseur qui exécute le modèle. Les renseignements sensibles ne sont pas masqués avant cet envoi. Cette page nomme chaque sous-traitant, ce qu’il reçoit, et où il est.
Faits vérifiés le . Chaque affirmation de cette page renvoie à ce que nous publions ou faisons tourner ; là où quelque chose n’existe pas encore, la page le dit.
Ce qui reste au Québec
- Les applications et la base de données : un serveur hébergé par OVH Hosting Inc. à Beauharnois, au Québec.
- Les fichiers : pièces jointes et documents de la base de connaissances vivent sur ce même serveur, sur un volume local, sans S3 ni service de stockage externe. Seule la sauvegarde chiffrée quitte le serveur.
- Le courriel transactionnel : un Mailcow auto-hébergé sur la même machine.
- L’historique des conversations : dans cette base. Seule sa sauvegarde chiffrée en sort (voir GitHub plus bas).
Ce qui n’y reste pas
Six sous-traitants du service reçoivent des données, et aucun n’est au Québec. C’est la liste que notre politique de confidentialité publie pour le service, avec ce que chacun reçoit réellement. Le site echo-group.ca est un autre périmètre : pour un visiteur arrivé par l’une de nos annonces, il peut charger la balise de Google Ads, décrite sur notre page Publicité et témoins.
| Sous-traitant | Ce qu’il reçoit | Où |
|---|---|---|
| OpenRouter, Inc. | Le texte des 12 derniers messages d’une conversation traitée par l’IA, et des extraits de votre base de connaissances quand l’assistant la consulte ; les documents que vous versez, pour en extraire le texte. Sur les forfaits payants, aussi ce que votre équipe demande elle-même à l’IA : reformuler un brouillon ou lui suggérer des réponses, l’analyse des questions fréquentes (les messages des visiteurs d’au plus 100 conversations, 10 par conversation), la traduction d’un article d’aide. Et, chaque mois, les étiquettes des conversations passées à un humain. | États-Unis — et il achemine vers le fournisseur qui exécute le modèle : DeepInfra (États-Unis ou Canada) ou, à défaut, Microsoft Azure (États-Unis). |
| Cohere Inc. | Le texte des documents et articles d’aide que vous indexez, chaque requête de recherche émise par l’assistant et, sur les forfaits payants, un résumé de chaque conversation résolue (4 000 caractères au plus ; courriels, numéros de téléphone, de carte, d’assurance sociale et IBAN masqués automatiquement quand ils sont reconnus). | Société canadienne ; le lieu de calcul n’est pas garanti au Canada. |
| Stripe | Les données de facturation. Jamais le contenu des conversations. | États-Unis. |
| Google LLC | Votre demande de connexion, si vous choisissez « Se connecter avec Google » : Google sait alors que vous vous connectez à Echo. | États-Unis. |
| Sentry | Les rapports d’erreur du tableau de bord et, quand une erreur survient, l’enregistrement de la session où elle s’est produite, textes, champs de saisie et médias masqués ; votre adresse IP. | Union européenne. |
| GitHub, Inc. | La sauvegarde quotidienne de la base, des fichiers et du courriel, chiffrée avant l’envoi. La clé reste chez nous : GitHub ne peut pas la lire. | États-Unis. |
Les renseignements sensibles ne sont pas masqués avant l’envoi au modèle (seul le résumé envoyé à Cohere l’est). C’est la raison pour laquelle nos conditions vous demandent de ne pas verser dans Echo Support de données de santé, de numéro d’assurance sociale ni de coordonnées bancaires.
Ce que l’IA ne reçoit pas
- Le nom et le courriel que le visiteur saisit dans le widget. Le prompt système ne porte aucune identité, le fil de l’agent est créé sous votre organisation, pas sous le visiteur, et ni les suggestions ni la reformulation ne les transmettent. Seule exception : ce que le visiteur écrit lui-même dans un message, comme le courriel de commande qu’une boutique Shopify lui demande pour retrouver sa commande.
- Les fichiers joints par un visiteur. Seul le nom du fichier entre dans le prompt — l’image ou le PDF n’est jamais envoyé au modèle.
- Les messages de vos visiteurs, si vous coupez l’assistant : votre équipe répond alors elle-même à chaque conversation. Ce qu’elle demande elle-même à l’IA (reformulation, suggestions, analyse des questions fréquentes) part quand même, et Cohere reçoit toujours le résumé masqué des conversations résolues.
Notre rôle au sens de la Loi 25
Vous demeurez la personne responsable des renseignements personnels que vos clients vous confient. Groupe Echo Inc. agit comme votre mandataire au sens de l’article 18.3 : nous n’utilisons ces renseignements que pour fournir le service, nous les gardons confidentiels, nous vous avisons de tout incident de confidentialité, et nous les détruisons ou vous les remettons sur demande. La clause complète est à la section 11 de nos conditions d’utilisation.
Notre équipe de support peut accéder à votre tableau de bord sans demande de votre part. Vous le voyez alors en direct, avec les pages ouvertes et les modifications faites, et chaque accès est consigné (section 11 de nos conditions d’utilisation).
Nous n’écrivons pas « conforme à la Loi 25 ». Aucune certification de ce genre n’existe, et l’évaluation des facteurs relatifs à la vie privée qu’appelle une communication hors Québec n’a pas été faite. Ce que nous pouvons faire, c’est vous dire exactement où vont les données — c’est l’objet de cette page, et c’est ce dont une telle évaluation part.
Les cinq questions à poser à n’importe quel fournisseur
Les guides de conformité convergent sur les mêmes cinq. Voici les nôtres, répondues.
| Question | Notre réponse |
|---|---|
| Où les données sont-elles hébergées ? | À Beauharnois, au Québec, pour tout ce que nous stockons. |
| Quelque chose quitte-t-il le pays ? | Oui : le texte des conversations traitées par l’IA, les documents indexés, le résumé masqué des conversations résolues et une sauvegarde chiffrée. Voir le tableau plus haut. |
| Servent-elles à entraîner des modèles ? | Nous n’entraînons aucun modèle. Pour le modèle de langage, chaque requête exige un fournisseur qui ne la conserve pas et ne s’en sert pas pour entraîner, selon les politiques de données qu’OpenRouter publie. Pour le reste, ce que les fournisseurs font de ce qu’ils reçoivent relève de leurs propres conditions. |
| Combien de temps sont-elles conservées ? | Tant que le compte existe. L’historique des conversations a une limite par forfait : chaque nuit, les conversations plus anciennes que la durée de votre forfait sont supprimées (purge automatique activée en production le 28 septembre 2026). |
| Acceptez-vous le statut de mandataire ? | Oui, par écrit, à la section 11 des conditions. |
Ce qui n’existe pas encore
Une page comme celle-ci ne vaut rien si elle n’énumère que ce qui marche.
- Aucun écran n’efface d’un coup tout ce qui concerne un visiteur. Vous pouvez supprimer une conversation, avec tout ce qui s’y rattache, ou une fiche de contact ; pour le reste, écrivez à vie-privee@echo-group.ca.
- Il n’y a pas non plus d’export en libre-service : nous préparons une copie sur demande, à la même adresse.
- Nous ne documentons pas de chiffrement au repos de la base de données, parce que nous ne l’avons pas établi. Seules les sauvegardes sont chiffrées.
Demandez-nous
Ce qui reste flou, ou ce dont vous avez besoin par écrit pour votre propre évaluation : vie-privee@echo-group.ca. Notre politique de confidentialité va plus loin.