Corrigé le 28 août 2026 (CD26-1827) : Call Detect Inc. n'existe pas comme entité juridique. Call Detect est un département de Flaunel Technologie Inc., entité immatriculée ; l'immatriculation d'une entité dédiée, Call Detect Inc., interviendra au financement. Voir section 1.1.
Version : v1.0-MVP-2026-08-28
Entrée en vigueur : 28 août 2026
Langue officielle : Français (Québec). La version anglaise ci-après est une traduction de courtoisie ; en cas de divergence, la version française prévaut.
Call Detect Inc. (ci-après "Call Detect"), société par actions constituée sous le droit québécois, dont le siège social est situé à Montréal (Québec), Canada, est le responsable du traitement de vos renseignements personnels au sens de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (communément appelée Loi 25).
Corrigé le 28 août 2026 (CD26-1827) : « Call Detect Inc. » n'existe pas comme entité juridique distincte à ce jour. Flaunel Technologie Inc. (ci-après « Flaunel »), entité immatriculée au Québec dont le siège social est situé à Lévis (Québec), Canada, exploite le produit Call Detect comme département et est le responsable du traitement de vos renseignements personnels au sens de la Loi 25. L'immatriculation d'une entité dédiée, Call Detect Inc., interviendra au financement ; jusqu'à cette immatriculation, Flaunel Technologie Inc. demeure seule responsable du traitement.
Conformément à l'article 3.1 de la Loi 25, Call Detect a désigné un responsable de la protection des renseignements personnels :
Titre : Responsable de la protection des renseignements personnels, Call Detect Inc.
Courriel : privacy@calldetect.ca
Délai de réponse garanti : 30 jours ouvrables à compter de la réception de votre demande.
Corrigé le 27 août 2026 (acte de délégation et de désignation signé à Lévis le 27 août 2026, CD26-1827) : le paragraphe ci-dessus ne couvrait que la Loi 25, alors que l'acte qui désigne cette même personne couvre les deux régimes applicables.
Titre : William Nelson Atoundem Zebaze, administrateur de FLAUNEL Technologie Inc. et directeur du programme Call Detect, agissant par délégation écrite de la présidente au titre de l'article 3.1 de la Loi 25, et personne désignée au titre du principe 4.1 de l'annexe 1 de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE).
Courriel : privacy@calldetect.ca (aucune coordonnée personnelle)
Délai de réponse garanti : 30 jours ouvrables à compter de la réception de votre demande, conformément à l'article 32 de la Loi 25.
Toute demande relative à vos renseignements personnels doit être adressée à cette personne. Vous pouvez également soumettre votre demande directement dans l'application, depuis votre profil (section Confidentialité).
Call Detect applique le principe de minimisation des données (art. 5 de la Loi 25) : seuls les renseignements strictement nécessaires aux finalités décrites à la section 1.4 sont collectés. Le tableau suivant détaille chaque catégorie.
| Catégorie | Renseignement | Mode de collecte | Obligatoire |
|---|---|---|---|
| Identité numérique | Numéro de téléphone, stocké sous forme de condensé cryptographique HMAC-SHA-256 (jamais en clair) | Saisie directe ou détection automatique | Oui |
| Identité numérique | Adresse courriel, stockée sous forme de condensé cryptographique HMAC-SHA-256 (jamais en clair) | Saisie directe ou via authentification sociale (Google, Apple) | Non (alternatif au téléphone) |
| Personnalisation | Prénom d'affichage choisi par vous | Saisie directe | Non (un prénom générique est attribué si vous ignorez ce champ) |
| Protection contre la fraude | Métadonnées des appels entrants (numéro appelant, horodatage, durée) | Permission Android READ_CALL_LOG accordée explicitement | Oui, pour la fonction de détection |
| Consentements | Historique de vos consentements avec horodatage, version du texte présenté et décision | Générés automatiquement lors de l'inscription et à chaque modification | Oui (obligation légale Loi 25 art. 8) |
| Sécurité | Journaux d'événements de sécurité (connexions, échecs d'authentification, modifications de compte), sous forme d'empreintes tronquées | Générés automatiquement | Oui (obligation légale) |
| Amélioration du service | Données d'usage anonymisées et agrégées (fonctions utilisées, durées de session) | Générées automatiquement, uniquement avec votre consentement | Non |
| Communications | Adresse courriel pour l'envoi d'informations sur le produit | Déjà collectée lors de l'inscription | Non |
Ce que Call Detect ne collecte jamais :
- Le contenu audio de vos appels téléphoniques.
- Vos données de géolocalisation précise.
- Vos gabarits biométriques (empreinte digitale ou données de reconnaissance faciale) : ces données restent exclusivement sur votre appareil et ne sont jamais transmises à nos serveurs.
- Vos contacts téléphoniques sans votre consentement explicite.
| Finalité | Base légale (Loi 25) | Consentement requis |
|---|---|---|
| Détection et identification des appels frauduleux entrants | Exécution du contrat de service (art. 12) | Non (fonctionnement de base) |
| Gestion du compte et authentification sécurisée | Exécution du contrat de service (art. 12) | Non (fonctionnement de base) |
| Journalisation de sécurité inaltérable | Obligation légale (art. 12, Loi 25 ; Loi C-26 en vigueur) | Non |
| Amélioration du service par statistiques anonymisées | Consentement explicite (art. 12) | Oui, révocable |
| Communications sur le produit par courriel | Consentement explicite (art. 12) | Oui, révocable |
L'ensemble de vos renseignements personnels est hébergé exclusivement sur les serveurs Azure Canada East, situés à Québec (Québec), Canada, opérés par Microsoft Corporation en tant que sous-traitant de Call Detect. Aucune donnée personnelle n'est transférée hors du Canada sans votre consentement explicite préalable.
Corrigé le 27 août 2026 (PDG, vérifié à la source par Winston contre origin/develop) : l'ensemble de vos renseignements personnels est hébergé exclusivement sur les serveurs Azure Canada Central, en Ontario, Canada, opérés par Microsoft Corporation en tant que sous-traitant de Flaunel Technologie Inc. Cet hébergement en Ontario constitue une communication de renseignements personnels à l'extérieur du Québec au sens de l'article 17 de la Loi 25. Condition de publication : l'évaluation des facteurs relatifs à la vie privée exigée par cet article a été produite le 27 août 2026 (docs/AIPD_Evaluation_Article17_Communication_Ontario_2026-08-27.md, conclusion favorable ; entente écrite applicable : Microsoft Products and Services Data Protection Addendum, incorporé de plein droit à tout abonnement Azure), en attente de validation par le responsable de la protection des renseignements personnels avant que cette section ne soit considérée définitive (E13.10, CD26-1811). Aucune donnée personnelle n'est transférée hors du Canada sans votre consentement explicite préalable.
Les services Microsoft Azure utilisés sont : Azure Kubernetes Service (AKS), Azure Database for PostgreSQL, Azure Blob Storage, Azure Service Bus, Azure Monitor et Application Insights. Microsoft agit à titre de sous-traitant et est lié par un accord de traitement des données conforme à la Loi 25.
Le service Firebase Cloud Messaging (FCM) de Google LLC est utilisé pour les notifications poussées sur Android uniquement. Il reçoit un jeton de notification anonyme (sans données personnelles identifiantes). Il est soumis à un accord de traitement des données avec Call Detect.
| Catégorie de données | Durée de conservation | Justification |
|---|---|---|
| Données de compte (identifiant chiffré, prénom) | Durée de la relation contractuelle, puis 90 jours avant effacement définitif | Droit à l'oubli (art. 28 Loi 25) |
| Journaux d'appels et événements de sécurité | 24 mois | Conformité sécurité et litiges potentiels |
| Historique des consentements | Durée de la relation contractuelle + 3 ans | Preuve juridique (art. 8 Loi 25) |
| Pièces fiscales (forfaits payants, Phase 2) | 7 ans | Loi sur la fiscalité (art. 34 LFQ) |
| Données d'usage anonymisées | 36 mois, puis agrégation irréversible | Conservation minimale |
À la fermeture de votre compte, vos données personnelles identifiantes sont effacées dans les 30 jours (droit à l'oubli, art. 28 Loi 25), à l'exception des données soumises à une obligation légale de conservation plus longue (journaux fiscaux, historique de consentements).
En vertu de la Loi 25, vous disposez des droits suivants à l'égard de vos renseignements personnels :
Droit d'accès (art. 27) : Vous pouvez consulter les renseignements personnels que Call Detect détient à votre sujet et obtenir une copie.
Droit de rectification (art. 27) : Vous pouvez faire corriger tout renseignement inexact, incomplet ou équivoque.
Droit de retrait du consentement (art. 8) : Vous pouvez retirer votre consentement à tout moment pour les traitements basés sur le consentement (statistiques d'usage, communications produit). Le retrait n'affecte pas la licéité des traitements effectués avant celui-ci.
Droit à l'effacement (art. 28) : Vous pouvez demander l'effacement de vos renseignements personnels. Call Detect s'engage à y donner suite dans un délai de 30 jours, sous réserve des obligations légales de conservation.
Droit à la portabilité (art. 27) : Vous pouvez obtenir vos renseignements personnels dans un format technologique structuré et couramment utilisé (JSON), pour vous-même ou pour les transmettre à un tiers autorisé.
Droit d'opposition au profilage automatisé (art. 9) : Call Detect n'utilise aucune intelligence artificielle opaque pour prendre des décisions vous concernant. Le Score de Confiance est calculé par un algorithme transparent dont la formule est publiée. Corrigé le 27 août 2026 (PDG, CD26-1823) : conformément à l'article 12.1 de la Loi 25, qui exige de communiquer « les raisons, ainsi que les principaux facteurs et paramètres » d'une décision, Call Detect publie les facteurs et paramètres qui font monter ou descendre le Score de Confiance, pas la formule elle-même, ni ses poids, ni ses seuils : la publier donnerait le mode d'emploi du contournement à ceux contre qui le produit existe. Vous disposez du droit de contester tout score en 3 clics depuis votre tableau de bord (exigences E21.09 et E21.10 du RBE v3.1). Corrigé le 27 août 2026 : vous disposez du droit de contester tout score ; l'exercice de ce droit est décrit ci-dessous, avec les autres droits.
Comment exercer vos droits :
- Directement dans l'application : Profil (section Confidentialité et consentements, écran G3.04).
- Par courriel : privacy@calldetect.ca (réponse garantie sous 30 jours ouvrables).
Corrigé le 27 août 2026 (PDG, CD26-1823) : la Loi 25 (art. 32) exige qu'une demande puisse être adressée et traitée dans un délai de 30 jours, pas qu'un écran dédié existe dans l'application. Toute demande d'exercice de droit se fait aujourd'hui par courriel à privacy@calldetect.ca, avec réponse garantie sous 30 jours ouvrables. Un écran dans l'application (Profil, section Confidentialité) reste une amélioration prévue, pas une condition de publication de la présente politique.
Call Detect met en oeuvre les mesures de sécurité suivantes, conformément à l'article 10 de la Loi 25 :
En cas d'incident de confidentialité impliquant un risque sérieux de préjudice, Call Detect vous notifiera et notifiera la Commission d'accès à l'information du Québec dans les délais prévus par la Loi 25 (art. 3.5).
Si vous estimez que le traitement de vos renseignements personnels ne respecte pas la Loi 25, vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI) :
Site Web : www.cai.gouv.qc.ca
Téléphone : 1 888 528-7741
Call Detect vous informera de toute modification substantielle de cette politique par notification dans l'application au moins 30 jours avant l'entrée en vigueur des changements. La version en vigueur est toujours accessible dans l'application (Profil, section Confidentialité) et sur calldetect.ca/confidentialite. La version du texte présenté lors de votre consentement initial est conservée dans votre historique de consentements.
La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) s'applique au traitement des renseignements personnels par Call Detect dans le cadre d'activités commerciales à l'échelle du Canada. Call Detect s'engage à respecter les dix principes de fair information de l'annexe 1 de la LPRPDE.
Principe 1, Responsabilité : Call Detect est responsable des renseignements personnels qu'elle détient, y compris ceux confiés à des sous-traitants (Microsoft Azure, Google Firebase). Un responsable de la protection des renseignements personnels est désigné (privacy@calldetect.ca).
Principe 2, Détermination des fins : Les finalités du traitement sont déterminées avant la collecte et communiquées à la section 1.4 de la présente politique.
Principe 3, Consentement : Call Detect obtient votre consentement explicite avant de collecter, d'utiliser ou de communiquer vos renseignements personnels, sauf exception prévue par la loi. Le consentement implicite n'est jamais utilisé pour des finalités sensibles ou non essentielles.
Principe 4, Limitation de la collecte : Seuls les renseignements nécessaires aux finalités déclarées sont collectés, par des moyens justes et licites.
Principe 5, Limitation de l'utilisation, de la communication et de la conservation : Vos renseignements personnels ne sont pas utilisés ni communiqués à des fins autres que celles pour lesquelles ils ont été collectés, sauf avec votre consentement ou en conformité avec la loi. Les durées de conservation sont définies à la section 1.6.
Principe 6, Exactitude : Call Detect s'efforce de maintenir des renseignements personnels exacts, complets et à jour. Vous pouvez corriger vos renseignements depuis votre profil ou en écrivant à privacy@calldetect.ca.
Principe 7, Mesures de sécurité : Des mesures de sécurité adaptées à la sensibilité des renseignements sont mises en oeuvre (voir section 1.8).
Principe 8, Transparence : La présente politique est accessible en tout temps depuis l'application et sur calldetect.ca/confidentialite. Vous pouvez obtenir des renseignements sur les politiques et pratiques de Call Detect en écrivant à privacy@calldetect.ca.
Principe 9, Accès individuel : Sur demande écrite, Call Detect vous informe de l'existence, de l'utilisation et de la communication de vos renseignements personnels, et vous en donne accès dans un délai de 30 jours.
Principe 10, Recours : Vous pouvez contester le respect de ces principes en écrivant à privacy@calldetect.ca. Si votre plainte n'est pas résolue de façon satisfaisante, vous pouvez la soumettre au Commissaire à la protection de la vie privée du Canada (CPVP) :
Site Web : www.priv.gc.ca
Téléphone : 1 800 282-1376
Cette section entre en vigueur en Phase 2 (mars 2027), lors de l'expansion de Call Detect vers l'Europe et les Amériques. Elle est présentée ici à titre informatif pour les utilisateurs européens accédant au service pendant la période MVP.
| Finalité | Base légale RGPD |
|---|---|
| Détection des appels frauduleux, gestion du compte | Art. 6.1.b : Exécution du contrat |
| Journalisation de sécurité | Art. 6.1.c : Obligation légale ; Art. 6.1.f : Intérêts légitimes |
| Statistiques d'usage anonymisées | Art. 6.1.a : Consentement explicite |
| Communications produit | Art. 6.1.a : Consentement explicite |
Droit d'accès (art. 15) : Vous avez le droit d'obtenir confirmation que des données vous concernant sont traitées et d'en recevoir une copie.
Droit de rectification (art. 16) : Vous avez le droit de faire corriger toute donnée inexacte ou incomplète.
Droit à l'effacement (art. 17) : Vous avez le droit d'obtenir l'effacement de vos données dans les cas prévus par le RGPD, notamment si les données ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées.
Droit à la limitation du traitement (art. 18) : Vous avez le droit d'obtenir la limitation du traitement de vos données dans certaines circonstances, notamment pendant la vérification d'une demande de rectification.
Droit à la portabilité des données (art. 20) : Vous avez le droit de recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON), et de les transmettre à un autre responsable du traitement.
Droit d'opposition (art. 21) : Vous avez le droit de vous opposer à tout moment au traitement de vos données fondé sur l'intérêt légitime, sauf motif légitime impérieux ou exercice de droits en justice.
Droit de ne pas faire l'objet d'une décision automatisée (art. 22) : Call Detect n'utilise pas de prise de décision entièrement automatisée produisant des effets juridiques significatifs. Le Score de Confiance est un outil informatif calculé par un algorithme transparent et contestable.
Vos données sont hébergées au Canada. (Azure Canada East, Québec). Corrigé le 27 août 2026 : Azure Canada Central, en Ontario. Le Canada bénéficie d'une décision d'adéquation de la Commission européenne au titre de la LPRPDE, applicable aux organisations assujetties. Aucun autre transfert de données vers des pays tiers n'est effectué sans mécanisme approprié (clauses contractuelles types ou décision d'adéquation).
Call Detect désignera un délégué à la protection des données (DPO) ou recourra à un service DPO-as-a-Service (DPOaaS) pour la Phase 2 européenne. Les coordonnées du DPO seront communiquées dans la version v2.0 de la présente politique (entrée en vigueur : mars 2027).
Vous avez le droit de déposer une plainte auprès de l'autorité de protection des données de votre État membre de résidence au sein de l'Union européenne ou de l'Espace économique européen.
Corrected August 28, 2026 (CD26-1827): Call Detect Inc. does not exist as a legal entity. Call Detect is a department of Flaunel Technologie Inc., an incorporated entity; a dedicated entity, Call Detect Inc., will be incorporated at financing. See section A.1.
Version: v1.0-MVP-2026-08-28
Effective date: August 28, 2026
Note: This English translation is provided for convenience. In case of any discrepancy, the French version prevails.
A.1 Identity of the data controller
Call Detect Inc. ("Call Detect"), a corporation incorporated under Québec law, with its registered office in Montréal (Québec), Canada, is the controller of your personal information within the meaning of Law 25.
Corrected August 28, 2026 (CD26-1827): "Call Detect Inc." does not exist as a distinct legal entity today. Flaunel Technologie Inc. ("Flaunel"), an entity incorporated in Québec with its registered office in Lévis (Québec), Canada, operates the Call Detect product as a department and is the controller of your personal information within the meaning of Law 25. A dedicated entity, Call Detect Inc., will be incorporated at financing; until then, Flaunel Technologie Inc. remains solely responsible as controller.
A.2 Privacy officer
As required by section 3.1 of Law 25, Call Detect has designated a privacy officer:
Title: Privacy Officer, Call Detect Inc.
Email: privacy@calldetect.ca
Response time: 30 business days from receipt of your request.
Corrected August 27, 2026 (delegation and designation instrument signed in Lévis on August 27, 2026, CD26-1827): the paragraph above covered only Law 25, while the instrument designating this same person covers both applicable regimes.
Title: William Nelson Atoundem Zebaze, director of FLAUNEL Technologie Inc. and program director for Call Detect, acting under the president's written delegation under section 3.1 of Law 25, and the person designated under principle 4.1 of Schedule 1 of the Personal Information Protection and Electronic Documents Act (PIPEDA).
Email: privacy@calldetect.ca (no personal contact information)
Response time: 30 business days from receipt of your request, in accordance with section 32 of Law 25.
A.3 Personal information collected
Call Detect collects only the information necessary for the purposes described in section A.4 (minimization principle, s. 5 of Law 25):
| Category | Information | Collection method | Required |
|---|---|---|---|
| Digital identity | Phone number, stored as HMAC-SHA-256 cryptographic hash (never in plain text) | Direct entry or automatic detection | Yes |
| Digital identity | Email address, stored as HMAC-SHA-256 cryptographic hash (never in plain text) | Direct entry or social authentication (Google, Apple) | No (alternative to phone) |
| Personalization | Display name chosen by you | Direct entry | No |
| Fraud protection | Incoming call metadata (caller ID, timestamp, duration) | Android READ_CALL_LOG permission, explicitly granted | Yes, for detection function |
| Consent records | History of your consents with timestamp, text version presented and decision | Automatically generated | Yes (legal requirement) |
| Security | Security event logs (sign-ins, authentication failures, account changes), in truncated hash form | Automatically generated | Yes (legal requirement) |
| Service improvement | Anonymized and aggregated usage data | Automatically generated, with your consent only | No |
| Communications | Email address for product updates | Already collected at registration | No |
What Call Detect never collects:
- The audio content of your phone calls.
- Your precise geolocation data.
- Your biometric templates (fingerprint or facial recognition data): these remain exclusively on your device and are never transmitted to our servers.
- Your phone contacts without your explicit consent.
A.4 Purposes of processing
| Purpose | Legal basis (Law 25) | Consent required |
|---|---|---|
| Detection and identification of incoming fraudulent calls | Performance of service contract (s. 12) | No |
| Account management and secure authentication | Performance of service contract (s. 12) | No |
| Immutable security logging | Legal obligation | No |
| Service improvement through anonymized statistics | Explicit consent (s. 12) | Yes, revocable |
| Product communications by email | Explicit consent (s. 12) | Yes, revocable |
A.5 Data hosting and residency
All your personal information is hosted exclusively on Azure Canada East servers, located in Québec City (Québec), Canada, operated by Microsoft Corporation as a data processor for Call Detect. No personal data is transferred outside Canada without your prior explicit consent.
Corrected August 27, 2026: all your personal information is hosted exclusively on Azure Canada Central servers, located in Ontario, Canada, operated by Microsoft Corporation as a data processor for Flaunel Technologie Inc. This Ontario hosting constitutes a communication of personal information outside Québec within the meaning of section 17 of Law 25. Publication condition: the privacy factor assessment required under that section was produced on August 27, 2026 (docs/AIPD_Evaluation_Article17_Communication_Ontario_2026-08-27.md, favorable conclusion; applicable written agreement: the Microsoft Products and Services Data Protection Addendum, incorporated by default into every Azure subscription), pending validation by the privacy officer before this section is considered final (E13.10, CD26-1811). No personal data is transferred outside Canada without your prior explicit consent.
A.6 Retention periods
| Data category | Retention period |
|---|---|
| Account data (hashed identifier, display name) | Duration of the contractual relationship, then 90 days before definitive erasure |
| Call logs and security events | 24 months |
| Consent history | Duration of the contractual relationship + 3 years |
| Fiscal records (paid plans, Phase 2) | 7 years |
| Anonymized usage data | 36 months, then irreversible aggregation |
A.7 Your rights
Under Law 25, you have the following rights regarding your personal information:
Corrected August 27, 2026: Law 25 (s. 32) requires that a request be receivable and handled within 30 days, not that a dedicated in-app screen exist. Every rights request today is made by email to privacy@calldetect.ca, with a guaranteed response within 30 business days. An in-app screen (Profile, Privacy section) remains a planned improvement, not a condition for publishing this policy.
A.8 Security measures
Call Detect implements the following security measures in accordance with section 10 of Law 25: TLS 1.3 encryption in transit on the database (private, internal network) and a guaranteed TLS 1.2 floor at the public entry point, with actual negotiation reaching TLS 1.3 for clients that support it (verified September 1, 2026); AES-256 encryption at rest; SHA-256 hashing of sensitive identifiers; mandatory multi-factor authentication; local biometric authentication; immutable audit trail; role-based and row-level access controls.
A.9 Supervisory authority (Québec)
To file a complaint: Commission d'accès à l'information du Québec (CAI), www.cai.gouv.qc.ca, 1 888 528-7741.
Call Detect complies with the ten fair information principles of Schedule 1 of PIPEDA: Accountability, Identifying Purposes, Consent, Limiting Collection, Limiting Use/Disclosure/Retention, Accuracy, Safeguards, Openness, Individual Access, and Challenging Compliance.
To file a complaint with the federal privacy authority: Office of the Privacy Commissioner of Canada (OPC), www.priv.gc.ca, 1 800 282-1376.
This section applies as of Phase 2 (March 2027). It is presented here for information purposes for European users accessing the service during the MVP period.
Your rights under the GDPR include: Access (Art. 15), Rectification (Art. 16), Erasure (Art. 17), Restriction of processing (Art. 18), Data portability (Art. 20), Objection (Art. 21), and the right not to be subject to solely automated decision-making (Art. 22).
Legal bases for processing: performance of a contract (Art. 6.1.b), legal obligation (Art. 6.1.c), legitimate interests (Art. 6.1.f), and explicit consent (Art. 6.1.a).
Data is hosted in Canada. (Azure Canada East) Corrected August 27, 2026: Azure Canada Central, Ontario. Canada benefits from a European Commission adequacy decision under PIPEDA. No other third-country transfers are made without appropriate safeguards.
To file a complaint with your local supervisory authority within the European Economic Area.
Call Detect, a department of Flaunel Technologie Inc., Lévis (Québec), Canada
privacy@calldetect.ca
calldetect.ca/confidentialite
Version v1.0-MVP-2026-08-28 ; entrée en vigueur le 28 août 2026