Politique de confidentialité

1. En bref

2. Responsable du traitement et responsable de la protection des renseignements personnels (LPRPDE et Loi 25 du Québec)

L'organisation responsable des renseignements personnels en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques du Canada (LPRPDE), de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec, telle que modifiée par la Loi 25 (projet de loi 64), et, le cas échéant, du Règlement général sur la protection des données de l'Union européenne et du Royaume-Uni (RGPD / RGPD britannique), est :

• Entité juridique (responsable du traitement) : Gestu Software Inc., constituée en société dans la province de l'Ontario (Ontario Corporation No. 1001744733), dont le siège social est situé au 175 Tancred St., Sault Ste. Marie, Ontario, P6A 2W5, Canada.
• Responsable de la protection des renseignements personnels (Loi 25 du Québec, art. 3.1) : Robert Bailey, directeur, Gestu Software Inc. Vous pouvez communiquer directement avec le responsable de la protection des renseignements personnels à privacy@gestu.ca.

3. Stockage sur l'appareil et ce qui reste sur votre téléphone

Gestu n'exige aucun compte d'utilisateur pour l'installation ou l'utilisation. Par défaut, les données de votre assistant personnel résident localement sur votre appareil Android :

• Identifiants chiffrés protégés par le matériel (EncryptedSharedPreferences) : Vos secrets sensibles — notamment les clés d'API des fournisseurs BYOK, votre clé virtuelle Gestu Pro et votre jeton de licence opaque, les mots de passe de courriel IMAP/SMTP, votre deviceId aléatoire propre à chaque installation et les clés de migration héritées — sont chiffrés au repos dans gestu_secure_prefs au moyen de AES-256-SIV (pour les clés) et de AES-256-GCM (pour les valeurs), scellés par une clé maîtresse conservée dans le Android Keystore protégé par le matériel de votre téléphone. Ce fichier de préférences est exclu de la sauvegarde infonuagique Android et du transfert d'un appareil à l'autre.
• Base de données locale des conversations (conversations.db) et fichiers du bac à sable : Vos transcriptions de clavardage, pièces jointes, souvenirs, tâches planifiées et fichiers du bac à sable Linux (gestu-build-home/) sont stockés dans le bac à sable privé de l'application sur votre appareil (/data/data/app.gestu.assistant*/). Sur Android, ce répertoire est isolé des autres applications par le cloisonnement des identifiants d'utilisateur du système d'exploitation et protégé au repos par le chiffrement par fichier (FBE) d'Android au niveau du système, plutôt que par un chiffrement SQLite distinct au niveau de l'application. Remarque sur la sauvegarde automatique Android : À moins d'être désactivée dans les paramètres de votre système Android ou exclue par la configuration de compilation, la sauvegarde automatique Android standard peut sauvegarder le stockage de l'application non lié aux identifiants dans votre compte Google Drive personnel, selon les conditions de Google.
• Exportations de paramètres à l'initiative de l'utilisateur : Si vous utilisez la fonction Exporter les paramètres, Gestu écrit les paramètres sélectionnés (qui peuvent comprendre les clés d'API, les mots de passe de courriel et les conversations si vous les sélectionnez) dans un fichier JSON non chiffré, dans le dossier de votre choix. Protégez avec soin les fichiers JSON exportés.
• IA et voix sur l'appareil : Lorsque vous clavardez avec un modèle LiteRT local ou que vous utilisez la synthèse vocale neuronale Sherpa-ONNX, tous les calculs se font sur le CPU, le GPU ou le NPU de votre téléphone. Aucun octet d'invite ou d'audio ne quitte votre appareil.
• Aucune télémétrie ni SDK publicitaire dans l'application : L'application Android Gestu n'intègre aucun SDK publicitaire, aucun SDK tiers de rapport d'erreurs et aucun outil de suivi analytique comportemental.

4. IA infonuagique : Gestu Pro géré ou clé personnelle (BYOK)

Lorsque vous choisissez d'envoyer un tour de clavardage ou le résultat d'un outil à un modèle d'IA infonuagique, le traitement de vos données dépend entièrement de l'utilisation de Gestu Pro géré ou de votre propre clé de fournisseur BYOK :

Voie B — Clé personnelle (BYOK — directement vers le fournisseur de votre choix) :

• Lorsque vous configurez votre propre clé d'API pour l'un des quelque 30 fournisseurs pris en charge (comme OpenAI, Anthropic, Google Gemini, DeepSeek, Mistral, xAI, Groq, OpenRouter, Together, Fireworks, Perplexity ou un point de terminaison personnalisé), votre téléphone envoie la demande directement de votre appareil au point de terminaison d'API de ce fournisseur. Les serveurs de Gestu ne sont pas sur le trajet.
• Votre demande est régie exclusivement par la politique de confidentialité, la période de conservation des données et la juridiction de ce fournisseur tiers.
• Avertissement important concernant les clés BYOK directes de DeepSeek : Si vous saisissez votre propre clé d'API personnelle sk-... de la plateforme de développement de DeepSeek, votre appareil se connecte directement à https://api.deepseek.com, exploité par Hangzhou DeepSeek Artificial Intelligence Co., Ltd. Selon la politique de confidentialité propre à DeepSeek, les données envoyées à api.deepseek.com sont transmises et conservées sur des serveurs exploités par DeepSeek elle-même, selon les conditions de DeepSeek et le droit de la juridiction d'origine de DeepSeek. Gestu Pro géré est une voie distincte qui n'utilise pas cette clé.

Voie C — Intégrations facultatives de recherche Web, d'illustrations de scènes et d'outils : Si vous ou l'assistant invoquez des outils externes pendant une conversation, seules les données nécessaires à cet outil quittent votre appareil : web_search envoie la requête de recherche à DuckDuckGo Lite (lite.duckduckgo.com) ; fetch_url demande la page Web cible ; get_location_from_ip interroge ipwho.is ; l'illustration interactive de scènes de récit demande une image générée à Pollinations (image.pollinations.ai) à partir d'une description de scène d'une ligne, sans identificateur personnel joint ; les outils de courriel se connectent à votre propre serveur IMAP/SMTP configuré ; la lecture à voix haute infonuagique (si vous configurez une clé OpenAI TTS) envoie le texte de la réponse à api.openai.com/v1/audio/speech ; et les outils MCP se connectent aux URL de serveurs MCP que vous activez.

Mode confidentialité totale : L'activation du Mode confidentialité totale dans Gestu bloque tout routage vers l'IA infonuagique et désactive la vérification quotidienne des mises à jour FOSS, forçant toute interaction vers les modèles locaux sur l'appareil afin qu'aucune invite ne puisse quitter votre téléphone.

5. Heartbeat en arrière-plan et autorisations de l'appareil (communication relative à l'adhésion volontaire)

Gestu comprend une fonction de vérification périodique en arrière-plan appelée le Heartbeat, qui peut examiner vos tâches en attente et vous aviser lorsqu'un élément requiert votre attention.

Répartition des autorisations entre la version FOSS installée manuellement et la version Google Play :

• Les deux versions (app.gestu.assistant.foss et app.gestu.assistant) : Demandent INTERNET (pour l'IA infonuagique, le téléchargement des modèles et les outils), POST_NOTIFICATIONS (pour les rappels et les alertes de tâches) et — uniquement lorsque vous invoquez la fonction pertinente à l'exécution — RECORD_AUDIO (transmise au service de reconnaissance vocale de la plateforme Android pour la dictée vocale ; Gestu ne conserve jamais d'enregistrement audio brut), READ_CALENDAR / WRITE_CALENDAR, READ_CONTACTS / WRITE_CONTACTS, ACCESS_COARSE_LOCATION / ACCESS_FINE_LOCATION et CALL_PHONE.
• Version FOSS installée manuellement seulement (app.gestu.assistant.foss) : Elle prend aussi en charge des autorisations facultatives, activées par l'utilisateur, que Google Play restreint : READ_SMS / SEND_SMS (pour les outils SMS de l'assistant et les résumés Heartbeat sur adhésion volontaire), BIND_NOTIFICATION_LISTENER_SERVICE (pour le tri local des notifications et le tri sur adhésion volontaire), BIND_ACCESSIBILITY_SERVICE (pour l'automatisation d'écran Contrôle de l'appareil consentie par l'utilisateur, qui bloque catégoriquement les paquets bancaires, de paiement et d'authentification à deux facteurs) et REQUEST_INSTALL_PACKAGES (pour installer les APK que vous compilez dans Gestu Build ou les mises à jour Gestu signées). Aucune de ces quatre capacités n'existe dans la version Google Play.

6. Données exactes que nous conservons sur nos serveurs

Nous ne recueillons et ne conservons que les dossiers minimaux côté serveur nécessaires pour vendre et exploiter Gestu Pro, prévenir l'usage abusif d'identifiants, envoyer des courriels transactionnels et respecter le droit fiscal canadien :

• Dossiers d'achat, de licence et d'activation (Cloudflare D1) : Lorsque vous vous abonnez à Gestu Pro, notre base de données de droits (`entitlements.gestu.ca`) conserve l'adresse courriel de votre client, l'identifiant client Stripe, l'identifiant d'abonnement, l'identifiant de facture ou de débit, le niveau de forfait (prix Fondateur US$99/an ou forfait Standard US$149/an), l'état de l'abonnement et les horodatages de début et de fin de période, un hachage HMAC-SHA256 de votre code d'activation (jamais le code en clair une fois la commande honorée ; une ligne temporaire d'exécution de commande conserve le code pendant au plus 24 heures afin que `/welcome/` puisse l'afficher une fois) et l'état de livraison des courriels transactionnels.
• Liaisons de sièges d'appareil et hachages de clés virtuelles (Cloudflare D1 et KV) : Lorsque vous réclamez ou actualisez une licence dans l'application, nous enregistrons un deviceId aléatoire propre à l'installation, le hachage SHA-256 de votre clé virtuelle émise (keyId), le nom et la version du paquet de l'application, ainsi que les horodatages de première vue, de dernière vue et de libération du siège (en appliquant la limite d'un appareil). Si vous vous abonnez par Google Play, nous conservons le hachage SHA-256 du jeton d'achat Play et un identifiant de compte Play obscurci.
• Compteurs mensuels de mesure des coûts (Cloudflare Durable Objects) : Notre passerelle d'inférence (`pro.gestu.ca`) maintient un objet durable LicenceMeter adossé à SQLite par licence, qui conserve le coût d'inférence cumulatif du mois civil en cours en microdollars US (µUSD), jusqu'à 2 baux de flux simultanés et l'état de vos droits. Il ne contient que des nombres et des indicateurs d'état — jamais le contenu des conversations.
• Dossiers de la liste d'attente avant lancement et de consentement (Cloudflare D1) : Si vous vous inscrivez à notre liste d'attente ou acceptez de recevoir des mises à jour sur les produits à partir de gestu.ca, nous enregistrons votre adresse courriel, l'horodatage UTC, le booléen de consentement explicite (consent: true), l'identifiant de version exact du libellé de consentement qui vous a été présenté (consentTextVersion) et la source (page/UTM), comme l'exige la démonstration du consentement exprès au titre de la Loi canadienne anti-pourriel (LCAP).
• Courriels d'assistance et d'ordre juridique : Si vous écrivez à support@gestu.ca, privacy@gestu.ca ou legal@gestu.ca, nous conservons votre adresse courriel et la correspondance afin de pouvoir vous aider et de tenir une piste de vérification des demandes relatives à la vie privée et aux remboursements.
• Analyse du site Web (Cloudflare Web Analytics sans témoins) et polices : Sur gestu.ca, nous utilisons Cloudflare Web Analytics, qui privilégie la vie privée et n'utilise aucun témoin, aucun localStorage et aucune empreinte inter-sites, et ne recueille que des mesures agrégées de pages vues et de rendement. Nos pages Web chargent aussi des polices de Google Fonts et des scripts d'animation du CDN jsDelivr, qui reçoivent l'adresse IP de votre navigateur dans le cours normal de la diffusion de ces fichiers statiques.

7. Sous-traitants et transferts transfrontaliers de données

Nous ne vendons, ne louons ni n'échangeons jamais vos renseignements personnels. Nous faisons appel aux fournisseurs de services tiers suivants (sous-traitants) pour exploiter Gestu et Gestu Pro :

• Fournisseur d'inférence infonuagique pour Gestu Pro géré (le fournisseur, le modèle et la région relèvent de la configuration et peuvent changer) :
  Rôle : Inférence d'IA pour Gestu Pro géré.
  Données : Demandes éphémères de complétion de clavardage (aucune conservation, aucun entraînement par Gestu).
  Emplacement : Selon la configuration du fournisseur — non garanti.
• Stripe, Inc. / Stripe Canada / Link (stripe.com/privacy et link.com/privacy) :
  Rôle : Marchand de référence (Stripe Managed Payments / Link) pour les abonnements Web sur gestu.ca (`LINK.COM* GESTU`).
  Données traitées : Renseignements sur la carte de paiement, adresse de facturation, adresse courriel, emplacement IP aux fins du calcul des taxes (TPS/TVH/TVQ/TVA), factures, renouvellements et remboursements.
  Emplacement : États-Unis, Canada et infrastructure mondiale de paiement de Stripe.
• Cloudflare, Inc. (cloudflare.com/privacypolicy) :
  Rôle : Réseau de périphérie, calcul sans serveur (Cloudflare Workers), base de données de droits (D1), magasin clé-valeur (KV), état des quotas (Durable Objects), stockage des téléchargements d'APK (R2 à dl.gestu.ca), limitation de débit et analyse Web sans témoins.
  Données traitées : Terminaison TLS, adresses IP aux fins de la protection contre les DDoS et de la limitation de débit, dossiers de licence et de quota, et télémétrie opérationnelle échantillonnée des Workers (codes d'état, durée d'exécution et hachages de clés tronqués — jamais le corps des invites).
  Emplacement : Canada, États-Unis et réseau de périphérie mondial de Cloudflare.
• Resend / Plus Five Five, Inc. (resend.com/legal/privacy-policy) :
  Rôle : Service de livraison de courriels transactionnels.
  Données traitées : Adresse courriel du client et contenu des courriels transactionnels (livraison du code d'activation, instructions de bienvenue et alertes de service).
  Emplacement : États-Unis.
• Web Hosting Canada (WHC.ca) :
  Rôle : Hébergement des boîtes de courriel de l'entreprise pour les adresses @gestu.ca (support@, privacy@, legal@gestu.ca).
  Données traitées : Messages de courriel d'assistance et de confidentialité entrants et sortants.
  Emplacement : Canada.

Avis de transfert transfrontalier (LPRPDE et Loi 25 du Québec, art. 17) : Bien que nos boîtes de courriel d'entreprise soient hébergées au Canada, l'achat d'un abonnement, la réception de courriels transactionnels ou l'acheminement par notre passerelle de périphérie entraînent le transfert de métadonnées de facturation, de courriel et de réseau à l'extérieur de votre province (y compris à l'extérieur du Québec) vers les États-Unis (Stripe/Link, Cloudflare et Resend). Lorsque des renseignements personnels sont traités aux États-Unis ou dans une autre juridiction étrangère, ils peuvent être accessibles aux tribunaux, aux forces de l'ordre et aux autorités de sécurité nationale de cette juridiction en vertu de ses lois locales. Si vous utilisez un fournisseur BYOK, vos invites sont envoyées dans le pays où ce fournisseur exploite ses serveurs.

8. Conservation et suppression des données

• Invites et complétions de l'IA gérée : 0 seconde après la fin du flux. Traitées uniquement en mémoire volatile et jamais écrites sur disque ni dans des bases de données par Gestu.
• Cache de code d'activation à usage unique de la commande (checkout_fulfillments) : Expire et est purgé automatiquement 24 heures après l'achat.
• Compteurs mensuels de coûts d'utilisation équitable : Réinitialisés le 1er de chaque mois civil ; les compteurs historiques de quota mensuel sont élagués après 60 jours.
• Liaisons de sièges d'appareil : Libérées immédiatement sur demande de libération manuelle ou de suppression de licence, ou évincées automatiquement lorsqu'un siège est inactif depuis 14 jours ou plus et qu'un nouvel appareil réclame un siège alors que la limite d'un appareil est atteinte.
• Dossiers d'achat, de taxe et de comptabilité : En vertu de la Loi de l'impôt sur le revenu canadienne et des règles de l'Agence du revenu du Canada (ARC), les dossiers de transactions financières et de factures doivent être conservés pendant six (6) ans à compter de la fin du dernier exercice fiscal auquel ils se rapportent. Sur demande de suppression de données, nous supprimons immédiatement vos liaisons d'appareil, vos clés virtuelles et vos jetons de droits actifs, et ne conservons que le registre comptable minimal exigé par le droit fiscal.
• Dossiers de consentement de la liste d'attente : Conservés tant que vous demeurez abonné aux mises à jour, puis archivés sous une forme minimale de suppression et de vérification pendant au plus 3 ans après votre désabonnement, uniquement pour démontrer la conformité à la LCAP et respecter votre retrait.

Pour obtenir des instructions étape par étape sur la suppression des données locales sur l'appareil et des dossiers de licence côté serveur, consultez notre section sur les droits ci-dessous ou écrivez à privacy@gestu.ca avec l'objet [DATA DELETION REQUEST].

9. Vos droits en matière de vie privée (LPRPDE, Loi 25 du Québec et RGPD / RGPD britannique)

Peu importe où vous vivez, nous accordons des droits solides en matière de vie privée à tous les utilisateurs :

• Droit d'accès et de portabilité : Vous pouvez demander une copie des renseignements personnels que nous détenons à votre sujet (comme votre dossier de licence, vos liaisons d'appareil et votre dossier de consentement de la liste d'attente) dans un format électronique structuré et couramment utilisé.
• Droit de rectification (correction) : Vous pouvez nous demander de corriger tout renseignement personnel inexact ou incomplet que nous détenons.
• Droit à l'effacement ou à la suppression (« droit à l'oubli » / déréférencement) :
  • Sur votre appareil : Supprimez toute conversation, tout souvenir ou tout fichier directement dans Gestu, ou effacez immédiatement toutes les données locales par Paramètres → Développeur → Réinitialiser les données ou par Paramètres → Applications → Gestu → Stockage et cache → Vider le stockage d'Android.
  • Sur nos serveurs : Écrivez à privacy@gestu.ca en indiquant l'adresse courriel de votre commande, votre code d'activation ou votre identifiant d'appareil. Nous révoquerons et purgerons vos clés virtuelles, vos liaisons d'appareil et vos données de profil actives dans les 7 jours ouvrables (et toujours dans le délai maximal légal de 30 jours), en ne conservant que les dossiers strictement exigés par le droit fiscal canadien.
• Droit de retrait du consentement : Vous pouvez retirer votre consentement au routage vers l'IA infonuagique en tout temps en passant à un modèle sur l'appareil ou en activant le Mode confidentialité totale ; retirer votre consentement aux sources du Heartbeat en désactivant les SMS, les notifications ou les courriels dans les paramètres ; et retirer votre consentement au marketing ou à la liste d'attente en tout temps en cliquant sur le lien de désabonnement de tout courriel ou en écrivant à privacy@gestu.ca.
• Bases légales du RGPD / RGPD britannique (pour les utilisateurs de l'EEE, de la Suisse et du Royaume-Uni) : Lorsque le RGPD ou le RGPD britannique s'applique, nous traitons les données personnelles sur les bases légales suivantes au titre du paragraphe 1 de l'article 6 : (a) l'exécution d'un contrat (art. 6, par. 1, b)) pour émettre les codes d'activation, vérifier les droits et acheminer les demandes Gestu Pro ; (b) le consentement explicite (art. 6, par. 1, a)) pour la communication unique relative à l'infonuagique de Gestu Pro, les sources Heartbeat sur adhésion volontaire et les courriels de la liste d'attente ; (c) l'obligation légale (art. 6, par. 1, c)) pour la conservation fiscale et comptable ; et (d) les intérêts légitimes (art. 6, par. 1, f)) pour protéger nos points de terminaison contre le bourrage d'identifiants, la fraude et l'usage abusif des quotas. Vous avez également le droit de limiter le traitement ou de vous y opposer.
• Plaintes auprès des autorités de contrôle : Si notre réponse à une préoccupation relative à la vie privée ne vous satisfait pas, vous avez le droit de communiquer avec le Commissariat à la protection de la vie privée du Canada (CPVP) (priv.gc.ca), la Commission d'accès à l'information (CAI) du Québec (cai.gouv.qc.ca), ou l'autorité de contrôle de la protection des données de votre pays de l'EEE ou du Royaume-Uni.

10. Sécurité et notification des atteintes

Nous protégeons les données au moyen d'une ingénierie de défense en profondeur :

• Hachage cryptographique des secrets : Les codes d'activation sont conservés sous forme de hachages HMAC-SHA256 avec un poivre côté serveur ; les clés virtuelles et les jetons Play sont conservés sous forme de hachages SHA-256. Même si notre base de données était inspectée, les clés brutes ne pourraient pas être reconstituées.
• Magasin de clés local protégé par le matériel : Les clés d'API et les clés virtuelles sur l'appareil sont scellées dans EncryptedSharedPreferences, adossé à l'Android Keystore.
• Sécurité du transport : Toutes les connexions à gestu.ca, entitlements.gestu.ca, pro.gestu.ca et dl.gestu.ca utilisent HTTPS / TLS 1.3. (Remarque : si vous configurez manuellement un point de terminaison personnalisé http:// pour un serveur de réseau local dans les paramètres BYOK, le trafic vers cette adresse `http://` personnalisée n'est pas chiffré.)
• Incidents de confidentialité et notification des atteintes : Nous tenons un registre des incidents de sécurité conformément à la LPRPDE et à la Loi 25 du Québec. Si un incident de confidentialité ou une atteinte à la sécurité visant des renseignements personnels en notre possession crée un risque de préjudice sérieux (ou un risque réel de préjudice important), nous aviserons promptement les personnes concernées, le Commissariat à la protection de la vie privée du Canada, la Commission d'accès à l'information du Québec (le cas échéant) et toute autre autorité de contrôle requise.

11. Vie privée des enfants

Gestu ne s'adresse pas aux enfants de moins de 14 ans (ni de moins de 16 ans dans l'Espace économique européen et les territoires où l'âge du consentement numérique est plus élevé). Conformément à la LPRPDE et à la Loi 25 du Québec (qui exige le consentement parental pour la collecte de renseignements personnels auprès de mineurs de moins de 14 ans), nous ne recueillons pas sciemment de renseignements personnels auprès d'enfants. Si vous croyez qu'un enfant nous a fourni des renseignements personnels, veuillez communiquer avec privacy@gestu.ca et nous les supprimerons promptement.

12. Modifications de la présente politique

Si nous apportons des modifications importantes à la présente Politique de confidentialité — y compris tout changement de notre fournisseur d'inférence géré, de son modèle ou de sa région, ou des catégories de données que nous traitons — nous mettrons à jour la date d'entrée en vigueur au haut de cette page et donnerons un avis bien en vue dans l'application ou par courriel avant l'entrée en vigueur de la modification.

13. Contact et responsable de la protection des renseignements personnels