Politique de confidentialité.

Blankit Health Inc. est une société canadienne qui fournit un logiciel-service aux conseillers en assurance collective indépendants et aux agences générales de gestion au Canada. Notre plateforme aide ces cabinets à gérer leur portefeuille de clients, à analyser les renouvellements des assureurs et à répondre aux questions des adhérents sur leur couverture.

Nous sommes le responsable du traitement des renseignements personnels concernant les conseillers et le personnel des cabinets qui utilisent directement notre produit. Nous agissons à titre de mandataire (pour le compte des cabinets abonnés) à l’égard des renseignements sur les promoteurs de régime et les adhérents que ces cabinets téléversent dans la plateforme.

Données de compte (responsable du traitement).

Lorsqu’un conseiller ou un administrateur de cabinet crée un compte, nous recueillons : le nom complet, l’adresse courriel professionnelle, le mot de passe haché, le secret facultatif d’authentification à deux facteurs (chiffré au repos), le nom du cabinet et l’adresse IP des événements d’authentification. Nous recueillons ces renseignements pour fournir le service et protéger le compte.

Données de facturation (responsable du traitement).

Pour les abonnements payants, nous recueillons : le nom de la personne-ressource pour la facturation, l’adresse courriel de facturation, le nom de l’entreprise, le niveau d’abonnement et l’état des paiements. Les renseignements de carte sont traités par Stripe et ne sont jamais vus ni conservés par blankit. Nous recueillons également des registres d’utilisation de l’IA aux fins de facturation : chaque action alimentée par l’IA enregistre son utilisation de calcul (jetons, coût et crédits), attribuée au conseiller qui l’a effectuée. Ces registres alimentent le tableau de bord d’utilisation du cabinet et la facturation à l’usage; seule la quantité d’utilisation globale du cabinet est transmise à Stripe — jamais le détail par conseiller, et jamais le contenu des documents ou des messages. Les registres d’utilisation bruts sont conservés pendant 24 mois (le délai de contestation de la facturation); les factures et les registres d’audit demeurent ensuite la trace durable.

Données des clients (mandataire).

Les cabinets abonnés téléversent des données sur leurs clients promoteurs de régime (noms des employeurs et coordonnées), des brochures de garanties, des documents sur l’expérience de réclamations, des soumissions d’assureurs et des analyses de renouvellement. Nous traitons ces données strictement selon les instructions documentées du cabinet, conformément à notre entente de traitement des données. Le cabinet — et non blankit — est le responsable du traitement de ces données.

Données des adhérents (mandataire).

Lorsqu’un cabinet active l’agent conversationnel destiné aux adhérents, les adhérents peuvent soumettre des messages et (dans les parcours facultatifs d’adhésion à l’assurance maladies graves) des coordonnées. Le cabinet est le responsable du traitement. L’agent conversationnel peut être utilisé sans vous identifier, nous ne demandons aucun renseignement personnel pour commencer une conversation, et le contenu des messages n’est pas conservé une fois la réponse produite. Lorsqu’un adhérent choisit de s’identifier — en demandant un suivi par un conseiller ou en commençant une adhésion à l’assurance maladies graves — nous consignons son consentement explicite à ce moment, ainsi que la version de l’avis qui lui a été présentée, et ce consentement peut être retiré en tout temps.

Un cabinet peut également offrir le même agent conversationnel dans l’espace de travail Slack d’un promoteur de régime. Rien de ce que nous conservons ne change dans ce cas — toujours aucun contenu de message — mais l’environnement lui-même ne nous appartient pas : l’espace de travail appartient à l’employeur de l’adhérent, et ce qu’un employeur peut voir ou exporter de cet espace est régi par les contrôles d’administration propres à Slack et par le forfait Slack de cet employeur, et non par nous. Les adhérents en sont informés avant leur première question, et l’agent conversationnel Web demeure accessible à quiconque préfère poser ses questions en dehors de l’espace de travail de son employeur. Voir notre avis de confidentialité de l’agent conversationnel.

Télémétrie opérationnelle et de sécurité.

Nous journalisons les événements de l’application (entrées du journal d’audit, traces d’erreurs, habitudes d’accès) aux fins de sécurité et d’intervention en cas d’incident. Ces journaux peuvent comprendre l’adresse IP, l’identifiant de l’utilisateur et l’action effectuée.

Nous utilisons les renseignements personnels pour :

• Fournir, exploiter et améliorer la plateforme.
• Authentifier les utilisateurs et protéger les comptes.
• Traiter les paiements d’abonnement.
• Envoyer des communications opérationnelles (réinitialisations de mot de passe, alertes de sécurité, annonces de service).
• Exécuter les processus analytiques que les cabinets abonnés ont configurés — analyse de renouvellement, comparaison de brochures, sommaires pour les employés, réponses de l’agent conversationnel.
• Répondre aux demandes de soutien.
• Respecter nos obligations légales, y compris répondre aux demandes légitimes des autorités canadiennes.

Nous ne vendons pas de renseignements personnels. Nous ne les utilisons pas à des fins de publicité de tiers.

Nous utilisons un petit nombre de témoins internes, tous nommés avec le préfixe blankit-. Nous n’utilisons aucun témoin publicitaire, témoin d’analyse ni témoin de suivi intersites. Il n’y a aucun Google Analytics, aucun pixel publicitaire et aucune balise de réseau publicitaire ou de courtier en données nulle part sur notre site ou dans notre produit.

Nous mesurons bel et bien l’utilisation de notre site et de notre produit, sans témoins et sans rien transmettre à un fournisseur d’analytique. Voir Analytique ci-dessous.

Strictement nécessaires.

Ces témoins sont requis pour vous connecter et utiliser la plateforme. Les bloquer vous empêchera d’ouvrir une session. Ils sont tous HttpOnly, Secure et SameSite=Lax, ce qui signifie qu’ils ne sont envoyés qu’à nous, uniquement par HTTPS, et qu’ils ne peuvent pas être lus par le JavaScript de votre navigateur.

• Session de connexion — maintient la session d’un conseiller ouverte. Expire après 7 jours.
• Session du portail des adhérents — l’équivalent pour le portail des adhérents. Expire après 7 jours.
• Témoins d’authentification à deux facteurs, de clé d’accès et de réauthentification — vous accompagnent lors d’une invite d’authentification à deux facteurs, d’une procédure de clé d’accès ou d’une vérification renforcée avant une modification sensible des paramètres. Chacun expire en 5 à 10 minutes.
• Appareil de confiance — défini seulement si vous nous demandez de mémoriser un navigateur, afin que le second facteur ne vous soit pas demandé à chaque connexion. Expire après 30 jours, et est révoqué chaque fois que vous changez votre mot de passe ou modifiez vos paramètres d’authentification à deux facteurs.
• Emprunt d’identité pour le soutien — défini seulement pendant qu’un administrateur de blankit travaille dans le compte d’un cabinet à la demande de ce cabinet, afin que nous puissions revenir ensuite à notre propre compte. Chacune de ces sessions est consignée dans le journal d’audit.

Fonctionnels.

• Identifiant de visiteur de l’agent conversationnel — lorsqu’un cabinet a activé l’agent conversationnel destiné aux adhérents, nous définissons un identifiant généré aléatoirement afin que le conseiller du cabinet puisse voir à quelle fréquence l’agent conversationnel est utilisé. La valeur est une chaîne aléatoire opaque : elle ne contient aucun nom, aucune adresse courriel ni aucune adresse IP, elle n’est communiquée à personne, et elle ne sert ni à établir un profil ni à vous suivre sur un autre site. Elle ne dure que jusqu’à la fermeture de votre navigateur et n’est pas conservée d’une visite à l’autre. L’agent conversationnel vous en informe à l’écran avant qu’elle soit définie.
• Préférence de langue de l’agent conversationnel — mémorise la langue que vous avez choisie dans l’agent conversationnel. Expire après 1 an. La même préférence est également conservée dans le stockage local de votre navigateur afin qu’elle subsiste si le témoin est effacé.
• Cabinet du portail des avantages sociaux — mémorise le portail du cabinet-conseil auquel vous vous êtes connecté en dernier, afin que la page de connexion affiche son nom et son logo. Il ne contient que le nom abrégé public du cabinet, n’est communiqué à personne et expire après 1 an.

Analytique.

Nous mesurons l’utilisation de notre site marketing et de notre produit. Les trois systèmes ci-dessous nous appartiennent tous, fonctionnent tous sur nos propres serveurs à Montréal, et aucun ne définit de témoin ni ne transmet quoi que ce soit à un fournisseur d’analytique.

• Mesure du site et du produit — chaque consultation de page enregistre le chemin de la page (jamais la chaîne de requête), le nom d’hôte du site externe qui vous a dirigé vers nous, le cas échéant, et un identifiant de visiteur qui est un hachage salé à sens unique de votre adresse IP et de l’agent utilisateur de votre navigateur. Le sel est changé chaque jour, de sorte que l’identifiant ne peut servir à vous reconnaître le lendemain ni à vous suivre sur un autre site, et votre adresse IP elle-même n’est jamais conservée. Dans le produit accessible après connexion, les consultations de pages sont également attribuées au cabinet et au compte utilisateur, parce que l’administrateur d’un cabinet doit pouvoir voir comment sa propre équipe utilise la plateforme.
• Analytique du site marketing — sur nos pages marketing publiques seulement, nous exploitons notre propre installation de Plausible Analytics sur notre propre serveur à Montréal. Elle enregistre la page, le site référent, les paramètres de campagne figurant dans le lien que vous avez suivi (par exemple utm_source), votre pays, ainsi que votre navigateur, votre système d’exploitation et votre catégorie d’écran. Elle ne définit aucun témoin, ne conserve aucune adresse IP et ne crée aucun identifiant qui persiste au-delà de la journée. Parce qu’elle est auto-hébergée, aucune société d’analytique ne reçoit vos données.
• Cartes des clics et du défilement du site marketing — sur nos pages marketing publiques seulement, nous enregistrons l’endroit d’une page où un clic est effectué et jusqu’où vous faites défiler la page, afin de voir quelles parties d’une page sont utilisées. Chaque clic est conservé sous forme de position sur la page et le défilement de chaque visite sous forme de pourcentage de la longueur de la page, avec le chemin de la page (jamais la chaîne de requête) et l’indication que l’écran est de la taille d’un téléphone, d’une tablette ou d’un ordinateur. Nous n’enregistrons ni ce sur quoi vous avez cliqué, ni aucun texte de la page, ni rien de ce que vous tapez, ni votre adresse IP, ni aucun identifiant, de sorte qu’un clic ou un défilement ne peut être lié à vous, à un autre clic ou à une autre visite. Rien de cela n’est jamais enregistré dans le produit accessible après connexion ni sur le site des avantages sociaux des employés d’un cabinet.

Aucun de ces systèmes n’enregistre votre nom, votre adresse courriel ou quoi que ce soit que vous avez tapé. Aucun n’est utilisé à des fins publicitaires, et nous ne vendons ni ne communiquons ce qu’ils recueillent. Comme aucun témoin n’est en cause, bloquer les témoins ne change pas ce qu’ils enregistrent — si vous avez une question sur l’un d’eux, communiquez avec notre responsable de la protection des renseignements personnels ci-dessous.

Tiers qui définissent leurs propres témoins.

Deux fournisseurs que nous intégrons définissent des témoins à partir de leurs propres domaines lorsque leur composant se charge ou lorsque vous interagissez avec lui. Nous ne contrôlons pas ces témoins et nous ne les recevons pas :

• Cloudflare Turnstile — protection contre les robots et les abus sur nos formulaires publics. Ses témoins servent à distinguer un humain d’un script automatisé.
• Calendly — le module intégré de prise de rendez-vous sur nos pages marketing.

Chacun figure dans notre liste des sous-traitants.

Vos choix.

Vous pouvez bloquer ou supprimer les témoins dans les paramètres de votre navigateur. Bloquer les témoins strictement nécessaires ci-dessus vous empêchera de vous connecter; bloquer les témoins fonctionnels ne vous en empêchera pas — l’agent conversationnel fonctionne normalement sans eux et comptera simplement chaque visite comme une nouvelle visite. L’identifiant de visiteur de l’agent conversationnel s’efface de lui-même à la fermeture de votre navigateur; il n’y a donc rien à refuser d’une visite à l’autre.

blankit utilise l’intelligence artificielle (les modèles Claude d’Anthropic, accessibles par AWS Bedrock — les requêtes entrent dans AWS dans la région ca-central-1 et sont acheminées au moyen de profils d’inférence interrégionaux d’AWS, de sorte que le traitement peut avoir lieu à l’extérieur du Canada, y compris aux États-Unis, en vertu de l’entente de traitement des données d’AWS (AWS DPA)) pour extraire des données structurées des documents des assureurs et pour faire fonctionner l’agent conversationnel destiné aux adhérents.

L’IA ne prend pas de décisions ayant des effets juridiques ou des effets d’importance similaire sur des personnes. Elle extrait des renseignements des documents que le cabinet a téléversés et répond aux questions sur la couverture. Les calculs actuariels définitifs, les recommandations de renouvellement équitable et toute communication envoyée aux clients ou aux assureurs sont produits par un logiciel déterministe et examinés par un conseiller humain avant qu’on y donne suite.

En vertu de l’article 12.1 de la Loi 25, les personnes visées par une décision fondée exclusivement sur un traitement automatisé ont le droit d’en être informées et de faire réviser la décision par une personne. blankit n’exploite actuellement aucun processus décisionnel de ce type, et nous mettrons à jour la présente politique si cela change.

L’application elle-même fonctionne dans AWS Canada (Montréal — ca-central-1), et chaque octet des données des clients au repos — la base de données, le stockage d’objets et toutes les sauvegardes — y est stocké. Le traitement par l’IA fait exception : il est décrit au premier point ci-dessous et peut avoir lieu à l’extérieur du Canada.

Deux voies opérationnelles comportent un traitement transfrontalier, toutes deux encadrées par des mesures de protection contractuelles :

• Inférence interrégionale AWS Bedrock — toute l’inférence d’IA (Claude Haiku, Sonnet et Opus — utilisés pour l’acheminement de l’agent conversationnel, l’analyse des PDF de renouvellement, la comparaison de documents et l’extraction en masse) est invoquée au moyen des profils d’inférence global.* d’AWS, qu’AWS achemine vers une région disposant de la capacité nécessaire, de sorte que le traitement peut avoir lieu à l’extérieur du Canada, y compris aux États-Unis. Depuis le 2026-05-15, AWS n’accepte plus l’invocation à la demande d’aucun modèle Claude 4.x à partir d’une seule région; chaque appel est donc acheminé de cette façon. Le tout en vertu de l’AWS Customer Agreement et de l’AWS DPA. AWS déclare que Bedrock ne communique pas les requêtes ni les réponses aux fournisseurs de modèles, y compris Anthropic. blankit exploite Bedrock avec la conservation des données réglée à « aucune » (conservation nulle des données); AWS déclare que, dans ce mode, aucune donnée de requête ou de réponse n’est écrite dans un stockage durable ni communiquée au fournisseur du modèle.
• Stripe (États-Unis) traite notre facturation d’abonnement et notre facturation à l’usage. Seules l’identité de la personne-ressource pour la facturation du cabinet et les quantités globales d’utilisation de l’IA du cabinet (nombres de crédits pour la facturation à l’usage) sont transmises — jamais le détail par conseiller, et jamais de données sur les promoteurs de régime ou les adhérents.

Les courriels transactionnels, comme les réinitialisations de mot de passe et les condensés quotidiens de notifications destinés aux cabinets, sont envoyés par Amazon SES dans la région de Montréal d’AWS, en vertu des mêmes ententes AWS. Une fois livré, un message est détenu par le fournisseur de messagerie du destinataire, où que ce fournisseur stocke le courrier. Aucun renseignement sur la santé n’est jamais envoyé par courriel.

Pour la liste complète, consultez notre liste des sous-traitants.

Nous ne conservons les renseignements personnels que le temps nécessaire aux fins pour lesquelles ils ont été recueillis :

• Données de compte : pendant toute la durée du compte. Lorsqu’un cabinet ferme son compte, elles sont supprimées immédiatement, et toutes les copies, sauvegardes comprises, sont supprimées dans les 30 jours suivant la fermeture.
• Données de facturation : sept ans après la dernière facture payée, afin de respecter les exigences canadiennes de tenue de registres fiscaux.
• Registres d’utilisation de l’IA : les registres d’utilisation bruts par action (jetons, coût, crédits, conseiller auquel l’action est attribuée) sont conservés pendant 24 mois, puis supprimés automatiquement; lorsqu’un cabinet ferme son compte, le cabinet et le conseiller en sont retirés immédiatement. Les factures établies à partir de ceux-ci suivent la règle de facturation ci-dessus.
• Journaux d’audit : sept ans à compter de la date de l’événement consigné, puis supprimés automatiquement. Le journal d’audit d’un cabinet est supprimé avec le reste de ses données lorsqu’il ferme son compte; il ne reste que notre registre attestant la fermeture (identifiants, dates et décomptes seulement).
• Journaux de sécurité : journaux de l’application, du réseau et de l’équilibreur de charge pendant au plus 90 jours, et journaux d’accès au stockage pendant un an, pour les enquêtes sur les incidents de sécurité. Ils peuvent consigner des noms de fichiers et les pages consultées; ils ne sont pas supprimés à la fermeture d’un compte et expirent selon ce calendrier.
• Journaux d’accès du site marketing : 30 jours.
• Données des clients et des adhérents (mandataire) : pendant toute la durée de l’abonnement du cabinet. Lorsque le cabinet ferme son compte, elles sont supprimées immédiatement, et toutes les copies, sauvegardes comprises, sont supprimées dans les 30 jours suivant la fermeture. Si l’abonnement prend fin sans que le compte soit fermé, le cabinet dispose de 30 jours pour exporter ses données, puis d’un préavis d’au moins 14 jours avant que le compte soit fermé aux mêmes conditions.
• Conversations de l’agent conversationnel destiné aux adhérents : le contenu des messages n’est pas conservé du tout. Les questions et les réponses sont traitées pour produire une réponse et ne sont jamais écrites dans un stockage — il n’existe aucune transcription, ni de notre côté ni de celui du cabinet. Ce que nous conservons, c’est une trace qu’une conversation a eu lieu, portant une étiquette de sujet générale (par exemple « dentaire ») et aucun texte de message, conservée selon les mêmes règles que les autres données des adhérents ci-dessus. La version de ces renseignements destinée aux adhérents est notre avis de confidentialité de l’agent conversationnel.
• Registres des ententes : pendant toute la durée de la relation du cabinet avec nous. Lorsqu’un compte de cabinet est supprimé, nous supprimons le registre des ententes acceptées — y compris le nom, l’adresse courriel, l’adresse IP et l’appareil de la personne qui les a acceptées — ainsi que notre copie conservée du PDF contresigné. Si une partie de cette suppression ne s’achève pas, elle est signalée et terminée manuellement. La copie que nous envoyons par courriel à l’administrateur qui a accepté demeure dans sa propre boîte de réception; il lui appartient de la conserver ou de la supprimer.

Vous avez le droit de :

• Accéder aux renseignements personnels que nous détenons à votre sujet.
• Faire rectifier des renseignements inexacts ou périmés.
• Demander la suppression de vos renseignements, sous réserve des obligations de conservation ci-dessus.
• Recevoir une copie portable de vos données dans un format structuré et couramment utilisé.
• Retirer votre consentement lorsque le traitement est fondé sur le consentement — y compris pour les interactions avec l’agent conversationnel.

Pour exercer l’un ou l’autre de ces droits, communiquez avec notre responsable de la protection des renseignements personnels à l’adresse courriel ci-dessous. Nous répondons dans un délai de 30 jours, comme l’exige la LPRPDE. Une vérification de l’identité est requise avant que la demande soit traitée.

Si vous êtes un adhérent d’un client d’un cabinet et que vous souhaitez exercer ces droits à l’égard de données que le cabinet a téléversées, veuillez adresser votre demande à ce cabinet — il est le responsable du traitement de ces données.

Nous protégeons les renseignements personnels au moyen de mesures de sécurité administratives, techniques et physiques proportionnées à la sensibilité des données :

• HTTPS uniquement à l’équilibreur de charge de l’application (TLS 1.2 ou plus récent).
• Chiffrement au repos de la base de données, du stockage d’objets et du gestionnaire de secrets.
• Authentification à deux facteurs offerte pour chaque compte de conseiller; obligatoire pour les rôles d’administration.
• Isolement des locataires appliqué au niveau des requêtes de la base de données — un cabinet ne peut pas lire les données d’un autre cabinet, même en cas d’erreur de code.
• Journalisation d’audit centralisée de chaque action privilégiée.
• Sauvegardes chiffrées quotidiennes dans la même région canadienne.

Pour le détail opérationnel qui sous-tend ces affirmations, consultez notre page Confiance et sécurité.

Si nous constatons un incident de confidentialité qui présente un risque de préjudice sérieux — y compris une perte, un accès non autorisé ou une communication non autorisée — nous en aviserons sans délai les personnes concernées et la Commission d’accès à l’information du Québec (ainsi que les autres organismes de réglementation compétents), comme l’exigent la Loi 25 et la LPRPDE. Les cabinets abonnés seront avisés par l’entremise de leur personne-ressource pour la facturation ou la sécurité dans les 72 heures suivant la confirmation.

La plateforme ne s’adresse pas aux enfants de moins de 14 ans et nous ne recueillons pas sciemment de renseignements personnels auprès d’eux. L’agent conversationnel destiné aux adhérents est conçu pour les adhérents adultes couverts par un régime d’assurance collective canadien.

Nous pouvons mettre à jour la présente politique à mesure que le produit ou ses sous-traitants changent. Les modifications importantes seront communiquées par courriel aux personnes-ressources pour la facturation des cabinets et publiées sur cette page au moins 30 jours avant leur entrée en vigueur. La date de « Dernière mise à jour » en haut de la page indique la version en vigueur.