Ce que nous recueillons, et ce que nous n’irons pas chercher.

Version du 2 novembre 2026

Qui est responsable

Remanso exploite la plateforme et répond de ce qui y est déposé. Les questions de confidentialité vont à la personne responsable de la protection des renseignements personnels, à confidentialite@remanso.ca. Nous répondons dans les trente jours.

Ce que nous recueillons pour créer un compte

Trois renseignements, et ils servent tous les trois :

• Votre nom complet — pour que vos collègues sachent qui a fait une modification dans un registre.
• Votre courriel — c’est votre identifiant, et c’est par là que passent les avis d’échéance et la réinitialisation de mot de passe.
• Le nom de votre organisation — pour créer votre espace et vous y rattacher comme première personne responsable.

Nous conservons aussi, techniquement : la date de création du compte, la date de dernière connexion, et l’adresse IP de vos sessions actives. Ce dernier point sert à vous permettre de fermer une session que vous ne reconnaissez pas.

La langue de la page où vous vous êtes inscrit, puis celle que vous choisissez dans vos réglages : nous la gardons avec votre compte, pour vous accueillir dans celle-là. Si vous choisissez de suivre votre appareil, l’écran suit votre navigateur.

De la connexion elle-même, nous gardons le strict nécessaire pour vous reconnaître : votre mot de passe haché — nous ne le connaissons pas et nous ne pouvons pas le retrouver — ou, si vous passez par Google ou Microsoft, les jetons que ce service nous remet pour le même usage. Nous conservons aussi le navigateur de chaque session active, à côté de son adresse IP et pour la même raison : vous laisser reconnaître, et fermer, une session qui n’est pas la vôtre.

Si vous vous connectez par Google ou Microsoft

Ces deux moyens sont offerts, en plus du courriel et du mot de passe, parce qu’ils évitent un mot de passe de plus à retenir. Quand vous les utilisez, nous recevons de leur part votre nom, votre courriel, votre photo de profil si elle existe, et un identifiant technique qui nous permet de vous reconnaître à la prochaine visite.

Ce que nous ne recevons pas, et ne demandons pas : votre liste de contacts, vos publications, vos amis, votre agenda, vos fichiers, votre historique. Nous demandons le strict minimum que ces services appellent profil de base.

Usage limité. Les renseignements obtenus des services Google servent uniquement à vous identifier et à vous ouvrir votre compte. Ils ne sont ni vendus, ni transférés à des tiers, ni utilisés pour de la publicité, ni lus par un humain — sauf si vous nous le demandez pour régler un problème, si la loi l’exige, ou pour une raison de sécurité que nous vous expliquerions. Cet usage respecte la Google API Services User Data Policy, y compris ses exigences d’usage limité.

Nous ne publions jamais rien en votre nom, sur aucun de ces services.

Ce que votre organisation dépose sur ses employés

C’est la partie sensible, et elle ne nous appartient pas : ces renseignements sont ceux de votre organisation, qui en reste responsable. Nous les traitons pour son compte.

Cela comprend, selon les modules utilisés : les noms des employés et des bénévoles, leurs qualifications et brevets, les dates d’obtention et d’échéance, et les pièces justificatives que vous téléversez.

Trois renseignements du dossier d’une personne sont facultatifs. Deux sont liés l’un à l’autre : la date de naissance d’une personne et sa photographie. La date ne sert qu’à une chose — vérifier l’âge — et une photographie n’existe au dossier qu’à partir de 18 ans. Sans date de naissance enregistrée, aucune photographie ne peut être déposée : l’inconnu vaut un refus. Cette règle est écrite dans le code et non dans un réglage — elle ne se désactive pas.

Ce choix a une raison précise. Nos clients confient des responsabilités à des personnes de quinze ou seize ans, et conserver la photographie d’une personne mineure appelle un consentement que nous n’avons aucun moyen de recueillir ni de prouver. Nous préférons ne pas la conserver du tout.

Une photographie ne paraît que sur la fiche de la personne : jamais dans une liste, jamais dans un export — à une seule exception, l’archive de sortie décrite plus bas, sous « Vos droits », qui rend à l’organisation, et à chaque personne pour elle-même, tout ce qu’elle détient, photographie comprise — et jamais dans ce que voit un autre employé.

Le troisième est le taux horaire. Il sert à une seule chose : estimer ce que coûtent des heures de travail — celles d’une semaine planifiée et, si votre organisation suit son budget dans Remanso, celles qu’elle impute à ses postes budgétaires. Ce n’est pas de la paie — Remanso ne verse rien, ne retient rien, n’émet aucun feuillet, n’établit la paie de personne et ne calcule pas d’ancienneté. Ce taux ne sert à calculer ni heures supplémentaires, ni primes. Les primes et le surtemps dont Remanso tient compte sont ceux que votre organisation lui indique, par ses propres règles ou par une saisie à la main sur un quart (voir plus bas) : il les range, les montre et les exporte, sans en décider.

Il suit les mêmes règles que la photographie, et deux de plus. Il ne paraît que sur la fiche de la personne, jamais dans une liste et jamais dans l’export d’une semaine. Il n’apparaît dans aucun écran d’employé, ni celui de la personne elle-même. Et il n’est visible que par les membres à qui l’organisation a accordé la permission « voir les coûts » — réservée à l’administration par défaut. Il figure en revanche dans l’archive de sortie, qui reprend tout le dossier d’une personne — taux compris : celle qu’une personne télécharge sur elle-même, et celle de toute l’organisation, que seul un administrateur télécharge et qui ne tient pas compte de la permission « voir les coûts ».

Le total affiché sur un horaire est un agrégat par journée : les heures sans taux au dossier en sont exclues et annoncées comme telles.

Au budget, ce que coûtent les heures d’un poste — l’engagé et le réel estimé — se calcule de la même façon, à l’écran comme dans l’export de l’état du budget. Le total d’un horaire et ce montant ne sont calculés que pour les membres qui ont la permission « voir les coûts », et ni l’un ni l’autre n’est masqué sous deux personnes : ils peuvent dire ce que coûtent les heures d’une seule personne, donc son taux — à des membres qui ont déjà la permission de le voir.

Deux autres renseignements, facultatifs eux aussi, vont ensemble : la date d’embauche et le rang de priorité d’une personne. Ils servent à deux choses, et à deux seulement : quand votre organisation choisit de donner un quart après un délai, départager les personnes qui ont levé la main ; et, quand elle fait choisir les horaires à tour de rôle, fixer l’ordre de passage — la date d’embauche, puis le numéro d’employé, jamais le rang de priorité. Ce n’est pas un calcul d’ancienneté aux fins de la paie : Remanso compare les dates que votre organisation a inscrites — ou, pour l’ancienneté à un lieu, la date du premier quart que la personne y a tenu. Ils paraissent sur la fiche de la personne et, pour l’ordre de passage, la date d’embauche paraît aussi dans la liste que voit la gestion de l’organisation ; une personne voit sa propre date d’embauche et son propre rang dans la liste, jamais ceux d’un autre employé.

Ce choix est alors fait par le logiciel seul, selon le critère que votre organisation a retenu : l’ancienneté, le rang, les heures déjà à l’horaire, ou le hasard. L’écran « Quarts ouverts » dit à chaque employé, avant qu’il lève la main, le délai et le critère appliqués, et la décision passe par les mêmes vérifications que celles de l’administration — qualification exigée, chevauchement, congé approuvé — et ne donne jamais un quart qui ferait dépasser le maximum d’heures par semaine inscrit au dossier. Cette dernière vérification date du 26 septembre 2026.

Si votre organisation utilise le pointage, nous conservons les heures réellement pointées. Pour chaque quart : l’heure d’arrivée, l’heure de départ, la pause non payée prise, la pause payée prise quand votre organisation en accorde une, et d’où vient l’inscription — la personne l’a pointée elle-même, l’administration l’a saisie, ou le logiciel a fermé un départ que personne n’avait pointé. Ce dernier cas est toujours signalé : approuver une heure que personne n’a déclarée est précisément ce que nous refusons de rendre invisible.

S’y ajoutent, quand elles existent, la note par laquelle la personne explique un écart et celle par laquelle l’administration décide, avec qui a décidé et quand. Le temps payé est figé au moment de la décision, accompagné de la phrase qui l’explique — « tolérance d’entrée, sept minutes ». Il est figé pour une raison qui protège la personne : sans cela, modifier un réglage réécrirait des feuilles de temps déjà approuvées. Et cela reste en dehors de la paie — Remanso classe des minutes dans des catégories que votre organisation a nommées, il ne verse rien et n’émet aucun feuillet.

La position de votre téléphone n’est demandée qu’au moment où vous pointez, et seulement si votre organisation l’a choisi. Votre organisation peut définir une zone autour de ses lieux de travail ; par défaut, aucune position n’est demandée. Quand elle l’a choisi, l’écran « Mes heures » demande la position de votre téléphone au moment où vous appuyez sur « Je suis arrivé » ou « Je pars » — jamais avant, jamais après, jamais en arrière-plan. Votre navigateur vous demande d’abord la permission, et vous pouvez refuser : le poinçon passe quand même, marqué « sans position », et part à l’approbation.

Nous ne conservons que la distance entre ce point et le lieu du quart, et le verdict qui en découle — dans la zone, hors de la zone, ou inconnu. Vos coordonnées servent à ce calcul, puis sont oubliées : elles ne sont jamais enregistrées, et personne ne peut voir où vous étiez. La position est calculée par votre téléphone ; Remanso n’appelle aucun service de localisation. Si votre organisation refuse les poinçons hors de la zone, un poinçon fait loin du lieu est refusé, et l’écran vous le dit. La borne de poinçon ne demande aucune position : elle est déjà dans son lieu.

Nous n’enregistrons aucune donnée biométrique. Aucun écran ne lit d’empreinte digitale ni de visage : un renseignement biométrique appelle un consentement exprès que nous n’aurions aucun moyen de recueillir ni de prouver. Ce que nous ne recueillons pas ne peut pas fuiter.

Une borne de poinçon est un écran public, et son NIP se garde chiffré. Votre organisation peut installer une tablette dans un lieu de travail : on y tape son numéro d’employé, puis un NIP de six chiffres, tiré au hasard ou choisi par l’administration. La borne ne vérifie qu’une empreinte lente et salée du NIP, dont on ne peut pas remonter au NIP. Le NIP lui-même est gardé chiffré, avec une clé qui ne quitte pas le serveur : seules les personnes qui règlent les modules de votre organisation — son administration, à moins qu’elle n’en décide autrement — peuvent le relire, pour le redonner à qui l’a oublié. Nous gardons aussi la date à laquelle il a été posé, et la dernière fois que la borne a servi.

Une borne posée sur un lieu ne voit que les quarts de ce lieu, et elle se verrouille une minute après dix essais ratés. Elle n’existe que si votre organisation en crée une : tant que personne ne l’a fait et qu’aucun NIP n’est posé, rien de tout cela n’est enregistré.

La même tablette peut aussi recevoir les relevés des registres, si votre organisation le choisit. On s’y identifie une fois, avec le même numéro et le même NIP, pour une séance de travail qui se ferme après dix minutes sans activité, au bout d’une heure au plus, ou d’un bouton. Chaque relevé garde qui l’a fait, la borne et l’heure. Quand le réseau manque, la tablette garde les relevés dans une file sur l’appareil : des identifiants, les valeurs et la séance signée — jamais un nom ni un NIP. La file part dès que le réseau revient et se vide à l’envoi ; un relevé que le serveur refuse reste affiché sur la tablette, pour qu’on le recopie, jusqu’à ce qu’on l’efface. Ce paragraphe a été ajouté le 20 octobre 2026, quand les relevés sont arrivés sur la borne.

Les paragraphes sur le pointage et la borne ont été ajoutés le 22 septembre 2026, quand le pointage est arrivé dans le produit. Ceux sur la position et la pause payée l’ont été le 24 septembre 2026 : jusque-là, aucun écran de Remanso ne demandait la localisation d’un appareil. Le NIP relisible par l’administration date du 25 septembre 2026 : jusque-là, il ne s’affichait qu’une fois.

Les absences. Une demande de congé conserve la période, la sorte d’absence, la décision et qui l’a rendue — et le motif, si la personne en écrit un. Ce champ est facultatif dans le logiciel : exiger un motif pour une maladie est une politique d’organisation, pas une règle que nous imposons. C’est le renseignement le plus délicat que le produit puisse recevoir, et c’est précisément pour cela qu’il n’est jamais obligatoire.

Le travail au quotidien laisse des traces, et elles portent des noms. Qui a levé la main sur un quart ouvert et ce qu’il en a dit ; à qui un quart ouvert a été proposé, quand, et le moment où la personne l’a vu dans Remanso ; qui a demandé un remplacement, qui l’a pris, et pourquoi ; quel appareil est confié à qui et depuis quand ; à quelle équipe une personne est rattachée — donc où elle travaille et ce qu’elle peut voir ; et les notes libres qu’on attache à un quart, à une disponibilité, à un appareil ou à un relevé. Ce sont des faits d’horaire, pas des jugements.

« Vu » se mesure dans Remanso, jamais dans vos courriels. Une invitation à prendre un quart part par courriel, et ce courriel ne porte aucun pisteur : son ouverture n’est ni mesurée ni transmise. Ce que l’administration voit, c’est le moment où la personne invitée a ouvert, connectée, la liste des quarts ouverts qui porte ce quart — et cette liste le lui dit. Rien de tout cela n’est enregistré tant que votre organisation n’invite personne.

Ces deux ajouts datent du 24 septembre 2026. Ils décrivent les invitations aux quarts ouverts, arrivées dans le produit ce jour-là.

Les séances de requalification, si votre organisation en planifie : qui s’y inscrit ou s’en retire, qui attend sur la liste d’attente et dans quel ordre, et le résultat que l’administration consigne après la séance ; qui la donne : une personne au dossier, ou le nom d’un formateur de l’extérieur ; et, pour chaque inscription, la langue dans laquelle lui écrire, et le moment où son rappel est parti. Les confirmations et les rappels partent par courriel, sans pisteur, comme les invitations. Cet ajout date du 25 septembre 2026.

Les séances de formation — une formation en service, une rencontre d’équipe — suivent la même forme que les séances de requalification : qui s’y inscrit, qui attend, et la présence que l’administration consigne après. Elles ne consignent aucune qualification. Le total des heures de formation de chacun se calcule à partir des séances où sa présence est consignée ; il n’est pas écrit à part. Cet ajout date du 26 septembre 2026.

L’avis de publication. Quand un horaire est publié, un courriel le dit aux personnes qui l’ont demandé dans leur application — à elles seules, et tant qu’elles le veulent. Nous gardons ce choix, et la langue dans laquelle lui écrire. Le courriel ne porte pas l’horaire, seulement le lien pour le voir une fois connecté, et aucun pisteur. Cet ajout date du 26 septembre 2026.

Les courriels au personnel de Participants, si votre organisation les allume : un avis quand un rapport de progression est retourné au moniteur ou soumis à la coordination, et un résumé quotidien des rapports retournés ou en retard. Ils nomment des groupes et des nombres, jamais un enfant ; ils partent à l’adresse du compte de la personne, dans sa langue, par Mailjet, déjà nommé plus bas. Nous gardons seulement la trace qu’un résumé est parti, pour qu’il ne parte pas deux fois. Rien ne part tant que votre organisation n’a pas coché la case. Cet ajout date du 21 octobre 2026.

L’appel sur la tablette d’un lieu. Sur la tablette d’appel d’un lieu, la liste des participants (prénom et initiale du nom) n’existe que le temps de la séance du moniteur, qui s’ouvre avec son numéro d’employé et son NIP et se ferme après dix minutes sans geste ou à « Terminer » ; si le réseau manque, chaque présence touchée attend sur la tablette, sous forme d’identifiants sans aucun nom, jusqu’à son envoi, et au plus vingt-quatre heures. Cet ajout date du 21 octobre 2026.

Si votre organisation recueille les disponibilités pour une période, nous gardons, pour chaque personne à qui la demande est envoyée, sa réponse — oui, en réserve ou non —, les plages qu’elle indique et la note qu’elle ajoute ; qui l’a saisie si ce n’est pas elle, et quand ; quand la demande et ses rappels sont partis, et le moment où la personne l’a vue dans Remanso. Le courriel et la notification ne portent qu’un lien. Avant de répondre, la personne lit comment l’ordre du choix d’horaire est fixé, la date d’embauche inscrite à son dossier et qui joindre pour la faire corriger ou faire revoir son rang. Ces réponses sont conservées douze mois après la fin de la période, puis supprimées. Cet ajout date du 24 octobre 2026.

Le courriel de demande de disponibilités : il part à l’adresse du compte de la personne, dans la langue de l’écran d’où la gestion l’envoie, par Mailjet, déjà nommé plus bas ; il ne porte que le nom de votre organisation et un lien. Un rappel part au plus une fois par jour.

Si votre organisation fait choisir les horaires à tour de rôle, c’est le logiciel seul qui fixe l’ordre de passage des personnes qui ont répondu oui : la date d’embauche inscrite au dossier, la plus ancienne d’abord, puis le numéro d’employé, puis le nom ; une personne sans date d’embauche passe après celles qui en ont une, et une personne ajoutée à la liste ensuite passe à la fin. Chacune voit ce critère avant de répondre, puis son propre rang — jamais celui d’un autre — et qui joindre pour le faire revoir. Nous gardons, pour chaque personne de la liste, son rang, la date d’embauche et le numéro retenus au moment de la liste ; l’état de son tour, ses heures de début et de fin et le moment où l’avis lui est parti ; la note que le gestionnaire y écrit. Le courriel et la notification ne portent qu’un lien. Ces renseignements sont conservés douze mois après la fin de la période, puis supprimés. Cet ajout date du 24 octobre 2026.

Le courriel du choix d’horaire : il part à l’adresse du compte de la personne, dans la langue de l’écran d’où la gestion agit, par Mailjet, déjà nommé plus bas ; il ne porte que le nom de votre organisation et un lien, à la construction de la liste et quand vient le tour de la personne.

Le téléphone d’une personne et son contact d’urgence. Si l’administration de votre organisation les consigne, nous gardons, au dossier d’une personne, son numéro de téléphone et, si l’administration le consigne, le nom, le numéro et le lien d’une personne à joindre en cas d’urgence. Rien de cela n’est exigé et aucune adresse postale n’est demandée. Seule l’administration peut les lire : ils ne figurent dans aucune liste du personnel, aucun fichier exporté de cette liste, aucun courriel, aucune notification et aucun message texte, et ils ne sont transmis à personne. Ils restent au dossier tant que la personne y est, archivée ou non ; vider le champ les efface. La personne qui a un compte y retrouve son propre numéro et son contact d’urgence dans Mes données, et ils figurent dans l’archive de votre organisation. Ils sont détruits avec les dossiers de votre organisation, au délai indiqué plus bas. Le contact d’urgence est une personne tierce : c’est à votre organisation d’obtenir son accord avant de la consigner. Cet ajout date du 25 octobre 2026.

Les soldes de congé. Si l’administration de votre organisation les consigne, nous gardons, au dossier d’une personne et pour chaque type d’absence, les jours de congé que l’administration lui accorde pour l’année, un ajustement et une note. Le nombre de jours qu’il lui reste n’est pas gardé : il se calcule, à chaque lecture, à partir des absences approuvées. Rien de cela n’est exigé. L’administration lit les jours accordés, l’ajustement et la note, sur le dossier de la personne et dans la fenêtre où elle décide d’une demande d’absence ; la personne voit seulement, dans son espace, les jours qui lui restent pour l’année, par type d’absence. Ces renseignements ne figurent dans aucun courriel, aucune notification, aucune liste exportée ni aucun export de paie, et ils ne sont transmis à personne. Ils restent au dossier tant que la personne y est, archivée ou non. La personne qui a un compte les retrouve dans Mes données, et ils figurent dans l’archive de votre organisation ; ils sont détruits avec les dossiers de votre organisation, au délai indiqué plus bas. Cet ajout date du 25 octobre 2026.

Le journal des quarts. Nous gardons un journal de l’horaire : qui a créé, modifié, publié ou retiré un quart, ou y a affecté quelqu’un, et quand — et, de la même façon, qui l’a annulé, rétabli, dupliqué ou divisé, ou qui s’en est libéré. Chaque ligne porte le nom de la personne qui a posé le geste (ou la mention « le Système » quand c’est une tâche automatique), la personne concernée et, pour une modification, les anciennes et les nouvelles valeurs de l’heure, de la pause, du lieu, du rôle, de la qualification, du périmètre, du poste budgétaire et de la note du quart, tronquées à 80 caractères. Le journal se lit dans la fiche du quart, par les personnes de votre organisation qui ont accès à la gestion de l’horaire ; il n’est pas dans l’espace de l’employé, ne figure dans aucun courriel ni aucune notification, et n’est transmis à personne. Aucune purge automatique ne l’efface : il reste aussi longtemps que votre organisation a un compte, même quand le quart est retiré ou que la personne est archivée, et il est détruit avec les dossiers de votre organisation, au délai indiqué plus bas. Il figure dans l’archive de votre organisation ; la personne qui a un compte retrouve dans Mes données les lignes qui la visent (un quart où on l’a affectée ou dont on l’a retirée), avec le nom de qui a agi, mais pas celles où elle est seulement l’auteure du geste. Cet ajout date du 25 octobre 2026.

Les notes sur une personne. L’administration de votre organisation peut écrire des notes sur une personne de son équipe. Nous gardons, au dossier de cette personne, les notes que l’administration de votre organisation y écrit, avec le nom de leur auteur et leur date ; une note est un texte libre de 2 000 caractères au plus. Seule l’administration les lit : la personne concernée ne les voit pas dans l’application, et elles ne figurent dans aucune liste, aucun fichier exporté, aucun courriel et aucune notification, et ne sont transmises à personne. Si la personne qui a un compte télécharge ses données, sous Mes données, ces notes en font partie ; elles figurent aussi dans l’archive de votre organisation. Elles restent au dossier tant que la personne y est, archivée ou non, sauf si l’administration les retire, et elles sont détruites avec les dossiers de votre organisation, au délai indiqué plus bas. Cet ajout date du 25 octobre 2026.

La semaine type. Nous pouvons garder, au dossier d’une personne, les jours et les heures où elle peut ou ne peut pas travailler en temps normal, avec, si on les indique, les dates entre lesquelles cela vaut. Cette information sert seulement à signaler, au moment de choisir qui affecter à un quart, que le quart tombe en dehors de ses disponibilités habituelles ; elle n’empêche jamais une affectation. Elle est inscrite par les personnes de votre organisation qui tiennent le dossier du personnel ; elles la lisent, tout comme les personnes qui affectent les quarts (qui n’en voient que le signalement), et la personne la voit aussi, en lecture seule, dans son espace. Elle ne figure dans aucun courriel ni aucune notification, et n’est transmise à personne. Elle reste au dossier tant que la personne y est, archivée ou non. La personne qui a un compte la retrouve dans Mes données, et elle figure dans l’archive de votre organisation ; elle est détruite avec les dossiers de votre organisation, au délai indiqué plus bas. Cet ajout date du 25 octobre 2026.

Les clés et accès. Si votre organisation tient le registre de ses clés, cartes et casiers, nous gardons, pour chacun, son étiquette, ce qu’il ouvre et une note, ainsi que les clés, cartes et casiers qu’une personne a en main, depuis quand, et le journal de leurs remises et de leurs retours — y compris quand on les déclare introuvables ou retirés —, avec le nom de la personne concernée et celui du compte qui a consigné le geste. Le nom d’une personne est celui qui figure déjà à son dossier : le registre n’y ajoute aucun autre renseignement. Rien de cela n’est transmis à quiconque, ni par courriel ni par notification, et rien ne quitte le Québec. Peuvent le consulter les membres de votre organisation qui ont accès à l’inventaire, dans la portée qui leur est accordée ; celles et ceux qui consultent le dossier d’une personne y voient ce qu’elle a en main, jamais le journal. La personne ne le voit pas dans l’application. Une ligne du journal ne se modifie pas et aucun écran ne l’efface : elle reste aussi longtemps que votre organisation a un compte, même quand la clé est retirée du registre ou que la personne est archivée, et elle est détruite avec les dossiers de votre organisation, au délai indiqué plus bas. Les lignes qui nomment une personne figurent dans Mes données si elle a un compte, et tout le registre figure dans l’archive de votre organisation. Cet ajout date du 25 octobre 2026.

Le journal de formation. Lorsqu’une personne suit une séance de formation ou de requalification, nous gardons à son dossier sa présence et, si la personne qui consigne les résultats en écrit un, le mot court qui lui est adressé à l’issue de la séance (300 caractères au plus). Nous gardons aussi les compétences que la séance a fait pratiquer : ce que la séance a fait exercer, jamais un niveau ni une note sur la personne. La personne lit son historique, mot compris, dans son espace ; l’administration le lit dans le dossier de la personne, dans la portée de ses équipes. Il ne figure dans aucun courriel, aucune notification et aucun document imprimé. Les personnes qui peuvent exporter la liste du personnel peuvent aussi exporter ces séances dans un fichier, dans la même portée. Ces renseignements restent au dossier tant que la personne y est, archivée ou non, figurent dans Mes données et dans l’archive de votre organisation, et sont détruits avec les dossiers de votre organisation, au délai indiqué plus bas. Cet ajout date du 25 octobre 2026.

Les observations sur le terrain. Si votre organisation observe une personne à son poste, nous gardons à son dossier l’observation : le scénario, la date, le lieu, chaque critère atteint ou non avec un commentaire court, le nom de la personne qui a observé, et aussi le poste de surveillance où elle a eu lieu, le résultat d’ensemble choisi par la personne qui observe, le suivi demandé ou fait, et le fait qu’il s’agit d’une observation. Le résultat d’ensemble (conforme, à améliorer ou non conforme) est le jugement de la personne qui observe : le logiciel ne le calcule pas et ne classe personne. La personne observée lit l’observation terminée, en entier, dans son espace — jamais un brouillon, jamais celle d’une autre ; l’administration la lit dans la portée de ses équipes. Elle ne figure dans aucun courriel ni aucune notification et n’est transmise à personne. Elle reste au dossier tant que la personne y est, archivée ou non, figure dans Mes données et dans l’archive de votre organisation, et est détruite avec les dossiers de votre organisation, au délai indiqué plus bas. Cet ajout date du 25 octobre 2026.

Si votre organisation prépare un plan de surveillance et des secours (POSS) avec l’assistant, nous gardons, pour chaque relecture faite avec lui, la personne qui a relu un plan de surveillance, avec la fonction qu’elle indique et le jour de la relecture. La personne est celle dont le dossier du personnel est rattaché au compte connecté ; la fonction (« responsable aquatique », par exemple) est obligatoire, et l’écran demande de n’y écrire aucun nom. Une relecture enregistrée sans l’assistant ne garde que la fonction et le jour. Le nom de la personne n’apparaît que dans l’historique des revues, sur l’écran du plan, pour qui a la permission de gérer les plans de surveillance ; la feuille imprimée n’indique que la fonction et le jour. La personne retrouve ce lien dans Mes données, et il figure dans l’archive de votre organisation. Si son dossier est supprimé, le lien est retiré et la relecture reste avec sa fonction et sa date ; s’il est seulement archivé, le lien demeure. La relecture suit le plan, donc votre organisation, au délai indiqué plus bas. Rien n’est envoyé par courriel ni par notification, et rien ne quitte le Québec. Cet ajout date du 25 octobre 2026.

La mesure de visibilité d’un bassin. Si votre organisation mesure ce que voit une personne en poste depuis chaque endroit d’un bassin, la séance se fait sur des tablettes ouvertes par un lien : aucune ne demande de compte, aucune ne nomme quelqu’un. Nous gardons ce que votre organisation y consigne — le dessin du bassin, les postes, les conditions de la séance, une note, et, pour chaque case, si l’on voit, difficilement ou non —, sans nom, sans courriel et sans adresse IP ; n’écrivez aucun nom de personne dans les notes. Chaque tablette garde dans son navigateur un identifiant aléatoire, qui la distingue sans nommer personne et qui reste jusqu’à ce que les données du navigateur soient effacées, ainsi que les gestes pas encore envoyés, qui s’effacent à l’envoi. Le lien d’une séance cesse de fonctionner quand elle est terminée. Aucun service extérieur n’intervient : le code QR est dessiné chez nous. Ces données suivent le sort des dossiers de votre organisation, au délai indiqué plus bas. Cet ajout date du 25 octobre 2026.

Les installations de comptage. Une tablette placée à l’entrée d’un lieu ou d’une zone peut enregistrer un nombre de personnes présentes — un total, jamais un nom. Pour y être autorisée, la tablette affiche un code de six caractères, valable quinze minutes, qu’un administrateur de votre organisation saisit dans Remanso depuis son propre appareil ; aucun mot de passe n’est tapé sur la tablette. Remanso pose alors sur la tablette un témoin technique (un cookie, propre à cette installation, d’une durée de 90 jours sans usage) qui l’autorise à saisir des totaux pour cette installation seulement. Ce témoin ne contient aucun nom ; Remanso n’en garde que l’empreinte, avec la date de l’autorisation, le dernier usage et le nom de l’administrateur qui a autorisé l’appareil. L’administration peut retirer l’autorisation d’un appareil à tout moment. Les comptages saisis depuis une tablette ne portent ni nom ni appareil. Ces renseignements restent au Québec, avec le reste de votre dossier, et suivent sa durée de conservation : aucune purge ne retire à part les appareils révoqués ou expirés. Cet ajout date du 26 octobre 2026.

Les alertes de site. Si votre organisation l’a choisi, nous écrivons par courriel aux personnes à l’horaire d’un lieu qui sera fermé, et, si elles ont activé les notifications, par une notification au texte fixe (« Un message de votre organisation », sans nom, sans heure et sans lieu). Le courriel nomme le lieu et le jour, et l’heure quand la fermeture commence à une heure précise — jamais le motif. Un avis « fermé », lui aussi sans motif, s’affiche alors sur les écrans du lieu. De même, si elle l’a choisi, la direction et le personnel à l’horaire sur place reçoivent un courriel quand un lieu atteint sa capacité : il dit le lieu, le nombre, la capacité et l’heure du comptage, jamais une personne. Par défaut, rien n’est envoyé. Ces courriels partent aux adresses déjà au dossier, par Mailjet, déjà nommé plus bas, et ne contiennent que ce qui précède. Cet ajout date du 25 octobre 2026.

Le bilan de saison et le journal d’activité. Ces deux écrans ne gardent rien de nouveau : ils relisent ce que les modules consignent déjà. Le bilan ne montre que des totaux (heures, comptes, moyennes), jamais une ligne par personne, dans la page comme dans les fichiers CSV et PDF ; dans une très petite équipe, un total peut toutefois suffire à reconnaître ce qui concerne une seule personne. Le journal d’activité, réservé à l’administration de votre organisation, réunit les gestes que les modules consignent déjà : qui a donné ou retiré un accès à un dossier, qui a modifié un horaire, une inscription ou le prêt d’un appareil. Il nomme les membres du personnel concernés, avec le courriel de leur compte pour les accès ; il ne nomme aucun enfant. Chaque trace est conservée par son module, pour sa propre durée. Cet ajout date du 25 octobre 2026.

Les notifications sur l’appareil, si vous les activez depuis votre espace : l’adresse que le service de notification de votre navigateur donne à cet appareil, les deux clés qui chiffrent ce qu’on lui envoie, la langue de l’écran d’où vous l’avez activée, les sortes d’avis que vous avez choisies (horaire publié, quart à combler, message de votre organisation, alerte rouge d’un registre, demande de disponibilités ou tour au choix d’horaire), et le moment du dernier envoi. Pour le seul propriétaire de Remanso, une sorte d’avis de plus existe : « Un nouveau courriel est arrivé », qui ne dit ni de qui ni de quoi. Une notification ne nomme personne : elle dit « Votre horaire est publié », et le reste s’ouvre dans Remanso, derrière la connexion. Vous la retirez d’un geste, pour cet appareil ou pour tous les vôtres ; une adresse que le service déclare périmée est retirée d’elle-même. Cet ajout date du 26 septembre 2026.

Une seule sorte d’avis fait exception : l’alerte rouge d’un registre (par exemple, une valeur hors de la norme dans un bassin). Elle nomme le lieu, ce qui est rouge et sa valeur, parce qu’un avis qui n’en dit rien ne sert à rien ; elle ne nomme jamais une personne. Comme tout avis, elle est chiffrée de bout en bout, mais elle peut s’afficher sur l’écran verrouillé de l’appareil : votre organisation choisit d’y montrer le lieu et la valeur, le lieu seulement, ou aucun détail. Cet ajout date du 26 octobre 2026.

Les évaluations de compétences, si votre organisation les utilise : la date, l’échelle choisie, le niveau atteint par compétence, les notes écrites, et qui a consigné. C’est le seul endroit du produit où une personne en apprécie une autre, et nous le traitons comme tel.

Une signature est un nom tapé, jamais une image. Les relevés et les demandes de matériel en portent une : c’est du texte, saisi dans un champ, qui dit qui a fait le relevé. Nous ne recueillons aucun tracé, aucune image de signature manuscrite, et aucune donnée biométrique.

Et beaucoup d’écrans gardent qui a fait le geste : l’auteur d’une annonce, d’une page de bloc-notes ou d’un plan, la personne qui a déposé une pièce, celle qui a décidé d’une demande, celle qui est responsable d’une activité. Dans les blocs-notes d’équipe, la lecture elle-même laisse une trace : qui a lu quelle page, et qui y a été mentionné. C’est ce qui permet de revenir sur une modification et de savoir à qui la demander.

La prise de connaissance. Une page de bloc-notes peut demander qu’on confirme l’avoir lue et comprise. Nous gardons alors qui l’a confirmé, pour quelle version de la page et quand ; les personnes qui écrivent dans ce bloc-notes voient qui a confirmé et qui pas encore. Une page modifiée redemande la confirmation, et les précédentes restent. Cet ajout date du 26 septembre 2026.

Les personnes identifiées dans une page de bloc-notes. Une personne qui écrit dans le bloc-notes de votre organisation peut y identifier une personne dont elle peut ouvrir le dossier : c’est toujours un geste volontaire, jamais une détection automatique de noms. Nous gardons alors, au dossier de cette personne, les pages de bloc-notes où elle est identifiée, par qui et quand ; le texte de la page n’est pas copié au dossier. L’administration de votre organisation lit ce lien dans l’onglet Notes du dossier, dans les limites de sa portée, et seulement pour les pages qu’elle peut elle-même lire : elle y voit le titre de la page, son espace, son auteur et sa date, avec un lien vers la page. La personne identifiée ne le voit pas dans l’application, et il ne figure dans aucune liste, aucun courriel et aucune notification. Si elle a un compte et télécharge ses données, sous Mes données, ces liens en font partie, avec qui l’a identifiée et quand, et avec le titre, l’espace, l’auteur et la date de la page seulement si elle peut la lire ; ils figurent aussi dans l’archive de votre organisation. Le nom de la personne reste dans le texte de la page tant que la page le garde, et dans les versions antérieures de la page que l’historique conserve (qui sortent, elles aussi, dans l’archive de votre organisation). Le lien est retiré quand on retire le nom de la page, quand la page est supprimée ou quand le dossier de la personne l’est, et il est détruit avec les dossiers de votre organisation, au délai indiqué plus bas. Le bloc-notes n’est pas fait pour des renseignements de santé, ni pour ceux de clients ou de participants. Cet ajout date du 28 octobre 2026.

La sécurité de votre compte. Vous pouvez protéger votre compte par une deuxième vérification : un code à six chiffres que produit une application sur votre appareil (aucun message texte, aucun service externe). Nous conservons, chiffrés, le secret qui produit ces codes, la date d’activation, le nombre d’échecs récents, le dernier code accepté et le moment où un verrou se lève après cinq essais ratés ; nous conservons aussi l’empreinte (jamais le code lui-même) de dix codes de secours à usage unique et la date où chacun a servi, et nous notons, sur chaque session, le moment où la deuxième vérification a été donnée. L’administrateur d’une organisation peut exiger cette vérification de ses administrateurs ou, s’il le choisit, de tous les membres de son organisation. Nous envoyons à la personne concernée un courriel d’avis, à l’adresse de son compte, quand sa deuxième vérification est activée, retirée ou réinitialisée (par un administrateur de son organisation ou par l’équipe de Remanso, après vérification de son identité par un autre moyen), ou quand son organisation l’exige d’elle ; cet avis ne contient ni code, ni secret, ni lien. Nous gardons aussi la trace des changements de sécurité d’une organisation : ce qui a changé, quand, le compte de l’administrateur qui l’a fait (ou la plateforme) et le compte du membre visé. À la demande d’une organisation, l’équipe de Remanso peut ouvrir la « connexion d’organisation » : les membres entrent alors par le service d’identité que l’organisation a choisi. Nous conservons l’adresse de ce service, l’identifiant de l’organisation chez lui, le secret qu’elle nous a confié (chiffré), les noms de domaine qu’elle a prouvé posséder et, pour chaque membre, l’identifiant que ce service lui attribue et la date de sa dernière connexion par lui, ainsi que, sur chaque session, l’organisation dont la connexion l’a ouverte. Ce service reçoit votre navigateur, jamais vos données de Remanso. Un témoin de sécurité (voir « Témoins ») est posé pendant cette connexion et effacé ensuite. Le second facteur et les identifiants de connexion d’organisation disparaissent avec votre compte ; la trace de sécurité et la configuration de la connexion d’organisation disparaissent avec les dossiers de votre organisation, au délai indiqué plus bas. Aucun service tiers n’est ajouté à la liste. Cet ajout date du 31 octobre 2026 ; l’exigence pour tous les membres et le courriel d’avis datent du 2 novembre 2026.

La prime ou le surtemps inscrit sur un quart. Dans la feuille de temps, une personne de votre organisation qui a le droit de modifier l’horaire peut inscrire à la main, sur le quart d’un employé, une prime ou du surtemps (des heures supplémentaires) : en choisissant l’une des règles de votre organisation, dont les valeurs sont alors copiées, ou, si elle a aussi le droit de régler les primes et le surtemps, en saisissant une valeur pour ce seul quart. Nous conservons, pour ce quart et donc pour cet employé : sa sorte (prime ou surtemps), son code, son nom, son calcul, sa valeur, les minutes visées, le motif écrit et le compte de qui l’a inscrite. La feuille de temps en montre le nom, le code et la durée à qui la lit ; la valeur, le calcul et le motif ne se montrent qu’aux membres à qui l’organisation a accordé le droit de régler les primes et le surtemps. Le journal du quart garde que la saisie a été posée ou retirée, par qui et quand, avec son code, ses minutes et les quatre-vingts premiers caractères du motif, jamais sa valeur. L’employé ne la voit pas dans son espace ; il la retrouve, ligne entière, sous Mes données, et elle figure dans l’archive de votre organisation. Elle apparaît aussi dans le fichier d’export de paie que produit votre organisation, sous son code et son nom, avec un nombre d’heures — sans sa valeur ni son motif. Remanso ne verse rien et n’établit la paie de personne : il range la saisie, la montre et l’exporte, et les calculs qu’il en tire (heures visées, supplément estimé) suivent la règle ou la valeur que votre organisation a inscrite. Elle reste tant que le quart existe — un quart qui en porte une ne peut pas être retiré, seulement annulé — ou jusqu’à ce qu’une personne qui a le droit de modifier l’horaire la retire, et elle est détruite avec les dossiers de votre organisation, au délai indiqué plus bas. Elle reste au Québec avec le reste du dossier ; aucun service tiers n’est ajouté à la liste. Cet ajout date du 31 octobre 2026.

Les annonces : « J’ai lu » et les questions. Une annonce écrite par la gestion de votre organisation peut s’ouvrir en fenêtre à votre arrivée, vous demander de confirmer que vous l’avez lue et vous poser jusqu’à cinq questions (réponse courte ou longue, choix unique ou multiple). Le texte d’une annonce ne nomme personne, et ne figure dans aucune notification ni aucun courriel de Remanso. Quand une annonce demande de confirmer sa lecture, nous conservons, pour la personne qui confirme : son compte de membre et le moment où elle a confirmé avoir lu l’annonce. Quand elle pose des questions, nous conservons, pour la personne qui répond : ses réponses et un numéro tiré au hasard qui regroupe celles d’un même envoi, avec son compte de membre et le moment où elle les a données, sauf si l’annonce est anonyme (alors ni compte ni heure, seulement le jour où elle a répondu). On ne répond qu’une fois à une annonce, et ses questions ne changent plus dès la première réponse. Par défaut, les réponses portent le nom de qui les a données ; la gestion peut choisir, avant la première réponse, qu’une annonce soit anonyme : aucun compte ni aucune heure n’est alors gardé avec les réponses, et une annonce anonyme ne peut pas, en même temps, demander de confirmer sa lecture (cette confirmation porte un nom). Il reste seulement que la personne a répondu, et le jour. Cette protection vaut pour les écrans de l’application, les exportations et l’archive de votre organisation ; elle ne protège pas contre une personne qui aurait un accès direct à la base de données. La fenêtre le dit avant l’envoi. Les résultats sont lus par les personnes de votre organisation qui ouvrent l’écran des annonces de la gestion (jamais les employés) : le nombre de confirmations, les noms de qui a confirmé ou pas encore, les totaux par choix et les réponses libres, avec le nom de chacun sauf pour une annonce anonyme, dont les résultats ne s’affichent, question par question, qu’à partir de trois personnes ayant répondu à cette question. Vous retrouvez sous Mes données vos confirmations et les réponses données à votre nom ; celles d’une annonce anonyme n’y figurent pas, puisque l’application ne les relie pas à votre compte. Ces renseignements figurent dans l’archive de votre organisation. Ils restent avec l’annonce — ils disparaissent quand la gestion la retire —, avec le membre — pour ses confirmations et ses réponses nommées —, et ils sont détruits avec les dossiers de votre organisation, au délai indiqué plus bas. Ils restent au Québec avec le reste du dossier ; aucun service tiers n’est ajouté à la liste. Cet ajout date du 2 novembre 2026.

Les favoris du menu de gauche. Chaque personne peut épingler les modules qu’elle utilise le plus, et l’application peut lui en proposer d’autres d’après ce qu’elle ouvre souvent, dans le bloc « Souvent utilisés » du menu (trois au plus, jamais un module déjà épinglé ni un module que la personne n’a pas le droit d’ouvrir). Pour cela, nous conservons, pour chaque personne et chaque organisation : combien de fois elle a ouvert chacun des modules qu’un favori peut désigner, sous la forme d’un score qui diminue de moitié toutes les deux semaines, avec le moment de la dernière ouverture comptée. Une ouverture compte quand la personne ouvre un écran du module, au plus une fois par demi-heure et par module ; nous ne conservons ni la date de chaque visite, ni l’adresse de la page, ni le temps passé, et nous ne comptons jamais les écrans de base, les réglages, ni les modules déjà affichés en permanence dans le menu. Ce compte ne sert qu’à cette proposition : il n’apparaît dans aucun rapport et aucun écran de votre organisation, et personne d’autre que la personne ne voit la proposition qu’il produit. Vous le retrouvez sous Mes données, et il figure dans l’archive de votre organisation. Il reste tant que la personne est membre de l’organisation (le poids d’un module qu’elle n’ouvre plus s’éteint de lui-même), puis il est détruit avec le membre, ou avec les dossiers de votre organisation, au délai indiqué plus bas. Épingler un module remplace la proposition, et chaque personne peut refuser les propositions : sous « Mes favoris », « Ne plus me proposer de favoris » arrête le compte et efface celui qui est déjà gardé. Il reste au Québec avec le reste du dossier ; aucun service tiers n’est ajouté à la liste. Cet ajout date du 2 novembre 2026.

Enfin, chacun peut enregistrer ses propres vues d’un horaire — un filtre, un tri, un lieu. Elles ne servent qu’à la personne qui les a créées.

Nous gardons une trace des accès accordés. Quand l’administration d’une organisation rattache un compte au dossier d’une personne — ce qui donne à ce compte l’horaire, les heures, les congés et les disponibilités de cette personne — nous inscrivons qui l’a fait, pour quel compte, et quand. Le retrait de l’accès s’inscrit de la même façon.

Cette trace ne se modifie pas et ne s’efface pas — c’est ce qui en fait une trace. Elle n’est lisible que par l’administration de l’organisation concernée, elle disparaît avec cette organisation, et elle conserve le nom et le courriel tels qu’ils étaient au moment du geste, même si le compte est supprimé depuis.

Pour les vérifications d’antécédents judiciaires, nous avons fait un choix dont nous ne bougerons pas : nous enregistrons seulement qu’une vérification a été faite, sa date, et si elle révèle un empêchement. Jamais le contenu du rapport, jamais les motifs, jamais les antécédents eux-mêmes. Votre organisation a besoin de savoir si une personne peut travailler auprès de personnes vulnérables — pas pourquoi. Ce que nous ne stockons pas ne peut pas fuiter.

Si votre organisation recrute avec Remanso

Une candidature n’est pas un employé, et la section précédente ne la couvre pas : quelqu’un qui postule confie des renseignements à une organisation qui ne l’a pas embauché, et qui ne l’embauchera peut-être pas.

Ce qu’une organisation dépose alors : le nom, le courriel, le téléphone et le poste visé ; l’état de la candidature et la date où elle est arrivée ; et les appréciations d’entrevue — un niveau par critère, et ce que la personne qui reçoit écrit pendant l’entretien.

Ces renseignements suivent exactement les mêmes règles que ceux d’un employé : ils appartiennent à l’organisation, ils ne sortent pas du Québec, ils disparaissent avec elle. Et une personne qui a postulé a les mêmes droits que les autres — savoir ce que nous détenons, le corriger, le faire supprimer.

Les participants et leurs responsables

Si votre organisation inscrit des participants — à des cours, à des groupes, à un club —, elle dépose chez nous le nom du participant, sa date de naissance, le numéro que lui donne votre système d’inscription, et de quoi joindre ses responsables : leur nom, leur courriel, leur téléphone, leur lien avec le participant et la langue dans laquelle leur écrire. S’y ajoutent ses inscriptions : l’activité, le groupe et leurs dates. S’y ajoutent ses présences à chaque cours de son groupe, et les habiletés que le moniteur l’a vu réussir, cours par cours. Et les bulletins que votre personnel rédige. Ils arrivent le plus souvent d’un fichier que vous exportez de votre système d’inscription.

Beaucoup de participants sont mineurs, et c’est pour cela que la liste s’arrête là : aucune photographie, aucun renseignement de santé, aucune note libre sur la personne. Les présences et les habiletés observées datent du 26 septembre 2026. Un bulletin porte, pour chaque habileté, si elle est acquise, la réussite du niveau, le niveau recommandé ensuite et ce que le moniteur écrit ; il part en PDF, par courriel, aux responsables — jamais au participant mineur seul. Les bulletins datent du 26 septembre 2026.

Ces renseignements ne se gardent pas indéfiniment : ils sont retirés 90 jours après la fin de sa dernière session. Un participant n’est pas un employé : il n’a ni dossier, ni horaire, ni accès au produit, et il a les mêmes droits que quiconque — savoir ce que nous détenons, le faire corriger, le faire supprimer.

Une exception : les bulletins envoyés aux familles. Un bulletin (un rapport de progression) envoyé aux responsables est conservé cinq ans après la fin de la dernière session de l’enfant, pour qu’une famille qui l’a perdu puisse demander qu’on le lui renvoie. Cette copie porte ce que le bulletin dit : le nom de l’enfant, son groupe et son niveau, les habiletés et le résultat, le mot que le moniteur écrit à la famille, et les adresses courriel des responsables nécessaires pour le renvoyer. Rien d’autre ne lui survit : tout le reste concernant l’enfant est retiré 90 jours après la fin de sa dernière session, comme ci-dessus. Une demande d’effacement supprime ces bulletins conservés tout de suite. Cet ajout date du 21 octobre 2026.

Cette section date du 26 septembre 2026.

Les demandes de cours privés

Votre organisation peut publier un formulaire où un parent demande un cours privé pour son enfant, sans compte. Il y écrit son nom, son courriel, son téléphone s’il le souhaite, le prénom du participant et sa date de naissance s’il la donne, le niveau et le lieu souhaités, et les jours et moments où il est disponible ; nous gardons aussi la langue du formulaire, pour le rappeler dans la sienne. Rien d’autre : aucune zone de texte libre, pour qu’aucun renseignement de santé n’y entre par accident.

L’adresse IP de l’envoi sert à freiner les envois en rafale : elle reste en mémoire quelques heures et n’est jamais écrite. Nous n’écrivons pas au parent : c’est votre organisation qui le rappelle. Les moniteurs voient une demande sans nom ni coordonnées jusqu’à ce que l’un d’eux la prenne ; elle n’est ensuite lisible que par lui et par la coordination.

Une demande est retirée 90 jours après sa fermeture, ou après 90 jours sans que personne n’y touche. Cette section date du 26 septembre 2026.

Les formulaires

Votre organisation peut créer ses propres formulaires — un rapport d’incident, un rapport de quart, l’inspection d’une aire de jeu — et les faire remplir par son personnel. Une soumission garde ce que la personne a répondu à chaque champ, les fichiers qu’elle y a joints, son nom, et la signature qu’elle a tapée ou tracée, avec la date. C’est votre organisation qui décide des champs : un rapport d’incident peut ainsi contenir des renseignements sur une personne du public, y compris sur une blessure. Ne demandez que ce dont vous avez besoin.

Les personnes que votre organisation désigne sont prévenues par courriel à chaque soumission ; ce courriel ne porte que le titre du formulaire et un lien, jamais les réponses.

Chaque formulaire porte sa propre durée de conservation, choisie par votre organisation entre un mois et dix ans : une soumission est retirée, avec ses fichiers, à la fin de cette durée, comptée depuis sa soumission. Cette section date du 26 septembre 2026.

Le suivi des incidents. Si votre organisation active le suivi des incidents, elle peut consigner un incident ou un accident survenu auprès du public. Pour un incident, nous gardons le moment et le lieu, la sorte d’incident, la tranche d’âge de la personne touchée, la nature de la blessure et la partie du corps touchée (des renseignements de santé, jamais son nom), si des premiers soins ont été donnés et si les services d’urgence ont été appelés, le nombre de témoins, les témoins du personnel, une référence vers le dossier de l’assureur, le suivi écrit par votre organisation, et le nom de qui l’a déclaré. Le suivi est le statut, la personne responsable, l’échéance et des notes datées. Seules l’administration et la gestion de votre organisation les lisent, sans restriction de périmètre ; le personnel peut déclarer un incident mais ne le relit pas. Rien n’est transmis à personne : le courriel d’avis ne porte que le titre du formulaire et un lien. Un incident est retiré à la date de conservation choisie par votre organisation, au plus trente-six mois après sa déclaration, ou plus tôt si elle le supprime ; il part avec votre organisation si elle ferme son compte. Cet ajout date du 25 octobre 2026.

L’installation accompagnée

Une organisation peut nous demander de monter sa plateforme avec elle : on reprend ses chiffriers, on importe son monde, ses lieux et ses qualifications, et on forme les gens. Sa demande garde le nom et le téléphone que la personne y écrit, les jours et les moments qui lui conviennent, et le message qu’elle y ajoute s’il y en a un ; nous gardons aussi qui l’a envoyée et quand. Rien d’autre : aucun courriel de plus, aucun calendrier, aucun service tiers.

La demande n’est lue que par l’administration de votre organisation, dans le produit, et par la personne chez nous qui y répond. Elle reste jusqu’à ce que votre administration la retire, ou que nous la retirions nous-mêmes une fois l’accompagnement terminé : elle disparaît alors tout à fait. Cette section date du 11 octobre 2026.

Si vous posez votre candidature

Quand une organisation ouvre une page de candidature sur Remanso, vous pouvez y déposer votre curriculum vitæ et d’autres documents (PDF, DOCX, JPG, PNG ou photo d’iPhone). Nous gardons ce que vous y écrivez — votre prénom, votre nom, votre courriel, votre téléphone et vos réponses aux questions de l’organisation —, les documents que vous déposez (leur nom, leur type et le document qu’ils remplissent), la langue de la page, la date de votre accord, la date et le nombre de vos dépôts. Les documents sont rangés au Québec, ne sont lisibles que par l’organisation qui embauche, et ne passent jamais par courriel ; la position GPS d’une photo est retirée à l’arrivée. N’y mettez pas votre numéro d’assurance sociale.

L’organisation choisit combien de temps elle garde vos documents et vos réponses après la fin du recrutement (30, 90 ou 180 jours, 90 par défaut), puis ils sont effacés pour les personnes qu’elle n’a pas retenues. Votre nom, vos coordonnées et les notes d’entrevue restent au dossier de l’organisation, qui les garde tant qu’elle ne les supprime pas ; vous pouvez lui demander de tout effacer à tout moment. Cette section date du 2 novembre 2026.

La suggestion d’un nouveau type de registre

Une personne qui gère vos registres peut nous suggérer un type de registre qui n’existe pas encore. Nous gardons ce qu’elle écrit dans le formulaire — le nom du registre, ce qu’il vérifie, les éléments et leurs seuils, la fréquence, ce qui l’exige, qui le remplit et ses notes —, les pièces qu’elle y joint, son nom, son adresse courriel et quand elle l’a envoyée. Le formulaire lui demande de ne nommer personne.

La suggestion nous arrive par courriel, par Mailjet, avec ses réponses et un lien : ses pièces restent sur notre serveur au Québec, et nous les ouvrons dans Remanso. Si elle choisit de joindre ses pièces au courriel, elles passent aussi par Mailjet et restent dans notre boîte de courriel : elles quittent alors le Québec, et le formulaire le dit avant l’envoi. Nous gardons, pour chaque pièce, si elle est partie ainsi. Une copie de ses réponses lui revient par courriel.

La suggestion appartient à votre organisation : elle sort dans votre archive, la personne qui l’a envoyée la retrouve dans ses données, et elle est détruite avec l’organisation — sauf le courriel que nous avons reçu, qui reste dans notre boîte de courriel. Cette section date du 19 octobre 2026.

Le bouton « Problème ou suggestion »

Toute personne connectée peut nous écrire depuis ce bouton, pour signaler un problème technique ou suggérer une amélioration. Nous gardons le résumé, la description, ce qu’elle attendait, la fréquence du problème, l’appareil et le navigateur, les liens qu’elle colle, les fichiers qu’elle y joint, son nom, son adresse courriel, la page d’où elle écrivait et quand elle l’a envoyé. Le formulaire lui demande de ne nommer personne et de cacher les noms dans ses captures d’écran.

Le message nous arrive par courriel, par Mailjet, avec ses réponses et un lien. Ses fichiers restent sur notre serveur au Québec et ne sont jamais joints au courriel : nous les ouvrons dans Remanso, derrière une connexion, et chaque ouverture est inscrite à un journal. Une copie de ses réponses lui revient par courriel.

Le message appartient à votre organisation : il sort dans votre archive, la personne qui l’a écrit le retrouve dans ses données, et il est détruit avec l’organisation — sauf le courriel que nous avons reçu, qui reste dans notre boîte de courriel. Cette section date du 25 octobre 2026.

Les pièces jointes à une entrevue

Pendant une entrevue, l’organisation qui embauche peut joindre à ses notes une photo, un enregistrement de la voix, un dessin ou un document remis. Ces fichiers sont rangés au Québec, avec l’entrevue ; seules les personnes de l’organisation qui peuvent lire cette entrevue les ouvrent. Ils ne sont ni transcrits, ni analysés, ni envoyés ailleurs, et la position GPS d’une photo est retirée. L’organisation choisit combien de temps elle les garde ; ils sont effacés avec le dossier d’entrevue, et la personne photographiée ou enregistrée doit en être informée avant. Ils sortent dans l’archive de l’organisation et sont détruits avec elle. Cette section date du 2 novembre 2026.

Le courrier adressé à Remanso

Remanso reçoit aussi du courrier, et ce n’est pas celui de votre organisation : toute personne qui écrit à une adresse en @remanso.ca (le soutien, la confidentialité, une question avant de s’inscrire…) nous confie ce qu’elle écrit. Nous gardons alors le message, son objet, le nom et l’adresse de la personne qui l’envoie et de celles à qui il est adressé, les pièces jointes, et les réponses que nous y faisons. Ce courrier n’est jamais mêlé aux dossiers d’une organisation, et il est conservé au Québec, sur la même machine que le reste. Une seule personne le lit : le propriétaire de Remanso. Nous ne l’analysons pas, nous n’en tirons aucune liste, et nous ne le confions à personne d’autre que ce que décrit le paragraphe suivant.

Pour arriver jusqu’à nous, le message traverse Cloudflare, qui le relaie sans le conserver. Si ce relais échoue, une copie du message complet est transmise à une boîte personnelle du propriétaire chez Microsoft, hors du Québec, pour que rien ne se perde. Quand nous répondons, la réponse part par Mailjet, comme décrit plus bas. Une notification de nouveau courriel, si le propriétaire en a activé, ne dit ni de qui, ni de quoi.

Si vous nous avez écrit, vous avez les mêmes droits que tout le monde : savoir ce que nous détenons de votre correspondance, la faire corriger ou la faire supprimer, en écrivant à confidentialite@remanso.ca. Cet ajout date du 26 octobre 2026.

Où vos données sont conservées

Il faut le dire précisément : pour un organisme québécois, c’est la question qui compte le plus.

Le paiement fait exception : les renseignements de facturation — votre nom, votre adresse courriel, le montant, et, sur facture, le nom de votre organisation et votre numéro de bon de commande — sont traités par Stripe, hors du Canada. Les dossiers de votre organisation, eux, ne bougent pas du Québec.

La lecture des cartes fait exception : l’image d’une carte déposée par « Lire la carte » est lue par Microsoft à Toronto, en Ontario, puis effacée. Elle ne quitte pas le Canada, et une personne qui préfère ne pas s’en servir dépose sa carte sur la ligne de sa qualification, comme avant.

Les notifications font aussi exception : pour être acheminées, elles passent par le service de notification du navigateur, hors du Québec. Leur contenu est chiffré et ne nomme personne (l’alerte rouge d’un registre peut nommer un lieu et une valeur, au choix de votre organisation) ; qui ne les active pas n’en reçoit aucune.

Le courrier fait aussi exception : un message adressé à @remanso.ca passe par Cloudflare avant d’arriver au Québec, où il est gardé, et si ce relais échoue, une copie en est transmise à une boîte personnelle du propriétaire chez Microsoft, hors du Québec. Nos réponses écrites à la main passent par Mailjet. Aucun dossier d’organisation n’est concerné.

Le site public que vous lisez en ce moment est autre chose : un site statique, servi lui aussi depuis le Québec, par le même hébergeur. Il ne porte aucun formulaire et ne recueille rien — la création de compte mène au service. Ce n’est qu’un ensemble de fichiers : il n’a aucun accès à la base de données ni à vos dossiers.

Huit services tiers interviennent, et voici exactement ce qu’ils voient :

• ServaRICA (Rica Web Services) — l’hébergeur du serveur, à Montréal. Il loue la machine sur laquelle tournent le service, sa base de données et ce site public. Nous ne lui donnons aucun accès au service ni à la base de données ; mais, comme tout hébergeur, il contrôle les machines physiques sur lesquelles reposent les disques. Cette machine est au Québec, à Montréal. Cet ajout date du 25 octobre 2026.
• Cloudflare — acheminement du trafic et du courriel. Les requêtes vers le site et vers le service passent par son réseau, dont les serveurs sont répartis dans le monde, et y sont déchiffrées le temps d’être acheminées, y compris celles qui portent vos dossiers. Il s’agit d’un passage, pas d’un lieu de conservation : nous ne lui confions aucun dossier. Il relaie aussi, sans le conserver, le courrier adressé à @remanso.ca, avant qu’il n’arrive au Québec.
• Mailjet — l’envoi de nos courriels : vérification d’adresse, réinitialisation de mot de passe, avis d’échéance, bulletins des participants, suggestions de registre (et leurs pièces, si la personne qui suggère le choisit), messages écrits à notre équipe depuis le bouton « Problème ou suggestion » (leur texte et un lien, jamais leurs fichiers), courriels au personnel que votre organisation peut allumer (avis et résumés sur les rapports de progression), demandes de disponibilités (un lien, rien de personnel), tour au choix d’horaire (un lien, rien de personnel), alertes de site (un lieu, un jour, jamais le motif ni une personne), réponses écrites à la main à nos correspondants. Le message et l’adresse du destinataire transitent par son infrastructure, en Europe. Nous ne lui confions aucun dossier.
• Google et Microsoft — la connexion, seulement si vous choisissez de vous connecter avec l’un d’eux. Celui que vous choisissez apprend que votre compte chez lui sert à ouvrir une session Remanso, et à quel moment. Nous ne lui envoyons rien de vos renseignements ni de ceux de votre organisation : c’est lui qui nous remet ce qui est décrit plus haut.
• Stripe — le paiement de l’abonnement. Il voit le nom et l’adresse courriel de la personne qui paie, le montant, le palier choisi, l’état de l’abonnement, et un identifiant technique de votre organisation (un code, pas son nom). Si vous choisissez de payer sur facture plutôt que par carte, il voit aussi le nom de votre organisation et, si vous en donnez un, votre numéro de bon de commande : ils s’impriment sur la facture. Si vous indiquez l’adresse courriel de votre service des comptes payables, c’est elle que Stripe prévient de chaque facture ; la personne qui a donné l’accord en reçoit alors de nous le lien, par courriel. Nous envoyons aussi à cette adresse un lien privé vers la facture de Remanso : le courriel ne porte que ce lien, jamais un montant. Ce lien ne demande aucune connexion — quiconque le possède voit la page de la facture, qui montre le nom de votre organisation, votre numéro de bon de commande, l’adresse courriel de facturation et les montants, lus chez Stripe à l’ouverture. Il est signé, expire après 120 jours et n’est pas enregistré chez nous ; ne le transmettez qu’aux personnes qui traitent vos factures. Le numéro de carte ne passe jamais par nos serveurs : il est saisi dans un formulaire servi par Stripe et va directement chez lui. Nous ne lui confions aucun dossier de votre organisation — ni personnes, ni qualifications, ni pièces justificatives.
• Microsoft (Azure AI Document Intelligence) — la lecture des cartes de qualification, quand une personne dépose la sienne par « Lire la carte ». L’image est lue dans le centre de données de Microsoft à Toronto, en Ontario : il en voit donc tout le texte, y compris le nom et, si elle y figure, la date de naissance. Nous lui demandons d’effacer le résultat dès qu’il est lu ; au plus tard, il l’efface dans les 24 heures, et ne s’en sert à rien d’autre. Nous ne gardons que la qualification et les dates que la personne confirme ; le texte lu n’est conservé nulle part. Cet ajout date du 26 septembre 2026.
• Les services de notification des navigateurs — Google (Chrome et Android), Apple (Safari), Mozilla (Firefox) et Microsoft (Edge), selon le navigateur de l’appareil, si vous activez les notifications. Ils acheminent un message chiffré de bout en bout, qu’ils ne peuvent pas lire, vers l’adresse qu’ils ont eux-mêmes donnée à l’appareil : ils voient donc cette adresse, l’heure et la taille de l’envoi. Leurs serveurs sont hors du Québec, le plus souvent aux États-Unis. Le message ne nomme personne (sauf l’alerte rouge d’un registre, qui peut nommer un lieu et une valeur : voir plus haut). Cet ajout date du 26 septembre 2026.
• Microsoft (boîte personnelle du propriétaire) — le courrier adressé à @remanso.ca, seulement si son relais vers le Québec échoue. Une copie du message complet, pièces jointes comprises, est alors transmise à la boîte personnelle du propriétaire de Remanso, hors du Québec : Microsoft voit ce message comme celui de n’importe quelle boîte, et il y reste jusqu’à ce que le propriétaire le supprime. Aucun dossier d’organisation n’est concerné. Cet ajout date du 26 octobre 2026.

Pour situer vos lieux, le service interroge aussi Adresses Québec, le service d’adresses public du gouvernement du Québec. Il ne reçoit que le texte tapé dans le champ d’adresse d’un lieu — un aréna, une piscine, un bureau —, depuis notre serveur au Québec, pour vous proposer l’adresse exacte. Ce n’est pas un renseignement personnel, et rien d’autre ne lui est transmis : ni nom, ni dossier, ni votre adresse IP. Nous ne lui confions donc rien de vous.

Ce que nous gardons du paiement. Chez nous, l’abonnement garde l’adresse courriel de la personne qui a donné l’accord à l’abonnement et le moment où elle l’a donné, les deux identifiants que Stripe nous attribue (celui de votre organisation comme cliente et celui de son abonnement) et le moment de la dernière réponse de Stripe. Aucun numéro de carte n’est gardé chez nous. Les personnes que votre organisation autorise à la facturation lisent l’accord et ce courriel, qui sert aussi à leur envoyer la copie des factures et les avis qui concernent l’abonnement ; la plateforme voit les identifiants Stripe pour le soutenir. Ces renseignements figurent dans l’archive de votre organisation et suivent ses dossiers, au délai indiqué plus bas. Cet ajout date du 25 octobre 2026.

Cette section a changé le 13 septembre 2026. Jusque-là le service était hébergé en France et nous l’écrivions ici. Le déménagement au Québec est fait.

Elle s’est précisée le 24 septembre 2026 : la recherche d’adresse des lieux y est décrite.

Elle a changé le 25 octobre 2026 : le service et ce site public sont tous deux hébergés par ServaRICA, à Montréal. Plus rien n’est hébergé en France.

Cette section a changé le 14 octobre 2026. Le paiement en ligne est entré en service et Stripe s’est ajouté à la liste ci-dessus.

Qui peut voir quoi

Chaque organisation est isolée des autres. Chaque ligne de la base de données appartient à une organisation, et la base elle-même refuse qu’une ligne se rattache à celle d’une autre — pas seulement le code du service. Ce que chaque personne peut ensuite lire est fixé par le code du service, qui filtre chaque lecture par l’organisation de la personne connectée.

À l’intérieur de votre organisation, c’est vous qui décidez qui voit quoi. De notre côté, l’accès technique est limité aux personnes qui en ont besoin pour faire fonctionner le service, et nous n’ouvrons vos dossiers ni par curiosité ni pour les analyser.

Nous ne vendons, ne louons et n’échangeons aucun renseignement. Nous n’en transmettons à un tiers que si la loi nous y oblige, et nous vous en avisons quand nous en avons le droit.

Combien de temps nous les gardons

• Votre compte — tant qu’il est actif. Une fois fermé, il est supprimé sur demande, par une opération que nous faisons à la main.
• Les dossiers de votre organisation — tant que votre organisation est cliente. Quand l’abonnement prend fin, nous vous laissons récupérer une copie, puis nous les supprimons sur demande, par une opération que nous faisons à la main.
• Les sessions — sept jours sans activité.
• Le courrier adressé à Remanso — il n’y a pas encore de suppression automatique : le propriétaire le supprime à la main, et vous pouvez demander la suppression de ce que vous avez écrit en écrivant à confidentialite@remanso.ca. Il suit les sauvegardes, conservées trente jours.
• Les sauvegardes — une par jour, conservée trente jours, puis détruite. Chacune est vérifiée par une restauration réelle : si elle ne se relit pas, elle est signalée en échec, mise à part pour examen et jamais utilisée. Avant toute restauration, nous mettons aussi de côté l’état de la base : cette copie-là reste jusqu’à ce que nous la retirions nous-mêmes. Toutes ces copies restent au Québec : sur le serveur, et chaque jour une copie est tirée sur une seconde machine, elle aussi au Québec, qui n’est pas chez l’hébergeur. Cela protège de la perte du serveur ou d’une suppression, pas d’un sinistre qui toucherait les deux endroits à la fois. Nous préférons vous le dire que de vous laisser le supposer.

Passé ces délais, les données sont détruites. Pas archivées : détruites.

Vos droits

La Loi sur la protection des renseignements personnels dans le secteur privé du Québec vous donne des droits, et nous les tenons sans demander pourquoi :

• Savoir ce que nous détenons sur vous, et en obtenir une copie.
• Corriger ce qui est inexact ou incomplet.
• Retirer votre consentement, et fermer votre compte.
• Emporter vos données dans un format structuré et couramment lisible.
• Porter plainte auprès de la Commission d’accès à l’information du Québec si notre réponse ne vous satisfait pas.

Sur le droit d’emporter vos données, nous allons plus loin que la loi, et c’est écrit sur notre page des valeurs : l’export complet est disponible en tout temps depuis l’application, sans demande préalable, même quand l’abonnement est en lecture seule. Chaque personne télécharge ce que son organisation détient sur elle dans Remanso — son compte, sa fiche, et ce qui s’y rattache : ses quarts, ses qualifications et brevets, ses congés, ses pointages — depuis son menu de compte, sous Mes données. Un administrateur de l’organisation télécharge les dossiers de toute l’organisation, pièces comprises, sous Exporter les données ; un rôle sur mesure, même fondé sur celui d’administrateur, n’y donne pas accès.

Dans les deux cas, c’est une archive .zip préparée au moment du clic — comptez jusqu’à une minute si votre organisation a beaucoup de pièces. Elle contient un fichier CSV par table (UTF-8, séparé par des points-virgules, lisible par un chiffrier), les pièces telles qu’elles ont été déposées, un manifeste qui compte les lignes et donne l’empreinte de chaque fichier, et un LISEZMOI dans les deux langues qui explique le format.

De l’archive de l’organisation, ne sont exclus que des secrets : les mots de passe hachés et les jetons de connexion, les sessions ouvertes, les liens de vérification et de réinitialisation en cours, l’adresse et les clés de notification d’un appareil, les jetons et adresses secrètes (invitation, dépôt, borne, écran, formulaire public) et les NIP de poinçon. Ils ouvrent des portes : une archive qui voyage ne doit en ouvrir aucune.

Dans Mes données, vos sessions et vos appareils figurent, sans leur jeton ni leurs clés. N’y figurent pas les lignes qui ne vous nomment que comme auteur ou responsable d’un geste (elles parlent le plus souvent de quelqu’un d’autre), ni celles qui concernent des personnes sans compte. Le LISEZMOI de chaque archive nomme ce qui n’y est pas, et pourquoi.

Supprimer votre compte et vos données

Une façon, aujourd’hui : écrivez à confidentialite@remanso.ca depuis l’adresse du compte. Nous confirmons sous trente jours, sans vous demander pourquoi.

Le bouton Supprimer mon compte dans les réglages n’existe pas encore — nous nous engageons à l’ajouter, et cette section le dira quand ce sera fait. En attendant, le courriel est la seule façon, et elle fonctionne.

Si vous vous êtes connecté par Google ou Microsoft, supprimer votre compte Remanso supprime aussi le lien avec ce service. Retirer l’autorisation de votre côté — dans les réglages de sécurité de Google ou de Microsoft — nous coupe l’accès, mais ne supprime pas votre compte Remanso : pour cela, écrivez-nous comme ci-dessus.

Si vous êtes la personne responsable d’une organisation, supprimer votre compte ne supprime pas les dossiers de l’organisation : ils appartiennent à celle-ci. Pour fermer l’organisation entière et détruire ses dossiers, écrivez-nous — nous vérifions d’abord que la demande vient bien de quelqu’un qui a le droit de la faire.

Témoins

Le site que vous lisez, remanso.ca, n’en pose aucun. Le service, app.remanso.ca, en pose douze, et chacun sert à quelque chose que vous faites ou que vous avez choisi. Aucun n’est publicitaire, aucun ne vous suit d’un site à l’autre, aucun n’est lu par un tiers, et aucun n’est accessible aux scripts d’une page.

• Votre session (__Secure-better-auth.session_token) — celui qui vous garde connecté d’une page à l’autre. Il expire au bout de sept jours sans activité et disparaît quand vous fermez votre session.
• La connexion par Google ou Microsoft (__Secure-better-auth.state) — pendant ce détour seulement, il vérifie que c’est bien votre navigateur qui revient. Cinq minutes.
• La connexion d’organisation (remanso_sso) — seulement pendant la connexion par le service d’identité de votre organisation : il vérifie que c’est bien votre navigateur qui revient. Dix minutes, effacé au retour.
• La confirmation de votre adresse (remanso_verifier) — juste après l’inscription, il garde l’adresse que vous venez de saisir, pour vous renvoyer le lien sans vous la redemander. Trente minutes, et il s’efface dès que vous êtes connecté.
• La réinitialisation du mot de passe (remanso_reinit) — il porte le lien de réinitialisation le temps que vous choisissiez un nouveau mot de passe, pour que le lien ne reste pas dans la barre d’adresse. Soixante minutes.
• Une invitation (remanso_invitation) — il porte l’invitation pendant que vous vous connectez ou créez votre compte, et s’efface dès qu’elle est réglée. Une heure au plus, ou vingt-quatre heures quand l’invitation sert à créer votre compte.
• Un quart copié ou coupé (remanso_quart) — le presse-papiers de l’horaire, entre le moment où vous copiez ou coupez un quart et celui où vous le collez. Trente minutes.
• L’organisation ouverte (remanso.org) — laquelle afficher quand vous êtes membre de plus d’une. Un an.
• Le thème (remanso.theme) — clair ou sombre, seulement si vous en avez choisi un ; sans lui, l’écran suit votre appareil. Un an.
• Le menu replié (remanso.rail) — seulement si vous l’avez replié. Un an.
• Les colonnes de la liste du personnel (remanso.personnel_colonnes) — celles que vous avez choisi d’afficher, seulement si vous en avez choisi. Un an.
• Les avis déjà vus (remanso.avis) — jusqu’à quand, sur cet appareil, vous avez ouvert la cloche des avis, pour qu’elle ne se rallume pas pour ce que vous avez déjà vu. Il reste sur votre appareil : nous le lisons à chaque page et n’en gardons rien. Un an.
• Les annonces déjà fermées (remanso.annonces) — les annonces simples (sans « J’ai lu » ni question) que vous avez fermées sur cet appareil, pour que chacune ne s’ouvre qu’une fois. Il porte un code propre à votre compte, jamais votre nom ; un autre compte du même navigateur ne le lit pas. Cent quatre-vingts jours.
• Les annonces remises à plus tard (remanso.annonces.tard) — celles qui attendent une confirmation ou des réponses et pour lesquelles vous avez choisi « Plus tard ». Il est lié à votre connexion et disparaît quand vous fermez votre session.
• Aucune annonce n’attend (remanso.annonces.rien) — une empreinte (aucun nom, aucun identifiant lisible) qui dit qu’aucune annonce ne vous attend, pour que les pages suivantes ne la cherchent pas. Elle ne vaut que pour votre connexion, cinq minutes au plus, et cesse de valoir dès qu’une annonce de votre organisation est publiée, modifiée ou retirée.

Un seizième témoin ne concerne pas nos clients : il sert à l’administrateur de la plateforme, pour voir pendant huit heures les modules que nous cachons encore aux organisations. Aucun client ne le reçoit.

Une tablette de comptage autorisée en reçoit, en plus, un propre à son installation (voir « Les installations de comptage ») : il ne voyage que vers les adresses de cette tablette et ne sert qu’à Remanso.

Le service garde aussi dans le cache de votre navigateur sa feuille de style, ses polices et ses icônes, pour que les pages s’affichent plus vite — du dessin seulement, jamais une page ni un renseignement.

Certains écrans gardent en outre quelque chose dans la mémoire de l’appareil — ce n’est pas un témoin, et rien n’en part vers un tiers. Sur la tablette d’appel et sur la borne de relevés, un relevé ou une présence qui n’a pas pu partir attend sur l’appareil, comme décrit plus haut ; sur une tablette de mesure de visibilité, un identifiant aléatoire distingue la tablette sans nommer personne, et les gestes pas encore envoyés attendent ; sur le téléviseur d’un écran d’affichage, l’adresse secrète de l’écran est gardée par son navigateur, et, le temps d’un appairage par code, un secret d’appareil.

Aucun témoin publicitaire, aucun pisteur, aucun outil de mesure d’audience tiers. C’est aussi pour cette raison que vous n’avez pas eu de bandeau à refuser en arrivant.

Si quelque chose se passe mal

En cas d’incident touchant vos renseignements et présentant un risque de préjudice sérieux, nous vous avisons ainsi que la Commission d’accès à l’information, comme la loi l’exige. Nous vous dirons ce qui est arrivé, ce qui est touché, et ce que nous faisons — pas une formule.

Quand cette page change

La date en haut est celle de la dernière version.

Trois changements vous sont annoncés par courriel avant d’entrer en vigueur, jamais après :

• quand nous commençons à recueillir un renseignement que nous ne recueillions pas ;
• quand nous élargissons qui peut le voir ;
• quand nous le confions à un tiers, ou le conservons ailleurs.

Ce sont les seuls qui changent quelque chose pour vous, et ils sont rares. Si l’un d’eux ne vous convient pas, vous pouvez partir avec vos données, sans frais.

Le reste paraît ici avec une date à jour, sans courriel : un écran de plus qui montre ce que vous nous avez déjà confié, une correction, une précision de ce texte. Nous livrons plusieurs fois par jour — vous prévenir de chaque livraison ferait du bruit, et du bruit on cesse de lire ce qui compte.

Ce qui a changé

Version du 2 novembre 2026. Des ajouts, et aucun engagement retiré.

• Ajouté. La sécurité du compte : la deuxième vérification (un code produit sur votre appareil), la possibilité pour l’administrateur d’une organisation de l’exiger de ses administrateurs, la trace des changements de sécurité d’une organisation, et la « connexion d’organisation » que l’équipe de Remanso peut ouvrir à la demande d’une organisation, avec le témoin de sécurité qu’elle pose (voir plus bas). Aucun service tiers n’est ajouté à la liste.
• Ajouté. La prime ou le surtemps qu’une personne de votre organisation inscrit à la main sur le quart d’un employé : sa sorte, son code, son calcul, sa valeur, les minutes visées, le motif et qui l’a inscrit, et qui peut le voir (voir plus bas). Aucun service tiers n’est ajouté à la liste.
• Précisé. Cette page disait que Remanso ne calcule ni heures supplémentaires, ni primes. Il n’établit toujours pas la paie de personne, mais il tient compte des primes et du surtemps que votre organisation lui indique, par ses propres règles ou par une saisie à la main sur un quart : la phrase sur le taux horaire le dit maintenant.
• Ajouté. Les annonces qui demandent de confirmer qu’on les a lues ou de répondre à des questions : qui a confirmé et quand, les réponses (au nom de la personne, ou sans aucun nom ni aucune heure quand l’annonce est anonyme), qui peut lire les résultats, et ce que Mes données rend (voir plus bas). Aucun service tiers n’est ajouté à la liste.
• Ajouté. Les favoris du menu de gauche proposés d’après l’usage : pour chaque personne, combien de fois elle ouvre chaque module (un score qui s’éteint, sans date de visite ni adresse), ce que Mes données en rend et qui le voit (voir plus bas). Aucun service tiers n’est ajouté à la liste.

Version du 30 octobre 2026. Une correction : un engagement publié le 26 octobre est retiré, parce qu’il n’est pas encore tenu.

• Retiré. Le 26 octobre 2026, cette page a annoncé que la suppression des dossiers d’une organisation était devenue automatique, et que la fermeture se demandait à l’écran « Abonnement ». Ni l’une ni l’autre n’est en service aujourd’hui : la suppression automatique est suspendue, et la fermeture en ligne n’est pas ouverte. La fermeture d’un compte ou d’une organisation se demande par courriel à confidentialite@remanso.ca, et la suppression se fait sur demande, par une opération faite à la main — comme avant le 26 octobre. Nous publierons de nouveau la suppression automatique le jour où elle sera en service, et pas avant. La page des conditions, qui disait déjà que le bouton de fermeture n’existe pas encore, et cette page disent maintenant la même chose.

Version du 28 octobre 2026. Deux précisions, et aucun engagement retiré.

• Précisé. Le module « Carnets d’équipe » s’appelle maintenant « Bloc-Notes » : c’est le même module, et la page le nomme ainsi partout.
• Précisé. Les noms des pièces d’un plan ne sont plus proposés par un modèle d’intelligence artificielle : cette fonction est éteinte sur le service depuis le 25 octobre 2026. Elle n’envoyait déjà aucun plan hors de notre serveur, et elle n’en envoie toujours aucun.
• Ajouté. Le courrier adressé à Remanso (qui passe par Cloudflare avant d’arriver au Québec, avec une boîte de repli chez Microsoft : un service tiers de plus dans la liste), les installations de comptage, et ce que le navigateur d’un écran d’affichage garde.
• Ajouté. Les personnes identifiées dans une page de bloc-notes : le lien d’une page vers le dossier d’une personne, qui dit qui l’a posé et quand (voir plus bas). Aucun service tiers n’est ajouté à la liste.

Version du 25 octobre 2026. Cette révision relit toute la page contre ce que le service fait réellement. Elle ne retire aucun engagement sur la façon dont nous traitons vos renseignements : elle ajoute ce qui manquait, précise quelques points et retire deux affirmations que nous ne pouvions pas prouver — un texte exact vaut mieux qu’un texte rassurant.

• L’hébergement. Le service, sa base de données et ce site public sont hébergés par ServaRICA, à Montréal. Plus rien n’est hébergé en France, et les copies de sauvegarde sont au Québec.
• Ajouté. Le plan de surveillance et de secours (POSS) et le dossier de la personne qui a relu un plan, la mesure de visibilité d’un bassin sur tablettes, les alertes de site (capacité atteinte, fermeture d’un lieu), le bilan de saison et le journal d’activité, ce que nous gardons du paiement. Aucun de ces ajouts n’ajoute un service tiers à la liste ci-dessous.
• Précisé. Ce que voit Cloudflare au passage ; les sauvegardes (une copie qui échoue est mise à part, et l’état de la base d’avant une restauration est gardé jusqu’à ce que nous le retirions) ; la liste des témoins (douze, dont trois manquaient), avec ce que certains écrans gardent dans la mémoire de l’appareil.
• Retiré. La séparation des organisations repose sur la structure de la base de données et sur le code du service qui filtre chaque lecture ; nous ne disons plus qu’aucune requête ne peut, même mal écrite, lire les données d’une autre organisation. Et nous ne disons plus de l’hébergeur qu’il ne lit pas vos dossiers : nous disons que nous ne lui donnons aucun accès au service ni à la base de données.
• Modules retirés. Les messages de votre organisation à son équipe (le module « Messages ») et la location de vos espaces à des groupes de l’extérieur (le module « Locations ») ne font plus partie de Remanso. Leurs tables ont été retirées du service avec ce qu’elles contenaient : le texte et les destinataires des messages, les groupes de l’extérieur, leurs demandes et leur preuve d’assurance. Ces renseignements ne sont plus recueillis ; chez nous, ils ne subsistent que dans les copies de sauvegarde faites avant ce retrait, qui suivent les règles décrites plus bas.