Politique de confidentialité

En vigueur le 9 novembre 2026. La version française fait foi.

Arrivos aide les succursales d'une organisation à lire les factures de leurs fournisseurs et à les inscrire dans le point de vente Auphan. Cette politique explique quels renseignements l'application recueille, pourquoi, où ils sont conservés, avec qui ils sont partagés, combien de temps ils sont gardés et comment exercer vos droits. Elle répond aux exigences de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec, telle que modifiée par la Loi 25, et de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE).

1. La personne responsable

Le service est exploité par Logiciels Writ. La personne responsable de la protection des renseignements personnels est :

Benjamin Garcia
[email protected]

Écrivez-lui pour toute question sur cette politique, pour exercer vos droits ou pour signaler un incident. Vous recevrez une réponse écrite dans les 30 jours.

Chaque organisation cliente demeure responsable des renseignements de ses propres employés et fournisseurs. Nous les traitons pour son compte, selon l'entente de service conclue avec elle.

2. Les renseignements recueillis

Renseignement	Où	À quoi il sert
Nom de l'entreprise et nom d'utilisateur Auphan de chaque succursale, nom affiché de la succursale	Serveur	Connexion, répertoire des succursales pour les transferts
Mot de passe Auphan	Jamais enregistré par le serveur : à la connexion, il est chiffré dans un témoin que seul votre navigateur détient et qu'aucun script de la page ne peut lire, qui ne fonctionne qu'avec votre session, dans l'onglet où vous vous êtes connecté, et disparaît quand vous verrouillez l'application, que votre session prend fin ou que le navigateur se ferme ; pour chaque opération, le serveur l'ouvre en mémoire et le transmet à Writ par une connexion chiffrée	Connexion et chaque écriture dans le point de vente
Factures, catalogues fournisseurs, correspondances apprises, historique des prix, et pour chaque fournisseur les exemples de ses cinq dernières factures reçues qui servent à vérifier les règles qui le lisent	Serveur, chiffrés avec la clé du serveur ; dans votre navigateur seulement tant que l'application est ouverte dans un onglet	Le service lui-même
PDF de factures reçues en attente d'être classés dans un dossier	Serveur, chiffrés avec la clé du serveur	Classement sur l'ordinateur qui a le dossier
Les ordinateurs de chaque compte de succursale qui classent ses factures dans un dossier (le nom court affiché par chacun, le nom que la succursale lui a donné, un identifiant aléatoire et le nom de son dossier), et lequel a classé chaque facture reçue : l'emplacement dans le dossier, la taille du fichier et son empreinte (SHA-256)	Serveur	Classer chaque facture une seule fois, quel que soit l'ordinateur où l'on se connecte, et vérifier que le fichier classé est bien la facture
La fiche de chaque facture reçue par l'application : ses lignes telles qu'imprimées et telles que reçues, vos décisions, les totaux saisis à la main, ce qui a suivi la réception (le dossier, le courriel) et ses corrections. Aussi les factures reçues avant le 5 octobre 2026, envoyées une fois par chaque ordinateur qui les gardait	Serveur, chiffrées avec la clé du serveur	La liste des factures reçues, leur détail, leurs corrections et la vérification des doublons, les mêmes sur chaque ordinateur de la succursale
La lecture complète d'une facture reçue (le texte lu par le lecteur et chaque ligne telle que lue)	Serveur, chiffrée avec la clé du serveur	Afficher cette facture en entier quand vous la rouvrez
Transferts entre succursales et articles signalés manquants	Serveur	Les transferts et le rapport de l'organisation
L'enregistrement de chaque document reçu dans le point de vente : quel compte de succursale l'a reçu, quand, le numéro sous lequel il a été reçu, son fournisseur, ses lignes et son total	Serveur	Prouver ce que l'application a reçu, le comparer à Auphan et les rapports de l'organisation
L'enregistrement de chaque changement administratif : quel compte l'a fait et à quel titre, ce qui a été changé, quand, et le réseau d'où venait la demande (jamais l'adresse complète)	Serveur	Répondre à la question de savoir qui a changé un réglage, un analyseur, une organisation ou un document déjà reçu, et quand
Adresse, nom affiché et jetons de la boîte Outlook connectée, et les permissions que Microsoft lui a accordées	Serveur	Envoyer le courriel qui suit une réception et, si la succursale l'a autorisé, importer les factures que reçoit sa boîte
Destinataires des courriels et administrateurs de l'organisation	Serveur	Rapports et courriels après une réception
Adresse IP, nom d'utilisateur, heure et résultat des requêtes refusées	Journaux du serveur	Sécurité et exploitation
Copies de sauvegarde de tout ce que le serveur conserve, énuméré ci-dessus	Serveur, et un second fournisseur de stockage qui les reçoit chiffrées ; gardées au plus 12 mois (section 6)	Rétablir le service après une panne

Une facture de fournisseur peut contenir le nom ou les coordonnées d'une personne chez ce fournisseur. Nous ne recueillons rien d'autre sur vous : pas de profil, pas de suivi publicitaire, pas de mesure d'audience.

3. Pourquoi nous les utilisons

Vous connecter avec votre compte Auphan et protéger l'accès à vos données.
Lire vos factures, les rapprocher du catalogue et les inscrire dans le point de vente lorsque vous appuyez sur le bouton qui le fait.
Permettre les transferts de marchandise entre les succursales de votre organisation.
Classer les PDF reçus et envoyer le courriel que votre organisation a demandé après chaque réception.
Assurer la sécurité du service, détecter les abus et diagnostiquer les pannes.

Nous n'utilisons pas ces renseignements à d'autres fins, ne les vendons pas et ne prenons aucune décision automatisée à votre sujet.

4. Où ils sont conservés

Votre navigateur. Il ne garde les données de votre succursale que tant que l'application est ouverte dans un onglet, lues sur notre serveur à chaque connexion ; rien n'en reste sur votre ordinateur une fois l'onglet fermé. Une copie qu'une version antérieure gardait sur votre ordinateur est envoyée une fois au serveur, puis effacée (section 7).
Notre serveur. Il conserve le répertoire des succursales, les transferts, l'enregistrement de chaque document reçu dans le point de vente, l'enregistrement de chaque changement administratif, les sessions, les réglages de l'organisation, la copie chiffrée de chaque coffre et la connexion Outlook. L'hébergeur et le pays de ce serveur n'ont pas encore été confirmés pour ce déploiement ; renseignez-vous auprès de la personne responsable avant de vous fier à cette politique quant au lieu où vos renseignements sont conservés.
Microsoft, pour les courriels envoyés depuis la boîte Outlook de la succursale, selon les conditions du compte Microsoft 365 de votre organisation.

5. Les fournisseurs de services

Nous confions certaines tâches aux fournisseurs suivants. Chacun ne reçoit que ce qui est nécessaire à sa tâche.

Writ exécute les opérations dans le point de vente Auphan pour votre compte : il reçoit le nom d'utilisateur et le mot de passe Auphan le temps de chaque opération, ainsi que les lignes de la facture à inscrire. Lorsqu'un PDF numérisé doit être converti en texte, c'est aussi un service de Writ qui le lit.
OpenRouter, et le fournisseur du modèle d'intelligence artificielle qu'il appelle, reçoivent le texte d'une facture dans trois cas : la première fois qu'un fournisseur est rencontré, pour rédiger les règles qui liront ensuite ses factures sans intelligence artificielle ; lorsque ces règles sont réécrites ou réparées à la demande d'un utilisateur ; et lorsqu'une personne cherche pourquoi le total d'une facture ne concorde pas et que le calcul seul ne l'explique pas, avec les lignes de cette facture. Dans les deux premiers cas, les exemples de ce même fournisseur gardés dans votre coffre peuvent être joints, pour vérifier les nouvelles règles : le texte de ses cinq dernières factures reçues au plus et les chiffres que vous y avez confirmés. Ni votre mot de passe, ni le reste de votre coffre, ni les factures de vos autres fournisseurs ne sont transmis. Ces services peuvent traiter ce texte à l'extérieur du Québec et du Canada.
Microsoft (Microsoft Graph) envoie les courriels qui suivent une réception, depuis la boîte Outlook que la succursale a connectée. L'application peut envoyer des courriels et lire le nom et l'adresse de la boîte. Seulement si la succursale l'autorise en plus, pour importer les factures qu'elle reçoit par courriel, l'application liste aussi les messages récents de la boîte de réception qui portent un PDF (leur expéditeur, leur objet et leur date, et le nom et la taille des pièces jointes) et télécharge les pièces jointes que la succursale choisit ; elles passent par notre serveur jusqu'au navigateur de la succursale sans y être conservées, et seuls le nom et la taille de chaque fichier importé sont inscrits à l'enregistrement des changements administratifs. L'application ne déplace et ne supprime jamais un message.
Cloudflare protège l'accès au site et achemine le trafic chiffré vers notre serveur ; il voit votre adresse IP.
L'hébergeur du serveur fournit la machine sur laquelle le service fonctionne.
Le fournisseur de stockage des sauvegardes conserve des copies des sauvegardes du serveur. Elles sont chiffrées sur notre serveur avant d'en sortir, avec une clé que ce fournisseur ne détient pas ; il ne peut donc pas les lire.

Auphan, le fournisseur de votre point de vente, reçoit les documents que vous y inscrivez selon l'entente que votre organisation a conclue avec lui. Avant de communiquer un renseignement personnel à l'extérieur du Québec, nous évaluons, comme l'exige la loi, si ce renseignement y bénéficiera d'une protection adéquate.

6. Combien de temps ils sont gardés

Une session de connexion expire après 12 heures d'inactivité et au plus tard 7 jours après la connexion ; une session ouverte pendant une panne du point de vente expire après 24 heures. Le serveur efface les sessions expirées ou inactives dans l'heure.
Le mot de passe Auphan n'est jamais conservé par le serveur. Le témoin chiffré qui le porte dure jusqu'à ce que vous verrouilliez l'application, que votre session prenne fin ou que le navigateur se ferme, selon ce qui arrive en premier.
Un PDF en attente de classement est effacé du serveur dès qu'il a été écrit dans le dossier de l'organisation, et au plus tard 90 jours après la réception ; la réception indique cette date.
La note de l'ordinateur qui a classé une facture reçue dans son dossier est effacée 90 jours après le classement. Un ordinateur reste dans la liste des ordinateurs qui classent les factures d'une succursale jusqu'à ce qu'il en soit retiré dans les Réglages ou qu'il cesse d'y classer dans un dossier. Un ordinateur retiré dans les Réglages en est avisé à sa prochaine connexion et cesse d'y classer ; cette note est effacée 90 jours après le retrait.
Ce qu'une succursale a noté en refusant un transfert (le motif, les quantités proposées et les versions refusées) est effacé 2 ans après le refus ; le transfert lui-même reste dans les dossiers de l'organisation.
Une ligne de l'enregistrement administratif - qui a changé un réglage, un analyseur, une organisation, le mot de passe d'un administrateur ou un document déjà reçu dans le point de vente - est effacée 2 ans après le changement.
Une ligne du rapport des articles manquants est effacée 1 an après sa fermeture ; une ligne ouverte reste jusqu'à sa fermeture. Tant que la copie d'une succursale liste encore une ligne effacée, le serveur garde une courte note pour que la ligne ne soit pas rouverte : la clé de l'article (son type et son code), le compte de la succursale qui l'a signalé, la façon dont la ligne a été fermée (créée, écartée ou envoyée au point de vente), la date de sa fermeture et celle de son effacement. Cette note disparaît dès que la succursale ne liste plus l'article, et au plus tard 1 an après l'effacement de la ligne.
L'enregistrement de chaque document reçu dans le point de vente est gardé 7 ans après sa réception. Les corrections d'un document et son annulation sont gardées avec lui et partent avec lui, quand la plus récente a 7 ans. Un transfert entre succursales est gardé 7 ans après le dernier événement qui le concerne (son acceptation, son refus, son renversement ou son annulation). La fiche de l'application pour chaque facture reçue, y compris les factures reçues avant le 5 octobre 2026 qu'un ordinateur a envoyées, est gardée de la même façon, 7 ans après sa réception. La lecture complète d'une facture reçue est gardée 180 jours.
La note qui empêche de recevoir deux fois une même facture est effacée 180 jours après que le résultat de la réception est connu, ou 1 an après la réception quand ce résultat n'a pas pu être établi. Il en va de même de la note gardée pour chaque correction d'un document reçu.
La réponse de l'organisation à un écart de la vérification de nuit du point de vente (qui a répondu, la réponse et son commentaire) est effacée 90 jours après avoir été donnée.
Les règles qui lisent les factures d'un fournisseur : pour chaque organisation et chaque fournisseur, la version en usage et les 20 versions les plus récentes sont gardées, et une version jamais prouvée est effacée 180 jours après avoir été écrite ; la version en usage n'est jamais effacée. Une proposition de changement de ces règles, avec qui l'a proposée et qui l'a tranchée, est effacée 2 ans après avoir été acceptée ou refusée, et au plus 20 propositions en attente de décision sont gardées par fournisseur.
Les exemples de factures reçues d'un fournisseur, gardés sur le serveur pour vérifier les règles qui les lisent : au plus les 10 dernières par organisation et par fournisseur, chacune effacée 24 mois après sa réception. Un brouillon mis à la corbeille est effacé après 30 jours ; la copie du PDF d'une facture gardée sur le serveur est effacée 24 mois après avoir été enregistrée.
Un compte où personne ne se connecte. Quand un compte de succursale ne s'est pas connecté depuis 13 mois, les administrateurs de l'organisation en sont avisés : dans le registre d'activité de l'organisation et, si l'organisation reçoit le rapport de nuit par courriel, à cette adresse. Trente jours plus tard, à moins que quelqu'un se soit connecté à ce compte entre-temps, le serveur efface sa copie chiffrée du coffre, ses PDF en attente de classement, la liste de ses ordinateurs qui les classent et sa connexion Outlook. Les documents qu'il a reçus, ses transferts et ses rapports restent dans les dossiers de l'organisation, selon les délais ci-dessus. Une connexion à tout moment avant l'effacement l'annule.
Une connexion à Outlook ou à Writ commencée mais non terminée est oubliée après 10 minutes.
La connexion Outlook est effacée du serveur dès que la succursale la déconnecte, et avec les données d'un compte où personne ne se connecte (ci-dessus).
Les journaux du serveur sont remplacés au fil de l'eau et ne dépassent jamais 250 Mo au total.
Les autres renseignements sont gardés tant que l'organisation utilise le service. À la fin de l'entente, l'organisation peut exporter ses données, puis tout ce qui la concerne est effacé du serveur dans les 30 jours, y compris les copies chiffrées des coffres qu'une version antérieure gardait. L'enregistrement des changements administratifs est la seule exception : c'est lui qui rend compte de ce qui a été fait à l'organisation, y compris cet effacement, et il suit donc son propre délai de deux ans ci-dessus.
Sauvegardes : le serveur garde ses 14 dernières copies de nuit, et un second fournisseur de stockage garde des copies chiffrées pendant 30 jours (quotidiennes) et 12 mois (mensuelles). Un renseignement effacé du serveur demeure dans ces copies jusqu'à leur expiration, au plus tard 12 mois après son effacement. Elles ne servent qu'à rétablir le service après une panne. Une copie de la base de données que le serveur prend avant d'annuler une mise à jour est effacée après 30 jours.

Une copie de vos données qu'une version antérieure gardait dans votre navigateur est effacée de votre ordinateur 30 jours après avoir atteint le serveur (section 7).

7. Témoins et stockage du navigateur

L'application utilise deux témoins, tous deux strictement nécessaires, illisibles par tout script de la page et envoyés seulement à ce service : le témoin de session qui vous garde connecté, et le témoin de connexion au point de vente, qui contient votre entreprise, votre nom d'utilisateur et votre mot de passe Auphan chiffrés sous une clé que seul le serveur possède, pour que le point de vente puisse être joint sans que votre navigateur garde jamais le mot de passe. Le second ne fonctionne qu'avec votre session et depuis l'onglet où vous vous êtes connecté ; il est supprimé quand vous verrouillez l'application ou que votre session prend fin, et le navigateur l'abandonne à sa fermeture. Ils ne servent à rien d'autre et ne sont lus par aucun tiers. Il n'y a aucun témoin de suivi, de publicité ou de mesure d'audience ; c'est pourquoi aucun bandeau ne vous demande votre accord.

Les factures, catalogues, correspondances apprises, réglages et autres données de votre succursale sont gardés sur le serveur, pas dans votre navigateur : chaque connexion les lit sur le serveur, et l'onglet ouvert ne les garde que tant qu'il est ouvert. Le navigateur conserve aussi, sur votre ordinateur seulement :

votre connexion au point de vente telle que cet onglet la connaît - l'entreprise et le nom d'utilisateur saisis, un code aléatoire qui lie l'onglet au témoin de connexion au point de vente et le moment de la connexion, jamais votre mot de passe - scellée pour que le rechargement de la page ne vous redemande pas votre mot de passe ; elle n'est gardée que pour l'onglet ouvert (sessionStorage), n'est honorée que 12 heures au plus après la connexion et disparaît quand l'onglet se ferme ou que vous verrouillez l'application ; elle est scellée sous une clé propre à cet onglet, que le navigateur ne laisse lire par aucun script (IndexedDB), rangée sous un identifiant aléatoire de cet onglet (sessionStorage) ; le verrouillage retire la clé et l'identifiant, et la clé qu'un onglet fermé a laissée est retirée à une connexion suivante une fois qu'elle a 13 heures ;
l'accès au dossier où les PDF de l'organisation sont enregistrés, qui permet à l'application d'écrire dans ce dossier et nulle part ailleurs (IndexedDB) ;
l'empreinte de la dernière liste de fournisseurs envoyée au serveur, pour ne pas renvoyer la même liste (localStorage) ;
sur un serveur qui en demande une, la clé d'accès partagée au service, telle que vous l'avez saisie et non chiffrée, pour qu'elle ne soit plus demandée sur cet ordinateur (localStorage) ;
un nom court pour cet ordinateur et son identifiant aléatoire, la dernière entreprise avec laquelle vous vous êtes connecté, vos préférences d'affichage comme la langue, le thème, la densité des listes et la largeur de la facture affichée à côté de ses lignes, le passage automatique à la facture suivante une fois une facture reçue, l'activation ou non des raccourcis clavier et l'activation ou non du journal de dépannage (localStorage) ;
le dernier onglet ouvert, la facture reçue que vous consultiez et le lot de factures en cours, par leurs identifiants seulement - les factures elles-mêmes sont sur le serveur - pour que le rechargement de la page les rouvre ; le tout pour l'onglet ouvert seulement, et la facture et le lot sont oubliés quand vous verrouillez l'application (sessionStorage).
le fait que vous avez remis à plus tard la mise en route de l'organisation, avec l'entreprise et le compte qui l'ont remise, pour que le rechargement de la page ne vous la repropose pas ; pour l'onglet ouvert seulement, et oublié quand vous verrouillez l'application (sessionStorage).
la copie de vos données qu'une version antérieure gardait sur cet ordinateur jusqu'en novembre 2026, chiffrée sous une clé dérivée de votre mot de passe (localStorage), avec les enregistrements de cette copie, les factures plus anciennes de cette copie et les PDF de factures de cette copie (IndexedDB), et ce que cette version savait du serveur (localStorage). Plus rien n'est ajouté à cette copie. À votre première connexion avec votre mot de passe sur cette version, ce qu'elle contient et que le serveur n'a pas encore lui est envoyé, une fois, et l'application note le moment où cette copie a atteint le serveur (localStorage) ; la copie et tout ce qui était gardé avec elle sont effacés de cet ordinateur 30 jours plus tard, ou 30 jours après que vous avez choisi de continuer sans elle quand elle avait été faite avec un ancien mot de passe.

Le nom de votre compte fait partie du nom sous lequel le navigateur a rangé cette copie antérieure et ce que cette version savait du serveur ; il peut donc être lu sur cet ordinateur sans le mot de passe jusqu'à l'effacement de la copie. Rien d'autre des données de votre succursale ne reste sur cet ordinateur une fois l'onglet fermé.

8. Sécurité

Toutes les connexions au service sont chiffrées (HTTPS).
Les données de votre succursale sont gardées sur le serveur chiffrées sous la clé du serveur, chaque enregistrement lié à sa place ; votre navigateur n'en garde rien une fois l'onglet fermé.
Le serveur ne conserve que l'empreinte de chaque jeton de session, jamais le jeton lui-même.
Votre mot de passe Auphan n'est jamais enregistré sur le serveur ni gardé par les pages de votre navigateur : il est chiffré dans un témoin lié à votre session et à l'onglet où vous vous êtes connecté, qu'aucun script ne peut lire.
L'administration de la plateforme se fait avec un compte distinct des comptes Auphan, protégé par un mot de passe robuste. Un second facteur d'authentification (une application d'authentification) peut y être ajouté ; une fois ajouté, il est demandé à chaque connexion et le mot de passe seul n'ouvre plus rien.
Les tentatives de connexion répétées sont limitées, et chaque organisation ne voit que ses propres succursales.

9. Vos droits

Vous pouvez :

demander à savoir quels renseignements nous détenons sur vous et en obtenir une copie ;
faire corriger un renseignement inexact, incomplet ou périmé ;
retirer votre consentement, par exemple en déconnectant la boîte Outlook dans les Réglages, ce qui retire aussi à l'application la permission de la lire ;
obtenir vos données dans un format structuré et couramment utilisé : les Réglages, section « Vos données », les exportent en fichiers JSON et CSV que tout tableur ou éditeur de texte ouvre ;
demander l'effacement de renseignements qui ne sont plus nécessaires.

Adressez votre demande par écrit à Benjamin Garcia, à [email protected]. Nous répondons dans les 30 jours.

Si notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès de la Commission d'accès à l'information du Québec (www.cai.gouv.qc.ca) ou, pour une question relevant de la loi fédérale, du Commissariat à la protection de la vie privée du Canada (www.priv.gc.ca).

10. Incidents de confidentialité

Chaque incident de confidentialité est consigné dans un registre. Lorsqu'un incident présente un risque de préjudice sérieux, nous avisons avec diligence la Commission d'accès à l'information et les personnes concernées, et nous prenons les mesures pour en limiter les conséquences et éviter qu'il se reproduise.

11. Modifications

Si cette politique change, la nouvelle version est publiée à cette adresse avec sa date d'entrée en vigueur, et votre organisation en est avisée avant qu'un changement important ne s'applique.