Questions fréquentes

Oui. La plateforme meo détient une attestation SOC 2 type 2 : un auditeur indépendant a vérifié que ses contrôles de sécurité fonctionnent dans la durée, pas seulement sur papier.

Pour les cartes de crédit, meo s’appuie sur PCI Booking, un fournisseur de services évalué conforme à la norme PCI DSS au niveau 1, le plus exigeant : meo ne détient jamais le numéro de la carte. Voir La sécurité chez meo et Cartes de crédit et conformité PCI.

Oui. Le rapport SOC 2 type 2 et les autres documents utiles à l’évaluation d’un fournisseur sont offerts par le centre de confiance de meo, à trust.documeo.ca. Ces documents servent aux questionnaires de sécurité de vos clients, de vos assureurs ou de votre ordre professionnel.

Oui. Les termes et conditions prévoient un objectif de disponibilité de 99,5 %, 24 heures sur 24 et 7 jours sur 7, hors maintenances programmées et circonstances hors du contrôle de meo. Pour des besoins précis, une entente de niveau de service personnalisée est offerte, jusqu’à 99,9 % de disponibilité avec des crédits de service en cas de non-respect; elle se négocie avec l’équipe de meo.

Cela dépend d’où vous exercez vos activités. Au Canada, la loi fédérale (LPRPDE) est la règle de base pour les entreprises privées, la Colombie-Britannique et l’Alberta ont leur propre loi pour le secteur privé, et la Loi 25 du Québec est la plus exigeante : meo est conçu pour la respecter, ce qui couvre aussi ce que demandent les autres. Des lois propres à votre secteur peuvent s’ajouter.

Au Québec, la Loi 25 vise toute entreprise qui recueille, conserve ou communique des renseignements personnels, quelle que soit sa taille.

meo vous donne des outils pour des pratiques communes à ces lois, mais ne détermine pas quelle loi régit votre organisation. En cas de doute, consultez un conseiller juridique.

meo met les outils en place; votre organisation s’en sert. Dans Vie privée, vous nommez votre responsable, faites analyser votre politique de confidentialité, tenez vos registres des sous-traitants, des incidents et des demandes, et publiez un portail public où vos clients exercent leurs droits.

Au quotidien, votre client donne son consentement avant tout dépôt, et meo en garde la preuve. Vous fixez une durée de conservation par type de document, avec suppression automatique si vous l’activez. Vous exportez ou anonymisez les données d’un contact à sa demande, et le journal d’activité garde la trace des actions de votre équipe.

Ces outils ne remplacent pas un avis juridique. Voir Configurer les outils de vie privée.

La plus courte qui répond à vos besoins et à vos obligations. Les lois sur la vie privée demandent généralement de ne pas garder un renseignement plus longtemps que nécessaire, sauf si une autre loi ou votre ordre professionnel impose une durée. Au Québec, la Loi 25 demande de le détruire ou de l’anonymiser une fois atteintes les fins de la collecte.

Dans meo, chaque type de document du catalogue a sa Durée minimale de rétention, en jours, en mois ou en années; un nouveau type propose 1 an. Votre client voit cette durée dans son consentement. Pour un type à garder sans limite, cochez Conserver pour toujours. Voir Modifier un élément du catalogue.

Par des contrôles vérifiés de l’extérieur : la plateforme meo détient une attestation SOC 2 type 2. Vos documents sont hébergés à Montréal, au Canada. Ils sont chiffrés au repos et à chaque transfert, sauvegardés chaque jour, et les réponses aux blocs d’information sont chiffrées une seconde fois en AES-256-GCM, avec une clé propre à chaque espace.

Chaque table de la base de données applique ses règles d’accès : chaque utilisateur voit seulement les espaces auxquels il a accès, selon son rôle. Une fois l’authentification à deux facteurs activée, la base de données elle-même exige son code.

Chaque mise en production passe par plus de 8 000 tests automatisés. Voir La sécurité chez meo.

La Loi 25 prévoit deux niveaux de sanctions pour une entreprise. Les sanctions administratives vont jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial, si ce montant est plus élevé. Les amendes pénales vont de 15 000 $ à 25 millions de dollars, ou 4 % du chiffre d’affaires mondial.

Une personne peut aussi obtenir des dommages-intérêts punitifs d’au moins 1 000 $ si un tribunal conclut à une atteinte intentionnelle ou à une faute lourde.

Ailleurs au Canada, chaque loi sur la vie privée prévoit ses propres recours.

Au niveau de l’organisation. Les outils de Vie privée, soit votre responsable, votre politique, vos registres et votre portail public, valent pour toute l’organisation et tous ses espaces. Le propriétaire et les administrateurs de l’organisation les configurent; les autres utilisateurs de l’organisation les consultent.

Un utilisateur qui a accès seulement à un ou plusieurs espaces voit dans Vie privée le registre des incidents, pour signaler un incident à l’organisation. Voir Configurer les outils de vie privée.

Chaque tiers qui traite des renseignements personnels pour vous : votre logiciel de gestion ou de comptabilité, votre service de courriel, votre outil de paiement, votre stockage en ligne ou une personne à qui vous confiez des dossiers. meo s’y inscrit de lui-même, avec son évaluation, quand vous activez le registre.

Pour chaque fournisseur, meo vous demande à quoi il sert, si une entente écrite couvre cinq clauses de protection, et comment il traite les données. Pour un fournisseur qui ne touche pas aux renseignements de vos clients, choisissez Ne touche pas à mes clients : rien d’autre n’est demandé.

Dans son portail, avant tout dépôt. Quand votre client ouvre la demande, meo lui présente un consentement à votre nom : l’objet de la collecte, soit le motif de la demande, chaque élément demandé avec sa durée de conservation, le lieu d’hébergement de ses documents et ses droits. Il coche la case et clique sur Accepter et continuer; sans cela, il ne peut rien déposer.

meo enregistre le texte accepté, la date et l’heure, l’adresse IP et un identifiant de l’appareil, mais pas la position de votre client. Vous les retrouvez dans l’onglet Protection de la fiche du contact, avec une ville et une région approximatives, estimées à partir de l’adresse IP. Voir Consulter l’historique d’une demande.

Quand un PDF ou une image (JPEG, PNG, TIFF, BMP ou WebP) est déposé, meo l’analyse pour reconnaître son type et y repérer des renseignements sensibles. Il reconnaît notamment les passeports, les permis de conduire, les relevés bancaires et les documents fiscaux. Le document porte ensuite la mention Contient des informations sensibles ou Document vérifié, sans le détail des renseignements trouvés.

Dans Documents et dans les dossiers partagés avec un collaborateur, la miniature d’un document sensible est floutée. Les copies temporaires faites pour l’analyse sont supprimées à la fin de celle-ci. Comme toute analyse automatique, elle peut se tromper : le document reste accessible dans tous les cas, ouvrez-le pour le vérifier.

meo ne détient jamais le CVC. Votre client l’inscrit avec sa carte dans le formulaire sécurisé de PCI Booking, un fournisseur de services évalué conforme à la norme PCI DSS au niveau 1, le plus exigeant, qui le conserve. Il est supprimé au plus tard avec la carte, à la date que vous avez choisie : meo propose 30 jours, 12 mois au plus.

La norme PCI demande de garder une carte seulement le temps nécessaire. Supprimez-la dès que la réservation ou le dossier est facturé. Voir Cartes de crédit et conformité PCI et Demander une carte de crédit à votre client.

En limitant ce que chacun voit et en gardant la trace de ce qu’il fait. Donnez à chaque employé accès seulement aux espaces dont il a besoin, avec le rôle le plus bas qui suffit à son travail. Les informations sensibles des clients s’affichent seulement pour les utilisateurs qui y ont accès.

Chaque modification des contacts, des documents et des demandes est consignée automatiquement dans le Journal d’activité, avec son auteur et sa date, et le panneau Activité de chaque fichier montre qui l’a consulté ou téléchargé. La suppression automatique des documents échus réduit aussi ce qui reste dans meo. Quand un employé part, retirez son accès : voir Que se passe-t-il quand un employé quitte votre entreprise?

Vos documents sont hébergés à Montréal, au Canada.

Vous gardez en tout temps le moyen de récupérer vos données. Dans Documents, téléchargez un dossier complet en un fichier ZIP, jusqu’à 10 Go ou 10 000 fichiers par téléchargement. Sur la fiche d’un contact, Exporter les données télécharge sa fiche, la liste de ses documents et de ses demandes, et ses preuves de consentement.

Pour garder votre propre copie, faites ces téléchargements à intervalles réguliers.

Elles sont chiffrées une seconde fois, en AES-256-GCM, avec une clé propre à chaque espace, en plus du chiffrement de toutes vos données. Cela vaut pour les réponses aux blocs d’information et les notes chiffrées de l’onglet Infos.

Elles restent masquées jusqu’à ce qu’un utilisateur qui a accès aux renseignements sensibles des clients de l’espace les affiche, et meo garde une trace de chaque affichage. Pour les autres, le bouton Révéler le contenu est désactivé et meo indique « Vous n’avez pas la permission de voir les informations sensibles ». Voir Pouvez-vous demander un renseignement sensible, comme un NAS, sans passer par un fichier?

Oui. meo fonctionne dans votre navigateur : connectez-vous à app.documeo.ca avec votre compte habituel, sans rien installer.

À chaque connexion depuis un nouvel appareil, meo vous envoie un courriel d’alerte. En voyage, activez l’authentification à deux facteurs pour mieux protéger votre compte : voir L’authentification à deux facteurs est-elle offerte?

Oui, avec une application d’authentification, comme Google Authenticator, 1Password ou Authy. Activez-la dans Paramètres, page Sécurité, avec Activer la 2FA : voir Sécuriser votre compte.

Une fois activée, c’est la base de données elle-même qui exige ce code avant de donner accès à vos documents, à vos contacts et à vos demandes. Vous pouvez aussi vous connecter avec une clé d’accès, comme Face ID ou Touch ID; meo demande quand même le code de la 2FA. Chaque personne l’active pour son propre compte : une organisation ne peut pas l’imposer à tous ses utilisateurs.

Écrivez à support@documeo.ca depuis le courriel de votre compte. Après vérification de votre identité, meo retire la vérification en deux étapes de votre compte; vous vous connectez avec votre mot de passe, puis vous la réactivez dans Paramètres > Sécurité avec votre nouvel appareil. Réinitialiser votre mot de passe ne suffit pas : la vérification en deux étapes reste exigée à la connexion.

Après 15 minutes d’inactivité. Deux minutes avant, meo affiche « Rester connecté? » : cliquez sur Rester connecté pour continuer. Une session dure au plus 12 heures.

Si vous cochez Rester connecté sur cet appareil à la connexion, votre session reste ouverte jusqu’à 30 jours. Chaque personne fait ce choix à sa connexion; faites-le seulement sur un appareil qui vous appartient. Le portail de vos clients se ferme après 30 minutes d’inactivité.

Non. meo vous donne des outils pour documenter vos pratiques et les appliquer au quotidien. La progression affichée dans Vie privée reflète seulement les étapes consignées dans meo : ce n’est ni un avis juridique ni une certification.

Votre organisation reste responsable de ses pratiques : former son équipe, appliquer ses politiques internes, répondre aux demandes de ses clients et décider des suites d’un incident. Pour une question précise, consultez un conseiller juridique.

Non. Le diagnostic Score Loi 25, sur le site de meo, calcule un résultat et peut vous envoyer un rapport par courriel, mais il ne crée et ne change rien dans votre compte.

Pour mettre vos outils en place, ouvrez Vie privée dans meo. Voir Configurer les outils de vie privée.

Huit sujets courants : Identité de l’organisation, Renseignements collectés, Fins de la collecte, Droits des personnes, Partage avec des tiers et emplacement des données, Coordonnées en matière de confidentialité, Cookies et technologies et Processus de plainte. Pour chacun, elle indique s’il est abordé ou pas clairement abordé; l’icône i explique le résultat.

L’analyse lit le lien que vous donnez ou le texte que vous collez, et repère votre responsable s’il y est nommé. Elle met en évidence des sujets à vérifier; elle ne dit pas si votre politique respecte la loi. Voir Configurer les outils de vie privée.

Depuis sa fiche. Pour lui remettre ses renseignements, cliquez sur Exporter les données, dans la carte Outils de protection de l’onglet Aperçu ou Protection : meo télécharge un fichier JSON avec sa fiche, la liste de ses documents et de ses demandes, et ses preuves de consentement. Ses documents se téléchargent depuis l’onglet Documents.

Pour les effacer, cliquez sur Anonymiser ce contact, tapez « supprimer », puis cliquez sur Supprimer et anonymiser. Son nom devient « [Supprimé] », son courriel et son téléphone sont effacés, et ses documents et ses notes sont supprimés définitivement. Vérifiez d’abord vos obligations de conservation, puis consignez la demande dans le Registre des demandes.

Avec l’onglet Protection de sa fiche. La section Consentements montre chaque consentement accepté : le message lu, la date et l’heure et, sous Détails techniques (preuve d’audit), l’appareil, l’adresse IP et l’empreinte du consentement. Le Journal d’activité du même onglet liste ses visites du portail, ses dépôts, ses téléchargements et ses signatures.

Ses documents restent dans son dossier avec leur date de dépôt et leur empreinte, qui montre qu’ils n’ont pas changé, et chaque demande garde son historique. Lors d’une inspection professionnelle, téléchargez le dossier depuis Documents en un fichier ZIP; le Journal d’activité de l’organisation s’exporte en fichier CSV. Voir Consulter l’historique d’une demande.

Cela dépend des règles de votre secteur. Les lois sur la vie privée demandent de recueillir seulement les renseignements nécessaires aux fins que vous avez déterminées. Si vous vérifiez l’identité en personne, demandez-vous si une copie vous est vraiment utile : certains ordres professionnels encadrent précisément cette question.

Si vous devez garder une copie, demandez-la dans meo avec une durée de conservation adaptée. Votre client voit cette durée dans son consentement et, si votre espace a activé la suppression automatique, le document part à la corbeille à son échéance.

Oui. meo s’utilise partout au Canada, avec des clients au Québec comme ailleurs. Votre client reçoit ses courriels et voit son portail en français ou en anglais.

Les outils de Vie privée vous aident à documenter des pratiques communes aux lois canadiennes sur la vie privée. Pour savoir quelle loi s’applique à votre organisation, voir La Loi 25 s’applique-t-elle à votre entreprise?

Vos documents sont hébergés à Montréal, au Canada. Les cartes de crédit sont conservées par PCI Booking, dans l’Union européenne, sous des lois sur la vie privée parmi les plus strictes. Voir Cartes de crédit et conformité PCI.

Certains services qui accompagnent meo, comme l’envoi des courriels et le paiement de votre abonnement, font appel à des fournisseurs situés à l’extérieur du Canada. La politique de confidentialité de meo les présente avec leur région.

Elles restent exportables un temps, puis sont supprimées. Si vous annulez votre abonnement, ou si votre essai se termine sans abonnement, meo conserve vos données 60 jours. Pendant ce délai, vos documents restent exportables; réactivez votre abonnement avant la date affichée pour tout conserver. Ensuite, vos données sont supprimées définitivement, sans récupération possible.

Avant de partir, téléchargez vos dossiers depuis Documents et exportez au besoin les données de vos contacts.

Une suite de 64 caractères calculée à partir du contenu exact d’un fichier. Le moindre changement donne une autre empreinte. meo calcule celle de chaque fichier au dépôt et la compare ensuite au fichier conservé : vous savez ainsi s’il est resté identique.

Dans le détail d’un fichier, la section Intégrité affiche Empreinte vérifiée quand les deux correspondent. meo vérifie de lui-même les fichiers de 5 Mo ou moins; pour les autres, cliquez sur Vérifier maintenant.

Non. meo confirme seulement que votre client a accès au courriel ou au numéro de téléphone de sa demande, par un code à usage unique. Si vous demandez une pièce d’identité, meo la reçoit et peut reconnaître son type, mais ne vérifie pas son authenticité.

La vérification d’identité exigée par votre ordre professionnel ou par la loi reste la vôtre.

En limitant qui voit quoi et en gardant la trace de chaque accès. L’isolation entre organisations et entre espaces est inscrite dans la base de données elle-même : seuls les utilisateurs qui ont accès à un espace voient ses clients et ses documents. Les réponses de vos clients aux blocs d’information sont chiffrées une seconde fois et s’affichent seulement pour les utilisateurs qui ont accès aux renseignements sensibles.

Vos clients déposent leurs documents dans leur portail, après un code à usage unique, plutôt qu’en pièce jointe par courriel. Chaque consultation et chaque téléchargement d’un fichier sont inscrits dans son panneau Activité. Vos documents sont hébergés à Montréal, au Canada.

Ouvrez Paramètres > Journal d’activité, sous l’espace (ses actions et celles de l’organisation) ou sous l’organisation (toutes les actions). Chaque ligne donne la date, l’utilisateur, l’action et l’objet.

• Rechercher… trouve un nom d’utilisateur, un courriel ou le nom d’un objet, par exemple un contact ou un document.
• 24 h, 7 j, 30 j, Tout et Personnalisé choisissent la période.
• Filtres limite le journal par Type (Clients, Documents, Demandes, Vie privée, Membres, Paramètres) et par Opération (Création, Modification, Suppression, Lectures et exports).

Exporter télécharge un fichier CSV des événements qui répondent à vos filtres. Le journal est réservé aux propriétaires et aux administrateurs.