Sécurité
Cette page est faite pour être transmise telle quelle à votre service des technologies de l’information. Elle répond aux questions qu’il posera, dans l’ordre où il les pose — y compris celles dont la réponse n’est pas encore « oui ».
Résidence des données
L’ensemble des données de dossier — documents, base de données, fichiers, exports — réside au Canada, dans des centres de données situés au Québec. Aucune donnée de dossier n’est transférée hors du Canada.
| Composante | Hébergement | Localisation |
|---|---|---|
| Application et API | AWS — conteneurs derrière un répartiteur TLS | ca-central-1 · Montréal |
| Base de données | AWS RDS — PostgreSQL avec extension géospatiale | ca-central-1 · Montréal |
| Fichiers | AWS S3 — compartiments privés distincts | ca-central-1 · Montréal |
| Inférence de l’assistant | Modèle ouvert auto-hébergé sur GPU dédié | Beauharnois · Québec |
| Pipeline d’extraction | Station GPU dédiée, environnement contrôlé | Sur site · Québec |
Souveraineté de l’IA
L’extraction et l’assistant s’exécutent sur des modèles ouverts et auto-hébergés. Il n’y a aucun appel à une API commerciale d’intelligence artificielle — ni OpenAI, ni Anthropic, ni Cohere, ni Google. Aucune trousse de développement de ces fournisseurs n’est présente dans le code.
Aucune de vos données ne sert à entraîner un modèle tiers. L’instance d’inférence n’est joignable que par l’API GeoSift, au moyen d’un secret dédié, sur un canal chiffré — elle n’est pas exposée publiquement.
C’est la posture la plus solide disponible au regard de la Loi 25 : il n’y a pas de communication de renseignements hors Québec à évaluer, parce qu’il n’y en a pas.
La question que pose toujours un service des TI :
« Est-ce que nos rapports municipaux passent par ChatGPT ? »
Non. Ni par ChatGPT, ni par un autre service commercial. Les modèles tournent sur du matériel que nous exploitons, au Québec.
Isolation et accès
Chaque enregistrement porte l’identifiant de son organisation, et la séparation est appliquée par la base de données elle-même sur chaque requête — pas seulement par le code applicatif. Une requête qui oublierait le filtre ne retourne rien.
C’est un choix d’architecture, pas un correctif ajouté après coup.
Jetons émis par un service d’identité géré, dont la signature est vérifiée à chaque requête contre les clés publiques de l’émetteur — un jeton forgé est rejeté. Politique de mot de passe de 12 caractères avec exigence de complexité.
Authentification multifacteur disponible et activable par organisation.
Six rôles, du lecteur au propriétaire de l’organisation. Les actions destructrices sont réservées aux rôles autorisés et journalisées.
Aucun compartiment de stockage n’autorise la lecture publique. Les documents s’ouvrent par des liens signés à courte durée de vie, liés à une entité précise et validés contre votre organisation.
Journalisation, chiffrement, continuité
Chaque dépôt, modification, consultation et changement d’état est attribué et horodaté, consultable par les administrateurs de votre organisation et exportable.
Traçage multi-région des actions sur l’infrastructure, avec validation d’intégrité des journaux. Détection continue des menaces sur le compte infonuagique.
TLS sur toutes les communications, avec redirection forcée vers HTTPS et en-têtes de sécurité stricts.
Base de données chiffrée. Compartiments de données chiffrés par clés gérées; le compartiment de tuiles cartographiques publiques utilise le chiffrement standard du service. Les secrets applicatifs sont conservés dans un gestionnaire dédié, jamais dans le code.
Sauvegardes automatisées quotidiennes avec restauration à un instant précis sur une fenêtre de sept jours, en plus des instantanés conservés.
Les suppressions applicatives sont réversibles par un administrateur; les suppressions définitives sont restreintes et journalisées.
Loi 25
La quasi-totalité du contenu traité est technique : stratigraphies, essais, mesures de nappe, résultats analytiques, géométries de sites. Ce ne sont pas des renseignements personnels.
Les seuls renseignements personnels nécessaires sont les comptes des utilisateurs — nom, courriel professionnel, rôle. Aucun renseignement sensible n’est requis par la plateforme.
Les données sont structurées, consultables et exportables en tout temps; la rectification est faite par les rôles autorisés, avec traçabilité; la suppression se fait sur demande.
Export intégral en libre-service, dans des formats ouverts : CSV, GeoJSON, AGS, DXF, LandXML, PDF, JSON. Aucune captivité des données.
Le statut de vos documents ne change pas. GeoSift ne modifie pas les règles d’accès applicables à vos documents. Les rapports, études et données intégrés à la plateforme restent assujettis aux mêmes politiques de confidentialité, de conservation et d’accès que dans vos systèmes actuels. La municipalité garde le contrôle de ce qu’elle y intègre et de sa diffusion.
Ce qui n’est pas encore fait
La sécurité est un processus mesuré, pas un état déclaré. Voici ce qui est engagé pour les douze prochains mois — publié pour que vous n’ayez pas à le demander.
C’est la seule chose qui permet d’affirmer « éprouvé » sans réserve, et elle n’est pas encore faite. Programme de tests périodiques en cours de formalisation.
Disponible aujourd’hui et activable par organisation; son imposition à tous les comptes d’administration est engagée.
L’architecture le permet; l’activation par défaut pour les déploiements municipaux fait partie de la feuille de route.
La suppression et l’archivage existent et sont journalisés; un calendrier de conservation formel par classe de données reste à établir avec vous.
Document
Un dossier de sécurité de l’information, de gouvernance des données et de conformité à la Loi 25 est disponible pour vos services des technologies de l’information et de l’approvisionnement. Il détaille l’architecture, les fournisseurs d’hébergement et leurs certifications, la réponse aux incidents et la correspondance exigence par exigence.
Demander le dossier de sécurité →Mentions légales et confidentialité →
Nous répondons directement aux questions de votre service des technologies de l’information, avant même le pilote.
90 jours · à nos frais · sans engagement
