Loi 25 : confier vos factures à Scanee

En bref

• Une facture fournisseur contient souvent des renseignements personnels : nom et adresse d’un travailleur autonome, coordonnées bancaires, signature. La loi québécoise s’applique alors à la façon dont vous les confiez à un outil.
• Scanee agit comme fournisseur de services : il traite vos documents pour votre compte, pour vous rendre le service, et pour rien d’autre. Vous restez responsable des renseignements.
• Les fichiers et les données de vos documents sont hébergés au Canada. Le traitement par l’IA a lieu chez Google, aux États-Unis. C’est une communication à l’extérieur du Québec, qui demande une évaluation des facteurs relatifs à la vie privée (EFVP) et une entente écrite.
• La section 5 vous donne, sous forme de tableau, les réponses de Scanee aux questions d’une EFVP.
• Vous réglez la conservation par projet, vous gardez la trace de chaque modification et vous pouvez archiver vos fichiers dans votre propre stockage.

1. Vos factures contiennent des renseignements personnels

Un renseignement personnel est un renseignement qui concerne une personne physique et permet de l’identifier. Une facture d’entreprise à entreprise n’en contient pas toujours. Mais dans une pile de factures, de reçus et de relevés, on trouve souvent :

• le nom, l’adresse et le numéro de téléphone d’un travailleur autonome ou d’un sous-traitant ;
• des coordonnées bancaires ou un spécimen de chèque ;
• une signature ;
• le nom d’un employé sur une note de frais ou un reçu ;
• le nom et l’adresse d’un client particulier.

Dès qu’un document contient ces renseignements, la Loi sur la protection des renseignements personnels dans le secteur privé, modernisée par la Loi 25, encadre la façon dont votre entreprise les recueille, les utilise, les communique, les conserve et les détruit. Confier ces documents à un outil d’extraction est une communication à un fournisseur.

Si vous exercez aussi ailleurs au Canada, la loi fédérale (LPRPDE) peut s’appliquer. Ce document traite de la loi québécoise.

2. Ce que la loi vous demande

Les obligations qui vous concernent quand vous confiez des factures à un fournisseur comme Scanee :

3. Le rôle de Scanee : un fournisseur qui traite pour votre compte

Dans votre relation avec Scanee, c’est votre entreprise qui détient les renseignements et qui en est responsable. Scanee, produit de Skillztank Inc., est le fournisseur de services à qui vous confiez une tâche : recevoir vos documents, en extraire les données, les afficher pour vérification et les exporter selon vos réglages.

L’article 18.3 permet de communiquer des renseignements personnels à un fournisseur sans le consentement des personnes concernées, si c’est nécessaire à l’exécution du contrat de service, à trois conditions : un contrat écrit ; des mesures de protection de la confidentialité précisées au contrat ; un usage limité à l’exécution du contrat, sans conservation après son expiration. Le fournisseur doit aussi aviser sans délai votre responsable de toute violation ou tentative de violation de la confidentialité, et lui permettre toute vérification à ce sujet.

Ce que fait Scanee, en pratique :

Scanee fait lui-même appel à des fournisseurs pour vous rendre le service : Google (hébergement, connexion des utilisateurs et IA), MongoDB Atlas (base de données), Amazon Web Services (courriels) et Stripe (facturation de l’abonnement). La liste, avec le rôle et le lieu de chacun, est dans la fiche Sécurité et confidentialité.

4. Le traitement hors Québec

Ce qui se passe. Les fichiers et les données de vos documents sont hébergés au Canada ; les serveurs de l’application sont dans la région de Montréal de Google Cloud. Pour extraire les données, Scanee transmet chaque document aux services d’IA de Google (Gemini), qui le traitent aux États-Unis, puis enregistre le résultat au Canada. Google conserve les requêtes et les réponses 55 jours, uniquement pour détecter les abus, sans les utiliser pour entraîner ses modèles. Si un projet active la lecture du texte intégral, le document est aussi lu par Google Cloud Vision, dont le lieu de traitement n’est pas garanti au Canada.

Deux autres communications hors du Québec sont à inclure dans votre évaluation : les comptes de connexion de vos utilisateurs (nom, adresse courriel), gérés par un service mondial de Google qui ne les héberge pas au Canada, et les conversations avec l’assistant IA, dont Google garde le fil pour enchaîner les questions.

Ce que cela implique. Selon l’article 17, avant de communiquer un renseignement personnel à l’extérieur du Québec, ou de confier à quelqu’un hors Québec la tâche de l’utiliser ou de le conserver pour votre compte, vous devez faire une EFVP. Elle tient compte notamment de quatre éléments :

La communication peut se faire si l’évaluation démontre que les renseignements bénéficieraient d’une protection adéquate, notamment au regard des principes de protection généralement reconnus. Elle fait alors l’objet d’une entente écrite qui tient compte des résultats de l’évaluation et, le cas échéant, des mesures convenues pour atténuer les risques.

Ce que vous pouvez faire pour réduire le risque.

• Ne définir, dans chaque projet, que les champs dont vous avez besoin.
• Activer la suppression automatique, en mode « fichiers seuls » ou « tout purger », avec un délai adapté à votre politique.
• Archiver les fichiers dans votre propre stockage, à l’endroit que vous choisissez. Le traitement par l’IA reste fait aux États-Unis ; seul le lieu de conservation des fichiers change.
• Séparer les documents plus sensibles, comme les notes de frais des employés, dans un projet dont l’accès est restreint.

Scanee ne peut pas faire cette évaluation à votre place ni vous dire si elle est concluante. Notre rôle est de vous donner des réponses exactes.

5. Réponses prêtes pour votre EFVP

6. Les droits des personnes

Une personne peut vous demander si vous détenez des renseignements sur elle, en obtenir une copie et en demander la rectification (articles 27 et 28). Un renseignement informatisé recueilli auprès d’elle lui est, à sa demande, communiqué dans un format technologique structuré et couramment utilisé, sauf difficulté pratique sérieuse. Vous répondez par écrit au plus tard dans les 30 jours de la réception de la demande (article 32).

C’est votre entreprise qui reçoit la demande et qui y répond. Dans Scanee, vous pouvez :

• retrouver les documents qui concernent la personne, projet par projet : par une recherche sur le texte (titre, résumé, texte extrait, colonnes affichées) ou par une recherche par le sens ;
• corriger un champ extrait, la modification étant enregistrée au journal ;
• exporter les données en CSV ou en Excel ;
• supprimer les documents qui n’ont plus à être conservés, ou laisser la règle de suppression automatique s’en charger.

Supprimer un document à la main retire sa fiche et ses données de vos projets, mais le fichier d’origine reste stocké jusqu’à la suppression du projet, et le journal garde une copie des données du document. Pour un effacement complet, utilisez la suppression automatique en mode « Tout purger ».

7. La conservation et la destruction

La loi demande de détruire ou d’anonymiser un renseignement personnel une fois les fins de sa collecte accomplies, sous réserve des délais de conservation prévus par une loi (article 23). Pour des pièces comptables, les lois fiscales imposent souvent de les garder plusieurs années. Fixez votre durée avec votre comptable ou votre conseiller.

Dans Scanee, la règle se règle par projet, dans l’onglet « Stockage », section « Rétention et confidentialité des données » :

Deux façons de combiner obligations fiscales et minimisation :

• Garder les pièces chez vous, pas dans Scanee. Archivez les fichiers dans votre propre stockage ou joignez le PDF à l’écriture dans votre ERP, puis réglez une suppression courte dans Scanee.
• Garder les données, pas les fichiers. Le mode « fichiers seuls » supprime le document source et conserve les données extraites pour vos rapports.

8. Les incidents de confidentialité

Un incident de confidentialité est un accès, une utilisation ou une communication non autorisés par la loi, ou la perte d’un renseignement personnel (article 3.6). Si vous avez des motifs de croire qu’un incident s’est produit, vous devez prendre des mesures raisonnables pour réduire le risque de préjudice (article 3.5). Si l’incident présente un risque de préjudice sérieux, vous devez aviser avec diligence la Commission d’accès à l’information et les personnes concernées. Pour évaluer ce risque, vous tenez compte notamment de la sensibilité du renseignement, des conséquences appréhendées et de la probabilité d’une utilisation préjudiciable (article 3.7). Vous tenez un registre de tous les incidents (article 3.8).

Si l’incident se produit chez votre fournisseur, l’article 18.3 l’oblige à aviser sans délai votre responsable de la protection des renseignements personnels.

Pour signaler un problème ou poser une question, écrivez à support@scanee.ai.

9. Pour aller plus loin

La fiche Sécurité et confidentialité de Scanee résume l’hébergement, le traitement par l’IA, l’isolation, le chiffrement, les rôles, la conservation et les fournisseurs. Le dossier sécurité complet détaille chaque point et répond aux questionnaires de sécurité : il vous est remis sur demande à support@scanee.ai. Joignez-le à votre EFVP.

Conclusion

Confier vos factures à Scanee, c’est confier à un fournisseur des documents qui contiennent souvent des renseignements personnels. La loi vous demande d’évaluer ce choix, de l’encadrer par écrit et de régler la conservation. Le traitement par l’IA aux États-Unis est le point principal de votre évaluation ; ce document et le dossier sécurité vous donnent les faits pour le traiter.

Prochaine étape. Commencez votre EFVP avec le tableau de la section 5. Pour une question qu’il ne couvre pas, ou pour l’entente écrite, écrivez-nous à support@scanee.ai.