Politique de confidentialité

Date d'entrée en vigueur : 5 novembre 2026 · Dernière mise à jour : 5 novembre 2026

0. Personne responsable de la protection des renseignements personnels

Conformément à la Loi 25 du Québec (Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée en septembre 2023), la Personne responsable de la protection des renseignements personnels chez Manera Fintech Service Bidding Platform Inc. (faisant affaire sous le nom « Manera Technologies ») est Kao Manirath, responsable de la vie privée.

Coordonnées directes : privacy@maneratech.com. Adresse postale : Manera Fintech Service Bidding Platform Inc., faisant affaire sous le nom « Manera Technologies », Responsable de la vie privée, 286, 43e Avenue, Pointe-Calumet, QC J0N 1G0, Canada. Nous répondons aux demandes d'accès, de rectification, de portabilité et de suppression dans un délai de 30 jours, conformément à l'article 32 de la Loi.

1. Ce que nous collectons — le strict minimum

Nous ne collectons que ce qui est opérationnellement nécessaire : votre adresse courriel et votre région pour acheminer votre demande, le contenu de votre demande elle-même, et (pour les fournisseurs) les renseignements sur les permis que vous autodéclarez.

Nous ne collectons PAS de données de navigation, de profils comportementaux, ni d'identifiants à des fins de marketing au-delà de ce qui est strictement requis pour le fonctionnement de la Plateforme, sauf les renseignements sur le canal décrits ci-dessous.

Comment vous nous avez trouvés. Lorsque vous envoyez une demande à partir de notre site, nous notons comment vous nous avez trouvés : la page de Bidit d'où vous êtes parti, le nom du site qui vous a dirigé vers nous (le domaine seulement) et, le cas échéant, les codes de campagne contenus dans le lien. Nous utilisons ces renseignements uniquement pour savoir quels canaux nous amènent des demandes.

Demandes envoyées par un assistant IA. Vous pouvez demander à un assistant IA (par exemple ChatGPT ou Claude) d'envoyer une demande à Bidit par https://justbidit.ai/mcp. L'assistant nous transmet le secteur, la région, l'urgence, votre description et les réponses au formulaire de demande, ainsi que votre adresse courriel. Il peut aussi nous indiquer de quelle plateforme d'assistant il s'agit, une référence de session et un code de campagne ou de recommandation ; nous enregistrons la plateforme de l'assistant avec votre demande. Nous ne recevons pas votre conversation avec l'assistant ; ce que vous communiquez à l'assistant est régi par la politique de confidentialité de ce fournisseur, qui n'est pas notre sous-traitant. Nous remettons à l'assistant une clé d'accès lui permettant de vérifier l'état de cette seule demande ; nous n'en conservons qu'un hachage. Rien n'est présenté à une entreprise avant que vous cliquiez sur le lien de confirmation que nous vous envoyons par courriel, valide 7 jours. Lorsque vous confirmez, nous enregistrons votre acceptation de l'Entente Client, des Conditions et de la Politique de confidentialité (heure, adresse IP, navigateur). Les demandes non confirmées ne sont jamais présentées aux entreprises et sont marquées expirées après 7 jours. Si vous demandez un secteur qui n'est pas encore ouvert, nous ne conservons qu'un enregistrement anonyme (un hachage du texte, la région et la plateforme de l'assistant).

Demandes laissées par téléphone. Quand vous appelez la ligne téléphonique de Bidit et laissez un message, notre fournisseur de téléphonie convertit vos paroles en texte ; aucun enregistrement audio n'est conservé. Votre message est transcrit et traité par une IA pour préparer votre demande : un modèle d'IA (Anthropic) lit la transcription pour choisir la catégorie, remplir les détails que vous avez donnés et rédiger un court résumé sans votre nom ni votre numéro ; une personne de Bidit vérifie ce résumé et peut le corriger. Rien n'est publié et aucune entreprise ne la voit avant que vous la confirmiez, avec le lien ou le numéro de demande que nous vous donnons, et que Bidit l'ait vérifiée ; l'entreprise que vous choisissez ne voit que ce résumé vérifié et vos réponses, jamais la transcription. Chez Bidit, la transcription, votre numéro et toute note que vous ajoutez sont conservés chiffrés et supprimés quand votre demande est publiée, annulée ou refusée, ou quand elle expire (72 heures sans votre confirmation, 7 jours sans la vérification de Bidit). Par ailleurs, notre système téléphonique conserve le texte de votre message, le numéro de rappel que vous avez donné et votre afficheur pendant 30 jours, et envoie une copie du message par courriel à la boîte de soutien de Bidit ([email protected]).

Si vous appelez notre ligne téléphonique et que nous ne pouvons pas vous texter, nous pouvons vous demander votre adresse courriel afin de vous envoyer le lien de confirmation de votre demande. Nous l'utilisons uniquement pour ce courriel et ne la transmettons jamais aux professionnels. L'adresse elle-même est supprimée dans les 25 heures. Par la suite, nous conservons avec votre message, pendant au plus 30 jours, une version codée (hachée) de votre adresse, utilisée uniquement pour appliquer les limites d'envoi et votre choix de désabonnement. Si vous nous demandez de ne plus vous écrire, cette version codée reste sur notre liste « ne pas écrire » jusqu'à ce que vous demandiez à en être retiré. La base de données de notre ligne téléphonique fait partie de nos sauvegardes quotidiennes, conservées environ 14 jours sur notre serveur et environ 30 jours hors site; une copie peut donc subsister dans ces sauvegardes jusqu'à leur expiration.

Courriel sur la page de confirmation. Si vous ouvrez votre demande avec le numéro de demande que nous vous lisons, la page de confirmation peut aussi vous demander votre adresse courriel. C'est facultatif. Nous envoyons un seul courriel pour vérifier l'adresse ; tant que vous ne l'avez pas confirmée (le lien fonctionne une fois, pendant 72 heures), l'adresse sert seulement à cette vérification, et nous la supprimons dans l'heure environ qui suit l'expiration du lien, sauf dans la copie de ce courriel de vérification conservée dans notre registre des courriels envoyés (supprimée 12 mois après l'envoi ; voir la section 5, qui traite aussi de la copie conservée par notre fournisseur de messagerie). Une fois confirmée, l'adresse est ajoutée à votre dossier client Bidit, comme une adresse courriel donnée en publiant une demande sur notre site, et elle est utilisée et conservée de la même façon : pour vous envoyer des nouvelles de vos demandes.

2. L'usage que nous en faisons (finalité)

Votre demande est présentée aux fournisseurs qui ont déclaré desservir votre région et votre secteur, ainsi qu'aux entreprises locales que Bidit invite à y répondre ; Bidit ne vérifie pas leurs permis pour les clients. Les fournisseurs voient les détails de votre demande, mais pas votre nom ni vos coordonnées. Vos coordonnées ne sont communiquées qu'au fournisseur que vous sélectionnez. Les soumissionnaires non retenus ne reçoivent jamais vos coordonnées.

Nous ne vendons pas vos données. Nous ne les louons pas, ne les cédons pas et ne les monétisons pas par l'intermédiaire d'annonceurs tiers. Le fondement juridique du traitement est l'exécution d'un contrat (Code civil du Québec art. 35 et suiv., Loi 25 art. 12).

3. Sous-traitants et transferts hors Québec

Certains traitements impliquent un transfert de vos renseignements hors du Québec. Conformément à l'article 17 de la Loi 25, nous divulguons :

Hetzner Online GmbH (États-Unis) — héberge les serveurs de Bidit dans un centre de données situé à Hillsboro, en Oregon, aux États-Unis. Vos renseignements personnels sont donc conservés hors du Québec et hors du Canada.

Anthropic, PBC (États-Unis) — fournit le modèle d'IA utilisé pour apparier votre demande à des fournisseurs pertinents et pour résumer les réponses. Pour cette utilisation, Anthropic est lié contractuellement par une entente de traitement de données prévoyant la suppression des entrées API après 30 jours (sauf examen de sécurité) et l'engagement de ne pas entraîner ses modèles sur vos données. Par ailleurs, notre personnel utilise l'assistant d'IA d'Anthropic pour travailler avec nos propres dossiers, ce qui peut inclure la copie des courriels conservée dans notre CRM, décrite à la section 5 ; les conditions contractuelles ci-dessus visent le modèle d'IA utilisé pour l'appariement, pas nécessairement cet usage.

Agent acheteur (la page « Décrivez votre besoin »). Si vous utilisez l'Agent acheteur, lorsqu'il vous est offert, le texte que vous saisissez (jusqu'à 2 000 caractères) est transmis à Anthropic, notre fournisseur d'IA, pour choisir la catégorie de votre demande et préremplir son formulaire. Aucun autre renseignement sur vous n'y est ajouté : ni votre nom, ni votre adresse courriel, ni les renseignements de votre compte. Tout ce que vous saisissez vous-même, y compris des coordonnées, est transmis tel quel. Un texte contenant des mots courants liés à la santé ou à la médecine n'est pas transmis ; vous êtes plutôt dirigé vers le formulaire habituel. Tout autre texte portant sur la santé peut tout de même être transmis pour choisir la catégorie ; s'il est classé dans la catégorie santé, il n'est pas transmis de nouveau, aucun brouillon n'est conservé et vous êtes dirigé vers le formulaire habituel de cette catégorie, ou vers la liste des catégories si celle-ci n'accepte pas de demandes. Sinon, il est traité comme toute autre demande. Le brouillon qui en résulte (votre texte et les réponses préremplies) est conservé sur nos serveurs, chiffré avec AES-256-GCM. Il ne peut être ouvert qu'à partir du navigateur qui l'a créé, et notre personnel ne dispose d'aucun outil pour consulter les brouillons. Un brouillon est supprimé lorsque vous publiez ou annulez votre demande, et sinon automatiquement dans un délai d'environ deux heures et demie après sa création. Une fois publiée, votre demande est conservée comme toute autre demande (voir la section 5).

Stripe, Inc. (États-Unis / Irlande) — processeur de paiement pour les frais facturés aux fournisseurs (frais de jumelage et abonnements des professions réglementées). Les consommateurs ne paient pas Manera ; les données de carte des consommateurs n'atteignent jamais nos serveurs.

Cloudflare, Inc. (réseau périphérique mondial) — DNS, protection contre les attaques par déni de service et terminaison TLS. Cloudflare peut conserver les journaux de connexion jusqu'à 4 heures. Cloudflare peut aussi soumettre un visiteur à une vérification anti-robots (défi Cloudflare ou Turnstile), qui utilise des signaux provenant du navigateur et de l'appareil du visiteur.

Cloudflare Web Analytics (Cloudflare, Inc.) — statistiques de fréquentation et vitesse de chargement du site de Bidit. Lorsqu'une page se charge, un script de Cloudflare dans votre navigateur transmet à Cloudflare l'adresse de la page, la page d'où vous venez, le type de votre navigateur et des mesures du temps de chargement ; comme toute requête adressée à Cloudflare, elle comporte aussi l'adresse IP de votre connexion. Il ne dépose aucun témoin et n'enregistre rien sur votre appareil, et nous ne voyons que des totaux (par exemple les visites par page ou par pays), jamais des visiteurs individuels. Il ne s'exécute pas sur les pages ouvertes à partir d'un lien personnel (par exemple un lien de connexion, de confirmation ou d'invitation), ni si votre navigateur transmet le signal Global Privacy Control (voir la section 6).

Google (Gmail / Google Workspace, États-Unis) — livraison des courriels que nous envoyons aux clients et aux entreprises (y compris les liens de connexion, les invitations à soumissionner et les confirmations de la ligne téléphonique).

API Google Places (Google, États-Unis) — pour trouver des entreprises locales à inviter à soumissionner sur une demande, nous envoyons à Google une recherche composée d'un terme de métier tiré d'une liste fixe selon la catégorie de la demande (par exemple « couvreur ») et de la ville et de la province ou de l'État de la demande (pour certaines catégories, seulement la province ou l'État). Aucun nom, aucune coordonnée et aucune description tirés de la demande ne sont transmis.

Google Flights (Google, États-Unis) — pour les demandes de billets d'avion, nous consultons les prix de Google Flights au moyen d'une bibliothèque de recherche de billets d'avion afin de les afficher à côté des soumissions des fournisseurs. La recherche transmet les aéroports de départ et d'arrivée, les dates de voyage, le nombre d'adultes, d'enfants et de bébés, ainsi que la classe de cabine. Aucun nom ni aucune coordonnée n'est transmis.

OpenStreetMap Nominatim (Fondation OpenStreetMap, Royaume-Uni) — géocodage de l'emplacement des entreprises des fournisseurs : une adresse ou un nom de lieu saisi dans la recherche d'emplacement de Bidit, ou un point choisi sur la carte, lui est transmis pour trouver l'adresse et les coordonnées correspondantes.

Telegram (hors du Canada) — alertes opérationnelles destinées au personnel de Manera (par exemple l'inscription d'un nouveau fournisseur, des frais à vérifier ou des invitations de fournisseurs pour une demande). Une alerte peut contenir un identifiant de demande ou de fournisseur, une catégorie et une région, un numéro de permis ou le nom et l'adresse courriel de la personne ou de l'entreprise qui s'est inscrite.

Sentry (Functional Software, Inc., États-Unis) — surveillance des erreurs : lorsqu'une erreur survient sur nos serveurs, un rapport d'erreur est transmis à Sentry afin que nous puissions la corriger. Avant qu'un rapport quitte nos serveurs, le contenu des formulaires, les témoins, la chaîne de requête, votre adresse IP et les renseignements sur l'utilisateur en sont retirés, et les adresses courriel, les numéros de téléphone nord-américains et internationaux (+…), les adresses IPv4 et les jetons d'accès qui restent dans le texte sont remplacés par des marqueurs. D'autres éléments d'un message d'erreur, comme un nom, un numéro de téléphone dans un autre format ou une adresse IPv6, peuvent y demeurer.

Registres publics — pour préremplir les renseignements, nous utilisons des registres publics : au Québec, la Régie du bâtiment du Québec (RBQ) et l'Office de la protection du consommateur (OPC) ; aux États-Unis, le registre NPI ; au Royaume-Uni, Companies House ; en France, SIRENE ; et en Australie, l'Australian Business Register (ABR). Seul le registre NPI est interrogé en ligne : ce qu'un fournisseur tape dans la recherche NPI (un numéro ou un nom) lui est transmis. Les autres sont consultés à partir de copies de leurs données publiques conservées sur nos serveurs ; rien ne leur est transmis. Bidit n'indique pas aux clients si une licence est valide et n'affiche aucun résultat de vérification. Les données des registres sont aussi comparées à l'interne pour configurer les comptes d'entreprise et acheminer les demandes.

Tous les sous-traitants opèrent en vertu d'ententes de protection des données équivalentes aux normes de la Loi 25, sauf ce qui est indiqué plus haut pour l'utilisation par notre personnel de l'assistant d'IA d'Anthropic. Vous pouvez demander la liste à jour des sous-traitants et un résumé de l'évaluation des facteurs relatifs à la vie privée à [email protected].

Si vous cliquez sur un lien de recherche de billets d'avion (Skyscanner, Aviasales ou Kiwi), votre navigateur ouvre ce site avec votre trajet, vos dates de voyage et le nombre de voyageurs afin qu'il puisse afficher les prix. La politique de confidentialité de ce site s'applique.

Twilio Inc. (États-Unis) : la ligne téléphonique de Bidit. Twilio achemine l'appel et convertit en texte le message que vous dictez. Aucun enregistrement audio n'est conservé.

4. Traitement automatisé et appariement par IA (Loi 25 art. 12.1)

Nous utilisons un traitement automatisé — plus précisément une étape de scoring fondée sur un grand modèle de langage — pour apparier votre demande à des fournisseurs et pour résumer les réponses des fournisseurs à votre intention. Ce traitement n'est pas une décision entièrement automatisée produisant des effets juridiques : un fournisseur ne voit votre demande qu'après le passage de filtres de secteur et de région basés sur des règles, ou après que Bidit a invité cette entreprise à répondre à votre demande, et c'est vous (le consommateur) qui prenez chaque décision de sélection. L'IA n'approuve, ne rejette, ne tarifie et ne contracte jamais en votre nom.

Si vous utilisez l'Agent acheteur, lorsqu'il vous est offert, un modèle d'IA lit aussi le texte que vous saisissez pour choisir la catégorie de votre demande et préremplir son formulaire (voir la section 3). Vous vérifiez, modifiez ou annulez le résultat avant que quoi que ce soit ne soit publié.

Vous avez le droit : (a) d'être informé des principaux facteurs et paramètres utilisés (contenu de la demande, région, secteur, permis du fournisseur, délai de réponse) ; (b) de demander qu'un humain révise tout résultat d'appariement vous touchant ; (c) de demander à Manera de recalculer l'appariement sans l'étape d'IA. Pour exercer : [email protected].

Si vous laissez un message sur la ligne téléphonique de Bidit, un modèle d'IA lit sa transcription pour préparer votre demande (voir la section 1). Vous la vérifiez, la corrigez ou l'annulez, et une personne de Bidit la vérifie, avant qu'une entreprise la voie.

5. Durée de conservation

Données de demande active : conservées pendant la durée de la demande + 90 jours pour le soutien aux différends. Données de compte fournisseur : conservées pendant la durée du compte + 7 ans pour les obligations comptables et fiscales (ARC / Revenu Québec). Documents de licence et pièces d'identité, et dossiers d'examen d'identité : conservés tant que le compte est ouvert ; aucun calendrier de suppression automatique pour l'instant ; supprimés sur demande à [email protected]. La conservation comptable de 7 ans ne s'y applique pas. Les documents téléversés avant le 5 novembre 2026, ou envoyés au soutien, sont facultatifs et ne sont pas montrés aux clients. Liens de connexion envoyés par courriel aux entreprises : 30 minutes, et chacun ne fonctionne qu'une fois. Lien vers votre tableau de bord de demandes envoyé par courriel aux clients : 30 jours après l'envoi ; vous pouvez en demander un nouveau en tout temps.

Une fois le courriel envoyé, la copie que nous en conservons dans nos propres dossiers ne contient pas de liens utilisables. Cette copie (le nom et l'adresse du destinataire, l'objet, le message, des détails techniques de l'envoi et la demande visée) est supprimée de nos dossiers 12 mois après l'envoi du courriel ; celle d'un courriel jamais envoyé est supprimée 12 mois après sa création, sauf s'il est encore en attente d'envoi.

Nous tenons aussi un court journal de chaque courriel que nous envoyons ou tentons d'envoyer (l'adresse du destinataire, l'objet, la date, le type de courriel, la réussite ou non de l'envoi et des détails techniques de l'envoi) ; chaque entrée de ce journal est supprimée 12 mois après la date qui y est inscrite. Pour les confirmations de demandes faites au moyen d'un assistant d'IA et les courriels de vérification d'un compte partenaire, nous gardons un registre distinct de l'envoi (l'adresse du destinataire, la date et la demande ou le compte visé), qui sert uniquement à limiter le nombre de courriels envoyés ; il est supprimé 12 mois après l'envoi.

Une copie peut subsister dans nos sauvegardes après ces suppressions, jusqu'à ce que ces sauvegardes soient supprimées ; la section 8 explique comment elles sont conservées. Google, notre fournisseur de messagerie, conserve aussi une copie de chaque courriel que nous envoyons, telle qu'elle a été envoyée (liens compris), dans la boîte de courriel d'où nous l'envoyons ; cette copie n'a pas de date de suppression fixe. Cette boîte de courriel est aussi reliée à notre propre système de gestion de la relation client (CRM), hébergé sur nos serveurs et utilisé uniquement par le personnel de Manera ; il conserve sa propre copie de chacun de ces courriels et des courriels qu'on envoie à cette boîte de courriel (l'expéditeur, les destinataires, l'objet, la date et le texte du courriel), elle aussi sans date de suppression fixe, et relie chaque courriel à la fiche de contact que nous détenons déjà pour cette personne ou cette entreprise, s'il y en a une.

Témoin de session : 14 jours après votre dernière visite si vous vous êtes connecté comme fournisseur (par lien courriel, avec Manera ID ou en acceptant une invitation à soumissionner) ou comme administrateur de Bidit (un administrateur est déconnecté après 30 minutes d'inactivité et 8 heures après sa connexion) ; sinon, y compris pour les connexions au portail partenaire, jusqu'à la fermeture de votre navigateur (voir la section 6).

Les photos et vidéos que vous téléversez pour une demande sont supprimées 90 jours après la fermeture de la demande (attribuée, annulée ou expirée). Les photos et vidéos téléversées mais jamais envoyées avec une demande sont supprimées 90 jours après le dernier ajout de photo ou de vidéo.

Les brouillons de l'Agent acheteur sont supprimés lorsque vous publiez ou annulez la demande, et sinon automatiquement dans un délai d'environ deux heures et demie après leur création (voir la section 3).

Les registres de prospection — le fait que nous avons écrit à une adresse d'entreprise et si un message a été ouvert (voir la section 6) — sont conservés 24 mois, puis supprimés automatiquement. Un registre de désabonnement est toutefois conservé indéfiniment, puisque c'est lui qui nous empêche de vous écrire de nouveau.

Vous pouvez demander la suppression en tout temps à [email protected]. Nous supprimons alors ou anonymisons vos renseignements, sauf les registres énumérés ci-dessous.

Ce que la suppression conserve. Lorsque les données d'un client sont supprimées, les registres suivants sont conservés : chaque demande, réduite aux réponses structurées qu'une entreprise pouvait déjà voir avant d'être choisie (par exemple la catégorie, la région et les options choisies), sans votre nom, vos coordonnées, votre description ni aucun autre texte que vous avez saisi ; les photos et vidéos que vous avez téléversées, jusqu'à leur suppression 90 jours après la fermeture de la demande, comme décrit plus haut ; vos notes en étoiles, sans leurs commentaires écrits ; les offres faites par les entreprises sur vos demandes, comme registres de ces entreprises ; les dossiers de différends (leur objet, leurs détails et leur résolution, conservés chiffrés) comme registres légaux, sans votre adresse courriel ; les registres de votre acceptation de nos conditions d'utilisation, de notre politique de confidentialité et de notre entente client (pour une adresse qui est aussi un compte d'entreprise, seulement l'entente client), votre adresse courriel étant remplacée par un code qui ne la révèle pas, et l'adresse IP et les renseignements sur le navigateur étant retirés ; les registres des rappels que nous vous avons envoyés, supprimés selon leur calendrier habituel (3 ans, voir la section 5a) ; si votre adresse nous a demandé de cesser de lui envoyer certains de nos courriels ou tous nos courriels, le registre de cette demande, afin que nous ne lui écrivions plus jamais ; la copie de chaque courriel que nous vous avons envoyé que notre fournisseur de messagerie conserve dans notre boîte de courriel, et les copies de ces courriels et des courriels que vous nous avez envoyés conservées dans notre CRM (voir plus haut) ; un code calculé à partir de votre adresse courriel, qui ne montre pas l'adresse mais demeure un renseignement personnel vous concernant, conservé sans date de fin afin que nous ne vous invitions plus jamais et que nous puissions prouver que vos données ont été supprimées ; et les copies dans nos sauvegardes jusqu'à la suppression de ces sauvegardes (voir la section 8). L'acceptation de l'Entente fournisseur par une entreprise fait partie des données de compte fournisseur et est conservée comme décrit plus haut.

5a. Mon domicile, carnet et rappels

Quoi. Si vous cochez « Retenir les détails de mon domicile pour la prochaine fois », nous conservons un court profil : région, ville, type de propriété, superficie, année de construction et, si votre demande les contenait, les réponses sur les conduits d'air et le panneau électrique. Seules les réponses aux choix fixes du formulaire (et le nom de la ville) sont conservées : jamais votre description, ni votre nom, courriel, téléphone ou adresse. La case est décochée par défaut. Quand une de vos demandes est attribuée, votre carnet affiche la catégorie, la date, le montant accepté et l'entreprise choisie ; vous pouvez y ajouter une date de fin de garantie. Nous notons aussi que vous avez prouvé votre adresse courriel en cliquant sur un lien que nous vous avons envoyé.

Pourquoi. Pour préremplir votre prochaine demande (vous vérifiez chaque champ avant la publication), vous montrer un résumé « bon retour » de votre dernière demande après l'ouverture d'un lien envoyé par courriel, vous permettre d'inviter une entreprise déjà retenue à soumettre une nouvelle offre (elle ne sait pas qui l'invite et doit toujours être admissible), et vous envoyer des rappels d'entretien, de garantie, saisonniers et de services connexes.

Qui le voit. Vous seul, après avoir ouvert un lien envoyé à votre adresse. Il n'est jamais montré à quelqu'un qui tape votre courriel dans un formulaire ou un assistant IA, et un assistant IA ne le reçoit jamais. Les entreprises ne voient ni votre profil ni votre carnet.

Rappels et consentement (LCAP). Nous n'envoyons ces courriels que (a) si vous avez coché « M'envoyer des rappels d'entretien et saisonniers » (jusqu'au retrait de ce consentement), ou (b) pendant 6 mois après votre dernière demande d'offres ou le choix d'une entreprise sur Bidit, et seulement après que vous avez prouvé votre adresse courriel. Un résumé « bon retour » avec des suggestions n'est ajouté à un courriel de confirmation qu'aux mêmes conditions. Au plus 2 par mois. Chaque rappel identifie Manera Technologies avec notre adresse postale et offre un désabonnement en un clic ; se désabonner ne touche pas les courriels liés à une demande en cours. L'utilisation de votre historique pour ces rappels est de la prospection commerciale : vous pouvez retirer votre consentement en tout temps (Loi 25, art. 22).

Durée. Le profil est conservé jusqu'à ce que vous demandiez de l'oublier, ou supprimé avec votre compte. Les entrées du carnet suivent vos demandes (section 5) et vous pouvez en supprimer une en tout temps. Les registres de rappels (quoi, quand, sur quel consentement) sont conservés 3 ans comme preuve du consentement.

Vos choix. « Oublier les détails de mon domicile » sur la page de confirmation, la page de votre demande et votre tableau de bord supprime le profil immédiatement. Votre tableau de bord permet aussi d'exporter vos données domicile, de supprimer des entrées du carnet ou tout, et d'activer ou non les rappels. Ou écrivez à [email protected].

6. Témoins de connexion et traçage

Les témoins que nous déposons. Bidit ne dépose que les quatre témoins décrits ci-dessous. Ce sont tous des témoins internes, essentiels ou fonctionnels : ils vous gardent connecté, font fonctionner un formulaire de demande ou d'inscription, protègent nos formulaires contre la falsification et retiennent que vous avez fermé l'avis sur les témoins. Les trois déposés par notre serveur sont transmis avec les indicateurs HttpOnly, SameSite=Lax et, en production, Secure ; le témoin de l'avis est déposé par votre navigateur, il n'est donc pas HttpOnly. Aucun ne sert à la publicité, à l'analytique ni au traçage intersites, et nous n'utilisons pas de traceurs publicitaires tiers, d'analytique comportementale, ni d'outils qui établissent le profil des utilisateurs individuels.

Témoin de session (session). Il contient un enregistrement signé indiquant si vous êtes connecté et à quel titre (ou quelles demandes vous avez ouvertes à partir d'un lien envoyé par courriel), votre choix de langue, un jeton de sécurité qui protège nos formulaires contre la falsification, l'état temporaire d'un formulaire de demande ou d'inscription que vous remplissez et, si vous commencez une demande sur notre site, la note indiquant comment vous nous avez trouvés (voir « Comment vous nous avez trouvés » plus haut) jusqu'à l'envoi de cette demande. Si vous vous connectez comme fournisseur (par lien courriel, avec Manera ID ou en acceptant une invitation à soumissionner) ou comme administrateur de Bidit, il dure 14 jours après votre dernière visite (un administrateur est déconnecté après 30 minutes d'inactivité et 8 heures après sa connexion). Sinon, y compris lorsque vous vous connectez au portail partenaire, il est supprimé à la fermeture de votre navigateur.

Témoin de connexion Manera ID (bidit_sso_tx). Déposé seulement pendant que vous vous connectez avec Manera ID, pour rattacher la connexion à votre navigateur et bloquer les connexions falsifiées. Il n'est transmis qu'aux pages de connexion Manera ID, dure au plus 10 minutes et est supprimé une fois la connexion terminée.

Témoin de téléversement de photos. Lorsque vous ajoutez des photos ou des vidéos à une demande, nous déposons aussi le témoin essentiel bidit_upl. Il retient quel navigateur a téléversé quelles photos pour une demande, afin que vous seul (et les administrateurs de Bidit) puissiez les voir et que vous puissiez continuer d'en ajouter si vous revenez plus tard. Il ne contient qu'un identifiant aléatoire, ne sert ni au traçage, ni à la publicité, ni à l'analytique, et expire après 180 jours.

Témoin de l'avis sur les témoins (manera_consent). Il retient que vous avez fermé l'avis sur les témoins, pour qu'il ne s'affiche plus. Il ne contient que le mot « acknowledged » et dure 365 jours. Il est déposé par un script dans votre navigateur plutôt que par notre serveur ; il n'est donc pas HttpOnly, mais il est SameSite=Lax et, en HTTPS, Secure.

Les courriels que nous vous envoyons. Certains de nos courriels de prospection — actuellement ceux destinés aux associations professionnelles et sectorielles — contiennent une image d'un seul pixel, qui nous permet de savoir si un message a été ouvert. Nous enregistrons le moment où l'image a été récupérée, l'agent utilisateur qui l'a récupérée et notre évaluation indiquant si la récupération provient d'une personne ou d'un logiciel automatisé d'analyse de courriels — les deux sont difficiles à distinguer, et nous ne présentons pas ces chiffres comme la preuve que quelqu'un a lu quoi que ce soit. Lorsque nos systèmes voient l'adresse réseau qui a récupéré l'image, nous n'en conservons qu'un hachage à clé, jamais l'adresse elle-même ; lorsqu'ils ne la voient pas, nous ne conservons rien. Nous gardons toutes les récupérations, et pas seulement celles que nous jugeons humaines, afin que ce jugement puisse être réexaminé. Nous le faisons pour savoir si notre courriel valait votre attention, et non pour établir un profil ; rien n'est communiqué à des tiers et aucun réseau publicitaire n'intervient. Bloquer les images dans votre logiciel de courriel empêche entièrement ce suivi, la version texte de chaque message n'est jamais suivie, et chaque message comporte un lien de désabonnement en un clic. Cela ne s'applique qu'aux courriels que nous envoyons, c'est indiqué au bas de chaque message, et nous ne le faisons pas du tout pour les destinataires situés dans l'Union européenne ou au Royaume-Uni.

Aucun témoin de recommandation. Jusqu'au 7 octobre 2026, les pages de nos associations partenaires déposaient un témoin de 30 jours nommé bidit_assoc. Nous ne le déposons plus et nous le supprimons de votre navigateur à votre prochaine visite. Lorsque vous vous inscrivez à partir de la page d'une association, celle-ci est notée à partir du lien d'inscription lui-même, et non d'un témoin.

Analytique du site. Nous utilisons Cloudflare Web Analytics pour compter les visites et mesurer la vitesse de chargement de nos pages. Cet outil ne dépose aucun témoin, n'utilise pas le stockage de votre navigateur et ne vous suit pas sur d'autres sites. Nous ne recevons que des chiffres globaux, jamais le profil d'un visiteur individuel, et il ne sert pas à la publicité. Si votre navigateur transmet le signal Global Privacy Control, le script d'analytique n'est pas autorisé à s'exécuter.

Nous honorons le signal Global Privacy Control (GPC) — si votre navigateur l'envoie, nous le traitons comme un retrait de tout traitement non essentiel.

7. Vos droits — et comment les exercer

En vertu de la Loi 25 du Québec, vous avez le droit : (a) d'accès à vos renseignements personnels, (b) de rectification en cas d'inexactitude, (c) à la portabilité dans un format structuré et couramment utilisé, (d) à la suppression lorsque les renseignements ne sont plus nécessaires, (e) de retirer votre consentement en tout temps, (f) d'être informé des facteurs du traitement automatisé, et (g) de porter plainte (voir art. 10 ci-dessous).

Des droits équivalents s'appliquent aux résidents de l'UE (RGPD), du Canada hors Québec (LPRPDE) et de Californie (CCPA/CPRA).

Envoyez toute demande à [email protected]. Nous répondons dans les 30 jours ; les demandes complexes peuvent être prolongées de 60 jours sur préavis.

8. Mesures de sécurité (Loi 25 art. 10)

Mesures techniques raisonnables : TLS 1.3 en transit ; chiffrement AES-256 au repos des données énumérées ci-dessous ; en-têtes de sécurité HSTS, CSP, X-Frame-Options, X-Content-Type-Options sur chaque réponse ; témoins déposés par le serveur HttpOnly + Secure + SameSite=Lax ; authentification par lien magique (aucun mot de passe consommateur stocké) ; limitation du débit sur les points d'entrée d'authentification.

Ce qui est chiffré au repos (AES-256). Les formulaires et descriptions de demande ; votre profil de domicile et le nom des entreprises dans votre carnet ; l'objet et le texte des courriels et des alertes que nous envoyons (sauf l'objet conservé dans notre journal d'envoi et la copie conservée dans notre CRM, voir la section 5) ; les alertes aux fournisseurs ; les questions et réponses sur les demandes ; le texte saisi dans les champs « Autre » ; les descriptions et notes des listes d'attente ; les différends ; ainsi que les photos et fichiers téléversés. Ce qui n'est pas chiffré : les coordonnées qui servent à identifier les comptes (adresses courriel, noms, numéros de téléphone), les copies de courriels conservées dans notre CRM, le texte des offres des entreprises et les journaux techniques, comme les adresses IP. Ces données sont plutôt protégées par un accès restreint.

Sauvegardes. Les sauvegardes sont conservées sur des serveurs à accès restreint. Nos sauvegardes régulières sont supprimées automatiquement : les copies sur nos serveurs après environ 14 jours, les copies chiffrées hors site après environ 30 jours. Nous supprimons aussi d'anciennes copies ponctuelles de notre base de données qui étaient conservées en dehors de ce calendrier. Depuis le 7 octobre 2026, les données énumérées ci-dessus sont conservées chiffrées. Certaines sauvegardes faites avant cette date, ainsi que certaines sauvegardes faites après cette date qui contiennent aussi une ancienne copie de notre base de données, contiennent ces données non chiffrées ; elles sont en cours de suppression.

Mesures organisationnelles raisonnables : principe du moindre privilège ; plan de réponse aux incidents documenté ; révision annuelle des sous-traitants. Manera est une entreprise unipersonnelle à ce stade ; l'accès aux données de production est limité au fondateur. Nous ne garantissons pas une sécurité absolue — aucun système en ligne n'est parfaitement sécurisé.

9. Mineurs

Bidit n'est pas destiné aux personnes de moins de 18 ans. Nous ne collectons pas sciemment des renseignements auprès de mineurs. Si nous découvrons de tels renseignements, nous les supprimons. Les parents ou tuteurs qui croient que leur enfant a utilisé Bidit peuvent communiquer avec [email protected] pour une suppression immédiate.

10. Notification d'incident de confidentialité

Conformément à l'article 3.5 de la Loi 25, en cas d'incident de confidentialité présentant un risque de préjudice sérieux, nous aviserons sans délai la Commission d'accès à l'information du Québec (CAI) et les personnes concernées. Nous tenons un registre des incidents tel qu'exigé.

11. Plaintes — comment porter plainte

Si vous n'êtes pas satisfait du traitement par Manera d'une question de protection des renseignements personnels, vous pouvez porter plainte auprès de l'autorité québécoise :

Commission d'accès à l'information du Québec (CAI) · Bureau de Québec : 525, boulevard René-Lévesque Est, bureau 2.36, Québec (QC) G1R 5S9 · Bureau de Montréal : 2045, rue Stanley, bureau 900, Montréal (QC) H3A 2V4 · Téléphone : 1-888-528-7741 · Web : cai.gouv.qc.ca.

Hors Québec : Commissariat à la protection de la vie privée du Canada (LPRPDE) — priv.gc.ca. Résidents de l'UE : votre Autorité de protection des données locale.

Questions au sujet de ce document ? Écrivez à [email protected].

Manera Fintech Service Bidding Platform Inc. (operating as Manera Technologies)
Bidit™ and Just Bidit.™ are trademarks.