Où nous en sommes réellement
Aucun insigne que nous n’avons pas mérité. Cette page indique ce qui est en place aujourd’hui, ce qui est en cours et ce qui constitue une cible que nous nous imposons, afin que votre examen de sécurité et de confidentialité parte de faits.
Posture de conformité
Chaque ligne présente l’état actuel, sans détour. Lorsqu’un élément n’est pas terminé, nous le disons.
SOC 2
En placeContrôles en placeLes contrôles SOC 2 sont mis en œuvre et en fonction. Le rapport de type II est en cours et sera offert sous entente de confidentialité dès son émission. Nous ne nous décrivons pas comme « certifiés SOC 2 », parce que ce ne serait pas encore exact.
Test d’intrusion
En placeRéalisé et corrigéUn test d’intrusion externe a été réalisé. Toutes les vulnérabilités critiques et élevées ont été corrigées et retestées; les vulnérabilités moyennes font l’objet d’un tri avec une décision documentée ou une date de correction.
Loi 25 et RGPD
En placeDocuments publiésUn responsable de la protection des renseignements personnels est désigné, une évaluation des facteurs relatifs à la vie privée est complétée et la matrice de conservation des données est publiée. Notification d’incident à la CAI ou au CPVP et aux personnes concernées dans les 72 heures.
Résidence des données
En placeAu repos : Canada (ca-central-1)Les dossiers d’apprentissage, le contenu des cours, les réponses aux évaluations, les attestations et votre annuaire d’utilisateurs demeurent au repos au Canada. Certaines opérations de traitement s’effectuent hors du pays. Les deux réalités sont énoncées ci-dessous, nous préférons les énoncer plutôt que vous les laisser découvrir.
Norme PCI DSS
En coursSAQ A / A-EP, détermination en coursLes données de carte sont saisies uniquement dans une interface de paiement servie par Stripe, pages hébergées ou cadres Stripe intégrés, et n’atteignent jamais les serveurs d’EmbayLMS. La détermination formelle de la portée par un évaluateur qualifié est en cours.
Accessibilité
CibleCible WCAG 2.2 AANous concevons selon la norme WCAG 2.2 AA et nous la testons. Nous ne revendiquons pas une conformité certifiée, et notre déclaration d’accessibilité décrit les écarts connus plutôt que de les taire.
Vos données de formation sont hébergées au Canada
Toutes les données client que nous conservons demeurent au repos au Canada, sur AWS ca-central-1 (Montréal), chiffrées au moyen de KMS : dossiers d’apprentissage, contenu des cours, réponses aux évaluations, attestations, téléversements, annuaire d’utilisateurs et copies de sauvegarde. TLS 1.2+ en transit. L’inférence par IA, lorsqu’elle est activée, s’exécute dans la même région. Rien n’est conservé ailleurs. Le traitement est une autre question, et nous y répondons ci-dessous plutôt que de vous laisser le deviner.
Où s’effectue le traitement, énoncé clairement
Le stockage et le traitement sont deux choses distinctes, et bien des fournisseurs vous laissent croire le contraire. Chez nous, ils diffèrent : voici donc le portrait complet. Notre application fonctionne sur Vercel, dont les fonctions sans serveur sont épinglées à Montréal (yul1) : depuis août 2026, la couche Web et API s’exécute au Canada, et nous vérifions la région à chaque déploiement. Deux exceptions de traitement demeurent. Notre service de tâches en arrière-plan fonctionne sur Railway, qui n’offre aucune région canadienne, et il prend en charge les importations d’utilisateurs et la production de rapports. Les courriels transactionnels, connexion, inscription et rappels, sont acheminés par Resend, aux États-Unis, qui voit une adresse de destinataire et parfois un prénom. Dans les deux cas, les données sont conservées au Canada et y reviennent : ce qui franchit la frontière est le traitement, non le stockage. Une affirmation sans nuance du type « toutes vos données demeurent au Canada » resterait inexacte, alors nous ne la faisons pas.
Cibles de fiabilité
Voici les objectifs de service que nous nous imposons et selon lesquels nous concevons la plateforme.
99,9 %
Disponibilité
< 500 ms
Chargement de page (p95)
< 250 ms
Enregistrement SCORM (p95)
dans les 72 heures
Notification d’incident
Il s’agit d’objectifs et non d’un historique publié, nous n’exploitons pas encore de page d’état publique, et nous préférons le dire plutôt que de laisser croire à un historique que nous ne vous montrons pas.
Documents et demandes
Tout ce qui suit est accessible sans devoir parler à qui que ce soit.
Vous cherchez les détails?
La page Sécurité couvre l’isolation des locataires, le contrôle d’accès, la journalisation d’audit et le reste du dispositif de contrôle.
En savoir plus sur la sécurité →