Politique de confidentialité

English version: Privacy Policy

Date d'entrée en vigueur : 14 novembre 2026 — y compris les révisions du 3 au 10 novembre 2026 pour AccessPoint 2.6.0 et AccessPoint hébergé (article 15)

S'applique à : ce site Web, AccessPoint 2.6.0, AccessPoint hébergé et les services de Realizer qui les entourent

Éditeur : Realizer Services Inc. | Pour nous joindre : privacy@realizer.io

1. Introduction

La présente politique de confidentialité décrit comment Realizer Services Inc. (« Realizer », « nous », « notre », « nos ») recueille, utilise, conserve et protège des renseignements dans le cadre d'AccessPoint, notre solution de gestion de l'accès à l'information et de la protection de la vie privée pour Microsoft 365 et Azure (« l'Application »).

AccessPoint existe en deux éditions :

• L'édition Microsoft 365 repose sur un modèle de souveraineté des données : les données du client sont stockées et traitées entièrement dans l'abonnement Microsoft Azure et le locataire Microsoft 365 du client. Realizer n'héberge pas ces données, ne les stocke pas et n'y a pas d'accès permanent.
• AccessPoint hébergé (app.realizer.io, à partir de la version 2.6.0) est le même logiciel exploité par Realizer : Realizer héberge les données du client dans son propre abonnement Azure au Canada et les traite pour le compte du client (article 5.9).

La présente politique vise les contextes suivants :

• Le Site Web — realizer.io et les pages connexes
• L'Application — le logiciel AccessPoint déployé dans l'environnement d'un client (le composant WebPart SharePoint, l'application Teams, l'API, la base de données, le compte de stockage et les services Azure facultatifs que le client choisit de déployer avec eux)
• AccessPoint hébergé — l'Application sous la forme d'un service que Realizer exploite pour le client (article 5.9)
• La Plateforme — les services de plateforme de Realizer qui soutiennent les licences, les notifications Teams, les packs de juridiction, la configuration initiale, le routage des onglets Teams et la distribution du logiciel, et qui inscrivent les organisations d'AccessPoint hébergé et tiennent à jour leurs forfaits et leur facturation
• Les autres services de Realizer autour d'AccessPoint — l'AccessPoint Training Lab à learn.realizer.io (article 5.10), la démo de marketing à demo.realizer.io (article 5.11) et les dossiers clients et la console d'administration propres à Realizer (article 5.12)

2. Rôles de responsable du traitement et de sous-traitant

• Les organisations clientes sont responsables du traitement de tous les renseignements personnels traités dans AccessPoint. Elles déterminent les finalités et les moyens du traitement des renseignements personnels liés à leurs demandes d'accès, à leurs évaluations de la vie privée, à leurs incidents, à leurs plaintes et à leurs risques.
• Pour l'édition Microsoft 365, Realizer Services Inc. n'agit à titre de sous-traitant que dans la mesure où elle traite des données limitées au moyen de la Plateforme (voir l'article 5). Realizer ne contrôle pas et ne détermine pas les finalités pour lesquelles les données du client sont traitées dans AccessPoint.
• Pour AccessPoint hébergé, Realizer est le fournisseur de services du client — un sous-traitant — pour toutes les données que le client y conserve (article 5.9). Le client demeure le responsable du traitement ; Realizer ne traite les données que pour fournir, sécuriser et soutenir le service.
• Les fournisseurs de formation qui donnent des cours dans l'AccessPoint Training Lab sont responsables du traitement des données de leurs apprenants ; Realizer est leur sous-traitant aux termes de l'entente avec les fournisseurs de formation (article 5.10).
• Realizer est responsable du traitement de ses propres dossiers d'entreprise : la personne-ressource du compte et ses dossiers clients, de facturation et de comptabilité (articles 5.8 et 5.12), les dossiers dont elle a besoin pour exploiter et sécuriser ses services, et les statistiques d'utilisation anonymes de la démo de marketing (article 5.11).
• Microsoft est le fournisseur infonuagique du client. Chaque ressource Azure qu'utilise AccessPoint — y compris les services facultatifs d'IA, de recherche, de reconnaissance vocale et de sécurité de l'article 4.6 — est provisionnée dans l'abonnement du client, aux termes de la propre entente du client avec Microsoft. Realizer n'est pas partie à ce traitement. Pour AccessPoint hébergé, le Training Lab et la Plateforme, Microsoft est le sous-traitant ultérieur de Realizer aux termes de la propre entente de Realizer avec Microsoft (article 8.5).

3. Renseignements recueillis par le Site Web

3.1 Renseignements que vous fournissez

Nous recueillons les renseignements que vous fournissez volontairement, notamment :

• Formulaires de contact : nom, adresse courriel, entreprise et contenu du message
• Demandes de démo : nom, adresse courriel professionnelle, organisation, juridiction ou régime dont vous relevez, et tout ce que vous nous dites vouloir voir
• Destination des soumissions : les soumissions de contact et de démo sont envoyées par courriel à Realizer et, dans le cas des demandes de démo, consignées dans notre système de gestion de la relation client (HubSpot, dans le compte de Realizer au centre de données canadien de HubSpot, à Montréal), avec la page sur laquelle vous êtes arrivé en premier, le site qui vous a dirigé vers nous et les paramètres de campagne du lien que vous avez suivi, afin que nous sachions comment vous nous avez trouvés
• La démo interactive : lorsque vous choisissez de réserver une démonstration depuis la démo interactive, son lien de retour vers ce site indique l'exemple essayé, la juridiction choisie, le nombre d'étapes terminées et toute taille d'organisation pour laquelle vous avez vérifié le prix ; ces renseignements ne nous sont transmis que si vous soumettez le formulaire de demande de démo, avec le reste de votre demande
• Recevoir par courriel les résultats d'un outil : les autoévaluations et les calculateurs de nos guides peuvent vous envoyer par courriel un lien qui rouvre vos résultats. Pour cela, nous vous demandons votre adresse courriel professionnelle, votre rôle et, si vous le souhaitez, le nom de votre organisation. Le courriel n'est envoyé qu'à vous, une seule fois, par Azure Communication Services (Microsoft) ; vos réponses et votre résultat ne voyagent que dans ce courriel, dont nous ne gardons aucune copie. Nous ne conservons pas votre adresse et ne l'ajoutons à aucune liste : le site en garde une empreinte à sens unique, en mémoire, pendant 24 heures, afin qu'aucune adresse ne reçoive plus de trois de ces courriels par jour, et ses journaux n'indiquent que l'outil et le rôle. Nous ne vous enverrons rien d'autre, à moins qu'une version future de ce formulaire ne vous le propose et que vous cochiez une case pour l'accepter.
• Demandes de services : les renseignements utiles à vos besoins de mise en route ou de services-conseils

3.2 Renseignements recueillis automatiquement

Lorsque vous visitez notre site Web, nous utilisons Google Analytics 4 pour comprendre quelles pages sont lues et comment les visiteurs arrivent. Il enregistre les pages que vous consultez et la durée de votre visite, le site ou le moteur de recherche qui vous a dirigé vers nous, le type de votre navigateur et de votre appareil et une localisation approximative dérivée de votre adresse IP ; Google Analytics 4 ne consigne ni ne conserve les adresses IP. Nous avons désactivé Google Signals et toutes les fonctions publicitaires : rien n'est utilisé à des fins publicitaires et aucun profil n'est constitué à partir d'autres sites Web. Les visiteurs de l'Espace économique européen, du Royaume-Uni et de la Suisse sont consultés avant que des témoins de statistiques soient déposés ; ailleurs, deux témoins internes (_ga et _ga_ suivi de l'identifiant de notre propriété) distinguent les visiteurs qui reviennent. Vous pouvez refuser sur n'importe quel appareil en ouvrant une page de ce site après avoir ajouté ?ga=off à l'adresse, par exemple realizer.io/?ga=off, et ?ga=on rétablit les statistiques. Le site ne dépose aucun autre témoin de suivi.

Le bouton sur lequel vous avez cliqué. Les liens de ce site vers l'inscription à AccessPoint hébergé portent le nom du bouton utilisé (cta, par exemple web-pricing), et les liens vers la page de déploiement portent le nom de la page d'où ils partent (via). Ces noms décrivent nos pages, pas vous ; nous les comptons dans Google Analytics, et l'article 5.9.6 décrit ce que l'inscription en conserve.

La démo interactive. La démo s'ouvre sur sa propre page, à demo.realizer.io. Elle utilise la même propriété Google Analytics et les mêmes choix de consentement que www.realizer.io, et ne compte que l'utilisation anonyme de ses écrans — l'exemple, la langue et la juridiction choisis, les étapes terminées et les boutons de son panneau À propos. Elle n'enregistre jamais ce qui est saisi dans la démo, ne dépose aucun témoin publicitaire et ne vous suit pas sur d'autres sites Web. Le choix que vous faites dans son avis est conservé dans votre navigateur (rz-consent), et ?ga=off vous exclut aussi de la démo. L'article 5.11 décrit la démo en détail.

4. Données traitées par l'Application (environnement du client)

Toutes les données suivantes sont stockées et traitées exclusivement dans l'abonnement Azure et le locataire Microsoft 365 du client. Realizer n'a pas accès à ces données.

Pour AccessPoint hébergé, les mêmes descriptions s'appliquent aux données qu'une organisation y conserve, avec les différences indiquées à l'article 5.9 : elles sont stockées dans l'abonnement Azure de Realizer au Canada pour le compte de l'organisation, et les éléments propres à Microsoft 365 (l'article 4.5 et les autorisations Microsoft Graph de l'article 8.1) ainsi que les connecteurs de dépôts (article 4.8) n'en font pas partie.

4.1 Données d'identité des utilisateurs

• Nom d'affichage, adresse courriel, identifiant d'objet Entra ID et identifiant du locataire
• Provenant des jetons JWT de Microsoft Entra ID (Azure Active Directory) lors de l'authentification
• Utilisés pour l'authentification, l'autorisation, la journalisation d'audit et le sélecteur de personnes
• Stockés dans la base de données Azure SQL du client
• Le composant WebPart conserve pendant 24 heures, dans le stockage local du navigateur, l'adresse de l'API du client, pour ne pas avoir à la redécouvrir à chaque chargement de page ; cette mise en cache ne contient aucun identifiant d'utilisateur

4.2 Données des dossiers

• Détails des demandes : titres, descriptions, numéros de demande, dates, statuts, niveaux de priorité, prolongations, consultations, frais, heures et journaux de correspondance
• Renseignements sur les demandeurs : noms, coordonnées, adresses, affiliations organisationnelles, langue préférée et catégorie de demandeur — conservés sous forme de fiches de contact réutilisables, communes à toutes les demandes d'un même demandeur
• Dossiers sur la conduite des demandeurs, lorsque le client choisit de les consigner : les détails et les notes d'une décision qualifiant une demande de futile ou de vexatoire, et un journal de conduite en ajout seulement rattaché à la fiche de contact du demandeur (supprimé lorsque la fiche est purgée)
• Affectations et tâches : affectations aux dépositaires, tâches des collaborateurs, instructions et dates d'échéance
• Attestations : attestations officielles avec signature électronique
• Dossiers connexes, lorsque le client utilise ces modules : incidents et atteintes à la vie privée, plaintes, évaluations des facteurs relatifs à la vie privée et de l'incidence algorithmique, audits de la protection de la vie privée et entrées du registre des risques — y compris les renseignements personnels que le client y consigne (p. ex. les personnes touchées par un incident)
• Dossiers de validation des évaluations, lorsque le client les utilise : les avis demandés et obtenus sur une évaluation (l'avis d'un délégué à la protection des données ou d'un autre conseiller, et le point de vue des personnes concernées — consignés par groupes ou par représentants, jamais par personnes nommées), la décision de l'organisation avec le nom et la qualité du membre du personnel qui l'a prise, les évaluations de sections et les consultations d'un organisme de réglementation (l'autorité, sa référence, les dates et le résultat)
• Personnes-ressources des audits de la protection de la vie privée : les coordonnées professionnelles (nom, organisation, titre de poste, adresse courriel, téléphone) des personnes qu'un audit interroge, à qui il demande des éléments probants ou à qui il fait rapport — visibles uniquement par l'équipe d'audit et supprimées avec l'audit
• Dossiers du programme de protection de la vie privée : les objets du programme (programmes, systèmes et activités) avec leurs registres des activités de traitement, qui décrivent les renseignements personnels par catégorie plutôt que par personne ; les registres des fournisseurs et des systèmes ; les attestations du programme ; et les enquêtes de découverte (article 4.11)
• Mises en suspens pour conservation, lorsque le client en impose : le motif, la référence du dossier ou de l'affaire, et les personnes qui ont imposé et levé chaque mise en suspens (article 4.10)
• Historique d'audit : enregistrements horodatés de toutes les créations, modifications et suppressions, avec l'utilisateur qui les a faites, appuyés par un registre d'audit chaîné par hachage où toute altération est détectable

4.3 Documents et enregistrements

• Fichiers téléversés par les utilisateurs (documents Office, PDF, images, fichiers de courriel et tout autre type de fichier que contiennent les documents du client), y compris les documents que les utilisateurs saisissent à partir de leur propre contenu Microsoft 365 (voir l'article 4.5)
• Documents vidéo et audio : l'enregistrement original n'est jamais modifié ; AccessPoint en dérive une copie de lecture, une image d'affiche, des vignettes de défilement, une forme d'onde, une transcription, des sous-titres et — au moment de la communication — une copie de communication dont le caviardage est incrusté, le tout stocké à côté de l'original dans le stockage Blob du client
• Versions PDF converties pour l'aperçu et le caviardage, et une copie allégée pour la visionneuse dans le cas des PDF très volumineux
• Données de caviardage : la géométrie, les exceptions citées, le statut, le réviseur et — pour les caviardages suggérés — le texte que le détecteur a repéré. Le texte détecté et le texte superposé sont soumis au même contrôle d'accès que les renseignements personnels des demandeurs
• Versions caviardées des documents et trousses de réponse (exportations ZIP et PDF fusionnés), avec un manifeste des empreintes de fichiers
• Le texte brut extrait des documents convertis (y compris la ROC des documents numérisés lorsque la ressource facultative Document Intelligence est déployée), les paroles transcrites des enregistrements (lorsque la ressource facultative Speech est déployée) et le texte affiché lu dans les images des vidéos (lorsque Document Intelligence est déployé) — stockés dans la base de données Azure SQL du client pour alimenter la recherche dans le contenu, la détection des doublons, les résumés par IA et les suggestions de caviardage
• Documents de travail (fichiers Word, Excel, de diagramme et de liste modifiés sur place), avec leur historique des versions
• Le verdict de l'analyse antivirus de chaque fichier lorsque Microsoft Defender for Storage est déployé (article 4.6.5)
• Stockés dans le stockage Blob Azure du client, avec un chiffrement au repos géré par Microsoft (des clés gérées par le client sont offertes en option) et l'accès par clé partagée désactivé — chaque lecteur s'authentifie avec une identité Entra. Une politique de stockage que le client active peut ensuite déplacer les fichiers d'un dossier fermé vers un niveau d'accès moins coûteux du même compte de stockage (article 4.10)

Conversion des courriels. Lorsqu'un fichier de courriel est converti pour l'aperçu, l'API du client récupère les images distantes auxquelles le message fait référence (au plus 25 images d'au plus 4 Mo chacune, au moyen d'un client protégé contre la falsification de requêtes côté serveur (SSRF), avec un délai d'expiration de 8 secondes) afin que le PDF produit corresponde à ce qu'a vu le destinataire, puis effectue le rendu de la page hors ligne, de sorte que rien ne communique avec le réseau pendant le rendu ni lorsque le PDF est consulté par la suite. Comme les images sont récupérées, les hôtes d'images nommés dans le courriel — y compris le « pixel espion » d'un expéditeur, si le message en contient un — voient une requête provenant de l'App Service du client au moment de la conversion, ce qui peut indiquer à un expéditeur que le message a été ouvert. Aucune autre partie ne voit le message. Les pièces jointes sont extraites en documents enfants par défaut (paramètre du locataire Features:ExtractEmailAttachments).

4.4 Données de configuration

• Paramètres du locataire, modèles d'avis, types de demandes, champs à choix, configurations de numérotation, contenu des packs de juridiction, champs personnalisés, modèles d'évaluation, règles de conservation et paramètres des fonctionnalités
• Stockées dans la base de données Azure SQL du client

4.5 Documents saisis à partir de Microsoft 365

L'espace Documents permet à un utilisateur connecté d'ajouter des documents provenant de son propre contenu Microsoft 365. Chaque saisie est lancée par l'utilisateur, subordonnée au paramètre du locataire Features:M365CaptureEnabled (avec des paramètres distincts pour les espaces des demandes et des affectations) et stockée comme un document ordinaire dans le stockage Blob du client. L'identité qui effectue la lecture compte pour la vie privée ; chaque source est donc indiquée avec son jeton :

Source	Ce qui est saisi	Jeton utilisé	Remarques
Courriel Outlook (« Mes courriels », boîtes partagées ou de réception)	Les messages choisis, téléchargés en fichiers .eml	Le jeton délégué de l'utilisateur (Mail.Read, Mail.Read.Shared)	Les autorisations des boîtes aux lettres Exchange s'appliquent toujours : un utilisateur ne voit que les boîtes auxquelles il a déjà accès
Calendrier Outlook	Une période du calendrier de l'utilisateur (ou d'un calendrier partagé), rendue sous la forme d'un document unique regroupé par jour	Le jeton délégué de l'utilisateur (Calendars.Read, Calendars.Read.Shared)	Les éléments dont le niveau de confidentialité est Privé, Personnel ou Confidentiel sont exclus par défaut (inclusion sur demande). Les participants et le lieu sont inclus par défaut ; les descriptions et les liens pour joindre les réunions sont exclus par défaut. Le document porte une bannière qui signale l'exclusion et précise que le nom des participants constitue des renseignements personnels de tiers à examiner
Conversations et messages de canal Teams	Les conversations et les canaux propres à l'utilisateur, rendus sous forme de transcriptions	Le jeton délégué de l'utilisateur (Chat.Read, ChannelMessage.Read.All, Team.ReadBasic.All, Channel.ReadBasic.All)	Seulement les conversations dont l'utilisateur est membre
OneNote	Des pages des blocs-notes de l'utilisateur	Le jeton délégué de l'utilisateur (Notes.Read, Notes.Read.All)
Listes et fichiers SharePoint	Des listes rendues sous forme de documents ; des fichiers copiés à partir des sites et de OneDrive	Le jeton délégué de l'utilisateur (Sites.Read.All, Files.Read.All)	Les autorisations SharePoint s'appliquent toujours
Enregistrements et transcriptions des réunions Teams	Les enregistrements des réunions que l'utilisateur a organisées, avec la transcription produite par Teams	Le jeton délégué de l'utilisateur (OnlineMeetingRecording.Read.All, OnlineMeetingTranscript.Read.All, OnlineMeetings.Read)	Graph ne liste les enregistrements que pour l'organisateur. Le fichier MP4 est téléchargé par le navigateur de l'utilisateur dans la file de téléversement, puis téléversé vers l'API du client ; la transcription WebVTT de Teams est importée avec lui et fait foi — l'enregistrement n'est jamais transcrit de nouveau. Rien ne transite par l'éditeur
Historique des interactions avec Microsoft 365 Copilot	Les conversations Copilot de l'utilisateur, regroupées par session et rendues sous forme de transcriptions	L'autorisation d'application de l'API (AiEnterpriseInteraction.Read.All) — il n'existe aucune autorisation déléguée pour ces données	La récupération est effectuée côté serveur par l'API du client et est toujours limitée à l'identifiant d'objet Entra de l'utilisateur connecté, jamais à l'ensemble du locataire. L'utilisateur doit détenir une licence Microsoft 365 Copilot. L'autorisation est accordée par défaut à la configuration, avec possibilité de refus

Les documents saisis sont convertis en PDF dans l'App Service du client, marqués de leur source (par exemple « Email Export », « Calendar Export », « Teams Meeting Recording », « Copilot Export ») et ne se distinguent plus, par la suite, des documents téléversés manuellement.

4.6 Services Azure facultatifs

Les clients peuvent déployer les services suivants dans leur propre abonnement Azure en définissant un paramètre de déploiement. Chacun est provisionné par le même modèle que le reste d'AccessPoint, dans le groupe de ressources du client, et chacun s'authentifie uniquement avec l'identité managée de l'App Service — l'authentification locale et les clés d'API sont désactivées sur chaque compte qui le permet (disableLocalAuth). Aucun n'est obligatoire ; un service non déployé laisse simplement sa fonctionnalité indisponible. Le contenu des documents et des dossiers qu'ils traitent ne quitte pas l'environnement Azure du client et n'est jamais transmis à Realizer.

4.6.1 Azure OpenAI (AI Assist)

• Déployé par deployAiAssist=true. Crée un compte Azure OpenAI avec un déploiement « chat » (le modèle courant), un déploiement « embed » pour les vecteurs et — à moins que aiPremiumDrafting=false — un déploiement « chat-premium » utilisé pour les lettres, les exposés et le passage de caviardage qui privilégie le rappel.
• Données traitées : les champs des dossiers, le texte des documents, les transcriptions et la question de l'utilisateur, réunis dans une requête d'ancrage pour la fonctionnalité demandée (résumés de documents, caviardages suggérés, rédaction, tri des demandes reçues, suggestions de dépositaires, préremplissage des évaluations, Ask AccessPoint, vérification du dossier, suggestions de risques, étiquetage automatique, suggestion de catégorie de frais, traduction automatique du texte saisi par le client — y compris les questions que le client rédige pour une enquête de découverte — et plongements vectoriels pour la recherche sémantique). Les fonctions d'IA utilisées sur des dossiers de formation fictifs en mode Lab (article 4.12) transmettent ce contenu fictif de la même façon et sont imputées au même budget.
• Identité : l'identité managée de l'API détient le rôle Cognitive Services OpenAI User ; aucune clé n'existe.
• Lieu du traitement : le compte, ses données au repos et son point de terminaison restent dans la région choisie par le client (à partir de la version 2.6.0, lorsque cette région n'offre pas les modèles recommandés par Realizer et que le client n'a désigné aucune région pour l'IA, un nouveau compte est placé dans une région de la même zone géographique). Avec le type de déploiement par défaut, Global standard, Microsoft peut effectuer l'inférence dans d'autres régions Microsoft ; Data zone standard limite l'inférence à la zone de données de l'UE ou des États-Unis. Le client fait ce choix au déploiement (aiDeploymentSku) et peut fixer la région du compte (azureOpenAiLocation). Le traitement est régi par les conditions de Microsoft relatives aux données, à la confidentialité et à la sécurité du service Azure OpenAI conclues avec le client.
• Ce qui est stocké : le journal d'activité de l'IA (AiAssistLog) ne consigne que des métadonnées — la fonctionnalité, l'identifiant du dossier, le modèle, la version de la requête, une empreinte de la requête, le nombre de jetons, la durée, le résultat, l'utilisateur à l'origine de l'appel et la décision humaine d'accepter, de modifier ou de rejeter. La requête composée et la réponse brute du modèle ne sont pas conservées. Lorsque le résultat d'une fonctionnalité est un élément sur lequel l'utilisateur travaille, il est stocké comme une donnée de dossier ordinaire dans la base de données SQL du client : les résumés de documents mis en cache (par document et par langue), les traductions automatiques (stockées par langue et ne remplaçant jamais une traduction humaine), les éléments mis en cache par dossier (prochaine action suggérée, constats de la vérification du dossier), les caviardages suggérés (sous forme de propositions) et l'historique des conversations Ask AccessPoint (conservé par utilisateur pour qu'une conversation puisse être reprise ; une conversation portant sur un dossier est supprimée avec ce dossier, et une conversation ne portant sur aucun dossier est supprimée après une période d'inactivité que fixe le client — 365 jours par défaut ; la fonction facultative d'analyse des questions résume pour les administrateurs les thèmes qui ressortent de ces conversations, et cesse d'utiliser une conversation dès qu'elle est supprimée).
• Contrôle humain : les textes rédigés par l'IA arrivent dans un éditeur pour être examinés par une personne et ne sont jamais envoyés automatiquement. Les caviardages suggérés par l'IA sont consignés comme des propositions et sont exclus de toutes les voies d'exportation tant qu'une personne ne les a pas acceptés. Les constats de la vérification du dossier qui touchent la conformité sont déterministes ; le modèle ne peut qu'ajouter des avertissements et des suggestions.
• Budget et désactivation : un budget mensuel de jetons (Ai:MonthlyTokenBudget) bloque tous les appels lorsqu'il est épuisé. Chaque fonctionnalité a son propre paramètre dans Paramètres → Paramètres des fonctionnalités (Features:Ai*) ; toute la capacité est retirée en redéployant avec deployAiAssist=false ou en supprimant le compte.

4.6.2 Azure AI Search (recherche dans le contenu et recherche sémantique)

• Déployé par deployAiSearch=true.
• Données traitées : un index accesspoint-documents qui contient les métadonnées des documents et le texte extrait de chaque document converti (ainsi qu'un vecteur lorsque Azure OpenAI est aussi déployé), et un index accesspoint-cases qui contient des vecteurs du texte décrivant la portée des demandes et des évaluations, pour la détection sémantique des doublons, les suggestions de dépositaires et la récupération des demandes antérieures. Les résultats sont toujours filtrés de nouveau selon l'ensemble des documents que l'appelant est autorisé à consulter : une recherche ne peut jamais faire apparaître un document que l'appelant ne pourrait pas ouvrir.
• Identité : l'identité managée de l'API détient les rôles Search Index Data Contributor et Search Service Contributor ; les clés sont désactivées.
• Conservation : les entrées de l'index sont écrites au téléversement et à la conversion, mises à jour à la reconversion et retirées lorsque le document ou le dossier est supprimé ou purgé ; les entrées orphelines sont éliminées automatiquement.
• Désactivation : sans la ressource, la recherche se rabat sur les métadonnées (nom, type, étiquettes). L'index sémantique exige en outre Features:AiSemanticSearchEnabled.

4.6.3 Azure AI Document Intelligence (ROC)

• Déployé par deployDocumentIntelligence=true.
• Données traitées : les PDF ne contenant que des images (jusqu'à 300 pages par document) sont transmis page par page au modèle prebuilt-read, et le texte reconnu est stocké avec le document ; lorsque les fonctions médias sont utilisées, des images échantillonnées des vidéos (plafonnées par Redaction:FrameScanMaxFrames, 300 par défaut) sont lues de la même façon pour que le texte affiché puisse être recherché et proposé pour le caviardage.
• Identité : l'identité managée de l'API détient le rôle Cognitive Services User ; les clés sont désactivées.
• Région : Document Intelligence n'est offert que dans certaines régions Azure. Lorsque la région du client ne l'offre pas, le modèle place le compte dans la région prise en charge la plus proche (par exemple Canada East → Canada Central), à moins que le client ne remplace documentIntelligenceLocation. Les clients soumis à des exigences régionales strictes devraient confirmer la région retenue.
• Désactivation : Features:OcrEnabled (documents) et Features:MediaFrameOcrEnabled (images des vidéos) dans les paramètres des fonctionnalités ; ou ne pas déployer la ressource.

4.6.4 Azure AI Speech (transcription des enregistrements)

• Déployé par deploySpeech=true.
• Données traitées : pour chaque enregistrement comportant une piste audio, l'API extrait un fichier audio mono de 16 kHz dans le compte de stockage des documents du client et soumet une tâche de transcription par lots. Le compte Speech lit cet audio au moyen de sa propre identité managée attribuée par le système (Storage Blob Data Reader sur le compte des documents) — aucun jeton d'accès partagé n'est jamais émis. Lorsque les résultats sont récupérés, la tâche de transcription est supprimée du service Speech et le fichier audio temporaire est supprimé du stockage. La transcription (avec le minutage des mots), un fichier de sous-titres et une version en texte brut sont stockés avec l'enregistrement.
• Identité : l'identité managée de l'API détient les rôles Cognitive Services User et Cognitive Services Speech User ; les clés sont désactivées.
• Accès aux paroles : depuis le 23 septembre 2026, une transcription suit l'enregistrement auquel elle appartient : quiconque est autorisé à ouvrir l'enregistrement peut en lire les paroles, puisqu'il peut déjà les entendre. Un utilisateur qui n'a pas l'autorisation d'accéder aux renseignements personnels des demandeurs obtient les paroles, mais le nom des locuteurs est remplacé par « Locuteur 1 », « Locuteur 2 » et ainsi de suite, dans la transcription comme dans la piste de sous-titres ; les sous-titres sont déverrouillés par un jeton distinct qui ne déverrouille jamais la vidéo.
• Transcriptions Teams : un enregistrement saisi avec sa transcription Teams n'est jamais transmis au service Speech.
• Désactivation : Features:MediaTranscriptionEnabled dans les paramètres des fonctionnalités ; ou ne pas déployer la ressource.

4.6.5 Microsoft Defender for Storage (analyse antivirus)

• Déployé par deployDefenderForStorage=true.
• Données traitées : Microsoft Defender for Cloud analyse chaque blob écrit dans le compte de stockage des documents du client au moment du téléversement et consigne un verdict sous forme d'étiquette d'index de blob. AccessPoint ne lit que ce verdict et le reporte dans la fiche du document ; un fichier signalé comme malveillant ne peut jamais être prévisualisé, lu, téléchargé, inclus ni communiqué. La fonction distincte de découverte des données sensibles de Defender est expressément laissée désactivée — AccessPoint classe lui-même le contenu.
• Portée : activé sur le compte de stockage des documents seulement, plafonné à malwareScanCapGBPerMonth (5 000 Go par défaut) d'analyse par mois.
• Désactivation : ne pas déployer le module ; le paramètre d'application Documents__MalwareScanning est alors absent et les verdicts se lisent « non analysé ».

4.6.6 Service de traitement des médias (Azure Container Apps)

• Déployé par deployMediaProcessing=true. Sans lui, les enregistrements sont transcodés et leur caviardage est incrusté dans le processus même de l'App Service du client.
• Données traitées : le service lit l'enregistrement original dans le compte de stockage du client, produit la copie de lecture, l'affiche, les vignettes, la forme d'onde et les versions de communication, effectue les balayages des visages et du texte affiché, et écrit les résultats dans le même compte de stockage. Il ne se connecte jamais à la base de données ni à l'API du client : les tâches et les résultats transitent par deux files d'attente Azure Storage de l'abonnement du client et contiennent des chemins de blobs, et non du contenu.
• Identité : l'identité managée propre à la tâche détient le rôle Storage Blob Data Contributor sur le conteneur documents seulement et le rôle Storage Queue Data Contributor sur ses deux files d'attente (media-jobs, media-results) seulement — rien sur le reste du compte de stockage (depuis la version 2.4.0 ; la tâche du vérificateur d'accessibilité, deployAccessibilityCheck, est limitée de la même façon au conteneur documents et à ses files accessibility-jobs et accessibility-results). L'identité managée de l'API détient le rôle Storage Queue Data Contributor. La tâche revient à zéro entre les pointes d'activité, et chaque exécution est un nouveau processus qui prend fin au délai d'expiration de son réplica (mediaJobTimeoutHours, 8 heures par défaut).
• Journalisation : l'environnement de conteneurs écrit ses journaux dans l'espace de travail Log Analytics du client.
• Image de conteneur : le service est du code, distribué comme le paquet de l'API. Par défaut, la tâche extrait realizer.azurecr.io/accesspoint/media-worker:<version> de façon anonyme depuis le registre de conteneurs de Realizer — voir l'article 5.6 pour ce que le registre observe. En production, il est recommandé aux clients de copier l'image dans leur propre Azure Container Registry (mediaWorkerImage + mediaWorkerRegistryResourceId) ; la tâche l'extrait alors avec son identité managée et ne dépend plus de Realizer à l'exécution.
• Analyse visuelle dans le locataire : lorsqu'un réviseur le demande, AccessPoint détecte les visages dans des images échantillonnées des vidéos et suit, tout au long de l'extrait, une zone qu'un réviseur a tracée, pour que le même flou ou le même cadre l'accompagne. Ces deux opérations s'exécutent dans l'abonnement du client — dans le service de traitement des médias lorsqu'il est déployé, sinon dans l'App Service du client — au moyen d'un détecteur à code source ouvert (YuNet) dont les poids sont livrés avec l'application ; aucun service de vision infonuagique n'est appelé et rien ne quitte le locataire. Il s'agit uniquement de détection : chaque détection conserve un cadre, un moment et un score de confiance, et devient un caviardage proposé qu'une personne doit accepter ; aucun gabarit facial, plongement, identité ou correspondance n'est calculé ni stocké. La détection des visages est activée par défaut partout où des enregistrements sont utilisés ; un locataire la désactive avec Features:MediaFaceDetectionEnabled.
• Lecture directe (facultative) : lorsque le modèle reçoit l'origine SharePoint du locataire (sharePointOrigin), le navigateur lit les enregistrements en continu directement depuis le compte de stockage du client au moyen d'un jeton de délégation d'utilisateur valable une heure, plutôt qu'en passant par l'API.

4.6.7 Service de conversion des documents (Azure Container Apps, déployé par défaut)

• Déployé par deployDocumentWorker=true (la valeur par défaut). Une application Container App sans accès réseau entrant qui exécute un convertisseur Office (Word, Excel et PowerPoint vers PDF) et un moteur de rendu HTML (HTML et courriels vers PDF), pour qu'aucun des deux ne s'exécute sur l'App Service.
• Données traitées : l'API dépose chaque fichier à convertir dans un conteneur document-conversions et une tâche dans la file document-jobs ; le service y écrit le PDF et l'API supprime aussitôt les fichiers de la tâche (une règle de cycle de vie d'un jour sert de filet de sécurité). Le moteur de rendu HTML s'exécute avec JavaScript désactivé et refuse toute requête réseau, sauf les données intégrées.
• Identité : l'identité managée du service ne peut atteindre que ce conteneur et cette file.
• Image de conteneur : par défaut, le service extrait realizer.azurecr.io/accesspoint/document-worker:<version> de façon anonyme depuis le registre de Realizer au démarrage d'un réplica (un réplica reste en marche par défaut) — voir l'article 5.6. Les clients peuvent copier l'image dans leur propre registre (documentWorkerImage + documentWorkerRegistryResourceId) ou en fixer l'empreinte (documentWorkerImageDigest). Le vérificateur d'accessibilité facultatif (deployAccessibilityCheck) fonctionne de la même façon, avec sa propre image.

4.6.8 Application Insights et Log Analytics (toujours déployés)

• Données traitées : la télémétrie opérationnelle de l'API du client — méthode HTTP, chemin, code d'état et durée de chaque requête avec un identifiant de corrélation ; appels de dépendance vers SQL, le stockage Blob, Graph et les services facultatifs (durée et réussite ou échec) ; exceptions non gérées avec leur pile d'appels ; durées de conversion des documents et de traitement des médias ; et diagnostics du moteur de rendu qui servent à confirmer que le rendu des courriels fonctionne. La télémétrie peut contenir les identifiants de dossiers et d'utilisateurs nécessaires pour retracer une opération ; AccessPoint n'écrit dans la télémétrie ni le contenu des documents, ni les requêtes, ni les coordonnées des demandeurs.
• Journaux de ressources Azure (activés par défaut, deployDiagnosticSettings) : le même espace de travail reçoit aussi les journaux propres à la plateforme Azure pour les ressources du déploiement — pour les applications Web de l'API et du portail, une trace de chaque requête (heure, adresse IP du client, méthode, chemin de l'URL, état, durée, agent utilisateur du navigateur), la sortie console des applications, les connexions aux points de terminaison de publication et les vérifications des restrictions d'accès ; pour Azure Front Door, lorsqu'il est déployé, chaque requête reçue en périphérie avec l'adresse IP du client et chaque décision du pare-feu d'applications Web ; et pour le compte de stockage des documents, chaque lecture, écriture et suppression avec l'identité appelante et son adresse IP. Pour le portail public, cela signifie que l'adresse IP et les détails du navigateur d'un demandeur sont conservés dans l'espace de travail pendant la période de conservation indiquée ci-dessous, dans le même but de sécurité et de prévention des abus qu'à l'article 4.9. Un client peut désactiver ces journaux au déploiement (deployDiagnosticSettings=false).
• Emplacement et accès : l'instance Application Insights et l'espace de travail Log Analytics se trouvent dans l'abonnement du client ; Realizer n'y a pas accès. Des règles d'alerte sur les mesures ne sont créées que si le client fournit une adresse courriel d'alerte, laquelle est stockée dans le propre groupe d'actions Azure du client.
• Conservation : 90 jours par défaut. Le client la fixe au déploiement au moyen du paramètre de modèle logRetentionDays (de 30 à 730 jours ; chaque déploiement applique la valeur qu'il reçoit), peut la modifier ensuite dans l'espace de travail et peut exporter les journaux pour les conserver plus longtemps.

4.7 Protection de la vie privée dès la conception

AccessPoint applique un accès aux données fondé sur les rôles :

• Les dépositaires et les collaborateurs ne voient jamais les renseignements personnels permettant d'identifier le demandeur. Ils travaillent à partir d'instructions épurées.
• Les modèles d'avis destinés aux rôles de dépositaire et de collaborateur retirent automatiquement les champs de renseignements personnels avant l'envoi.
• Le texte de caviardage détecté et le texte superposé ne sont servis qu'aux utilisateurs qui détiennent l'autorisation d'accéder aux renseignements personnels des demandeurs ; les transcriptions suivent l'enregistrement, le nom des locuteurs étant masqué pour tous les autres (article 4.6.4).
• Les caviardages produits par la machine (correspondances de motifs, suggestions fondées sur des règles, suggestions de l'IA, détection des visages, propagation aux doublons) sont stockés sous forme de propositions et sont exclus de toutes les voies d'incrustation, d'exportation et de version annotée tant qu'une personne ne les a pas acceptés.
• Les administrateurs déterminent quels utilisateurs ont accès au système et à quel niveau de rôle ; un cadre supérieur désigné dans un dossier ne voit que ce dossier.
• L'isolement des locataires est absolu. Chaque requête de l'API du client est filtrée par locataire, ce filtre est inconditionnel, et l'API refuse tout appel modifiant des données dont le jeton a été émis par un autre locataire Entra. Aucun chemin de code ne lit les données d'un autre locataire.

4.8 Documents saisis au moyen des connecteurs de dépôts

L'espace Documents peut aussi ajouter des documents provenant de systèmes extérieurs à Microsoft 365 — partages de fichiers réseau, Hyland OnBase, OpenText Content Server, un conteneur Azure Blob, une base de données de documents, un serveur de recherche — au moyen de connecteurs de dépôts que l'administrateur du client inscrit. Un connecteur est soit un service que le client exploite (dans son propre abonnement Azure ou dans ses propres locaux ; Realizer publie des connecteurs prêts à l'emploi et une trousse de développement logiciel, mais ils s'exécutent dans l'environnement du client), soit un lecteur intégré à l'API du client. Chaque saisie est lancée par un utilisateur, subordonnée au paramètre du locataire Features:ConnectorsEnabled et à la même autorisation au niveau du dossier qu'un téléversement de fichier, et stockée comme un document ordinaire dans le stockage Blob du client.

• Circulation des données. Le navigateur de l'utilisateur ne communique jamais avec un connecteur. L'API du client appelle le connecteur avec sa propre identité managée et récupère le document côté serveur ; le document est stocké sous forme de copie figée avec son chemin d'origine, la version prise, son empreinte SHA-256 (vérifiée par rapport à l'empreinte déclarée par la source, si elle en a déclaré une) ainsi que l'auteur et le moment de la saisie — la chaîne de possession dont un bureau d'accès à l'information a besoin. La collecte de dossiers entiers s'exécute sous forme de tâches en arrière-plan dans l'API du client.
• En-têtes d'attribution. Chaque appel à un connecteur transmet l'identifiant d'objet Entra et le nom d'utilisateur principal de l'utilisateur qui agit, le numéro du dossier (par exemple Request:A-2026-0142), l'objet de l'appel (parcourir, rechercher, saisir, collecter ou tester) et — seulement si le manifeste du connecteur les demande — les identifiants des groupes Entra de l'utilisateur. Ils permettent au système source d'appliquer ses propres règles d'accès et de tenir son propre journal d'accès ; ils sont transmis à l'hôte du connecteur choisi par le client, et à personne d'autre.
• Ce que voit le connecteur. Le connecteur reçoit les termes de recherche et les identifiants des éléments sur lesquels l'utilisateur agit, ainsi que l'attribution ci-dessus. Un connecteur déclaré en mode application avec vérification de l'utilisateur peut filtrer les résultats selon l'utilisateur et refuser une saisie ; un connecteur en mode application s'en remet au contrôle propre à AccessPoint. Les renseignements personnels des demandeurs ne sont jamais transmis à un connecteur.
• Rôle de Realizer. Aucun à l'exécution. Realizer ne voit jamais le trafic des connecteurs, les termes de recherche, le contenu saisi ni les en-têtes d'attribution. Lorsque le client installe les paquets de connecteurs de Realizer ou la trousse de développement des connecteurs à partir de get.realizer.io, ou extrait une image de conteneur de connecteur de realizer.azurecr.io, Realizer n'observe que les métadonnées ordinaires d'un téléchargement (article 5.6).
• Conservation. Les documents saisis suivent les règles de conservation du dossier auquel ils appartiennent et sont supprimés avec lui ; la fiche de provenance est supprimée avec le document. L'inscription d'un connecteur par lequel des documents ont été saisis ne peut pas être supprimée tant que ces documents existent (elle peut être désactivée), de sorte que la provenance demeure consultable aussi longtemps que le document est conservé.

4.9 Portail public de réception et paiements en ligne (facultatifs)

Un client peut déployer un portail public (deployPublicPortal=true, puis activé dans les Paramètres) où le public soumet des demandes (et, lorsque le client publie ces formulaires, des plaintes ou des signalements d'incident), en suit le statut, répond, paie des frais et télécharge des réponses. Le portail est une application Web distincte, dans l'abonnement du client, avec sa propre identité qui ne peut atteindre que le schéma de base de données et les conteneurs de stockage propres au portail. Il ne communique jamais avec Realizer, et les données décrites ci-dessous appartiennent au client et sont sous son contrôle.

• Ce que fournit un demandeur : les réponses au formulaire du client, son adresse courriel (le seul champ que tout formulaire exige) et ses pièces jointes éventuelles (au plus 25 fichiers, dans les limites de taille fixées par le client). L'adresse courriel est stockée chiffrée avec une clé que le portail lui-même ne peut pas lire, à côté d'une empreinte à sens unique qui sert à retrouver les soumissions du demandeur.
• Confirmer qu'il s'agit bien de lui : chaque session du portail exige un code à 8 chiffres envoyé à l'adresse courriel du demandeur (valable 10 minutes, à usage unique, bloqué après 5 tentatives erronées). Le courriel contenant le code est envoyé par l'API du client à partir de la boîte aux lettres du client, de sorte qu'une copie demeure dans les éléments envoyés de cette boîte. Le code n'est conservé que sous forme d'empreinte, sauf dans la file des courriels sortants, qui est vidée une heure après l'envoi.
• Témoins : le portail en dépose deux, tous deux fonctionnels — un témoin de session (__Host-ap-portal, seulement après la confirmation d'un code ; 30 minutes d'inactivité, 8 heures au plus) et, seulement si le demandeur change de langue, un témoin de langue (ap-lang, 365 jours). Il ne charge aucun script de statistiques, de publicité ou de tiers. Lorsque le formulaire est intégré au site Web du client, il s'exécute dans un cadre isolé que la page hôte ne peut pas lire.
• Adresses IP et détails du navigateur : enregistrés à des fins de sécurité et de prévention des abus avec chaque soumission, code de vérification, session, message et session de paiement, et conservés pendant les périodes que configure le client ou pendant les périodes par défaut : environ 8 jours pour les soumissions non confirmées, 1 jour après leur expiration pour les codes et les sessions, 30 jours pour les événements du portail et 30 jours pour la copie que garde le portail d'une soumission enregistrée (Portal:RegisteredRetentionDays ; 0 la conserve). Les événements du portail sont aussi inscrits dans le registre d'audit du client, où toute altération est détectable et qui n'est pas purgé. Le registre consigne l'empreinte de l'adresse courriel et, au lieu de l'adresse IP, un pseudonyme de celle-ci produit à l'aide d'une clé — la clé est remplacée et détruite tous les 30 jours (la durée de conservation des événements du portail), après quoi personne ne peut savoir de quelle adresse provient une entrée — ainsi que le réseau auquel appartient l'adresse (ses trois premiers nombres pour une adresse IPv4, ses 48 premiers bits pour une adresse IPv6). Les entrées du registre écrites avant le 2 octobre 2026 conservent l'adresse IP elle-même : la vérification d'intégrité du registre couvre chaque entrée, de sorte qu'elles ne peuvent pas être modifiées. Lorsque les journaux de ressources Azure sont activés (le comportement par défaut), les journaux de requêtes du serveur Web et d'Azure Front Door conservent aussi l'adresse IP et les détails du navigateur de chaque requête pendant la période de conservation de Log Analytics (article 4.6.8).
• Réponses : transmises au moyen de liens de téléchargement à durée limitée (30 jours par défaut) que seule une session confirmée avec la même adresse courriel peut ouvrir ; les copies sont supprimées lorsque le lien expire ou est révoqué.
• Salle de lecture (désactivée par défaut) : un client peut publier des documents communiqués (caviardés). La publication exige deux membres du personnel différents ; une entrée n'affiche jamais le texte de la demande ni le demandeur.
• Paiements en ligne (désactivés par défaut) : le demandeur paie sur la page du fournisseur de paiement — AccessPoint ne reçoit jamais de numéro de carte. Le fournisseur reçoit le montant, la devise, une courte référence, une description contenant le numéro de la demande, les adresses de retour et la langue ; Stripe reçoit aussi l'adresse courriel du demandeur, une page de paiement hébergée générique ne la reçoit que si le client le configure ainsi, et Paymentus ne reçoit ni nom ni adresse courriel. L'avis signé du résultat que transmet le fournisseur est conservé avec la fiche du paiement. Le fournisseur de paiement est le propre fournisseur du client, aux termes de l'entente du client avec lui.
• Protection en périphérie (facultative) : Azure Front Door, avec un pare-feu d'applications Web, peut être placé devant le portail, dans l'abonnement du client.

4.10 Archivage des dossiers : niveaux de stockage, mises en suspens pour conservation et disposition

AccessPoint peut réduire le coût de stockage des dossiers fermés et disposer des documents qu'un calendrier de conservation n'exige plus. Tout cela est désactivé tant que l'administrateur du client n'active pas une politique de stockage ; les packs de juridiction proposent une politique par type de dossier, importée désactivée.

• Niveaux de stockage. Une politique de stockage déplace les fichiers d'un dossier fermé vers un niveau d'accès moins coûteux — Froid (Cool), Très froid (Cold) ou, pour les documents originaux seulement et une fois écoulés les délais d'attente légaux que le client a activés, Archive — dans le même compte de stockage, la même région et avec le même chiffrement. Le fichier n'est copié nulle part ailleurs, et rien n'est transmis à l'extérieur de l'abonnement du client. Un fichier archivé est restauré sur place lorsque quelqu'un en a besoin (pour le consulter, le télécharger, le rouvrir, le mettre en suspens ou le communiquer), ce qui prend des heures. AccessPoint consigne les fichiers qu'il a déplacés et le moment du déplacement, pour pouvoir indiquer aux utilisateurs ce qui est en ligne.
• Entretien. Une politique peut aussi retirer les copies en double une fois un dossier fermé — par exemple une trousse de réponse non envoyée lorsqu'une trousse ultérieure de la même réponse a été marquée comme envoyée — ainsi que les copies dérivées (comme les conversions pour l'aperçu) qui peuvent être produites de nouveau à partir de l'original.
• Mises en suspens pour conservation. Un utilisateur qui détient l'autorisation de mise en suspens peut placer un dossier en suspens, avec un motif et, au besoin, la référence d'une affaire ou d'un dossier. Tant qu'une mise en suspens est en vigueur, rien dans ce dossier n'est supprimé, purgé, allégé, éliminé ni déplacé vers le niveau Archive ; la mise en suspens d'une plainte s'étend aux demandes qui y sont liées. L'imposition et la levée d'une mise en suspens sont consignées dans le registre d'audit.
• Disposition. Un administrateur peut, dossier par dossier et jamais selon une minuterie, ne conserver que ce qui a été communiqué (les trousses de réponse marquées comme envoyées, les originaux qui ont eux-mêmes été transmis et la correspondance) ou que la fiche du dossier (les détails du dossier, son historique et les empreintes de ce qu'il contenait). Chaque condition est vérifiée de nouveau au moment de la disposition : le dossier doit être fermé, ses délais d'attente doivent être écoulés, et il ne doit faire l'objet d'aucune mise en suspens ni être lié à un dossier ouvert. Le texte qu'AccessPoint a extrait d'un fichier éliminé disparaît avec lui.
• Le journal de disposition. Une ligne par élément éliminé — le numéro du dossier, le nom du document, son empreinte et sa taille, et ce qui a été retiré — écrite avant toute suppression et jamais purgée, comme le journal des purges de conservation (article 9.1). Si le dossier est ensuite purgé ou supprimé, le nom des documents est effacé du journal ; les empreintes et les tailles demeurent.
• Marquer une trousse comme envoyée. Le personnel peut consigner qu'une trousse de réponse est parvenue au demandeur (le mode de transmission, le jour et, au besoin, une note) ; la fiche indique qui l'a marquée.

4.11 Enquêtes de découverte

Le programme de protection de la vie privée peut demander au personnel, au moyen d'une enquête de découverte, où sont conservés des renseignements personnels et qui en est responsable.

• Ce qui est recueilli : les réponses de chaque répondant — aux questions types d'AccessPoint et à toute question que le client ajoute —, les fichiers que le répondant joint (au plus 20 par réponse) et la langue dans laquelle il a répondu. Les répondants sont des membres du personnel du client ; les demandeurs et le public ne reçoivent jamais d'enquête.
• Destination : les réponses sont stockées dans la base de données Azure SQL du client et les fichiers, sous forme de documents dans le stockage Blob du client. Le bureau de la protection de la vie privée examine les réponses et peut s'en servir pour remplir ou mettre à jour le registre des activités de traitement d'un objet du programme ; une réponse ne modifie jamais un registre d'elle-même. Les personnes autorisées à consulter le programme de protection de la vie privée peuvent exporter une enquête vers Excel ; chaque exportation est consignée dans le registre d'audit.
• Traduction : lorsque AI Assist est déployé et que la traduction automatique est activée, les questions que rédige le client sont traduites automatiquement au moyen de la propre ressource Azure OpenAI du client (article 4.6.1), pour que chaque répondant puisse les lire dans sa langue ; le libellé original est conservé à côté de chaque traduction.
• Conservation : les fichiers d'une enquête sont retirés 12 mois après sa clôture par défaut — le client peut choisir de 1 à 120 mois, ou les conserver jusqu'à la suppression de l'enquête. Les réponses, les décisions d'examen et l'exportation demeurent et nomment toujours les fichiers. Chaque retrait est consigné dans le registre d'audit.

4.12 Le mode Lab et la copie de formation

AccessPoint tient une copie de formation de l'organisation du client (activée par défaut ; un administrateur peut la désactiver) où le personnel s'exerce sur des dossiers de formation fictifs en mode Lab (appelé mode formation avant la version 2.6.0).

• Où elle se trouve : dans la base de données Azure, le compte de stockage et l'index de recherche du client, sous un identifiant de locataire distinct (l'identifiant du locataire du client suivi de ~training), tenue à l'écart du vrai travail par les mêmes contrôles qui séparent les locataires. Rien de la copie de formation n'apparaît dans les vraies listes, les vrais rapports, la recherche, les exportations ou le registre d'audit, et rien du vrai travail n'apparaît dans la copie de formation.
• Ce qu'elle contient : une copie de la configuration du client (types de demandes, modèles, lettres, paramètres) à sa dernière actualisation — jamais de vrais dossiers, demandeurs, documents, registre d'audit, secrets, connecteurs de dépôts, fournisseurs de paiement, paramètres du portail ni personnes-ressources pour les avis — et les dossiers de formation fictifs que crée le personnel, avec des personnes, des organisations et des adresses inventées. Les documents de formation sont générés (la bibliothèque Lab), jamais téléversés, à moins que le client n'autorise les téléversements en mode Lab. La copie est actualisée selon un calendrier (chaque semaine par défaut), ce qui retire tous les dossiers de formation.
• Ce qui n'en sort jamais : les lettres sont simulées et jamais envoyées ; le portail des demandeurs, les paiements, les connecteurs de dépôts, la saisie dans Microsoft 365, les téléversements et l'importation de données sont refusés ; les avis au personnel concernant un dossier de formation ne parviennent qu'aux personnes qui s'exercent sur ce dossier, dans l'application et par courriel marqué [Training], et jamais par Teams (rien ne parvient donc au relais Teams de Realizer, article 5.2).
• Dossiers concernant de vrais membres du personnel : pour soutenir la formation, AccessPoint consigne la progression de chaque personne (un élément fait ou écarté, et le jour — ni durée, ni note, ni clic), les parcours d'apprentissage qui lui sont assignés, les sessions ouvertes en mode Lab, la participation aux exercices d'équipe et les réponses de compte rendu que rédige chaque participant. La progression, les assignations terminées et les exercices terminés sont conservés 90 jours par défaut (de 30 à 365 jours, et plus longtemps tant qu'une assignation en cours en a besoin) ; les sessions terminées sont supprimées après 7 jours ; les dossiers d'une personne sont retirés lorsqu'elle quitte l'organisation. Les exemples travaillés de la copie de formation peuvent montrer une décision ou un avis au nom d'un vrai collègue ; ces éléments portent la mention consigné par l'exemple de formation.
• Retrait : un administrateur peut retirer toutes les données de formation en tout temps (Paramètres → Formation → Retirer toutes les données de formation), ce qui supprime chaque ligne et chaque fichier de la copie de formation et désactive le mode Lab.
• Personnes simulées (version 2.6.0) : dans les dossiers de formation du mode Lab, les collègues et les personnes de l'extérieur avec lesquels travaille un stagiaire peuvent être des personnes simulées qui répondent selon un scénario : des personnages fictifs qui n'existent que dans la copie de formation, avec une adresse fictive impossible à joindre, sans connexion, sans compte d'annuaire ni rôle, et qui ne sont jamais affichés, listés ni avisés en dehors du mode Lab. Les scénarios propres à une organisation, rédigés dans le Studio d'AccessPoint Learning, sont vérifiés selon la même règle que ceux de Realizer, qui refuse les adresses et les identifiants d'apparence réelle. Dans un exercice d'équipe, un collègue peut jouer une personne à la place ; ses réponses sont consignées sous son nom, comme le reste de son activité de formation.
• Aucun vrai document avec une licence en lecture seule (version 2.6.0) : tant que la licence est en lecture seule (article 5.1) ou que l'organisation est au forfait Gratuit d'AccessPoint hébergé, les téléversements dans la copie de formation sont refusés, quoi qu'indique Paramètres → Formation ; les documents fictifs de la bibliothèque Lab ne sont pas touchés.
• L'AccessPoint Training Lab à learn.realizer.io — la simulation en ligne de Realizer où des fournisseurs de formation donnent des cours — est un service distinct, qui ne fait pas partie de l'Application : rien ne circule entre l'AccessPoint d'un client et le Lab, et lorsqu'un responsable de la formation consigne un certificat du Training Lab comme formation suivie ailleurs (article 4.13), AccessPoint stocke le lien tel qu'il a été saisi et ne l'ouvre jamais.

4.13 AccessPoint Learning (version 2.6.0)

AccessPoint Learning — les modules d'apprentissage que le client rédige ou reçoit dans les packs de juridiction, les parcours d'apprentissage, les questionnaires, les décisions, les certificats et les relevés d'achèvement — s'exécute entièrement dans l'AccessPoint du client ; rien de l'apprentissage de quiconque n'est transmis à Realizer.

• Dossiers concernant le personnel : les inscriptions de chaque personne (qui l'a inscrite, ou quelle règle de public cible, la date d'échéance et le statut) ; pour chaque étape, si elle est faite, quand, et comment AccessPoint le sait (il a constaté qu'elle était faite, un mentor désigné l'a confirmé ou la personne l'a déclaré) — jamais le temps passé, les clics, le défilement ni ce qui a été consulté ; les résultats des questionnaires (dernière note, réussite ou non, nombre de tentatives) ; les décisions et les notes de réflexion, qui sont privées ; les prises de connaissance ; les relevés d'achèvement et les certificats (le nom que la personne a choisi de faire imprimer et une empreinte du code de vérification, jamais le code lui-même) ; les tentatives supplémentaires accordées par un responsable de la formation, avec le motif ; et la formation suivie ailleurs qu'un responsable de la formation a consignée (titre, fournisseur, dates, lien de vérification et note).
• Qui voit quoi : chaque personne voit tout son propre apprentissage. Les responsables de la formation voient la progression et les relevés d'achèvement des personnes à qui ils ont assigné une formation, et seulement la part des résultats des questionnaires que le client choisit (Qui voit les résultats des questionnaires : l'achèvement seulement, la réussite ou non, ou les notes et les tentatives) ; jamais une décision ni une note. Les statistiques sur le contenu destinées aux auteurs ne sont présentées que pour au moins cinq apprenants, jamais par nom.
• Conservation : l'état des étapes suit la progression de la formation (90 jours par défaut, retiré lorsque la personne part) ; les relevés d'achèvement, les certificats et la formation suivie ailleurs sont conservés 7 ans par défaut (de 1 à 15) après la plus tardive de la date d'achèvement et du dernier jour de validité, même après le départ de la personne, afin qu'un certificat puisse encore être vérifié au sein de l'organisation.
• Le guide de l'utilisateur du client décrit tout cela pour les politiques de surveillance des employés (AccessPoint Learning et la surveillance des employés).

5. Données traitées par Realizer (services de la Plateforme, AccessPoint hébergé et autres services de Realizer)

Pour l'édition Microsoft 365, les services de la Plateforme de Realizer traitent un ensemble limité de données afin de soutenir les licences, les notifications Teams, les packs de juridiction, la configuration initiale, le routage des onglets Teams et la distribution du logiciel. Les avis par courriel, le fil des notifications dans l'application, les documents, les dossiers, les requêtes envoyées à l'IA et les index de recherche ne transitent jamais par Realizer. AccessPoint hébergé, où Realizer héberge tout cela pour le compte du client, fait l'objet de l'article 5.9 ; les autres services de Realizer font l'objet des articles 5.10 à 5.12.

5.1 Validation de la licence

Au démarrage de l'Application, puis périodiquement pendant son utilisation, l'API du client envoie une requête à l'API de la Plateforme de Realizer (api.realizer.io) pour valider l'abonnement du client. Tant qu'une licence n'est pas valide, l'API espace ses tentatives (cinq minutes, puis le double à chaque fois) plutôt que d'interroger la Plateforme sans arrêt.

Données transmises :

• Identifiant du locataire (un identifiant Microsoft Entra ID de l'organisation du client)
• Chaîne de version de l'API (p. ex. « 2.5.0 »), pour vérifier la compatibilité
• L'URL de base de l'API du client (p. ex. https://app-accesspoint-<name>.azurewebsites.net) — auto-inscrite auprès de la Plateforme pour que le composant WebPart SharePoint puisse découvrir l'adresse de l'API du client sans configuration manuelle (voir l'article 5.3)

La requête s'authentifie au moyen d'un jeton Microsoft Entra émis pour l'identité managée de l'App Service du client, qui porte le rôle License.Validate sur l'application de Realizer ; la revendication de locataire du jeton identifie le client. Lorsque l'abonnement Azure du client relève d'un autre locataire Entra que son Microsoft 365 (une installation à locataires distincts), le jeton est plutôt émis pour l'application Microsoft 365 de l'installation — une inscription d'application sans secret ni clé, qui prouve son identité au moyen d'une identité managée attribuée par l'utilisateur dans l'abonnement du client —, de sorte que le jeton nomme toujours le locataire Microsoft 365 du client et ne contient rien de plus. Une ancienne clé d'API statique demeure prise en charge comme solution de repli pour les déploiements non migrés.

Données NON transmises :

• Aucun nom d'utilisateur, aucune adresse courriel, aucun renseignement personnel
• Aucun contenu de demande, aucun document, aucune donnée d'affaires du client
• Aucun nombre d'utilisations ou de dossiers, aucune statistique d'utilisation des fonctionnalités

Finalité : vérifier que le client détient un abonnement AccessPoint actif. La réponse contient la licence signée, qui nomme les modules compris dans l'abonnement (par exemple AI Assist, le portail public, les documents vidéo et audio, les connecteurs de dépôts), afin que l'Application puisse offrir ce qui est visé par la licence ; elle ne contient aucun renseignement personnel. La réponse indique aussi le numéro de la dernière version publiée d'AccessPoint (et, au besoin, un lien vers le modèle de mise à jour), afin que l'Application puisse afficher aux administrateurs un avis « Mise à jour disponible ». La Plateforme de Realizer détermine ce numéro en lisant son propre marqueur de version (get.realizer.io/public/accesspoint/latest/version.txt) ; l'API du client ne communique pas avec le site de distribution à cette fin.

Lorsqu'un abonnement prend fin (version 2.6.0). Si l'abonnement est échu au-delà de son délai de grâce, ou si Realizer l'a révoqué, AccessPoint passe en lecture seule au lieu de s'arrêter : aucune donnée n'est supprimée ; la consultation, la recherche, les rapports, les exportations et le mode Lab continuent de fonctionner ; toute modification est refusée ; et les avis par courriel et Teams, la réception et les paiements du portail public, les connecteurs de dépôts et AI Assist sont suspendus jusqu'au renouvellement de l'abonnement. Rien de plus n'est transmis à Realizer.

Données stockées : un enregistrement de jeton de licence par locataire et par abonnement (remplacé à chaque validation ; les enregistrements révoqués sont conservés comme piste d'audit), le statut de l'abonnement du locataire et, dans la fiche du locataire, l'URL de base de l'API auto-inscrite, le moment de la première et de la plus récente validation, et la version déclarée lors de la plus récente validation.

Utilisation de ces enregistrements par Realizer : en plus des licences, Realizer utilise ces enregistrements existants — aucune nouvelle donnée n'est recueillie — pour savoir si un déploiement est configuré et à jour, et pour soutenir le client.

Conservation : l'identifiant du locataire et le statut de la licence sont conservés pendant la durée de l'abonnement, plus 90 jours après son expiration pour le rapprochement de la facturation. L'URL de base de l'API auto-inscrite est stockée dans la fiche d'abonnement du locataire.

5.2 Notifications du fil d'activités Teams

Les notifications du fil d'activités Teams sont facultatives et activées par défaut. Dans le mode par défaut, lorsqu'une notification est déclenchée (p. ex. un nouveau travail est assigné à un dépositaire), l'API du client envoie une requête à l'API de la Plateforme de Realizer, qui envoie la notification au moyen de Microsoft Graph pour le compte du locataire du client. Ce relais existe parce que Graph exige que les notifications d'activités soient envoyées par l'application propriétaire du manifeste de l'application Teams, et que l'application Teams d'AccessPoint est publiée sous l'application multilocataire de Realizer.

Données transmises (mode relais par défaut) :

Champ	Contenu	Renseignement personnel ?
tenantId	GUID du locataire du client	Non — identifiant
recipientUserId	Identifiant d'objet Entra du destinataire	Non — identifiant
activityType	Une valeur fixe du manifeste (p. ex. assignmentCreated)	Non
previewText	Nom de l'affectation ou de la tâche et date d'échéance	Possiblement — texte libre
topicText	Le texte de la notification dans l'application	Possiblement — texte libre
templateParameters.actorName	Nom d'affichage du membre du personnel qui a déclenché la notification	Oui — un nom de personne
templateParameters.requestNumber	Numéro de référence de la demande (types liés à une demande seulement)	Non — référence
relatedEntity, relatedRecordId	Type d'enregistrement et GUID pour le lien profond de la notification	Non — identifiants

Données NON transmises :

• Aucun renseignement personnel des demandeurs (noms, coordonnées, adresses) — le contenu transmis ne comporte aucun champ de demandeur, et les notifications destinées aux dépositaires et aux collaborateurs sont de toute façon purgées des renseignements personnels avant l'envoi
• Aucun contenu de document
• Aucun détail de la demande au-delà des paramètres de notification énumérés ci-dessus

Deux contrôles réduisent ou éliminent ce flux :

1. Réduire — le paramètre du locataire Notifications:TeamsMinimalPayload (Paramètres → Configuration → Notifications Teams → « Réduire le contenu des notifications Teams ») remplace previewText, topicText et actorName par des valeurs fixes (« AccessPoint Notification », « You have a new AccessPoint notification », « AccessPoint »). Aucun texte libre ni nom de personne ne quitte le locataire ; seuls les identifiants de routage en sortent.
2. Relais direct — le paramètre d'application Notifications:TeamsRelayMode=Direct fait en sorte que l'API du client appelle elle-même Graph avec son identité managée, de sorte que rien ne parvient à Realizer. Il exige le rôle TeamsActivity.Send sur l'identité managée du client et un manifeste Teams qui pointe vers l'application propre au client (guide de l'utilisateur, étape 8e).

La désactivation des notifications Teams dans le panneau de configuration élimine aussi ce flux ; la transmission par courriel et dans l'application de ces mêmes notifications se fait toujours dans le locataire. Les notifications concernant des dossiers de formation (article 4.12) ne sont jamais envoyées par Teams.

Finalité : transmettre les notifications du fil d'activités Teams.

Données stockées : aucune. La Plateforme consigne l'identifiant du locataire de chaque notification relayée à des fins de dépannage.

Conservation : les journaux opérationnels de la Plateforme, y compris l'identifiant du locataire de chaque notification relayée, sont conservés 90 jours à des fins de dépannage, puis supprimés automatiquement.

5.3 Découverte de l'adresse de l'API

Lorsque le composant WebPart SharePoint se charge et qu'aucune adresse d'API n'est configurée manuellement dans le locataire, il appelle le point de terminaison api-discovery de la Plateforme pour obtenir l'adresse de l'API du client que la validation de la licence a auto-inscrite (article 5.1).

Données transmises : un jeton du porteur Microsoft Entra émis pour l'utilisateur connecté à l'intention de l'application de Realizer — le même jeton que le composant WebPart utilise pour appeler l'API du client. La Plateforme ne lit que la revendication de locataire du jeton pour choisir l'enregistrement ; elle ne stocke ni le jeton ni l'identité de l'utilisateur.

Données renvoyées : l'URL de base de l'API du client.

Données stockées : aucune autre que la fiche du locataire décrite à l'article 5.1. La Plateforme consigne l'identifiant du locataire et le fait qu'une URL a été trouvée ou non.

5.4 Routage de l'onglet personnel Teams et configuration initiale

Routage de l'onglet Teams. L'onglet personnel de l'application Teams d'AccessPoint s'ouvre par une adresse de la Plateforme (api.realizer.io/apps/accesspoint/redirect-to-sp) qui détermine si AccessPoint est installé dans le locataire et redirige le navigateur de l'utilisateur vers son propre site SharePoint (ou vers une page d'accueil s'il ne l'est pas). Cette conception est imposée par la façon dont Teams pour ordinateur établit l'authentification unique avec SharePoint.

• Données transmises : le domaine SharePoint du locataire (p. ex. contoso.sharepoint.com), l'identifiant du locataire et les paramètres régionaux de l'utilisateur — fournis par Teams sous forme de paramètres de requête. Aucune identité d'utilisateur, aucun jeton ni aucun contenu n'est transmis.
• Données stockées : aucune. La Plateforme consigne les trois valeurs à des fins de dépannage et répond par une redirection HTTP.

Page Terminer la configuration. Après un déploiement par modèle, un administrateur peut ouvrir la page Terminer la configuration de la Plateforme (api.realizer.io/apps/accesspoint/setup) pour accorder les autorisations Microsoft Graph dont l'identité managée de l'Application a besoin (article 8.1), au lieu d'exécuter le script de déploiement.

• Données transmises : l'identifiant du locataire et l'identifiant d'objet de l'identité managée (tirés du résultat du déploiement), et le choix de l'administrateur d'inclure ou non la saisie Copilot. L'administrateur se connecte à une application multilocataire dédiée, « AccessPoint Setup », et la page accorde les autorisations au moyen du jeton Graph délégué de l'administrateur — Entra ID vérifie lui-même que l'administrateur a le droit de les accorder ; la page n'ajoute aucun privilège que l'administrateur ne détient pas déjà.
• Données stockées : aucune. Le contexte de la requête est transporté dans une valeur d'état scellée et inviolable, valable 15 minutes ; le jeton de l'administrateur est utilisé pendant la durée de la requête et n'est pas conservé.

Page d'installation du paquet SharePoint (2.5.0). Pour une nouvelle installation, un administrateur peut ouvrir la page d'installation de la Plateforme (api.realizer.io/apps/accesspoint/install) pour installer le paquet SharePoint de l'Application dans le catalogue d'applications du locataire, au lieu de le téléverser à la main.

• Données transmises à Realizer : l'identifiant du locataire, le nom SharePoint et la version, qui font partie de l'adresse de la page, ainsi que l'adresse IP et l'heure que porte toute requête Web. La page télécharge auprès de Realizer les fichiers de version qu'elle a vérifiés ; rien au sujet du locataire n'est transmis avec eux.
• Non transmis à Realizer : la connexion de l'administrateur. Le navigateur de l'administrateur se connecte à Microsoft (une application publique, « AccessPoint Installer », avec une seule autorisation SharePoint déléguée), garde le jeton SharePoint dans la mémoire de la page et ne l'envoie qu'au SharePoint du locataire. Le serveur de Realizer refuse toute requête qui porte un jeton. Ce qui est installé, et par qui, est consigné par SharePoint dans le catalogue d'applications du locataire.
• Données stockées : aucune, à part les journaux de requêtes ordinaires de la Plateforme.

5.5 Packs de juridiction

Les packs de juridiction (modèles, exceptions, jours fériés, modèles d'avis et règles de détection propres à une juridiction) sont téléchargés depuis la Plateforme à la demande d'un administrateur. Chaque téléchargement et chaque rapport d'installation s'authentifie comme à l'article 5.1.

• Données transmises : l'identifiant du locataire (au moyen du jeton), le code du pack demandé et — à l'installation — la liste des types d'éléments installés et l'identifiant d'objet Entra de l'administrateur qui installe le pack.
• Données stockées : la fiche d'installation (locataire, pack, types d'éléments, identifiant de l'utilisateur qui installe, horodatage), utilisée pour aviser les clients des mises à jour des packs.
• Utilisation de ces enregistrements par Realizer : en plus des mises à jour des packs, Realizer utilise ces mêmes enregistrements — aucune nouvelle donnée n'est recueillie — pour savoir si un déploiement est configuré, pour soutenir le client et pour compter les juridictions dans lesquelles ses clients travaillent. L'identifiant de l'utilisateur qui installe n'est pas utilisé à cette fin.

5.6 Distribution du logiciel

Les éléments installables d'AccessPoint sont publiés sur des points de terminaison exploités par Realizer. Leur récupération révèle à Realizer les métadonnées ordinaires d'une requête — l'élément et la version demandés, l'adresse IP de connexion et l'heure — et rien d'autre.

• get.realizer.io — au moment du déploiement et de la mise à niveau, le déploiement Azure du client télécharge le paquet de l'API pour la version demandée, et les administrateurs téléchargent le modèle de déploiement, le script de déploiement et le paquet SharePoint à partir du même site. L'Application en cours d'exécution ne communique avec ce site que dans un cas : lorsqu'un administrateur choisit Mettre à jour maintenant, Réinstaller une version antérieure ou Soumettre de nouveau les demandes d'autorisation dans Paramètres → Configuration, l'API du client télécharge le paquet SharePoint, la liste des sommes de contrôle et les signatures de cette version pour les vérifier avant que le navigateur de l'administrateur installe le paquet. La requête ne contient que le fichier et la version demandés (le site observe l'adresse IP sortante de l'API et l'heure, comme pour tout téléchargement) ; aucune identité d'utilisateur, aucun jeton ni aucune donnée du locataire n'est transmis. Il n'existe autrement aucune dépendance à l'exécution.
• realizer.azurecr.io — le service de conversion des documents (déployé par défaut, article 4.6.7) extrait son image de façon anonyme au démarrage d'un réplica, et le service facultatif de traitement des médias (article 4.6.6) et le vérificateur d'accessibilité extraient la leur chaque fois qu'ils redémarrent à partir de zéro. Le registre observe donc l'étiquette de l'image, l'adresse IP de sortie, l'horodatage et — pour le service de traitement des médias, qui s'exécute lorsqu'il y a des médias à traiter — une cadence d'extraction qui reflète approximativement les pointes de traitement des médias du locataire. Il n'observe jamais de contenu. La copie des images dans le propre registre du client élimine entièrement ce flux.
• Aide dans l'application (realizer.io/docs) — le panneau Aide de l'Application affiche le site de documentation de Realizer dans un cadre ; le navigateur de l'utilisateur demande donc ces pages au site Web de Realizer. Ce site observe les métadonnées ordinaires d'une requête (la page, l'adresse IP et l'agent utilisateur du navigateur, l'heure) ; l'Application ne lui transmet aucune donnée de dossier, aucune identité d'utilisateur ni aucun jeton.
• Paquets de connecteurs (get.realizer.io/…/connectors/, et images de connecteurs sur realizer.azurecr.io lorsque le client choisit un hôte de conteneurs) — la trousse de développement des connecteurs et les connecteurs prêts à l'emploi de Realizer (article 4.8) se téléchargent comme tout autre élément, au moment du déploiement et au choix d'un administrateur. Un connecteur en cours d'exécution ne communique jamais avec Realizer.

5.7 Sommaire — ce que Realizer reçoit, et quand

Flux	Quand	Ce que Realizer reçoit	Renseignements personnels ?	Comment l'éliminer
Validation de la licence	Au démarrage et périodiquement	Identifiant du locataire, version de l'API, URL de base de l'API	Non	Sans objet (nécessaire aux licences)
Relais des activités Teams	Chaque notification Teams (mode par défaut)	GUID du locataire et du destinataire, type d'activité, numéro de demande, identifiant de l'enregistrement ; ainsi que le titre, le texte d'aperçu et le nom de l'utilisateur qui agit, sauf en mode réduit	Le nom de l'utilisateur qui agit et du texte libre, sauf en mode réduit	Paramètre de réduction, mode relais direct ou désactivation des notifications Teams
Découverte de l'adresse de l'API	Chargement du composant WebPart (en l'absence d'adresse configurée et lorsque la mise en cache a expiré)	Jeton du porteur de l'utilisateur (revendication de locataire lue ; non stocké)	Le jeton seulement, de façon transitoire	Configurer l'adresse manuelle dans l'entité de stockage AccessPoint_ApiUrl
Routage de l'onglet Teams	Chaque ouverture de l'onglet personnel Teams	Domaine SharePoint, identifiant du locataire, paramètres régionaux	Non	Utiliser AccessPoint dans SharePoint plutôt que dans l'onglet Teams
Page Terminer la configuration	Une fois par configuration ou mise à niveau, par un administrateur	Identifiant du locataire, identifiant de l'identité managée, jeton délégué de l'administrateur (transitoire)	L'identité de l'administrateur, de façon transitoire	Utiliser plutôt Deploy-AccessPoint.ps1
Page d'installation du paquet SharePoint	Une fois par nouvelle installation, par un administrateur	Identifiant du locataire, nom SharePoint, version, adresse IP, heure — jamais de jeton (il reste dans le navigateur de l'administrateur)	Non	Installer à partir d'AppSource, avec Deploy-AccessPoint.ps1 -DeploySharePointApp ou à la main
Packs de juridiction	À la demande d'un administrateur	Identifiant du locataire, code du pack, types d'éléments, identifiant de l'utilisateur qui installe	L'identifiant d'objet de l'administrateur qui installe	Ne pas importer de packs (le socle universel est importé automatiquement)
Téléchargement d'éléments	Déploiement et mise à niveau ; et lorsqu'un administrateur choisit Mettre à jour maintenant (paquet SharePoint) dans Paramètres → Configuration	Version demandée, adresse IP, heure	Non	Mettre à jour le paquet SharePoint à la main plutôt qu'avec Mettre à jour maintenant
Extraction d'images de conteneur	Démarrage d'un réplica du service de conversion des documents (activé par défaut) ; chaque redémarrage du service de traitement des médias ou du vérificateur d'accessibilité	Étiquette de l'image, adresse IP, heure, cadence d'extraction	Non	Copier les images dans le propre registre du client
Aide dans l'application	Chaque ouverture du panneau Aide par un utilisateur	Page demandée, adresse IP et agent utilisateur du navigateur, heure	L'adresse IP seulement, comme pour tout site Web	Ne pas ouvrir le panneau Aide
Trafic des connecteurs de dépôts (parcourir, rechercher, saisir, collecter ; en-têtes d'attribution)	Jamais — l'API du client communique avec les hôtes de connecteurs que le client exploite	—	—	—
Avis par courriel	Jamais	—	—	—
Personne-ressource du compte (article 5.8)	Une fois, à l'activation de l'abonnement, par la place de marché commerciale de Microsoft	L'adresse courriel du bénéficiaire de l'abonnement (ou celle de l'acheteur), les identifiants de locataire de l'acheteur et du bénéficiaire, et le nom de l'abonnement	Oui — une adresse courriel professionnelle	Sans objet ; c'est ainsi que nous vous joignons au sujet de votre abonnement et de la sécurité. Vous choisissez de quelle boîte aux lettres il s'agit
AccessPoint hébergé (article 5.9)	Tant que l'organisation l'utilise	Tout ce que l'organisation conserve dans AccessPoint, hébergé pour elle à titre de sous-traitant	Oui	Utiliser l'édition Microsoft 365
Fiche de l'organisation hébergée et sommaire d'activité (articles 5.9.3 et 5.9.4)	À la création ; puis au plus une fois par jour	Nom de l'organisation, nom et adresse courriel de la personne qui l'a créée, région, attribution de l'inscription, organisation Microsoft de la personne qui l'a créée (ou empreinte d'un compte personnel) ; nombres et dates d'utilisation	Le nom et l'adresse courriel de la personne qui l'a créée	Sans objet (nécessaire à l'exploitation du service)
Nombre de sessions actives du service hébergé (article 5.9.4)	Toutes les cinq minutes, depuis chaque région	Deux nombres pour toute la région : les sessions de connexion actives au cours des 5 et des 15 dernières minutes, et le moment de la mesure	Non	Sans objet (nécessaire à l'exploitation du service)
Facturation du service hébergé (article 5.9.7)	Forfaits payants	Forfait, modules complémentaires et statut de l'abonnement chez Stripe ; nombres d'utilisations au-delà de l'allocation du forfait	Une adresse courriel de facturation, détenue par Stripe	Rester à l'essai ou au forfait Gratuit

5.8 Votre personne-ressource du compte et les avis de sécurité

Ce que nous détenons, et d'où cela provient. Lorsqu'un abonnement est activé par la place de marché commerciale de Microsoft, le service d'exécution des commandes de Microsoft remet à Realizer l'adresse courriel du bénéficiaire de l'abonnement (à défaut, celle de l'acheteur), les identifiants de locataire de l'acheteur et du bénéficiaire, et le nom de l'abonnement. L'adresse est stockée dans les fiches du locataire et de l'abonnement comme personne-ressource du compte de l'organisation. Pour AccessPoint hébergé, la personne-ressource du compte est le nom et l'adresse courriel de la personne qui a créé l'organisation (article 5.9.3). À part les membres d'une organisation hébergée, dont Realizer héberge les données pour l'organisation (article 5.9), il s'agit des seules coordonnées de votre organisation que détient Realizer — les personnes-ressources de sécurité, de protection de la vie privée et d'exploitation configurées dans AccessPoint restent dans votre locataire et ne sont jamais transmises à Realizer (l'article 5.1 demeure : la validation de la licence ne transmet aucun renseignement personnel).

Ce à quoi elle nous sert.

• Les bulletins de sécurité et les avis d'incident concernant AccessPoint et les services de la Plateforme de Realizer, y compris les avis que Realizer s'engage à envoyer lorsqu'un incident touche votre déploiement, votre environnement ou le logiciel que nous vous distribuons.
• Les avis relatifs au compte, à l'abonnement et les avis juridiques, y compris les modifications importantes de la présente politique (article 13).
• La gestion du compte de votre organisation : Realizer consigne l'organisation et ses abonnements dans son système de gestion de la relation client, HubSpot — et n'y inscrit une adresse que lorsqu'il est démontré qu'elle appartient bien à l'organisation (article 5.12). Nous n'envoyons pas de courriels de marketing à ces adresses, et nous ne les vendons ni ne les communiquons.

Pourquoi il importe que ce soit une boîte aux lettres de fonction. Cette adresse est le canal hors bande de Realizer : celui qui fonctionne encore lorsque votre déploiement est en panne, lorsque c'est lui qui est compromis, ou lorsque les éléments que vous déployez constituent eux-mêmes l'incident. Nous demandons aux clients d'en faire une boîte aux lettres de fonction surveillée (par exemple itsecurity@yourorganization.gov) plutôt que l'adresse d'une personne, de la confirmer à l'activation et de la tenir à jour — une adresse personnelle part avec la personne, et un avis qui aboutit dans une boîte abandonnée équivaut à aucun avis.

Comment la mettre à jour. Écrivez à support@realizer.io (ou à privacy@realizer.io) et nous la modifierons ; la réactivation de l'abonnement à partir de la place de marché Microsoft la remplace aussi. Nous confirmons le changement auprès de la nouvelle adresse avant de l'utiliser.

Ce que nous consignons au sujet de l'adresse elle-même. À côté de l'adresse et d'un libellé facultatif : si elle a été confirmée, quand elle l'a été, quand elle a été confirmée de nouveau pour la dernière fois, quand nous lui avons envoyé une confirmation ou un rappel pour la dernière fois, si elle semble être une boîte aux lettres de fonction, et comment la confirmation a été faite — soit la mention littérale qu'elle a été confirmée à partir de l'adresse elle-même ou sur la page d'activation, soit, lorsque la connexion à la place de marché est utilisée, le nom de connexion de la personne qui a activé l'abonnement. Ce nom de connexion est le seul autre identifiant personnel de cet enregistrement ; il existe pour qu'un différend ultérieur sur la personne qui a fixé l'adresse d'avis d'une organisation trouve réponse.

Conservation. Conservée pendant la durée de l'abonnement, plus 90 jours, selon le même calendrier que les fiches de licence et d'abonnement (article 9.2).

Comment Realizer communique avec vous. Les avis et les bulletins de sécurité sont envoyés à partir de security@realizer.io, une boîte aux lettres partagée du propre locataire Microsoft 365 de Realizer, et transmis au moyen de Microsoft Graph. Microsoft fournit cette boîte aux lettres, comme le reste des systèmes d'affaires de Realizer ; aucun service distinct de marketing ou d'envoi de courriels n'intervient, et aucune adresse de client n'est versée dans une plateforme d'envoi tierce.

• Ce que nous consignons au sujet d'un message que nous vous envoyons : l'organisation à laquelle il a été envoyé, l'identifiant de l'avis, l'objet, le canal, l'heure, le résultat de la livraison et — lorsqu'un avis vous demande d'en accuser réception — votre accusé de réception. Le journal de livraison ne contient délibérément aucune adresse courriel : la seule adresse que nous connaissons est celle de la personne-ressource du compte décrite ci-dessus, et la recopier dans chaque avis ferait d'un journal de preuve un second dépôt de renseignements personnels. Nous ne conservons pas le contenu d'une réponse au-delà de ce qu'il nous faut pour y répondre.
• Ce que nous ne ferons jamais dans un avis de sécurité : joindre un fichier ; demander un mot de passe, un code d'authentification multifacteur ou un consentement d'administrateur ; vous demander d'installer quoi que ce soit en dehors de votre propre processus de déploiement ; ou vous demander de vous connecter au moyen d'un lien contenu dans le message. Chaque avis porte une référence que vous pouvez vérifier de façon indépendante — sur notre page d'état, sur notre page des bulletins ou dans AccessPoint lui-même. Si un message qui prétend venir de nous ne correspond pas à cette description, il ne vient pas de nous.
• S'abonner sans nous donner d'adresse : nos bulletins publics sont offerts sous forme de page Web et de fil Atom, et les événements de service — pannes, service dégradé et maintenance des services de la Plateforme de Realizer — sont publiés sur notre page d'état, à https://www.realizer.io/status (aussi en JSON, à https://www.realizer.io/status.json). Aucun d'eux n'exige de compte ni d'adresse courriel (l'article 5.6 décrit les métadonnées de requête que révèle un téléchargement ou l'affichage d'une page). La page d'état ne charge aucun outil de statistiques ni aucun autre script tiers.
• Emplacement : le locataire Microsoft 365 de Realizer, y compris la boîte aux lettres security@realizer.io, est hébergé au Canada (région Canada Central de Microsoft) ; le contenu des messages est traité par Microsoft aux termes de la propre entente de Realizer avec Microsoft.

État du présent article : la personne-ressource du compte et les données de la place de marché ont toujours été détenues (elles étaient absentes des versions antérieures de la présente politique — voir l'article 15). La page des bulletins (https://api.realizer.io/security/advisories), son fil Atom (https://api.realizer.io/security/advisories/feed.atom) et la boîte d'envoi security@realizer.io sont en service (confirmé le 5 octobre 2026). La page d'état (https://www.realizer.io/status) est servie par le site Web de Realizer, séparément des services de la Plateforme dont elle rend compte, de sorte qu'elle reste accessible lorsqu'ils ne le sont pas.

5.9 AccessPoint hébergé (app.realizer.io, version 2.6.0)

AccessPoint hébergé est le même logiciel, exploité par Realizer : une organisation se connecte avec un compte Microsoft et utilise AccessPoint dans un navigateur Web, sans abonnement Azure ni SharePoint qui lui soit propre. Il fait partie de la version 2.6.0. Ici, Realizer héberge les données de l'organisation : tout ce que l'article 4 décrit comme conservé dans le propre abonnement Azure du client est conservé dans celui de Realizer, pour l'organisation. Realizer est le fournisseur de services — un sous-traitant — de l'organisation pour ces données ; l'organisation demeure le responsable du traitement (article 2) et décide de ce qu'elle recueille, conserve et supprime.

Le service est régi par les Conditions d'utilisation d'AccessPoint hébergé, publiées sur le site Web de Realizer à côté de ses conditions d'utilisation générales ; dans la mesure où elles portent sur des renseignements personnels, elles suivent le présent avis.

5.9.1 Où se trouvent les données

• Un abonnement Azure de Realizer, dans la région Canada Central : l'application Web qui connecte les personnes, l'API d'AccessPoint, une base de données Azure SQL partagée par de nombreuses organisations, une base de données distincte pour les sessions de connexion, le stockage Blob, Key Vault, Application Insights et Log Analytics.
• Adresses : la région canadienne du service répond à ca.app.realizer.io (et son API, à api.ca.app.realizer.io). app.realizer.io est le point d'entrée du service, exploité par Realizer au Canada à côté de son plan de contrôle : sa page d'inscription indique où seront conservées les données d'une organisation avant que l'inscription se poursuive à l'adresse propre à la région, et la connexion à cette adresse trouve les régions auxquelles appartient la personne — elle demande à chaque région, au moyen de la connexion de la personne, de quelles organisations elle est membre — et l'y dirige. Il ne voit les détails de connexion du compte que pour cette requête et ne conserve rien : ni session, ni jeton de connexion, ni liste de qui appartient à quelle région ; son seul témoin est __Host-ap-region (article 5.9.2). Les anciens liens vers app.realizer.io sont redirigés, avec l'adresse de leur page, vers ca.app.realizer.io. Les données restent là où l'indique le présent article, quelle que soit l'adresse qu'utilise une personne.
• Séparées par organisation : chaque ligne porte son organisation ; chaque requête est filtrée selon celle-ci, et la sécurité au niveau des lignes de SQL Server applique la même règle à l'intérieur de la base de données. L'application se connecte avec une identité au privilège minimal (Entra seulement — il n'existe aucun mot de passe SQL), et les fichiers de chaque organisation se trouvent sous leur propre préfixe de stockage.
• Le courriel passe par Azure Communication Services, dans l'abonnement de Realizer, avec ses données stockées au Canada (article 5.9.5).
• Azure Front Door, avec un pare-feu d'applications Web, est placé devant le service. Il s'agit d'un service de périphérie mondial de Microsoft ; une requête peut donc d'abord atteindre le point de présence de Microsoft le plus proche.
• Journaux et sauvegardes : les journaux de requêtes Web (avec l'adresse IP du navigateur) et la télémétrie sont conservés 30 jours. Les sauvegardes de restauration à un instant dans le passé des bases de données, ainsi que les fichiers stockés, sont géorépliqués au Canada — de Canada Central vers sa région jumelée, Canada East —, de sorte qu'une copie survit à la perte d'une région et ne quitte jamais le Canada. La production utilise Microsoft Defender for SQL.
• Analyse antivirus : activée à compter du déploiement du modèle du service du 7 novembre 2026 : Microsoft Defender for Storage, dans le même abonnement et la même région, analyse chaque fichier téléversé dans le service. Le verdict est conservé avec le fichier ; un fichier jugé malveillant ne peut être ni prévisualisé, ni téléchargé, ni communiqué, et un fichier en cours d'analyse est retenu. La découverte des données sensibles de Defender est désactivée.
• Conversion, enregistrements et vérifications d'accessibilité : à compter du même déploiement, les fichiers Office, les pages Web et les courriels sont convertis en PDF, les enregistrements vidéo et audio sont traités et les trousses de communication font l'objet d'une vérification d'accessibilité par des services d'Azure Container Apps, dans le même abonnement et la même région. Chaque tâche traite les fichiers d'une seule organisation, les services ne conservent rien d'une tâche à l'autre, n'atteignent jamais la base de données, et leurs autorisations de stockage ne leur permettent d'écrire que les fichiers qu'ils produisent — jamais les fichiers originaux d'une organisation.
• Services d'IA : la reconnaissance de texte (Azure AI Document Intelligence), la recherche dans le contenu et la recherche sémantique (Azure AI Search) et la transcription des enregistrements (Azure AI Speech) s'exécutent dans le même abonnement, dans la région Canada Central. Les modèles de langage d'AI Assist (Azure OpenAI) sont désactivés pour chaque organisation tant que son Administrateur ne les a pas autorisés, parce qu'ils peuvent traiter des requêtes à l'extérieur du Canada (article 5.9.11).
• Ne font pas partie d'AccessPoint hébergé : tout ce qui exige le Microsoft 365 de l'organisation (les documents saisis à partir de Microsoft 365, les notifications Teams, la vérification nocturne de l'annuaire, les rôles liés à des groupes Entra) et les connecteurs de dépôts. Le portail public n'est offert qu'avec un forfait payant et son module complémentaire, et seulement là où le service l'exploite ; le service hébergé de Realizer ne l'exploite pas encore.

5.9.2 Connexion et membres

• La connexion relève de Microsoft. Un compte professionnel ou scolaire de n'importe quelle organisation, ou un compte Microsoft personnel, se connecte à l'application AccessPoint Hosted de Realizer et accepte une fois que celle-ci puisse « utiliser AccessPoint en votre nom ». L'organisation dont relève le compte — ou Microsoft, pour un compte personnel — vérifie le mot de passe et toute authentification multifacteur.
• Ce que le service consigne au sujet d'un membre : l'identifiant du compte (son locataire Microsoft et son identifiant d'objet), son nom, son adresse courriel et sa langue préférée, le moment de la création de son adhésion et de sa dernière connexion, ses rôles et — comme pour tout utilisateur d'AccessPoint — ses actions dans l'historique d'audit (article 4.2).
• Invitations. Une personne ne se joint à une organisation que sur l'invitation d'un Administrateur : l'adresse invitée, les rôles offerts, qui a invité et quand. Le lien n'est conservé que sous forme d'empreinte et fonctionne pendant 14 jours, et seul un compte dont la connexion prouve l'adresse invitée peut l'accepter. Un Administrateur peut aussi limiter l'organisation aux comptes professionnels ou scolaires d'organisations Microsoft désignées (Qui peut se joindre).
• Collègues et demandes d'adhésion. Une personne qui s'inscrit avec un compte professionnel ou scolaire voit le nom — et seulement le nom — des organisations hébergées de sa propre organisation Microsoft qui permettent à leurs collègues de les trouver (un Administrateur peut désactiver cette option ; elle est activée par défaut) et dont la liste Qui peut se joindre l'admettrait, et peut demander à se joindre à l'une d'elles. Une demande contient ce qu'a fourni sa connexion : l'identifiant du compte, une adresse que la connexion prouve et son nom, avec le moment de la demande et la personne qui en a décidé. Elle est conservée dans cette organisation, vue par ses Administrateurs (qui reçoivent aussi un avis et un courriel), approuvée au moyen de l'invitation habituelle ou refusée ; une demande non tranchée en 30 jours expire, et une demande tranchée ou expirée est supprimée 90 jours plus tard. Rien n'est jamais montré de cette façon aux comptes Microsoft personnels.
• Sessions et témoins. Les jetons de connexion restent sur le serveur de Realizer, jamais dans le navigateur. Le navigateur ne conserve que des témoins fonctionnels — __Host-ap-session (la session), __Host-ap-org (l'organisation ouverte), __Host-ap-ended (la raison de la fin d'une session), ceux du processus de connexion lui-même et, au point d'entrée app.realizer.io, __Host-ap-region (la clé de la région que le navigateur a choisie en dernier ou vers laquelle il a été dirigé, comme ca, conservée un an pour que la visite suivante y aille directement ; rien au sujet de la personne) — et les pages ne chargent aucun script de statistiques, de publicité ou de tiers. Le service consigne sur le serveur la dernière activité de chaque session pour pouvoir déconnecter les membres après le délai qu'a choisi l'Administrateur de l'organisation (de 15 minutes à 2 heures sans activité, et au plus 12 heures en tout, sur le service de Realizer) ; les membres sont avertis avant. Chaque région tient ses propres sessions ; rien d'une session ne passe d'une région à une autre.
• Adresses IP. L'application Web transmet l'adresse IP du navigateur à l'API pour les limites de débit ; les journaux de requêtes Web la conservent 30 jours.

5.9.3 La fiche de l'organisation chez Realizer

Lorsqu'une organisation est créée, le service l'inscrit auprès du plan de contrôle de Realizer (api.realizer.io, qui fait partie de la Plateforme) :

• le nom de l'organisation et sa région ;
• le nom et l'adresse courriel de la personne qui l'a créée, conservés comme personne-ressource du compte de l'organisation pour les avis de sécurité et relatifs au compte (article 5.8) et comme personne-ressource pour la facturation ;
• la provenance de cette personne (attribution de l'inscription, article 5.9.6) ;
• l'organisation Microsoft de l'organisation — l'identifiant du locataire du compte professionnel ou scolaire qui l'a créée — ou, s'il s'agissait d'un compte Microsoft personnel, une empreinte à sens unique de l'identifiant de ce compte (jamais l'identifiant lui-même) : les organisations qui la partagent forment un seul client, qui partage leur allocation gratuite et leur essai.

L'allocation gratuite partagée. Pour chaque organisation Microsoft (ou compte personnel sous forme d'empreinte) dont des organisations utilisent le forfait Gratuit, le plan de contrôle tient cette allocation gratuite : le jour où son année a commencé et, pour chaque demande ou évaluation que l'une des organisations y a prise, le type, le numéro, la date et l'organisation qui l'a prise — des nombres et des dates seulement, sans nom ni contenu de dossier. Une organisation n'en apprend que ce qui reste, jamais ce qu'une autre organisation a pris. Lorsqu'une organisation est supprimée, ce qu'elle a pris reste compté pour le reste de l'année, et quatre-vingt-dix jours après la suppression, l'allocation n'indique plus quelle organisation l'a pris (voir ci-dessous) ; l'allocation elle-même est supprimée lorsqu'il ne reste plus aucune organisation de l'organisation Microsoft et que sa dernière année a pris fin.

Le plan de contrôle émet la licence de l'organisation et tient à jour son forfait, ses modules complémentaires, son essai et l'état de sa facturation, ainsi que l'historique de leurs modifications (par exemple une prolongation d'essai, avec l'adresse masquée du membre qui l'a demandée et le motif). Les packs de juridiction sont lus par son intermédiaire, sans fiche d'installation. Le service lui-même tient une entrée de registre avec le nom de l'organisation, son statut, l'identifiant du compte qui l'a créée (pour limiter le nombre d'organisations que crée un même compte et déterminer lesquelles commencent par l'essai), l'organisation Microsoft du compte professionnel qui l'a créée (un essai par organisation Microsoft, et pour montrer le nom de l'organisation aux collègues qui s'inscrivent), le fait que des collègues puissent la trouver ou non, et sa liste Qui peut se joindre.

Lorsque l'organisation est supprimée. Lorsque le service supprime une organisation — une organisation inactive au forfait Gratuit purgée, un essai abandonné retiré ou une organisation qui quitte le service (article 5.9.8) —, il communique au plan de contrôle la date et le cas dont il s'agit, et rien d'autre. L'abonnement de l'organisation prend fin à ce moment ; une interruption ou le forfait Gratuit n'y mettent pas fin. Quatre-vingt-dix jours après la suppression, Realizer supprime ses enregistrements de licence de l'organisation, les notes de son personnel à son sujet et sa personne-ressource du compte, et retire des dossiers qu'elle tient pour ses comptes et pour les données chiffrées du service tout ce qui nomme l'organisation ou ses gens : le nom, le nom et l'adresse de la personne qui l'a créée, l'attribution de l'inscription, son organisation Microsoft (ou l'empreinte d'un compte personnel) et l'adresse masquée du membre qui a demandé une prolongation d'essai — et sa part d'une allocation gratuite partagée cesse de la nommer. Ce qui reste, c'est le forfait, les statuts, les dates, les nombres et les montants, sous un identifiant interne, ainsi qu'un enregistrement attestant que la suppression a eu lieu : une empreinte à sens unique de l'identifiant de l'organisation, les dates et les nombres. Son entreprise est supprimée de HubSpot et ses transactions n'y conservent que leur forfait, leur étape et leur valeur (article 5.12) ; Stripe conserve ses factures et ses paiements pour la comptabilité de Realizer, sans l'adresse courriel ni le nom du client (article 5.9.7). Si l'abonnement de l'organisation redevient actif chez Realizer avant ce délai, rien n'est supprimé avant que Realizer l'ait examiné. La vérification de ce qu'a fait le personnel de Realizer dans la console d'administration n'est jamais modifiée et peut encore nommer l'organisation comme objet d'une action (article 5.12).

5.9.4 Le sommaire d'activité (données d'exploitation du service)

Avec l'actualisation de sa licence, au plus une fois par jour, le service transmet pour chaque organisation un sommaire qui ne contient que des nombres et des dates : les dates de la première vraie demande, de la première évaluation, du premier dossier Lab terminé et de l'arrivée du deuxième membre ; le nombre de membres ; le nombre de membres qui se sont connectés au cours des 30 derniers jours ; et le dernier jour où quelqu'un s'est connecté. Il ne contient ni nom, ni adresse, ni contenu de dossier — son format ne comporte aucun champ texte, et les tests échouent si l'on en ajoute un. Realizer ne conserve que le plus récent sommaire de chaque organisation et s'en sert pour savoir si les organisations démarrent avec le service, pour les soutenir et pour rendre compte du service ; il n'est transmis ni à HubSpot ni à aucun service de statistiques.

Sessions actives. Toutes les cinq minutes, par la même connexion au plan de contrôle de Realizer, chaque région indique combien de sessions de connexion y ont été actives au cours des 5 et des 15 dernières minutes — deux nombres pour toute la région, sans nom, adresse ni organisation —, pour que Realizer puisse planifier la maintenance à un moment tranquille. Une session est comptée comme active lorsque son membre a fait quelque chose dans le service pendant cette période ; la région compte ses propres sessions et ne transmet que les deux nombres. Realizer conserve ces nombres huit jours, pour montrer une semaine d'activité par heure.

5.9.5 Courriel

• Tous les courriels d'une organisation hébergée — lettres aux demandeurs, avis aux membres, invitations, codes de confirmation et avis de cycle de vie de Realizer — sont envoyés par Azure Communication Services, dans l'abonnement de Realizer, à partir de accesspoint@notices.realizer.io. Les destinataires et le contenu y transitent ; ses données sont stockées au Canada.
• Les réponses vont à l'adresse que l'Administrateur de l'organisation a choisie et confirmée au moyen d'un code à 6 chiffres envoyé à cette adresse (valable 60 minutes) ; tant qu'elle n'est pas confirmée, le courriel de l'organisation ne porte aucune adresse de réponse qui lui soit propre.
• Budgets. Le service compte les destinataires de chaque organisation avant qu'un message ne parte — 100 par heure et 500 par jour, ou 25 et 100 pendant l'essai et avec le forfait Gratuit —, pour que l'adresse partagée ne puisse pas servir à des envois massifs. Le courriel qui dépasse le budget n'est pas envoyé.
• Les avis de cycle de vie sont des textes fixes propres à Realizer, envoyés aux Administrateurs de l'organisation dans la langue de chacun : rappels 7, 3 et 0 jours avant la fin de l'essai, prolongation de l'essai, plafond annuel du forfait Gratuit, passage au forfait Gratuit et avertissements de purge (article 5.9.8). Ils proviennent d'AccessPoint, et les réponses vont au soutien de Realizer. La désactivation des avis par courriel de l'organisation met fin aux rappels, mais jamais à l'avis de passage au forfait Gratuit ni aux avertissements de purge. Le service consigne quel avis a été envoyé à quelle organisation, quand, et combien de personnes il a joint.

5.9.6 Attribution de l'inscription

Lorsqu'une personne arrive à la page d'inscription depuis la démo de marketing ou un lien de campagne, la page ne conserve que les clés suivantes du lien, dans le stockage de session du navigateur, pendant la connexion : pack, lang, from, demo, steps, size et cta (le pack de juridiction et la langue, la provenance du visiteur, l'exemple de la démo, les étapes terminées, la tranche de prix consultée et le bouton utilisé), les étiquettes de campagne utm_source, utm_medium, utm_campaign, utm_term, utm_content et utm_id, ainsi que gclid (un identifiant de clic publicitaire). Chaque valeur est vérifiée selon un motif et limitée à 100 caractères, dans le navigateur, par le service et de nouveau par Realizer, qui les stocke dans la fiche de l'organisation (au plus 2 000 caractères) pour savoir quelles démos et quelles campagnes amènent des clients. Elles ne servent jamais à construire un lien ou une page, et Realizer ne les transmet ni à HubSpot, ni à Google, ni à quiconque.

5.9.7 Facturation (Stripe)

L'essai n'exige aucune carte. Les forfaits payants sont facturés par Stripe. Realizer crée l'organisation comme client de Stripe avec le nom de l'organisation, son identifiant dans le service hébergé et une adresse courriel de facturation — celle de l'Administrateur qui ouvre le premier la page de paiement. Sur la page de paiement de Stripe, l'Administrateur saisit la carte, l'adresse de facturation et, au besoin, un numéro de taxe ; ces renseignements vont à Stripe et ne parviennent jamais à AccessPoint ni à Realizer. Avant le premier achat, l'Administrateur choisit le pays de facturation de l'organisation, qui détermine la devise — dollars canadiens au Canada, dollars américains aux États-Unis, livres sterling au Royaume-Uni, euros dans la zone euro, dollars américains ailleurs —, et l'abonnement de l'organisation la conserve ; le pays et la devise sont conservés dans la fiche de facturation de l'organisation. Stripe communique à Realizer le statut, le forfait, la devise et les modules complémentaires de l'abonnement. Les demandes et les évaluations au-delà de l'allocation d'un forfait ne sont pas facturées à l'utilisation : un Administrateur peut acheter un lot d'unités, porté une seule fois à la carte enregistrée au moyen d'une facture Stripe. Un Administrateur gère la facturation dans le portail client de Stripe. Les rapports de revenus de Realizer ne conservent que les identifiants, les statuts, les dates et les montants de Stripe (article 5.12). Lorsque Realizer supprime ses dossiers d'une organisation supprimée (article 5.9.3), elle retire de Stripe l'adresse courriel et le nom du client et conserve le client Stripe : ses factures, ses notes de crédit et ses paiements font partie des registres comptables de Realizer. Stripe les conserve — chaque facture avec le nom et l'adresse de facturation auxquels elle a été émise, et le client avec l'adresse de facturation et tout numéro de taxe saisi sur la page de Stripe — selon ses propres règles de conservation, à titre de processeur de paiement de Realizer et pour la tenue des registres fiscaux et financiers qui s'applique à Stripe et à Realizer.

5.9.8 L'essai, le forfait Gratuit, une interruption et le départ

• L'essai dure 30 jours. Lorsqu'il prend fin — ou lorsqu'un forfait payant est annulé —, l'organisation passe au forfait Gratuit : rien n'est supprimé, tout reste consultable et exportable, les demandes reçues sont toujours enregistrées, et les éléments que le forfait Gratuit ne comprend pas passent en lecture seule. Un Administrateur peut prolonger l'essai une fois, de 30 jours, pour les besoins de l'approvisionnement.
• Une organisation inactive au forfait Gratuit peut être supprimée. Si aucun membre ne se connecte et qu'aucun dossier n'est créé pendant 90 jours après le passage au forfait Gratuit (pour une organisation qui n'a jamais vraiment commencé — aucun vrai dossier, un seul membre, aucun dossier Lab terminé) ou pendant 12 mois (dans les autres cas), l'organisation peut être purgée. Chaque Administrateur actif est averti par courriel 30 et 7 jours avant — et au moins 90 jours avant, avec le nombre de demandes ouvertes, tant qu'une demande reçue est ouverte —, et Paramètres → Abonnement indique la date. Un avertissement qui n'a joint personne est envoyé de nouveau et ne compte pas. La connexion d'un membre ou la création d'un dossier annule l'échéancier, et une mise en suspens pour conservation empêche la purge. La purge est une action délibérée de Realizer, jamais automatique.
• Télécharger toutes les données de votre organisation. Un Administrateur peut télécharger un fichier ZIP de tout ce que détient l'organisation — chaque dossier et chaque fichier, y compris les renseignements sur les demandeurs ; la copie de formation du mode Lab est exclue. Jusqu'à trois fois par mois ; le lien fonctionne une seule fois et pendant cinq minutes, le fichier est supprimé après 14 jours, et chaque lancement et chaque téléchargement sont consignés dans le registre d'audit de l'organisation.
• Le départ. Realizer supprime une organisation qui quitte le service une fois qu'une exportation complète en a été consignée — chaque dossier et chaque fichier, sa copie de formation et ses entrées de recherche —, en conservant un enregistrement attestant qu'elle a existé. Les lignes supprimées disparaissent des sauvegardes de la base de données à mesure que celles-ci arrivent à échéance.

5.9.9 L'accès de Realizer

Realizer exploite le service et administre ses ressources Azure. Les opérations portant sur une organisation entière — exportation, déplacement vers une autre base de données, purge — ne s'effectuent qu'au moyen d'une commande d'opérateur exécutée dans l'environnement propre au service, jamais au moyen d'une page Web ou d'une API, et chacune est consignée avec le nom de l'opérateur. Les paramètres qui envoient les courriels de toutes les organisations appartiennent à Realizer ; l'Administrateur d'une organisation gère tout le reste. Realizer n'utilise les données d'une organisation que pour fournir, sécuriser et soutenir le service, et ne les vend ni ne les communique.

5.9.10 Qui d'autre les traite

• Microsoft — l'hébergement Azure dans la région Canada Central, la connexion Entra ID, le courriel d'Azure Communication Services (données stockées au Canada), Azure Front Door (un service de périphérie mondial), Application Insights, Azure AI Document Intelligence, Azure AI Search et Azure AI Speech (Canada Central), et — seulement pour une organisation dont l'Administrateur l'a autorisé — les déploiements mondiaux (Global) d'Azure OpenAI (article 5.9.11), aux termes de l'entente de Realizer avec Microsoft.
• Stripe — la facturation des forfaits payants (article 5.9.7).

L'article 8.5 énumère tous les fournisseurs de services auxquels Realizer fait appel.

5.9.11 AI Assist

AI Assist (Ask AccessPoint, la rédaction, les résumés, la traduction et les suggestions de l'IA comme les suggestions de caviardage) transmet le texte dont la fonctionnalité a besoin — par exemple le texte du dossier et des extraits de ses documents, y compris les renseignements personnels qu'ils contiennent — à des modèles Azure OpenAI que Realizer provisionne dans son abonnement au Canada. Au Canada, Microsoft n'offre les modèles actuels que sous forme de déploiements mondiaux (Global) : Microsoft peut traiter certaines requêtes et réponses dans ses autres régions Azure, partout dans le monde.

• Désactivé tant qu'il n'est pas autorisé. Pour chaque organisation, AI Assist, dans la mesure où il utilise ces modèles, reste désactivé tant que l'un de ses Administrateurs n'a pas lu un court énoncé daté dans Paramètres → Fonctionnalités et IA → AI Assist et ne l'a pas autorisé. La personne qui l'a autorisé, le moment de l'autorisation, ainsi que la version et la langue de l'énoncé sont consignés dans l'historique d'audit et le registre d'audit de l'organisation. Un Administrateur peut retirer l'autorisation en tout temps ; l'IA qui en a besoin s'arrête aussitôt. Un énoncé modifié de façon importante suspend l'IA jusqu'à ce qu'elle soit autorisée de nouveau.
• Ce qui reste au Canada : tout ce qu'AccessPoint stocke — dossiers, documents et résultats produits par l'IA — reste au Canada (article 5.9.1). Microsoft n'utilise ni les requêtes ni les réponses pour entraîner ses modèles ; sa surveillance des abus tient ses propres registres, aux termes des conditions de Microsoft.
• Non touchés : la reconnaissance de texte, la recherche et la transcription sont traitées dans la région Canada Central et ne nécessitent aucune autorisation. L'utilisation de l'IA par l'organisation est imputée à l'allocation d'IA de son forfait ; AI Assist ne consigne que la quantité utilisée, jamais les requêtes ni les réponses.

5.10 L'AccessPoint Training Lab (learn.realizer.io)

Le Training Lab est la simulation en ligne d'AccessPoint de Realizer, où des fournisseurs de formation donnent des cours. Il est distinct de l'Application : rien ne circule entre l'AccessPoint d'un client et le Lab (article 4.12). Chaque fournisseur décide de ce que ses cours recueillent et est responsable du traitement des données de ses apprenants ; Realizer exploite le Lab à titre de sous-traitant du fournisseur, aux termes de l'entente avec les fournisseurs de formation.

• Les apprenants se joignent à un cours au moyen de son code et d'un nom d'affichage. Le Lab conserve ce nom ; une adresse courriel seulement si le cours en demande une, ou si l'apprenant en confirme une pour s'y faire envoyer un code de reprise (après un code à 6 chiffres envoyé à cette adresse) ; ce que l'apprenant a fait dans les exercices de la simulation fictive — les modifications apportées, l'état des étapes, les résultats des questionnaires, la rétroaction, les réponses de compte rendu et les demandes d'aide ; et le moment de sa dernière activité. Il ne consigne ni les clics, ni les pages consultées, ni les frappes. La page d'inscription indique ce qui est consigné, qui le voit et quand c'est supprimé.
• Codes. Le code de reprise d'un apprenant, qui sert à continuer sur un autre appareil, n'est jamais conservé : seuls une empreinte et ses quatre derniers caractères, comme indice, le sont. Le code d'inscription d'un cours est conservé sous forme d'empreinte pour l'inscription et, chiffré, pour que les formateurs du cours puissent l'afficher de nouveau.
• Qui les voit : les formateurs du cours et les administrateurs du fournisseur. Le personnel de Realizer n'accède aux cours et au contenu d'un fournisseur qu'au moyen d'une vue de soutien soumise à une vérification.
• Suppression. Les données des apprenants sont supprimées 30 jours après la clôture du cours — le fournisseur peut choisir de 7 à 90 jours —, et les formateurs en sont avisés 7 jours avant ; les statistiques sans nom sont conservées. Un certificat de réussite qu'un apprenant a choisi de recevoir ne conserve que ce qu'il imprime (le nom confirmé, le fournisseur, la formation, le cours et ses dates, les exercices et leurs étapes vérifiées, la date de délivrance), peut être vérifié par quiconque détient son lien ou son code QR, et est conservé jusqu'à ce que le fournisseur le supprime — à la demande de l'apprenant, par exemple — ou quitte le Lab. Lorsqu'un fournisseur quitte le Lab, ses données sont supprimées. Les sauvegardes de la base de données conservent les lignes supprimées pendant au plus 7 jours de plus.
• Les membres des fournisseurs (administrateurs, auteurs et formateurs) sont invités par courriel et se connectent au moyen d'un code à usage unique envoyé à leur adresse. Le Lab conserve leur nom, leur adresse, leurs rôles, leur dernière connexion et un journal de leurs actions, et leur envoie un courriel lorsqu'ils se connectent à partir d'un nouveau navigateur.
• Le matériel de cours appartient au fournisseur. Il reste dans le stockage privé du Lab, n'est jamais servi avec une mise en cache publique et n'entre jamais dans le dépôt de code source, les journaux ou la télémétrie de Realizer.
• Mesures de protection. L'inscription est protégée par une vérification par preuve de travail et des limites de débit ; les tentatives échouées sont imputées à un budget unique pour tout le Lab, dont les alertes ne contiennent que des nombres — jamais un code, un nom ou une adresse —, et les adresses IP ne sont conservées qu'en mémoire, sous forme d'empreintes, pour ces limites. Le Lab ne dépose que des témoins fonctionnels __Host- et ne charge aucun outil de statistiques. Les fichiers téléversés font l'objet d'une analyse antivirus. La télémétrie contient des clés et des identifiants, jamais le texte des cours.
• Où. Azure, dans la région Canada Central (l'application, sa base de données et son stockage privé) ; le courriel passe par Azure Communication Services, avec des données stockées au Canada, à partir de notices@mail.realizer.io. La rédaction par l'IA, réservée aux auteurs d'un fournisseur et seulement une fois que le fournisseur y a consenti, s'exécute sur Azure OpenAI ; la surveillance des abus de Microsoft peut conserver les requêtes jusqu'à 30 jours.

5.11 La démo de marketing (demo.realizer.io)

• La démo exécute les écrans d'AccessPoint sur des données fictives, dans le navigateur du visiteur. Rien de ce qu'un visiteur saisit, crée ou caviarde n'est enregistré ni transmis où que ce soit ; les lettres sont simulées et rien ne peut être téléversé. La fermeture ou le rechargement de la page efface la visite.
• Statistiques des visites directes. Ouverte seule, la démo compte son utilisation avec la même propriété Google Analytics que www.realizer.io, avec les mêmes choix de consentement : le stockage publicitaire est refusé partout, et le stockage des statistiques est refusé dans l'Espace économique européen, au Royaume-Uni et en Suisse tant que le visiteur n'a pas choisi Autoriser les statistiques dans l'avis. Les événements sont des clés fixes — l'exemple, la langue et la juridiction choisis, les étapes terminées et les boutons du panneau À propos —, jamais rien de saisi. Les témoins de Google (_ga, _ga_…) sont déposés pour demo.realizer.io seulement, jamais pour tous les sites realizer.io, de sorte qu'ils n'atteignent ni AccessPoint hébergé ni le Training Lab. Le choix du visiteur est conservé dans le navigateur (rz-consent), et ?ga=off fait en sorte qu'un navigateur ne soit plus compté (conservé sous le nom ga-optout). Intégrée aux pages de www.realizer.io, la démo ne charge aucun outil de statistiques : le site Web compte la visite aux termes de son propre avis.
• Liens de campagne. Les étiquettes de campagne d'un lien (utm_*, gclid) sont transmises telles quelles aux liens que la démo ouvre sur www.realizer.io et, par l'inscription au service hébergé, à l'attribution de l'inscription d'une organisation (article 5.9.6).
• Aperçus de liens. Lorsqu'un lien de la démo est partagé, le serveur de la démo rédige le titre, la description et l'image de l'aperçu à partir de l'exemple et de la langue que nomme le lien — rien au sujet du visiteur.

5.12 Les dossiers clients et la console d'administration de Realizer

Les dossiers clients de Realizer (HubSpot). Realizer tient une fiche de chaque organisation cliente dans son système de gestion de la relation client, HubSpot (exploité par HubSpot, Inc. ; le compte de Realizer est hébergé au centre de données canadien de HubSpot, à Montréal), pour gérer les abonnements, les renouvellements, la facturation et le soutien.

• Pour chaque client : le nom de l'organisation et son identifiant de locataire AccessPoint, ainsi qu'une transaction pour chaque abonnement — le canal (place de marché commerciale de Microsoft ou AccessPoint hébergé), le forfait, son étape (essai, payant, interrompu ou perdu) et sa valeur (en dollars américains pour la place de marché, en dollars canadiens pour AccessPoint hébergé).
• L'adresse courriel d'une personne seulement lorsqu'il est démontré qu'elle appartient à l'organisation. Pour un abonnement acheté par la place de marché commerciale de Microsoft : l'adresse de l'acheteur, seulement si l'achat a été fait avec un compte professionnel ou scolaire de l'organisation Microsoft du client — jamais un compte Microsoft personnel, et jamais un partenaire qui achète pour le client —, et la personne-ressource du compte confirmée (article 5.8) seulement si elle appartient au domaine de cette même organisation. Une adresse d'un domaine de courriel public ou d'un fournisseur d'accès Internet n'est jamais transmise, et ne sert jamais à nommer ni à associer une entreprise. Seule l'adresse est transmise — ni nom ni autre détail.
• Les clients d'AccessPoint hébergé sont consignés sans aucune personne-ressource — seulement l'organisation et sa transaction. La personne qui s'inscrit ne donne à Realizer qu'une adresse, et rien ne prouve qu'elle appartient à l'organisation plutôt qu'à cette personne. Lorsque Realizer supprime ses dossiers d'une organisation hébergée supprimée (article 5.9.3), l'entreprise correspondante est supprimée de HubSpot (HubSpot efface définitivement un enregistrement supprimé après 90 jours) si c'est Realizer qui l'a créée pour elle ; une entreprise que Realizer a associée à une organisation figurant déjà dans ses dossiers, ou qui a été fusionnée avec une autre, est conservée, et seul l'identifiant de l'organisation en est retiré. Dans les deux cas, ses transactions conservent leur forfait, leur étape et leur valeur, sans son nom.
• Jamais transmis : les données des dossiers, les renseignements sur les demandeurs, les documents, tout ce qui est saisi dans AccessPoint, les membres d'une organisation hébergée, ni le sommaire d'activité ou l'attribution de l'inscription d'une organisation hébergée.
• Nous n'envoyons pas de courriels de marketing à partir de ces dossiers, et nous ne les vendons ni ne les communiquons. Pour savoir ce que HubSpot détient à votre sujet, ou pour le faire retirer, écrivez à privacy@realizer.io.

Dossiers de facturation et de revenus. Pour ses rapports de revenus et sa comptabilité, Realizer importe de l'Espace partenaires les commandes et les revenus de la place de marché Microsoft, avec le nom de l'entreprise cliente — jamais le nom ni l'adresse courriel d'une personne — et, pour AccessPoint hébergé, les factures payées, les notes de crédit et les versements de Stripe, lus au moyen d'une clé en lecture seule, en ne conservant que les identifiants, les statuts, les dates et les montants de Stripe — jamais un nom, une adresse, une adresse courriel ou un numéro de taxe. Des écritures mensuelles sommaires des revenus, des frais et des taxes sont inscrites dans le système comptable de Realizer, QuickBooks Online — des totaux seulement, aucun renseignement personnel.

La console d'administration (admin.realizer.io) est l'outil interne de Realizer pour consulter ces dossiers. Seuls les comptes du personnel de Realizer peuvent s'y connecter, avec authentification multifacteur ; les adresses courriel sont masquées dans ses listes ; et chaque action est consignée dans une piste de vérification en ajout seulement, avec la personne qui a agi, ce qu'elle a fait, pourquoi, et l'enregistrement avant et après. Cette piste de vérification n'est jamais modifiée : elle constitue la preuve, pour Realizer, de ce qu'a fait son propre personnel, elle ne contient aucune adresse courriel des gens d'un client, et une entrée concernant une action sur une organisation peut encore nommer cette organisation après la suppression des autres dossiers de Realizer à son sujet.

6. Données que nous ne recueillons PAS

Pour l'édition Microsoft 365, Realizer ne recueille pas, ne stocke pas et n'a pas accès aux éléments suivants :

• Le contenu ou les détails des demandes d'accès, des évaluations, des incidents, des plaintes ou des risques
• Les renseignements personnels des demandeurs (noms, adresses, coordonnées)
• Les documents, les enregistrements, les transcriptions, les caviardages ou les trousses de réponse
• Les documents saisis au moyen des connecteurs de dépôts, les termes de recherche des connecteurs ou les en-têtes d'attribution transmis à un connecteur
• Les requêtes envoyées à l'IA, les résultats de l'IA, les index de recherche ou les journaux d'activité de l'IA
• Le comportement de navigation des utilisateurs ou les renseignements sur leurs appareils (remarque : l'instance Application Insights du client recueille de la télémétrie opérationnelle dans son propre abonnement Azure — Realizer n'a pas accès à ces données)
• Les témoins ou les identifiants du stockage local
• Les données de localisation
• Les statistiques d'utilisation ou la télémétrie sur l'utilisation des fonctionnalités de l'Application

Pour AccessPoint hébergé, Realizer détient les données des dossiers, les documents et les renseignements sur les demandeurs de l'organisation pour le compte de celle-ci (article 5.9) et ne les utilise que pour fournir, sécuriser et soutenir le service : rien de cela ne va dans les dossiers clients de Realizer (HubSpot), dans sa facturation ou sa comptabilité, ni dans un outil de statistiques, et les pages du service hébergé ne chargent aucun script de statistiques ou de publicité. Ce que Realizer reçoit pour ses propres dossiers au sujet d'une organisation hébergée, c'est la fiche de l'organisation et un sommaire de nombres et de dates (articles 5.9.3 et 5.9.4). Les statistiques d'utilisation de la démo de marketing (article 5.11) sont les seules statistiques que Realizer recueille autour d'AccessPoint.

7. Stockage et sécurité des données

7.1 Données du client (Application)

• Stockées dans l'abonnement Azure du client (Azure SQL Database, stockage Blob Azure et — lorsqu'ils sont déployés — les services Azure facultatifs décrits à l'article 4.6)
• Chiffrées au repos au moyen de clés de chiffrement gérées par Microsoft ; les clients peuvent plutôt utiliser leurs propres clés, conservées dans leur propre Azure Key Vault, pour le compte de stockage des documents (un paramètre de déploiement) et pour la base de données (chiffrement transparent des données avec une clé gérée par le client)
• Chiffrées en transit au moyen de TLS 1.3 (App Service) et de TLS 1.2 ou plus (Azure SQL, stockage Blob) ; le compte de stockage n'accepte que HTTPS et bloque l'accès public aux blobs
• Accès contrôlé par les politiques Entra ID et RBAC Azure du client ; l'accès à la base de données utilise uniquement l'authentification Entra au moyen d'une identité managée (aucun identifiant SQL n'existe), l'accès par clé partagée au stockage Blob est désactivé, et chaque service facultatif désactive l'authentification locale — il n'existe aucune clé d'une ressource AccessPoint qui puisse fuir
• Les secrets stockés — les identifiants des connecteurs et des fournisseurs de paiement et la clé privée qui déchiffre les adresses courriel des demandeurs reçues par le portail public — sont chiffrés avec les clés Data Protection de l'application, et chacune de ces clés est elle-même chiffrée avec une clé conservée dans un Azure Key Vault de l'abonnement du client (déployé par défaut ; le coffre est protégé contre la purge, et seule l'identité de l'application peut utiliser la clé)
• Le stockage Blob conserve la version précédente de chaque fichier écrasé ou supprimé et supprime de façon réversible les fichiers et les versions supprimés pendant 30 jours, de sorte qu'un écrasement ou une suppression accidentels restent récupérables par le client pendant au moins 30 jours. Les versions précédentes sont retirées automatiquement 30 jours après leur création, et les copies supprimées de façon réversible sont retirées définitivement 30 jours après leur suppression (conservation des dossiers supprimés : article 9.1)
• Renforcement facultatif au déploiement : Microsoft Defender for SQL avec évaluation des vulnérabilités (activé par défaut ; les constats sont stockés dans un compte de stockage dédié de l'abonnement du client), analyse antivirus de Microsoft Defender for Storage (article 4.6.5), isolement de la base de données, du stockage et du coffre de clés dans un réseau virtuel privé (deployNetworkIsolation) — au moyen de points de terminaison de service, ou de points de terminaison privés avec l'accès réseau public des services désactivé, y compris les services d'IA (networkIsolationMode) —, un conteneur de preuves à écriture unique avec une politique d'immuabilité fondée sur le temps (deployEvidenceWormContainer, sept ans par défaut) pour les trousses de preuves exportées et les ancrages du registre d'audit, supprimés automatiquement une semaine après cette période à moins que le client ne choisisse de les conserver (deleteEvidenceAfterRetention), et une identité de base de données au privilège minimal pour l'application, qui ne peut ni modifier ni supprimer les lignes du registre d'audit ou du journal des purges (sqlLeastPrivilegeRuntime)
• Chaque écriture est consignée dans l'historique d'audit et dans un registre d'audit chaîné par hachage dont le schéma de vérification est versionné, afin que les chaînes historiques demeurent vérifiables ; la plus récente entrée de la chaîne est consignée à l'extérieur de la base de données au moins une fois par jour (dans l'Application Insights du client et, lorsqu'il est déployé, dans le conteneur de preuves à écriture unique), de sorte qu'une chaîne réécrite est détectée lors de la vérification
• Realizer n'a aucun accès permanent aux ressources Azure du client

7.2 Données de la Plateforme (Realizer)

• Hébergées sur l'infrastructure Azure au Canada
• Chiffrées au repos et en transit
• Accès limité au personnel autorisé de Realizer, dont les comptes sont protégés par authentification multifacteur
• AccessPoint hébergé stocke les données de chaque organisation dans l'abonnement Azure de Realizer, dans la région Canada Central, avec les mesures de protection de l'article 7.1 qui s'appliquent à un service : chiffrement au repos et en transit, accès à la base de données uniquement par Entra au moyen d'une identité au privilège minimal, sécurité au niveau des lignes de SQL Server entre les organisations, stockage sans clés partagées, Key Vault, un registre d'audit pour chaque organisation, Microsoft Defender for SQL en production et journaux de requêtes Web conservés 30 jours (article 5.9)
• Le Training Lab stocke ses données dans sa propre base de données Azure SQL et son propre stockage privé, dans la région Canada Central (article 5.10)
• Pour l'édition Microsoft 365, aucune donnée de dossier d'un client n'est stockée sur l'infrastructure de Realizer — aucune demande, évaluation, incident, plainte, risque, renseignement sur les demandeurs, document, enregistrement, transcription, requête envoyée à l'IA ni index de recherche. Les coordonnées limitées que détient Realizer sont celles qu'énumère l'article 5 : les adresses courriel de l'acheteur et du bénéficiaire que fournit la place de marché commerciale de Microsoft à l'activation d'un abonnement, l'identifiant d'objet Entra d'un administrateur qui installe un pack de juridiction, les identifiants figurant dans les journaux de transit du relais Teams (article 5.2) et la personne-ressource du compte tirée des adresses de la place de marché (article 5.8), qui est aussi consignée dans le système de gestion de la relation client de Realizer

7.3 Données du Site Web

• Les soumissions du formulaire de contact sont stockées de façon sécurisée sur l'infrastructure Microsoft Azure hébergée au Canada
• Chiffrées au repos et en transit
• Les courriels de résultats d'un outil (article 3.1) ne sont pas conservés : seule l'empreinte à sens unique de l'adresse est gardée, en mémoire, pendant 24 heures

8. Communication de données à des tiers

Realizer ne vend, ne loue ni ne communique les données de ses clients à des tiers.

Les services tiers qui interviennent dans le traitement des données sont les suivants :

8.1 API Microsoft Graph

AccessPoint lit et écrit des données Microsoft 365 au moyen de Microsoft Graph, en vertu de trois ensembles d'autorisations. Tous les appels Graph sont faits à partir du locataire du client (par le navigateur de l'utilisateur connecté ou par l'API du client), sauf le relais des activités Teams décrit à l'article 5.2.

Autorisations d'application de l'identité managée de l'App Service du client — accordées par l'administrateur au moyen de la page Terminer la configuration ou de Deploy-AccessPoint.ps1 ; utilisées par l'API du client sans utilisateur connecté :

Autorisation	Finalité	Ce qui est lu ou transmis
Mail.Send	Envoyer des courriels au nom des boîtes aux lettres qu'AccessPoint est configuré pour utiliser : les notifications, les codes de vérification du portail et les bulletins de sécurité à partir de la boîte d'envoi partagée configurée ; la correspondance et les accusés de réception automatiques à partir de la boîte choisie pour la lettre — la boîte du responsable qui l'envoie (par défaut), une boîte de réception que le client a inscrite ou la boîte d'envoi partagée	Le contenu des messages, de la propre boîte aux lettres du client au destinataire, par l'intermédiaire de l'Exchange Online du client — jamais par Realizer. N'accorde aucun accès en lecture : l'API ne peut ouvrir, lister ni fouiller aucune boîte aux lettres. S'applique à tout le locataire tant que le client ne la restreint pas, au moyen d'une politique d'accès des applications Exchange, à un groupe contenant les boîtes aux lettres au nom desquelles AccessPoint envoie des courriels
User.ReadBasic.All	Vérifier que la boîte aux lettres partagée existe ; déterminer les destinataires des notifications	Les champs de base du profil (nom, adresse courriel) seulement ; aucun contenu de boîte aux lettres
TeamsAppInstallation.ReadForUser.All	Vérifier si l'application Teams d'AccessPoint est installée pour un destinataire avant d'envoyer une notification Teams	La liste des applications installées du destinataire, filtrée pour AccessPoint
Application.Read.All	Validation de la configuration Teams — confirmer que le consentement a été donné à l'application de Realizer dans le locataire	Métadonnées du principal de service ; lecture seule
AppCatalog.Read.All	Validation de la configuration Teams — confirmer que l'application Teams d'AccessPoint figure dans le catalogue de l'organisation	Métadonnées du catalogue ; lecture seule
AiEnterpriseInteraction.Read.All	Saisie « Ajouter à partir de Microsoft 365 → Copilot » (article 4.5)	L'historique des interactions Copilot de l'utilisateur connecté lui-même — l'API limite toujours l'appel à l'identifiant d'objet de cet utilisateur. Accordée par défaut ; refus possible à la configuration (-DisableCopilotCapture, ou la case à cocher de la page Terminer la configuration)
User.Read.All	Rapprochement avec l'annuaire (balayage nocturne des comptes d'utilisateur désactivés ou supprimés)	L'état du compte (accountEnabled) des utilisateurs d'AccessPoint et les identifiants de la corbeille des utilisateurs supprimés — jamais les courriels, les fichiers ni le contenu des messages. Accordée par défaut ; refus possible à la configuration (-DisableDirectoryReconciliation, ou la case à cocher de la page Terminer la configuration)
GroupMember.Read.All	Rôles fondés sur des groupes — déterminer si un utilisateur d'AccessPoint qui se connecte appartient à un groupe Entra qu'un administrateur a lié à un rôle	L'appartenance des utilisateurs d'AccessPoint aux seuls groupes liés à des rôles AccessPoint (checkMemberGroups, avec User.ReadBasic.All) — jamais l'annuaire des groupes du locataire, les listes de membres d'autres groupes, les courriels, les fichiers ni le contenu des messages. Accordée par défaut, avec la même possibilité de refus que User.Read.All
TeamsActivity.Send (facultative)	Seulement si le client adopte le mode relais direct (article 5.2)	Les notifications d'activités Teams envoyées par l'identité propre au client

L'identité managée détient aussi le rôle License.Validate, qui n'est pas une autorisation Graph, sur l'application de Realizer (article 5.1). Dans une installation à locataires distincts (article 5.1), ces autorisations et ce rôle sont plutôt détenus par l'application Microsoft 365 de l'installation, dans le locataire Microsoft 365 du client, qui se connecte sans secret au moyen d'une identité managée attribuée par l'utilisateur dans l'abonnement du client ; les autorisations et leurs finalités sont les mêmes.

Autorisations déléguées demandées par le paquet SharePoint — approuvées par un administrateur SharePoint ; exercées dans le navigateur de l'utilisateur connecté avec la propre identité de l'utilisateur, de sorte que l'utilisateur ne peut jamais lire plus que ce qu'il peut déjà lire dans Microsoft 365 :

Autorisation	Finalité
User.Read.All	Sélecteur de personnes, recherche et identification des utilisateurs
Sites.Read.All	Navigation dans les sites SharePoint et saisie de listes
Files.Read.All	Navigation dans les fichiers et saisie à partir des sites et de OneDrive
Mail.Read	Saisie et aperçu de courriels de la boîte aux lettres de l'utilisateur
Mail.Read.Shared	Saisie de courriels des boîtes partagées et de réception auxquelles l'utilisateur a déjà accès
Calendars.Read	Saisie du calendrier (article 4.5)
Calendars.Read.Shared	Saisie du calendrier des boîtes aux lettres partagées
Chat.Read	Saisie des conversations Teams
ChannelMessage.Read.All	Saisie des messages de canal Teams
Team.ReadBasic.All, Channel.ReadBasic.All	Liste des équipes et des canaux de l'utilisateur pour la saisie
Notes.Read, Notes.Read.All	Saisie OneNote
OnlineMeetingRecording.Read.All	Liste et téléchargement des enregistrements des réunions organisées par l'utilisateur (article 4.5)
OnlineMeetingTranscript.Read.All	Téléchargement de la transcription Teams de ces réunions
OnlineMeetings.Read	Lecture des métadonnées des réunions nécessaires pour lister les enregistrements
GroupMember.Read.All	Le sélecteur de groupes qu'utilise un administrateur pour lier un groupe Entra à un rôle AccessPoint
access_as_user (application de Realizer)	Le public du jeton pour les appels à l'API du client et au point de terminaison de découverte de l'adresse de l'API (article 5.3) ; il ne s'agit pas d'une autorisation Graph

L'application multilocataire de Realizer — consentie par l'administrateur du client ; exploitée par Realizer pour le seul relais Teams :

Autorisation	Finalité
TeamsActivity.Send	Envoyer des notifications du fil d'activités Teams au nom d'AccessPoint (article 5.2). Ne permet pas de lire les messages Teams, les canaux ni aucune autre donnée du locataire
AppCatalog.Read.All	Obtenir l'identifiant de catalogue de l'application Teams pour que la notification porte l'icône d'AccessPoint ; lecture seule
User.Read	Portée de connexion de base

8.2 API de la Plateforme de Realizer

Utilisée pour valider l'abonnement, relayer les notifications Teams, découvrir l'adresse de l'API, router l'onglet Teams, terminer la configuration, servir la page d'installation du paquet SharePoint et télécharger les packs de juridiction — chacun de ces usages étant décrit à l'article 5 avec les données exactes transmises — et, pour AccessPoint hébergé, comme plan de contrôle qui inscrit les organisations, émet leurs licences et tient à jour leurs forfaits et l'état de leur facturation (article 5.9.3).

8.3 Microsoft Azure (services facultatifs)

Azure OpenAI, Azure AI Search, Azure AI Document Intelligence, Azure AI Speech, Microsoft Defender for Storage, Azure Container Apps et Application Insights — lorsque le client choisit de les déployer, il s'agit de ressources Azure dans le propre abonnement Azure du client, aux termes de l'entente du client avec Microsoft ; le contenu des documents et des dossiers qu'elles traitent ne quitte pas l'environnement Azure du client et n'est jamais transmis à Realizer (voir l'article 4.6).

8.4 Autres

Pour l'édition Microsoft 365, aucune donnée n'est transmise à un autre service tiers, sauf une exception choisie par le client : lorsqu'un client active les paiements en ligne, le fournisseur de paiement avec lequel il fait affaire reçoit les détails de paiement décrits à l'article 4.9. La conversion des documents, le caviardage et le rendu des PDF s'exécutent entièrement dans l'abonnement Azure du client : le moteur de documents propre à AccessPoint dans l'App Service, et le service de conversion des documents dans Container App (une file à l'entrée, un blob à la sortie, aucun accès réseau nécessaire pour le contenu) — aucun contenu de document n'est transmis à l'extérieur. La visionneuse de documents est servie, avec toutes ses ressources, par l'App Service du client ; rien n'est chargé à partir d'un réseau de diffusion de contenu tiers. Les modèles de détection des visages et de suivi de zones utilisés pour le caviardage vidéo sont livrés avec l'application et n'appellent aucun service externe. Les seules autres connexions sortantes de l'Application sont la récupération des images des courriels décrite à l'article 4.3, le téléchargement des éléments et des images décrit à l'article 5.6, et le chargement des pages d'aide de Realizer par le navigateur de l'utilisateur (article 5.6).

8.5 Les fournisseurs de services de Realizer (sous-traitants ultérieurs)

Pour AccessPoint hébergé, le Training Lab, la Plateforme et ses propres dossiers, Realizer fait appel aux fournisseurs de services suivants :

Fournisseur	Pour	Ce qu'il traite	Où
Microsoft (Azure, Entra ID, Azure Communication Services, Azure Front Door, Application Insights, Azure Container Apps, Microsoft Defender for Storage, Azure AI Document Intelligence, Azure AI Search, Azure AI Speech, Azure OpenAI)	L'hébergement d'AccessPoint hébergé, de son point d'entrée (app.realizer.io), du Training Lab, de la Plateforme et de la démo ; la connexion Microsoft ; le courriel ; les services d'IA d'AccessPoint hébergé ; la rédaction par l'IA du Lab	Toutes les données d'AccessPoint hébergé et celles du Lab ; les connexions ; les destinataires et le contenu des courriels ; le texte que transmet une fonction d'IA	Canada Central, avec les sauvegardes et les fichiers stockés d'AccessPoint hébergé géorépliqués dans Canada East (données de Communication Services stockées au Canada ; rédaction par l'IA du Lab dans Canada East). Les modèles Azure OpenAI d'AccessPoint hébergé sont des déploiements mondiaux (Global) : pour une organisation dont l'Administrateur les a autorisés, Microsoft peut traiter les requêtes et les réponses dans n'importe laquelle de ses régions Azure (article 5.9.11). La connexion Entra ID et Front Door sont des services mondiaux
Microsoft 365 (le propre locataire de Realizer)	Les avis de sécurité et la correspondance (article 5.8)	L'adresse de la personne-ressource du compte et les avis qui lui sont envoyés	Canada
Stripe	La facturation des forfaits payants d'AccessPoint hébergé (article 5.9.7)	Le nom de l'organisation, son identifiant dans le service hébergé et une adresse courriel de facturation (l'adresse et le nom sont retirés 90 jours après la suppression de l'organisation ; ses factures et ses paiements restent chez Stripe, selon les règles de conservation de Stripe) ; la carte, l'adresse de facturation et le numéro de taxe saisis sur la page de Stripe ; la devise de facturation ; les lots achetés	Les territoires de Stripe
HubSpot, Inc.	Les dossiers clients de Realizer (article 5.12)	Entreprises et transactions ; une adresse dont il est démontré qu'elle appartient à l'organisation, pour les clients de la place de marché Microsoft seulement	Le centre de données canadien de HubSpot (Montréal)
Intuit (QuickBooks Online)	La comptabilité de Realizer (article 5.12)	Des écritures mensuelles sommaires — des totaux, aucun renseignement personnel	Les territoires d'Intuit
Google (Google Analytics)	Les statistiques d'utilisation de la démo de marketing lors des visites directes (article 5.11)	Des clés d'événement fixes et les témoins de Google sur demo.realizer.io, avec les détails que porte toute requête Web	Les territoires de Google

Le déploiement de l'édition Microsoft 365 par le client n'en utilise aucun, sauf Microsoft, aux termes de la propre entente du client (articles 4.6 et 8.3).

9. Conservation et suppression des données

9.1 Données du client

La conservation des données est entièrement contrôlée par le client :

• Les administrateurs configurent une période de conservation par type de demande, type d'évaluation, type d'incident, type de plainte, catégorie de risque (pour les risques autonomes) et type d'objet du programme de protection de la vie privée — la période d'un objet du programme court à partir du jour où il est retiré. Un type sans période conserve ses dossiers indéfiniment — un locataire qui ne configure rien ne purge rien.
• L'examen de la conservation intégré liste les dossiers échus des cinq registres de dossiers et les objets du programme retirés, retient tout dossier encore nécessaire à un dossier ouvert (une demande ou une plainte liée encore ouverte, ou un risque actif) en indiquant le motif, vérifie de nouveau l'admissibilité au moment de la purge, et supprime le dossier avec chaque ligne, document, PDF converti, version dérivée, entrée d'index de recherche et blob qui en dépend — quel que soit le niveau de stockage vers lequel les fichiers ont été déplacés (article 4.10).
• Un dossier faisant l'objet d'une mise en suspens pour conservation n'est jamais purgé, supprimé, allégé, éliminé ni archivé tant que chaque mise en suspens n'a pas été levée (article 4.10).
• Une purge ne laisse qu'une entrée dans le journal des purges de conservation (numéro du dossier, type, date) comme preuve que le dossier a existé. Ce journal n'est lui-même jamais purgé. Le journal de disposition des documents éliminés en vertu d'une politique de stockage (article 4.10) n'est jamais purgé non plus ; lorsque son dossier est purgé ou supprimé, le nom des documents y est effacé et seuls les empreintes, les tailles et les dates demeurent.
• Les fichiers des enquêtes de découverte sont retirés 12 mois après la clôture de l'enquête par défaut (article 4.11) ; les réponses restent avec l'enquête jusqu'à sa suppression.
• La copie de formation (article 4.12) perd tous ses dossiers de formation à chaque actualisation (chaque semaine par défaut) ou réinitialisation, et chacun peut retirer les dossiers de formation qu'il a commencés. La progression de la formation, les assignations terminées et les exercices d'équipe terminés sont conservés 90 jours par défaut (de 30 à 365) ; les dossiers de formation d'une personne sont retirés lorsqu'elle quitte l'organisation ; Retirer toutes les données de formation supprime toute la copie de formation.
• Les fiches de contact des demandeurs peuvent être anonymisées ou purgées indépendamment de leurs demandes.
• Lorsqu'un dossier est purgé ou supprimé, ses fichiers sont supprimés avec leurs versions précédentes (le stockage Blob conserve une version de chaque fichier qu'il écrase ou supprime). Lorsque le déploiement permet à l'application de supprimer les versions (le comportement par défaut), elles sont supprimées au moment de la purge ; sinon, la politique de cycle de vie du stockage les supprime lorsqu'elles ont 30 jours. Les fichiers et les versions supprimés demeurent ensuite récupérables par le client pendant 30 jours grâce à la suppression réversible du stockage Blob, puis sont retirés définitivement — au total, dans un délai d'environ 30 jours après la purge, ou d'environ 60 jours lorsque la politique de cycle de vie retire les versions. Le journal des purges de conservation indique lequel des deux cas s'est appliqué. Un seul document supprimé d'un dossier conservé suit la voie du cycle de vie (dans un délai d'environ 60 jours). Les fichiers du conteneur de preuves facultatif à écriture unique ne peuvent pas être supprimés avant l'expiration de leur période d'immuabilité. Par la suite, une règle de cycle de vie du stockage supprime chacun d'eux, avec ses versions précédentes, sept jours après l'expiration de sa période (la suppression réversible du stockage Blob le conserve alors 30 jours de plus), à moins que le client n'ait désactivé cette règle au déploiement (deleteEvidenceAfterRetention=false) parce que son calendrier de conservation garde les preuves plus longtemps — rien ne les supprime alors, et le client les retire lorsque son calendrier le permet. Une purge de conservation n'atteint jamais ce conteneur.
• Les entrées du journal d'activité de l'IA, l'historique d'audit et le registre d'audit sont conservés jusqu'à ce que le client les retire ; ils ne contiennent aucun contenu de document. Le registre d'audit conserve l'empreinte de l'adresse courriel des événements du portail public, avec un pseudonyme de l'adresse IP du demandeur dont la clé est détruite après 30 jours et le réseau auquel appartient l'adresse — et non l'adresse elle-même (article 4.9 ; les entrées écrites avant le 2 octobre 2026 conservent l'adresse, parce qu'une entrée du registre ne peut pas être modifiée) —, et rien de cela n'est retiré lorsqu'un dossier est purgé.
• L'historique des conversations Ask AccessPoint est privé à l'utilisateur qui les a eues et peut être supprimé par cet utilisateur en tout temps. Une conversation portant sur un dossier est supprimée lorsque le dossier est purgé ou supprimé ; une conversation ne portant sur aucun dossier est supprimée après une période d'inactivité fixée dans Paramètres → Fonctionnalités → AI Assist (365 jours par défaut ; 0 la conserve jusqu'à ce que son utilisateur la supprime).
• La suppression des ressources Azure (SQL Database, stockage Blob et tout service facultatif) détruit définitivement toutes les données.
• Realizer ne peut pas récupérer les données d'un client après leur suppression, puisqu'elle n'en détient aucune copie.

9.2 Données de la Plateforme

• Fiches de licence : conservées pendant la durée de l'abonnement, plus 90 jours.
• Fiches d'abonnement, y compris les adresses courriel de l'acheteur et du bénéficiaire fournies à l'activation et la personne-ressource du compte qui en est tirée (article 5.8) : conservées selon le même calendrier que les fiches de licence.
• Les journaux opérationnels des points de terminaison de la Plateforme décrits à l'article 5, y compris le relais Teams (identifiants de locataire et métadonnées des requêtes, jamais de contenu) : conservés 90 jours dans l'espace de travail Log Analytics de Realizer au Canada, puis supprimés automatiquement.
• Fiches d'installation des packs de juridiction : conservées avec la fiche d'abonnement du locataire, selon le même calendrier que les fiches de licence.
• Enregistrements des avis de sécurité que nous avons envoyés — identifiant de l'avis, adresse du destinataire, heure et résultat de la livraison (article 5.8) : conservés 24 mois, afin que nous puissions démontrer qui nous avons avisé et quand. Lorsque les fiches d'un abonnement sont supprimées, l'adresse figurant dans ces enregistrements est masquée plutôt que l'enregistrement retiré, de sorte que la preuve que nous avons avisé votre organisation subsiste sans que l'adresse soit conservée. La législation canadienne sur la protection des renseignements personnels exige qu'une organisation tienne un registre de toute atteinte aux mesures de sécurité pendant 24 mois, et les clients assujettis aux règles québécoises sur le registre des incidents peuvent avoir à nous interroger au sujet d'un incident pendant une période allant jusqu'à cinq ans.
• Les personnes-ressources de sécurité, de protection de la vie privée et d'exploitation configurées dans AccessPoint ne sont pas des données de la Plateforme : elles sont stockées dans le propre locataire du client, comme toute autre configuration, et relèvent de l'article 4.4 et des décisions de conservation propres au client.
• Pour l'édition Microsoft 365, aucune donnée de dossier d'un client n'est conservée sur la Plateforme.
• AccessPoint hébergé (article 5.9) : les données d'une organisation sont conservées tant que l'organisation existe, selon ses propres paramètres de conservation (article 9.1). Une organisation dont l'abonnement est interrompu est conservée, en lecture seule. Une organisation inactive au forfait Gratuit peut être purgée après les avertissements prévus à l'article 5.9.8, et une organisation qui quitte le service est supprimée une fois qu'une exportation complète en a été consignée. Un téléchargement de toutes les données d'une organisation est supprimé après 14 jours. Journaux de requêtes Web et télémétrie : 30 jours. Les lignes supprimées disparaissent des sauvegardes de restauration à un instant dans le passé de la base de données à mesure que celles-ci arrivent à échéance. La fiche de l'organisation tenue par le plan de contrôle (son nom, le nom et l'adresse de la personne qui l'a créée, son forfait, l'état de sa facturation et l'attribution de son inscription) suit les fiches d'abonnement ci-dessus : l'abonnement d'une organisation hébergée prend fin lorsque le service supprime l'organisation — une interruption ou le forfait Gratuit n'y mettent pas fin —, et 90 jours plus tard, Realizer supprime ou anonymise ses dossiers de l'organisation comme le décrit l'article 5.9.3, en conservant un enregistrement de la suppression (une empreinte à sens unique de l'identifiant de l'organisation, les dates et les nombres). Le sommaire d'activité est remplacé par chaque nouveau sommaire ; après la suppression, il ne conserve que ses nombres et ses dates, sous un identifiant interne. Les nombres de sessions actives des régions (article 5.9.4) sont conservés huit jours.
• Le Training Lab (article 5.10) : les données des apprenants, 30 jours après la clôture d'un cours (de 7 à 90 jours, au choix du fournisseur) ; les certificats de réussite, jusqu'à ce que le fournisseur les supprime ou quitte le Lab ; les données d'un fournisseur sont supprimées lorsqu'il quitte le Lab ; les sauvegardes conservent les lignes supprimées pendant 7 jours de plus.
• La démo de marketing (article 5.11) : la démo elle-même ne conserve rien ; ses données Google Analytics sont conservées selon les paramètres Google Analytics du site Web.
• Les dossiers clients de Realizer (article 5.12) : les enregistrements HubSpot suivent les fiches d'abonnement ci-dessus (pour une organisation hébergée : l'entreprise que Realizer a créée pour elle est supprimée — ou, pour une organisation associée à une entreprise existante, l'identifiant de l'organisation en est retiré — et ses transactions sont conservées sans son nom, 90 jours après la suppression de l'organisation) ; les données importées de facturation et de la place de marché sont conservées comme registres comptables de Realizer et ne contiennent ni le nom ni l'adresse d'aucune personne.

9.3 Données du Site Web

Les soumissions du formulaire de contact et les demandes de démo sont conservées pendant la durée de la relation d'affaires. Vous pouvez en demander la suppression en tout temps. D'un courriel de résultats, rien n'est conservé, sauf cette empreinte, pendant 24 heures (article 3.1).

10. Droits des personnes concernées

10.1 Pour les utilisateurs finaux de l'Application

Les demandes relatives aux renseignements personnels traités dans AccessPoint (accès, rectification, suppression, portabilité) doivent être adressées à l'organisation cliente qui a déployé AccessPoint, puisqu'elle est le responsable du traitement.

10.2 Pour les organisations clientes

À titre de responsables du traitement, les clients peuvent :

• Exporter chaque registre — y compris les fiches de contact des demandeurs, l'activité des dossiers, les relevés de caviardage et un inventaire complet des documents stockés avec leurs chemins de stockage et leurs empreintes — à partir de Paramètres → Exportation, et copier les fichiers sous-jacents directement à partir de leur propre compte de stockage.
• Exporter ou supprimer en tout temps toute donnée de leur base de données Azure SQL et de leur stockage Blob.
• Utiliser la fonction d'examen de la conservation pour gérer le cycle de vie des données.
• Mettre hors service l'ensemble de l'environnement en supprimant leurs ressources Azure.

10.3 Pour les visiteurs du Site Web et les données de la Plateforme

Vous avez le droit :

• de demander l'accès à vos renseignements personnels ;
• de demander la rectification ou la suppression de vos données ;
• de retirer en tout temps votre consentement aux communications ;
• de déposer une plainte auprès d'une autorité de protection des données.

Pour exercer ces droits, ou pour demander l'accès aux données limitées que traite Realizer (identifiant du locataire, fiches de licence, adresses de l'abonnement et de la personne-ressource du compte, fiches d'installation des packs), leur rectification ou leur suppression, écrivez à privacy@realizer.io.

Si votre adresse professionnelle est celle de la personne-ressource du compte d'un abonnement (article 5.8) et que vous préférez qu'elle ne le soit pas, dites-le-nous et nous la remplacerons par l'adresse que désignera votre organisation — nous demanderons d'abord à l'organisation de désigner une adresse de remplacement, parce qu'un abonnement sans personne-ressource joignable ne peut pas être avisé d'un incident de sécurité.

10.4 Pour AccessPoint hébergé, le Training Lab et la démo

• Les membres d'une organisation hébergée, ainsi que les demandeurs et les autres personnes dont elle détient des renseignements, doivent s'adresser à cette organisation, qui est le responsable du traitement ; Realizer l'aide à répondre. Ses Administrateurs peuvent télécharger toutes ses données en tout temps (article 5.9.8).
• Les apprenants du Training Lab doivent s'adresser au fournisseur de formation qui a donné le cours ; le fournisseur peut supprimer sur-le-champ les données des apprenants d'un cours, ou un certificat.
• Les visiteurs de la démo peuvent refuser les statistiques dans l'avis, utiliser ?ga=off ou utiliser l'outil de refus de Google.
• Toute personne dont Realizer détient l'adresse dans HubSpot ou à titre de personne-ressource du compte peut écrire à privacy@realizer.io.

11. Transferts internationaux de données

• Les données du client restent dans la région Azure choisie par le client au déploiement. Aucun transfert transfrontalier n'a lieu, à moins que le client ne configure un stockage géoredondant. Deux services facultatifs méritent l'attention : le type de déploiement par défaut d'Azure OpenAI, Global standard, conserve les données au repos dans la région du compte, mais permet à Microsoft d'effectuer l'inférence dans d'autres régions Microsoft (choisissez Data zone standard pour la limiter à la zone de données de l'UE ou des États-Unis), et, à partir de la version 2.6.0, un nouveau compte Azure OpenAI est placé dans une région de la même zone géographique lorsque la région du client n'offre pas les modèles recommandés par Realizer (article 4.6.1) ; et Azure AI Document Intelligence peut être provisionné dans la région prise en charge la plus proche lorsque la région du client ne l'offre pas (article 4.6.3). Le service de traitement des médias et les ressources Speech, Search, Defender et de télémétrie sont provisionnés dans la région du client.
• Les données de la Plateforme (identifiant du locataire, métadonnées des notifications, métadonnées de routage et de configuration) sont traitées sur l'infrastructure Azure de Realizer au Canada. Les fiches de compte que Realizer tient dans son système de gestion de la relation client (article 5.8) sont détenues par HubSpot, Inc., dans son centre de données canadien (Montréal). Les éléments logiciels et l'image de conteneur sont servis à partir de points de terminaison de distribution exploités par Realizer. Les clients de l'UE ou d'autres territoires devraient s'assurer que cela est compatible avec leurs exigences en matière de transfert de données ; le mode relais direct (article 5.2) et la copie des images de conteneur (articles 4.6.6 et 4.6.7) éliminent les deux flux récurrents à l'exécution.
• AccessPoint hébergé stocke les données de toutes les organisations au Canada (Azure Canada Central ; données de Communication Services au Canada). La connexion de Microsoft et Azure Front Door sont des services mondiaux, et Stripe traite la facturation dans ses propres territoires (article 8.5).
• Le Training Lab stocke ses données dans la région Canada Central.
• Les statistiques de la démo de marketing sont traitées par Google dans ses propres territoires.
• Les données du Site Web sont traitées sur l'infrastructure Azure au Canada.

12. Protection des renseignements personnels des enfants

AccessPoint est une application d'entreprise. Elle ne s'adresse pas aux enfants et ne recueille pas sciemment de renseignements personnels auprès d'enfants de moins de 16 ans. Il en va de même du Training Lab, destiné à la formation professionnelle, et de la démo.

13. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique de confidentialité de temps à autre. Les modifications importantes seront communiquées par les moyens suivants :

• la mise à jour de la « date d'entrée en vigueur » en tête du présent document ;
• un avis sur le site Web de Realizer ;
• un avis aux clients actifs par courriel.

14. Pour nous joindre

Pour toute question sur la présente politique de confidentialité ou sur les pratiques d'AccessPoint en matière de données :

Realizer Services Inc. Courriel : privacy@realizer.io Site Web : realizer.io/fr/privacy

15. Historique des modifications

• 14 novembre 2026 — AccessPoint 2.6.0 et AccessPoint hébergé sont sortis : les révisions du 3 au 10 novembre 2026 ci-dessous sont en vigueur. Rien d'autre ne change : aucune nouvelle donnée n'est recueillie.
• 12 novembre 2026 (ce site Web) — Ajout de l'envoi par courriel des résultats d'un outil (article 3.1) et des noms de boutons et de pages que portent les liens vers l'inscription et la page de déploiement (article 3.2).
• 10 novembre 2026 (ce site Web) — Mise en concordance de la présente page avec les révisions de la politique du produit du 3 au 10 novembre 2026 (les entrées qui suivent), qui ajoutent AccessPoint hébergé (article 5.9), l'AccessPoint Training Lab (article 5.10), la démo de marketing (article 5.11), les dossiers clients et la console d'administration de Realizer (article 5.12), AccessPoint Learning (article 4.13) et les fournisseurs de services de Realizer (article 8.5), avec ce qu'ils signifient pour le stockage, la conservation, les droits et les transferts (articles 7.2, 9.2, 10.4 et 11) ; ces parties prennent effet à la sortie de la version 2.6.0. L'article 3.2 indique désormais aussi comment la démo est comptée : ouverte directement à demo.realizer.io, elle utilise la même propriété Google Analytics et les mêmes choix de consentement que ce site et ne compte que l'utilisation anonyme de ses écrans, jamais rien de ce qui y est saisi ; dans les pages de ce site, c'est ce site qui la compte.
• 10 novembre 2026 (version 2.6.0, en vigueur à sa sortie) — AccessPoint hébergé : l'allocation du forfait Gratuit appartient à l'organisation Microsoft (ou au compte Microsoft personnel), et ses organisations la partagent ; le plan de contrôle de Realizer tient cette allocation partagée — son année et, pour chaque demande ou évaluation prise, le type, le numéro, la date et l'organisation qui l'a prise, des nombres et des dates seulement ; une organisation n'apprend que ce qui reste, la part d'une organisation supprimée cesse de la nommer quatre-vingt-dix jours après la suppression, et l'allocation est supprimée lorsqu'il ne reste plus aucune organisation de l'organisation Microsoft et que sa dernière année a pris fin (article 5.9.3).
• 9 novembre 2026, deuxième révision (version 2.6.0, en vigueur à sa sortie) — AccessPoint hébergé : app.realizer.io est désormais le point d'entrée du service, où les personnes s'inscrivent et se connectent avant d'être dirigées vers leur région, avec le témoin __Host-ap-region (articles 5.9.1 et 5.9.2) ; AI Assist s'exécute sur les déploiements mondiaux (Global) d'Azure OpenAI, désactivé pour chaque organisation tant que son Administrateur ne l'a pas autorisé, la reconnaissance de texte, la recherche et la transcription s'effectuant dans la région Canada Central (articles 5.9.1, 5.9.10 et 5.9.11) ; facturation dans la devise du pays de facturation et lots au lieu de la facturation à l'utilisation (article 5.9.7) ; les nombres de sessions actives des régions pour la planification de la maintenance — deux nombres par région toutes les cinq minutes, conservés huit jours (articles 5, 5.9.4 et 9.2) ; le tableau des fournisseurs de services (article 8.5).
• 9 novembre 2026 (version 2.6.0, en vigueur à sa sortie) — La région canadienne d'AccessPoint hébergé a sa propre adresse, ca.app.realizer.io ; app.realizer.io y redirige chaque visite et ne stocke rien (article 5.9.1). L'endroit où les données sont conservées ne change pas.
• 7 novembre 2026 (version 2.6.0, en vigueur à sa sortie) — Ajout d'AccessPoint hébergé (app.realizer.io), où Realizer héberge les données d'une organisation au Canada à titre de sous-traitant : où se trouvent les données, la connexion et les membres, la fiche de l'organisation chez Realizer, le sommaire d'activité composé de nombres et de dates (données d'exploitation du service), le courriel par Azure Communication Services avec des budgets et une adresse de réponse confirmée, l'attribution de l'inscription, la facturation par Stripe, l'essai, le forfait Gratuit, la purge des organisations inactives au forfait Gratuit, Télécharger toutes les données de votre organisation, le départ, l'accès de Realizer et ses sous-traitants ultérieurs (articles 1, 2, 4, 5.7, 5.9, 6, 7.2, 8.2, 8.5, 9.2, 10.4 et 11), et la durée pendant laquelle Realizer conserve ses propres dossiers d'une organisation hébergée : 90 jours après la suppression de l'organisation par le service, Realizer les supprime ou les anonymise, en conservant une empreinte à sens unique de son identifiant avec les dates et les nombres ; son entreprise dans HubSpot est supprimée, et Stripe conserve ses factures sans l'adresse courriel ni le nom du client (articles 5.9.3, 5.9.7, 5.12, 8.5 et 9.2). Réécriture de ce que contiennent les dossiers clients de Realizer dans HubSpot : l'adresse d'une personne seulement lorsqu'il est démontré qu'elle appartient à l'organisation, et aucune pour les clients d'AccessPoint hébergé (articles 5.8 et 5.12). Ajout de l'AccessPoint Training Lab (article 5.10), de la démo de marketing et de ses statistiques (article 5.11), des dossiers de facturation et de comptabilité de Realizer et de sa console d'administration (article 5.12), et d'une liste des fournisseurs de services de Realizer (article 8.5). Un abonnement interrompu fait désormais passer AccessPoint en lecture seule au lieu de l'arrêter (article 5.1). Les personnes simulées du mode Lab, et l'interdiction des téléversements dans la copie de formation tant que la licence est en lecture seule (article 4.12). Les fichiers téléversés dans AccessPoint hébergé font l'objet d'une analyse antivirus, et ses conversions, enregistrements et vérifications d'accessibilité s'exécutent dans Azure Container Apps, dans le même abonnement et la même région, à compter du déploiement qui les ajoute (article 5.9.1). L'édition Microsoft 365 ne transmet rien de nouveau à Realizer. Mise à jour de l'endroit où peut être placé le compte d'IA de l'édition Microsoft 365 (articles 4.6.1 et 11) et de ce que disent les articles 5.10 et 11 au sujet de la rédaction par l'IA du Training Lab (8 novembre 2026).
• 3 novembre 2026 (version 2.6.0, en vigueur à sa sortie) — Utilisation des noms de la version 2.6.0 : mode Lab (anciennement mode formation), la bibliothèque Lab et les parcours d'apprentissage (article 4.12) ; description de l'AccessPoint Training Lab, à learn.realizer.io, comme un service distinct avec lequel l'Application ne communique jamais (article 4.12) ; et ajout d'AccessPoint Learning — ce qu'il consigne au sujet du personnel, qui le voit et combien de temps c'est conservé (nouvel article 4.13).
• 23 octobre 2026 — Correction de la ligne Mail.Send de l'article 8.1, qui ne mentionnait que les courriels de notification envoyés à partir de la boîte partagée. L'autorisation sert aussi à envoyer, à partir de cette boîte, les codes de vérification du portail et les bulletins de sécurité, et, à partir de la boîte choisie pour la lettre, la correspondance et les accusés de réception automatiques : la boîte du responsable qui l'envoie, une boîte de réception inscrite ou la boîte d'envoi partagée. Elle n'accorde aucun accès en lecture, et un client peut la limiter, au moyen d'une politique d'accès des applications Exchange, aux boîtes aux lettres au nom desquelles AccessPoint envoie des courriels. Aucune nouvelle donnée n'est recueillie, et rien n'est transmis à Realizer.
• 5 octobre 2026 (page d'état) — Les événements de service sont publiés sur la page d'état publique de Realizer, à https://www.realizer.io/status, servie par le site Web de Realizer séparément de la Plateforme ; comme la page et le fil des bulletins, elle n'exige ni compte ni adresse courriel et ne charge aucun script tiers (article 5.8).
• 5 octobre 2026 (version 2.5.0) — Description des nouvelles données de la version 2.5.0 : l'archivage des dossiers — niveaux de stockage dans le propre compte de stockage du client, entretien, mises en suspens pour conservation, disposition et journal de disposition, qui n'est jamais purgé (nouvel article 4.10 ; articles 4.2, 4.3 et 9.1) ; les enquêtes de découverte — réponses du personnel, fichiers joints, langue des réponses, traduction automatique des questions du client, et retrait des fichiers d'une enquête 12 mois après sa clôture par défaut (nouvel article 4.11 ; articles 4.6.1 et 9.1) ; et le mode formation — la copie de formation de l'organisation, avec des dossiers fictifs sous un identifiant de locataire distinct, ce qui n'en sort jamais, les relevés de progression conservés au sujet du personnel et leur durée de conservation (nouvel article 4.12 ; articles 4.6.1, 5.2 et 9.1). Ajout aux données des dossiers des dossiers de validation des évaluations (avis, décisions, évaluations de sections, consultations d'un organisme de réglementation), des personnes-ressources des audits de la protection de la vie privée et des dossiers du programme de protection de la vie privée (article 4.2) ; de la conservation des objets du programme aux règles de conservation (article 9.1) ; des modules visés par la licence signée (article 5.1) ; de l'identité sans clé d'une installation à locataires distincts, qui valide la licence et détient les autorisations Microsoft Graph à la place de l'identité managée (articles 5.1 et 8.1) ; de l'autorisation déléguée GroupMember.Read.All que demande le paquet SharePoint pour le sélecteur de groupes des rôles (article 8.1) ; de la page d'installation du paquet SharePoint parmi les services de la Plateforme (articles 5.4, 5.7 et 8.2 — une page facultative utilisée une fois par nouvelle installation, qui reçoit l'identifiant du locataire, le nom SharePoint et la version, mais jamais de jeton) ; et des clés gérées par le client pour la base de données (article 7.1). À part cette page, la version 2.5.0 ne transmet aucune nouvelle donnée à Realizer.
• 2 octobre 2026 (mises à jour du paquet SharePoint) — L'API télécharge désormais un paquet SharePoint depuis get.realizer.io pendant son exécution, mais seulement lorsqu'un administrateur choisit Mettre à jour maintenant, Réinstaller une version antérieure ou Soumettre de nouveau les demandes d'autorisation dans Paramètres → Configuration, pour le vérifier avant que le navigateur de l'administrateur l'installe ; la requête ne contient que le fichier et la version, et rien d'autre ne quitte le locataire (articles 5.6 et 5.7). La vérification des autorisations Microsoft 365 en attente d'approbation s'exécute dans le navigateur de l'utilisateur et ne transmet rien nulle part.
• 2 octobre 2026 — Corrections apportées d'après le produit tel qu'il est construit (version 2.4.0) : les transcriptions suivent désormais l'enregistrement, le nom des locuteurs étant masqué pour les utilisateurs qui n'ont pas l'autorisation d'accéder aux renseignements personnels des demandeurs (articles 4.6.4 et 4.7) ; la détection des visages est activée par défaut partout où des enregistrements sont utilisés et s'exécute dans le service de traitement des médias lorsqu'il est déployé (article 4.6.6) ; la conversion des fichiers Office est effectuée par le service de conversion des documents, qui est déployé par défaut et extrait son image du registre de Realizer (nouvel article 4.6.7, articles 5.6 et 5.7) ; le relais Teams ne consigne que l'identifiant du locataire, et les journaux opérationnels de la Plateforme sont conservés 90 jours, et non 30 comme il était indiqué auparavant (articles 5.2 et 9.2) ; le conteneur de preuves contient les trousses de preuves et les ancrages du registre d'audit (et non les originaux de caviardage), et rien ne les supprime après leur période (articles 7.1 et 9.1) ; le paragraphe sur les courriels indique désormais clairement que le pixel espion d'un expéditeur enregistre la récupération de l'image lors de la conversion (article 4.3). Ajout du portail public et des paiements en ligne (nouvel article 4.9 : ce que fournit un demandeur, le code envoyé par courriel, les deux témoins, la conservation des adresses IP, les transmissions, la salle de lecture et ce que reçoit chaque fournisseur de paiement), des pages d'aide dans l'application chargées à partir du site Web de Realizer (article 5.6), du système de gestion de la relation client de Realizer (HubSpot, hébergé au Canada) pour la gestion des comptes (articles 5.8, 7.2 et 11), précision que le propre locataire Microsoft 365 de Realizer, à partir duquel les avis de sécurité sont envoyés, est hébergé dans la région Canada Central (article 5.8), et de ce qu'une purge conserve (article 9.1). Plus tard le même jour, avec les modifications du modèle de déploiement de cette date : les fichiers du conteneur de preuves sont désormais supprimés automatiquement une semaine après leur période d'immuabilité, à moins que le client ne les conserve (articles 7.1 et 9.1 — ce qui remplace « rien ne les supprime après leur période » ci-dessus) ; l'espace de travail Log Analytics reçoit désormais aussi par défaut les journaux de ressources Azure, y compris les journaux de requêtes Web et de Front Door avec les adresses IP des clients et les journaux d'accès au stockage, et sa durée de conservation est un paramètre de déploiement (logRetentionDays, de 30 à 730 jours) plutôt qu'une valeur par défaut d'un module (article 4.6.8) ; et l'isolement réseau peut utiliser des points de terminaison privés avec l'accès réseau public désactivé (article 7.1). Toujours plus tard ce jour-là, après une modification du produit : le registre d'audit ne consigne plus l'adresse IP d'un demandeur du portail — les nouvelles entrées contiennent plutôt un pseudonyme produit à l'aide d'une clé et le réseau, tandis que les entrées déjà écrites la conservent (articles 4.9 et 9.1) — et les conversations Ask AccessPoint sont désormais supprimées avec le dossier sur lequel elles portent et, lorsqu'elles ne portent sur aucun dossier, après une période d'inactivité configurable (365 jours par défaut) (articles 4.6.1 et 9.1).
• 27 septembre 2026 — Précision que Realizer utilise aussi des enregistrements qu'elle détient déjà — les validations de licence (article 5.1) et les fiches d'installation des packs de juridiction (article 5.5) — pour savoir si un déploiement est configuré et à jour, pour soutenir le client et pour compter les juridictions dans lesquelles ses clients travaillent. Aucune nouvelle donnée n'est recueillie : l'Application ne transmet rien qu'elle ne transmettait déjà, les flux de routage de l'onglet Teams et de la page Terminer la configuration ne stockent toujours rien (article 5.4), et aucun renseignement sur l'utilisation ou par utilisateur n'est consigné. L'article 5.1 nomme aussi désormais ce que la fiche du locataire conservait déjà de la validation de la licence : le moment de la première et de la plus récente validation, et la version déclarée lors de la plus récente.
• 15 septembre 2026 (deuxième révision) — Description de la personne-ressource du compte que Realizer a toujours détenue sans jamais la décrire : l'adresse courriel du bénéficiaire (ou de l'acheteur) de l'abonnement que fournit la place de marché commerciale de Microsoft à l'activation, son utilisation, la raison pour laquelle il devrait s'agir d'une boîte aux lettres de fonction surveillée, la façon de la modifier et sa durée de conservation (nouvel article 5.8, avec une ligne dans le sommaire de l'article 5.7 et dans la liste des durées de conservation de l'article 9.2). Description de la boîte aux lettres partagée de Realizer qui envoie les avis de sécurité, de ce qu'un avis authentique ne demandera jamais, ainsi que du fil des bulletins et de la page d'état, qui peuvent être suivis sans donner d'adresse à Realizer. Confirmation de la limite fixée à l'article 5.1 : les personnes-ressources de sécurité, de protection de la vie privée et d'exploitation configurées dans AccessPoint restent dans le locataire du client et ne sont pas transmises à Realizer ; la validation de la licence ne transmet toujours aucun renseignement personnel. Correction de deux autres énoncés d'après le code tel qu'il est construit : le journal de livraison des avis ne contient aucune adresse courriel (l'article 5.8 indiquait auparavant qu'il consignait l'adresse), et l'article 5.8 décrit désormais les métadonnées de vérification conservées à côté de l'adresse, y compris le nom de connexion de la personne qui a activé l'abonnement lorsque la connexion à la place de marché est utilisée. Correction de l'article 7.2, qui indiquait qu'aucun renseignement personnel n'était stocké sur l'infrastructure de Realizer : aucune donnée de dossier d'un client ne l'est, mais les adresses de l'acheteur et du bénéficiaire de la place de marché, les identifiants des administrateurs qui installent des packs et les identifiants de transit du relais Teams décrits à l'article 5 l'ont toujours été, et l'article 9.2 le précise désormais.
• 15 septembre 2026 — Correction de la conservation des fichiers supprimés (articles 7.1 et 9.1) : avec la gestion des versions du stockage Blob activée, un fichier supprimé était conservé comme version précédente, que la suppression réversible ne retire pas ; les purges suppriment désormais les versions précédentes (ou la politique de cycle de vie du stockage les retire 30 jours après leur création), de sorte que le contenu purgé est retiré définitivement dans un délai d'environ 30 jours, ou d'environ 60 jours lorsque la politique de cycle de vie s'applique. Description du Key Vault qui chiffre les clés Data Protection de l'application, de l'ancrage externe du registre d'audit et de l'identité de base de données facultative au privilège minimal (article 7.1).
• 10 septembre 2026 — Ajout de l'article 4.8 sur les documents saisis au moyen des connecteurs de dépôts (hôtes de connecteurs exploités par le client, en-têtes d'attribution que porte chaque appel — identifiant d'objet et nom d'utilisateur principal de l'utilisateur qui agit, numéro du dossier, objet de l'appel, identifiants de groupes sur demande —, saisie côté serveur avec provenance SHA-256, et absence de Realizer dans ce flux) ; ajout des paquets de connecteurs à la distribution du logiciel ; ajout de la ligne des connecteurs au tableau sommaire et à la liste des données que Realizer ne recueille pas.
• 3 septembre 2026 — Ajout d'un inventaire complet des autorisations Microsoft Graph (d'application, déléguées et de l'application de Realizer) avec la finalité de chacune ; description de chaque source de saisie Microsoft 365 et du jeton qu'elle utilise, y compris la nouvelle saisie des enregistrements et des transcriptions des réunions Teams ; élargissement de l'article sur les services Azure facultatifs pour couvrir Azure OpenAI (y compris le déploiement premium et la note sur la résidence selon le type de déploiement), Azure AI Search, la ROC de Document Intelligence, la transcription d'Azure AI Speech, Microsoft Defender for Storage, le service de traitement des médias dans Container Apps et son image de conteneur, ainsi qu'Application Insights et Log Analytics, chacun avec son modèle d'identité, sa conservation, sa journalisation et sa désactivation ; précision de ce que consigne le journal d'activité de l'IA et des résultats de l'IA qui sont stockés comme données de dossier ; documentation de la liste des champs du relais Teams et des deux contrôles qui le réduisent ou l'éliminent ; ajout des flux de découverte de l'adresse de l'API, de routage de l'onglet Teams, de la page Terminer la configuration, des packs de juridiction et de la distribution du logiciel, avec un tableau sommaire de ce que reçoit Realizer ; description de la détection des visages et du suivi de zones dans le locataire ; mise à jour de l'article sur la conservation pour le moteur de conservation des cinq registres et le journal des purges ; et ajout de notes sur la résidence des données pour les services facultatifs.
• 22 juillet 2026 — Révision précédente.