Respirez mieux. Vivez plus intelligemment.

Version archivée · épinglée v2026-09-30

Politique de confidentialité

Version 2.1 · En vigueur le 30 septembre 2026 · Aerodyne Inc., faisant affaire sous le nom Terrestream

Cette politique explique quels renseignements personnels Terrestream recueille, pourquoi, à qui ils sont communiqués, leur durée de conservation ainsi que vos choix et droits. Un résumé en langage clair se trouve à terrestream.com/legal/summary. En cas de différence, la présente politique prévaut.

1. À propos de cette politique

1.1 Qui nous sommes

Terrestream est une marque d’Aerodyne Inc., une société du Delaware située au 8 The Green, Ste A, Dover, DE 19901, USA (« nous »). Nous sommes l’entreprise ou le responsable du traitement des renseignements décrits ici au sens des lois des États américains sur la vie privée, l’organisation responsable au sens des lois canadiennes et la personne exploitant une entreprise au sens du droit québécois.

1.2 Portée de cette politique

Cette politique couvre les renseignements recueillis par notre capteur de qualité de l’air (« capteur »), nos applications iPhone et Android, le tableau de bord app.terrestream.com, terrestream.com (boutique, assistance et portail de confidentialité compris), Terrestream Facilities (§14) et nos canaux d’assistance.

Elle ne couvre pas les services que vous connectez à Terrestream, comme Home Assistant ou une adresse de webhook, une fois qu’ils reçoivent les renseignements, ni les boutiques d’applications ou les partenaires de paiement que vous choisissez (§5.3). Leurs propres politiques s’appliquent. Lorsque nous traitons des renseignements sur un bâtiment pour une entreprise cliente, son avis de confidentialité et notre Entente de traitement des données s’appliquent.

1.3 Comment lire cette politique

Nous traitons tout renseignement concernant une personne identifiée ou identifiable comme un renseignement personnel, où que vous habitiez. Nous respectons les protections supplémentaires de votre droit local. Pour les renseignements personnels, cette politique prévaut sur nos Conditions d’utilisation en cas de conflit. Les « relevés » sont les mesures prises par vos capteurs.

2. Ce que nous recueillons

La section 9.1 présente les mêmes renseignements selon les catégories du droit californien.

2.1 Votre compte

Votre adresse courriel et votre mot de passe, conservé uniquement sous forme de hachage Argon2id.
Si vous utilisez la connexion Apple ou Google : l’identifiant du compte, l’adresse courriel (qui peut être une adresse relais Apple) et le nom qu’ils nous communiquent.
Vos réglages de langue, d’unités, de notifications et de vérification en deux étapes, si vous l’activez.
Les preuves de vos acceptations et consentements : document ou choix, version, heure et application ou site utilisé. Cela comprend votre confirmation d’avoir au moins 18 ans ou la confirmation du consentement parental pour un mineur invité admissible.
Les renseignements de sécurité de connexion : sessions, application ou navigateur de chacune, adresse IP et navigateur de chaque tentative de connexion en deux étapes.

2.2 Votre domicile et votre foyer

Les noms du domicile et des pièces, l’emplacement de chaque capteur (par exemple « chambre ») et les réglages du domicile.
Vos notes de journal et les actions déclarées dans l’application, comme « cuisine » ou « fenêtre ouverte ».
Family Circle : les adresses courriel des personnes invitées, leurs rôles et, pour les moins de 18 ans, une tranche d’âge (§12). Un cercle compte au plus six personnes, propriétaire compris.
Un journal des modifications dans le domicile, par exemple l’identité de la personne ayant ajouté une pièce.

2.3 Relevés et renseignements sur l’appareil

Lorsqu’il est connecté à notre nuage, votre capteur nous transmet environ toutes les 15 secondes :

des relevés : dioxyde de carbone (CO₂), particules PM1 à PM10 et comptages de particules, indices de COV et de NOx, température, humidité relative, pression atmosphérique et lumière;
des renseignements techniques : identifiant et numéros de série, versions matérielle et micrologicielle, état des capteurs, puissance Wi-Fi, durée de fonctionnement, motif du dernier redémarrage et réglages de luminosité, de langue et de fuseau horaire.

Pendant la configuration, vous transmettez vos renseignements Wi-Fi au capteur par Bluetooth (depuis l’application ou le tableau de bord) ou par son point d’accès de configuration. En fonctionnement normal, le capteur ne nous transmet ni le nom ni le mot de passe du réseau Wi-Fi; la mémoire de diagnostic d’un rapport de plantage peut toutefois contenir ces renseignements, comme expliqué ci-dessous.

Aucune collecte audio ou vidéo. Le service ne capte, ne nous transmet ni ne traite d’audio ou de vidéo provenant du capteur. Les mesures environnementales énumérées ci-dessus constituent les données reçues du capteur.

Rapports de plantage. Après un plantage, le capteur peut transmettre la version du micrologiciel, le motif du plantage et un rapport de diagnostic complet contenant les piles des tâches, les registres et le contenu mémoire associé. Ce contenu peut inclure des relevés, des identifiants ou des données d’authentification présents au moment du plantage. Le rapport ne copie pas toute la mémoire du capteur. Nous utilisons ces rapports pour rechercher et corriger les bogues, les chiffrons en transit et au repos, en limitons l’accès aux opérateurs autorisés et les supprimons après 90 jours. Le micrologiciel efface les tampons temporaires d’authentification et de transmission, sans garantir l’absence de renseignements personnels dans un rapport. En mode local uniquement, aucun rapport de plantage n’est envoyé à notre nuage.

Mises à jour et heure. Le capteur recherche les mises à jour sur nos serveurs et règle son horloge auprès de serveurs publics (pool.ntp.org, NIST et Google), qui voient l’adresse IP de votre réseau.

États de connexion (micrologiciel 4.1 et versions ultérieures) :

État	Ce qui quitte le capteur
Autonome (sans Wi-Fi)	Rien. Les relevés restent sur l’écran du capteur.
Connecté (par défaut après configuration Wi-Fi)	Les relevés et renseignements techniques sont transmis au nuage environ toutes les 15 secondes; des rapports de plantage et des vérifications de mise à jour peuvent aussi être transmis, comme indiqué ci-dessus.
Local uniquement (activé par la liaison Home Assistant)	Aucun relevé ni rapport de plantage n’est transmis au nuage. Le capteur transmet encore des vérifications signées de bon fonctionnement des mises à jour (identifiant, version du micrologiciel, identifiant de redémarrage et empreinte du micrologiciel installé), recherche les mises à jour et contacte les serveurs de temps.

Le mode local uniquement s’active exclusivement par la liaison Home Assistant; une réinitialisation d’usine réactive les envois au nuage. Si vous connectez le capteur à Home Assistant ou à un courtier MQTT, il leur transmet directement ses relevés sur votre réseau; nous ne les recevons pas. La liaison Home Assistant annonce le capteur sur le réseau (service _terrestream._tcp, avec son identifiant) et n’échange qu’avec les systèmes jumelés à l’aide d’un code affiché sur le capteur.

Capteurs non associés. Les relevés de capteurs sans propriétaire, notamment les appareils d’usine ou fraîchement réinitialisés, sont conservés au plus 24 heures, ne créent jamais d’historique et sont exclus de toutes les statistiques. Après le retrait d’un capteur d’un compte, nous cessons de conserver ses relevés jusqu’à sa nouvelle association.

2.4 Localisation et fuseau horaire

Localisation du domicile. Elle est facultative. Elle sert aux conditions extérieures et aux prévisions locales; nous la conservons arrondie à environ 1 km (deux décimales de latitude et de longitude). Nous notons sa source : téléphone, estimation par adresse IP confirmée par vous, ou saisie manuelle. L’estimation par IP utilise DB-IP sur nos propres serveurs, sans communiquer votre IP. Seuls le propriétaire et les copropriétaires voient les coordonnées.

Localisation du téléphone. Si vous la choisissez, l’application prend une seule mesure et l’arrondit à environ 1 km avant l’envoi ou l’utilisation du géocodeur de la plateforme. Les anciennes versions pouvaient envoyer une mesure plus précise, arrondie par nos serveurs avant conservation. Aucun suivi de localisation en arrière-plan.

Pour afficher un nom de lieu, l’application iPhone peut utiliser le géocodeur d’Apple et Android celui du téléphone. Les clients actuels ne leur transmettent que les coordonnées arrondies; ces fournisseurs peuvent les recevoir.

Fuseau horaire. Pour adapter les journées et horaires au domicile, nous utilisons, dans cet ordre : votre choix, la localisation du domicile, le réglage du capteur, le fuseau transmis à chaque requête par le téléphone ou navigateur, puis une estimation IP issue de la même base locale. Nous conservons la source, sans conserver l’IP à cette fin.

Données extérieures. Les fournisseurs météo et de qualité de l’air ne reçoivent jamais la localisation du domicile : uniquement le centre d’une maille de 11 à 55 km de largeur, commune à tous les utilisateurs de cette zone.

2.5 Analyses que nous produisons

Notre logiciel analyse les relevés pour produire l’Air Score, les tendances, des conditions du bâtiment (condensation ou risque de développement de moisissures) et des inférences concernant le foyer :

occupation apparente d’une pièce et habitudes quotidiennes;
domicile apparemment vide pendant un certain temps (absence ou vacances);
présence possible d’une personne endormie dans une chambre;
activités et sources probables, comme la cuisine, les produits de nettoyage, une douche ou une fenêtre ouverte (« aération »), avec les relevés à l’appui de chaque conclusion.

Ce sont des estimations. La lumière et le CO₂ ne prouvent pas à eux seuls la présence, le sommeil ou l’absence; l’« aération » est une tendance des relevés, non une mesure de fenêtre, de chauffage ou de climatisation.

Les vues distinctes sur la présence et les habitudes sont réservées au propriétaire et aux copropriétaires. Les alertes de qualité de l’air et leurs éléments détaillés restent visibles pour tous les membres du Family Circle. Ces éléments peuvent indiquer la cuisine, le nettoyage ou la présence et inclure des activités déclarées par un membre. Nous ne les utilisons jamais pour des décisions ayant des effets juridiques ou similaires importants (logement, crédit, assurance, emploi ou soins de santé), ni pour la publicité, et ne les vendons pas.

Analyse facultative des habitudes du foyer. L’analyse de présence et des habitudes récurrentes est activée par défaut hors Québec. Au Québec, ou si nous ne pouvons pas déterminer la région applicable au domicile, elle reste désactivée jusqu’à son activation explicite par un propriétaire ou copropriétaire. Un propriétaire ou copropriétaire peut activer ou désactiver ces deux fonctions dans le tableau de bord Web. Un réglage activé par défaut ne constitue pas une preuve de consentement exprès. Ce choix ne désactive ni les relevés environnementaux, ni les alertes de qualité de l’air, ni leurs éléments détaillés sur les activités et sources, qui restent accessibles à tous les membres comme indiqué ici. La désactivation ne supprime pas à elle seule les relevés conservés; les contrôles du compte et de conservation restent disponibles.

2.6 Achats et paiements

Commandes : nom, courriel, adresse de livraison, achats, montants, taxes, devise et état de la commande et de l’expédition. Stripe recueille les renseignements de paiement et calcule la taxe; nous ne voyons jamais le numéro complet de carte.
Devise : dollars américains ou canadiens, ou pesos mexicains, selon le pays que Cloudflare associe à votre IP, sauf choix de votre part.
Campagnes : les libellés du lien d’arrivée (comme utm_source) sont associés à la commande. Avec votre consentement à la mesure publicitaire, les identifiants transmis (§4.3) y sont aussi conservés, puis supprimés dans les 48 heures suivant l’envoi.
Livraison : votre nom et votre adresse sont transmis à EasyPost pour acheter une étiquette FedEx.
Pro, pour un abonnement existant ou là où il est offert : Stripe gère la carte et la facturation; nous conservons les identifiants Stripe du client et de l’abonnement, le forfait, l’état et les dates d’essai et de renouvellement.
Autres vendeurs : un vendeur tiers traite sa vente selon ses modalités et transmet les renseignements nécessaires à l’exécution de la commande.

2.7 Assistance et demandes

Nous joindre : nom, courriel, message et pièces fournies. Nos formulaires enregistrent aussi l’IP et le navigateur pour prévenir les abus. Les formulaires et l’assistant utilisent Cloudflare Turnstile pour vérifier le navigateur et bloquer les robots.
Demandes de confidentialité : courriel, type de demande, précisions et méthode de vérification.
Assistant : votre question (300 caractères au plus) et les articles trouvés sont transmis à un modèle de langage d’Anthropic pour rédiger la réponse. N’incluez pas de renseignements personnels. Nous ne conservons pas la question; la réponse est conservée jusqu’à 24 heures pour une question identique.

2.8 Renseignements recueillis automatiquement

Données techniques : IP, requête, heure et version de l’application ou du navigateur lorsque le capteur, l’application ou le navigateur nous contacte. Nos serveurs et Cloudflare les consignent pour la sécurité et le dépannage.
Jetons de notification, conservés chiffrés.
Vérification des applications : Firebase App Check de Google, avec App Attest d’Apple ou Google Play Integrity, confirme l’authenticité de l’application.
Activité : commentaires sur les analyses, notifications lues et notifications envoyées.
Mises à jour Android : l’application provient de notre site, non de Google Play; elle recherche une nouvelle version sur terrestream.com à l’ouverture.

Les applications n’intègrent aucun logiciel publicitaire ou analytique, n’utilisent pas l’identifiant publicitaire du téléphone et ne vous suivent pas entre les applications ou sites d’autres entreprises. Voir §4 pour le site Web.

2.9 Ce que nous ne recueillons pas

Nous ne recueillons pas de dossiers médicaux ni de données de santé issues d’accessoires portables et ne nous connectons pas aux moniteurs d’activité, applications de santé ou dispositifs médicaux. Les relevés environnementaux peuvent servir aux estimations de sommeil apparent, d’habitudes et de présence du §2.5; il ne s’agit pas de mesures ou conclusions médicales. Les relevés mesurent l’air du domicile; les déductions décrites ci-dessus peuvent concerner les activités du foyer. Nous ne sommes pas un prestataire de soins, et le capteur n’est pas un dispositif médical. Nous ne recueillons ni audio, images ou vidéos (le code QR de configuration est lu sur le téléphone sans nous envoyer l’image), ni contacts, photos, numéros d’identité gouvernementaux ou numéros complets de cartes de paiement.

3. Utilisation des renseignements

3.1 Finalités

Nous utilisons les renseignements personnels pour :

fournir Terrestream : relevés, historique, analyses, renseignements extérieurs, notifications et courriels choisis, Family Circle, intégrations et mises à jour;
gérer comptes et commandes : connexion, achats, livraison, abonnements, facturation et assistance;
protéger le service : connexion, authenticité des applications et capteurs, prévention de la fraude et des abus;
corriger et améliorer les produits, avec des données agrégées ou dépersonnalisées lorsque possible;
mesurer le site et, uniquement avec votre consentement, la publicité (§4);
remplir nos obligations : respect de la loi, demandes légales, registres fiscaux, demandes de confidentialité et application des conditions.

Nous demandons votre consentement avant toute nouvelle finalité qui l’exige.

Courriels. Nous envoyons des messages de service : vérification, sécurité, invitations Family Circle, commandes, livraisons et avis juridiques. Le bilan hebdomadaire reste désactivé sauf activation par vous. Nous n’envoyons pas de publicité par courriel; si cela change, nous demanderons d’abord votre consentement et donnerons suite aux désabonnements dans les 10 jours ouvrables.

3.2 Consultation humaine limitée

Le personnel ne consulte pas régulièrement les relevés ou analyses d’un domicile particulier. Le personnel autorisé ne les consulte que pour répondre à une demande d’assistance, enquêter sur un incident de sécurité ou un abus, répondre à une procédure légale, effectuer un audit ou avec votre permission.

3.3 Modèles de langage

Nous utilisons un modèle de langage uniquement pour l’assistant (§2.7). Lorsqu’un résumé régional d’actualités publiques est activé, il peut utiliser Anthropic ou OpenAI en secours avec du texte public plutôt que des données du foyer. Les cartes de découverte, le bilan Year in Air et les autres textes sont produits par notre logiciel à partir de modèles fixes. Nous n’entraînons aucun modèle de langage ou autre modèle d’apprentissage automatique sur vos renseignements personnels. Les conditions et politiques applicables du fournisseur régissent son traitement; aucune garantie de conservation zéro ou de non-entraînement propre au compte n’est affirmée sans vérification. La page Déclarations sur les modèles de langage énumère les modèles.

3.4 Données agrégées et dépersonnalisées

Nous pouvons combiner les données de plusieurs domiciles en statistiques qui ne peuvent raisonnablement être reliées à une personne, un foyer, un capteur ou un emplacement. Nous les utilisons pour améliorer les produits et pouvons les publier ou les communiquer à des chercheurs, sans jamais les vendre ni les concéder sous licence. Nous les maintenons sous forme dépersonnalisée, ne tentons pas de réidentifier les personnes et imposons la même règle aux destinataires.

4. Témoins, analyse et mesure publicitaire du site

4.1 Vos choix sur notre site

La mesure facultative sur terrestream.com reste désactivée jusqu’à votre choix. Un panneau propose trois choix distincts, sans présélection : analyse du site, mesure Pinterest, mesure Meta et Reddit. Vous pouvez les modifier par Vos choix de confidentialité, au bas de chaque page. Un signal Global Privacy Control (GPC) ou Do Not Track vaut refus de toute mesure facultative; notre serveur ignore alors les témoins de mesure au paiement.

Aucune mesure facultative ne fonctionne dans les applications ou le tableau de bord. La mesure publicitaire est limitée aux pages publiques; elle est absente des reçus, commandes, pages de contact, d’assistance ou de Facilities, et des articles de santé.

4.2 Analyse du site et journal des visites

Avec votre consentement à l’analyse :

Matomo, hébergé sur nos serveurs, enregistre les pages, la provenance (libellés de campagne compris), l’appareil, le navigateur et des actions comme le début d’un achat. Il ne pose aucun témoin. Il utilise l’IP complète pour estimer ville et région, puis masque deux octets avant de la conserver. La conservation des données brutes dépend des limites configurées et des besoins de mesure des visites et campagnes, d’examen des erreurs et de traitement des demandes de suppression applicables; nous n’affirmons pas ici une durée fixe vérifiée. Nous comparons parfois les résumés de visites (ville approximative, appareil, navigateur, campagne) aux coûts des plateformes publicitaires pour évaluer les campagnes; ces rapports ne contiennent aucune IP.
Google Analytics utilise les témoins _ga, avec Google signals et la personnalisation publicitaire désactivés. Le serveur signale aussi les achats avec votre identifiant de navigateur Analytics, même si le reçu ne se charge pas. Google traite et conserve ces données selon ses paramètres et politiques Analytics applicables; nous n’affirmons pas ici une durée fixe vérifiée.

Journal des visites. Si vous autorisez la mesure facultative et que la requête comporte une preuve valide de consentement à l’analyse, notre serveur peut consulter DB-IP localement. Il consigne date, page, catégorie de trafic (par exemple « trafic automatisé soupçonné »), localisation (pays, région, ville, coordonnées arrondies à environ 1 km), organisation, fournisseur Internet, numéro de réseau (ASN) et type de connexion associés à l’IP, mais pas l’IP elle-même. Ce journal sert à comprendre le trafic, filtrer les robots et connaître les régions et organisations qui nous visitent; il est conservé 13 mois. GPC ou DNT empêche cette journalisation facultative; le retrait du consentement empêche toute nouvelle collecte. Les visites sans preuve valide de consentement n’y sont pas consignées. Les journaux de sécurité essentiels sont distincts.

Contenu local. Certaines pages présentent les conditions extérieures près de vous à partir d’une estimation de ville par Cloudflare, fondée sur l’IP et non conservée par nous.

4.3 Mesure publicitaire facultative

Si vous activez la mesure Pinterest ou Meta et Reddit :

Pinterest reçoit visites, ajouts au panier et achats (valeur, devise, quantité) par une balise image. Il peut lire ses témoins pour relier l’activité à un compte Pinterest.
Meta et Reddit exécutent des scripts sur les pages de produits et de boutique, reçoivent visites, consultations, activité du panier, renseignements de navigateur et identifiants publicitaires, et posent _fbp, _fbc et _rdt_uuid.
Achats transmis par le serveur : si la mesure Meta ou Reddit est activée, notre serveur signale l’achat à leurs API de conversions : valeur, devise, quantité, identifiant anti-doublon et identifiants de navigateur Meta ou identifiant de clic Reddit (si vous venez d’une publicité Reddit). L’envoi exige un consentement dans les 30 jours précédant l’achat et se fait uniquement dans les 47 heures suivant celui-ci.

Nous ne leur transmettons jamais nom, courriel, téléphone, adresse postale, renseignements de paiement ou liens vers les reçus.

Puisque ces plateformes peuvent utiliser les renseignements pour leur publicité, la Californie considère cela comme un « partage » à des fins de publicité comportementale intercontextuelle; d’autres États peuvent y voir de la publicité ciblée. Cela exige votre consentement. Le retrait arrête les collectes futures sans rappeler les données déjà transmises; utilisez les outils de Meta, Reddit ou Pinterest pour demander leur suppression.

4.4 Témoins et stockage local

terrestream.com

Nom	Déposé par	Fonction	Durée	Consentement requis?
`csrf_token`	Terrestream	Protection contre la falsification de requêtes intersites	1 heure	Non, strictement nécessaire
`lang`	Terrestream	Langue choisie	1 an	Non, fonctionnel
`ts_currency`	Terrestream	Devise choisie; inaccessible aux scripts de page	1 an	Non, fonctionnel
`ts_theme`	Terrestream	Affichage clair ou sombre	1 an	Non, fonctionnel
`ts_attribution_v1`	Terrestream	Libellés `utm_*` reliant achat et campagne	30 jours	Oui, analyse du site
`ts_ga4_conversion_v1`	Terrestream	Identifiants Analytics de navigateur et de session pour les achats transmis par le serveur	30 jours	Oui, analyse du site
`_ga`, `_ga_<ID>`	Google	Google Analytics	Jusqu’à 13 mois	Oui, analyse du site
`ts_meta_conversion_v1`	Terrestream	Identifiants Meta et date du consentement pour les achats transmis par le serveur	30 jours	Oui, Meta et Reddit
`ts_reddit_conversion_v1`	Terrestream	Identifiant de clic Reddit et date du consentement	30 jours	Oui, Meta et Reddit
`_fbp`, `_fbc`	Meta	Mesure publicitaire Meta	Fixée par Meta (90 jours par défaut)	Oui, Meta et Reddit
`_rdt_uuid`	Reddit	Mesure publicitaire Reddit	Fixée par Reddit	Oui, Meta et Reddit
Témoins Pinterest (sur pinterest.com)	Pinterest	Rapprochement avec les comptes Pinterest	Fixée par Pinterest	Oui, Pinterest
Témoins Stripe (p. ex. `__stripe_mid`)	Stripe	Prévention de la fraude au paiement	Fixée par Stripe	Non, strictement nécessaire
Témoins Cloudflare (p. ex. `__cf_bm`)	Cloudflare	Distinction entre personnes et robots	Fixée par Cloudflare	Non, strictement nécessaire

Le stockage local conserve les trois choix (ts_ga4_consent, ts_pinterest_consent_v1, ts_meta_reddit_consent_v3) et, si Pinterest est autorisé, ts_pinterest_ts-purchase-<order> pour éviter de compter un achat deux fois. Ces entrées restent jusqu’à modification des choix ou effacement du stockage.

app.terrestream.com et connexion (tous strictement nécessaires)

Nom	Fonction	Durée
`ts_session`	Session connectée commune aux sites Terrestream	1 heure
`ts_refresh`	Maintien de la connexion	30 jours
`ts_2fa_challenge`	Connexion en deux étapes en cours	5 minutes
`__Secure-ts_home`, `ts_living_brief`	Session du tableau de bord	Session du navigateur; 8 heures
`csrf_token`	Protection des formulaires de connexion	1 heure
`ts_locale`, `ts_theme` (stockage local)	Langue et affichage	Jusqu’à effacement

Avis clients Google

Sur la page de confirmation d’une commande payée récente, Google peut proposer un sondage facultatif après la livraison. Pour afficher sa demande de participation, nous lui transmettons votre courriel de paiement, la référence de commande, le pays de livraison, la date de livraison estimée et l’identifiant du produit. Nous ne transmettons pas votre nom, votre adresse postale, vos renseignements de paiement ni les données du capteur dans ce cadre. Le module Google peut placer ou lire des témoins ou utiliser des technologies similaires. Google envoie le courriel de sondage seulement si vous acceptez dans sa fenêtre. Votre participation est facultative et n’a aucun effet sur votre commande. Nous ne chargeons pas le module si votre navigateur envoie Global Privacy Control ou Do Not Track. Vous pouvez gérer les témoins dans votre navigateur et exercer les choix de la section 8. Google traite ces renseignements selon sa politique de confidentialité.

5. Destinataires des renseignements

Nous ne communiquons les renseignements personnels que selon cette section.

5.1 Fournisseurs de services

Nous utilisons ces entreprises pour les services indiqués. Leurs conditions et rôles dépendent du service; les fournisseurs de paiement, d’authentification ou de sécurité peuvent aussi traiter des données à leurs propres fins légales ou de sécurité. Le traitement pour notre compte est soumis aux obligations applicables et, pour les données client visées, à la DPA. La liste à jour est à terrestream.com/legal/sub-processors. Pour les clients commerciaux, nous annonçons les nouveaux sous-traitants au moins 30 jours à l’avance, comme le prévoit l’Entente de traitement des données.

Fournisseur	Service	Renseignements concernés	Lieu
Vultr	Serveurs, bases de données, sauvegardes	Tous ceux de nos systèmes	États-Unis
Cloudflare	Réseau, sécurité, Turnstile, estimations de pays et ville par IP	IP et requêtes	Réseau mondial
Proton	Boîte d’assistance et de confidentialité	Courriels reçus, avis de commande	Suisse
Mailgun	Envoi de courriels	Adresses et contenu	États-Unis
Stripe	Paiements, taxes, prévention de la fraude	Nom, courriel, adresses, paiements, commandes	États-Unis et Union européenne
EasyPost (avec FedEx)	Étiquettes et livraison	Nom et adresse de livraison	États-Unis
Apple	Notifications (activités en direct comprises), connexion Apple, App Attest, fond Apple Maps sur iPhone	Jetons et contenu des notifications, identifiants de connexion, zone cartographique consultée	États-Unis
Google	Notifications Android (FCM), App Check et Installations, connexion Google, Analytics si autorisé	Jetons et contenu, identifiants d’instance et de connexion, analyses	États-Unis
Twilio	SMS Facilities	Téléphones mobiles et contenu	États-Unis
Anthropic	Modèle de l’assistant	Questions saisies	États-Unis

Certains services ne reçoivent aucun renseignement personnel : Google Air Quality et Pollen, Open-Meteo (Union européenne) et le National Weather Service américain ne reçoivent que le centre d’une maille. Les données NOAA et NASA sur la fumée et les incendies sont téléchargées sans envoyer de position. DB-IP fonctionne localement; nous ne lui transmettons rien.

Le décodeur du visualiseur de produit est servi depuis notre propre site.

5.2 Partenaires publicitaires, uniquement avec consentement

Meta, Reddit et Pinterest reçoivent les renseignements du §4.3 uniquement avec votre consentement. Ce sont des tiers, non nos fournisseurs de services; leurs propres politiques régissent leurs utilisations.

5.3 Partenaires de paiement choisis

Au paiement, vous pouvez choisir la carte ou un mode réellement affiché. La disponibilité dépend du fournisseur, de votre emplacement et de votre appareil. Le partenaire reçoit les détails de commande et les renseignements qu’il demande; ses conditions et sa politique s’appliquent. Les partenaires de paiement différé peuvent vérifier l’admissibilité. Les remboursements suivent le mode utilisé.

5.4 Personnes et services que vous choisissez

Family Circle : les membres voient pièces, relevés actuels et passés, alertes et analyses dans les limites des §2.4 et §2.5. Ils voient aussi les noms et courriels des membres, propriétaire compris, mais pas votre facturation.
Intégrations : connecter Home Assistant, MQTT ou un autre système, ou créer un webhook ou jeton API, nous donne instruction, à nous ou au capteur, d’envoyer les données à la destination choisie. Les conditions de ce service s’appliquent ensuite; il peut les combiner avec d’autres renseignements.
Organisations Facilities : voir §14.

5.5 Notifications et messages

Les notifications passent par Apple Push Notification service (iPhone et activités en direct) ou Firebase Cloud Messaging (Android). Elles peuvent contenir noms de pièces, état du domicile, texte d’alerte et certains relevés. Apple et Google reçoivent ce contenu pour le livrer; nous en conservons une copie dans l’historique. Les courriels passent par Mailgun; les alertes Facilities par Mailgun et Twilio aux employés inscrits (§14).

5.6 Motifs légaux, conseillers et transferts d’entreprise

Nous pouvons communiquer des renseignements :

si la loi ou une procédure légale valide l’exige;
pour protéger les droits, biens ou personnes, y compris les nôtres, ou appliquer nos conditions;
à nos avocats, comptables et auditeurs soumis à la confidentialité;
lors d’une fusion, acquisition, opération de financement, réorganisation ou vente totale ou partielle. Le destinataire doit respecter cette politique; nous avisons les personnes lorsque la loi l’exige.

5.7 Choix relatifs à la vente et au partage

Nous n’échangeons pas de renseignements personnels contre de l’argent; les communications publicitaires facultatives peuvent constituer une vente ou un partage selon le droit californien. Le seul partage publicitaire intercontextuel est la mesure facultative du §4.3, désactivée sans votre choix. Nous n’avons pas connaissance de vendre ou partager les renseignements d’une personne de moins de 16 ans. Nous ne communiquons rien à des tiers pour leur propre marketing direct.

6. Lieux de conservation

Les renseignements sont principalement conservés et traités aux États-Unis, chez Vultr. Proton traite en Suisse, Cloudflare sur son réseau mondial et Stripe aux États-Unis et dans l’Union européenne. Open-Meteo, dans l’Union européenne, ne reçoit que des coordonnées de mailles, jamais de renseignements personnels. Voir la liste des sous-traitants.

Les lois et autorités du pays de destination peuvent s’appliquer, notamment le Stored Communications Act et le CLOUD Act aux États-Unis. Nous protégeons les transferts par des contrats et les mesures du §13. Voir §10.3 pour le Canada et le Québec.

7. Durées de conservation

7.1 Calendrier

Nous ne conservons les renseignements que pour les finalités indiquées, puis les supprimons ou les dépersonnalisons. Une obligation de conservation ou de préservation juridique peut prolonger ces délais.

Renseignements	Durée
Profil, identités de connexion, réglages, vérification en deux étapes	Jusqu’à suppression du compte, volontaire ou pour inactivité (§7.3)
Messages bruts des capteurs	24 heures
Historique Free	90 jours
Historique Pro	Tant que vous avez Pro. Ensuite, l’historique ancien est conservé pour un retour éventuel, mais seuls les 90 derniers jours sont visibles; suppression avec le compte ou selon §7.3. Vous pouvez supprimer votre compte ou utiliser un contrôle explicite de conservation disponible; la règle de suppression pour inactivité s’applique aussi.
Analyses, historique Air Score, alertes, actions déclarées, activités et sources avec éléments à l’appui	Comme l’historique des relevés
Planification des prévisions et horaires	36 jours
Instantanés des prévisions extérieures pour les conseils de fenêtre	7 jours, au plus 2 048 par domicile
Historique et livraison des notifications	Jusqu’à 13 mois
Journal d’activité du foyer	400 jours
Notes de journal	Jusqu’à leur suppression ou celle du compte
Journaux d’automatisation et de webhooks	30 à 90 jours
Rapports de plantage	90 jours
Vérifications de bon fonctionnement des mises à jour	1 jour
Relevés des capteurs non associés	Au plus 24 heures
Jetons et codes courriel	Suppression 7 à 30 jours après expiration ou révocation
Tentatives de connexion en deux étapes, avec IP et navigateur	90 jours
Journal de sécurité du compte	24 mois; courriels pseudonymisés à la suppression
Consentements et acceptations	Durée du compte, puis 3 ans après retrait ou suppression, sous forme minimale pseudonymisée après suppression
Commandes, factures et registres fiscaux	7 ans
Identifiants publicitaires des commandes	Suppression dans les 48 heures après transmission
Demandes de contact, d’assistance et de confidentialité, IP et navigateur compris	24 mois
Courriels de la boîte d’assistance	Conservation nécessaire pour répondre à la demande, la documenter, traiter les suivis et respecter les obligations légales de tenue de dossiers, sous réserve des droits de suppression applicables.
Contacts d’alerte Facilities	Pendant l’inscription; après retrait, seulement une empreinte irréversible du numéro ou courriel pour respecter le refus, et la preuve de consentement
Copies du bilan hebdomadaire, si activé	Trois mois civils après la création (UTC; le dernier jour du mois plus court est utilisé au besoin). La copie conservée et le lien expirent alors; le contenu et l’empreinte du lien sont effacés au prochain nettoyage quotidien limité par lots. Seul un repère minimal du domicile, de la semaine et de la date de création reste jusqu’à la suppression du domicile, pour éviter une recréation ou un envoi en double. Cette expiration ne supprime ni les copies reçues par courriel ni les relevés sous-jacents.
Journal des visites Web	13 mois
Matomo, Google Analytics et témoins	§4.2 et §4.4
Journaux des serveurs et réseaux	API : 14 rotations quotidiennes des journaux applicatifs et 7 des requêtes lentes; marketing : 90 rotations quotidiennes; surveillance : 12 rotations hebdomadaires. Les journaux réseau/fournisseurs suivent les paramètres applicables et les besoins de sécurité. Les rotations ne garantissent pas la suppression à une heure exacte.
Données de l’organisation Facilities après le contrat	À la fin de la relation commerciale Facilities, nous consignons la date contractuelle de résiliation ou d’expiration; une suspension ou une pause de facturation ne déclenche pas à elle seule le délai de fermeture. Sans choix du client entre restitution et suppression, nous supprimons les données de l’organisation des systèmes actifs 90 jours après cette date. Cette règle par défaut vaut pour tous les clients Facilities, avec ou sans DPA. Un choix de restitution ou de suppression suit l’entente et les instructions applicables. Dossiers à conserver, préservation juridique, rotation des sauvegardes et confirmation de suppression achevée restent distincts. Comptes personnels et identités des appareils sont séparés; les données d’un autre propriétaire sont exclues. Une garde ambiguë ou une préservation juridique non résolue exige un examen, sans déclaration de suppression achevée. Après la livraison vérifiée d’une restitution choisie, nous supprimons la copie active au plus tard à la même échéance de 90 jours suivant la résiliation ou l’expiration contractuelle. Sans livraison vérifiée, le dossier est transmis au responsable plutôt que d’effacer l’unique copie non livrée. Les délais impératifs plus courts et les ententes déjà signées prévalent. Les dossiers obligatoires sont réservés à cette fin et supprimés lorsque ce motif prend fin.
Sauvegardes	Copies tournantes destinées à la restauration, non à l’usage courant du produit. La base marketing suit une rotation standard de 30 jours; les configurations API, une rotation locale de sept jours. Les bases gérées et sauvegardes des fournisseurs suivent leur politique de reprise applicable. D’anciennes copies peuvent être conservées pendant une transition de reprise vérifiée; la suppression du compte atteint les sauvegardes par rotation, sans réécriture immédiate.
Statistiques agrégées et dépersonnalisées	Les renseignements simplement dépersonnalisés restent protégés lorsque la loi les traite comme personnels. Nous les conservons uniquement pour les finalités et durées applicables indiquées. Seuls les renseignements satisfaisant à la norme juridique d’anonymisation applicable sont traités comme anonymes.

7.2 Suppression du compte

Vous pouvez supprimer votre compte dans les applications ou le tableau de bord. Avant confirmation, nous proposons une copie des données (§8.2). Accès et sessions prennent fin immédiatement. Nous supprimons ou anonymisons le compte, les domiciles sans autre membre actif, leurs relevés et analyses, vos appartenances Family Circle, jetons et historiques de notification, intégrations personnelles et secrets, et renseignements de localisation et de fuseau. La suppression ne transfère pas automatiquement la propriété du domicile partagé; les autres membres gardent leurs rôles existants. Nous cessons les notifications à votre intention. Les domiciles partagés et dossiers nécessaires aux autres membres peuvent être conservés. Les automatisations que vous avez créées restent des règles partagées du foyer, sans votre identité de créateur; nous cessons de recueillir les données extérieures des domiciles sans propriétaire ou copropriétaire actif. Nous demandons l’annulation de tout abonnement Pro actif, puis réessayons ou signalons les opérations externes inachevées jusqu’à confirmation. Vos capteurs deviennent non associés; leurs relevés ne sont plus conservés jusqu’à une nouvelle association.

Nous ne conservons que le nécessaire : commandes, paiements et fiscalité (7 ans), preuve minimale des consentements et acceptations, journal de sécurité pseudonymisé (jusqu’à 24 mois) et obligations légales. Les copies de sauvegarde disparaissent à l’expiration des sauvegardes. la rotation des sauvegardes décrite ci-dessus Certains traitements dépendants, comme la fermeture finale d’une activité sur le téléphone ou une annulation de facturation externe ayant échoué, peuvent exiger de nouvelles tentatives après la fin de l’accès. Nous réessayons les opérations externes de facturation et de livraison inachevées et signalons les échecs; elles ne sont pas déclarées achevées avant confirmation. Stripe conserve ses propres registres selon ses règles. Désinstaller une application ne supprime pas le compte.

7.3 Comptes inactifs

Le processus de suppression pour inactivité n’est pas activé actuellement. S’il est activé, nous appliquons ce préavis avant suppression : après 24 mois consécutifs sans connexion et sans relevés de vos capteurs, nous vous envoyons un courriel. Si aucune connexion ni reprise des relevés ne survient dans les 60 jours suivants, nous supprimons le compte selon §7.2. Une connexion ou la reprise des relevés empêche la suppression fondée sur cet avis; une période d’inactivité ultérieure exige un nouvel avis.

7.4 Personnes décédées

L’exécuteur testamentaire, l’administrateur successoral ou le conjoint survivant peut nous joindre au sujet du compte d’une personne décédée. Pour un titulaire de compte québécois décédé, nous traitons les demandes du représentant de la succession, d’un héritier, d’un bénéficiaire, du conjoint ou d’un proche selon les règles d’accès applicables, notamment les articles 30, 40.1 et 41 de la Loi sur la protection des renseignements personnels dans le secteur privé. Nous vérifions l’identité et l’autorité, protégeons les renseignements d’autrui et respectons les restrictions applicables et tout refus consigné. Les comptes ne sont pas automatiquement transmis aux héritiers.

8. Vos droits et choix

8.1 Vos droits

Selon votre lieu de résidence, vous disposez de tout ou partie des droits suivants. Nous les étendons à toute personne aux États-Unis, sans réduire les droits plus protecteurs de son État. Voir §10 pour le Canada et le Québec, §11 pour le Mexique.

Information et accès aux renseignements recueillis, utilisés et communiqués, avec copie.
Portabilité dans un format exploitable par machine.
Rectification des inexactitudes et suppression.
Refus de la vente, du partage et de la publicité ciblée. Aucune vente; la mesure publicitaire exige un consentement (§4.1).
Refus du profilage produisant des effets juridiques ou similaires importants; nous n’en faisons pas.
Limitation de l’utilisation des renseignements sensibles (§9.3) et retrait du consentement.
Appel d’une décision (§8.4).
Égalité de traitement : aucun refus de service, prix différent ou qualité réduite pour avoir exercé ces droits. Les différences Free/Pro ne constituent pas une discrimination.

8.2 Présenter une demande

En ligne : terrestream.com/privacy/data, sans compte requis. Le lien de confirmation envoyé par courriel est valide 24 heures.
Formulaire : terrestream.com/contact?dept=privacy.
Poste : Aerodyne Inc., Attn: Privacy Officer, 8 The Green, Ste A, Dover, DE 19901, USA.
Représentation : un agent autorisé ou représentant légal (parent, tuteur, mandataire) peut agir avec autorisation écrite. Nous pouvons demander une vérification directe de votre identité.

Copie des données. Choisissez « accès » ou « portabilité ». Après vérification, nous organisons la remise de votre exportation JSON à partir des coordonnées confirmées. Il couvre compte, réglages, consentements, domiciles, pièces, capteurs, appartenances Family Circle, notifications (jusqu’à 13 mois), analyses, événements, intégrations sans secrets, noms des jetons API, état de facturation et relevés horaires pour votre durée d’historique. Vous pouvez aussi télécharger votre exportation JSON depuis les paramètres du compte dans le tableau de bord Web.

8.3 Vérification, délais et frais

Nous vérifions votre identité avant d’agir, normalement par lien courriel. Une suppression ou une demande de renseignements précis peut exiger davantage, par exemple des détails connus du titulaire seul.

Nous accusons réception sous 10 jours ouvrables. Réponse sous 45 jours aux États-Unis (une prolongation motivée, au plus 45 jours) et sous 30 jours au Canada et au Québec. Les demandes sont gratuites, notamment deux accès par période de 12 mois. Pour des accès plus fréquents ou des demandes manifestement infondées ou excessives, nous pouvons facturer raisonnablement ou refuser, lorsque la loi le permet.

Chaque membre Family Circle peut agir pour lui-même; la demande du propriétaire ne couvre que ses propres renseignements. Les limites légales permettent de conserver le nécessaire aux obligations, à la lutte contre la fraude, à la sécurité, à une transaction demandée ou à des recours. Les données dépersonnalisées sont exclues, car nous ne pouvons les relier à vous.

8.4 Appels

Un refus total ou partiel est motivé. Répondez à notre décision ou utilisez le formulaire de confidentialité, objet « Appel relatif à la confidentialité ». Un dirigeant d’Aerodyne Inc. non impliqué dans la première décision réexamine et répond par écrit dans le délai légal (généralement 45 à 60 jours). Vous pouvez ensuite joindre le procureur général de votre État ou une autorité du §16.

8.5 Choix dans le produit

Localisation du domicile : facultative; la retirer arrête les renseignements extérieurs.
Notifications : choix dans l’application ou désactivation dans le téléphone; bilan hebdomadaire désactivé sauf choix de votre part.
Vérification en deux étapes : disponible pour tous.
Envoi au nuage : utilisez le capteur seul ou activez le mode local par Home Assistant (§2.3).
Family Circle : départ possible à tout moment dans les paramètres.
Mesure Web : Vos choix de confidentialité ou GPC (§4.1).
Compte : suppression à tout moment (§7.2).

9. Avis aux résidents de Californie

Cette section et la politique constituent l’avis à la collecte et la politique au sens de la CCPA. Les catégories couvrent aussi les 12 mois précédant l’entrée en vigueur.Cette période comprend la collecte par d’anciennes versions, notamment de coordonnées plus précises et de rapports complets de mémoire après plantage; les correctifs ultérieurs ne suppriment pas cette collecte historique.

9.1 Catégories de renseignements

Catégorie	Exemples	Sources	Finalités	Destinataires	Vente ou partage?	Conservation
Identifiants	Nom, courriel, identifiants de compte et connexion, numéro et ID du capteur, IP, jetons; témoins et clics si autorisés	Vous, capteur, applications, navigateur, connexion Apple/Google	Service, sécurité, commandes, assistance, analyses, mesure publicitaire consentie	Hébergement, réseau, courriels, paiement, livraison, notifications, connexion, analyses; plateformes publicitaires si autorisées; partenaires de paiement choisis	Aucune vente; identifiants de témoins/clics et IP vue par les plateformes partagés seulement avec consentement	Jusqu’à suppression; identifiants Web selon §4.4
Dossiers clients (Cal. Civ. Code §1798.80(e))	Nom, adresse, courriel, paiements détenus par Stripe, mobile Facilities	Vous, Stripe	Commandes, livraison, facturation, alertes	Stripe, EasyPost, Mailgun, Proton, Twilio, partenaires de paiement choisis	Ni vente ni partage publicitaire	Commandes 7 ans; contacts pendant l’inscription
Caractéristiques de catégories protégées	Confirmation de majorité, tranches d’âge des mineurs Family Circle	Vous, propriétaire du cercle	Admissibilité, consentement parental	Hébergement	Ni vente ni partage publicitaire	Jusqu’à fin du compte ou de l’appartenance
Renseignements commerciaux	Commandes, forfait et abonnement Pro, dates d’essai et renouvellement	Vous, Stripe	Commandes, facturation, assistance, mesure d’achat consentie	Stripe; Analytics si autorisé; Meta, Reddit, Pinterest si autorisés	Aucune vente; valeur, devise et quantité partagées uniquement avec consentement	Commandes 7 ans; abonnement jusqu’à suppression
Activité Internet ou réseau	Pages, campagnes, appareil, navigateur, commentaires, notifications, journaux serveur et visites (organisation, fournisseur, ASN)	Navigateur, applications, capteur	Analyses, sécurité, amélioration, mesure publicitaire consentie	Cloudflare, Analytics et plateformes publicitaires si autorisés	Aucune vente; partage uniquement avec consentement	Visites 13 mois; notifications jusqu’à 13 mois; §4.2 et §7.1
Géolocalisation	Domicile à environ 1 km, localisation approximative IP, fuseau	Vous, téléphone, IP	Conditions extérieures, fuseau, contenu local, devise, visites	Hébergement, Cloudflare; géocodage Apple/Google (coordonnées arrondies avec les clients actuels)	Ni vente ni partage publicitaire	Jusqu’au retrait ou suppression; visites 13 mois
Données sensorielles (relevés de capteurs environnementaux)	CO₂, particules, COV, NOx, température, humidité, pression, lumière	Capteur	Service, analyses, amélioration	Hébergement; Apple/Google si inclus dans les notifications	Ni vente ni partage publicitaire	Free 90 jours; Pro selon §7.1
Renseignements professionnels	Rôle Facilities, organisation, affectations	Vous, organisation	Facilities	Hébergement, Mailgun, Twilio	Ni vente ni partage publicitaire	Pendant l’activité; ensuite, règle de fermeture de l’organisation au §7.1
Inférences	Occupation, habitudes, absence, vacances, sommeil, cuisine, nettoyage, douche, aération, Air Score	Relevés	Analyses, notifications	Hébergement; Apple/Google dans les notifications	Ni vente ni partage publicitaire	Comme l’historique des relevés
Renseignements sensibles	Courriel avec mot de passe; position du téléphone arrondie avant conservation	Vous, téléphone	Connexion, position approximative du domicile	Hébergement	Ni vente ni partage publicitaire	Hachage jusqu’à suppression; position non arrondie non conservée

Aucune collecte de données biométriques, audio, vidéo, dossiers scolaires ou renseignements de santé.

9.2 Vente et partage

Nous n’échangeons pas de renseignements personnels contre de l’argent. Les communications publicitaires facultatives à Meta, Reddit et Pinterest décrites au §4.3 peuvent constituer une vente ou un partage selon le droit californien. Vous pouvez refuser les deux par Vos choix de confidentialité ou GPC.Le tableau précédent couvre les 12 mois antérieurs, y compris les anciennes collectes. Les contrôles actuels ne prouvent pas que chaque communication historique disposait du même consentement.

9.3 Renseignements sensibles

Nous utilisons les identifiants du compte pour fournir et sécuriser la connexion, et la localisation pour définir l’emplacement approximatif du domicile et fournir les conditions locales. Les relevés environnementaux servent aussi aux estimations de présence, d’habitudes et de sommeil apparent du §2.5; il ne s’agit pas de conclusions médicales. Vous pouvez demander une limitation de l’utilisation ou de la communication des renseignements sensibles au portail de confidentialité (§8.2). Nous appliquons cette demande et toute restriction requise selon le droit applicable.

9.4 Autres avis californiens

Do Not Track : traité comme GPC, désactivant la mesure facultative.
Suivi par d’autres entreprises : Google, Meta, Reddit et Pinterest ne peuvent recueillir, via notre site, l’activité au fil du temps et entre sites que si vous l’autorisez (§4.1).
Shine the Light : aucune communication pour le marketing direct propre à des tiers.
Incitatifs financiers : aucun en échange de renseignements personnels; essai Pro et différences de forfait ne sont pas liés à vos renseignements.

10. Canada et Québec

10.1 Responsable des renseignements personnels

La personne exerçant la plus haute autorité au sein d’Aerodyne Inc. est responsable de la protection des renseignements personnels, sauf délégation écrite de cette responsabilité. Joignez la personne responsable par le formulaire ou à l’adresse du §16.

10.2 Consentement

Nous suivons les principes canadiens de protection des renseignements et nous fondons sur votre consentement. Celui-ci peut être implicite pour un traitement raisonnablement attendu, comme les relevés envoyés au nuage lorsque le capteur est connecté. Nous demandons un consentement exprès pour les usages facultatifs ou plus sensibles : publicité Web, bilan hebdomadaire, SMS. Vous pouvez le retirer sous réserve des limites légales ou contractuelles; certaines fonctions cessent alors, comme les envois au nuage lorsque vous les désactivez.

L’analyse de présence et des habitudes récurrentes est activée par défaut hors Québec. Au Québec, ou si nous ne pouvons pas déterminer la région applicable au domicile, elle reste désactivée jusqu’à son activation explicite par un propriétaire ou copropriétaire. Un propriétaire ou copropriétaire peut activer ou désactiver ces deux fonctions dans le tableau de bord Web. Un réglage activé par défaut ne constitue pas une preuve de consentement exprès. Ce contrôle ne désactive pas les alertes distinctes de qualité de l’air ni leurs éléments détaillés.

10.3 Transferts hors Québec et Canada

Les renseignements sur les personnes au Canada sont principalement conservés aux États-Unis; certains fournisseurs les traitent ailleurs (§6). Avant une communication hors Québec, nous évaluons leur protection selon la sensibilité, les finalités, les mesures (dont les contrats) et le cadre juridique du destinataire. Cela décrit la démarche d’évaluation requise, sans certifier l’évaluation de chaque fournisseur ou transfert. Vous pouvez nous interroger sur ces pratiques.

10.4 Évaluations des facteurs relatifs à la vie privée

Selon la loi québécoise, nous évaluons les facteurs relatifs à la vie privée avant l’acquisition, le développement ou la refonte d’un système d’information ou de prestation électronique de services impliquant des renseignements personnels, avant une communication hors Québec et avant une communication à des fins de recherche sans consentement.

10.5 Vos droits au Canada et au Québec

Vous pouvez demander accès, rectification, explications sur les utilisations et communications, et retirer votre consentement. Au Québec, vous pouvez aussi demander vos renseignements informatisés dans un format technologique structuré et couramment utilisé, la cessation de diffusion ou la désindexation d’un lien, dans les limites légales. Nous ne prenons pas de décisions exclusivement automatisées à partir de vos renseignements; si cela change, nous vous informerons et vous pourrez présenter vos observations à un membre du personnel. Voir §8.2. Cette politique est aussi disponible en français.

10.6 Incidents de confidentialité

Si un incident présente un risque de préjudice sérieux au Québec, ou une atteinte aux mesures de sécurité un risque réel de préjudice grave ailleurs au Canada, nous avisons la Commission d’accès à l’information du Québec ou le Commissariat à la protection de la vie privée du Canada, selon le cas, ainsi que les personnes touchées. Nous avisons aussi les commissaires de l’Alberta et de la Colombie-Britannique lorsque leurs lois l’exigent et tenons un registre des incidents.

11. Mexique

Pour les résidents du Mexique, l’aviso de privacidad explique le traitement selon le droit mexicain, les droits d’accès, rectification, annulation et opposition (ARCO) et leur exercice. Il prévaut pour ces personnes en cas de différence.

12. Enfants et Family Circle

Terrestream ne s’adresse pas aux enfants. Pour créer un compte de façon indépendante, vous devez avoir 18 ans ou l’âge de la majorité local s’il est supérieur, et le confirmer à l’inscription. Lorsque l’inscription de mineurs invités est offerte, un mineur admissible peut créer un compte Family Circle restreint avec la confirmation parentale ci-dessous et tout consentement supplémentaire exigé par la loi.

Le propriétaire ne peut ajouter un membre de 13 à 17 ans qu’après avoir confirmé être son parent ou tuteur légal, ou disposer de son consentement. Nous enregistrons cette confirmation. Les moins de 13 ans ne peuvent être ajoutés, ni les moins de 14 ans au Québec.

Nous ne recueillons directement des membres que les renseignements de leur compte et de leurs choix. Si nous apprenons avoir recueilli sans consentement parental les renseignements d’un enfant de moins de 13 ans (14 au Québec), nous les supprimons et retirons l’accès. Un parent ou tuteur peut demander leur consultation ou suppression par le formulaire de confidentialité.

Le capteur mesure l’air d’une pièce, pas les personnes. Écoles, garderies et autres organisations doivent respecter les lois sur les enfants et l’éducation. Des estimations de présence combinées à des horaires ou listes de classe pourraient identifier des personnes.

13. Sécurité

Les mesures adaptées à la sensibilité comprennent :

connexions chiffrées par TLS pendant le transit;
hachage Argon2id des mots de passe; hachage des jetons de connexion, vérification, invitation et API;
chiffrement applicatif AES-256-GCM des valeurs sensibles (secrets de vérification, clés des capteurs, jetons de notification, contacts Facilities);
connexions TLS entre applications et serveur de base de données séparé;
messages signés par une clé propre à chaque capteur;
vérification en deux étapes disponible pour tous;
accès à la production réservé au personnel autorisé.

Nous ne revendiquons aucune certification SOC 2 achevée.

Aucun système n’est entièrement sûr; nous ne garantissons pas la prévention de tout accès non autorisé. Nous avisons personnes et autorités des atteintes selon la loi (§10.6). Joignez-nous si votre compte semble compromis. Pour signaler une vulnérabilité : terrestream.com/security.

14. Terrestream Facilities

Facilities sert aux organisations qui surveillent leurs bâtiments. Le contrat et l’Entente de traitement des données régissent les renseignements du bâtiment traités pour elles; elles décident de leur utilisation. Cette politique couvre les renseignements de compte et d’alerte du personnel.

Courriels et SMS. Le personnel peut s’inscrire aux alertes par courriel (Mailgun) et, par consentement distinct, par SMS (Twilio). Le mobile sert à sa vérification et aux alertes choisies. Nous consignons consentement, texte et version acceptés, vérification et retrait. Les alertes contiennent bâtiment, pièces et brève description de la condition. Les administrateurs voient un numéro masqué, son état de vérification et de livraison.

Les renseignements mobiles et le consentement aux SMS ne sont jamais vendus, loués ou communiqués à des tiers ou sociétés affiliées à des fins de marketing ou de promotion. Cette règle prévaut sur toute autre disposition. Twilio ne traite les messages que pour leur livraison. Retirez votre consentement dans Mes notifications ou en répondant STOP; nous ne conservons ensuite que le nécessaire au respect de ce choix. Voir facilities.terrestream.com/sms et l’Addenda commercial.

15. Modifications

La version courante est à terrestream.com/legal/privacy; les précédentes à terrestream.com/legal/archive.

Pour une modification importante (catégories, finalités, destinataires ou droits), nous donnons au moins 30 jours de préavis par courriel, applications et tableau de bord, et demandons une nouvelle acceptation avant la poursuite du service. Les autres changements prennent effet à leur publication. Tout consentement nécessaire est demandé avant le nouveau traitement.

16. Nous joindre

Responsable : personne désignée par sa fonction au §10.1
Formulaire : terrestream.com/contact?dept=privacy
Demandes : terrestream.com/privacy/data
Poste : Aerodyne Inc., Attn: Privacy Officer, 8 The Green, Ste A, Dover, DE 19901, USA

Vous pouvez vous adresser directement à une autorité, même si nous apprécierions la possibilité de vous aider :

États-Unis : California Privacy Protection Agency, procureur général de votre État ou Federal Trade Commission.
Canada : Commissariat à la protection de la vie privée du Canada (priv.gc.ca, 1-800-282-1376).
Québec : Commission d’accès à l’information du Québec (cai.gouv.qc.ca).
Colombie-Britannique : Office of the Information and Privacy Commissioner for British Columbia.
Alberta : Office of the Information and Privacy Commissioner of Alberta.

Terrestream℠ est une marque de service d’Aerodyne Inc.; le logo feuille et « Breathe Better. Live Smarter.® » sont des marques déposées d’Aerodyne Inc. Brevets en instance.