Exploitant et contact

SOSCAN est exploité par 9576-0724 Québec inc.

Responsable de la protection des renseignements personnels : Le président de 9576-0724 Québec inc.

Adresse courriel de l’entreprise et du responsable : support@sos-can.ca.

Pour une question, une plainte ou une demande concernant vos renseignements personnels, écrivez à cette adresse en précisant « Confidentialité SOSCAN » dans l’objet. Ce courriel reçoit également les demandes d’assistance. N’y joignez pas de fiche médicale ou de pièce d’identité sans demande justifiée.

1. Portée et choix

Cette politique décrit la création et la gestion de votre fiche de secours sur le site urgence.sos-can.ca, sa conservation chiffrée dans le coffre SOSCAN à Montréal, la gravure et la lecture des pastilles avec l’application SOSCAN, le lecteur Web de secours et les demandes d’aide. Elle ne couvre pas à elle seule les achats dans une boutique, dont les traitements de commande et de paiement nécessitent une information distincte.

SOSCAN fonctionne sans compte ni mot de passe : votre carte de secours seule, votre clé d’accès, ou une pastille de la fiche et votre phrase de récupération ouvrent la fiche. L’acceptation de cette politique est distincte de l’acceptation des conditions d’utilisation. Ces accords ne constituent pas un consentement général à toute utilisation de vos renseignements. À la création de la fiche, le site recueille séparément, sans case précochée, pour qui la fiche est préparée, votre consentement à la diffusion sur la puce du nom, des contacts d’urgence et des alertes, et votre consentement à la conservation chiffrée du reste de la fiche dans le coffre (section 3 bis). Ces choix et leur date sont enregistrés dans votre fiche chiffrée.

Dans l’application, aucune inscription : elle ne propose aucune inscription à des avis, n’envoie aucune notification, ne demande aucune autorisation de notification et ne programme aucun rappel. Sur le Web, vous pouvez indiquer dans votre fiche un courriel de contact facultatif, qui sert seulement à vous joindre au sujet du service (section 7). La lecture de secours ne nécessite ni inscription ni compte.

2. Ce que l’application conserve sur le téléphone

L’application ne conserve aucune fiche, aucune clé et aucun secret. Pour graver ou lire une pastille, elle lit le lien gravé, télécharge la fiche à jour depuis le coffre, la déchiffre sur le téléphone avec la moitié de clé portée par la pastille, l’affiche ou grave le nom, les contacts et les alertes, puis ne la garde pas. Une fiche lue pour porter secours n’est pas enregistrée.

Restent sur le téléphone : vos accords aux conditions et à cette politique (version, texte, date, langue et version de l’application) et un journal de dépannage limité aux dix derniers événements NFC (section 6). Cette version ne programme aucun rappel local. Le courriel de contact facultatif (section 7) est conservé sur le serveur, jamais dans l’application.

La protection et les sauvegardes de l’appareil dépendent du système et de vos réglages. Protégez l’accès à votre téléphone. Cette architecture n’empêche pas une personne de copier ou de photographier ce qu’elle consulte.

3. Ce qui est gravé sur la puce

Chaque pastille activée porte, gravés sur sa puce, le lien de lecture (un identifiant public et une moitié de clé) ainsi que, en clair et sans chiffrement, le nom, les contacts d’urgence et les alertes cochées de la fiche. Ces renseignements sont gravés en clair pour rester lisibles sans Internet et sans l’application par toute personne qui tient la pastille, avec n’importe quel lecteur NFC. Aucun autre renseignement médical n’est gravé; le reste de la fiche demeure chiffré dans le coffre. Vérifiez l’aperçu avant de confirmer la gravure; tous les champs ne tiennent pas nécessairement sur chaque puce.

Le contenu gravé n’est protégé par aucun mot de passe. Un lecteur compatible à proximité peut le lire, y compris après une perte ou un vol. La portée radio varie et ne doit pas être considérée comme une protection de confidentialité.

Une personne qui lit la fiche peut la photographier, la copier ou la transmettre. Regraver la pastille ne retire pas ces copies. Nous ne pouvons pas garantir l’usage qu’en fera un tiers.

3 bis. Coffre SOSCAN : fiche chiffrée à Montréal, carte, phrase, clé d’accès, session et code d’urgence

Votre fiche est chiffrée dans votre navigateur avant tout envoi, avec une clé propre à chaque fiche. Le serveur reçoit et conserve uniquement le résultat chiffré (identité, année de naissance, allergies, conditions, médicaments, groupe sanguin, poids, directives, notes, contacts, alertes et consentements), un identifiant technique de fiche, un numéro de version, des dates et l’empreinte du secret qui autorise vos modifications. SOSCAN ne détient jamais la clé de votre fiche et ne peut pas en lire le contenu, même sur demande.

Chaque pastille porte un identifiant public et une moitié de clé gravée à l’atelier; le serveur conserve l’autre moitié, une enveloppe chiffrée de la clé de la fiche propre à cette pastille, ainsi que le modèle et la couleur de la pastille. Lors d’une lecture, la page ou l’application de la personne qui porte secours assemble les deux moitiés sur son appareil et déchiffre la fiche sur place. Toute personne qui tient une pastille peut ainsi lire la fiche; la désactivation d’une pastille efface la moitié serveur et l’enveloppe, ce qui rend la pastille muette même pour qui aurait copié son lien.

Le code de secours imprimé sur votre carte, ou la phrase de récupération si vous la préférez, est transformé dans votre navigateur (fonction argon2id) en deux clés : la première enveloppe la clé de votre fiche, la seconde sert de preuve dont le serveur ne conserve que l’empreinte. Le code ou la phrase n’est jamais transmis et SOSCAN ne peut pas le réinitialiser. Une clé d’accès (Face ID, Touch ID ou leur équivalent sur Android) fournit de la même façon deux clés, dérivées sur votre appareil d’un secret que seul votre trousseau Apple ou Google détient. Pour chaque méthode, le serveur conserve l’enveloppe chiffrée de la clé de la fiche, les paramètres de dérivation, l’empreinte de la preuve, un libellé de votre choix, les dates de création et de dernier usage et, pour une clé d’accès ou une carte de secours, une empreinte de recherche (celle de l’identifiant de la clé, ou celle du code de la carte), qui permet de retrouver la fiche sans pastille; l’empreinte du code de la carte ne permet pas de retrouver le code, tiré au hasard sur vingt caractères, et le serveur ne reçoit jamais le code lui-même, ni la clé publique de la clé d’accès, ni aucune donnée biométrique, qui ne quittent pas votre appareil. Une phrase que vous choisissez pourrait se deviner : elle ne porte aucune empreinte de recherche et n’ouvre la fiche qu’avec une pastille de la fiche en main. Une fiche peut porter jusqu’à dix méthodes, par exemple la clé d’accès de chaque parent. Pour ouvrir la fiche, le navigateur présente l’empreinte de recherche de la carte ou d’une clé d’accès, ou, pour une phrase, une pastille de la fiche, puis la preuve; il devient alors l’appareil autorisé à modifier la fiche, et une session ouverte ailleurs perd ce droit. Les tentatives sont limitées par pastille, par empreinte et par adresse.

Une fois la fiche ouverte, le navigateur garde son identifiant, son secret de modification et sa clé dans son stockage local, pendant trente minutes sans activité au plus; ces clés sont effacées à l’expiration ou dès que vous fermez la session, et elles ne quittent pas votre navigateur. Le site est servi avec des consignes interdisant la mise en cache et l’indexation.

Le code d’urgence, imprimé sur la carte de secours, est créé dans votre navigateur et montré une seule fois; le serveur n’en conserve que l’empreinte. Sur la page de désactivation, le navigateur calcule l’empreinte du code saisi et le serveur, si elle correspond, suspend toutes les pastilles de la fiche sans lire ni effacer la fiche. Sans le code, vous pouvez y saisir votre courriel de contact : si une adresse confirmée correspond, le serveur met en file un courriel portant un lien de suspension, valable une heure et à usage unique, dont il ne garde que l’empreinte; la page répond de la même façon que l’adresse soit connue ou non. Ouvrir le lien a le même effet que le code et ne donne aucun accès à la fiche. Les tentatives échouées sont comptées par empreinte d’adresse IP et effacées après vingt-quatre heures; les liens périmés sont purgés par l’entretien.

À chaque gravure, l’application (ou le navigateur, sur Android) déclare au serveur l’identifiant de la pastille, l’empreinte de sa moitié de clé gravée, qui prouve que la pastille est tenue sans révéler cette moitié, et une empreinte courte, non réversible, du texte gravé sur la pastille; le serveur note la date. Cette empreinte ne révèle rien de plus que ce qui est déjà écrit en clair sur la puce; elle sert uniquement à vous signaler qu’une pastille est à regraver. Lorsqu’une pastille présentée à l’application n’est pas active, l’application demande de la même manière au serveur si elle est neuve ou suspendue, pour vous renvoyer vers le Web; rien de cette réponse n’est conservé.

Le serveur consigne chaque lecture d’une pastille avec l’identifiant de la pastille, la date et une empreinte de l’adresse IP calculée avec une clé secrète conservée dans la base. Ce journal sert à la sécurité du service et à informer le propriétaire de la fiche; il ne contient ni le nom de la personne qui a lu ni sa position. Il est supprimé après trente jours. Les compteurs de limitation par adresse sont supprimés après vingt-quatre heures.

La base de données et les fonctions qui traitent ces renseignements tournent dans un projet Supabase dont la région est Canada central, à Montréal. Le site, la console de gestion et le lecteur Web sont des fichiers statiques servis par Vercel; le chiffrement et le déchiffrement s’effectuent dans le navigateur, qui interroge directement la base de Montréal. Les fournisseurs de système d’exploitation, de navigateur et de réseau traitent des données techniques de transmission selon leurs services; le contenu chiffré ne leur est pas lisible.

La fiche chiffrée est conservée tant qu’elle existe. Sa suppression sur le Web désactive immédiatement ses pastilles, remplace le contenu chiffré par un contenu vide et supprime les méthodes d’ouverture (carte, phrase, clés d’accès), les liens de suspension et l’empreinte du code d’urgence; la ligne technique restante est purgée par un entretien planifié chaque nuit, au plus tard trente jours après. Une fiche créée mais jamais liée à une pastille est effacée après sept jours. Une pastille désactivée conserve son identifiant, sa date et son état afin qu’il ne soit jamais réattribué; son numéro de série d’usine sert au suivi du lot.

Vous pouvez, sur le Web, modifier ou supprimer votre fiche, désactiver une pastille et créer ou remplacer votre code d’urgence; avec l’application, regraver une pastille. Le texte gravé sur une puce ne change qu’à la gravure suivante : pour qu’une pastille ne serve plus, désactivez-la sur le Web et cessez de la porter. Vous pouvez demander l’accès aux renseignements techniques que le serveur détient à votre sujet. Comme SOSCAN ne peut pas déchiffrer la fiche, l’accès à son contenu s’exerce sur le Web avec votre carte de secours, votre clé d’accès, ou une pastille et votre phrase. Pour la fiche d’un enfant de moins de 14 ans, les consentements sont donnés sur le Web par le titulaire de l’autorité parentale ou le tuteur.

3 ter. Abonnement SOSCAN Plus : proches à prévenir, alertes, Ligne SOSCAN et « Je pars »

Si vous appliquez un code d’abonnement SOSCAN Plus à une fiche, le serveur conserve pour cette fiche l’abonnement et sa date d’échéance, puis, avec votre consentement distinct donné sur le Web : votre prénom tel qu’il apparaîtra dans les textos, jusqu’à trois proches (nom, numéro de téléphone mobile, langue des textos), votre choix d’activer l’alerte de lecture, et un code à six chiffres propre à la Ligne SOSCAN. Les noms et numéros de vos proches sont chiffrés dans la base avec une clé conservée dans le coffre de secrets du projet, séparément des sauvegardes; ils sont déchiffrés uniquement pour envoyer un texto ou passer un appel. Vous confirmez avoir l’accord de ces personnes.

Chaque alerte est consignée avec sa nature (lecture, Ligne, retour non confirmé), la date, la pastille concernée et, pour une alerte de lecture, la position approximative que la personne qui lit a choisi de transmettre, arrondie au millième de degré (environ cent mètres). Les textos, préparés par le serveur, contiennent votre prénom, l’heure, le cas échéant cette position et l’activité déclarée pour « Je pars »; jamais de renseignement de santé. Ils sont mis en file dans la base, puis remis au fournisseur téléphonique par une fonction sans état; la Ligne SOSCAN est assurée par une fonction semblable qui vérifie la signature de chaque requête du fournisseur et ne conserve rien. Le fournisseur téléphonique reçoit le numéro appelé ou texté, le texte du message et les données d’acheminement, et les traite selon ses propres règles, possiblement hors du Québec et du Canada. Les journaux d’alertes sont supprimés après trente jours; les sorties « Je pars » terminées sont conservées sept jours.

Vous pouvez à tout moment modifier ou retirer vos proches sur le Web, désactiver l’alerte de lecture, annuler une sortie ou supprimer la fiche : le retrait des proches efface immédiatement leurs noms et numéros; la suppression de la fiche efface l’abonnement, les proches, les alertes et les sorties. Chaque proche peut refuser les textos en répondant STOP au fournisseur. Les codes d’activation sont conservés avec les fiches auxquelles ils ont été appliqués et leur date, pour empêcher un usage au-delà des places achetées. Lors d’un achat sur le site, la boutique transmet à la base de Montréal le numéro de commande et la formule achetée; l’adresse courriel de l’acheteur sert uniquement à lui envoyer ses codes par notre fournisseur de courriel et n’est pas conservée dans la base.

4. Lecture dans l’application et sur le Web

L’application lit d’abord, sans Internet, le nom, les contacts et les alertes gravés sur la puce, puis la fiche complète en ligne. Pour cette lecture en ligne, elle envoie au serveur uniquement l’identifiant public de la pastille; la moitié de clé gravée reste sur le téléphone, qui déchiffre la fiche sur place et ne la conserve pas. Sans application, le lecteur Web doit être chargé par Internet; aucune lecture complète sans application et sans réseau n’est garantie.

Dans le lien gravé, la moitié de clé se trouve après le caractère # de l’adresse. Le navigateur ne transmet jamais cette partie dans sa requête HTTP; le lecteur déchiffre sur l’appareil, puis retire la clé de la barre d’adresse une fois la fiche affichée. La console de gestion procède de la même façon. Le lien peut néanmoins subsister dans un historique, une synchronisation de navigateur, une capture ou un message partagé. Les anciens formats de lien, qui plaçaient la fiche elle-même après le #, sont lus de la même manière.

Le chargement de la page expose à l’infrastructure d’hébergement des renseignements techniques de connexion, par exemple l’adresse IP, la date et les caractéristiques de la requête. Leur traitement doit être distingué du contenu de la fiche. L’hébergement actuellement configuré utilise Vercel. Les services d’hébergement peuvent traiter des renseignements à l’extérieur du Québec.

Les journaux techniques servent au fonctionnement, à la sécurité et au dépannage du site. Leur conservation doit être limitée aux besoins de ces finalités et aux obligations applicables, puis les renseignements doivent être supprimés ou anonymisés selon les règles applicables. Les paramètres du service d’hébergement interviennent dans cette conservation; ce document ne garantit pas une absence de journaux.

5. Appels, messages et localisation

Une lecture ne déclenche aucun appel, message ou partage de position automatique. Si vous choisissez d’appeler ou de préparer un message, le téléphone et les services de communication concernés traitent le numéro et, le cas échéant, le contenu que vous envoyez selon leurs propres règles.

Le lecteur Web peut proposer d’ajouter votre position à un message. Cette action nécessite votre choix et l’autorisation du navigateur. Il ne s’agit pas d’un suivi continu ni d’une alerte automatique. Vérifiez le destinataire et le contenu avant d’envoyer.

Si la fiche lue bénéficie de SOSCAN Plus, l’application et le lecteur Web affichent un bouton « Prévenir les proches ». Sur ce geste explicite seulement, votre appareil envoie au serveur l’identifiant de la pastille, l’empreinte de sa moitié de clé gravée et, si vous l’autorisez, votre position approximative arrondie au millième de degré; sans votre autorisation, l’alerte part sans position. Rien n’est envoyé sans ce geste (section 3 ter).

6. Diagnostics et assistance volontaire

L’application conserve localement un journal limité aux dix derniers événements NFC de dépannage : date, opération, réussite ou échec, code d’erreur et, si disponible, capacité de la puce. Ce journal n’inclut pas le contenu des fiches ni le numéro de série des pastilles.

Si vous demandez de l’aide, le message comprend l’adresse de réponse, le nom que vous fournissez, la catégorie et le texte saisi. L’ajout d’un rapport technique est activé par défaut; vous pouvez consulter ce rapport avant l’envoi ou désactiver son ajout. Il contient la version de l’application, le modèle et le système du téléphone, l’état NFC, la langue et jusqu’à cinq événements récents. Le rapport généré n’intègre pas les noms, contacts ou renseignements médicaux des fiches.

Dans la configuration actuelle, l’application prépare un courriel dans un service de messagerie; le point d’envoi direct du formulaire n’est pas activé. Votre messagerie et celle du destinataire peuvent conserver le message. Il n’existe donc pas de promesse d’absence de stockage du courriel. Évitez les renseignements sensibles inutiles dans le texte libre.

Les renseignements reçus pour une demande d’aide servent à traiter cette demande et son suivi. Les fournisseurs de messagerie concernés peuvent traiter les messages à l’extérieur du Québec selon leurs services.

Les échanges d’assistance doivent être conservés pendant la durée nécessaire au traitement de la demande, à son suivi et aux obligations applicables, puis supprimés ou anonymisés selon les règles applicables. Cette politique ne présente pas une suppression automatique à délai fixe comme une fonction de l’application. Les archives et sauvegardes des services de messagerie ont leurs propres mécanismes de conservation.

7. Courriel de contact facultatif

Sur le Web, dans votre fiche, vous pouvez indiquer une adresse courriel de contact. Elle est facultative : aucun courriel n’est nécessaire pour utiliser SOSCAN, et elle ne donne accès à rien, ni à la fiche ni aux pastilles. Elle sert seulement à vous joindre au sujet du service : incident de sécurité, avis de service, fin ou transfert du service, rappel annuel « vérifiez votre fiche » lorsque la fiche n’a pas été modifiée depuis un an, échéance de votre abonnement SOSCAN Plus. Aucune promotion n’est envoyée sans un consentement distinct, qui n’est pas demandé dans cette version. Aucun courriel ne contient de renseignement de votre fiche.

L’application, elle, ne propose aucune inscription aux avis techniques, ni par courriel ni par notification dans l’application; elle ne demande aucune autorisation de notification et ne programme aucun rappel. Elle n’alimente aucun registre d’inscription : accepter les conditions ou la politique, demander de l’assistance ou figurer comme contact d’urgence ne vous inscrit à aucun envoi. La gravure, la lecture et le lecteur de secours restent accessibles sans inscription ni compte.

Le serveur de Montréal conserve, hors de la fiche chiffrée : l’adresse, chiffrée au repos avec une clé conservée dans le coffre de secrets du projet, séparément des sauvegardes, et déchiffrée seulement pour l’envoi; son empreinte, qui sert à ne pas envoyer deux fois le même avis à une famille inscrite avec la même adresse et à retirer l’adresse de toutes ces fiches d’un coup; la langue des courriels; la version et la date de votre consentement; la date de vérification; l’empreinte du code de vérification tant qu’il est valable; l’empreinte du jeton de retrait; les dates des rappels envoyés. L’adresse est confirmée par un code à six chiffres envoyé à cette adresse, valable quinze minutes; sans confirmation, elle est effacée après vingt-quatre heures et ne reçoit rien d’autre.

Les courriels sont préparés dans la base de Montréal, puis remis par une fonction sans état à notre fournisseur de courriel, Resend, qui les envoie depuis les États-Unis et reçoit l’adresse, l’objet et le texte, qu’il traite selon ses propres règles. Les avis de service sont aussi publiés sur la page d’assistance du site, urgence.sos-can.ca/support.

L’adresse est conservée jusqu’à son retrait ou jusqu’à la suppression de la fiche, qui l’efface avec les courriels en attente. Vous pouvez la retirer à tout moment : par le lien « Ne plus recevoir les courriels de SOSCAN » de chaque courriel (page urgence.sos-can.ca/courriel), dans votre fiche sur le Web, ou par une demande au responsable de la confidentialité; le retrait n’efface pas un courriel déjà reçu. Le lien de retrait porte un jeton propre à chaque courriel, dont le serveur ne garde que l’empreinte.

Des registres techniques hérités d’essais antérieurs (courriels, notifications) subsistent, sans aucun utilisateur public. L’application ne leur transmet plus aucune donnée, et leurs fournisseurs, soit un projet Supabase distinct dont la région est Canada central, Vercel et Resend, qui conserve des données aux États-Unis, ne reçoivent plus rien de l’application. Une adresse courriel inscrite lors de ces essais peut être retirée en ouvrant le lien de retrait d’un courriel reçu, qui mène à la page de désinscription du site, urgence.sos-can.ca/desinscription, ou par une demande au responsable de la confidentialité. Tout nouvel usage de ces canaux devra être expliqué dans une nouvelle version de cette politique, avec les choix requis.

8. Autrui, mineurs et consentement

Informez les contacts d’urgence avant d’inscrire leurs coordonnées. Pour la fiche d’autrui, indiquez sur le site pour qui la fiche est préparée, obtenez l’autorisation nécessaire et respectez ses choix sur chaque renseignement diffusé. La présence d’un champ facultatif n’oblige jamais à le remplir.

Lorsque le consentement est requis pour un enfant de moins de 14 ans, les règles québécoises prévoient généralement l’intervention du titulaire de l’autorité parentale ou du tuteur, sous réserve des exceptions légales. Les règles applicables aux jeunes de 14 à 17 ans doivent aussi être respectées; leur âge ne justifie pas une diffusion automatique de renseignements médicaux.

Les consentements à la diffusion sur la puce et à la conservation dans le coffre sont distincts de l’acceptation des conditions. Refuser ou retirer ces consentements empêche la nouvelle diffusion choisie, mais ne supprime pas à distance les contenus déjà gravés ou copiés.

9. Conservation, correction et retrait

Vous pouvez modifier ou supprimer votre fiche sur le Web, avec une pastille de la fiche et votre carte de secours, votre phrase ou votre clé d’accès. Les secouristes connectés voient la modification aussitôt; le texte gravé sur une puce ne change qu’à la gravure suivante. Une pastille perdue se désactive sur le Web; ce qui est gravé sur sa puce reste lisible par qui la tient.

L’application ne conserve aucune fiche; ses événements techniques sont remplacés au-delà de dix entrées. Les accords conservés sur le téléphone, les clés gardées trente minutes par votre navigateur et les sauvegardes du système ont chacun leur cycle de conservation. Les messages envoyés et les copies de tiers ne sont pas supprimés par ces actions.

Nous ne pouvons pas accéder à votre navigateur, à votre pastille ni au contenu chiffré de votre coffre pour y modifier une fiche à votre place, ni rouvrir une fiche sans votre carte, votre phrase ou votre clé d’accès. Pour les renseignements que l’exploitant détient réellement, notamment les demandes d’aide, les renseignements techniques du coffre, le courriel de contact et les registres hérités décrits à la section 7, vous pouvez demander l’accès, la rectification, la portabilité, le retrait d’un consentement applicable ou la suppression selon les droits et limites prévus par la loi.

10. Destinataires, sécurité et changements

Le fonctionnement actuel du site, de l’application et du lecteur de secours n’ajoute pas de publicité ni de suivi analytique des fiches. Cela ne signifie pas que les fournisseurs de système, de messagerie ou d’hébergement ne traitent aucune donnée technique selon leurs services.

Aucun système ne permet de garantir une confidentialité absolue. Les pastilles destinées à porter secours sont volontairement lisibles; limitez leur contenu. Le coffre SOSCAN, décrit à la section 3 bis, est le seul endroit où votre fiche est conservée; il ne se remplit qu’avec vos consentements et SOSCAN ne peut pas le lire. Toute évolution vers des comptes, des analyses d’usage ou un autre traitement devra être expliquée avant sa mise en place, avec les choix et consentements requis. En cas d’incident de confidentialité présentant un risque de préjudice sérieux, l’exploitant avise la Commission d’accès à l’information et les personnes concernées.

Chaque version de cette politique porte une date et un numéro. Un changement de politique ne vaut pas à lui seul consentement à une nouvelle utilisation de renseignements sensibles.

11. Questions et recours

Adressez vos demandes de confidentialité au courriel indiqué dans la section sur l’exploitant. Une demande peut nécessiter une vérification d’identité proportionnée; il n’est pas nécessaire d’envoyer d’emblée une copie de votre fiche médicale.

Vous pouvez également vous adresser à la Commission d’accès à l’information du Québec ou, selon la compétence applicable, au Commissariat à la protection de la vie privée du Canada. Cette politique ne limite aucun de vos recours légaux.

Operator and contact

SOSCAN is operated by 9576-0724 Québec inc.

Person responsible for the protection of personal information: The president of 9576-0724 Québec inc.

Email address for the company and its privacy officer: support@sos-can.ca.

For a question, complaint or request about your personal information, write to this address with “SOSCAN Privacy” in the subject line. This email also receives support requests. Do not attach a medical profile or identity document unless requested for a justified purpose.

1. Scope and choices

This policy describes creating and managing your emergency profile on the urgence.sos-can.ca site, its encrypted storage in the SOSCAN vault in Montréal, engraving and reading tags with the SOSCAN app, the emergency Web reader and help requests. It does not, on its own, cover purchases in a store, whose order and payment processing needs separate information.

SOSCAN works without an account or password: your rescue card alone, your passkey, or a tag of the profile and your recovery phrase open the profile. Accepting this policy is separate from accepting the terms of use. These agreements are not general consent to every use of your information. When the profile is created, the site collects separately, with no preselected box, who the profile is for, your consent to sharing the name, emergency contacts and alerts on the chip, and your consent to keeping the rest of the profile encrypted in the vault (section 3a). These choices and their date are recorded in your encrypted profile.

In the app, there is no subscription: it offers no notice subscription, sends no notification, asks for no notification permission and schedules no reminder. On the Web, you can enter in your profile an optional contact email, used only to reach you about the service (section 7). Emergency reading requires neither a subscription nor an account.

2. What the app keeps on the phone

The app keeps no profile, no key and no secret. To engrave or read a tag, it reads the engraved link, downloads the current profile from the vault, decrypts it on the phone with the key half carried by the tag, displays it or engraves the name, contacts and alerts, then does not keep it. A profile read to provide help is not saved.

What stays on the phone: your agreement to the terms and this policy (version, text, date, language and app version) and a troubleshooting log limited to the ten most recent NFC events (section 6). This version schedules no local reminder. The optional contact email (section 7) is kept on the server, never in the app.

Device protection and backups depend on the operating system and your settings. Protect access to your phone. This architecture does not prevent a reader from copying or photographing what they see.

3. What is engraved on the chip

Each activated tag carries, engraved on its chip, the reading link (a public identifier and a key half) and, in the clear and unencrypted, the profile’s name, emergency contacts and checked alerts. This information is engraved in the clear so that it remains readable without Internet and without the app by anyone holding the tag, with any NFC reader. No other medical information is engraved; the rest of the profile remains encrypted in the vault. Check the preview before confirming the engraving; not every field necessarily fits every chip.

The engraved content is not protected by any password. A compatible reader nearby may read it, including after loss or theft. Radio range varies and should not be treated as a privacy safeguard.

A reader may photograph, copy or share the profile. Re-engraving the tag does not remove those copies. We cannot guarantee how a third party will use them.

3a. SOSCAN vault: encrypted profile in Montréal, card, phrase, passkey, session and emergency code

Your profile is encrypted in your browser before anything is sent, with a key specific to each profile. The server receives and keeps only the encrypted result (identity, birth year, allergies, conditions, medications, blood type, weight, directives, notes, contacts, alerts and consents), a technical profile identifier, a version number, dates and the hash of the secret that authorizes your changes. SOSCAN never holds your profile key and cannot read its content, even on request.

Each tag carries a public identifier and a key half engraved at the workshop; the server keeps the other half, an encrypted envelope of the profile key specific to that tag, and the tag’s model and colour. On reading, the page or app of the person providing help assembles the two halves on their device and decrypts the profile there. Anyone holding a tag can therefore read the profile; deactivating a tag erases the server half and the envelope, which silences the tag even for someone who copied its link.

The rescue code printed on your card, or the recovery phrase if you prefer it, is turned in your browser (argon2id function) into two keys: the first wraps your profile key, the second serves as proof of which the server keeps only a hash. The code or the phrase is never transmitted and SOSCAN cannot reset it. A passkey (Face ID, Touch ID or their Android equivalent) provides two keys in the same way, derived on your device from a secret that only your Apple or Google keychain holds. For each method, the server keeps the encrypted envelope of the profile key, the derivation parameters, the hash of the proof, a label of your choice, the dates of creation and last use and, for a passkey or a rescue card, a lookup fingerprint (of the passkey’s identifier, or of the card’s code), which makes it possible to find the profile without a tag; the fingerprint of the card’s code does not make it possible to recover the code, drawn at random over twenty characters, and the server never receives the code itself, nor the passkey’s public key, nor any biometric data, which never leave your device. A phrase you choose could be guessed: it carries no lookup fingerprint and opens the profile only with a tag of the profile in hand. A profile can carry up to ten methods, for example each parent’s passkey. To open the profile, the browser presents the lookup fingerprint of the card or of a passkey, or, for a phrase, a tag of the profile, then the proof; it then becomes the device authorized to edit the profile, and a session open elsewhere loses that right. Attempts are limited per tag, per fingerprint and per address.

Once the profile is open, the browser keeps its identifier, its editing secret and its key in local storage, for at most thirty minutes without activity; these keys are erased on expiry or as soon as you close the session, and they never leave your browser. The site is served with instructions that forbid caching and indexing.

The emergency code, printed on the rescue card, is created in your browser and shown once; the server keeps only its hash. On the deactivation page, the browser computes the hash of the code entered and the server, if it matches, suspends every tag of the profile without reading or erasing the profile. Without the code, you can enter your contact email there: if a confirmed address matches, the server queues an email carrying a suspension link, valid for one hour and usable once, of which it keeps only a hash; the page answers the same way whether the address is known or not. Opening the link has the same effect as the code and gives no access to the profile. Failed attempts are counted by IP address hash and erased after twenty-four hours; expired links are purged by maintenance.

At each engraving, the app (or the browser, on Android) reports to the server the tag identifier, the hash of its engraved key half, which proves that the tag is held without revealing that half, and a short, non-reversible fingerprint of the text engraved on the tag; the server records the date. This fingerprint reveals nothing beyond what is already written in the clear on the chip; it serves only to tell you that a tag needs re-engraving. When a tag presented to the app is not active, the app asks the server in the same way whether it is new or suspended, to send you to the Web; nothing from that reply is kept.

The server logs each reading of a tag with the tag identifier, the date and a hash of the IP address computed with a secret key kept in the database. This log supports the security of the service and informs the profile owner; it contains neither the reader’s name nor their location. It is deleted after thirty days. Rate-limiting counters per address are deleted after twenty-four hours.

The database and the functions that process this information run in a Supabase project whose region is Canada Central, in Montréal. The website, the management console and the web reader are static files served by Vercel; encryption and decryption happen in the browser, which queries the Montréal database directly. Operating-system, browser and network providers process technical transmission data under their services; the encrypted content is not readable by them.

The encrypted profile is kept as long as it exists. Deleting it on the Web immediately deactivates its tags, replaces the encrypted content with empty content and deletes the opening methods (card, phrase, passkeys), the suspension links and the emergency code hash; the remaining technical row is purged by a nightly scheduled maintenance, at most thirty days later. A profile created but never linked to a tag is erased after seven days. A deactivated tag keeps its identifier, date and status so that it is never reassigned; its factory serial number is used for batch tracking.

On the Web, you can edit or delete your profile, deactivate a tag and create or replace your emergency code; with the app, re-engrave a tag. The text engraved on a chip changes only at the next engraving: for a tag to stop serving, deactivate it on the Web and stop carrying it. You can request access to the technical information the server holds about you. Because SOSCAN cannot decrypt the profile, access to its content is exercised on the Web with your rescue card, your passkey, or a tag and your phrase. For the profile of a child under 14, consents are given on the Web by the holder of parental authority or the tutor.

3b. SOSCAN Plus subscription: contacts to notify, alerts, SOSCAN Line and “I’m heading out”

If you apply a SOSCAN Plus code to a profile, the server keeps for that profile the subscription and its expiry date, then, with your separate consent given on the Web: your first name as it will appear in texts, up to three contacts (name, mobile phone number, text language), your choice to enable the read alert, and a six-digit code specific to the SOSCAN Line. Your contacts’ names and numbers are encrypted in the database with a key kept in the project’s secret store, separately from backups; they are decrypted only to send a text or place a call. You confirm you have these people’s agreement.

Each alert is logged with its kind (read, Line, unconfirmed return), the date, the tag concerned and, for a read alert, the approximate location the reader chose to send, rounded to a thousandth of a degree (about one hundred metres). Texts, prepared by the server, contain your first name, the time, that location where provided and the activity declared for “I’m heading out”; never health information. They are queued in the database, then handed to the telephony provider by a stateless function; the SOSCAN Line is provided by a similar function that verifies the signature of every provider request and keeps nothing. The telephony provider receives the number called or texted, the message text and routing data, and processes them under its own rules, possibly outside Québec and Canada. Alert logs are deleted after thirty days; completed “I’m heading out” trips are kept seven days.

You can at any time edit or remove your contacts on the Web, disable the read alert, cancel a trip or delete the profile: removing contacts immediately erases their names and numbers; deleting the profile erases the subscription, contacts, alerts and trips. Each contact can refuse texts by replying STOP to the provider. Activation codes are kept with the profiles they were applied to and the date, to prevent use beyond the places purchased. When buying on the website, the shop sends the Montréal database the order number and the plan purchased; the buyer’s email address is used only to send the codes through our email provider and is not kept in the database.

4. Reading in the app and on the Web

The app first reads, without Internet, the name, contacts and alerts engraved on the chip, then the full profile online. For that online reading, it sends the server only the tag’s public identifier; the engraved key half stays on the phone, which decrypts the profile there and does not keep it. Without the app, the Web reader must be loaded over the Internet; full reading with neither an app nor connectivity is not guaranteed.

In the engraved link, the key half appears after the # character of the address. The browser never sends that part in its HTTP request; the reader decrypts on the device, then removes the key from the address bar once the profile is shown. The management console works the same way. The link may nevertheless persist in history, browser synchronization, a screenshot or a shared message. Earlier link formats, which placed the profile itself after the #, are read in the same manner.

Loading the page exposes technical connection information to the hosting infrastructure, such as the IP address, date and request characteristics. This processing must be distinguished from the profile content. The configured hosting currently uses Vercel. Hosting services may process information outside Québec.

Technical logs support site operation, security and troubleshooting. Their retention must be limited to those purposes and applicable obligations, after which information must be deleted or anonymized in accordance with applicable rules. Hosting service settings affect this retention; this document does not guarantee an absence of logs.

5. Calls, messages and location

A scan does not automatically place a call, send a message or share location. If you choose to call or prepare a message, the phone and communication services involved process the number and, where applicable, the content you send under their own rules.

The Web reader may offer to add your location to a message. This requires your choice and browser permission. It is not continuous tracking or an automatic alert. Check the recipient and content before sending.

If the profile read has SOSCAN Plus, the app and the Web reader show a “Notify family” button. Only on that explicit action does your device send the server the tag identifier, the hash of its engraved key half and, if you allow it, your approximate location rounded to a thousandth of a degree; without your permission, the alert is sent without a location. Nothing is sent without that action (section 3b).

6. Diagnostics and voluntary support

The app keeps a local troubleshooting log limited to the ten most recent NFC events: date, operation, success or failure, error code and, if available, chip capacity. This log does not include profile content or tag serial numbers.

If you request help, the message contains a reply email address, the name you provide, a category and the text you enter. Adding a technical report is enabled by default; you can review it before sending or turn off its inclusion. It contains the app version, phone model and operating system, NFC status, language and up to five recent events. The generated report does not include names, contacts or medical information from profiles.

In the current configuration, the app prepares an email in a mail service; direct form submission is not enabled. Your mail service and the recipient’s may retain the message. There is therefore no promise that email is never stored. Avoid unnecessary sensitive information in free text.

Information received for a help request is used to address that request and its follow-up. The mail providers involved may process messages outside Québec under their services.

Support correspondence must be retained for the time needed to handle the request, follow up and meet applicable obligations, then deleted or anonymized in accordance with applicable rules. This policy does not describe automatic deletion after a fixed period as an app feature. Mail service archives and backups have their own retention mechanisms.

7. Optional contact email

On the Web, in your profile, you can enter a contact email address. It is optional: no email is needed to use SOSCAN, and it gives access to nothing, neither the profile nor the tags. It is used only to reach you about the service: security incident, service notice, end or transfer of the service, yearly “check your profile” reminder when the profile has not been changed for a year, expiry of your SOSCAN Plus subscription. No promotion is sent without a separate consent, which this version does not ask for. No email contains information from your profile.

The app itself offers no technical-notice subscription, by email or by app notification; it asks for no notification permission and schedules no reminder. It feeds no subscription register: accepting the terms or the policy, requesting support or being listed as an emergency contact does not subscribe you to anything. Engraving, reading and the emergency reader remain accessible without subscribing or creating an account.

The Montréal server keeps, outside the encrypted profile: the address, encrypted at rest with a key kept in the project’s secret store, separately from backups, and decrypted only for sending; its hash, used to avoid sending the same notice twice to a family registered with the same address and to remove the address from all those profiles at once; the language of the emails; the version and date of your consent; the verification date; the hash of the verification code while it is valid; the hash of the withdrawal token; the dates of reminders sent. The address is confirmed by a six-digit code sent to that address, valid for fifteen minutes; without confirmation, it is erased after twenty-four hours and receives nothing else.

Emails are prepared in the Montréal database, then handed by a stateless function to our email provider, Resend, which sends them from the United States and receives the address, subject and text, processed under its own rules. Service notices are also published on the site’s support page, urgence.sos-can.ca/support.

The address is kept until it is withdrawn or until the profile is deleted, which erases it along with pending emails. You can remove it at any time: through the “Stop receiving SOSCAN emails” link in each email (page urgence.sos-can.ca/courriel), in your profile on the Web, or by a request to the privacy officer; withdrawal does not erase an email already received. The withdrawal link carries a token specific to each email, of which the server keeps only a hash.

Legacy technical registers from earlier trials (emails, notifications) remain, without any public user. The app no longer sends them any data, and their providers, a separate Supabase project in the Canada Central region, Vercel and Resend, which stores data in the United States, no longer receive anything from the app. An email address entered during those trials can be removed by opening the withdrawal link in an email received, which leads to the site’s unsubscribe page, urgence.sos-can.ca/desinscription, or by a request to the privacy officer. Any new use of these channels would have to be explained in a new version of this policy, with the required choices.

8. Other people, minors and consent

Tell emergency contacts before writing their details. For another person’s profile, state on the site who the profile is for, obtain the necessary authorization and respect their choices about each item shared. An optional field never requires you to fill it in.

Where consent is required for a child under 14, Québec rules generally call for the holder of parental authority or tutor to act, subject to legal exceptions. Rules for young people aged 14 to 17 must also be respected; their age does not authorize automatic disclosure of medical information.

Consent to sharing on the chip and to storage in the vault is separate from accepting the terms. Declining or withdrawing these consents prevents the chosen new disclosure but does not remotely remove content already engraved or copied.

9. Retention, correction and withdrawal

You can edit or delete your profile on the Web, with a tag of the profile and your rescue card, your phrase or your passkey. Connected responders see the change immediately; the text engraved on a chip changes only at the next engraving. A lost tag is deactivated on the Web; what is engraved on its chip remains readable by whoever holds it.

The app keeps no profile; its technical events are replaced beyond ten entries. The agreements kept on the phone, the keys held for thirty minutes by your browser and operating-system backups each have their own retention lifecycle. These actions do not delete sent messages or third-party copies.

We cannot access your browser, your tag or the encrypted content of your vault to edit a profile for you, nor reopen a profile without your card, your phrase or your passkey. For information the operator actually holds, including help requests, the vault’s technical information, the contact email and the legacy registers described in section 7, you can request access, correction, portability, withdrawal of an applicable consent or deletion under the rights and limits provided by law.

10. Recipients, security and changes

The current site, app and emergency reader do not add advertising or profile analytics. This does not mean operating-system, mail or hosting providers process no technical information through their services.

No system can guarantee absolute confidentiality. Tags intended to help in an emergency are deliberately readable; limit their content. The SOSCAN vault, described in section 3a, is the only place where your profile is kept; it is filled only with your consents and SOSCAN cannot read it. Any move toward accounts, usage analytics or another form of processing must be explained before implementation, with required choices and consents. In the event of a confidentiality incident presenting a risk of serious injury, the operator notifies the Commission d’accès à l’information and the persons concerned.

Every policy version has a date and number. A policy change is not, by itself, consent to a new use of sensitive information.

11. Questions and remedies

Send privacy requests to the email listed in the operator section. A request may require proportionate identity verification; you do not need to send a copy of your medical profile at the outset.

You may also contact Québec’s Commission d’accès à l’information or, where it has jurisdiction, the Office of the Privacy Commissioner of Canada. This policy does not limit any legal remedy.