Chaque calcul de paie et d’impôt s’exécute entièrement dans votre navigateur ou sur votre téléphone. Les chiffres exacts que vous saisissez — taux horaire, salaire, heures, pourboires, cotisations REER — ne nous sont pas transmis et ne sont pas conservés par nous. La seule exception relève de votre choix : si vous créez un compte et appuyez sur « enregistrer », ce calcul est conservé pour que vous puissiez le rouvrir sur un autre appareil, et vous pouvez le supprimer à tout moment.

Pour comprendre l’usage du calculateur et publier des travaux tels que « quelles tranches de revenu les Canadiens calculent le plus, par province », nous enregistrons une fiche anonyme par calcul stabilisé. Elle contient :

• le calculateur utilisé, la province choisie et votre revenu brut sous forme de tranche (par exemple « 50 k$–70 k$ ») — jamais le montant ;
• la langue de l’interface, votre type d’appareil (téléphone, tablette ou ordinateur), la famille de navigateur, la famille de système d’exploitation et, sur certains téléphones, le fabricant — jamais la signature complète du navigateur, les dimensions d’écran ni une empreinte d’appareil ;
• la page de notre propre site où vous étiez avant de calculer (le chemin seulement — jamais un lien d’un autre site, jamais ce qui suit un « ? ») ;
• les réponses facultatives que vous choisissez de donner : le secteur auquel vous vous comparez, la raison du calcul, si le résultat correspondait à vos attentes, votre mode de travail (sur place, à distance, hybride), votre groupe d’âge, votre ancienneté, votre appartenance syndicale, la taille de votre employeur et vos jours de vacances ;
• votre horaire type lorsque vous utilisez les calculateurs de quarts ou de feuilles de temps (heures habituelles de début et de fin, jours par semaine, durée moyenne d’un quart, pause non payée) — jamais les dates réellement travaillées ;
• des fourchettes larges pour vos saisies (cotisation REER en part de la paie, prime de quart, heures supplémentaires, pourboires en part de la paie) — toujours des fourchettes ;
• si vous étiez connecté (oui/non — jamais quel compte) et, si vous rouvrez un calcul enregistré et le modifiez, le sens et l’ordre de grandeur du changement ainsi que l’ancienneté de l’original — jamais les montants ;
• l’heure et le jour de la semaine selon votre propre horloge, et le nom du fuseau horaire que déclare votre navigateur (par exemple « America/Toronto »), qui sert à vérifier la carte, non à vous situer ;
• si cet appareil a déjà enregistré un calcul — un simple indicateur oui/non stocké sur l’appareil, pas un identifiant ;
• votre position approximative, décrite à la section 3.

Les fiches d’une même visite sont regroupées par un identifiant temporaire aléatoire, supprimé à votre départ et jamais réutilisé. Ces fiches ne contiennent ni nom, ni identifiant de compte, ni adresse IP, ni empreinte d’appareil, et ne sont pas reliées à vous.

Refuser. Ouvrez n’importe quelle page du site avec ?notelemetry=1 ajouté à l’adresse et ce navigateur n’enregistrera plus rien (?notelemetry=0 réactive). Le calculateur fonctionne exactement de la même façon.

Il y a trois niveaux, et seul le premier se produit sans action de votre part.

1. À partir de votre connexion. Notre hébergeur indique à notre serveur le pays, la région et la ville d’où semble provenir votre connexion, ainsi que le point central de cette ville. Nous conservons ce point arrondi à environ 11 km. Votre adresse IP n’est pas conservée — ni dans ces fiches, ni dans des journaux que nous garderions. C’est au niveau de la ville, et c’est identique que vous répondiez ou non à ce qui suit.
2. Le début de votre code postal, si vous le saisissez. Sous le résultat, vous pouvez entrer les trois premiers caractères de votre code postal (une « région de tri d’acheminement », soit quelques milliers de ménages). En retour, vous voyez où ce revenu se situe parmi les personnes qui produisent une déclaration dans cette zone, d’après les statistiques de l’Agence du revenu du Canada. Nous ne gardons que les trois caractères. Un code postal complet de six caractères, qui désigne une quinzaine de ménages, n’est jamais accepté. Le préfixe est mémorisé sur votre appareil pour ne pas vous le redemander ; appuyez sur « Modifier » pour le remplacer, ou effacez les données de site de votre navigateur pour le supprimer.
3. La position de votre appareil, si vous appuyez sur « Utiliser ma position ». Cette fonction est désactivée tant que vous n’appuyez pas sur le bouton, et votre navigateur vous demande ensuite aussi votre accord. La position est arrondie sur votre appareil avant tout envoi : à deux décimales (environ 1 km) en zone urbaine, et à une décimale (environ 11 km) en zone rurale, où un carré d’un kilomètre peut correspondre à une seule habitation. Elle est aussi rattachée, sur votre appareil, au préfixe postal le plus proche. Ce qui nous parvient, c’est ce point arrondi et ce préfixe — jamais la lecture précise, et jamais plus d’une fois par calcul. Refuser ne change rien au calculateur, et la saisie du préfixe reste toujours possible.

Pourquoi nous le demandons, dit clairement. Les réponses au niveau du quartier nous permettent de publier et de concéder sous licence des statistiques agrégées — par exemple, combien de personnes d’une zone postale donnée ont calculé une paie dans une tranche de revenu donnée ce trimestre — à des organisations qui en ont l’usage, y compris des chercheurs, des journalistes et des entreprises immobilières ou financières. Chaque chiffre publié ou concédé est un décompte pour une zone de milliers de ménages et n’est diffusé que si au moins vingt personnes le composent. Les licenciés reçoivent des statistiques, jamais des fiches ; leurs ententes interdisent toute tentative d’identification et toute revente. Nous ne vendons, ne louons ni ne partageons de renseignements personnels.

Résidents du Québec. La fonction de localisation est désactivée par défaut et n’est activée que par votre geste, comme l’exige la Loi sur la protection des renseignements personnels dans le secteur privé ; le paragraphe ci-dessus constitue l’information que cette loi prévoit (art. 8.1). La responsable de la protection des renseignements personnels est nommée à la section 9.

Un seul témoin, et seulement si vous vous connectez. La connexion dépose un témoin nommé cp_session qui vous garde connecté pendant 30 jours. Il est essentiel à cette fonction, ne sert ni au pistage ni à la publicité, et n’est pas déposé si vous ne vous connectez pas. Nous n’utilisons aucun témoin publicitaire ni de pistage tiers ; c’est pourquoi ce site n’a pas de bandeau de témoins.

Le stockage local de votre appareil contient votre langue, vos réglages de calculateur hors connexion, l’indicateur de refus de télémétrie, le préfixe postal mémorisé et l’indicateur « a déjà calculé ». Rien de cela ne nous est transmis comme identifiant, et effacer les données de site de votre navigateur supprime le tout.

Comptage des pages vues. Un petit script que nous exploitons nous-mêmes sur Cloudflare enregistre le chemin de la page et le domaine du site référent — sans témoin, sans conservation d’adresse IP. Nous pouvons aussi activer Cloudflare Web Analytics, le compteur sans témoin de notre hébergeur. Nous n’utilisons ni Google Analytics ni aucun réseau publicitaire.

Hébergement. Le site fonctionne sur Cloudflare, qui traite chaque requête pour la servir et la protéger des abus ; Cloudflare peut conserver de courts journaux de connexion selon sa propre politique. Notre propre base de données ne reçoit jamais votre adresse IP.

Le compte est facultatif ; toutes les fonctions du calculateur marchent sans. Si vous vous connectez avec Google ou Apple, nous recevons le nom, l’adresse courriel et la photo de profil que ce fournisseur partage, et nous conservons vos calculs enregistrés, vos feuilles de temps et vos réglages pour qu’ils vous suivent d’un appareil à l’autre.

Si vous achetez un rapport, le paiement est encaissé par Stripe sur la page de Stripe ; nous ne voyons jamais votre numéro de carte. Nous gardons le dossier d’achat (produit, montant, date, courriel transmis par Stripe, province et tranche de revenu visées par le rapport) parce que la loi fiscale impose au vendeur de conserver ses registres de vente — actuellement six ans. Voir la politique de remboursement.

Supprimer votre compte. Ouvrez le menu du compte sur ce site, ou le tiroir d’historique dans l’application, et choisissez « Supprimer le compte ». Votre compte, vos calculs enregistrés, vos feuilles de temps et vos réglages sont supprimés immédiatement et définitivement. Les dossiers d’achat sont conservés sans votre nom ni votre courriel. Les statistiques anonymes des sections 2 et 3 ne sont pas touchées — elles ne contiennent rien qui puisse remonter à vous.

L’application CanPay Insights ne demande aucune permission de localisation ni d’accès aux contacts, à la caméra ou au microphone. Elle demande l’accès à la photothèque uniquement lorsque vous enregistrez l’image d’un rapport. Elle enregistre les mêmes statistiques anonymes que le site (section 2), situées au niveau de la ville d’après la connexion (section 3, niveau 1) ; les options de code postal et de position de l’appareil de la section 3 n’existent que sur le site Web.

• Des fournisseurs de services qui traitent des données pour notre compte : Cloudflare (hébergement, base de données, envoi de courriels), Stripe (paiements), Google et Apple (connexion). Chacun agit selon ses propres engagements de confidentialité et ne reçoit que ce que sa fonction exige.
• Des licenciés de statistiques agrégées, comme décrit à la section 3 — des statistiques seulement, jamais des fiches, sous des ententes interdisant la réidentification et la revente.
• Le public, par les jeux de données ouverts de notre page de données, qui contiennent les mêmes statistiques agrégées avec les petits groupes retenus.
• Les autorités, lorsque la loi l’exige.

Les données sont traitées au Canada et aux États-Unis, où nos fournisseurs exercent.

• Fiches de calcul anonymes : conservées indéfiniment, parce qu’elles constituent le jeu de données et ne contiennent rien qui vous identifie.
• Données de compte : jusqu’à la suppression du compte.
• Dossiers d’achat : six ans après l’année d’imposition de la vente, puis supprimés.
• Courriels que vous nous envoyez : le temps d’y répondre, puis archivés ou supprimés.

Vous pouvez demander quels renseignements personnels nous détenons à votre sujet, en demander la rectification, retirer votre consentement ou demander la suppression. Comme les fiches statistiques ne portent aucune identité, une demande à leur sujet ne peut être rattachée à une personne — mais le refus de la section 2 arrête tout enregistrement ultérieur depuis votre navigateur, et « Modifier » ou l’effacement des données de site retire un préfixe postal mémorisé.

Responsable de la protection des renseignements personnels : Qi Zhang, info@canpayinsights.ca. Nous répondons dans les 30 jours.

Si vous n’êtes pas satisfait, vous pouvez porter plainte au Commissariat à la protection de la vie privée du Canada (priv.gc.ca) ou, au Québec, à la Commission d’accès à l’information (cai.gouv.qc.ca).

Le Service ne s’adresse pas aux enfants de moins de 13 ans et nous ne recueillons pas sciemment leurs renseignements.

Nous modifions cette page lorsque ce que nous recueillons change, et nous l’indiquons sur le journal des modifications. Cette version ajoute les options de préfixe postal et de position arrondie sur l’appareil (section 3), la finalité de licence, le détail des témoins et de la mesure d’audience (section 4) et les coordonnées de la responsable.

Questions et demandes : info@canpayinsights.ca. CanPay Insights est exploité par Qi Zhang (Avowd), Vancouver, Colombie-Britannique, Canada.