Privacy Policy

Version: April 2026

Public document outlining Activity Messenger's personal information handling practices.

This document should be read together with Activity Messenger's Terms of Use, SLA, and PSI.

1. Introduction

BEFORE USING OUR WEBSITE AND OUR APPLICATIONS, PLEASE READ THIS PRIVACY POLICY (the "Policy") CAREFULLY.

This Policy describes how Activity Messenger collects, uses, discloses, retains, and protects personal information processed through its website, software platform, and related services.

Activity Messenger is a software platform used in particular by municipal, recreational, community, and other organizations to manage registrations, forms, payments, communications, activities, and certain administrative operations.

This Policy primarily applies to personal information processed directly by Activity Messenger as a service provider. When Activity Messenger processes information on behalf of a client, that client remains responsible for its own obligations toward the individuals concerned, including obtaining any required consents, determining the purposes of processing, setting the applicable retention period, and handling access or correction requests that fall within its organization.

This Policy is intended to comply with applicable Canadian and Quebec laws governing the protection of personal information.

1.1 Definitions

For the purposes of this Policy, the following terms have the meanings set out below:

"Account": An account created within the Activity Messenger platform to access the authorized features of the service.

"Client": An organization subscribed to Activity Messenger for its operational, administrative, or communication needs.

"Authorized User": A natural person to whom a client grants access to all or part of the platform.

"Personal Information": Any information relating to a natural person that directly or indirectly identifies that person.

"Subprocessor": A third-party service provider used by Activity Messenger to support hosting, payments, web analytics, or other governed service functions.

2. Personal information we collect

We collect only the personal information necessary to operate the platform, provide the service, manage the business relationship, secure the service, and comply with our legal obligations.

Depending on the context, the categories of personal information processed by Activity Messenger may include:

2.1 Data relating to clients and authorized users

• First name, last name, email address, mobile or business phone number, and other contact details;
• Login identifiers, account-related information, and technical connection logs;
• Billing information and administrative information related to the subscription;
• Communication preferences, support requests, and information provided during exchanges with our team.

2.2 Data processed on behalf of clients

• Contact details of participants, end customers, or members managed by our clients;
• Demographic and administrative data entered into forms or management tools;
• Payment data required to process transactions;
• Other information submitted by a client or its customers in the normal use of the service.

2.3 Sensitive or specific information

Certain categories may present a higher level of sensitivity, including banking information, certain internal payroll data, and the social insurance number when it must be processed for an applicable program, for example for a tax slip such as RL-24 when such processing is required.

3. Consent

Consent to the collection, use, and disclosure of personal information must be clear, free, informed, and given for specific purposes, unless an exception provided by law applies.

When you interact directly with Activity Messenger, your consent may be provided verbally, in writing, electronically, or may result from your voluntary provision of information in a context where the purpose is clear.

When we process information on behalf of a client, we assume that the client is acting within the limits set by applicable laws and has obtained the necessary authorizations from the individuals concerned.

4. Security and governance

Information security and the protection of personal information are a priority for Activity Messenger. We have adopted policies, practices, and technical, administrative, and organizational measures that are appropriate to the sensitivity of the information processed.

Martin Drapeau is designated as the person responsible for the protection of personal information. Activity Messenger also maintains a data security committee composed of Martin Drapeau, Samuel Garant, and Jonathan Thivierge. This committee meets four times per year and oversees the evolution of practices, rules, and directions relating to information security.

Internal security and privacy training is provided twice a year to the entire team. This Policy and related documents are reviewed periodically, including an annual review of the security framework.

4.1 Administrative and organizational measures

• Confidentiality obligations applicable to employees;
• Criminal background checks every two years for employees;
• Management of roles, permissions, and access based on job functions;
• Confidential handling of complaints and maintenance of an internal incident register;
• Oversight of critical subprocessors through contractual and security requirements.

4.2 Technical measures

• Hosting on Amazon Web Services (AWS) in Canada, in the ca-central-1 region, under a shared responsibility model;
• Encryption of communications using TLS;
• Protection of data at rest, including Amazon RDS encryption with AWS KMS;
• CSRF protection, secure authentication mechanisms, and strict logical segregation of data between organizations;
• Daily backups with a 30-day operational retention period;
• Vulnerability monitoring, periodic assessments, and an annual penetration test;
• Logging of access and relevant operations in accordance with applicable internal rules.

5. Use of personal information

Activity Messenger uses personal information only for legitimate purposes that are necessary for the operation of its business and the provision of the service. Depending on the context, these purposes include in particular:

5.1 Main purposes

• provide, operate, maintain, and secure the platform and its components;
• create, administer, and authenticate accounts;
• manage registrations, forms, payments, communications, automations, and service modules;
• provide technical support, maintenance, client assistance, and, where relevant, certain training activities related to the service;
• manage subscriptions, billing, and administrative communications;
• respond to requests, complaints, incidents, or legal obligations;
• improve the service, including through technical, statistical, or aggregated data where permitted.

5.2 Internal access limitation

Employees whose functions require it, particularly within the customer success and development teams, may have "Super Admin" access in order to provide support, maintenance, certain technical interventions, and day-to-day operations. This access does not permit voluntary consultation of a client's information in the absence of a legitimate operational reason. Random access reviews are carried out.

6. Disclosure of personal information

Activity Messenger does not sell personal information and discloses it only to persons or entities that need to know it in circumstances permitted by law or necessary to provide the service.

6.1 Disclosure to subprocessors and critical providers

Activity Messenger uses certain third-party services to support operation of the platform, including AWS for hosting, Stripe for payment processing, and Google Analytics for web analytics. These providers have access only to the information necessary to supply their services and are governed by appropriate contractual and security measures. A more complete list of critical subprocessors is available in Activity Messenger's Subprocessor Policy.

6.2 Disclosure to authorities and professionals

We may disclose personal information when required or permitted by law, court order, judicial decision, regulatory requirement, or to defend our rights. In such cases, we limit the disclosure to what is required and take reasonable measures to protect the confidentiality of the information concerned.

6.3 Location and transfers

Data processed in connection with the service is hosted in Canada. Under the current operating framework described in the PSI, Activity Messenger does not use subprocessors outside Canada and does not intend to carry out cross-border data transfers within the scope of this Policy.

Should a transfer outside Quebec or Canada ever be contemplated, Activity Messenger would first carry out the required assessments and implement appropriate contractual and organizational safeguards.

7. Retention and destruction

We retain personal information only for as long as necessary for the purposes for which it was collected, to comply with our legal, regulatory, tax, or contractual obligations, or to protect our legitimate interests.

Unless otherwise required, data associated with a terminated account or service is deleted within 90 days. Certain residual technical traces may nonetheless remain temporarily, including in connection logs or certain backup copies, for a period of up to 12 months where required for security, technical integrity, or audit purposes.

Activity Messenger performs daily backups and maintains a 30-day operational retention period. Restorations are tested periodically.

8. Privacy incidents and complaints

Any complaint relating to the protection of personal information may be sent to privacy@activitymessenger.com. Complaints are handled confidentially and are recorded in a separate file.

In the event of a privacy or security incident, Activity Messenger takes reasonable measures to contain the event, assess its impact, document the incident in its internal register, and inform the affected clients according to the severity and nature of the event, in accordance with applicable legal requirements.

For guidance purposes, the operational communication logic provides for diligent communication according to the severity level of the incident. This logic does not replace applicable legal obligations or more specific contractual commitments.

9. Your rights

Subject to the limits provided by law and the respective roles of Activity Messenger and its clients, individuals may request access to their personal information, its correction or deletion, withdrawal of applicable consent, or, where provided by law, communication of their information in a commonly used technological format.

Where Activity Messenger acts on behalf of a client, requests relating to information processed in that context should generally first be addressed to the person responsible for the protection of personal information within the relevant organization. Activity Messenger will then cooperate with its client in accordance with the applicable contractual obligations.

For any question or request that falls directly under Activity Messenger, you may write to privacy@activitymessenger.com. We will process requests within the time limits provided by law, subject to applicable exceptions.

10. Cookies and similar technologies

Activity Messenger uses cookies and similar technologies to ensure the proper functioning of the website and platform, maintain secure sessions, and measure website usage in an aggregated form.

Strictly necessary cookies are required for security, service continuity, authentication, and certain technical preferences. We also use Google Analytics to measure, in an aggregated and not directly identifiable manner, certain website usage indicators, such as pages viewed, visit duration, or device type.

You can configure your browser to block or delete cookies. However, some website or platform features may then not function properly.

11. Person responsible for the protection of personal information

The person responsible for the protection of personal information at Activity Messenger is Martin Drapeau.

For any question, request, or complaint relating to this Policy, you may contact us at: privacy@activitymessenger.com.

12. Changes to the Policy

Activity Messenger may modify this Policy to reflect changes in its practices, services, providers, or legal obligations. The version in force will be the version published through Activity Messenger's official channels.

Date of this version: April 2026.

Quick summary

Hosting

Canada, AWS ca-central-1.

Backups

Daily; 30-day operational retention.

End of service

Deletion within 90 days, subject to temporary technical traces for up to 12 months.

Payments

Processed by Stripe; card data does not transit through AM servers.

Security

TLS, encryption at rest, CSRF, vulnerability monitoring, annual penetration test.

Privacy requests

privacy@activitymessenger.com

Politique de confidentialité

Version : Avril 2026

Document public encadrant les pratiques de traitement des renseignements personnels par Activity Messenger.

Le présent document doit être lu conjointement avec les Conditions d'utilisation, le SLA et le PSI d'Activity Messenger.

1. Introduction

AVANT D'UTILISER NOTRE SITE WEB ET NOS APPLICATIONS, VEUILLEZ LIRE ATTENTIVEMENT LA PRÉSENTE POLITIQUE DE CONFIDENTIALITÉ (la « Politique »).

La présente Politique décrit la manière dont Activity Messenger recueille, utilise, communique, conserve et protège les renseignements personnels traités dans le cadre de son site Web, de sa plateforme logicielle et des services qui y sont associés.

Activity Messenger est une plateforme logicielle utilisée notamment par des organisations municipales, récréatives, associatives et autres organisations afin de gérer des inscriptions, formulaires, paiements, communications, activités et certaines opérations administratives.

La présente Politique vise principalement les renseignements personnels traités directement par Activity Messenger à titre de fournisseur de service. Lorsque Activity Messenger traite des renseignements pour le compte d'un client, ce client demeure responsable de ses propres obligations envers les personnes concernées, incluant l'obtention des consentements requis, la détermination des finalités, la durée de conservation applicable et la gestion des demandes d'accès ou de rectification qui relèvent de son organisation.

La présente Politique vise la conformité aux lois canadiennes et québécoises applicables en matière de protection des renseignements personnels.

1.1 Définitions

Aux fins de la présente Politique, les expressions suivantes s'entendent comme suit :

« Compte » : Compte créé dans la plateforme Activity Messenger afin d'accéder aux fonctionnalités autorisées du service.

« Client » : Organisation abonnée à Activity Messenger pour ses besoins opérationnels, administratifs ou de communication.

« Utilisateur autorisé » : Personne physique à qui un client donne accès à tout ou partie de la plateforme.

« Renseignement personnel » : Tout renseignement concernant une personne physique et permettant, directement ou indirectement, de l'identifier.

« Sous-traitant » : Fournisseur de service tiers utilisé par Activity Messenger pour soutenir l'hébergement, le paiement, l'analytique Web ou d'autres fonctions encadrées du service.

2. Renseignements personnels que nous collectons

Nous recueillons uniquement les renseignements personnels nécessaires à l'exploitation de la plateforme, à la prestation du service, à la gestion de la relation d'affaires, à la sécurité du service et au respect de nos obligations légales.

Selon le contexte, les catégories de renseignements personnels traitées par Activity Messenger peuvent inclure :

2.1 Données concernant les clients et utilisateurs autorisés

• Nom, prénom, adresse courriel, numéro de téléphone mobile ou professionnel et autres coordonnées de contact;
• Identifiants de connexion, informations liées au compte et journaux techniques de connexion;
• Informations de facturation et renseignements administratifs liés à l'abonnement;
• Préférences de communication, demandes de support et informations fournies lors d'échanges avec notre équipe.

2.2 Données traitées pour le compte des clients

• Coordonnées des participants, clients finaux ou membres gérés par nos clients;
• Données démographiques et administratives saisies dans des formulaires ou outils de gestion;
• Données de paiement nécessaires au traitement des transactions;
• Autres renseignements transmis par un client ou sa clientèle dans le cadre de l'utilisation normale du service.

2.3 Renseignements sensibles ou particuliers

Certaines catégories peuvent présenter un niveau de sensibilité plus élevé, notamment les informations bancaires, certaines données de paie internes, ainsi que le numéro d'assurance sociale lorsqu'il doit être traité pour un programme applicable, par exemple aux fins d'un relevé fiscal comme le RL-24 lorsque ce traitement est requis.

3. Consentement

Le consentement à la collecte, à l'utilisation et à la communication des renseignements personnels doit être manifeste, libre, éclairé et donné à des fins spécifiques, sauf lorsqu'une exception prévue par la loi s'applique.

Lorsque vous interagissez directement avec Activity Messenger, votre consentement peut être donné verbalement, par écrit, par voie électronique ou résulter de votre fourniture volontaire d'information dans un contexte où la finalité est claire. Lorsque nous traitons des renseignements pour le compte d'un client, nous présumons que ce client agit dans les limites fixées par les lois applicables et qu'il a obtenu les autorisations nécessaires auprès des personnes concernées.

4. Sécurité et gouvernance

La sécurité de l'information et la protection des renseignements personnels constituent une priorité pour Activity Messenger. Nous avons adopté des politiques, des pratiques et des mesures techniques, administratives et organisationnelles adaptées à la sensibilité des renseignements traités.

Martin Drapeau est désigné comme responsable de la protection des renseignements personnels. Activity Messenger maintient également un comité de sécurité des données composé de Martin Drapeau, Samuel Garant et Jonathan Thivierge. Ce comité se réunit quatre fois par année et veille à l'évolution des pratiques, règles et orientations en matière de sécurité de l'information.

Des formations internes en sécurité et confidentialité sont offertes deux fois par année à l'ensemble de l'équipe. La présente Politique et les documents connexes font l'objet d'une révision périodique, incluant une révision annuelle du cadre de sécurité.

4.1 Mesures administratives et organisationnelles

• Engagements de confidentialité applicables aux employés;
• Vérifications d'antécédents criminels tous les deux ans pour les employés;
• Gestion des rôles, des permissions et des accès selon les fonctions;
• Traitement confidentiel des plaintes et tenue d'un registre interne des incidents;
• Encadrement des sous-traitants critiques par des exigences contractuelles et de sécurité.

4.2 Mesures techniques

• Hébergement sur Amazon Web Services (AWS) au Canada, dans la région ca-central-1, selon un modèle de responsabilité partagée;
• Chiffrement des communications au moyen de TLS;
• Protection des données au repos, notamment par chiffrement Amazon RDS avec AWS KMS;
• Protection CSRF, mécanismes d'authentification sécurisés et séparation logique stricte des données entre organisations;
• Sauvegardes quotidiennes avec rétention opérationnelle de 30 jours;
• Surveillance des vulnérabilités, analyses périodiques et test d'intrusion annuel;
• Journalisation des accès et opérations pertinentes selon les règles internes applicables.

5. Utilisation des renseignements personnels

Activity Messenger utilise les renseignements personnels uniquement aux fins légitimes et nécessaires à l'exploitation de ses activités et à la prestation du service. Selon le contexte, ces fins comprennent notamment :

5.1 Finalités principales

• fournir, exploiter, maintenir et sécuriser la plateforme et ses composantes;
• créer, administrer et authentifier les comptes;
• gérer les inscriptions, formulaires, paiements, communications, automatisations et modules du service;
• offrir le support technique, la maintenance, l'accompagnement client et, lorsque pertinent, certaines activités de formation liées au service;
• gérer l'abonnement, la facturation et les communications administratives;
• répondre aux demandes, plaintes, incidents ou obligations légales;
• améliorer le service, notamment à l'aide de données techniques, statistiques ou agrégées lorsque cela est permis.

5.2 Limitation d'accès interne

Les employés dont les fonctions le requièrent, notamment au sein des équipes de succès client et de développement, peuvent disposer d'un accès de type « Super Admin » afin d'assurer le support, la maintenance, certaines interventions techniques et les opérations quotidiennes. Cet accès ne permet pas une consultation volontaire des renseignements d'un client en l'absence d'un motif opérationnel légitime. Des revues aléatoires des accès sont effectuées.

6. Communication des renseignements personnels

Activity Messenger ne vend pas les renseignements personnels et ne les communique qu'aux personnes ou entités qui doivent en prendre connaissance dans les circonstances permises par la loi ou nécessaires à la prestation du service.

6.1 Communication à des sous-traitants et fournisseurs critiques

Activity Messenger utilise certains services tiers pour soutenir l'exploitation de la plateforme, notamment AWS pour l'hébergement, Stripe pour le traitement des paiements et Google Analytics pour l'analytique Web. Ces fournisseurs n'ont accès qu'aux renseignements nécessaires à la fourniture de leurs services et sont encadrés par des mesures contractuelles et de sécurité appropriées. Une liste plus complète des sous-traitants critiques est disponible dans la Politique des sous-traitants d'Activity Messenger.

6.2 Communication aux autorités et professionnels

Nous pouvons communiquer des renseignements personnels lorsqu'une loi, une ordonnance, une décision d'un tribunal, une exigence réglementaire ou la défense de nos droits l'exige ou le permet. Dans ce contexte, nous limitons la communication à ce qui est requis et prenons des mesures raisonnables pour protéger la confidentialité des renseignements concernés.

6.3 Localisation et transfert

Les données traitées dans le cadre du service sont hébergées au Canada. Selon le cadre opérationnel actuel décrit dans le PSI, Activity Messenger ne retient pas de sous-traitants hors Canada et n'entend pas procéder à des transferts transfrontaliers de données dans le cadre visé par la présente Politique.

Dans l'éventualité où un transfert à l'extérieur du Québec ou du Canada devait être envisagé, Activity Messenger procéderait préalablement aux évaluations requises et mettrait en place les protections contractuelles et organisationnelles appropriées.

7. Conservation et destruction

Nous conservons les renseignements personnels uniquement pour la durée nécessaire aux fins pour lesquelles ils ont été recueillis, pour respecter nos obligations légales, réglementaires, fiscales ou contractuelles, ou pour protéger nos intérêts légitimes.

Sauf obligation contraire, les données liées à un compte ou à un service résilié sont supprimées dans un délai de 90 jours. Certaines traces techniques résiduelles peuvent toutefois subsister temporairement, notamment dans les journaux de connexion ou certaines copies de sauvegarde, pour une période pouvant aller jusqu'à 12 mois lorsqu'elles sont requises pour des motifs de sécurité, d'intégrité technique ou d'audit.

Activity Messenger effectue des sauvegardes quotidiennes et maintient une rétention opérationnelle de 30 jours. Les restaurations font l'objet de tests périodiques.

8. Incidents de confidentialité et plaintes

Toute plainte relative à la protection des renseignements personnels peut être transmise à privacy@activitymessenger.com. Les plaintes sont traitées de manière confidentielle et font l'objet d'un dossier distinct.

En cas d'incident de confidentialité ou de sécurité, Activity Messenger prend des mesures raisonnables pour contenir l'événement, évaluer l'impact, documenter l'incident dans son registre interne et informer les clients concernés selon la gravité et la nature de l'événement, conformément aux exigences légales applicables.

À titre indicatif, la logique opérationnelle de communication prévoit une communication diligente selon le niveau de gravité de l'incident. Cette logique ne remplace pas les obligations légales applicables ni les engagements contractuels plus précis.

9. Vos droits

Sous réserve des limites prévues par la loi et du rôle respectif d'Activity Messenger et de ses clients, les personnes concernées peuvent demander l'accès à leurs renseignements personnels, leur rectification, leur suppression, le retrait d'un consentement applicable ou, lorsque la loi le prévoit, la communication de leurs renseignements dans un format technologique couramment utilisé.

Lorsque Activity Messenger agit pour le compte d'un client, les demandes relatives aux renseignements traités dans ce contexte doivent généralement être adressées d'abord au responsable de la protection des renseignements personnels de l'organisation concernée. Activity Messenger collaborera alors avec son client conformément aux obligations contractuelles applicables.

Pour toute question ou demande relevant directement d'Activity Messenger, vous pouvez écrire à privacy@activitymessenger.com. Nous traiterons les demandes dans les délais prévus par la loi, sous réserve des exceptions applicables.

10. Cookies et technologies similaires

Activity Messenger utilise des cookies et des technologies similaires afin d'assurer le bon fonctionnement du site Web et de la plateforme, de maintenir des sessions sécurisées et de mesurer l'utilisation du site dans une forme agrégée. Les cookies strictement nécessaires sont requis pour la sécurité, la continuité de service, l'authentification et certaines préférences techniques. Nous utilisons également Google Analytics pour mesurer de façon agrégée et non directement nominative certains indicateurs d'utilisation du site Web, comme les pages consultées, la durée de visite ou le type d'appareil.

Vous pouvez configurer votre navigateur pour bloquer ou supprimer les cookies. Toutefois, certaines fonctionnalités du site Web ou de la plateforme peuvent alors ne pas fonctionner correctement.

11. Responsable de la protection des renseignements personnels

Le responsable de la protection des renseignements personnels chez Activity Messenger est Martin Drapeau.

Pour toute question, demande ou plainte relative à la présente Politique, vous pouvez communiquer avec nous à l'adresse suivante : privacy@activitymessenger.com.

12. Modification de la Politique

Activity Messenger peut modifier la présente Politique afin de refléter l'évolution de ses pratiques, de ses services, de ses fournisseurs ou de ses obligations légales. La version en vigueur sera celle publiée sur les canaux officiels d'Activity Messenger.

Date de la présente version : avril 2026.