Data Processing Agreement

1. Scope / Portée

This DPA governs the processing of personal data by Axia ("Processor") on behalf of its subscribers ("Controller") in accordance with Québec Law 25 (An Act to modernize legislative provisions as regards the protection of personal information), Canada's PIPEDA, and applicable provincial privacy legislation.

Ce DPA régit le traitement des données personnelles par Axia (« Sous-traitant ») pour le compte de ses abonnés (« Responsable du traitement ») conformément à la Loi 25 du Québec, à la LPRPDE fédérale et aux lois provinciales applicables.

2. Data Processed / Données traitées

• Business name, sector, and province / Nom d'entreprise, secteur, province
• Chat messages and AI-generated responses / Messages et réponses générées
• Financial estimates entered by the user (income, installment amounts) / Estimations financières saisies
• Email address for authentication / Adresse courriel pour l'authentification
• Accountant email (optional) / Courriel du comptable (optionnel)

Axia does not collect SIN, SIN, banking credentials, or CRA login information. / Axia ne collecte pas de NAS, identifiants bancaires ni accès ARC.

3. Subprocessors / Sous-traitants

4. Your Rights — Law 25 / Vos droits — Loi 25

• Access / Accès — request a copy of all data held about you
• Rectification — correct inaccurate personal data
• Erasure / Suppression — delete your account and all associated data (including AI memory, stored in Canada) from Settings → Account → Delete account
• Portability — export your conversation history via the Transcript (.txt) download in the chat header
• Objection — opt out of AI memory storage by contacting support

To exercise any right, email privacy@cadieuxai.com or use the in-app deletion flow. We respond within 30 days as required by Law 25 §37.

5. Security / Sécurité

• All data in transit encrypted via TLS 1.2+ / Toutes les données en transit chiffrées
• Supabase data at rest encrypted (AES-256) / Données au repos chiffrées
• Row-Level Security (RLS) enforced on all Supabase tables
• PII redaction layer before any data is sent to Anthropic / Couche de désidentification avant tout envoi à Anthropic
• No data used to train third-party AI models / Aucune donnée utilisée pour entraîner des modèles tiers

6. Data Residency / Résidence des données

All persistent storage — including database, conversation history, and AI memory (the memory_snapshots table, self-hosted on Supabase pgvector with locally-generated embeddings) — is located in AWS ca-central-1 (Montréal, Canada). Profile, conversation, message, and memory data therefore reside in Canada at rest, and AI memory is no longer routed through any foreign sub-processor.

Tout le stockage persistant — incluant la base de données, l'historique des conversations et la mémoire IA (table memory_snapshots, auto-hébergée sur Supabase pgvector avec des vecteurs générés localement) — est situé en AWS ca-central-1 (Montréal, Canada). Les données de profil, de conversation, de messages et de mémoire résident donc au Canada au repos, et la mémoire IA ne transite plus par aucun sous-traitant étranger.

One sub-processor still processes data outside Canada: Anthropic (Claude API, USA) — used to generate chat replies and to extract durable facts for memory. Only sanitized message content — with personal identifiers replaced by placeholders via our compliance layer (see §5) — is transmitted to it, never raw personal information. / Un seul sous-traitant traite encore des données hors Canada : Anthropic (API Claude, États-Unis) — utilisé pour générer les réponses de clavardage et pour extraire les faits durables destinés à la mémoire. Seul un contenu assaini — avec les identifiants personnels remplacés par des substituts via notre couche de conformité (voir §5) — lui est transmis, jamais de renseignements personnels bruts.