Conçu au Canada. Exploité sur AWS. Entièrement divulgué.

Chaque document produit par blankit qui énonce un prix ou formule une recommandation — rapports de renouvellement, courriel de contestation à l’assureur, lettres de contre-proposition, rapports de soumissions et présentations des avantages sociaux, tarification des modifications de garanties et rapports sur les réclamations — porte un court avis indiquant que l’intelligence artificielle a servi à le préparer. Cet avis s’ajoute au pied de page propre au cabinet, de sorte qu’il ne peut pas être désactivé, et les documents PDF en français le portent en français.

Le rôle de l’IA est la lecture : elle relève les chiffres du renouvellement d’un assureur, d’une brochure de régime ou d’un rapport d’expérience de réclamations. La prime de renouvellement équitable est ensuite calculée par le moteur actuariel documenté de blankit, qui donne toujours la même réponse pour les mêmes données; elle n’est pas générée par un modèle. Chaque renouvellement est lu deux fois, et toute prime sur laquelle les deux lectures divergent est présentée au conseiller avec les deux chiffres.

blankit est un outil pour les conseillers en assurance collective, et non un substitut au conseiller. Les conditions d’utilisation exigent qu’un cabinet révise le travail assisté par l’IA avant qu’il parvienne à un client ou serve à une décision sur sa couverture ou sa tarification, et le rapport de renouvellement l’indique au promoteur de régime sur sa page couverture.

Paige, l’agent conversationnel des adhérents, indique aux adhérents qu’il s’agit d’un agent conversationnel d’IA — à l’écran dans l’agent conversationnel Web, et au début de chaque conversation dans les applications de clavardage où il fonctionne. Ses réponses proviennent de la brochure de régime de l’adhérent, et sur le Web chaque réponse cite la page dont elle provient. La brochure et l’assureur ont le dernier mot, et Paige le dit.

Chaque fonction d’IA de blankit utilise Claude d’Anthropic, et les conditions d’utilisation obligent chaque cabinet de la plateforme à respecter la politique d’utilisation d’Anthropic, en plus des propres règles d’utilisation acceptable de blankit. L’endroit où a lieu le traitement par l’IA est précisé sous Stockage et traitement des données.

Conçu autour des principes de la LPRPDE dès le premier jour — limitation des fins, responsabilité, accès de la personne concernée. Les consentements sont enregistrés pour chaque adhérent dans les parcours de l’agent conversationnel et d’adhésion à l’assurance maladies graves, avec des énoncés de fins explicites.

Un responsable de la protection des renseignements personnels est désigné et inscrit publiquement. Le français québécois est pris en charge de bout en bout dans les livrables destinés aux adhérents. Chaque cabinet dispose d’une boîte de réception des demandes d’accès assortie d’un délai de 30 jours. Un modèle d’évaluation des facteurs relatifs à la vie privée encadre les nouvelles fonctions qui touchent des renseignements personnels, et des évaluations sont au dossier pour le traitement par l’IA, la recherche d’adresse et la signature électronique.

Chaque catégorie de renseignements personnels que traite la plateforme est inventoriée dans notre registre interne des activités de traitement (RoPA) — source, fin, durée de conservation, sous-traitants, mécanisme de transfert. Offert aux cabinets sous entente de confidentialité.

blankit remplit la province manquante d’un client à partir de registres publics d’entreprises — le registre des sociétés fédérales de Corporations Canada et le Registraire des entreprises du Québec. Le fichier publié complet est téléchargé et apparié localement, de sorte qu’aucun nom, aucune adresse ni aucun identifiant de client n’est jamais envoyé à un service de recherche, et qu’aucun tiers n’apprend qui sont les clients d’un cabinet — ce que permettrait une API de recherche client par client. Le registre est un document public; tout ce qu’il répond peut donc être vérifié dans la déclaration elle-même. C’est aussi la preuve la moins bien classée qu’accepte la plateforme : il peut remplir une province qui n’a rien derrière elle et ne peut jamais modifier une province confirmée par un conseiller, indiquée dans un document d’assureur ou fournie par un CRM.

Un administrateur du cabinet peut fermer le compte en tout temps à partir de Paramètres → Compte, après avoir tout téléchargé — chaque dossier dans un chiffrier et chaque document client. La fermeture déconnecte tout le monde immédiatement et arrête les clés d’API et l’agent conversationnel des employés. La base de données et le stockage propres au cabinet sont ensuite supprimés, chaque fichier avec toutes ses versions antérieures, les conversations avec Rider comprises, et l’administrateur reçoit par courriel le décompte de ce qui a été supprimé. Les sauvegardes ne peuvent pas être modifiées; elles sont donc conservées pendant de courtes périodes — 28 jours pour les sauvegardes de la base de données, 25 pour la sauvegarde nocturne de la bibliothèque — et toutes les copies des données du cabinet, sauvegardes comprises, disparaissent dans les 30 jours suivant la fermeture. Les journaux de sécurité conservés pour les enquêtes sur les incidents, qui peuvent consigner des noms de fichiers et des pages consultées, ne sont pas supprimés à la fermeture et expirent selon leur propre calendrier, au plus un an.

La liste complète des tiers qui traitent des renseignements personnels pour notre compte — avec leur emplacement, la fin du traitement et le mécanisme de transfert — est publiée. Les cabinets sont avisés au moins 30 jours avant qu’un nouveau sous-traitant entre dans le chemin des données de production.

Les pratiques d’ingénierie sont conçues et documentées en fonction des critères des services de confiance (Trust Services Criteria) SOC 2 pour la sécurité, la disponibilité et la confidentialité, et nous tenons, contrôle par contrôle, un suivi de l’état de préparation par rapport à ces critères. Pour être précis sur l’état de la situation : aucun auditeur n’a encore été mandaté, aucune période d’observation n’a commencé, et blankit ne détient aucune attestation SOC 2 — ni de type I ni de type II. La prochaine étape est de mandater un cabinet indépendant de CPA. Si votre service de l’approvisionnement a besoin de preuves avant qu’un audit existe, demandez le sommaire de préparation actuel et nous vous le transmettrons, y compris ce qui reste à faire.

HTTPS uniquement à l’équilibreur de charge applicatif (TLS 1.2 ou supérieur). Le stockage RDS est chiffré avec des clés gérées par KMS. Les compartiments S3 imposent le chiffrement côté serveur (AES-256) et bloquent tout accès public au niveau des ressources du compte. Les secrets sont stockés dans AWS Secrets Manager — jamais dans le code source.

Deux systèmes de session distincts — un pour les conseillers et les administrateurs de cabinet (témoin JWT à courte durée de vie), un pour les utilisateurs du portail des adhérents (justificatifs porteurs hachés). L’accès d’un système de session à l’autre est impossible par conception — les utilisateurs du portail ne peuvent pas lire les données des conseillers, et inversement.

Les données appartenant à un cabinet ne sont pas des lignes d’une table partagée séparées par un filtre. Chaque cabinet de conseillers se voit attribuer sa propre base de données PostgreSQL, son propre compartiment S3 et sa propre clé KMS; la connexion d’un cabinet ne peut pas du tout atteindre la base de données d’un autre cabinet, de sorte qu’une lecture entre cabinets n’est pas une chose que l’application refuse de faire — c’est une chose qu’elle n’a aucun moyen de tenter. Les enregistrements du plan de contrôle (facturation, répertoire des cabinets) se trouvent dans une base de données de catalogue distincte qui ne contient aucune donnée client. C’est une propriété fixe de la plateforme et non un niveau d’abonnement : aucun forfait ne fait partager une base de données à des cabinets.

Dans la propre base de données d’un cabinet, chaque modèle contenant des données du cabinet reste cloisonné par firmId, la couche d’accès aux données injectant le filtre de locataire au niveau des requêtes — de sorte qu’une erreur de programmation dans un gestionnaire de route ne peut pas franchir une frontière, même au sein d’un locataire. Une courte liste d’exceptions explicite couvre les recherches préalables à l’authentification où le justificatif lui-même détermine le cabinet (ouverture de session, clés d’API); un test de cohérence du schéma fait échouer la compilation si tout autre modèle portant un firmId échappe au cloisonnement. Les scripts sont vérifiés de la même façon, en parcourant le graphe des importations plutôt qu’en cherchant le nom d’une fonction utilitaire.

Obligatoire pour chaque compte administrateur — un administrateur sans deuxième facteur ne peut pas accéder au produit tant qu’il n’en a pas inscrit un, et ne peut pas ensuite retirer son dernier facteur. Tout cabinet peut en outre l’exiger de chacun de ses membres. Les conseillers peuvent utiliser TOTP, un code à usage unique par courriel ou une clé d’accès WebAuthn — et une clé d’accès vérifiée permet aussi, à elle seule, une ouverture de session sans mot de passe et résistante à l’hameçonnage. Les secrets TOTP sont chiffrés au repos avec une clé AES-GCM conservée séparément de la base de données; les clés publiques des clés d’accès ne sont pas secrètes et sont stockées sans chiffrement.

Chaque action d’un conseiller qui touche des renseignements personnels ou exécute une opération privilégiée est enregistrée — qui, quoi, quand, d’où. Les journaux sont conservés sept ans tant que le compte du cabinet est ouvert — la fermeture du compte les supprime avec le reste de ses données — et ne peuvent pas être modifiés à partir de l’application. Les entrées sont aussi chaînées : chacune stocke un SHA-256 calculé sur ses propres champs et sur le hachage de l’entrée précédente, par cabinet, de sorte que modifier un champ enregistré, supprimer une entrée ou réordonner l’historique rompt la chaîne de façon arithmétique et est détectable à la vérification. Les entrées écrites avant l’existence de la chaîne ne portent aucun hachage et sont signalées comme non couvertes plutôt que comptées comme protégées.

Les sauvegardes automatisées RDS s’exécutent chaque nuit avec une restauration à un instant donné sur 28 jours, de sorte que tout moment des 28 derniers jours peut être restauré. La base de données de production est Multi-AZ — une instance de secours synchrone dans une deuxième zone de disponibilité de Montréal, basculée automatiquement par AWS. Les instantanés sont chiffrés avec la même clé KMS que la base de données active et restent dans ca-central-1.

Toutes les modifications de schéma sont des migrations sous contrôle de version, appliquées automatiquement au déploiement avec le même outil de migration qu’en développement. Les procédures de retour en arrière sont documentées pour chaque migration.

Les dépendances SaaS externes sont volontairement peu nombreuses : AWS (hébergement, IA et courriels transactionnels envoyés depuis Montréal), Stripe (facturation), deux outils du site Web qui ne reçoivent aucune donnée client (Cloudflare Turnstile pour la détection des robots, Calendly pour réserver un appel) et une connexion CRM facultative — Salesforce, HubSpot, Microsoft Dynamics 365 ou Zoho — pour les cabinets qui en font la demande. Un CRM est connecté cabinet par cabinet, n’est jamais requis et fonctionne en lecture seule — à moins que le cabinet n’active lui-même l’écriture en retour. Les autres intégrations facultatives sont aussi désactivées tant qu’un cabinet ne les active pas : Slack, Microsoft Teams, un dossier Google Drive surveillé et une boîte aux lettres Microsoft 365 ou Google connectée. Chacune est contractée sous le régime du droit canadien lorsque c’est possible, et la liste complète, avec ce que chacune reçoit et où, figure sur la page des sous-traitants.

Chaque nuit, blankit relit les données stockées de chaque cabinet et recherche les défauts qui s’affichent correctement mais sont erronés en profondeur — une période d’expérience enregistrée deux fois, un relevé de commissions compté deux fois, un document dont le fichier n’est plus là où l’enregistrement le situe. Les constats sont présentés au cabinet avec ce que chacun coûte; lorsqu’un défaut peut être réparé sans porter de jugement, la réparation est appliquée automatiquement et à chaque cabinet, y compris aux cabinets intégrés après sa rédaction. Une vérification qui ne peut pas s’exécuter est signalée comme telle et jamais comme un résultat sans anomalie.

Un guide d’intervention documenté encadre le triage des incidents, l’avis aux autorités de réglementation (Loi 25 / LPRPDE) et l’avis aux cabinets dans les 72 heures suivant la confirmation. Des exercices sur table sont prévus deux fois par année; le plus récent a eu lieu en juillet 2026.