Un logiciel du dragon Martin-Luc Archambault bafouait la vie privée

Vedette de l'émission Dans l'oeil du dragon, Martin-Luc Archambault s'est enrichi avec Wajam, un logiciel de publicités intempestives qui s'est introduit dans l'ordinateur de millions d'internautes dans le monde. Aux prises avec les conclusions sévères d'un organisme fédéral, il soutient avoir vendu son entreprise à des intérêts étrangers. Des indices laissent croire qu'il l'a plutôt déménagée sous des cieux plus cléments.

Un logiciel controversé

Le « dragon » Martin-Luc Archambault doit une partie de sa fortune à un logiciel qu'il a présenté comme un « moteur de recherche sociale à succès », mais qui s'est plutôt introduit dans l'ordinateur de millions de personnes dans le monde - souvent à leur insu - pour les bombarder de publicités intempestives.

Wajam Internet Technologies Inc., l'entreprise créée par M. Archambault en 2009 pour offrir ce logiciel, a stocké les données brutes de ces millions d'utilisateurs non consentants dans une gigantesque base de données à Montréal, alors qu'elle assurait faussement utiliser des « méthodes de chiffrement modernes » pour protéger leurs renseignements personnels.

C'est ce qui ressort d'un rapport d'enquête du Commissariat à la protection de la vie privée du Canada. Passé inaperçu lorsqu'il a été déposé, à l'été 2017, ce document conclut que Wajam a « enfreint de nombreuses dispositions de la Loi sur la protection des renseignements personnels et les documents électroniques ».

« Notre enquête a révélé que les pratiques de l'intimée avaient mené à l'installation du logiciel ainsi qu'à la collecte et à l'utilisation de renseignements personnels sans consentement valable de l'utilisateur, ce qui contrevient à la Loi. » - Extrait du rapport du Commissariat à la protection de la vie privée du Canada sur l'entreprise montréalaise Wajam

Placée devant les conclusions du Commissariat, Wajam a répliqué qu'elle ne pouvait rien y faire, puisqu'au cours de l'enquête, elle avait vendu tous ses actifs à une société chinoise. De nombreux indices laissent croire cependant que Wajam a simplement déménagé à Hong Kong (voir texte suivant).

Dans un bref entretien téléphonique avec La Presse, M. Archambault a affirmé qu'il n'avait « pas vraiment rapport là-dedans » et qu'il n'avait « pas de commentaire à faire là-dessus », avant de raccrocher. 

Par la suite, un porte-parole de M. Archambault nous a transmis une déclaration par courriel. « En 2017, Wajam a vendu ses actifs à Iron Mountain Technology Limited, à l'exception des données sur les utilisateurs canadiens, qui ont été détruites volontairement et en toute sécurité. L'entreprise a alors cessé toutes ses opérations », a assuré le porte-parole. 

Fausse promotion

M. Archambault participe à l'émission Dans l'oeil du dragon de Radio-Canada depuis 2015, année où il a aussi créé AmpMe, une application permettant de synchroniser plusieurs téléphones mobiles pour en faire une chaîne audio portable.

Investisseur en série, M. Archambault a fondé Wajam Internet Technologies Inc. avec deux associés en 2009. Le logiciel offert par Wajam permettait en principe à l'utilisateur qui faisait une requête par mots-clés sur l'internet d'avoir accès aux résultats de recherche obtenus par ses contacts dans les réseaux sociaux. « Quand vous lancez une recherche, Wajam vous montre ce que vos amis ont partagé », expliquait l'entreprise sur son site web.

Or, la réalité était tout autre, a découvert le Commissariat, qui a lancé son enquête après avoir reçu une plainte, en septembre 2016. Contrairement à ce qu'affirmait Wajam sur son site web, il n'était plus possible de lier le logiciel à Google+ depuis 2012, à LinkedIn depuis 2013 et à Facebook depuis 2014. Malgré tout, l'entreprise « a continué de promouvoir et de commercialiser fortement la capacité de lier le logiciel aux sites de médias sociaux longtemps après que les liens [eurent] cessé d'être offerts ».

Loin d'être le moteur de recherche sociale qu'il prétendait être, Wajam n'était rien de plus qu'un logiciel publicitaire distribué comme complément à d'autres logiciels sans aucun rapport - un convertisseur de fichiers PDF, par exemple - et téléchargeables gratuitement sur l'internet.

Entre 2011 et 2016, Wajam a conclu plus de 50 ententes avec des distributeurs, qui ajoutaient le logiciel à des logiciels gratuits offerts sur leurs propres sites web. Puisque Wajam rémunérait ses distributeurs chaque fois que son logiciel était installé, ces derniers avaient avantage à multiplier les installations - quitte à afficher des écrans de consentement nébuleux, imprécis ou trompeurs.

« Le modèle de distribution adopté par l'intimée semble avoir connu un franc succès - selon elle, le logiciel avait été installé des "centaines de millions" de fois au moment de l'enquête », révèle le rapport du Commissariat.

C'est ainsi que Wajam a engrangé des bénéfices nets de 4,2 millions en 2013 et de 3,6 millions en 2014. À cette époque, la valeur marchande de ses actions a été établie à 28 millions par la firme Raymond Chabot Grant Thornton.

Alors que Wajam était célébré comme un succès indéniable au Québec, son logiciel était conspué par ceux qui, partout dans le monde, subissaient ses assauts publicitaires. Par centaines, des « clients » se sont plaints à l'entreprise de ne pas avoir consenti à l'installation du logiciel - et de ne pas arriver à s'en débarrasser.

« Comment osez-vous envahir les ordinateurs des gens au moyen d'une infernale machine à pubs ? Avec tout ce que votre site crache dans mon navigateur, il m'est maintenant impossible d'utiliser le web normalement », a écrit l'un de ces utilisateurs involontaires au responsable des relations avec les clients de Wajam.

« J'ai suivi toutes les suggestions pour supprimer de mon ordinateur vos publicités non sollicitées, non commandées et non autorisées. J'ai tenté de supprimer votre logiciel à partir de tous les emplacements possibles, mais vos publicités indésirables me gâchent la vie ! » - Extrait d'un courriel adressé au responsable des relations avec les clients de Wajam

Données non chiffrées

Les enquêteurs du Commissariat à la protection de la vie privée du Canada ont également constaté que Wajam « conservait dans sa base de données principale, sous une forme non chiffrée, toutes les données originales brutes recueillies auprès des utilisateurs, même si elles renfermaient une quantité appréciable de renseignements personnels associés à des utilisateurs précis ».

Pas moins de 400 téraoctets de données - l'équivalent de 8000 disques Blu-ray double couche - étaient ainsi stockés sans protection dans les bureaux de Wajam, boulevard Saint-Laurent à Montréal. Le site web et la politique de confidentialité de l'entreprise indiquaient pourtant que les renseignements personnels des utilisateurs étaient conservés en toute sécurité grâce à des « méthodes de chiffrement modernes ».

« Dans l'ensemble, il était manifeste que l'intimée n'avait mis en place aucun cadre de gestion de la protection de la vie privée, malgré le volume de renseignements personnels sensibles », conclut le rapport d'enquête.

Pas un virus, mais...

Sans être un virus ni un logiciel malveillant, Wajam était classé comme un « logiciel potentiellement indésirable » par des articles spécialisés et des antivirus, note le rapport. Au fil du temps, le logiciel a d'ailleurs été bloqué à maintes reprises. Afin de contourner les antivirus, Wajam a enregistré au moins 221 noms de domaines entre 2014 et 2016. Avoir autant d'adresses internet lui permettait de brouiller les pistes. 

L'entreprise montréalaise procédait aussi à des mises à jour fréquentes - parfois même quotidiennes - pour éviter à son logiciel d'être « détecté et endommagé par les antivirus et les logiciels de ses concurrents », a admis Wajam aux enquêteurs.

La manoeuvre a réussi. « En dépit des efforts déployés en vue de détecter et de bloquer l'installation du logiciel, l'intimée a réussi à le faire installer des millions de fois, y compris sur des milliers et des milliers d'ordinateurs d'utilisateurs canadiens », lit-on dans le rapport.

Ceux qui cherchaient à désinstaller le logiciel en visitant le site web de Wajam étaient parfois assaillis de publicités trompeuses... sur la page même du site indiquant la procédure de désinstallation. On leur proposait, par exemple, de faux logiciels Adobe Flash et des antivirus faisant croire que leur ordinateur était infecté.

C'est le code source de Wajam qui faisait appel à ce réseau de publicités trompeuses. Interrogée par les enquêteurs du Commissariat, Wajam a prétendu qu'elle n'était pas au courant de cette pratique et a promis d'y mettre un terme.

Les enquêteurs se sont dits « étonnés » de cette ignorance : « Si les allégations de l'intimée sont vraies, il est extrêmement troublant, du point de vue de la surveillance de la sécurité, que l'intimée ignorait auparavant l'existence de ce codage et du réseau de publicité intégré à son propre site web. »

Un mystérieux acquéreur à Hong Kong

Admonestée par le Commissariat à la protection de la vie privée du Canada, Wajam Internet Technologies Inc. n'a pas tenté de corriger le tir et de se conformer à la loi. Son fondateur, Martin-Luc Archambault, soutient plutôt avoir vendu ses actifs et son logiciel à des intérêts étrangers.

Tout porte à croire, cependant, que la société montréalaise a simplement déménagé à Hong Kong.

Le 19 juin 2017, le Commissariat a fait parvenir à Wajam son rapport d'enquête préliminaire, dans lequel il relevait plusieurs infractions à la Loi sur la protection des renseignements personnels et les documents électroniques. L'organisme formulait 12 recommandations pour aider Wajam à se conformer à la Loi.

Wajam a répondu qu'elle avait vendu ses actifs à une société de Hong Kong, Iron Mountain Technology Limited (IMTL), et qu'elle n'était plus responsable des pratiques de cette entreprise en vertu de la Loi. « L'intimée a soutenu qu'elle n'était donc plus en mesure de donner suite aux recommandations du Commissariat », lit-on dans le rapport final du Commissariat.

Dans leur rapport, les enquêteurs affichent leur scepticisme : « En dépit du transfert officiel de propriété, qui a eu lieu au cours de la majeure partie de notre enquête, nous ne sommes pas certains que l'intimée et IMTL soient deux entités tout à fait distinctes. »

« Nous avons constaté qu'IMTL avait été constituée en personne morale en novembre 2016, pendant notre enquête, et que son seul administrateur se spécialisait entre autres dans les services aux entreprises et les services de délocalisation à l'intention de sociétés voulant s'établir à Hong Kong. » - Extrait du rapport d'enquête du Commissariat à la protection de la vie privée du Canada sur Wajam

Une simple recherche Google montre en effet que l'adresse hongkongaise d'IMTL est celle du Panocean Secretarial Group. Or, cette firme spécialisée dans l'incorporation d'entreprises étrangères offre justement à ses clients une adresse physique à Hong Kong, comme le requiert la loi de cette juridiction.

« Le nom de l'entreprise sera affiché dans notre zone de réception, explique Panocean Secretarial Group sur son site web. Lorsque des documents seront envoyés à l'entreprise, le client recevra un appel téléphonique/avis et/ou un envoi par courrier/fax/courriel. »

Le site web d'IMTL est, quant à lui, très sommaire. La société y est décrite comme un fonds de capital-risque en démarrage d'entreprises. Aucun nom ou numéro de téléphone n'y est affiché et le courriel que nous avons envoyé est resté sans réponse.

Trou de mémoire

Dans une courte déclaration qu'il a fait parvenir à La Presse, le porte-parole de Martin-Luc Archambault affirme que Wajam a été avisée de l'enquête du Commissariat en septembre 2016, soit plus d'un an après qu'il eut cédé la gestion quotidienne de l'entreprise à Robert Gold.

Ce dernier a été PDG de Wajam de 2015 à 2017. Sur son profil LinkedIn, il affirme avoir « vendu l'entreprise avec succès à un partenaire stratégique international ». Interrogé à ce sujet par La Presse, M. Gold a soutenu ne pas se souvenir du nom de l'acquéreur. 

« Je ne sais pas exactement, ce n'est pas moi qui ai fait la vente. C'est le propriétaire de la compagnie », a affirmé M. Gold en parlant de M. Archambault.

Ce dernier ne nous a pas davantage révélé qui était à la tête d'Iron Mountain Technology Limited. Nos questions à ce sujet sont restées sans réponse. 

Les enquêteurs du Commissariat ont eu droit au même silence. Wajam ne leur a donné « aucune information concernant la création d'IMTL, le lieu des activités quotidiennes de l'entreprise ou la personne ou l'entité exerçant dans les faits le contrôle sur l'entreprise ».

Selon leur rapport, Wajam avait pourtant conservé des liens avec l'acquéreur de Hong Kong. IMTL devait notamment verser des honoraires de consultation aux anciens employés et à un ancien actionnaire de Wajam. Elle devait également payer les actifs de Wajam « à même les bénéfices qu'elle tirerait du logiciel ».

Des soumissions dès 2013

En 2013, Martin-Luc Archambault avait l'intention de délocaliser Wajam dans une autre juridiction, révèlent des documents déposés en Cour supérieure dans le cadre d'une requête non liée au rapport du Commissariat. Les firmes Deloitte et PricewaterhouseCoopers avaient fait des soumissions en ce sens.

« L'intention à ce moment-là, et depuis mai 2013, était d'explorer les opportunités de relocalisation de l'entreprise dans une juridiction plus favorable d'un point de vue fiscal », a déclaré M. Archambault dans une déclaration sous serment déposée en Cour.

L'opération ne s'est pas concrétisée, avait-il ajouté, parce que le scénario s'était avéré « trop coûteux d'un point de vue fiscal compte tenu de la valeur beaucoup trop élevée à laquelle était arrivée » la firme Raymond Chabot Grant Thornton.

À l'époque, RCGT avait établi la valeur marchande des actions de Wajam à 28 millions de dollars.

Le Commissariat à la protection de la vie privée du Canada a contacté ses homologues à Hong Kong pour les informer que les actifs et le logiciel de Wajam avaient été achetés par une entreprise qui « relève à présent de leur juridiction », dit Tobi Cohen, porte-parole de l'organisme fédéral.

M^me Cohen prévient toutefois que « si nous devions apprendre que les activités d'IMTL ont maintenant ou dans l'avenir un lien réel et substantiel avec le Canada, la Loi sur la protection des renseignements personnels et les documents électroniques continuera de s'appliquer ».

De son côté, le Commissaire à la protection de la vie privée de Hong Kong a procédé à une vérification de conformité sur IMTL et son logiciel. « Les informations obtenues ont révélé que les dispositions réglementaires pertinentes » de la loi locale sur les renseignements personnels « n'étaient pas applicables dans ce cas-ci », nous a écrit le Commissaire Stephen Kai-yi Wong, sans donner de détails sur les propriétaires ou les activités de l'entreprise.

Train de vie princier

Yacht en Grèce, ski en Suisse, balades en hélicoptère : sur son compte Instagram, Martin-Luc Archambault semble mener une vie de pacha. Dans une acrimonieuse poursuite, un ancien associé lui a toutefois reproché d'avoir maintenu ce train de vie princier aux dépens de son entreprise, Wajam, en faisant passer ses somptueuses dépenses personnelles pour des dépenses d'entreprise.

La poursuite, aujourd'hui réglée, avait été intentée en 2015 par Olivier Cabanes, alors vice-président de Wajam et ami de Martin-Luc Archambault depuis l'école secondaire. Ensemble, les deux jeunes entrepreneurs avaient mis sur pied plusieurs boîtes technos. Certaines avaient eu du succès, d'autres pas.

La bisbille a éclaté quand Wajam Internet Technologies Inc. s'est mise à engranger les millions.

C'est que M. Archambault, s'attribuant le plus grand mérite du succès de Wajam, estimait qu'il devait lui revenir une plus grande part du gâteau. M. Cabanes n'était pas d'accord. La relation entre les deux amis s'est rapidement envenimée.

M. Cabanes a intenté une poursuite contre M. Archambault, croyant que ce dernier tentait de s'attribuer une compensation plus substantielle que celle à laquelle il aurait raisonnablement eu droit.

Soupçonnant M. Archambault de « se faire justice » en refilant ses dépenses personnelles à Wajam, M. Cabanes a aussi donné le mandat à la firme KPMG d'analyser les chiffres de l'entreprise. Dans ses conclusions préliminaires, rendues en mars 2015, la firme a estimé que M. Archambault avait effectivement accumulé plus de 800 000 $ de « dépenses à risque ».

M. Archambault a remboursé sans tarder ces dépenses à Wajam, en attendant que la firme KPMG ne fasse toute la lumière sur la situation. La Presse n'a pas eu accès aux conclusions du rapport final.

Entre autres dépenses réclamées à l'entreprise : l'enterrement de vie de garçon d'un ami de M. Archambault à Ibiza (23 000 $) ; celui de son frère à New York (14 700 $) ; un tableau, un robot à ping-pong et un bain vapeur à aromathérapie (total 19 800 $) ; des voyages en Guadeloupe, aux Maldives et ailleurs.

Des « erreurs »

Dans une déclaration sous serment, M. Archambault a expliqué que ces voyages avaient été effectués avec des relations d'affaires. « Je reconnais qu'il est possible que des erreurs aient été commises dans la gestion de mon compte de dépenses, gestion que je ne supervisais pas de façon régulière ni étroite », a-t-il par ailleurs déclaré.

En effet, deux anciennes comptables de Wajam ont raconté dans une déclaration sous serment que M. Archambault leur remettait chaque mois des reçus pêle-mêle dans un gros sac ziploc. L'une d'elles a mis « une semaine à temps plein » à départager les reçus que son patron avait accumulés durant le seul mois de février 2015.

Les deux comptables ont déclaré que M. Archambault insistait fortement pour que ses dépenses personnelles soient comptabilisées à titre de dépenses d'entreprise.

M. Cabanes a aussi reproché à son associé d'avoir fait encourir à Wajam des dépenses liées à sa promotion personnelle, alors qu'il s'apprêtait à occuper un fauteuil de Dragon à Radio-Canada. Début 2015, Wajam a notamment payé 25 800 $ pour la production de capsules vidéo destinées à promouvoir l'image de M. Archambault.

Ce dernier s'est défendu en affirmant que son associé voulait profiter de son futur statut de vedette pour l'extorquer.

« Cabanes a profité du moment même où j'allais devenir une personnalité publique en raison de mes apparitions à venir à la télévision à compter du 6 avril 2015, afin de tenter de m'extorquer », a-t-il soutenu dans une déclaration sous serment. Selon lui, M. Cabanes voulait le forcer à racheter ses actions à un prix exorbitant.

M. Archambault et M. Cabanes ont refusé d'accorder une interview à La Presse. Ils ont réglé leur litige à l'amiable en juin 2017.