Politique de confidentialité
La protection des renseignements personnels est notre métier - voici comment nous appliquons à nous-mêmes les règles de la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25). Cette politique couvre le site conformitepme.ca, votre compte client, notre infolettre et l'ensemble de nos outils :
- Audit Loi 25 - analyse de votre site web;
- Scan Loi 96 - analyse linguistique de votre site web;
- Prévention du harcèlement psychologique - questionnaire et politique générée;
- Travail des enfants - questionnaire et trousse employeur;
- Registre de preuve - diffusion de vos documents à votre personnel et accusés de réception (voir la section 8, qui lui est entièrement consacrée).
1. But de la collecte - pourquoi nous recueillons vos renseignements
Nous recueillons des renseignements personnels uniquement aux finalités suivantes, déterminées avant toute collecte :
- Fournir les audits de site web (Loi 25, Loi 96) : analyser le site que vous soumettez et vous en présenter les résultats;
- Fournir les outils à questionnaire (prévention du harcèlement, travail des enfants) : évaluer les pratiques de votre entreprise à partir de vos réponses, puis produire la politique ou la trousse correspondante;
- Diffuser vos documents à votre personnel, si vous utilisez le registre de preuve, et consigner qui les a reçus et lus;
- Gérer votre compte client : création, authentification et historique de vos audits;
- Traiter vos achats : facturation du livrable et livraison par courriel;
- Vous transmettre notre infolettre, uniquement si vous y avez consenti (désabonnement en un clic);
- Assurer la sécurité du service : prévention des abus (limite d'utilisation) et journalisation technique.
Les questionnaires portent sur les pratiques de votre entreprise, pas sur des personnes : nous ne vous demandons jamais de nommer un salarié, une victime ou une personne mise en cause. Si vous saisissez malgré tout un renseignement personnel dans un champ libre, il suit les mêmes règles de conservation et de sécurité que le reste de votre dossier.
Nous ne recueillons que les renseignements nécessaires à ces fins, et nous ne les utilisons à aucune autre fin sans votre consentement. Nous ne vendons jamais vos renseignements.
2. Moyens de collecte - comment ils sont recueillis
- Directement auprès de vous, lorsque vous remplissez un formulaire : création de compte (prénom, nom, courriel, mot de passe), demande d'audit (adresse du site web), réponses aux questionnaires de conformité, abonnement à l'infolettre (courriel);
- Auprès de votre entreprise, pour le registre de preuve : les adresses courriel de votre personnel, et leur nom si vous le fournissez - c'est vous qui les saisissez, et rien d'autre n'est demandé;
- Automatiquement lors de votre navigation : notre serveur journalise l'adresse IP et les pages consultées; l'adresse IP sert aussi à appliquer la limite d'audits gratuits (recueillie et conservée temporairement);
- Par notre processeur de paiement (Stripe) lors d'un achat : nous recevons une confirmation de paiement et votre courriel, jamais votre numéro de carte.
Témoins (cookies) : ce site n'utilise que des témoins essentiels - un témoin de session pour vous garder connecté à votre compte. Aucun témoin publicitaire, de profilage ou de mesure d'audience n'est déposé. Si nous en ajoutions, votre consentement serait demandé au préalable via notre bandeau.
Mesure d'audience, sans témoin : nous mesurons la fréquentation du site avec Cloudflare Web Analytics, un outil qui ne dépose aucun témoin, n'utilise aucun identifiant et ne constitue aucun profil. Nous voyons des totaux agrégés - pages consultées, provenance, pays, temps de chargement - jamais un visiteur en particulier. C'est ce qui nous permet d'améliorer le site sans collecter de renseignements personnels à cette fin.
3. Durée de conservation
| Renseignements | Durée de conservation |
|---|---|
| Compte client (profil, historique d'audits) | Jusqu'à la suppression de votre compte, ou 36 mois d'inactivité |
| Résultats d'audits anonymes | 24 mois |
| Réponses aux questionnaires de conformité | Avec votre compte - supprimées avec lui |
| Registre de preuve : personnel de votre entreprise (courriel, nom facultatif) | Tant que vous les inscrivez - un départ marque la personne comme retirée sans effacer ses accusés |
| Registre de preuve : diffusions et accusés de réception | Avec votre compte : ils sont votre preuve de diligence |
| Factures et registres de vente | 7 années (obligations fiscales) |
| Adresse IP (limite de scans gratuits) | 1 heure |
| Journaux techniques du serveur | 90 jours |
| Infolettre (courriel, consentement) | Jusqu'à votre désabonnement |
Au terme de ces périodes, les renseignements sont supprimés de façon sécuritaire ou anonymisés.
4. Mesures de sécurité
Nous protégeons vos renseignements par des mesures proportionnées à leur sensibilité :
- Chiffrement des communications (HTTPS/TLS) sur tout le site;
- Mots de passe protégés par hachage robuste (bcrypt) - jamais stockés en clair;
- Accès restreint aux systèmes, réservé au personnel autorisé;
- Paiements traités par Stripe (certifié PCI-DSS) - aucun numéro de carte ne transite par nos serveurs;
- Sauvegardes régulières et cloisonnement des bases de données;
- Registre des incidents de confidentialité et procédure de notification : en cas d'incident présentant un risque de préjudice sérieux, nous aviserons les personnes concernées et la Commission d'accès à l'information.
5. Communication et transferts hors Québec
Vos renseignements sont hébergés au Canada, sur des serveurs situés à Toronto (DigitalOcean). Certains de nos fournisseurs de services traitent toutefois des renseignements à l'extérieur du Québec, notamment aux États-Unis et dans l'Union européenne. Avant chaque communication hors Québec, nous procédons à une évaluation des facteurs relatifs à la vie privée (art. 17) et nous nous assurons contractuellement d'une protection adéquate :
| Fournisseur | Rôle | Localisation |
|---|---|---|
| DigitalOcean | Hébergement des serveurs et des données | Canada (Toronto) |
| Cloudflare | Sécurité réseau, DNS et mesure d'audience sans témoin | États-Unis (réseau international) |
| Stripe | Traitement des paiements | États-Unis |
| Brevo | Envoi de courriels transactionnels | Union européenne (France) |
6. Vos droits
Conformément à la Loi 25, vous pouvez en tout temps :
- Accéder aux renseignements personnels que nous détenons sur vous;
- En demander la rectification s'ils sont inexacts ou incomplets;
- Demander leur suppression (retrait de votre compte, désabonnement);
- Retirer votre consentement à l'infolettre ou à toute utilisation facultative;
- Demander la cessation de diffusion de renseignements vous concernant.
Pour exercer vos droits, écrivez-nous à l'adresse ci-dessous. Nous répondons dans un délai maximal de 30 jours. Si vous êtes insatisfait de notre réponse, vous pouvez adresser une plainte à la Commission d'accès à l'information du Québec.
7. Coordonnées du responsable de la protection des renseignements personnels
Simon Desjardins-Hogue, Président
9467-0775 Québec inc. (Conformité PME)
Courriel : [email protected]
Pour toute question sur cette politique, sur nos pratiques ou pour nous joindre au sujet de vos renseignements personnels, communiquer avec le responsable aux coordonnées ci-dessus.
8. Le registre de preuve : traitement pour le compte de votre entreprise
Un seul de nos outils touche aux renseignements de votre personnel, et il ne le fait qu'à votre demande : le registre de preuve, qui remet vos documents de conformité à vos employés et conserve la trace de qui les a reçus et lus. Notre rôle y est différent du reste du site : vous êtes le responsable de ces renseignements au sens de la Loi 25, et nous agissons comme votre fournisseur de services (art. 18.3).
- Le minimum : l'adresse courriel de la personne, et son nom seulement si vous le fournissez. Aucun titre, aucun service, aucun numéro.
- Une seule finalité : lui remettre vos documents et consigner l'accusé de réception. Ces adresses ne rejoignent jamais notre infolettre et ne servent à rien d'autre.
- Aucune mesure de comportement : nous consignons qu'un document a été ouvert et accusé, avec sa date. Rien d'autre n'est observé, et aucun de nos outils ne teste ni n'évalue votre personnel.
- Retrait n'est pas effacement : une personne qui quitte votre entreprise cesse de recevoir vos envois, et ses accusés de réception subsistent tant qu'ils vous servent de preuve. L'effacement se demande.
Si vous êtes l'employé d'une entreprise qui utilise le registre et souhaitez exercer vos droits, adressez-vous d'abord à votre employeur, qui en est le responsable. Vous pouvez aussi nous écrire aux coordonnées de la section 7 : nous relaierons votre demande.
Nos autres outils ne s'adressent qu'à la personne qui les utilise. Les questionnaires portent sur les pratiques de votre entreprise - le nombre de personnes concernées, les procédures, les mesures prises - et aucun champ ne demande de nommer quelqu'un.
Modifications de cette politique
Toute modification importante sera publiée sur cette page avec une nouvelle date de mise à jour. Les services étant destinés aux entreprises, ils ne s'adressent pas aux mineurs de moins de 14 ans et nous ne recueillons pas sciemment leurs renseignements.