Politique de confidentialité

Version à valider juridiquement. Les durées de conservation, modalités commerciales et désignation proposées restent soumises à confirmation. Ce texte ne constitue pas une attestation de conformité ni la preuve que toutes les mesures décrites sont déjà mises en œuvre.

Finalités et catégories de renseignements personnels

La présente politique vise à encadrer les traitements conformément à la Loi sur la protection des renseignements personnels dans le secteur privé du Québec, telle que modifiée notamment par la Loi 25, ainsi qu’aux autres lois applicables, dont la législation fédérale lorsque son champ d’application est rempli.

Pour le formulaire de contact, les renseignements demandés comprennent le nom, l’organisation, le courriel, le téléphone facultatif, le sujet et le message. La version linguistique et, le cas échéant, la source de la demande peuvent être associées à l’envoi. Le texte libre peut contenir d’autres renseignements que la personne choisit de transmettre; elle doit les limiter au nécessaire.

Ces renseignements sont utilisés pour :

répondre à la demande et organiser un échange pertinent;
déterminer le service ou l’interlocuteur approprié;
préparer et suivre une proposition ou une relation contractuelle, si un échange s’engage;
prévenir les abus et assurer la sécurité des échanges;
satisfaire aux obligations légales applicables.

La collecte est limitée aux renseignements nécessaires. Les renseignements ne sont ni vendus ni loués. Une demande de contact n’autorise pas automatiquement une inscription à une infolettre, une prospection récurrente, un profilage commercial ou l’entraînement d’un modèle d’IA.

Les traitements réalisés dans les systèmes d’un client ou pour son compte font l’objet d’un encadrement distinct au contrat. Groupe W ne prétend pas, par cette politique, déterminer les finalités de tous les traitements de ses clients.

Consentement et retrait

Lorsqu’il est requis, le consentement est manifeste, libre, éclairé, donné à des fins spécifiques et demandé distinctement pour chaque finalité pertinente. Une information claire précise les renseignements nécessaires et facultatifs ainsi que les conséquences d’un refus.

La personne peut retirer son consentement en écrivant à Meriem@legroupew.com. Le retrait agit pour l’avenir et ne remet pas en cause la licéité des traitements antérieurs ni les traitements que la loi permet ou impose sans consentement. Il peut empêcher Groupe W de poursuivre une prestation nécessitant les renseignements concernés; ces conséquences sont expliquées sans imposer de collecte disproportionnée.

Un consentement exprès est recherché lorsque la sensibilité des renseignements ou la loi l’exige. Un consentement général ne remplace pas l’examen de nécessité, les obligations de sécurité ou les règles de transfert.

Fournisseurs, communications et transferts hors du Québec

Les renseignements ne sont accessibles qu’aux personnes autorisées qui en ont besoin pour leur fonction et aux fournisseurs nécessaires à l’hébergement, à la gestion des échanges ou à une prestation convenue. La présence d’une organisation dans l’écosystème ne lui donne pas automatiquement accès aux demandes reçues.

Lorsque la loi permet une communication à un fournisseur sans consentement distinct pour l’exécution d’un mandat ou contrat de services, Groupe W encadre cette communication par écrit conformément aux exigences applicables : confidentialité, utilisation limitée, mesures de protection, non-conservation après la fin du mandat, avis en cas de violation ou tentative de violation et possibilité de vérification. Toute autre communication nécessite une base légale appropriée.

Avant de communiquer un renseignement personnel hors du Québec, ou de confier à une personne ou un organisme hors du Québec sa collecte, son utilisation, sa communication ou sa conservation, Groupe W réalise une évaluation des facteurs relatifs à la vie privée (EFVP). Elle considère notamment :

la sensibilité des renseignements;
les finalités et la quantité des renseignements;
les mesures de protection, y compris contractuelles;
le régime juridique applicable dans le territoire destinataire.

L’opération n’est effectuée que si l’évaluation démontre une protection adéquate, notamment au regard des principes généralement reconnus. Une entente écrite tient compte des résultats et des mesures d’atténuation. Le consentement, lorsqu’il est requis, ne dispense pas de cette évaluation.

Les lieux réels d’hébergement, de sauvegarde et d’accès administratif doivent être vérifiés; les seules adresses de Québec, North York et Rabat ne permettent pas de les déterminer. Les renseignements sont communiqués lorsque la loi l’impose ou le permet, dans les limites autorisées.

Conservation, destruction et anonymisation

Les renseignements sont conservés uniquement pendant la durée nécessaire aux finalités déterminées, puis détruits de façon sécurisée ou anonymisés pour des fins sérieuses et légitimes conformément à la loi et aux exigences réglementaires applicables. L’anonymisation est supervisée par une personne qualifiée, comprend une analyse du risque de réidentification, une réévaluation périodique et la tenue du registre réglementaire. Une pseudonymisation ou le simple retrait du nom ne constitue pas nécessairement une anonymisation.

Calendrier proposé à adopter et à rendre effectif avant publication :

demandes de contact sans relation contractuelle : 24 mois après le dernier échange utile, puis destruction;
dossiers contractuels, justificatifs de paiement et éléments nécessaires à la défense de droits : 7 ans après la fin de la relation ou la clôture pertinente du dossier, sous réserve des exigences propres au document et à la loi;
registre des incidents de confidentialité : au moins 5 ans après la date ou la période à laquelle Groupe W a pris connaissance de l’incident, conformément au règlement applicable;
données de projets traitées pour un client : restitution ou destruction selon le contrat et les obligations du client; aucune prolongation générale pour le seul bénéfice de Groupe W;
journaux techniques et copies de sauvegarde : durée minimale adaptée aux besoins documentés de sécurité et au cycle de purge des fournisseurs, à préciser après vérification.

Les durées de 24 mois et de 7 ans sont des choix de politique proposés, non une obligation générale imposée par la Loi 25 et non une description vérifiée du fonctionnement actuel. Une obligation légale de conservation ou un différend peut justifier un gel limité, documenté et réévalué. Les copies de sauvegarde sont purgées selon un cycle défini et ne sont pas réutilisées pour une autre finalité.

Droits et traitement des demandes

La personne concernée peut demander notamment :

la confirmation de la détention de renseignements et leur accès;
la rectification de renseignements inexacts, incomplets ou équivoques;
la suppression de renseignements lorsque la loi le prévoit, notamment si leur collecte, communication ou conservation n’est pas autorisée;
le retrait de son consentement et, lorsque les conditions légales sont remplies, la cessation de diffusion ou la désindexation;
la communication, dans un format technologique structuré et couramment utilisé, des renseignements informatisés recueillis auprès d’elle, à elle-même ou à une personne ou un organisme autorisé par la loi, sous réserve des exclusions légales, notamment pour les renseignements créés ou inférés à partir de ceux-ci et les difficultés pratiques sérieuses.

Les demandes sont adressées par écrit à Meriem@legroupew.com. Groupe W vérifie l’identité de façon proportionnée et ne demande pas de documents excessifs.

Pour les demandes d’accès ou de rectification régies par la loi québécoise, une réponse écrite est fournie au plus tard dans les 30 jours suivant la réception de la demande. Une absence de réponse dans ce délai est considérée comme un refus. Un refus est motivé, indique sa base légale et les recours applicables, notamment la demande d’examen de mésentente à la Commission d’accès à l’information (CAI), généralement dans les 30 jours du refus ou de l’expiration du délai de réponse, sous réserve des modalités légales.

L’accès est gratuit; des frais raisonnables de transcription, reproduction ou transmission peuvent être exigés uniquement dans les conditions permises, après information de la personne. Les droits ne constituent pas un droit absolu d’effacer des renseignements qu’une obligation légale impose de conserver.

Sécurité, gouvernance et incidents

Les mesures de protection doivent être raisonnables au regard de la sensibilité, de la finalité, de la quantité, de la répartition et du support des renseignements. Elles comprennent, selon les traitements : limitation des accès, authentification appropriée, protection des transmissions, gestion des habilitations, mises à jour, encadrement des fournisseurs et procédures de réponse aux incidents. Aucun système ne peut garantir un risque nul.

Groupe W met en place des politiques de gouvernance précisant les responsabilités, le traitement des plaintes, les règles de conservation et destruction et les modalités de gestion des incidents. Les projets d’acquisition, de développement ou de refonte d’un système d’information ou d’une prestation électronique impliquant des renseignements personnels font l’objet des EFVP exigées par la loi. La présente rédaction ne remplace pas ces mesures opérationnelles.

Lorsqu’il a des motifs de croire qu’un incident s’est produit, Groupe W prend des mesures raisonnables pour diminuer le risque de préjudice et éviter de nouveaux incidents, et évalue le risque avec le responsable de la protection des renseignements personnels, notamment selon la sensibilité, les conséquences appréhendées et la probabilité d’utilisation préjudiciable.

Si l’incident présente un risque de préjudice sérieux, Groupe W avise avec diligence la CAI et les personnes concernées, avec les renseignements prescrits, sous réserve des exceptions prévues par la loi. Au besoin, il avise une personne ou un organisme susceptible de diminuer le risque dans les limites légales. Tous les incidents sont inscrits au registre exigé, communiqué à la CAI sur demande et conservé pendant la période réglementaire. Le délai de 72 heures du RGPD ne remplace pas l’obligation québécoise d’agir avec diligence.

RGPD et autres territoires

Le RGPD s’applique uniquement si ses critères territoriaux sont remplis, notamment un établissement pertinent dans l’Union européenne ou une offre ciblant des personnes qui s’y trouvent, ou le suivi de leur comportement dans l’Union. La simple accessibilité du site depuis l’Europe ne suffit pas.

Lorsque le RGPD s’applique, Groupe W complète l’information par les éléments propres au traitement : identité du responsable, finalités et bases juridiques, intérêts légitimes éventuels, destinataires, durées, transferts et garanties, droits, recours et coordonnées du délégué ou représentant lorsqu’une désignation est requise.

Les bases juridiques peuvent notamment être les mesures précontractuelles à la demande de la personne, l’exécution d’un contrat lorsqu’elle y est partie, une obligation légale, un intérêt légitime évalué — par exemple traiter une demande B2B adressée par un représentant d’organisation — ou un consentement valide, selon la finalité. Elles ne sont pas interchangeables et doivent être déterminées pour chaque traitement.

Les droits européens d’accès, rectification, effacement, limitation, opposition et portabilité s’exercent dans leurs conditions respectives. Les demandes reçoivent une réponse dans un délai d’un mois, avec prolongation possible de deux mois en raison de leur complexité ou nombre, après information motivée dans le premier mois. Une réclamation peut être adressée à l’autorité de contrôle compétente.

Une violation soumise au RGPD est notifiée à l’autorité compétente, si les conditions légales sont remplies, dans les meilleurs délais et, si possible, dans les 72 heures de sa prise de connaissance. Les personnes sont informées sans retard indu en cas de risque élevé, sauf exception applicable. Les transferts hors de l’Espace économique européen reposent sur un mécanisme valide; l’adéquation relative au Canada ne couvre pas indistinctement tous les organismes ou traitements canadiens, et n’autorise pas à elle seule un transfert ultérieur vers le Maroc.

Témoins et technologies de suivi

La nécessité et les caractéristiques des témoins, journaux et autres technologies doivent être évaluées à partir des outils réellement déployés. Le site ne doit pas annoncer l’absence de suivi tiers sans cette vérification.

Les technologies non nécessaires soumises à consentement ne sont pas activées avant un choix valide lorsque la loi l’exige. Un mécanisme de refus ou de retrait doit être aussi accessible que l’acceptation. Les fonctionnalités permettant d’identifier, de localiser ou de profiler une personne sont signalées et encadrées conformément à la loi applicable.

Les informations techniques et durées effectives doivent être précisées dans la politique de témoins après inventaire. Un blocage dans le navigateur peut limiter certaines fonctions strictement nécessaires, sans justifier l’installation de technologies facultatives contre le choix de la personne.

Contact et responsable de la protection des renseignements personnels

Contact officiel pour la confidentialité et les questions juridiques :
Meriem Lahbabi — Vice-présidente exécutive
Courriel : Meriem@legroupew.com
Adresse : Groupe W, 700-2828 Boul Laurier, Québec, QC G1V 0B9, Canada.

Responsable de la protection des renseignements personnels proposé : Meriem Lahbabi, sous réserve d’une délégation écrite valide. La personne exerçant la plus haute autorité au sein de l’entreprise demeure responsable par défaut tant que cette délégation n’a pas été réalisée. Une fois la désignation confirmée, son titre et ses coordonnées doivent être publiés sur le site conformément à la loi.

Sophie Marin est mentionnée comme présidente du conseil d’administration et Meriem Lahbabi comme vice-présidente exécutive. Ces titres ne permettent pas, à eux seuls, d’établir qui exerce la plus haute autorité au sens de la loi ni l’existence d’une délégation.

Toute demande de droits, plainte ou alerte de confidentialité peut être envoyée aux coordonnées ci-dessus. Les plaintes sont traitées de façon confidentielle et sans représailles. Évitez de joindre des renseignements sensibles avant réception d’instructions adaptées.

Références légales

Les références officielles servent à vérifier les obligations; les choix commerciaux et durées proposés ne doivent pas être présentés comme des prescriptions générales de ces textes.