L’IA rédige. L’humain décide.
Juridique · Protection des renseignements personnels
Orée Conseil conseille des organisations québécoises sur des obligations qu'elle porte elle-même. La présente politique est diffusée en application de l'article 8.2 de la Loi sur la protection des renseignements personnels dans le secteur privé. Elle dit ce que la pratique recueille, pourquoi, qui d'autre y a accès, où l'information est conservée, combien de temps, et ce que vous pouvez exiger.
L'essentiel
Ce résumé est écrit pour être lu, non pour être plaidé. En cas de divergence avec le texte numéroté, c'est le texte numéroté qui gouverne.
La présente politique régit les renseignements personnels qu'Orée Conseil recueille, détient, utilise et communique par l'entremise du site oreeconseil.ca, du formulaire de demande qui s'y trouve, et de la correspondance qui suit une demande. Elle s'applique à toute personne qui visite le site, qu'elle devienne cliente ou non.
Elle ne régit pas les renseignements personnels que la pratique traite à l'intérieur d'un mandat — les dossiers, les registres et les systèmes d'une organisation cliente examinés pendant un diagnostic. Ces renseignements appartiennent au client, la pratique les traite à titre de prestataire de services suivant ses instructions écrites, et les règles qui s'y appliquent figurent dans la lettre de mandat et dans l'annexe de protection des renseignements personnels qui y est jointe, et non ici.
Elle ne régit pas non plus les sites de tiers auxquels un lien du présent site vous conduit. Ces sites ont leurs propres politiques, sur lesquelles la pratique n'a aucun contrôle.
Orée Conseil est une pratique de conseil exploitée par Aminata Diabaté, établie à Montréal et dans les Cantons-de-l'Est, au Québec. C'est l'entreprise responsable des renseignements personnels décrits dans la présente politique — la personne qui exploite une entreprise, dans le vocabulaire de la Loi québécoise ; le responsable du traitement, dans celui du régime européen.
L'article 3.1 de la Loi québécoise confie la responsabilité de la protection des renseignements personnels à la personne qui exerce la plus haute autorité au sein de l'entreprise, et lui permet de la déléguer par écrit. Dans une pratique d'une seule personne, cette personne est la fondatrice, et elle n'a pas délégué cette fonction. C'est à elle que s'adressent toute question, toute demande et toute plainte fondées sur la présente politique.
Les termes suivants ont, dans toute la politique, le sens qui leur est donné ici. Lorsqu'un terme est défini par la loi, c'est le sens légal qui gouverne ; la formulation ci-dessous en est une lecture en langage clair, non un substitut.
Le formulaire est le seul endroit du site où des renseignements personnels sont recueillis. Deux champs sont obligatoires, parce qu'une réponse est impossible sans eux. Les autres sont facultatifs, et un message envoyé sans eux reçoit exactement la même réponse.
| Champ | Obligatoire | Pourquoi il est demandé |
|---|---|---|
| Nom | Oui | Pour adresser la réponse et savoir qui écrit. |
| Adresse courriel | Oui | L'adresse à laquelle la réponse est envoyée. Rien d'autre n'en est fait. |
| Organisation | Non | Pour comprendre le secteur, et les obligations qui l'accompagnent, avant le premier appel. |
| Téléphone | Non | Uniquement si vous préférez être appelé plutôt qu'écrit. |
| Message | Oui | Ce dont vous voulez discuter. Restez-en au général — voir la clause 4.1 des conditions d'utilisation. |
Le formulaire comporte aussi un champ que personne ne voit et que personne ne remplit. Ce qui le remplit est automatisé, et l'envoi est écarté. Ce champ ne recueille rien sur vous.
Si une demande devient une conversation, la pratique détient ce que cette conversation contient : courriels, notes d'appel, portée proposée, et coordonnées des personnes qui y participent de votre côté. Cette correspondance est conservée aux fins énoncées à la section 4 et à aucune autre.
Le site est servi par un hébergeur dont les serveurs tiennent de brefs journaux techniques, comme tout serveur web. Une ligne de journal consigne l'adresse IP à l'origine de la requête, la date et l'heure, la page demandée, le code de réponse et la chaîne d'identification du navigateur. Ces journaux servent à livrer les pages, à maintenir le site disponible et à repérer les abus. Ils ne servent pas à constituer un profil, ils ne sont pas recoupés avec ce que vous envoyez par le formulaire, et la pratique ne les consulte pas dans le cours ordinaire des choses.
Ce qui suit n'est pas une liste de pratiques que la pratique promet d'abandonner. C'est la liste de ce que ce site n'a jamais fait, vérifiable par quiconque ouvre les outils de développement de son navigateur et regarde ce que la page charge :
Parce que rien n'est suivi, il n'y a aucun suivi à consentir, aucun centre de préférences à régler et aucun bandeau entre vous et la page. C'est une décision de conception. La politique relative aux témoins rend compte de la seule ligne de stockage qui subsiste.
Si votre message nomme un collègue, un client ou une autre personne, les renseignements de cette personne parviennent aussi à la pratique. Ne nommez des personnes que si c'est nécessaire, et n'incluez aucun renseignement personnel que vous n'avez pas le droit de communiquer. Les renseignements ainsi reçus sur des tiers sont soumis aux mêmes règles que le reste et détruits selon le même calendrier.
Les renseignements personnels recueillis par le site servent aux fins suivantes, et à aucune autre :
Un renseignement personnel n'est pas utilisé à une fin autre que celle pour laquelle il a été recueilli, à moins que vous n'y consentiez ou qu'une loi ne l'autorise sans consentement. Concrètement : une demande de renseignements ne devient pas un contact de démarchage, et un mandat ne devient pas une étude de cas qui vous nomme, sans votre accord préalable.
Aucune décision vous concernant n'est prise exclusivement par un traitement automatisé de vos renseignements personnels. Chaque réponse, chaque portée, chaque recommandation est écrite et signée par une personne. C'est le propre standard de la pratique appliqué à elle-même — son refrain est que l'IA rédige et que l'humain décide — et c'est pourquoi l'obligation d'information prévue à l'article 12.1 de la Loi québécoise n'a ici rien à quoi se rattacher.
Envoyer le formulaire, c'est consentir à ce que la pratique utilise ce que vous avez transmis pour vous répondre. Ce consentement est demandé à des fins déterminées, en termes clairs, au moment de la collecte, et il est donné par un geste que vous posez délibérément — ce qu'exige l'article 14 de la Loi québécoise pour qu'un consentement soit valide.
Lorsque le consentement n'est pas le fondement, le fondement est nommé : renseignement nécessaire à la conclusion ou à l'exécution d'un contrat avec vous, renseignement que la loi oblige la pratique à conserver, renseignement nécessaire à l'établissement ou à la défense d'un droit en justice.
Vous pouvez retirer votre consentement en tout temps en écrivant à l'adresse indiquée à la section 12. Le retrait vaut pour l'avenir : il fait cesser l'utilisation à compter de ce moment, mais il n'efface pas ce qui a été licitement fait avant, ni les registres que la loi oblige à conserver. Si le retrait rend impossible la poursuite d'une conversation ou d'un mandat, on vous le dira franchement plutôt que de vous laisser le deviner.
Une seule personne. Orée Conseil est une pratique à praticienne unique, et la fondatrice est la seule personne qui lit ce qui arrive par le formulaire. Lorsqu'un mandat requiert un collaborateur, ce collaborateur est lié par écrit à la confidentialité avant de recevoir quoi que ce soit, et ne reçoit que ce que le travail exige.
Le site fonctionne sur une infrastructure que la pratique ne possède pas. Chacun des prestataires ci-dessous ne traite des renseignements personnels que pour livrer le service pour lequel il est retenu, en vertu de ses propres engagements contractuels, et aucun n'est autorisé à les utiliser à ses propres fins.
| Prestataire | Rôle | Ce qu'il touche | Où |
|---|---|---|---|
| Vercel Inc. | Héberge et sert le site. | Journaux techniques, et la demande au moment où elle transite par le point d'entrée du site. Rien n'y est conservé. | États-Unis et réseau de diffusion mondial |
| Web3Forms | Relaie le formulaire vers la boîte de réception de la pratique. | Le contenu du formulaire : nom, courriel, organisation, téléphone, message. | À l'extérieur du Québec |
| Fournisseur de courriel | Achemine, conserve et organise la correspondance qui suit. | La correspondance elle-même et ses pièces jointes. | À l'extérieur du Québec |
La clé d'accès qui autorise le relais demeure sur le serveur et n'atteint jamais votre navigateur : le formulaire ne peut donc pas être rejoué contre le compte de la pratique depuis ailleurs.
La pratique ne vend, ne loue, n'échange ni ne rend autrement accessibles des renseignements personnels à quiconque contre valeur, et ne les communique ni à des annonceurs, ni à des courtiers de données, ni à des vendeurs de listes, ni à des services de génération de clientèle. Cette clause ne souffre aucune exception.
Des renseignements personnels peuvent être communiqués sans votre consentement lorsqu'une loi, une assignation, un mandat, une ordonnance d'un tribunal ou une demande légale d'un organisme compétent l'exige. Le cas échéant, la pratique ne communique que ce que la demande atteint réellement, et vous en informe à moins qu'il ne lui soit légalement interdit de le faire ou qu'elle ne conteste la demande.
Si la pratique ou une partie substantielle de ses actifs était cédée, des renseignements personnels pourraient être communiqués à l'acquéreur dans le cadre de la transaction, aux conditions prévues aux articles 18.4 et 18.5 de la Loi québécoise — dont une entente limitant l'utilisation à la conclusion de la transaction, et un avis qui vous serait donné si la transaction se conclut et que vos renseignements continuent d'être détenus.
Avant de communiquer un renseignement personnel à l'extérieur du Québec, l'entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée et s'assurer que le renseignement bénéficiera d'une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus. Cette évaluation a été réalisée pour les prestataires nommés à la clause 6.2, et elle est documentée.
Vous n'êtes pas tenu d'utiliser le formulaire. Écrire directement à l'adresse de la section 12, ou demander un appel téléphonique, évite entièrement le relais. Dites-le en première ligne et la conversation se poursuivra par le moyen que vous préférez.
L'article 23 de la Loi québécoise oblige à détruire ou à anonymiser un renseignement personnel lorsque la fin pour laquelle il a été recueilli est accomplie. La pratique s'en tient aux durées ci-dessous, les plus courtes qui se défendent au regard des règles de prescription et de conservation qui la lient.
| Objet | Durée | Justification |
|---|---|---|
| Une demande sans suite | 12 mois depuis le dernier échange | Assez pour reconnaître une personne qui revient et répondre à une relance ; assez court pour que rien ne subsiste sans raison. |
| Une demande qui devient un mandat | Versée au dossier client ci-dessous | Elle fait dès lors partie du dossier de l'engagement. |
| Dossiers clients et correspondance de mandat | 7 ans à compter de la fin du mandat | La prescription extinctive de trois ans de l'article 2925 du Code civil du Québec, avec une marge pour un recours tardif et pour le dossier professionnel du travail accompli. |
| Factures, livres et pièces justificatives | 6 ans à compter de la fin de l'année d'imposition visée | La durée de conservation imposée par les lois fiscales fédérale et québécoise. |
| Journaux de serveur | Courte durée, selon le cycle de l'hébergeur | Ils servent à livrer les pages et à repérer les abus, et sont écrasés dans l'exploitation ordinaire de l'hébergeur. |
| Registre des incidents de confidentialité | 5 ans à compter de l'inscription | La durée fixée par le règlement pris en vertu de la Loi québécoise. |
Au terme de la durée applicable, le renseignement est détruit, ou anonymisé selon les meilleures pratiques généralement reconnues et à des fins sérieuses et légitimes, de sorte qu'il ne permette plus d'identifier qui que ce soit, directement ou indirectement. L'anonymisation est ici l'exception et non la règle : pour une pratique de cette taille, la destruction est plus simple et plus sûre.
Un renseignement supprimé des systèmes actifs peut subsister brièvement dans les sauvegardes d'un prestataire avant d'y être écrasé dans la rotation ordinaire. Il n'est ni restauré, ni consulté, ni utilisé pendant cet intervalle.
La pratique prend les mesures de sécurité propres à assurer la protection des renseignements personnels, raisonnables compte tenu de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support — la norme qu'impose l'article 10 de la Loi québécoise. Concrètement :
Aucune transmission par Internet et aucun mode de conservation ne sont parfaitement sûrs, et aucune politique honnête ne prétend le contraire. Ce que la pratique s'engage à faire, c'est appliquer des mesures raisonnables, les réexaminer, et vous prévenir rapidement si quelque chose tourne mal — ce qui est l'objet de la section suivante.
La pratique tient un registre des incidents de confidentialité, comme l'exige l'article 3.8 de la Loi québécoise. Chaque incident y est inscrit, qu'il se révèle ou non porteur d'un risque, avec la date, la description, les catégories de renseignements visés, les mesures prises et les avis donnés. Une copie du registre est transmise à la Commission sur demande.
Lorsqu'un incident présente un risque qu'un préjudice sérieux soit causé — apprécié selon la sensibilité du renseignement, les conséquences appréhendées de son utilisation et la probabilité qu'il soit utilisé à des fins préjudiciables —, la pratique en avise avec diligence la Commission et chaque personne concernée, et prend les mesures raisonnables pour diminuer le risque ou éviter que l'incident ne se reproduise.
Un avis qui vous serait adressé dira ce qui s'est produit, quand, quelles catégories de renseignements étaient en cause, ce qui a été fait, ce que vous pouvez faire pour vous protéger et comment joindre la responsable. Ce ne sera pas une phrase rassurante dont on aurait retiré les faits.
Lorsque la LPRPDE s'applique à une communication transfrontalière de vos renseignements, ses droits d'accès et de correction s'appliquent également, et une plainte peut être déposée auprès du Commissariat à la protection de la vie privée du Canada. Les droits prévus par le régime européen figurent dans l'avis distinct destiné à l'EEE et au Royaume-Uni.
Écrivez à la responsable de la protection des renseignements personnels, à l'adresse ci-dessous. Indiquez quel droit vous exercez et donnez assez de détails pour retrouver le renseignement — approximativement quand vous avez écrit, et depuis quelle adresse. Aucune formule consacrée n'est requise.
La pratique doit s'assurer que vous êtes bien la personne que vous dites être avant de communiquer ou de modifier quoi que ce soit — remettre vos renseignements à quelqu'un qui se fait passer pour vous serait en soi un incident. La vérification demeure proportionnée : le plus souvent, répondre depuis l'adresse d'où provenait le message d'origine suffit. Toute pièce d'identité demandée à cette fin sert uniquement à la vérification et est détruite immédiatement après.
Vous recevrez une réponse écrite dans les 30 jours de la demande. Un refus, total ou partiel, indiquera la disposition invoquée, ses motifs, ainsi que le recours ouvert et le délai pour l'exercer. Le défaut de répondre dans les 30 jours vaut refus et ouvre le même recours.
L'exercice de ces droits est gratuit. Si la reproduction ou la transcription entraînait des frais réels, leur montant vous serait communiqué avant d'être engagé et vous pourriez retirer votre demande. Pour un dossier de cette taille, aucun frais n'est prévu.
Vous pouvez demander à la Commission d'accès à l'information de réviser la décision de la pratique, dans les 30 jours du refus ou de l'expiration du délai de 30 jours. Vous pouvez aussi porter plainte à la Commission, en tout temps, sur la manière dont la pratique traite les renseignements personnels en général, sans passer par elle au préalable.
Ce site s'adresse à des organisations et aux personnes qui les dirigent. Il ne vise pas les mineurs, et la pratique ne recueille pas sciemment par son entremise de renseignements personnels concernant une personne de moins de 18 ans. Lorsque des renseignements personnels concernant un mineur de moins de 14 ans seraient recueillis, le consentement du titulaire de l'autorité parentale est requis ; en toute hypothèse, un renseignement concernant un mineur n'est recueilli que si la collecte est manifestement au bénéfice de celui-ci. Si vous croyez qu'un mineur a transmis des renseignements par ce site, écrivez à l'adresse de la section 12 et ils seront détruits.
La pratique n'exploite aucune infolettre, n'envoie aucun courriel commercial non sollicité et n'inscrit personne sur une liste d'envoi. La réponse à votre demande, et les messages relatifs à un mandat en cours, ne sont pas des messages électroniques commerciaux en quelque sens utile : ils sont la conversation que vous avez engagée.
Tout message électronique commercial que la pratique enverrait respecterait la Loi canadienne anti-pourriel : il ne serait envoyé qu'avec votre consentement exprès ou tacite, il identifierait la pratique et fournirait une adresse de contact valide, et il comporterait un mécanisme d'exclusion valable au moins 60 jours et honoré dans les 10 jours ouvrables. Ce consentement serait demandé séparément, et jamais intégré au formulaire de demande.
Ce site renvoie à des sources publiques — la Commission d'accès à l'information, le Barreau du Québec, la Chambre des notaires du Québec, l'Institut de la statistique du Québec — et au profil LinkedIn de la fondatrice. Suivre un tel lien vous conduit à une organisation dotée de ses propres pratiques de confidentialité, sur lesquelles Orée Conseil n'a aucun contrôle et dont elle n'assume aucune responsabilité. Aucun lien de ce site ne transmet quoi que ce soit à sa destination avant que vous ne cliquiez.
La présente politique est révisée au moins une fois l'an, et chaque fois que la pratique modifie sa manière de traiter les renseignements personnels. Chaque version porte un numéro et une date d'entrée en vigueur, tous deux affichés en tête de page. Une modification qui touche substantiellement vos droits, ou l'usage fait de renseignements déjà recueillis, vous sera signalée par un avis sur le site et, si un mandat est en cours, par écrit directement. Les versions antérieures sont conservées et fournies sur demande.
La présente politique est rédigée en français et traduite en anglais par commodité. En cas de divergence entre les deux versions, la version française prévaut.
Toute question sur la présente politique, toute demande fondée sur la section 12 et toute plainte aboutissent au même endroit, et reçoivent une réponse de la même personne.
Les autres documents
Une question sur l'un de ces documents
Une seule personne répond pour les quatre, en français ou en anglais, en un jour ouvrable.
aminata.diabate@oreeconseil.ca