L’IA rédige. L’humain décide.
Juridique · EEE et Royaume-Uni
Orée Conseil est établie au Québec et sa clientèle est québécoise : le droit européen de la protection des données ne s'applique à elle que dans des circonstances définies. Le présent avis dit lesquelles, et ce à quoi la pratique s'engage lorsqu'elles se présentent. Il complète la politique de confidentialité et, pour une personne située dans l'Espace économique européen ou au Royaume-Uni, l'emporte sur elle en cas de divergence.
L'essentiel
Ce résumé est écrit pour être lu, non pour être plaidé. En cas de divergence avec le texte numéroté, c'est le texte numéroté qui gouverne.
Orée Conseil est établie à Montréal, au Québec. Elle n'a aucun établissement dans l'Espace économique européen ni au Royaume-Uni, n'y dirige pas ses services, n'affiche aucun prix en euros ni en livres, et ne suit le comportement de personne, nulle part. Un site lisible depuis l'Europe ne constitue pas, à lui seul, une offre dirigée vers l'Europe.
Le droit européen atteint un responsable du traitement établi hors de l'Union lorsque le traitement est lié à l'offre de biens ou de services à des personnes situées dans l'Union, ou au suivi de leur comportement. En pratique, les situations où le présent avis devient opérant sont étroites et identifiables :
Le présent avis complète la politique de confidentialité ; il ne la remplace pas. Tout ce que celle-ci dit de ce qui est recueilli, pourquoi, qui y a accès et pendant combien de temps s'applique ici aussi et n'est pas répété. Lorsqu'une stipulation du présent avis et une stipulation de la politique ne peuvent être satisfaites ensemble, le présent avis l'emporte pour une personne située dans l'EEE ou au Royaume-Uni.
La pratique n'a pas désigné de représentant dans l'Union. L'article 27 n'en exige pas lorsque le traitement est occasionnel, qu'il ne comporte pas de traitement à grande échelle de catégories particulières de données ni de données relatives à des condamnations pénales, et qu'il est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Correspondre avec quelques personnes qui écrivent, en détenant un nom, une adresse et un message, répond à cette description sur chacun de ses volets.
La pratique réexamine cette appréciation et désignerait un représentant par écrit, en le nommant ici, si la situation changeait.
Aucun délégué n'est requis au titre de l'article 37 : la pratique n'est pas une autorité publique, ses activités de base ne consistent pas en un suivi régulier et systématique des personnes à grande échelle, et elles ne consistent pas en un traitement à grande échelle de catégories particulières de données. La fondatrice demeure néanmoins le point de contact unique pour toute question relevant du présent avis, comme elle est la responsable au sens de la Loi québécoise.
Pour le site, le formulaire et la correspondance qui suit, la pratique décide pourquoi et comment les données sont traitées. Elle est responsable du traitement, et le présent avis est son avis.
À l'intérieur d'un mandat, les données des employés, des clients ou des fournisseurs d'un client sont traitées suivant les instructions documentées de ce client et pour ses finalités. La pratique est sous-traitante, le client est responsable du traitement, et la relation est régie par les stipulations de protection des données de la lettre de mandat plutôt que par le présent avis. Ces stipulations comportent les engagements qu'exige l'article 28, paragraphe 3 : traitement sur instructions seulement, confidentialité, sécurité, aucun sous-traitant ultérieur sans autorisation, assistance pour les demandes des personnes concernées et pour la notification des violations, et suppression ou restitution à la fin du mandat.
Le matériel des clients n'est jamais utilisé pour entraîner, affiner ou améliorer un système d'intelligence artificielle, qu'il soit celui de la pratique ou celui d'un tiers, et n'est jamais traité par un outil dont les conditions permettraient cet usage.
L'article 6 exige une base légale pour chaque finalité, nommée d'avance et non choisie après coup. La pratique s'appuie sur les bases suivantes, et sur aucune autre :
| Finalité | Données | Base légale |
|---|---|---|
| Répondre à votre demande et correspondre à son sujet | Nom, courriel, organisation, téléphone, message | Article 6, par. 1, b) — mesures précontractuelles prises à votre demande ; subsidiairement article 6, par. 1, f) |
| Évaluer l'adéquation, préparer une portée et une estimation | Les mêmes, plus ce que la conversation ajoute | Article 6, par. 1, b) — mesures précontractuelles |
| Exécuter et administrer un mandat | Coordonnées des personnes concernées, correspondance, facturation | Article 6, par. 1, b) — exécution du contrat |
| Tenir les registres comptables et fiscaux | Factures et pièces justificatives | Article 6, par. 1, c) — obligation légale au titre du droit canadien et québécois |
| Maintenir le site disponible et repérer les abus | Journaux de serveur | Article 6, par. 1, f) — intérêts légitimes, décrits à la section 6 |
| Établir, exercer ou défendre un droit en justice | Ce que le litige rend pertinent | Article 6, par. 1, f) — intérêts légitimes ; article 9, par. 2, f) si des catégories particulières étaient inévitablement en cause |
Lorsque la pratique s'appuierait sur le consentement — ce qui n'est pas le cas aujourd'hui, faute d'infolettre et de pistage —, ce consentement serait demandé séparément, aussi facile à refuser qu'à donner, et retirable en tout temps au titre de l'article 7, paragraphe 3, sans affecter la licéité de ce qui a été fait avant.
Lorsque l'article 6, paragraphe 1, point f), est la base, la mise en balance qu'il exige a été effectuée ; elle est résumée ici pour que vous puissiez l'éprouver plutôt que la prendre pour acquise.
| L'intérêt | Pourquoi il est nécessaire | Pourquoi il ne prévaut pas sur vous |
|---|---|---|
| Maintenir le site disponible et exempt d'abus | Un serveur incapable de distinguer une lectrice d'une attaque ne reste pas en ligne. | La donnée est une ligne de journal éphémère, consultée seulement en cas de problème, conservée brièvement, jamais employée à constituer un profil. |
| Répondre à une demande d'une personne qui n'est pas encore cliente | Une personne qui écrit attend une réponse ; ne pas répondre serait le résultat surprenant. | Le traitement est exactement ce que vous avez demandé en cliquant « envoyer », la donnée est minimale, et vous pouvez la faire effacer en tout temps. |
| Pouvoir se défendre d'une réclamation | Une pratique professionnelle ne peut répondre à une allégation portant sur un travail dont elle ne conserve plus aucune trace. | Les dossiers sont conservés selon le calendrier publié, non indéfiniment, et ne sont consultés que si une réclamation survient réellement. |
Vous pouvez vous opposer à chacun de ces traitements au titre de l'article 21, et la pratique cessera à moins de démontrer des motifs légitimes impérieux qui prévalent sur vos intérêts, droits et libertés, ou la nécessité du traitement pour un droit en justice.
La pratique ne recherche pas, et le site ne recueille pas, de données révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, de données génétiques ou biométriques, de données concernant la santé, ni de données concernant la vie sexuelle ou l'orientation sexuelle. Elle ne traite pas de données relatives aux condamnations pénales et aux infractions.
N'incluez pas de telles données dans une demande. Si elles arrivent sans avoir été sollicitées, elles sont effacées, sauf s'il est nécessaire de les conserver pour un droit en justice — auquel cas on vous dira lesquelles.
Les destinataires sont ceux qu'énumère la politique de confidentialité : l'hébergeur qui sert le site, le relais qui achemine le formulaire vers la boîte de réception de la pratique, et le fournisseur de cette boîte. Chacun est un sous-traitant, tenu par son contrat de ne traiter que sur instructions. Il n'y a aucun autre destinataire, et aucune donnée n'est vendue, partagée à des fins publicitaires ou rendue accessible à un courtier.
La Commission européenne a constaté, le 20 décembre 2001, par la décision 2002/2/CE, que le Canada assure un niveau de protection adéquat pour les données transférées à des destinataires assujettis à la LPRPDE. Cette décision demeure en vigueur et constitue la base sur laquelle des données parviennent à la pratique lorsque la LPRPDE régit son traitement de ces données — ce qui est le cas des renseignements qu'elle recueille, utilise ou communique au-delà d'une frontière provinciale ou nationale dans le cadre d'activités commerciales. Le Royaume-Uni maintient le constat équivalent pour les transferts qui en proviennent.
Cette décision est partielle plutôt que générale : elle s'attache au statut du destinataire, non au pays dans son ensemble. Lorsqu'un transfert vers la pratique en sortirait, celle-ci mettra en place, avant le transfert, les clauses contractuelles types adoptées par la Commission dans la décision d'exécution (UE) 2021/914, avec l'addendum britannique de transfert international lorsque le transfert en provient.
Certains de ces prestataires sont établis aux États-Unis ou servent le site depuis une infrastructure qui s'y trouve. Pour ces transferts, la pratique s'appuie sur les clauses contractuelles types incorporées à l'accord de traitement du prestataire et, lorsque celui-ci est certifié au titre du cadre de protection des données UE–États-Unis, sur cette certification. Dans chaque cas, la pratique a évalué le transfert : quelles données, quelle sensibilité, combien de temps elles y séjournent, quelles mesures techniques les protègent, et quel accès le droit de destination permet. Cette évaluation est documentée et communiquée à une autorité de contrôle sur demande.
La pratique dit franchement ce que cette évaluation ne peut pas faire : aucune clause contractuelle n'empêche une demande légale d'une autorité publique du pays où un prestataire est établi. Ce qu'elle peut faire, c'est garder l'exposition faible — un nom, une adresse professionnelle et un message, conservés brièvement — et c'est sur cette mesure-là que la pratique s'appuie réellement.
Vous pouvez demander copie des garanties appliquées à un transfert de vos données, au titre de l'article 46, paragraphe 1, en écrivant à l'adresse de la section 15. Des stipulations commercialement confidentielles sans rapport avec la protection des données peuvent être caviardées ; rien de ce qui touche à la protection de vos données ne le sera.
Les durées figurent à la section 8 de la politique de confidentialité et s'appliquent ici sans changement : une demande sans suite est détruite dans les douze mois, un dossier client est conservé sept ans à compter de la fin du mandat, les registres comptables six ans à compter de la fin de l'année d'imposition, et les journaux de serveur pendant la brève période où l'hébergeur les conserve. Les données ne sont conservées sous une forme permettant l'identification que le temps nécessaire aux finalités du traitement.
Écrivez à l'adresse de la section 15 en indiquant quel droit vous exercez. Aucune formule consacrée n'est requise, et vous n'avez pas à citer un article.
La pratique répond dans les meilleurs délais et, en tout état de cause, dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois lorsque la demande est complexe ou lorsque plusieurs demandes ont été présentées, auquel cas vous serez informé de la prolongation et de ses motifs dans le premier mois.
Aucun. Des frais raisonnables ne peuvent être exigés, ou la demande refusée, que si celle-ci est manifestement infondée ou excessive, notamment en raison de son caractère répétitif — et il revient à la pratique de le démontrer.
En cas de doute raisonnable sur l'identité du demandeur, la pratique peut demander les informations nécessaires pour la confirmer, au titre de l'article 12, paragraphe 6. Elle demandera le minimum utile et détruira toute pièce fournie à cette fin dès la clôture de la demande.
Vous serez informé, dans le mois, des motifs du refus, ainsi que de votre droit d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel.
Vous pouvez introduire une réclamation auprès de l'autorité de contrôle de l'État membre de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation alléguée, au titre de l'article 77. Vous n'avez pas à vous adresser d'abord à la pratique, même si vous y êtes bienvenu.
Les recours québécois et canadiens demeurent ouverts en parallèle et figurent à la section 12 de la politique de confidentialité : la Commission d'accès à l'information du Québec et le Commissariat à la protection de la vie privée du Canada.
Les articles 79 et 82 préservent votre droit à un recours juridictionnel effectif et à réparation du dommage subi du fait d'une violation. Rien dans le présent avis ni dans les conditions d'utilisation ne limite ce droit.
Les mesures techniques et organisationnelles sont celles décrites à la section 9 de la politique de confidentialité, appliquées compte tenu de l'état des connaissances, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement, comme l'exige l'article 32. La principale mesure de la pratique est structurelle : elle recueille très peu, et le conserve brièvement.
Une violation de données à caractère personnel est notifiée à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, à moins qu'elle ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Lorsqu'elle est susceptible d'engendrer un risque élevé, les personnes concernées en sont informées dans les meilleurs délais, en des termes clairs et simples, avec ce qui s'est produit et ce qu'il convient de faire.
Le présent avis porte un numéro de version et une date d'entrée en vigueur en tête de page. Il est révisé avec la politique de confidentialité, au moins une fois l'an, et chaque fois qu'un changement dans les traitements de la pratique ou dans les mécanismes de transfert invoqués l'exige. Les versions antérieures sont conservées et fournies sur demande.
Les autres documents
Une question sur l'un de ces documents
Une seule personne répond pour les quatre, en français ou en anglais, en un jour ouvrable.
aminata.diabate@oreeconseil.ca