Politique de confidentialité

Chez Legiformo, nous respectons votre vie privée et nous engageons fermement à protéger la sécurité de toute information que nous obtenons de vous ou vous concernant. La présente Politique de confidentialité décrit nos pratiques concernant les données personnelles que nous collectons lorsque vous utilisez notre site web, notre application et nos services (collectivement, les « Services »), incluant notre outil de diagnostic de conformité à la Loi 25, notre générateur de politiques, notre registre d'incidents et notre gestionnaire de demandes d'accès.

La présente politique ne s'applique pas aux données que vous traitez pour le compte de vos propres clients dans le cadre de votre utilisation de Legiformo. Vous demeurez le responsable de ces données et nous les traitons uniquement comme votre sous-traitant, conformément à vos instructions.

1. Responsable du traitement des données

Le responsable du traitement de vos données personnelles est Legiformo, opéré depuis le Québec, Canada. Pour toute question concernant la présente politique ou l'exercice de vos droits, vous pouvez communiquer avec notre responsable de la protection des renseignements personnels à l'adresse suivante :

Courriel : privacy@legiformo.com

2. Données personnelles que nous collectons

Nous recueillons des données personnelles vous concernant de la manière suivante :

Données que vous nous fournissez

Nous collectons des données lorsque vous créez un compte, complétez le diagnostic de conformité ou communiquez avec nous :

• Informations sur le compte : lorsque vous créez un compte, nous collectons votre adresse courriel, votre mot de passe (chiffré de manière irréversible), votre nom complet et le nom de votre organisation.
• Informations de profil professionnel : nom de l'entreprise, numéro d'entreprise (NEQ), secteur d'activité, taille de l'organisation (nombre d'employés), rôle de l'utilisateur au sein de l'organisation.
• Contenu du diagnostic : les réponses que vous fournissez lors du questionnaire de conformité, y compris les informations sur vos pratiques actuelles en matière de protection des données personnelles, la désignation de votre RPRP, vos politiques existantes et vos processus internes.
• Documents et enregistrements : les informations que vous saisissez dans le registre des incidents de confidentialité, les demandes d'accès, de rectification et de suppression reçues, ainsi que les documents de politique que vous générez ou modifiez.
• Informations de communication : si vous communiquez avec nous, par exemple par courriel ou via notre formulaire de contact, nous collectons le contenu de vos messages ainsi que vos coordonnées.

Données collectées automatiquement

Lorsque vous utilisez nos Services, nous recevons automatiquement certaines informations :

• Données de connexion : votre adresse IP, le type et la version de votre navigateur, le système d'exploitation, la date et l'heure de votre connexion, ainsi que les pages que vous consultez.
• Données d'utilisation : les fonctionnalités que vous utilisez, les actions que vous effectuez dans l'application, la fréquence et la durée de vos sessions, ainsi que les patterns d'utilisation agrégés.
• Cookies et technologies similaires : nous utilisons des cookies strictement nécessaires au fonctionnement du Service (session d'authentification, préférences utilisateur) ainsi que des cookies d'analyse (PostHog) pour comprendre comment nos Services sont utilisés. Vous pouvez gérer vos préférences de cookies dans les paramètres de votre navigateur.

Données provenant de sources tierces

Nous recevons des informations de nos sous-traitants techniques (hébergeurs, processeurs de paiement) uniquement dans la mesure nécessaire au fonctionnement du Service, notamment des confirmations de transaction de la part de Stripe.

3. Finalités du traitement

Nous utilisons vos données personnelles aux fins suivantes :

• Fourniture du Service : créer et gérer votre compte, exécuter le diagnostic de conformité, générer vos documents de conformité, gérer le registre d'incidents et les demandes d'accès, et vous fournir les fonctionnalités pour lesquelles vous vous êtes inscrit.
• Communication : vous envoyer des rappels de conformité (délais de 72 heures pour les incidents, délais de 30 jours pour les demandes), des notifications importantes concernant votre compte, des mises à jour du Service et des communications de support.
• Amélioration du Service : analyser l'utilisation agrégée et anonymisée de nos Services pour améliorer les fonctionnalités, l'expérience utilisateur et la précision du diagnostic.
• Sécurité : prévenir la fraude, les abus et les menaces contre nos systèmes, protéger la sécurité de votre compte et respecter nos obligations légales.
• Obligations légales : nous conformer aux lois applicables, y compris la Loi 25 du Québec, et protéger nos droits et ceux de nos utilisateurs.

4. Base légale du traitement

Le traitement de vos données personnelles est fondé sur : (a) l'exécution du contrat d'utilisation de Legiformo (nos conditions d'utilisation) ; (b) votre consentement, que vous pouvez retirer à tout moment ; et (c) l'intérêt légitime d'assurer la sécurité et l'amélioration de nos Services.

5. Partage et divulgation des données

Nous ne vendons jamais vos données personnelles. Nous ne les divulguons que dans les circonstances suivantes :

• Sous-traitants techniques : nous faisons appel à des prestataires de services tiers pour fournir certaines parties de notre Service. Ces prestataires accèdent à vos données uniquement dans le cadre de l'exécution de leurs obligations envers nous et sont soumis à des obligations strictes de confidentialité :
  • Supabase— hébergement de la base de données et authentification (données stockées dans l'Union européenne)
  • Stripe — traitement des paiements (nous ne stockons pas les numéros de carte bancaire)
  • PostHog— analyse d'utilisation (données anonymisées, serveurs européens)
  • Cloudflare — hébergement du site web et protection contre les attaques
• Obligations légales : nous pouvons divulguer vos données si la loi l'exige, en réponse à une demande judiciaire, une assignation ou une ordonnance d'un tribunal compétent.
• Protection des droits : nous pouvons divulguer vos données si nous estimons de bonne foi que cela est nécessaire pour protéger nos droits, votre sécurité ou celle d'autrui, ou pour enquêter sur une fraude ou une violation potentielle de nos conditions d'utilisation.
• Transactions d'affaires : en cas de fusion, acquisition ou vente d'actifs, vos données personnelles peuvent être transférées, sous réserve que le destinataire soit lié par des engagements de confidentialité au moins aussi restrictifs que les nôtres.

6. Conservation des données

Nous conservons vos données personnelles aussi longtemps que nécessaire pour fournir nos Services et respecter nos obligations légales. Voici nos périodes de conservation spécifiques :

• Données de compte : conservées tant que votre compte est actif. Après la suppression de votre compte, vos données personnelles sont supprimées de nos systèmes actifs dans un délai de 30 jours et de nos sauvegardes dans un délai de 90 jours.
• Données de diagnostic et documents : conservées tant que votre compte est actif. Vous pouvez les supprimer à tout moment depuis votre tableau de bord.
• Données de paiement : les informations de facturation sont conservées par Stripe conformément à leur politique de rétention. Nous n'avons pas accès aux numéros de carte bancaire.
• Données de connexion : conservées pour une durée maximale de 12 mois à des fins de sécurité et de détection d'anomalies.
• Données de communication : les échanges de courriels avec notre équipe sont conservés pendant 24 mois après la dernière interaction.

7. Vos droits

Conformément à la Loi 25 du Québec (Loi sur la protection des renseignements personnels dans le secteur privé) et aux lois applicables en matière de protection des données, vous disposez des droits suivants :

• Droit d'accès : vous avez le droit d'obtenir la confirmation que vos données personnelles sont traitées et d'en obtenir une copie dans un format structuré et couramment utilisé.
• Droit de rectification : vous pouvez demander la correction de vos données personnelles inexactes ou incomplètes.
• Droit de suppression : vous pouvez demander la suppression de vos données personnelles, sous réserve de nos obligations légales de conservation.
• Droit de portabilité : vous pouvez recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit de retrait du consentement : vous pouvez vous opposer au traitement de vos données personnelles ou retirer votre consentement à tout moment, sans affecter la légalité du traitement effectué avant le retrait.
• Droit de limiter le traitement : vous pouvez demander la limitation du traitement de vos données dans certaines circonstances.

Pour exercer ces droits, contactez notre responsable de la protection des renseignements personnels à privacy@legiformo.com. Nous traiterons votre demande dans un délai maximum de 30 jours et vous en confirmerons la réception dans les 10 jours ouvrables.

8. Sécurité des données

Nous prenons des mesures techniques et organisationnelles raisonnables pour protéger vos données personnelles contre la perte, l'utilisation abusive, l'accès non autorisé, la divulgation ou la modification. Ces mesures incluent notamment :

• Chiffrement de toutes les données en transit (TLS 1.3) et au repos (AES-256)
• Authentification par jeton (JWT) avec expiration automatique
• Politiques de sécurité au niveau des lignes (RLS) dans notre base de données
• Journalisation des accès et surveillance continue des systèmes
• Évaluation régulière des risques et mise à jour des mesures de protection
• Formation de notre équipe aux bonnes pratiques de sécurité des données

Aucun système de transmission ou de stockage de données n'est totalement sécurisé. Si vous avez connaissance d'une faille de sécurité, nous vous prions de nous en informer immédiatement à security@legiformo.com.

9. Transferts internationaux

Vos données personnelles peuvent être transférées et traitées dans des pays autres que le Canada, notamment dans l'Union européenne (où sont hébergés nos serveurs principaux). Dans chaque cas, nous nous assurons que des garanties appropriées sont en place pour assurer un niveau de protection équivalent à celui garanti par la Loi 25, incluant les clauses contractuelles types ou d'autres mécanismes de protection reconnus par la Commission d'accès à l'information du Québec.

10. Protection des renseignements personnels des mineurs

Nos Services ne s'adressent pas aux personnes de moins de 14 ans et nous ne collectons pas sciemment de données personnelles auprès de mineurs. Si vous êtes un parent ou un tuteur et que vous pensez que votre enfant nous a fourni des données personnelles, veuillez nous contacter à privacy@legiformo.com et nous prendrons les mesures nécessaires pour supprimer ces informations.

11. Cookies et technologies similaires

Nous utilisons les types de cookies suivants :

• Cookies strictement nécessaires : essentiels au fonctionnement du Service (session d'authentification, préférences de langue, token CSRF). Ces cookies ne nécessitent pas votre consentement.
• Cookies d'analyse : PostHog nous aide à comprendre comment nos Services sont utilisés. Les données collectées sont anonymisées et agrégées. Vous pouvez vous y opposer en configurant votre navigateur.

Vous pouvez gérer vos préférences de cookies à tout moment. La désactivation de certains cookies peut affecter le fonctionnement du Service.

12. Modifications de la présente politique

Nous pouvons modifier la présente politique de temps à autre. La date de la dernière mise à jour est indiquée en haut de cette page. En cas de modification substantielle, nous vous en informerons par courriel au moins 30 jours avant leur entrée en vigueur et, lorsque cela sera requis, nous solliciterons votre consentement renouvelé. Votre utilisation continue du Service après l'entrée en vigueur des modifications constitue votre acceptation de celles-ci.

13. Nous contacter

Pour toute question concernant la présente politique de confidentialité ou l'exercice de vos droits, vous pouvez communiquer avec nous :

• Courriel : privacy@legiformo.com
• Responsable de la protection des renseignements personnels : privacy@legiformo.com

Si vous n'obtenez pas de réponse satisfaisante, vous avez le droit de déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI).