Rapport de conformité Loi 25

Une bannière de consentement est clairement visible sur la page d'accueil. La bannière occupe une position proéminente sur le côté gauche de l'écran avec un fond bleu foncé. Elle contient un titre « Votre vie privée nous importe » et du texte expliquant l'utilisation des témoins. Deux boutons d'action sont présents : « Accepter tout » (vert) et « Refuser » (gris).

Google Tag Manager et Google Analytics ont été chargés avant le consentement de l'utilisateur. Les scripts www.googletagmanager.com (/gtag/js et /gtm.js) et www.google-analytics.com (/g/collect) se sont exécutés sans attendre une interaction de consentement explicite de la part du visiteur.

Recommandation — Implémenter un gestionnaire de consentement qui bloque les scripts Google Analytics et Google Tag Manager jusqu'à ce que l'utilisateur accepte explicitement les traceurs marketing et analytiques. Modifier la configuration du GTM pour respecter le consentement avant la collecte de données.

La bannière offre l'accès à un choix granulaire via le lien « Gérer mes préférences » situé sous les deux boutons principaux. Ce lien permet aux utilisateurs de personnaliser leurs préférences de consentement au-delà d'un simple choix binaire.

Le bouton « Refuser » (fond gris) n'est pas aussi proéminent que le bouton « Accepter tout » (fond vert). Le bouton d'acceptation utilise une couleur vive (vert) qui attire davantage l'attention, tandis que le bouton de refus utilise un gris neutre. Les deux boutons semblent avoir une taille similaire, mais le contraste visuel favorise clairement l'acceptation.

Recommandation — Pour respecter la Loi 25 du Québec, le bouton de refus doit être aussi visible et attrayant que le bouton d'acceptation. Il est recommandé d'utiliser des couleurs similaires ou complémentaires pour les deux boutons, ou d'appliquer un style de bouton secondaire qui ne désavantage pas visuellement l'option de refus.

Le site charge Google Tag Manager et Google Analytics sans mécanisme visible de consentement. Aucun blocage ou déchargement de ces traceurs n'est assuré lorsque l'utilisateur refuse le consentement. Le GTM peut continuer à charger d'autres traceurs même après un refus.

Recommandation — Configurer le GTM avec une logique de consentement préalable utilisant des variables de consentement. Bloquer le déclenchement des tags marketing et analytiques tant que l'utilisateur n'a pas donné son consentement explicite. Mettre en place des vérifications de consentement avant chaque appel de suivi.

Aucun lien de gestion des cookies n’a été trouvé sur le site.

Recommandation — Ajouter un lien « Gestion des cookies » ou « Paramètres des cookies » dans le pied de page permettant aux utilisateurs de modifier leurs préférences de consentement après avoir fermé la bannière.

Un lien « Politique de confidentialité » est visible dans la bannière, situé sous les boutons d'action. Ce lien est clairement identifiable et accessible directement depuis la bannière de consentement.

La bannière ne bloque pas l'accès au contenu principal de la page. Bien que la bannière soit superposée, le contenu de la page (navigation, images de concert, texte « BUNKER D'AUTEUIL - MAISON DE DISQUES INDÉPENDANTE ») reste visible et partiellement accessible derrière la bannière.

Une page de politique de confidentialité existe et est clairement accessible via le menu du site. La page contient une politique complète datée du 8 septembre 2026, avec toutes les sections requises par la Loi 25.

Un responsable de la protection des renseignements personnels est nommé : Jean-Philip Tanguay, qui occupe le poste de Président de Bunker D'Auteuil inc.

Les coordonnées complètes du RPRP sont fournies : adresse courriel (soldat@bunkerdauteuil.com), adresse physique (89, rue d'Auteuil, Québec, Québec G1R 4C5, Canada) et téléphone disponible via contact.

Les types de renseignements personnels collectés sont précisément énumérés dans la section 2 : nom et prénom, adresse courriel, adresse IP et données de navigation, ainsi que témoins (cookies). La politique indique que la collecte se fait volontairement ou automatiquement lors de la navigation.

Les finalités de collecte sont énumérées de manière générale (analyser l'utilisation du site, envoyer des communications promotionnelles), mais elles ne sont pas directement liées à chaque type de données collecté. Par exemple, il n'est pas précisé quels renseignements sont utilisés pour quelles finalités spécifiques.

Recommandation — Modifier la section 3 pour associer explicitement chaque type de renseignement personnel à ses finalités spécifiques. Par exemple : « Le nom et l'adresse courriel sont collectés pour [finalité X], tandis que l'adresse IP et les données de navigation sont collectées pour [finalité Y] ».

La section 5 précise que les renseignements personnels sont conservés pendant une période maximale de 3 ans après la fin de la relation ou après l'atteinte des finalités de collecte. À l'expiration de ce délai, les données sont détruites ou anonymisées de manière sécuritaire.

Bien que la politique mentionne que des renseignements peuvent être communiqués à des tiers (Google Analytics, CyberImpact, Mailchimp), il n'y a pas de clarté sur le type de données transmises à chacun de ces tiers. La politique ne spécifie pas non plus si des accords de traitement de données sont en place ou quels sont les niveaux de protection appliqués par chaque tiers.

Recommandation — Détailler dans la section 4 les types spécifiques de renseignements partagés avec chaque tiers. Par exemple : « Google Analytics reçoit l'adresse IP et les données de navigation uniquement » ou « Mailchimp reçoit le nom, l'adresse courriel et les préférences de communication ». Ajouter une mention des ententes de traitement de données et de la conformité de ces tiers à la Loi 25.

La section 6 explique clairement les cinq droits des utilisateurs conformément à la Loi 25 : droit d'accès, droit de rectification, droit à l'effacement, droit à la portabilité et droit de retirer le consentement. Une procédure claire est fournie : les utilisateurs doivent communiquer avec le RPRP aux coordonnées indiquées à la section 1.

Le formulaire de recherche analysé ne contient pas de case de consentement. Bien qu'un banneau de consentement pour les témoins soit présent sur la page (affichant les options « Accepter tout », « Refuser », « Gérer mes préférences »), le formulaire lui-même ne demande pas de consentement explicite pour la collecte des données de recherche.

Recommandation — Ajouter une case de consentement explicite sur le formulaire de recherche, indiquant que les données saisies seront traitées conformément à la politique de confidentialité. Le cas échéant, permettre aux utilisateurs de consentir ou refuser la collecte de ces données avant de soumettre le formulaire.

Cette vérification ne s'applique pas car le formulaire de recherche n'inclut pas de case de consentement. Le banneau de consentement principal du site permet à l'utilisateur de refuser les témoins, mais il ne s'agit pas d'une case de consentement dans un formulaire de collecte de données.

Le formulaire de recherche ne contient aucune indication de la finalité de la collecte des données. Il n'y a pas de texte explicatif qui explique à quoi les données saisies seront utilisées.

Recommandation — Ajouter, près du champ de recherche ou au-dessus du bouton de soumission, un texte claire indiquant la finalité de la collecte. Par exemple : « Vos termes de recherche nous aident à améliorer le contenu de notre site. »

Il n'y a pas de lien vers la politique de confidentialité à proximité immédiate du formulaire de recherche. Bien qu'un lien vers la politique existe dans le pied de page du site, il n'est pas visible ou accessible au moment où l'utilisateur interagit avec le formulaire.

Recommandation — Ajouter un lien vers la politique de confidentialité directement sous le formulaire de recherche ou à proximité du bouton de soumission, afin que les utilisateurs puissent facilement consulter les détails sur le traitement de leurs données avant de soumettre leur recherche.

Le formulaire est soumis via HTTPS. L'analyse des en-têtes HTTP confirme que le site utilise HTTPS de manière systématique (présence d'en-têtes de sécurité et protocole h3 supporté).

Google Tag Manager (/gtm.js), Google Analytics (/g/collect), Google reCAPTCHA et les polices Google ont tous été chargés avant toute interaction de consentement. La page affiche des traceurs non essentiels dès le chargement initial sans banneau ou dialogue de consentement préalable.

Recommandation — Ajouter un gestionnaire de consentement qui s'affiche avant le chargement de tout script tiers non essentiel. Différer le chargement de www.googletagmanager.com, www.google-analytics.com et www.google.com/recaptcha jusqu'à ce que l'utilisateur accepte les conditions. Utiliser un mode de consentement explicite par défaut.

Le site charge 8 domaines tiers uniques : fonts.googleapis.com, www.googletagmanager.com, www.google.com, fonts.gstatic.com, www.gstatic.com et www.google-analytics.com. Parmi ceux-ci, 4 sont non essentiels (Google Tag Manager, Google Analytics, reCAPTCHA, polices décoratives). Ce nombre reste en dessous du seuil de 10.

La politique de confidentialité mentionne plusieurs tiers américains (Google Analytics, CyberImpact, Mailchimp) sans divulguer explicitement que les données peuvent être transférées vers les États-Unis. Il n'y a aucune mention des transferts transfrontaliers, des mécanismes de protection (comme les clauses contractuelles types ou les adequacy decisions), ni de l'impact potentiel sur la protection des données en vertu de la Loi 25.

Recommandation — Ajouter une section explicite sur les transferts transfrontaliers de données. Divulguer clairement que certains services utilisent des serveurs situés aux États-Unis (ou ailleurs hors Québec/Canada) et expliquer les mesures de protection mises en place, telles que les clauses contractuelles standard ou la conformité à des cadres comme Privacy Shield (s'il s'applique). Permettre aux utilisateurs de comprendre les implications de ces transferts.

Google reCAPTCHA (www.google.com/recaptcha/api.js et www.gstatic.com/recaptcha/releases) est présent sur la page. Bien que reCAPTCHA serve à des fins de sécurité plutôt que de publicité directe, il collecte des données comportementales et charge du JavaScript sans consentement explicite préalable.

Recommandation — Implémenter un mécanisme de consentement pour reCAPTCHA ou évaluer des alternatives qui posent moins de défis à la confidentialité, comme hCaptcha. Si reCAPTCHA demeure, afficher une notification transparente concernant la collecte de données et obtenir le consentement avant son chargement.

Bien que le site utilise HTTPS, l'analyse des en-têtes HTTP ne montre pas la présence de l'en-tête Strict-Transport-Security (HSTS). Cet en-tête est essentiel pour forcer les navigateurs à utiliser uniquement HTTPS et prévenir les attaques par dégradation de protocole (downgrade attacks).

Recommandation — Configurer l'en-tête Strict-Transport-Security sur le serveur web avec une valeur appropriée, par exemple : « Strict-Transport-Security: max-age=31536000; includeSubDomains; preload ». Cela garantira que tous les navigateurs utilisent exclusivement HTTPS lors des accès ultérieurs au site.

Aucun cookie n'est présent dans la réponse analysée. Le site utilise un banneau de consentement pour les témoins et permet à l'utilisateur de gérer ses préférences, mais les cookies sont définis dynamiquement après l'interaction de l'utilisateur avec le banneau. Cette approche respecte le principe du consentement préalable requis par la Loi 25.

L'analyse des en-têtes HTTP ne montre pas la présence d'un en-tête Content-Security-Policy (CSP). Bien que le site utilise Elementor et Google Analytics, il n'existe pas de politique de sécurité déclarée qui limite les sources de contenu autorisées (scripts, styles, images, etc.). Cela augmente le risque d'attaques par injection de code malveillant.

Recommandation — Implémenter un en-tête Content-Security-Policy approprié sur le serveur web. Par exemple : « Content-Security-Policy: default-src 'self'; script-src 'self' https://www.googletagmanager.com https://www.google-analytics.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' https://fonts.googleapis.com https://fonts.gstatic.com ». Adapter la politique selon les ressources externes réellement utilisées par le site.