Rapport de conformité Loi 25

Aucune bannière de consentement, de gestion de cookies ou de collecte de données n'est visible sur la page d'accueil du Quartier des Gameurs. La page affiche uniquement le contenu principal avec la navigation et les appels à l'action pour rejoindre ou devenir membre de l'organisme.

Recommandation — Mettre en place une bannière de consentement conforme à la Loi 25 du Québec dès le chargement initial de la page. Cette bannière doit informer les utilisateurs de la collecte de données personnelles et des témoins (cookies) utilisés sur le site, et demander leur consentement explicite avant toute collecte.

Le traceur Cloudflare Insights (static.cloudflareinsights.com) a été chargé sans consentement explicite avant toute interaction de l'utilisateur. Ce script de télémétrie recueille des données de navigation et de performance du site.

Recommandation — Implémenter un gestionnaire de consentement qui bloque le chargement de static.cloudflareinsights.com jusqu'à ce que l'utilisateur accepte explicitement les cookies analytiques ou de performance. Vérifier auprès de Cloudflare si ce service peut être désactivé ou retardé.

Aucune option de choix granulaire n'est visible, car il n'existe pas de bannière de consentement sur la page. Il n'y a aucun bouton « Personnaliser » ou « Gérer mes préférences » accessible aux utilisateurs.

Recommandation — Ajouter une bannière de consentement qui offre un choix granulaire permettant aux utilisateurs de personnaliser leurs préférences de consentement. Un bouton « Personnaliser » ou « Gérer mes préférences » doit permettre d'accéder à une interface où l'utilisateur peut accepter ou refuser individuellement chaque catégorie de collecte de données (analytique, marketing, fonctionnalités essentielles, etc.).

Il n'y a pas de bannière présente, donc aucun bouton de refus n'est visible. Par conséquent, il est impossible d'évaluer la visibilité et la proéminence d'un bouton de refus par rapport à un bouton d'acceptation.

Recommandation — Implémenter une bannière de consentement où le bouton de refus (par exemple « Refuser » ou « Continuer sans accepter ») est aussi visible, accessible et proéminent que le bouton d'acceptation. Les deux boutons doivent avoir une taille similaire, un contraste équivalent et ne pas être cachés ou relégués dans une position secondaire.

Bien que Cloudflare Insights soit le seul traceur non essentiel détecté, aucun mécanisme de consentement visible n'a été noté pendant l'audit. L'absence de banneau de consentement ou de moyen de refuser ce traceur signifie que le refus du consentement ne bloquerait pas ce service.

Recommandation — Ajouter un gestionnaire de consentement complet (tel que OneTrust, Cookiebot ou similaire) qui offre la possibilité d'accepter ou de refuser les traceurs analytiques et de performance. Le refus explicite doit empêcher le chargement de Cloudflare Insights.

Aucun lien de gestion des cookies n’a été trouvé sur le site.

Recommandation — Ajouter un lien « Gestion des cookies » ou « Paramètres des cookies » dans le pied de page permettant aux utilisateurs de modifier leurs préférences de consentement après avoir fermé la bannière.

Aucun lien vers une politique de confidentialité ou de cookies n'est visible dans la bannière ou à proximité, car il n'existe pas de bannière de consentement sur la page d'accueil actuellement affichée.

Recommandation — Inclure dans la bannière de consentement un lien clairement visible et accessible vers la politique de confidentialité et la politique relative aux cookies du site. Ce lien doit permettre aux utilisateurs de comprendre en détail comment leurs données personnelles sont collectées, traitées et utilisées.

La page d'accueil du Quartier des Gameurs n'utilise pas de cookie wall. Les utilisateurs peuvent accéder au contenu principal de la page et consulter les informations sur l'organisme sans être bloqués par une bannière de consentement obligatoire ou des conditions de consentement préalables.

Une page de politique de confidentialité est accessible via le lien situé dans le pied de page du site. Le document contient des informations relatives à la protection des renseignements personnels.

Après examen du contenu fourni de la politique de confidentialité, aucune mention explicite d'un responsable de la protection des renseignements personnels (RPRP) n'est visible. Le texte principal accessible n'identifie pas clairement cette personne ou ce rôle.

Recommandation — Ajouter une section à la politique de confidentialité qui nomme explicitement le responsable de la protection des renseignements personnels ou identifier le poste occupé par cette personne au sein de l'organisation.

Les coordonnées spécifiques du RPRP (adresse courriel dédiée, numéro de téléphone ou adresse postale du bureau du RPRP) ne sont pas clairement indiquées dans la section examinée de la politique de confidentialité.

Recommandation — Fournir les coordonnées complètes du RPRP dans la politique, incluant un courriel dédié (par exemple [email protected]) ou un formulaire de contact permettant aux personnes de joindre facilement le RPRP pour des questions relatives à leurs renseignements personnels.

La politique de confidentialité fournie ne décrit pas précisément les types de renseignements personnels collectés. Aucune énumération détaillée (nom, adresse courriel, mot de passe haché, avatar, informations de profil, etc.) n'est visible dans le texte analysé.

Recommandation — Ajouter une section complète décrivant tous les types de renseignements personnels collectés, y compris : informations d'identification (nom d'affichage, adresse courriel), données de profil (avatar, rôle), données de session (jetons JWT, identifiants de session) et toute autre donnée personnelle traitée par le site.

La politique examinée ne précise pas les finalités de la collecte pour chaque type de renseignements personnels. Les objectifs pour lesquels chaque catégorie de données est utilisée ne sont pas documentés.

Recommandation — Documenter explicitement pour chaque type de données collectées : la finalité précise (authentification, gestion de compte, communication, amélioration du service, etc.), la base légale du traitement et la durée de conservation correspondante.

Aucune information concernant les durées de conservation des renseignements personnels ou les critères de suppression n'est présente dans le contenu analysé de la politique de confidentialité.

Recommandation — Ajouter une section détaillée précisant pour chaque catégorie de données : la durée exacte de conservation (par exemple, « jusqu'à la suppression du compte » ou « 90 jours après la dernière connexion ») ou les critères qui déclenchent la suppression des données.

La politique ne divulgue pas si les renseignements personnels sont partagés avec des tiers. Il n'y a aucune mention des catégories de destinataires (prestataires de services, partenaires, etc.) ou des noms spécifiques d'organisations externes ayant accès aux données.

Recommandation — Ajouter une section expliquant tous les partages de données avec des tiers, en incluant : les catégories de destinataires (hébergeurs, analystes, prestataires de support), les noms des services externes (par exemple Cloudflare pour la CDN), les finalités du partage et les mesures de protection mises en place.

La politique examinée ne décrit pas les droits des utilisateurs ni les procédures pour exercer ces droits. Aucune explication concernant l'accès aux données personnelles, la rectification, la suppression ou la portabilité n'est visible.

Recommandation — Ajouter une section claire expliquant les droits des utilisateurs selon la Loi 25 du Québec : droit d'accès, de rectification, de suppression, de portabilité et opposition. Inclure une procédure précise pour exercer ces droits, notamment une adresse courriel de demande, les délais de réponse (ex. 30 jours) et les documents requis pour vérifier l'identité de la personne.

Aucun formulaire détecté sur le site.

Aucun formulaire détecté sur le site.

Aucun formulaire détecté sur le site.

Aucun formulaire détecté sur le site.

Aucun formulaire détecté sur le site.

Le script Cloudflare Insights (static.cloudflareinsights.com/beacon.min.js) a été chargé dès le chargement initial de la page, sans attendre aucune interaction ou consentement de l'utilisateur.

Recommandation — Retarder le chargement de tous les traceurs non essentiels, y compris Cloudflare Insights, jusqu'à obtenir le consentement explicite. Utiliser un gestionnaire de consentement pour contrôler le moment et les conditions de chargement de ces scripts.

Trois domaines tiers non essentiels ont été identifiés : static.cloudflareinsights.com (analytique), cdn.discordapp.com (images), et api.lequartierdesgameurs.ca (API interne). Cela reste en dessous de la limite de 10 scripts tiers non essentiels.

La politique de confidentialité n'explique pas les transferts transfrontaliers de données personnelles. Or, l'analyse des traceurs révèle l'utilisation de services comme Cloudflare (États-Unis) et Discord (États-Unis), ce qui implique potentiellement un transfert de données vers des juridictions externes. La politique ne mentionne pas où les données sont stockées ni traitées.

Recommandation — Ajouter une section explicite à la politique de confidentialité documentant : les transferts transfrontaliers de données vers les États-Unis ou autres juridictions, les services tiers utilisés (Cloudflare, Discord, etc.), les mesures de protection (Standard Contractual Clauses, Privacy Shield ou équivalent) et les risques potentiels liés à ces transferts.

Aucun pixel marketing ou de remarketing (ex. Facebook Pixel, Google Ads, LinkedIn Insight Tag) n'a été détecté lors de l'audit. Le domaine cdn.discordapp.com charge uniquement des images d'événements statiques, pas de pixels de suivi.

L'en-tête HTTP « strict-transport-security: max-age=31536000; includeSubDomains » est présent et correctement configuré. HTTPS est imposé de manière permanente (31 536 000 secondes = 1 an) et s'applique aux sous-domaines. Les navigateurs redirigeront automatiquement les tentatives d'accès HTTP vers HTTPS.

Aucun cookie n'a été détecté lors de l'examen du site. Par conséquent, il n'y a pas d'attributs Secure ou HttpOnly manquants. Le site évite les risques de sécurité liés à une mauvaise configuration des cookies en s'appuyant sur le stockage localStorage pour les jetons d'authentification et données de session.

Un en-tête Content-Security-Policy est présent et bien configuré. Il limite les sources de scripts (autorisé uniquement depuis le domaine propre et Cloudflare Insights), interdit les iframes à d'autres domaines excepté YouTube, bloque les objets intégrés et les microphones, et impose l'upgrade des connexions non sécurisées.