Rapport de conformité Loi 25

Aucune bannière de consentement (cookie banner) n'est visible sur cette page d'accueil. La page affiche uniquement un formulaire d'inscription au carnet de Martine, sans aucune mention de témoins, cookies ou gestion du consentement.

Recommandation — Implémenter une bannière de consentement visible dès le chargement de la page. Cette bannière doit informer les utilisateurs de l'utilisation de témoins et demander leur consentement avant de placer des données dans leur navigateur, conformément à la Loi 25 du Québec.

Le domaine o380824.ingest.us.sentry.io a chargé une requête fetch vers /api/4511025425940480/envelope/ sans consentement préalable. Sentry est un service de suivi d'erreurs et de performance qui collecte des données de diagnostic. Cette requête a été émise avant toute interaction de consentement de l'utilisateur.

Recommandation — Implémenter un mécanisme de consentement qui bloque complètement Sentry jusqu'à ce que l'utilisateur accepte explicitement les traceurs non essentiels. Configurer Sentry pour respecter les signaux de consentement avant d'envoyer des données.

Aucune option de personnalisation, bouton « Gérer mes préférences » ou « Personnaliser » n'est présente. Il n'y a pas de mécanisme permettant aux utilisateurs de choisir granulaires les catégories de consentement.

Recommandation — Ajouter un bouton « Personnaliser » ou « Gérer mes préférences » dans la bannière de consentement pour permettre aux utilisateurs de refuser ou accepter sélectivement les différentes catégories de témoins (analytiques, marketing, fonctionnels, etc.).

Aucun bouton de refus n'est présent puisqu'il n'y a pas de bannière de consentement visible sur la page.

Recommandation — Implémenter un bouton de refus avec une visibilité et une proéminence égale au bouton d'acceptation. Ce bouton doit être facilement accessible et non caché ou relégué à l'arrière-plan.

Le site ne dispose pas d'un mécanisme visible de consentement granulaire. Sentry (o380824.ingest.us.sentry.io) s'exécute sans possibilité détectable de le désactiver lors du refus du consentement. Les utilisateurs ne peuvent pas efficacement refuser ce traceur.

Recommandation — Mettre en place un gestionnaire de consentement conforme à la Loi 25 du Québec permettant de refuser spécifiquement les services de diagnostic comme Sentry. Implémenter des callbacks de consentement qui arrêtent l'exécution de Sentry avant son initialisation.

Aucun lien de gestion des cookies n’a été trouvé sur le site.

Recommandation — Ajouter un lien « Gestion des cookies » ou « Paramètres des cookies » dans le pied de page permettant aux utilisateurs de modifier leurs préférences de consentement après avoir fermé la bannière.

Il n'y a pas de lien vers une politique de confidentialité ou de cookies visible dans la section de consentement. Seul un lien « Politique de confidentialité » est aperçu en bas à droite de la page, mais il n'est pas intégré à une bannière de consentement.

Recommandation — Inclure un lien vers la politique de confidentialité ou de cookies directement dans la bannière de consentement pour que les utilisateurs puissent accéder à cette information avant de donner leur consentement.

Aucun cookie wall n'est présent. L'utilisateur peut accéder librement au contenu de la page et à la majorité des fonctionnalités sans fournir de consentement préalable.

La page de politique de confidentialité existe et est accessible. Elle est rédigée en français canadien et contient une explication claire de la transparence et du traitement des renseignements personnels.

Un responsable de la protection des renseignements personnels est nommé : Martine Desormeaux. Son nom est clairement affiché dans la section de contact au bas de la politique.

Les coordonnées du responsable sont fournies : adresse courriel martine@munditour.ca et nom complet Martine Desormeaux. L'adresse de l'entreprise Martine Voyages – MundiTour est également fournie.

Les types de renseignements collectés sont décrits précisément dans la section 'Ce que je recueille'. Seul le prénom et l'adresse courriel sont recueillis lors de l'inscription à l'infolettre. Aucune autre donnée sensible n'est mentionnée comme étant collectée.

Les finalités de la collecte sont indiquées dans la section 'Comment je les utilise'. Les renseignements sont utilisés pour envoyer des infolettres, nouveautés, conseils et information sur les voyages et groupes proposés.

La politique de confidentialité ne précise pas la durée de conservation des renseignements personnels ni les critères de suppression des données après le désabonnement ou l'inactivité.

Recommandation — Ajouter une section explicite indiquant la durée de conservation des données personnelles (par exemple, conservation jusqu'au désabonnement, puis suppression dans les 30 jours). Préciser également les critères de suppression ou d'archivage automatique.

Le partage avec des tiers est divulgué clairement. La politique affirme que les renseignements ne sont pas vendus à des tiers et ne sont accessibles qu'aux personnes et fournisseurs de services nécessaires à la gestion et l'envoi de l'infolettre.

Les droits des utilisateurs sont expliqués avec une procédure claire. La politique indique que les utilisateurs peuvent se désabonner en tout temps via le lien de désabonnement dans les courriels. Elle mentionne également que les utilisateurs peuvent demander l'accès, la rectification ou la suppression de leurs renseignements en contactant Martine Desormeaux par courriel.

En examinant le formulaire principal d'inscription à l'infolettre, une case à cocher est présente pour le consentement. Cependant, en regardant le deuxième formulaire (formulaire d'inscription général avec le message 'Inscrivez-vous et voyez votre business prospérer'), aucune case de consentement explicite n'est observable. Ce formulaire demande uniquement le nom et l'adresse courriel sans mécanisme de consentement explicite visible.

Recommandation — Ajouter une case de consentement explicite au deuxième formulaire pour recueillir le consentement de l'utilisateur avant de traiter les données personnelles.

Dans le formulaire principal d'inscription à l'infolettre, la case de consentement n'est pas pré-cochée. L'utilisateur doit cocher manuellement la case pour accepter de recevoir les infolettres avant de soumettre le formulaire.

Dans le formulaire principal, la finalité est indiquée (recevoir les infolettres et communications). Cependant, dans le deuxième formulaire ('Inscrivez-vous et voyez votre business prospérer'), la finalité de la collecte n'est pas clairement indiquée. Le texte du formulaire ne précise pas à quoi serviront les données collectées.

Recommandation — Ajouter une indication claire de la finalité au deuxième formulaire, expliquant pourquoi les données sont collectées et comment elles seront utilisées.

Le formulaire principal d'inscription à l'infolettre contient un lien vers la politique de confidentialité dans la case de consentement. Cependant, le deuxième formulaire ('Inscrivez-vous et voyez votre business prospérer') contient un lien vers la politique de confidentialité dans le texte de bas de page, mais ce lien pointe vers '#' (lien vide) et ne fonctionne pas réellement.

Recommandation — Corriger le lien vers la politique de confidentialité dans le deuxième formulaire pour qu'il dirige réellement vers la page de politique de confidentialité complète et fonctionnelle.

Le formulaire d'inscription à l'infolettre est soumis via HTTPS. Le site utilise un protocole sécurisé pour transmettre les données personnelles.

Sentry (o380824.ingest.us.sentry.io) a transmis des données via une requête fetch sans aucune interaction de consentement préalable de l'utilisateur. Ceci viole les principes de consentement préalable de la Loi 25.

Recommandation — Charger Sentry uniquement après que l'utilisateur ait accepté explicitement les traceurs de diagnostic et performance. Utiliser une stratégie de chargement différé avec vérification du consentement.

Le site contient 1 seul domaine tiers non essentiel (Sentry), ce qui est bien en dessous de la limite de 10 scripts tiers non essentiels.

La politique de confidentialité ne mentionne pas où les renseignements personnels sont stockés ou traités. Aucune information n'est fournie concernant les transferts transfrontaliers de données ou l'utilisation de serveurs situés en dehors du Canada, notamment chez les fournisseurs de services américains (Sentry pour l'analytics est identifié dans les traceurs).

Recommandation — Ajouter une section à la politique de confidentialité décrivant où les données sont stockées et traitées. Préciser si les données sont transférées vers des pays tiers (comme les États-Unis) et indiquer les mesures de protection appropriées en place pour ces transferts, conformément aux exigences de la Loi 25.

Aucun pixel marketing ou de remarketing (comme Facebook Pixel, Google Ads, LinkedIn Insight Tag) n'a été détecté sur le site.

L'en-tête 'strict-transport-security' (HSTS) n'est pas présent dans les en-têtes HTTP retournés. Bien que HTTPS est utilisé, l'absence d'HSTS signifie que la redirection HTTPS n'est pas strictement imposée au niveau du serveur.

Recommandation — Ajouter un en-tête 'Strict-Transport-Security' (HSTS) à la configuration du serveur web. Cet en-tête doit spécifier une durée maximale d'âge appropriée (par exemple, 'max-age=31536000') pour forcer tous les navigateurs à utiliser HTTPS lors des connexions futures au domaine.

Le cookie 'v' utilisé pour les sessions dispose des attributs Secure et HttpOnly. Ces attributs garantissent que le cookie n'est transmis que via HTTPS et que le cookie n'est pas accessible via JavaScript, ce qui améliore la sécurité contre les attaques XSS.

L'en-tête 'Content-Security-Policy' n'est pas présent dans les en-têtes HTTP retournés. Bien que l'en-tête 'X-XSS-Protection' soit défini, l'absence d'une politique CSP complète laisse le site vulnérable à certaines attaques par injection de contenu.

Recommandation — Implémenter et ajouter un en-tête 'Content-Security-Policy' approprié à la configuration du serveur web. Cet en-tête doit définir les sources autorisées pour les scripts, les styles, les images et autres ressources afin de prévenir les attaques XSS et par injection de contenu malveillant.