Rapport de conformité Loi 25

Une bannière de consentement est visible au bas de la page. Elle présente un titre « Nous respectons votre vie privée » suivi d'un texte explicatif sur l'utilisation des témoins. La bannière contient trois boutons d'action : « Réglages », « Tout refuser » et « J'accepte ». Des liens vers « Privacy Policy » et « Cookie Policy » sont également présents.

Aucun traceur non essentiel (cookie, pixel marketing ou script d'analyse) n'a été chargé avant le consentement. Les domaines détectés sont : realisationleblond.ca (site principal), fonts.googleapis.com (polices), fonts.gstatic.com (polices), et multipurpose43.ziptemplates.top (image CDN). Tous sont des ressources essentielles au fonctionnement et à l'apparence du site.

Un bouton « Réglages » est présent dans la bannière, offrant la possibilité de gérer les préférences de consentement de manière granulaire. Cela permet à l'utilisateur de personnaliser ses choix au-delà d'une simple acceptation ou refus global.

Le bouton « J'accepte » (bleu) est plus proéminent visuellement que le bouton « Tout refuser » (blanc avec bordure). Le bouton d'acceptation attire davantage l'attention par sa couleur contrastante et son positionnement. Le bouton de refus n'a pas la même visibilité et proéminence.

Recommandation — Modifier la présentation pour que les boutons « Tout refuser » et « J'accepte » soient de taille égale, avec un contraste visuel similaire. Par exemple, utiliser la même couleur de fond pour les deux boutons ou rendre le bouton de refus aussi attirant que celui d'acceptation. Respecter le principe d'égalité entre les choix.

Le site ne charge que des ressources essentielles (polices Google, CSS, images et scripts internes). Aucun traceur analytique, marketing ou de réseautage social n'a été détecté. Le mécanisme de consentement (cookie admin) est présent et fonctionnel.

Un lien permettant de modifier les préférences de consentement est présent sur le site (« Cookie Policy »).

Deux liens sont visibles au bas de la bannière : « Privacy Policy » et « Cookie Policy ». Ils permettent aux utilisateurs d'accéder aux documents de confidentialité et de gestion des témoins directement depuis la bannière.

La bannière ne bloque pas l'accès au contenu principal de la page. L'utilisateur peut consulter les informations sur le service (texte descriptif et images) sans être forcé d'interagir avec la bannière en premier lieu. La bannière est positionnée en superposition sans empêcher la consultation du reste du site.

Une page de politique de confidentialité est clairement présente et accessible sur le site. Le document est daté du 7 juillet 2026 et couvre l'ensemble des obligations légales applicables.

Un responsable de la protection des renseignements personnels a été clairement désigné sous le nom « Réalisation Leblond » conformément aux exigences de la Loi 25.

Les coordonnées du responsable de la protection des renseignements personnels sont fournies : adresse courriel (politique@realisationleblond.ca). Une procédure de contact accessible est établie.

Les types de renseignements personnels collectés sont décrits précisément : nom et prénom, adresse courriel, numéro de téléphone, adresse postale, nom de l'entreprise, informations relatives aux projets et demandes, ainsi que les données techniques d'utilisation du site Web.

Les finalités de la collecte sont clairement indiquées : répondre aux demandes, préparer et gérer les soumissions, réaliser les services, assurer le suivi des projets, respecter les obligations légales, et améliorer les services. La politique stipule que seuls les renseignements nécessaires aux fins prévues sont utilisés.

La politique de confidentialité précise que les renseignements sont conservés uniquement pendant la durée nécessaire à la réalisation des fins prévues ou conformément aux exigences légales, puis détruits ou supprimés de manière sécuritaire. Le critère est établi avec clarté.

Le partage avec des tiers est divulgué : la politique indique que l'entreprise ne vend, n'échange ni ne loue les renseignements personnels, mais peut partager certaines informations avec les fournisseurs de services professionnels, partenaires technologiques ou autorités compétentes lorsque la loi l'exige. Les obligations de confidentialité imposées aux tiers sont mentionnées.

Les droits des utilisateurs sont expliqués clairement : accès aux renseignements personnels, rectification, retrait du consentement, suppression lorsque la loi le permet, portabilité des données lorsque applicable, et dépôt de plainte. Ces droits sont énumérés de manière conforme à la Loi 25, à la LPRPDE et au RGPD.

Aucun formulaire détecté sur le site.

Aucun formulaire détecté sur le site.

Aucun formulaire détecté sur le site.

Aucun formulaire détecté sur le site.

Aucun formulaire détecté sur le site.

Lors de l'analyse initiale, sans aucune interaction de consentement, seules les ressources essentielles ont été chargées : polices, feuilles de style, images et scripts du site principal. Aucun tracker n'a été activé prématurément.

Seulement 3 domaines tiers non essentiels ont été identifiés : fonts.googleapis.com, fonts.gstatic.com et multipurpose43.ziptemplates.top. Ce nombre est bien en dessous de la limite de 10 scripts tiers non essentiels.

La politique de confidentialité mentionne que les renseignements peuvent être conservés sur des plateformes infonuagiques telles que Microsoft 365 (OneDrive et SharePoint), mais ne divulgue pas explicitement les implications des transferts transfrontaliers de données vers les États-Unis ou d'autres juridictions. Aucune mention des accords de transfert de données ou des mesures de protection supplémentaires n'est présente.

Recommandation — Ajouter une section spécifique dans la politique de confidentialité divulguant clairement les transferts transfrontaliers de données, notamment vers les États-Unis via Microsoft 365. Expliquer les mesures de protection mises en place pour assurer la conformité légale et les recours disponibles aux utilisateurs en cas de transfert international.

Aucun pixel de remarketing ou de marketing n'a été détecté lors de l'analyse. Les domaines présents ne correspondent à aucune plateforme publicitaire connue (Google Ads, Facebook Pixel, LinkedIn, etc.).

L'en-tête HTTP strict-transport-security est présent avec la valeur « max-age=31536000; includeSubDomains; preload », ce qui signifie que HTTPS est imposé de manière sécurisée pour une durée d'un an avec inclusion des sous-domaines et préchargement.

Aucun cookie détecté dans la réponse. La page utilise plutôt un gestionnaire de consentement pour les cookies décrit dans le contenu (Cookies nécessaires, fonctionnels, analytiques, publicitaires et non classifiés), mais aucun cookie spécifique n'est actuellement défini.

Aucun en-tête Content-Security-Policy n'est présent dans les réponses HTTP. L'absence de cet en-tête augmente la vulnérabilité du site aux attaques par injection de contenu malveillant.

Recommandation — Implémenter un en-tête Content-Security-Policy robuste pour restreindre les sources de contenu autorisées (scripts, styles, images, etc.). Commencer par une politique restrictive et l'ajuster progressivement selon les besoins du site pour équilibrer la sécurité et la fonctionnalité.