Rapport de conformité Loi 25

Une bannière de consentement est visible en bas de page. Elle affiche le texte « Politiques de confidentialité » et « Nous respectons votre vie privée ». La bannière contient un message explicite mentionnant l'utilisation des cookies pour améliorer l'expérience de navigation, diffuser des publicités personnalisées et analyser le trafic. Deux boutons d'action sont présents : « Privacy Preferences » et « Accept All ».

Aucun cookie ou traceur non essentiel n'a été chargé avant l'interaction de consentement. Les seules requêtes détectées au chargement initial sont les ressources internes du domaine toleriemirabel.ca et les polices Google (fonts.googleapis.com et fonts.gstatic.com), qui sont classées comme essentielles.

Un bouton « Privacy Preferences » est visible sur la bannière, suggérant l'accès à des préférences de consentement granulaire. Cela permet à l'utilisateur de personnaliser ses choix plutôt que d'accepter ou refuser globalement.

Le bouton « Accept All » (acceptation générale) est visuellement proéminent et bien en évidence sur la bannière. Le bouton « Privacy Preferences » est présent mais visuellement moins prominent que « Accept All ». Il n'y a pas de bouton de refus explicite et équivalent au bouton d'acceptation générale visible sur la bannière principale.

Recommandation — Ajoutez un bouton de refus ou de « Continuer sans accepter » aussi visible et proéminent que le bouton « Accept All ». Selon la Loi 25, le refus doit être aussi facile que l'acceptation. Les utilisateurs doivent pouvoir refuser les cookies non essentiels avec la même facilité qu'ils peuvent les accepter.

Aucun traceur non essentiel détecté sur le site. Les seules ressources externes sont les polices Google, qui sont essentielles au rendu de la page. Il n'y a pas de scripts marketing, analytiques ou de support qui nécessiteraient un mécanisme de refus de consentement.

Aucun lien de gestion des cookies n’a été trouvé sur le site.

Recommandation — Ajouter un lien « Gestion des cookies » ou « Paramètres des cookies » dans le pied de page permettant aux utilisateurs de modifier leurs préférences de consentement après avoir fermé la bannière.

Un lien vers « Politiques de confidentialité » est clairement visible dans la bannière de consentement, situé au début du texte explicatif.

La bannière de consentement n'empêche pas l'accès au contenu principal de la page. L'utilisateur peut consulter les informations sur l'entreprise (logo, titre « TRANSFORMATION DE MÉTAL EN FEUILLE », description et bouton « CONTACTEZ-NOUS ») indépendamment de ses choix de consentement.

Une page de politique de confidentialité complète et détaillée est présente sur le site. Elle est accessible et datée du 18 novembre 2024. La politique couvre l'ensemble des obligations imposées par la Loi 25 du Québec.

Un responsable de la protection des renseignements personnels est explicitement nommé dans la politique : Mélanie Bisson. Cette désignation se trouve dans la section « PLAINTE/CONTACT/RESPONSABLE DE LA PROTECTION DES RENSEIGNEMENTS PERSONNELS ».

Les coordonnées complètes du responsable de la protection des renseignements personnels sont fournies : numéro de téléphone (450) 473-9630 et adresse courriel (mbisson@toleriemirabel.ca).

La politique décrit précisément les types de renseignements personnels collectés, incluant : nom, prénom, adresse courriel, date et lieu de naissance, coordonnées de contact, adresse IP, préférences, informations financières ou bancaires (pour certains rôles), numéro d'assurance sociale (pour candidats et employés), curriculum vitae, documents d'identité et autres renseignements fournis volontairement.

Les finalités de la collecte sont clairement indiquées pour chaque catégorie de données : fournir et améliorer les produits et services, recherche et développement, prévention de la fraude, conformité légale, recrutement, communications promotionnelles, transactions commerciales, et résolution de problèmes opérationnels.

La politique de confidentialité indique dans la section « DURÉE DE CONSERVATION GÉNÉRAL » que les renseignements personnels seront conservés uniquement pour la durée nécessaire à la réalisation des fins pour lesquelles ils ont été collectés ou pour respecter les obligations légales ou réglementaires. Une fois cette durée écoulée, les données pourront être anonymisées.

Le partage avec les tiers est divulgué dans la section « RENSEIGNEMENTS SUR LE PARTAGE ». La politique spécifie : fournisseurs de services, employés, agents et sous-traitants; analyse statistique et apprentissage automatique; transactions commerciales; et tiers requis par la loi. La politique affirme explicitement que Tôlerie Mirabel ne vend pas, ne loue pas et ne divulgue pas les informations à d'autres tiers sans justification.

La section « DROIT DES UTILISATEURS » explique clairement les droits suivants : droit d'accès et de rectification, droit de retrait du consentement, droit de suppression, droit à l'oubli, droit à la portabilité, droit d'information sur le traitement et droit de désinscription. Une procédure claire est fournie pour exercer ces droits en contactant le responsable de la protection des renseignements personnels.

En examinant le formulaire de préférences de confidentialité présenté sur le site, aucune case de consentement explicite n'est présente pour les renseignements personnels collectés. Le formulaire contient uniquement des options de gestion des cookies « nécessaires » avec le bouton « Save Preferences » (« Enregistrer les préférences »), mais sans consentement explicite et affirmé pour la collecte de données personnelles à d'autres fins.

Recommandation — Ajouter une ou plusieurs cases de consentement explicites sur tous les formulaires collectant des renseignements personnels (formulaire de contact, formulaire d'emploi, formulaire d'inscription, etc.). Chaque case doit correspondre à une finalité spécifique (ex. : « Je consens à recevoir des communications marketing »).

Les cases de consentement ne sont pas pré-cochées dans la banneau de consentement aux cookies. L'utilisateur doit activement sélectionner ses préférences. Aucune case n'est cochée par défaut lors du chargement initial.

Le formulaire de gestion des préférences de confidentialité ne précise pas explicitement la finalité de la collecte au point de collecte. Il mentionne l'utilisation générale des cookies (navigation, fonctionnalités, analyse, contenu personnalisé) mais ne lie pas chaque champ du formulaire à une finalité précise.

Recommandation — Ajouter une description claire de la finalité immédiatement avant ou après chaque champ de collecte de données. Par exemple : « Votre adresse courriel sera utilisée pour vous envoyer des confirmations de commande et des mises à jour de service. » ou « Votre numéro de téléphone sera utilisé uniquement pour vous contacter concernant votre demande. »

Le formulaire de gestion des préférences de confidentialité contient un lien vers la politique de confidentialité en bas du formulaire (« Privacy Policy »), mais ce lien est en anglais alors que le reste de la page est en français. De plus, il n'y a pas de lien visible ou accessible à proximité immédiate du formulaire de contact ou d'autres formulaires de collecte de données.

Recommandation — Ajouter un lien explicite et clairement visible vers la politique de confidentialité en français à côté de chaque formulaire collectant des renseignements personnels. Le texte du lien doit être « Politique de confidentialité » et non « Privacy Policy ». Assurer que le lien fonctionne correctement et ouvre la page appropriée.

Le formulaire est soumis via HTTPS à l'URL https://toleriemirabel.ca/wp-admin/admin-post.php. Le protocole HTTPS est utilisé pour sécuriser la transmission des données du formulaire.

Aucun traceur n'a été chargé avant toute interaction de consentement. L'analyse montre que seules des ressources essentielles (document HTML, feuilles de style internes, polices Google) sont présentes au chargement initial.

Seulement 2 domaines tiers non essentiels détectés (fonts.googleapis.com et fonts.gstatic.com), et ces derniers sont techniquement classés comme essentiels pour le rendu typographique. Le site ne contient aucun script tiers marketing, analytique ou de support.

La politique de confidentialité divulgue clairement dans la section « LIEUX DE CONSERVATION ET TRANSFERT INTERNATIONAL » que les renseignements personnels peuvent être conservés en dehors du Québec via des services Cloud (infonuagique) auprès de fournisseurs de services, notamment ailleurs au Canada ou à l'étranger. Cette divulgation couvre les transferts transfrontaliers potentiels.

Aucun pixel marketing, pixel de remarketing ou script de suivi publicitaire détecté. Les seules ressources externes sont liées aux polices de caractères, qui ne constituent pas des outils de marketing ou de suivi comportemental.

En examinant les en-têtes HTTP reçus du serveur, aucun en-tête Strict-Transport-Security (HSTS) n'est présent. Bien que HTTPS soit utilisé sur le site, l'absence d'en-tête HSTS signifie que le navigateur n'est pas forcé à utiliser une connexion sécurisée sur les visites ultérieures, ce qui pourrait permettre des attaques par dégradation de la connexion.

Recommandation — Ajouter l'en-tête Strict-Transport-Security au serveur web. Par exemple : « Strict-Transport-Security: max-age=31536000; includeSubDomains; preload ». Cette configuration forcera tous les navigateurs à utiliser HTTPS pour toutes les connexions futures au site.

Les cookies examinés (uncode_privacy[consent_types] et uncode_gdpr_session_c54fddac35e212f9b80784010273d39e) possèdent tous deux les attributs Secure et HttpOnly appropriés. L'attribut Secure garantit que les cookies ne sont envoyés que sur des connexions HTTPS. L'attribut HttpOnly empêche l'accès JavaScript aux cookies, réduisant les risques d'attaques XSS. Aucune exception n'a été détectée.

En examinant les en-têtes HTTP reçus du serveur, aucun en-tête Content-Security-Policy (CSP) n'est présent. L'absence de CSP signifie que le site n'a pas de politique définie pour contrôler les ressources que le navigateur peut charger (scripts, feuilles de style, images, etc.), ce qui augmente la vulnérabilité aux attaques par injection de contenu malveillant.

Recommandation — Implémenter un en-tête Content-Security-Policy strict. Par exemple : « Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' https://fonts.googleapis.com https://fonts.gstatic.com; » Adapter la politique en fonction des ressources externes légitimes utilisées par le site.