Rapport de conformité Loi 25

Aucune bannière de consentement relative aux cookies ou aux témoins n'est visible sur la page d'accueil d'AESPIQ. Malgré la présence d'icônes de réseaux sociaux (Facebook et LinkedIn) en haut à gauche et la navigation principale, aucun élément de type modal, barre, couche superposée ou iframe de gestionnaire de consentement (CMP) n'est détecté ou affiché.

Recommandation — Il est obligatoire en vertu de la Loi 25 du Québec de mettre en place une bannière de consentement visible et accessible dès le chargement de la page. Intégrer une bannière utilisant un CMP reconnu (comme cookieconsent détecté) qui affiche un consentement explicite avant toute collecte de données personnelles ou de témoins. Cette bannière doit être posée avant l'exécution de tout script de suivi.

Deux traceurs non essentiels ont été chargés avant le consentement de l'utilisateur. New Relic (js-agent.newrelic.com et bam.nr-data.net) est un outil de monitoring et d'analytiques qui transmet des données sans mécanisme de consentement visible au chargement initial de la page.

Recommandation — Implémenter un gestionnaire de consentement qui retarde le chargement de New Relic jusqu'à l'obtention du consentement explicite de l'utilisateur pour les traceurs analytiques non essentiels.

Aucune option de personnalisation du consentement (bouton « Personnaliser », « Gérer mes préférences » ou équivalent) n'est visible. Puisque la bannière elle-même est absente, aucun choix granulaire ne peut être offert à l'utilisateur.

Recommandation — Ajouter à la bannière de consentement un bouton de personnalisation permettant à l'utilisateur de choisir individuellement quelles catégories de témoins accepter ou refuser (analytiques, marketing, essentiels, etc.). Cela respecte le principe de granularité exigé par la Loi 25 du Québec.

Il n'y a aucune bannière de consentement visible, donc aucun bouton d'acceptation ou de refus n'est présent sur la page. Par conséquent, il est impossible d'évaluer l'égalité visuelle entre les deux options.

Recommandation — Une fois la bannière mise en place, s'assurer que le bouton de refus (« Refuser » ou « Continuer sans accepter ») soit aussi visible, accessible et proéminent que le bouton d'acceptation. Les deux boutons doivent avoir une taille similaire, un contraste équivalent et une hiérarchie visuelle égale, sans que l'un ne soit relégué ou difficile à localiser.

Le refus du consentement ne bloquerait pas réellement tous les traceurs non essentiels. New Relic est chargé de manière inconditionnelle sans mécanisme visible de révocation ou de respect du refus de consentement.

Recommandation — Ajouter une logique de gestion du consentement qui vérifie l'état du consentement avant de charger New Relic et ses endpoints de collecte de données. Désactiver complètement la transmission de données vers bam.nr-data.net si le consentement est refusé.

Aucun lien de gestion des cookies n’a été trouvé sur le site.

Recommandation — Ajouter un lien « Gestion des cookies » ou « Paramètres des cookies » dans le pied de page permettant aux utilisateurs de modifier leurs préférences de consentement après avoir fermé la bannière.

Bien qu'un lien « À PROPOS » soit présent dans le menu de navigation principal, aucun lien direct vers une politique de confidentialité ou une politique de cookies n'est visible dans la bannière de consentement (qui elle-même est absente). Le pied de page n'est pas visible sur la capture actuelle.

Recommandation — Intégrer dans la bannière de consentement un lien explicite et facilement accessible vers la politique de confidentialité et la politique de cookies du site. Ce lien doit permettre à l'utilisateur de comprendre comment ses données personnelles sont collectées et traitées avant de donner son consentement, conformément aux exigences de la Loi 25.

Aucune bannière de consentement ne bloque actuellement l'accès au contenu principal de la page. L'utilisateur peut consulter l'information relative à l'AESPIQ, naviguer dans le menu et accéder à toutes les sections sans restriction liée à un cookie wall.

Aucune politique de confidentialité n’a été trouvée sur le site.

Recommandation — Publier une politique de confidentialité accessible depuis le site web.

La politique de confidentialité n’a pas pu être analysée.

La politique de confidentialité n’a pas pu être analysée.

La politique de confidentialité n’a pas pu être analysée.

La politique de confidentialité n’a pas pu être analysée.

La politique de confidentialité n’a pas pu être analysée.

La politique de confidentialité n’a pas pu être analysée.

La politique de confidentialité n’a pas pu être analysée.

Aucun formulaire détecté sur le site.

Aucun formulaire détecté sur le site.

Aucun formulaire détecté sur le site.

Aucun formulaire détecté sur le site.

Aucun formulaire détecté sur le site.

Des traceurs ont été chargés avant toute interaction de consentement. New Relic (js-agent.newrelic.com) et ses appels de transmission (bam.nr-data.net) se chargent immédiatement au chargement de la page, sans attendre une action ou un consentement de l'utilisateur.

Recommandation — Différer complètement le chargement de New Relic jusqu'après que l'utilisateur ait interagi avec la banneau de consentement. Le consentement doit être obtenu avant le premier script ou appel réseau vers New Relic.

Le site contient 8 domaines tiers distincts, ce qui est conforme au seuil de 10 scripts tiers non essentiels ou moins.

La politique de confidentialité n’a pas pu être analysée.

Aucun pixel de marketing ou de remarketing (comme Facebook Pixel, Google Ads Conversion Pixel, LinkedIn Insight Tag) n'a été détecté au chargement initial de la page.

En examinant les en-têtes HTTP, j'observe la présence de l'en-tête Strict-Transport-Security avec max-age=31536000 et includeSubDomains, ce qui impose le protocole HTTPS et force la redirection automatique.

En analysant les cookies, j'ai observé que le cookie AWSALB a l'attribut Secure défini à false, ce qui signifie qu'il peut être transmis en clair sur des connexions non sécurisées. De plus, ce cookie n'a pas l'attribut HttpOnly, le rendant accessible à JavaScript. Le cookie PHPSESSID possède correctement les attributs Secure et HttpOnly.

Recommandation — Corriger la configuration du cookie AWSALB en activant l'attribut Secure pour garantir sa transmission uniquement via HTTPS.

Un en-tête Content-Security-Policy est présent. Cependant, la politique est très permissive avec des valeurs 'unsafe-inline' et 'unsafe-eval', ce qui réduit son efficacité en matière de sécurité. Néanmoins, l'en-tête existe bel et bien.