Rapport de conformité Loi 25

Aucune bannière de consentement, cookie wall, modal de cookies ou barre de notification de consentement n'est visible sur la page d'accueil. Le site présente uniquement le contenu de marketing pour les services de système.io sans afficher aucun mécanisme de gestion du consentement aux témoins ou données personnelles.

Recommandation — Vous devez implémenter une bannière de consentement visible et accessible immédiatement au chargement de la page. Cette bannière doit informer l'utilisateur de l'utilisation de témoins et de la collecte de données personnelles, conformément aux exigences de la Loi 25 du Québec. La bannière peut prendre la forme d'une barre supérieure, d'un modal centré ou d'une boîte superposée.

Aucun traceur ou cookie non essentiel n'a été chargé avant l'interaction de consentement. Seules les ressources essentielles (CSS, scripts de paiement, polices, images et favicon) provenant de CDN internes et de Consently (gestionnaire de consentement) ont été chargées initialement.

Aucune option de personnalisation du consentement n'est disponible. Il n'y a pas de bouton « Personnaliser », « Gérer mes préférences », « En savoir plus » ou équivalent permettant à l'utilisateur de faire des choix granulaires concernant les différentes catégories de témoins.

Recommandation — Ajoutez un bouton ou un lien « Personnaliser mes préférences » ou « Gérer mes consentements » dans la bannière pour permettre aux utilisateurs de sélectionner ou refuser individuellement les catégories de témoins (analytique, marketing, fonctionnel, etc.), selon les exigences de la Loi 25.

Aucun bouton de refus ou d'acceptation n'est visible sur la page. Sans bannière de consentement, il est impossible d'évaluer la proéminence relative des boutons d'acceptation et de refus.

Recommandation — Lorsque vous implémenterez la bannière de consentement, assurez-vous que le bouton « Refuser » ou « Continuer sans accepter » soit aussi visible, accessible et proéminent que le bouton « Accepter ». Les deux boutons doivent avoir une taille similaire, un contraste égal et ne pas être masqués ou relégués à un endroit moins visible.

Le site utilise Consently comme gestionnaire de consentement centralisé. Basé sur les domaines détectés, aucun traceur marketing ou analytique majeur n'est présent sans mécanisme de consentement apparent. L'absence de Google Analytics, Facebook Pixel ou autres traceurs identifiables suggère une architecture respectueuse du consentement.

Aucun lien de gestion des cookies n’a été trouvé sur le site.

Recommandation — Ajouter un lien « Gestion des cookies » ou « Paramètres des cookies » dans le pied de page permettant aux utilisateurs de modifier leurs préférences de consentement après avoir fermé la bannière.

Il n'y a aucun lien vers une politique de confidentialité ou de cookies visible sur la page d'accueil, ni dans une bannière (puisqu'il n'y en a pas). Le pied de page ou l'en-tête ne contiennent pas de mention de politique de confidentialité.

Recommandation — Ajoutez un lien vers votre politique de confidentialité et votre politique relative aux cookies, accessible depuis la bannière de consentement et aussi depuis le pied de page du site. Ce lien doit être clairement visible et facile à localiser pour que les utilisateurs puissent consulter les informations détaillées sur l'utilisation des données personnelles et des témoins.

Il n'y a pas de cookie wall puisqu'aucune bannière de consentement n'est présente. L'utilisateur peut accéder librement au contenu de la page sans être obligé d'accepter ou de refuser les témoins pour continuer.

Aucune politique de confidentialité n’a été trouvée sur le site.

Recommandation — Publier une politique de confidentialité accessible depuis le site web.

La politique de confidentialité n’a pas pu être analysée.

La politique de confidentialité n’a pas pu être analysée.

La politique de confidentialité n’a pas pu être analysée.

La politique de confidentialité n’a pas pu être analysée.

La politique de confidentialité n’a pas pu être analysée.

La politique de confidentialité n’a pas pu être analysée.

La politique de confidentialité n’a pas pu être analysée.

Le formulaire visible sur le site n'affiche aucune case de consentement explicite. Les utilisateurs saisissent leurs données personnelles sans donner leur consentement explicite et éclairé pour la collecte et l'utilisation de ces données.

Recommandation — Ajouter une case de consentement décochez par défaut sur le formulaire, demandant aux utilisateurs de consentir explicitement à la collecte de leurs renseignements personnels. Le libellé doit être clair et faire référence à la politique de confidentialité.

Comme aucune case de consentement n'existe sur le formulaire, il est impossible de vérifier son état. Par défaut, les cases de consentement ne doivent jamais être pré-cochées, ce qui n'est pas respecté dans ce cas.

Recommandation — Lors de l'ajout de la case de consentement, s'assurer qu'elle est systématiquement décochée par défaut. Les utilisateurs doivent activement cocher la case pour donner leur consentement; un défaut d'action ne constitue pas un consentement.

Aucune finalité de collecte n'est indiquée au point de collecte. Le formulaire ne précise pas pourquoi les données sont collectées (mise en place d'une consultation, traitement de la commande, communications commerciales, etc.).

Recommandation — Ajouter un texte explicatif clair et concis avant ou après le formulaire, indiquant précisément pourquoi chaque champ de données est collecté et comment ces données seront utilisées, en accordant une attention particulière aux données sensibles.

Aucun lien vers une politique de confidentialité n'est présent près du formulaire. Les utilisateurs qui saisissent leurs données ne disposent d'aucun accès facile à la politique de confidentialité pour connaître leurs droits et le traitement de leurs renseignements.

Recommandation — Ajouter un lien hypertexte vers la politique de confidentialité à proximité immédiate du formulaire, soit avant, soit après la section du formulaire, ou près de la case de consentement (une fois celle-ci ajoutée). Le lien doit être clairement visible et libellé de manière explicite.

Le formulaire est soumis via HTTPS. Les en-têtes HTTP confirment que la connexion est sécurisée (secure: true sur les cookies et contenu servi via CloudFront avec HTTPS). Les données du formulaire sont chiffrées en transit.

L'audit de la page au chargement initial n'a révélé aucun traceur non essentiel chargé avant toute interaction de consentement. Seules les ressources essentielles (CDN, polices, styles, images) et le script Consently sont présents.

Le site contient 7 domaines tiers distincts, dont plusieurs sont des CDN essentiels (d3fit27i5nzkqh.cloudfront.net, d1yei2z3i6k35z.cloudfront.net, d3syewzhvzylbl.cloudfront.net, d2543nuuc0wvdg.cloudfront.net) et Consently pour la gestion du consentement. Aucun traceur marketing ou analytique non essentiel n'a été identifié.

La politique de confidentialité n’a pas pu être analysée.

Aucun pixel marketing ou de remarketing (comme Facebook Pixel, Google Ads Conversion, LinkedIn Insight Tag) n'a été détecté au chargement de la page. Les seules ressources tierces sont des CDN pour polices, styles, images et le gestionnaire de consentement Consently.

L'en-tête HTTP Strict-Transport-Security (HSTS) n'est pas présent dans les en-têtes HTTP fournis. Bien que le site utilise HTTPS, l'absence d'en-tête HSTS signifie qu'une redirection automatique et une protection renforcée contre les attaques par abaissement de protocole (downgrade attacks) ne sont pas implémentées.

Recommandation — Ajouter l'en-tête Strict-Transport-Security (HSTS) à la configuration du serveur avec une directive max-age appropriée (au minimum 31536000 secondes pour une année) et les directives includeSubDomains et preload si applicable. Cela renforcera la sécurité des connexions HTTPS.

Les deux cookies présents dans la réponse possèdent les attributs Secure et HttpOnly : le cookie 'purchase_process_id_1305305' et le cookie 'v' disposent tous deux de secure: true et httpOnly: true. Cela signifie que les cookies ne peuvent pas être accédés par JavaScript et ne sont transmis que sur des connexions HTTPS.

Aucun en-tête Content-Security-Policy (CSP) n'est présent dans les en-têtes HTTP. Bien que des en-têtes de sécurité basiques soient en place (X-XSS-Protection, X-Content-Type-Options), l'absence de CSP laisse le site vulnérable aux attaques par injection de contenu et aux attaques XSS complexes.

Recommandation — Implémenter un en-tête Content-Security-Policy robuste dans la configuration du serveur. Commencer par une politique restrictive (par exemple, default-src 'self') et l'ajuster progressivement selon les ressources légitimes utilisées par le site. Cela renforcera considérablement la protection contre les vulnérabilités XSS et d'autres injections de contenu.