Rapport de conformité Loi 25

Une bannière de consentement est présente au bas de la page. Elle affiche un message explicatif sur les témoins nécessaires au fonctionnement du site, avec deux boutons d'action : « Refuser » et « Accepter ». Un lien « Politique de cookies » est également visible dans le texte.

Aucun cookie ou traceur non essentiel n'a été chargé avant le consentement. Les seules requêtes détectées au chargement initial proviennent de ressources essentielles (polices Google Fonts, feuilles de style, scripts internes) qui ne déposent pas de cookies de suivi.

Aucun bouton « Personnaliser », « Gérer mes préférences » ou option de choix granulaire n'est visible sur la bannière actuelle. Les utilisateurs ne peuvent que refuser ou accepter l'ensemble des témoins en bloc, sans pouvoir sélectionner des catégories spécifiques.

Recommandation — Ajouter un bouton « Personnaliser » ou « Gérer mes préférences » qui permet aux utilisateurs de choisir granulaires quels types de témoins accepter ou refuser (analytiques, marketing, fonctionnels, etc.). Cela est obligatoire selon la Loi 25 du Québec.

Le bouton « Accepter » (couleur bleu foncé, rempli) est visuellement plus proéminent que le bouton « Refuser » (couleur grise, style secondaire). Les deux boutons n'ont pas la même visibilité ni le même contraste, ce qui crée une incitation implicite vers l'acceptation.

Recommandation — Égaliser la visibilité et la proéminence des deux boutons. Le bouton de refus doit avoir le même poids visuel, la même taille et un contraste similaire au bouton d'acceptation, conformément aux exigences de la Loi 25.

Le site ne contient aucun traceur marketing, analytique ou de support détecté. L'absence de scripts tiers non essentiels signifie que refuser le consentement bloquerait automatiquement tous les traceurs potentiels, puisqu'aucun n'est présent pour être refusé.

Un lien permettant de modifier les préférences de consentement est présent sur le site (« Politique de cookies »).

Un lien « Politique de cookies » est clairement visible et accessible directement dans le texte de la bannière de consentement, permettant aux utilisateurs de consulter les détails sur les pratiques relatives aux témoins.

La bannière de consentement n'empêche pas l'accès au contenu principal de la page. Le site reste partiellement consultable malgré la présence de la bannière, sans restriction d'accès (pas de cookie wall détecté).

La page de politique de confidentialité est présente et facilement accessible. Le document est complet et bien structuré, couvrant tous les éléments requis par la Loi 25 du Québec.

Un responsable de la protection des renseignements personnels (RPRP) est clairement nommé. Le document indique que le RPRP est l'éditeur du site.

Les coordonnées du RPRP sont fournies. Une adresse courriel (contact@webidentity.biz) est mentionnée à plusieurs reprises dans le document pour joindre le responsable de la protection des données.

Les types de renseignements personnels collectés sont décrits précisément : nom, adresse courriel, téléphone (optionnel), entreprise, description de projet, messages du formulaire de contact et de l'assistant du site.

Les finalités de la collecte sont clairement indiquées : répondre aux demandes, préparer les propositions, créer et administrer les abonnements, traiter les demandes de modification, et adresser les rapports de performance mensuels.

Les durées de conservation sont précisées pour chaque catégorie de données. Les données de contact sont conservées le temps nécessaire au traitement puis trois ans après le dernier échange. Les données de facturation sont conservées selon les obligations comptables et fiscales applicables.

Le partage avec des tiers est clairement divulgué. Le document mentionne les prestataires (hébergement, courriel, paiement, assistant automatisé) situés en Amérique du Nord, à l'extérieur du Québec, et précise qu'ils sont tenus à la confidentialité et ne peuvent utiliser les données qu'aux fins décrites.

Les droits des utilisateurs sont expliqués clairement : accès, rectification, suppression, portabilité des données, cessation de diffusion, désindexation, et retrait du consentement. Une procédure explicite est fournie (courrier à contact@webidentity.biz) avec un délai de réponse de 30 jours maximum.

Aucune case de consentement n'est présente sur le formulaire de contact examiné. Le formulaire collecte le nom, l'adresse courriel et la description du projet sans demander un consentement explicite à la collecte des données.

Recommandation — Ajouter une case à cocher obligatoire sur le formulaire de contact permettant à l'utilisateur de consentir explicitement à la collecte et au traitement de ses données personnelles conformément à la Loi 25.

Cette vérification ne s'applique pas car aucune case de consentement n'a été trouvée sur le formulaire analysé.

Bien qu'une courte mention soit présente sous le formulaire (« Vos informations servent uniquement à vous répondre. Aucun engagement. »), la finalité complète de la collecte n'est pas expliquée au point de collecte. L'utilisateur ne sait pas précisément comment ses données seront utilisées avant de soumettre le formulaire.

Recommandation — Ajouter une explication claire et complète de la finalité de la collecte directement dans ou immédiatement après le formulaire, indiquant tous les usages potentiels des données (réponse à la demande, préparation de proposition, création d'abonnement, etc.).

Aucun lien vers la politique de confidentialité n'est présent à proximité du formulaire de contact. Bien que la politique de confidentialité existe sur le site, elle n'est pas facilement accessible depuis le point de collecte des données.

Recommandation — Ajouter un lien vers la politique de confidentialité immédiatement avant, après ou à proximité du formulaire de contact pour faciliter l'accès des utilisateurs aux informations sur la protection de leurs données.

Le formulaire est transmis via HTTPS, tel que confirmé par les en-têtes HTTP qui indiquent une redirection vers https://webidentity.biz/. La transmission des données est sécurisée.

Aucun traceur n'a été chargé avant toute interaction de consentement. Les seules requêtes effectuées au chargement de la page sont des ressources essentielles (Google Fonts, CSS, JavaScript interne, images, polices) qui ne constituent pas du suivi.

Le site contient 0 scripts tiers non essentiels. Seules les ressources essentielles sont présentes : Google Fonts (polices) et ressources internes du domaine webidentity.biz.

Les transferts transfrontaliers de données sont clairement divulgués dans la politique de confidentialité. Le document indique que les serveurs et prestataires sont situés en Amérique du Nord, à l'extérieur du Québec, et stipule que des mesures sont en place pour assurer une protection adéquate avant tout transfert de données hors du Québec.

Aucun pixel de marketing ou de remarketing (Facebook Pixel, Google Ads, LinkedIn Insight, etc.) n'a été détecté sur le site. Les requêtes analysées proviennent uniquement de ressources essentielles et internes.

L'en-tête Strict-Transport-Security (HSTS) n'est pas présent dans les en-têtes HTTP examinés. Bien que le site utilise HTTPS, il n'y a pas de mécanisme de renforcement de la sécurité du transport.

Recommandation — Ajouter l'en-tête HTTP Strict-Transport-Security (HSTS) avec une valeur appropriée (par exemple, 'max-age=31536000; includeSubDomains; preload') pour forcer l'utilisation de HTTPS et prévenir les attaques de rétrogradation SSL/TLS.

Aucun cookie n'est actuellement présent sur le site au moment de l'analyse. Le site indique dans sa politique de cookies que seuls les témoins nécessaires au fonctionnement (langue, espace client) sont activés, et qu'aucun traceur de mesure n'est déposé avant l'accord de l'utilisateur. Les traceurs classifiés comme « essentiels » ne nécessitent pas les attributs Secure et HttpOnly selon les standards RGPD.

Aucun en-tête Content-Security-Policy (CSP) n'est présent dans les en-têtes HTTP examinés. L'absence de cet en-tête laisse le site vulnérable aux attaques par injection de contenu et au détournement de scripts malveillants.

Recommandation — Implémenter un en-tête Content-Security-Policy robuste pour contrôler les sources de contenu autorisées et renforcer la sécurité du site. Par exemple, ajouter 'Content-Security-Policy: default-src 'self'; script-src 'self' fonts.googleapis.com; style-src 'self' fonts.googleapis.com fonts.gstatic.com;' ou une configuration adaptée à votre architecture.