Politique de gouvernance des renseignements personnels

1. Champ d’application

La présente politique s’applique à tous les renseignements personnels collectés, conservés, utilisés, communiqués ou détruits dans le cadre de l’exploitation du site financesaucanada.ca, qu’ils proviennent de visiteurs résidant au Québec, ailleurs au Canada, dans l’Union européenne, en Suisse ou dans tout autre pays. Elle s’applique également aux renseignements traités par les sous-traitants techniques désignés à la section 4 de la politique de confidentialité.

2. Rôles et responsabilités

Le site étant exploité par un professionnel indépendant (sans personnel salarié), les fonctions prévues par la Loi 25 sont cumulées par Jérôme Welty, qui agit à la fois comme :

• Responsable de la protection des renseignements personnels (RPRP)au sens de l’article 3.1 de la Loi 25 ;
• Responsable du traitementau sens de l’article 4 7) du RGPD et de l’article 5 j) de la nLPD ;
• Responsable opérationnel de la sécurité technique, du registre des activités de traitement, du registre des incidents et du suivi des EFVP.

Les coordonnées du RPRP sont publiées à la section 1 de la politique de confidentialité.

3. Encadrement applicable à la collecte, à l’utilisation, à la communication et à la destruction

• Collecte :aucune donnée personnelle n’est collectée sans consentement explicite (case à cocher décochée par défaut sur le formulaire de contact, bannière de consentement pour les cookies de mesure d’audience). Seules les données strictement nécessaires aux finalités déclarées sont collectées (principe de minimisation).
• Utilisation :les renseignements ne sont utilisés que pour les finalités explicitement déclarées au moment de la collecte. Toute nouvelle finalité suppose un nouveau consentement.
• Communication à des tiers :aucune communication n’est faite à des tiers à des fins commerciales. Les communications à des sous-traitants (hébergement, base de données, envoi de courriels, mesure d’audience) sont encadrées par leurs conditions contractuelles et limitées au nécessaire.
• Conservation :13 mois maximum pour les messages de contact et les statistiques d’audience, 6 mois pour le témoin de consentement. Au-delà, destruction automatique par tâche cron mensuelle.
• Destruction :suppression définitive (purge logique en base puis purge physique automatique). Les sauvegardes sont écrasées selon le cycle de rétention de Supabase.

4. Évaluation des facteurs relatifs à la vie privée (EFVP)

Conformément aux articles 3.3 et 17 de la Loi 25, une EFVP est réalisée :

• pour tout projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de service impliquant des renseignements personnels ;
• pour toute communication ou tout transfert de renseignements personnels hors Québec.

Les EFVP en vigueur couvrent : Vercel (hébergement), Supabase (base de données), Resend (envoi de courriels transactionnels), Google LLC (Gmail pour la réception et Google Analytics 4 pour la mesure d’audience). Elles concluent que les renseignements transférés sont limités, que les sous-traitants offrent des garanties techniques (chiffrement en transit et au repos, certifications SOC 2/ISO 27001) et contractuelles (CCT, DPF) jugées équivalentes au cadre québécois. Le registre EFVP est tenu par le RPRP et révisé au moins une fois par an.

5. Traitement des demandes et des plaintes

Toute demande relative à un droit (accès, rectification, suppression, portabilité, retrait du consentement) ou toute plainte est adressée directement au RPRP par courriel ou courrier postal. Le RPRP :

• accuse réception de la demande dans un délai raisonnable ;
• vérifie l’identité du demandeur de façon proportionnée ;
• répond dans un délai maximal de 30 jours(Loi 25) ou 1 mois(RGPD), prorogeable de deux mois pour les demandes complexes ;
• motive tout refus et indique les voies de recours.

6. Gestion des incidents de confidentialité

Tout incident de confidentialité (accès, utilisation, communication ou perte non autorisés de renseignements personnels) est :

• inscrit au registre des incidents tenu par le RPRP ;
• évalué quant au risque de préjudice sérieux (Loi 25) ou de risque pour les droits et libertés (RGPD) ;
• notifié, le cas échéant, à la CAI et aux personnes concernées (Loi 25), ou à l’autorité de contrôle européenne dans les 72 heures (RGPD art. 33-34) ;
• suivi de mesures correctives documenterées.

7. Sensibilisation et formation

Le RPRP maintient ses connaissances à jour en matière de protection des renseignements personnels (formation continue CSF, veille réglementaire AMF, CAI, CNIL, PFPDT). Tout prestataire ou collaborateur éventuel ayant accès à des renseignements personnels est tenu à un engagement de confidentialité écrit.

8. Révision et publication

La présente politique est révisée au moins une fois par an et à chaque modification législative significative. Toute version à jour est publiée sur la présente page, accessible publiquement depuis le pied de page du site.

Dernière mise à jour : avril 2026