1. Introduction
Studio Orfolio s'engage à opérer en pleine conformité avec toutes les lois fédérales et provinciales canadiennes applicables, incluant la vie privée, la protection du consommateur, le commerce électronique et la sécurité des données. Ce document décrit notre adhésion à ces cadres juridiques et notre engagement envers la transparence et la responsabilité.
2. Conformité à la Loi 25 du Québec et à la LPRPDE
Orfolio est pleinement conforme à :
- Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) — la loi québécoise modernisée sur la vie privée, en vigueur depuis septembre 2023.
- LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques) — la loi fédérale canadienne régissant la collecte, l'utilisation et la divulgation de renseignements personnels dans le cadre d'activités commerciales.
Nos mesures de conformité incluent :
- Obtenir un consentement explicite et éclairé avant de collecter des données personnelles.
- Fournir des informations claires sur la façon dont les données sont utilisées, stockées et partagées.
- Garantir aux utilisateurs le droit d'accéder, de corriger et de supprimer leurs renseignements personnels.
- Mettre en œuvre des mesures de sécurité robustes pour protéger contre les accès non autorisés ou les violations.
- Désigner un Responsable de la protection des données personnelles (RPDP) pour superviser la conformité.
3. Hébergement et souveraineté des données
Toutes les données personnelles et sensibles collectées par Orfolio sont hébergées exclusivement au Canada, assurant la conformité aux exigences de souveraineté des données de la Loi 25.
- Hébergement principal : Microsoft Azure Canada (région de Toronto).
- Stockage média : Azure Blob Storage pour les images et fichiers utilisateurs.
- Certifications : Azure est conforme aux normes ISO 27001, SOC 2 Type II et CSA STAR, assurant des standards de sécurité et de confidentialité de classe mondiale.
En hébergeant les données exclusivement au Canada, nous assurons que les informations des utilisateurs restent sous la juridiction légale canadienne et ne sont pas soumises aux lois de surveillance étrangères.
4. Sécurité des données et chiffrement
Orfolio emploie des pratiques de sécurité de pointe pour protéger les données utilisateur contre les accès non autorisés, la divulgation ou la perte.
4.1 Sécurité des mots de passe
- Les mots de passe sont hachés avec bcrypt, un algorithme cryptographique conçu pour résister aux attaques par force brute.
- Les mots de passe ne sont jamais stockés en clair et ne peuvent être récupérés par le personnel d'Orfolio.
- La réinitialisation de mot de passe utilise des jetons signés cryptographiquement avec une durée de validité limitée.
4.2 Authentification et gestion des sessions
- Les sessions sont sécurisées par des jetons JWT (JSON Web Tokens) avec des mécanismes d'expiration et de renouvellement.
- Les jetons sont transmis exclusivement via HTTPS pour prévenir l'interception.
- Les cookies de session utilisent les attributs HttpOnly et Secure pour empêcher les attaques XSS.
- L'authentification à deux facteurs (2FA) est disponible pour tous les utilisateurs et obligatoire pour les comptes administrateurs.
4.3 Chiffrement des données
- En transit : toutes les données sont chiffrées via TLS 1.3 (HTTPS).
- Au repos : les données sensibles sont chiffrées avec AES-256.
- Sauvegardes : chiffrées et stockées dans des emplacements redondants au Canada.
5. Consentement explicite et collecte de données
Orfolio respecte le principe de consentement éclairé tel qu'exigé par la Loi 25 et la LPRPDE.
- Les utilisateurs sont informés des données collectées, de la raison de leur collecte et de leur utilisation avant de donner leur consentement.
- Le consentement est obtenu explicitement lors de l'inscription et lors de l'activation de fonctionnalités optionnelles (ex. : analytique, traitement IA).
- Les utilisateurs peuvent retirer leur consentement à tout moment via les paramètres de leur compte ou en contactant rgpd@orfolio.ca.
- Aucune donnée n'est collectée ou traitée à des fins non divulguées et consenties par l'utilisateur.
6. Droits des utilisateurs : accès, portabilité et suppression
Conformément à la Loi 25 et à la LPRPDE, Orfolio garantit les droits suivants à tous les utilisateurs :
6.1 Droit d'accès
Les utilisateurs ont le droit de demander une copie de toutes les données personnelles qu'Orfolio détient à leur sujet. Les demandes peuvent être soumises par courriel à rgpd@orfolio.ca et seront traitées dans un délai de 30 jours.
6.2 Droit à la portabilité
Les utilisateurs peuvent demander l'exportation de leurs données dans des formats structurés et lisibles par machine (JSON, CSV) sur demande via support@orfolio.ca. Cela inclut :
- Informations de compte et préférences.
- Contenu des sites web, pages et fichiers médias.
- Historique d'abonnement et de facturation.
6.3 Droit à l'effacement (« droit à l'oubli »)
Les utilisateurs peuvent demander la suppression permanente de leur compte et de toutes les données associées. Une fois confirmée, la suppression est effectuée dans un délai de 30 jours et ne peut être annulée. Des exceptions s'appliquent pour les données devant être conservées à des fins légales, fiscales ou réglementaires (ex. : registres de facturation).
7. Responsable de la protection des données et responsabilité
Orfolio a désigné un Responsable de la protection des données personnelles (RPDP) tel qu'exigé par la Loi 25. Le RPDP est responsable de :
- Assurer la conformité aux lois et règlements sur la vie privée.
- Superviser les politiques et procédures de gouvernance des données.
- Traiter les demandes, plaintes et demandes d'accès aux données des utilisateurs.
- Coordonner la réponse aux incidents et les procédures de notification des violations.
- Effectuer des évaluations régulières d'impact sur la vie privée et des audits.
Pour des questions ou pour exercer vos droits en matière de vie privée, contactez :
Responsable de la protection des données — Studio Orfolio
Montréal, QC, Canada
Courriel : rgpd@orfolio.ca
8. Incidents de sécurité et notification de violation
En cas de violation de données ou d'incident de sécurité impliquant des renseignements personnels, Orfolio s'engage à :
- Notifier les utilisateurs concernés dans les 72 heures suivant la découverte de la violation, tel qu'exigé par la Loi 25.
- Signaler l'incident à la Commission d'accès à l'information du Québec (CAI) et aux autres autorités compétentes.
- Fournir des informations claires sur la nature de la violation, les données affectées et les mesures prises pour atténuer les dommages.
- Offrir des conseils sur les mesures de protection que les utilisateurs peuvent prendre (ex. : réinitialisation de mot de passe, surveillance de fraude).
Les notifications d'incidents seront envoyées par courriel et publiées sur notre page de statut officielle et nos canaux de communication.
9. Conformité aux lois canadiennes sur le commerce électronique
Orfolio est conforme aux lois canadiennes régissant le commerce électronique, incluant :
- Législation canadienne anti-pourriel (LCAP) — Nous n'envoyons des messages électroniques commerciaux qu'aux utilisateurs ayant donné leur consentement exprès ou implicite. Tous les courriels marketing incluent une option de désabonnement claire.
- Lois sur la protection du consommateur — Nous offrons une tarification transparente, des conditions de service claires et des politiques de remboursement équitables conformément à la Loi sur la protection du consommateur du Québec.
- Normes d'accessibilité — Nous nous efforçons d'assurer qu'Orfolio respecte les normes d'accessibilité WCAG 2.1 (directives internationales pour rendre les sites web accessibles à tous, incluant les personnes en situation de handicap).
10. Transparence des algorithmes d'IA et du traitement
Orfolio utilise l'intelligence artificielle pour aider les utilisateurs à créer des sites web, générer du contenu et recevoir des recommandations de design. Nous nous engageons à la transparence dans l'utilisation de l'IA et le traitement des données.
10.1 Modèles d'IA utilisés
Orfolio intègre les modèles d'IA tiers suivants selon le choix de l'utilisateur :
- OpenAI (GPT) — Pour la génération de sites web en HTML/Tailwind propulsée par l'IA.
- Anthropic (Claude AI) — Pour la génération de sites web en HTML/Tailwind propulsée par l'IA.
- Google (Gemini) — Pour la génération de sites web en HTML/Tailwind propulsée par l'IA.
- DeepSeek — Pour la génération de sites web en HTML/Tailwind propulsée par l'IA.
10.2 Consentement de l'utilisateur et traitement des données
- Les utilisateurs doivent consentir explicitement au traitement par IA avant d'utiliser les fonctionnalités propulsées par l'IA.
- Les requêtes et entrées des utilisateurs peuvent être envoyées à des fournisseurs d'IA tiers pour générer des réponses.
- Les fournisseurs d'IA sont liés par des accords de traitement des données (DPA) assurant la conformité à la Loi 25 et à la LPRPDE.
- Le contenu généré par l'IA est révisé et validé par les utilisateurs avant publication ; Orfolio n'est pas responsable des inexactitudes ou problèmes juridiques découlant du contenu IA.
10.3 Transparence et explicabilité
- Les utilisateurs sont informés lorsque le contenu est généré par l'IA et peuvent désactiver les fonctionnalités IA à tout moment.
- Les modèles d'IA ne prennent pas de décisions automatisées affectant les droits, abonnements ou statuts de compte des utilisateurs sans supervision humaine.
- Les utilisateurs peuvent demander des informations sur l'impact du traitement IA sur leurs données en contactant rgpd@orfolio.ca.
11. Révision annuelle des politiques et mises à jour
Orfolio effectue une révision annuelle de toutes les politiques de conformité pour s'assurer de leur alignement avec :
- Les changements dans la législation canadienne et québécoise sur la vie privée.
- Les mises à jour des services tiers et des intégrations.
- Les meilleures pratiques émergentes en matière de sécurité des données et de gouvernance.
- Les commentaires des utilisateurs et les orientations réglementaires.
Les utilisateurs seront informés des changements importants de politique par courriel ou par des notifications dans la plateforme. La date « Dernière mise à jour » au bas de chaque politique reflète la révision la plus récente.
12. Audits et certifications par des tiers
L'infrastructure et les pratiques de sécurité d'Orfolio sont régulièrement auditées par des tiers indépendants pour assurer la conformité et identifier les domaines d'amélioration.
- Audits de sécurité : tests de pénétration annuels et évaluations de vulnérabilité par des professionnels certifiés.
- Conformité de l'infrastructure : hébergement sur Azure Canada conforme aux normes ISO 27001, SOC 2 Type II et CSA STAR.
- Sécurité des paiements : Stripe, notre processeur de paiement, est certifié PCI-DSS Niveau 1, le plus haut standard de sécurité des paiements.
13. Autorités réglementaires et plaintes
Les utilisateurs ont le droit de déposer des plaintes auprès des autorités réglementaires s'ils estiment que leurs droits à la vie privée ont été violés.
13.1 Commission d'accès à l'information du Québec (CAI)
Les résidents du Québec peuvent contacter la CAI pour les plaintes liées à la vie privée :
Commission d'accès à l'information du Québec
Site web : www.cai.gouv.qc.ca
Téléphone : 1-888-528-7741
13.2 Commissariat à la protection de la vie privée du Canada (CPVP)
Pour les questions de vie privée fédérales sous la LPRPDE :
Commissariat à la protection de la vie privée du Canada
Site web : www.priv.gc.ca
Téléphone : 1-800-282-1376
14. Coordonnées
Pour les demandes juridiques, les questions de conformité ou pour exercer vos droits en matière de vie privée, veuillez contacter :
Studio Orfolio — Département juridique
Montréal, QC, Canada
Courriel : rgpd@orfolio.ca
Demandes générales : support@orfolio.ca