Politique de gouvernance des renseignements personnels

L'entreprise n'a aucun employé. Il n'y a donc ni organigramme, ni comité, ni chaîne d'approbation, et il serait malhonnête d'en inventer un. La loi demande des pratiques proportionnées à la nature et à l'importance des activités : une entreprise d'une personne documente ce qu'une personne fait.

En vertu de l'article 3.1, alinéa 2, la personne ayant la plus haute autorité dans l'entreprise exerce de plein droit la fonction de responsable de la protection des renseignements personnels. Joey Hamond, seul exploitant, occupe cette fonction sans nomination ni délégation : la loi permet la délégation écrite, elle ne l'impose pas, et aucune délégation n'est faite — il n'y a personne à qui déléguer.

Une seule personne cumule donc l'autorité, la fonction de responsable et l'accès technique. C'est la réalité de l'entreprise et la loi l'admet. La conséquence à assumer est qu'il n'existe aucune séparation des tâches : personne ne contrôle personne. Les garde-fous retenus en contrepartie sont ceux de la section 6 (accès) et de la section 4 (traçabilité des destructions).

(obligation) L'embauche d'un premier employé, ou le recours à un sous-traitant appelé à consulter des renseignements personnels du site, impose la révision de cette section avant tout accès.

Quatre catégories seulement sont détenues. Elles sont réelles et dénombrées : 37 lignes au total au 1^er septembre 2026, toutes dans la même base de données.

Le principe est celui de l'article 23 : lorsque les fins pour lesquelles un renseignement a été recueilli sont accomplies, il doit être détruit ou anonymisé, sauf si une loi impose de le garder. Aucune loi n'impose ici de durée minimale. Les durées ci-dessous sont donc des plafonds, jamais des durées à épuiser.

Ces durées sont appliquées automatiquement. Depuis le 1^er septembre 2026, une purge s'exécute chaque nuit en base de données et détruit les renseignements dont la durée est écoulée. Sa première passe a effacé les adresses IP de toutes les soumissions antérieures et supprimé le journal des tentatives de connexion. Le calendrier ci-dessus décrit donc ce qui se produit, non une intention.

Réserve technique, à confirmer. La suppression d'une ligne dans la base ne la fait pas disparaître des sauvegardes de l'hébergeur. La durée de rétention de ces sauvegardes et la possibilité d'en exclure une donnée détruite n'ont pas encore été vérifiées auprès du fournisseur. Tant que ce point est ouvert, la destruction est effective en production et incertaine dans les sauvegardes.

Une seule personne : Joey Hamond. Aucun autre compte humain n'a accès aux renseignements personnels détenus.

Deux limites connues sont documentées et assumées dans le document interne dont cette page est la version publique. Elles portent sur la disponibilité de l'accès administrateur et sur l'intégrité des données reçues par formulaire, jamais sur la confidentialité de vos renseignements, dont la lecture reste protégée par le cloisonnement décrit ci-dessus. Le détail technique n'est pas publié ici parce qu'il reviendrait à décrire comment les exploiter ; il est communiqué à la Commission d'accès à l'information sur demande. Ces deux points ne sont pas des manquements à la loi — l'article 10 exige des mesures « raisonnables », pas un catalogue exhaustif de contrôles — mais une politique qui ne nommerait que ce qui fonctionne ne servirait à rien le jour d'un incident.

(obligation) L'article 17 exige, avant de communiquer un renseignement personnel hors du Québec, une évaluation des facteurs relatifs à la vie privée et une entente écrite qui tient compte des résultats de cette évaluation. Son troisième alinéa vise aussi le seul fait de confier à quelqu'un la tâche de recueillir, d'utiliser, de communiquer ou de conserver : héberger une base de données ou une boîte de courriel déclenche donc l'article au même titre qu'un transfert actif.

L'évaluation doit être proportionnée à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. Avec 37 lignes et aucune catégorie sensible, quelques pages par fournisseur sont le format juste.

Règle permanente (obligation). Aucun nouveau service, extension, script tiers ou outil touchant à un renseignement personnel n'est mis en service avant que son évaluation soit rédigée et son entente écrite obtenue. Ajouter d'abord et évaluer ensuite inverse l'ordre que la loi impose.

Les outils de mesure d'audience ne se chargent qu'après votre accord : le lien « Gérer les témoins », au bas de chaque page, vous permet de revenir sur ce choix à tout moment.

Une politique de gouvernance qui ne décrirait que ce qui fonctionne serait une politique de façade. Voici, au 1^er septembre 2026, ce qui reste ouvert :

• L'information au moment de la collecte n'est pas donnée sur les formulaires. L'article 8 l'exige, et l'audit du 1^er septembre 2026 conclut que c'est un manquement ouvert. La présente politique le mentionne, elle ne le guérit pas : la correction se fait sur les formulaires eux-mêmes.
• Six des huit évaluations de fournisseurs restent à faire (section 7).
• Aucune évaluation des facteurs relatifs à la vie privée n'a été faite pour la conception du site lui-même, comme l'exige l'article 3.3 pour tout projet de développement d'un système d'information impliquant des renseignements personnels. C'est une obligation distincte de celle de l'article 17, et elle ne se règle pas en évaluant les fournisseurs un à un.
• La rétention des sauvegardes de l'hébergeur n'a pas été vérifiée (section 4).
• La double authentification des consoles d'hébergement reste à confirmer (section 6).
• Aucun envoi commercial ne peut partir de la liste courriel tant qu'un consentement distinct à la prospection et un désabonnement fonctionnel n'existent pas (section 2).

Chacun de ces points fait l'objet d'un plan de correction daté. Si l'un d'eux vous concerne directement, écrivez à contact@joeyhamondseo.com et vous aurez l'état d'avancement réel, pas une formule.

Révision périodique (engagement) : annuelle, au 1^er septembre.

Révision immédiate (obligation), sans attendre l'échéance annuelle, dès que l'un de ces faits survient :

• ajout, retrait ou changement de finalité d'une catégorie de renseignements personnels ;
• ajout d'un fournisseur qui accède à des renseignements personnels, ou changement de région d'hébergement d'un fournisseur existant ;
• premier employé ou premier sous-traitant ayant accès aux renseignements ;
• incident de confidentialité consigné au registre ;
• premier envoi commercial à partir de la liste courriel ;
• modification de la loi ou du Règlement sur les incidents de confidentialité ;
• déploiement de la purge automatique, qui fait tomber le régime intérimaire de la section 4.

Approbation. Chaque révision est approuvée par le responsable de la protection des renseignements personnels, comme l'exige l'article 3.2. Le responsable étant l'auteur du document, cette approbation ne constitue pas un contrôle indépendant : elle constitue une date et un engagement. Il faut l'écrire ainsi plutôt que de mimer une gouvernance qui n'existe pas.

Avis de modification (engagement). Toute révision touchant les durées de conservation, les finalités ou les destinataires est reflétée sur cette page dans les 30 jours, avec mise à jour visible de la date. Les personnes dont les renseignements sont encore détenus ne sont pas avisées individuellement : l'entreprise ne dispose pas encore d'un canal d'envoi conforme pour le faire, ce qui est en soi une raison de plus d'en établir un.