Agreely
FR EN

Accès auditeur

Un vérificateur externe, un conseiller juridique ou un régulateur n'a pas besoin d'un siège dans votre espace de travail pour examiner votre programme. Le propriétaire frappe un lien de consultation temporaire et révocable; la personne l'ouvre, sans créer de compte, et arrive sur un portail en lecture seule de votre organisation.

C'est une surface de reddition de comptes (P-39.1 art. 3.1; A-2.1 art. 52.2), pas une surface d'administration : rien n'y est modifiable.

Frapper un lien

L'écran vit sous le carrefour de conformité. Chaque lien porte :

  • un libellé (le cabinet ou la personne à qui vous le remettez), pour que la liste reste lisible et qu'une révocation vise le bon lien;
  • une échéance, de 1 à 90 jours, 14 jours par défaut. Passé ce délai, le lien cesse simplement de fonctionner.

Cinq liens actifs au maximum coexistent par entreprise. Le lien en clair n'apparaît qu'une seule fois, à la création : il n'est jamais stocké, seul son empreinte l'est. Si vous le perdez, révoquez-le et frappez-en un autre. La révocation est immédiate.

Les écritures (frapper, révoquer) sont réservées au propriétaire et à l'administrateur, comme pour les clés d'API.

Ce que l'auditeur voit

Le portail rend vos registres, chacun en lecture seule :
Gouvernance Le responsable de la protection des renseignements personnels, les politiques publiées et leur historique de versions
Programme Le catalogue et sa carte des bases légales, les documents de consentement publiés avec leur copie IPFS et leur intégrité
Registres Conservation, sécurité, anonymisation, communications hors Québec et leurs EFVP, incidents de confidentialité, demandes de droits, obligations de destruction, mandataires et sous-traitants, EFVP de projet
Mineurs Le traitement de l'article 4.1
Intégrité L'état de vérification du journal d'accès et la piste sur la chaîne
Clients Le registre par sujet, par votre propre référence client

Deux registres n'apparaissent que pour un organisme public (le comité d'accès et de protection, et le registre de l'article 67.3), et un registre n'apparaît que pour une entreprise privée (les usages secondaires). Un auditeur ne voit donc jamais une surface propre à l'autre régime.

Le portail n'affiche jamais le nom ni le courriel d'une personne concernée

Les champs identifiant une personne concernée sont omis entièrement de la vue auditeur, pas masqués : un sujet y est désigné par votre propre référence client. Les contacts de gouvernance (le responsable, les membres du comité) s'affichent normalement, parce que ce sont précisément les personnes que la loi demande de nommer.

Les téléchargements

Le portail offre trois artéfacts, tous revérifiables ailleurs :

  • Le dossier de responsabilité (dossier.zip). Le fichier de preuve unique et sectionné qui décrit comment l'ensemble du programme est configuré : les fondations de gouvernance, le catalogue et sa carte des bases légales, les divulgations publiées avec leur intégrité, les registres de conservation et de destruction, la posture d'intégrité du journal d'accès, le registre des incidents, l'évaluation des communications hors Québec, le traitement des mineurs et le registre des demandes de droits avec son horloge de 30 jours. Il s'ouvre sur un index de couverture article par article, dont chaque état reflète la configuration réelle. Le ZIP contient un dossier.json lisible par machine, un index.html imprimable et autonome, une copie du registre access-log.csv et le manifeste de vérification.
  • Le manifeste de vérification (verification-manifest.json). L'ensemble des faisceaux de vérification reconstruits, à déposer dans le vérificateur par lot à l'adresse app.agreely.ca/verify/batch pour contrôler tout un dossier de consentements d'un coup, dans votre navigateur : aucun faisceau n'est téléversé.
  • Le journal d'accès (access-log.csv), le registre à l'épreuve de la falsification lui-même. Voir Le journal d'accès.

Un faisceau signé porte le DID du citoyen, et il est retenu quand il nomme un tuteur

Un faisceau de vérification reproduit un reçu signé octet pour octet. Ce que le reçu contient voyage donc avec lui, y compris le DID du citoyen à l'intérieur de la signature : on ne peut pas le caviarder sans détruire la seule chose que l'artéfact sert à prouver. La copie remise à l'auditeur retient donc des faisceaux entiers plutôt que de les retoucher, et le manifeste le déclare (le compte des faisceaux retenus est dans l'enveloppe). La règle appliquée aujourd'hui : tout faisceau qui nommerait le tuteur d'un mineur (art. 4.1) est retenu.

Un consentement effacé par destruction de clé n'a plus de faisceau à remettre. Le manifeste le dit plutôt que de l'omettre en silence.

Ce que ce portail n'est pas

Un dossier de responsabilité n'est pas une attestation de conformité

Le dossier est une aide à la reddition de comptes. Il rassemble et présente ce que vous avez configuré, et il documente ce qui est vérifiable cryptographiquement. Il ne rend aucun avis juridique et ne certifie aucune conformité; la validation finale revient à votre organisation et à son conseiller juridique.

Ensuite