Conformité

Le carrefour de conformité regroupe les obligations de la Loi 25 en pages distinctes, chacune avec sa propre route. Chaque page porte un avis clair : il s'agit d'un guide et non d'un avis juridique. Agreely vous outille pour tenir et démontrer votre conformité; il ne se substitue pas au jugement d'un conseiller juridique.

#Responsable de la protection des renseignements personnels, article 3.1

Déclarez la personne responsable de la protection des renseignements personnels : son nom, son titre, et au moins un moyen de la joindre, soit un courriel, soit un numéro de téléphone. C'est la personne à qui la Loi 25 confie la surveillance de la protection des renseignements personnels au sein de l'entreprise.

#Politiques

Publiez et versionnez vos politiques :

• la politique de gouvernance des renseignements personnels, article 3.2;
• la politique de confidentialité, article 8.2.

Chaque politique porte un titre et un corps bilingues. À la publication, une politique est versionnée et immuable : une version publiée ne se modifie plus, on en publie une nouvelle. L'historique reste ainsi une trace fidèle de ce qui était en vigueur à chaque date.

#Les registres statutaires

Chaque registre a sa propre page, sa fiche par entrée et son export. Les écritures sont réservées au propriétaire et à l'administrateur, et une écriture porte la signature de la personne qui l'a faite : dans un registre, l'écriture est la déclaration.

Registre	Ce qu'il tient
Conservation et destruction	Vos règles de conservation : un libellé, une période en mois, un déclencheur (par défaut l'atteinte de la fin visée), une action (par défaut la destruction) et des notes, avec le plancher d'un an sur les données ayant servi à une décision.
Mesures de sécurité	Les mesures que vous avez mises en place, dans vos mots : Agreely ne préremplit rien ici, parce que l'obligation porte sur vos propres systèmes.
Anonymisation	Les processus d'anonymisation et leur réévaluation.
Communications hors Québec et EFVP	Les communications de renseignements personnels hors Québec et les évaluations des facteurs relatifs à la vie privée qui les accompagnent : un titre, le degré de sensibilité, la fin, les mesures de protection, le régime juridique applicable au lieu de destination et une conclusion.
EFVP de projet	L'évaluation d'un projet d'acquisition, de développement ou de refonte d'un système. Une consultation tardive est signalée, jamais bloquée.
Mandataires et fournisseurs de services	Les tiers à qui vous confiez des renseignements personnels, et l'entente qui encadre chacun.
Usages secondaires (entreprise privée)	Les usages sans consentement, avec le motif invoqué.
Incidents de confidentialité	La date de découverte et la date de survenance, une description, les catégories en cause, le nombre de personnes touchées, l'évaluation du risque avec son indicateur de risque de préjudice sérieux, les mesures prises, l'avis à la Commission d'accès à l'information, l'avis aux personnes concernées et le statut. Un incident s'archive, il ne se supprime pas.
Demandes de droits	Le flux de travail complet, avec l'horloge statutaire de 30 jours et un compteur des demandes en retard.
Obligations de destruction	L'obligation concrète née d'un effacement, et votre attestation de disposition.
Mineurs	Le traitement des renseignements d'un mineur et votre attestation de processus.

#Registre des incidents de confidentialité, articles 3.5 à 3.8

Tenez le registre des incidents de confidentialité. Chaque entrée consigne :

• la date à laquelle l'incident a été découvert et la date à laquelle il est survenu;
• une description;
• les catégories de renseignements en cause;
• le nombre de personnes touchées;
• une évaluation du risque, avec un indicateur de risque de préjudice sérieux;
• les mesures prises;
• si la Commission d'accès à l'information a été avisée, et si les personnes concernées l'ont été;
• le statut de l'incident.

Le registre soutient l'obligation de tenir et, le cas échéant, de démontrer le suivi des incidents de confidentialité.

#Demandes de droits

Traitez les demandes des personnes concernées dans un flux de travail : reçue → en cours → répondue ou refusée. Chaque demande porte l'horloge de 30 jours de l'article 32, et un compteur des demandes en retard met en évidence celles dont le délai est dépassé.

Les types de demandes couverts sont :

• l'accès, article 27;
• la rectification, article 28;
• la désindexation, article 28.1.

Les demandes et leur suivi s'exportent en JSON ou en CSV.

#Obligations de destruction, article 23

Lorsqu'un citoyen exerce son effacement, votre entreprise reçoit une obligation de destruction concrète : détruire ou anonymiser les données sous-jacentes que vous détenez encore dans vos propres systèmes. Vous attestez une disposition parmi :

• détruit;
• anonymisé;
• conservé par délai légal.

Vous joignez une note à l'attestation.

#Ce qui reste, et ce qui se supprime

Une même règle traverse tout le carrefour : une déclaration que vous avez faite reste; un document de travail que vous avez produit vous appartient.

Restent au dossier, définitivement :

• vos attestations (mesures de sécurité, calendrier de conservation, processus applicable aux mineurs, révision juridique), avec la date à laquelle chacune a cessé de couvrir quoi que ce soit;
• votre attestation de disposition sur une obligation de destruction;
• vos exécutions de destruction consignées au journal de conservation;
• toute politique publiée, et l'incident consigné au registre, qui s'archive;
• l'attestation remise à une personne à la suite d'une demande de droits, figée au moment de sa délivrance.

Se suppriment, sans justification à donner :

• une EFVP de communication hors Québec : c'est votre propre analyse;
• un processus d'anonymisation et ses réévaluations;
• un brouillon de politique, tant qu'il n'est pas publié.

Pourquoi cette différence. Une attestation est une déclaration sur ce qui s'est passé; une EFVP est un document que vous avez rédigé. Si une attestation pouvait disparaître, celles qui disparaîtraient seraient précisément celles qui se sont révélées inexactes : le registre ne prouverait alors plus rien à personne. Ces attestations ne sont exigées par aucune disposition de la loi. Vous les faites parce qu'elles démontrent votre reddition de comptes, et c'est justement parce qu'on ne peut pas les retirer discrètement qu'elles valent quelque chose devant un auditeur ou devant la Commission.

Corriger sans effacer. Une attestation devenue inexacte ne se supprime pas : vous en consignez une nouvelle, et la précédente est marquée comme remplacée, à sa date. Le dossier montre alors la correction, ce qui vous sert mieux qu'un trou dans l'historique. C'est aussi pourquoi une politique publiée ne se modifie pas : on en publie une nouvelle version. Un brouillon, lui, reste un brouillon : il se jette.

#Le journal d'accès et le dossier de responsabilité

Deux surfaces transforment ce carrefour en preuve plutôt qu'en simple documentation :

• Le journal d'accès, le registre à chaîne de hachage dont les époques sont ancrées sur la chaîne, exportable et revérifiable hors ligne;
• le dossier de responsabilité, le fichier de preuve unique, ouvert sur un index de couverture article par article, qu'un auditeur peut emporter. Il se télécharge depuis le carrefour, et depuis l' accès auditeur.

#Guide de conformité

Le guide de conformité est une carte statique, article par article, de la manière dont Agreely aide à répondre à chaque article pertinent de la Loi 25. Il porte le même avis que le reste du carrefour : c'est un guide, non un avis juridique.

#Ensuite

• Clients : le dossier d'un client et l'export de portabilité de l'article 27.
• Équipe et facturation : les rôles, les sièges et les clés d'API.