[{"data":1,"prerenderedAt":510},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"post-\u002Fblogue\u002Fpolitique-confidentialite-loi-25-modele":45,"post-alt-\u002Fblogue\u002Fpolitique-confidentialite-loi-25-modele":488,"post-rel-\u002Fblogue\u002Fpolitique-confidentialite-loi-25-modele":490},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"category":441,"date":442,"description":443,"extension":444,"faq":445,"keyword":458,"meta":459,"minutes":27,"navigation":209,"path":460,"rawbody":461,"seo":462,"sources":463,"stem":479,"tags":480,"translationKey":485,"updated":486,"__hash__":487},"blog_fr\u002Fblogue\u002Fpolitique-confidentialite-loi-25-modele.md","Politique de confidentialité Loi 25 : contenu exigé et modèle",{"type":49,"value":50,"toc":432},"minimark",[51,55,58,79,84,87,90,93,97,100,182,191,195,198,283,287,291,294,377,380,384,387,390,393,397,414,430],[52,53,54],"p",{},"En 2023, une entreprise de paysagement de Terrebonne a mis en ligne une politique de confidentialité trouvée sur Internet. Le texte cite le RGPD européen, parle de « votre État de résidence » et promet de ne jamais partager de données. Pendant ce temps, le site utilise un pixel publicitaire et un logiciel de soumission hébergé aux États-Unis.",[52,56,57],{},"Ce genre de document ne protège ni les clients ni l'entreprise. La Commission d'accès à l'information (CAI) a pourtant publié en décembre 2023 un guide explicatif qui dit clairement quoi y mettre. Voici le contenu attendu, élément par élément, et un plan à adapter.",[59,60,63],"callout",{"title":61,"type":62},"En bref","tip",[64,65,66,70,73,76],"ul",{},[67,68,69],"li",{},"Obligatoire pour toute entreprise qui recueille des renseignements personnels par un moyen technologique, depuis le 22 septembre 2023 (art. 8.2).",[67,71,72],{},"Le contenu découle surtout de l'article 8 (ce qu'il faut dire lors de la collecte) et de l'article 8.1 (identification, localisation, profilage).",[67,74,75],{},"Elle ne remplace ni vos politiques de gouvernance (art. 3.2) ni vos conditions d'utilisation.",[67,77,78],{},"Termes simples et clairs, date de mise à jour, et un avis à chaque modification.",[80,81,83],"h2",{"id":82},"qui-doit-publier-une-politique-de-confidentialité","Qui doit publier une politique de confidentialité ?",[52,85,86],{},"Toute entreprise qui recueille des renseignements personnels par un moyen technologique doit publier une politique de confidentialité sur son site Web. C'est ce que prévoit l'article 8.2 de la Loi sur la protection des renseignements personnels dans le secteur privé, qui exige une politique « rédigée en termes simples et clairs », diffusée par tout moyen propre à atteindre les personnes concernées. Il faut faire de même pour l'avis de toute modification.",[52,88,89],{},"Selon le guide de la CAI, l'obligation s'applique depuis le 22 septembre 2023, et la collecte par courriel, site Web ou application suffit à la déclencher. Un simple formulaire de contact vous y assujettit donc.",[52,91,92],{},"La diffusion dépend du contexte. La CAI donne trois exemples : un lien à consulter avant de passer une commande en ligne, un message affiché à la première utilisation d'une application, ou un livret glissé dans l'emballage d'un objet connecté.",[80,94,96],{"id":95},"politique-de-confidentialité-ou-politique-de-gouvernance","Politique de confidentialité ou politique de gouvernance ?",[52,98,99],{},"La politique de confidentialité informe le public sur la collecte faite par un moyen technologique ; la politique de gouvernance encadre vos pratiques internes. Le guide de la CAI insiste pour ne pas confondre les deux, ni les fusionner avec vos conditions d'utilisation.",[101,102,103,122],"table",{},[104,105,106],"thead",{},[107,108,109,113,116,119],"tr",{},[110,111,112],"th",{},"Document",[110,114,115],{},"Base",[110,117,118],{},"Pour qui",[110,120,121],{},"Contenu clé",[123,124,125,140,154,168],"tbody",{},[107,126,127,131,134,137],{},[128,129,130],"td",{},"Politique de confidentialité",[128,132,133],{},"Art. 8.2",[128,135,136],{},"Clients, visiteurs, utilisateurs",[128,138,139],{},"Renseignements recueillis, fins, tiers, témoins, droits",[107,141,142,145,148,151],{},[128,143,144],{},"Politiques de gouvernance",[128,146,147],{},"Art. 3.2",[128,149,150],{},"D'abord l'interne, avec des informations détaillées publiées sur le site",[128,152,153],{},"Conservation et destruction, rôles du personnel, traitement des plaintes",[107,155,156,159,162,165],{},[128,157,158],{},"Demande de consentement",[128,160,161],{},"Art. 14",[128,163,164],{},"La personne, au moment du choix",[128,166,167],{},"Une fin précise, présentée distinctement",[107,169,170,173,176,179],{},[128,171,172],{},"Conditions d'utilisation",[128,174,175],{},"Contrat",[128,177,178],{},"Utilisateurs du service",[128,180,181],{},"Usages permis, propriété intellectuelle",[52,183,184,185,190],{},"Le titre et les coordonnées du ",[186,187,189],"a",{"href":188},"\u002Fblogue\u002Fresponsable-protection-renseignements-personnels-securite","responsable de la protection des renseignements personnels"," doivent aussi être publiés sur votre site (art. 3.1). La politique de confidentialité est l'endroit tout désigné pour les afficher.",[80,192,194],{"id":193},"le-contenu-attendu-élément-par-élément","Le contenu attendu, élément par élément",[52,196,197],{},"Le contenu d'une politique de confidentialité découle surtout de l'article 8, qui fixe ce qu'il faut dire aux personnes lors de la collecte, et de l'article 8.1. La CAI le précise elle-même : aucun règlement ne fixe ce contenu pour le secteur privé, et ses suggestions s'appuient sur ces obligations, avec quelques ajouts inspirés du secteur public.",[64,199,202,213,220,227,234,241,248,255,262,269,276],{"className":200},[201],"contains-task-list",[67,203,206,212],{"className":204},[205],"task-list-item",[207,208],"input",{"disabled":209,"type":210,"aria-label":211},true,"checkbox","Nom de l'entreprise, date d'entrée en vigueur et date de la dernière mise à jour (guide de la CAI)."," Nom de l'entreprise, date d'entrée en vigueur et date de la dernière mise à jour (guide de la CAI).",[67,214,216,219],{"className":215},[205],[207,217],{"disabled":209,"type":210,"aria-label":218},"Moyens technologiques de collecte : formulaires, courriels, application, témoins, vidéosurveillance (art. 8)."," Moyens technologiques de collecte : formulaires, courriels, application, témoins, vidéosurveillance (art. 8).",[67,221,223,226],{"className":222},[205],[207,224],{"disabled":209,"type":210,"aria-label":225},"Renseignements recueillis, par catégorie, et fins de la collecte (art. 8)."," Renseignements recueillis, par catégorie, et fins de la collecte (art. 8).",[67,228,230,233],{"className":229},[205],[207,231],{"disabled":209,"type":210,"aria-label":232},"Tiers qui recueillent des renseignements pour vous, et tiers ou catégories de tiers à qui vous les communiquez : plateforme de paiement, logiciel d'infolettre, "," Tiers qui recueillent des renseignements pour vous, et tiers ou catégories de tiers à qui vous les communiquez : plateforme de paiement, logiciel d'infolettre, impartiteur TI (art. 8).",[67,235,237,240],{"className":236},[205],[207,238],{"disabled":209,"type":210,"aria-label":239},"Possibilité que les renseignements soient communiqués hors Québec (art. 8). La CAI donne l'exemple d'un hébergeur infonuagique situé en Ontario."," Possibilité que les renseignements soient communiqués hors Québec (art. 8). La CAI donne l'exemple d'un hébergeur infonuagique situé en Ontario.",[67,242,244,247],{"className":243},[205],[207,245],{"disabled":209,"type":210,"aria-label":246},"Recours à une technologie permettant d'identifier, de localiser ou de profiler, et façon d'activer ces fonctions, désactivées par défaut (art. 8.1)."," Recours à une technologie permettant d'identifier, de localiser ou de profiler, et façon d'activer ces fonctions, désactivées par défaut (art. 8.1).",[67,249,251,254],{"className":250},[205],[207,252],{"disabled":209,"type":210,"aria-label":253},"Moyens de refuser certaines collectes, et conséquences d'un refus (guide de la CAI)."," Moyens de refuser certaines collectes, et conséquences d'un refus (guide de la CAI).",[67,256,258,261],{"className":257},[205],[207,259],{"disabled":209,"type":210,"aria-label":260},"Catégories de personnes qui ont accès aux renseignements dans l'entreprise, et durée de conservation (art. 8, à fournir sur demande ; la CAI invite à les commun"," Catégories de personnes qui ont accès aux renseignements dans l'entreprise, et durée de conservation (art. 8, à fournir sur demande ; la CAI invite à les communiquer d'emblée).",[67,263,265,268],{"className":264},[205],[207,266],{"disabled":209,"type":210,"aria-label":267},"Droits d'accès et de rectification, droit de retirer son consentement (art. 8) et façon de porter plainte."," Droits d'accès et de rectification, droit de retirer son consentement (art. 8) et façon de porter plainte.",[67,270,272,275],{"className":271},[205],[207,273],{"disabled":209,"type":210,"aria-label":274},"Coordonnées du responsable de la protection des renseignements personnels (art. 3.1 et 8)."," Coordonnées du responsable de la protection des renseignements personnels (art. 3.1 et 8).",[67,277,279,282],{"className":278},[205],[207,280],{"disabled":209,"type":210,"aria-label":281},"Brève description des mesures de sécurité : physiques, technologiques, administratives (facultatif selon la CAI)."," Brève description des mesures de sécurité : physiques, technologiques, administratives (facultatif selon la CAI).",[284,285],"cta",{"variant":286},"audit",[80,288,290],{"id":289},"modèle-un-plan-de-politique-de-confidentialité-à-adapter","Modèle : un plan de politique de confidentialité à adapter",[52,292,293],{},"Le plan ci-dessous couvre les éléments attendus en neuf sections, avec des titres formulés en questions, une approche que la CAI suggère de tester. Remplacez chaque élément entre crochets par votre réalité.",[295,296,297,320,326,332,342,353,359,365,371],"ol",{},[67,298,299,303,304,308,309,312,313,316,317,319],{},[300,301,302],"strong",{},"Qui sommes-nous ?"," ",[305,306,307],"span",{},"Nom de l'entreprise",", ",[305,310,311],{},"adresse",". Politique en vigueur le ",[305,314,315],{},"date"," ; dernière mise à jour le ",[305,318,315],{},".",[67,321,322,325],{},[300,323,324],{},"Quels renseignements recueillons-nous, et comment ?"," Exemple : « Lorsque vous remplissez notre formulaire de soumission, nous recueillons votre nom, votre courriel, votre numéro de téléphone et l'adresse des travaux. »",[67,327,328,331],{},[300,329,330],{},"Pourquoi les recueillons-nous ?"," Une fin par ligne : préparer la soumission, facturer, répondre aux plaintes.",[67,333,334,337,338,341],{},[300,335,336],{},"Qui y a accès ?"," Catégories de personnel ; fournisseurs nommés ou par catégorie ; ",[305,339,340],{},"province ou pays"," si les renseignements sont hébergés hors Québec.",[67,343,344,347,348,352],{},[300,345,346],{},"Utilisons-nous des témoins ou d'autres traceurs ?"," Catégories, finalités, tiers, et lien vers le panneau de préférences (voir notre guide sur les ",[186,349,351],{"href":350},"\u002Fblogue\u002Floi-25-temoins-cookies-consentement-site-web","témoins et la Loi 25",").",[67,354,355,358],{},[300,356,357],{},"Combien de temps gardons-nous vos renseignements ?"," Durée par catégorie, puis destruction ou anonymisation (art. 23).",[67,360,361,364],{},[300,362,363],{},"Comment les protégeons-nous ?"," Deux ou trois exemples concrets, sans détails exploitables par un attaquant.",[67,366,367,370],{},[300,368,369],{},"Quels sont vos droits ?"," Accès, rectification, retrait du consentement, plainte. Le responsable répond par écrit dans les 30 jours (art. 32).",[67,372,373,376],{},[300,374,375],{},"Qui contacter ?"," Titre et coordonnées du responsable de la protection des renseignements personnels, et possibilité de s'adresser à la CAI.",[52,378,379],{},"Terminez par une mention sur les modifications : où l'avis sera publié et comment les personnes en seront informées.",[80,381,383],{"id":382},"rédiger-en-termes-simples-et-clairs","Rédiger en termes simples et clairs",[52,385,386],{},"La loi exige des termes simples et clairs, et la CAI rappelle que la clarté s'évalue du point de vue de la personne qui lit, pas de celle qui écrit. Son guide recommande d'écrire au « vous » et au « nous », de limiter chaque phrase à une idée, d'utiliser des mots courants et de faire relire la politique par des collègues, puis par quelques clients.",[52,388,389],{},"La CAI conseille aussi de documenter vos réflexions et vos décisions pendant la rédaction, ce qui aide à démontrer le sérieux de la démarche. Dans sa page d'octobre 2026 sur les interfaces truquées, elle note par ailleurs qu'une politique peut elle-même devenir trompeuse quand son langage est complexe ou déroutant.",[52,391,392],{},"Enfin, une entreprise au Québec doit offrir son site Web commercial en français : la politique aussi.",[80,394,396],{"id":395},"les-erreurs-fréquentes","Les erreurs fréquentes",[64,398,399,402,405,408,411],{},[67,400,401],{},"Un gabarit étranger qui cite le RGPD ou « votre État », sans un mot sur le Québec.",[67,403,404],{},"Une promesse fausse, comme « nous ne partageons jamais vos données », alors que le site transmet des données à des plateformes publicitaires.",[67,406,407],{},"Aucune date, aucun responsable désigné, aucune coordonnée.",[67,409,410],{},"Une politique introuvable, cachée au bas d'une page secondaire.",[67,412,413],{},"Une politique jamais mise à jour après l'ajout d'un nouveau logiciel ou d'une nouvelle campagne.",[52,415,416,417,421,422,426,427,319],{},"Ce modèle est un point de départ, pas un document prêt à publier : validez votre politique avec votre conseiller juridique avant de la mettre en ligne. Si vous partez de zéro, suivez notre ",[186,418,420],{"href":419},"\u002Fblogue\u002Floi-25-pme-par-ou-commencer","plan Loi 25 sur 30 jours",". Pour vérifier que ce que dit votre politique correspond à ce que font réellement vos systèmes, ",[186,423,425],{"href":424},"\u002Fdiscussion-gratuite","réservez une discussion gratuite"," ou découvrez ",[186,428,429],{"href":17},"notre accompagnement en conformité Loi 25",[284,431],{"variant":286},{"title":433,"searchDepth":11,"depth":15,"links":434},"",[435,436,437,438,439,440],{"id":82,"depth":11,"text":83},{"id":95,"depth":11,"text":96},{"id":193,"depth":11,"text":194},{"id":289,"depth":11,"text":290},{"id":382,"depth":11,"text":383},{"id":395,"depth":11,"text":396},"compliance","2026-10-24","Politique de confidentialité Loi 25 : qui doit en publier une, le contenu attendu (art. 8, 8.1 et 8.2), un plan type à adapter et les erreurs à éviter.","md",[446,449,452,455],{"q":447,"a":448},"Est-ce obligatoire d'avoir une politique de confidentialité sur son site Web au Québec ?","Oui, si votre entreprise recueille des renseignements personnels par un moyen technologique : site Web, formulaire, courriel ou application. L'article 8.2 exige alors de publier sur votre site une politique rédigée en termes simples et clairs. Selon la CAI, cette obligation s'applique depuis le 22 septembre 2023.",{"q":450,"a":451},"Puis-je utiliser un générateur de politique de confidentialité en ligne ?","Un générateur peut fournir une structure, mais la CAI rappelle que la politique doit être adaptée au contexte de votre entreprise. Beaucoup de gabarits sont pensés pour le RGPD européen ou des lois américaines et oublient le responsable de la protection des renseignements personnels, la communication hors Québec ou les technologies de profilage. Faites valider le résultat par votre conseiller juridique.",{"q":453,"a":454},"Quelle est la différence entre une politique de confidentialité et une politique de protection des renseignements personnels ?","Selon le guide de la CAI, la politique de confidentialité informe les personnes dont vous recueillez les renseignements par un moyen technologique (art. 8.2). La politique de gouvernance, souvent appelée politique de protection des renseignements personnels, encadre vos pratiques internes : conservation et destruction, rôles du personnel, traitement des plaintes (art. 3.2). Ce sont deux documents distincts.",{"q":456,"a":457},"Faut-il aviser les clients quand on modifie sa politique de confidentialité ?","Oui. L'article 8.2 exige que l'avis de toute modification soit publié sur votre site et diffusé par un moyen propre à atteindre les personnes concernées, comme la politique elle-même. Indiquez aussi la date de la dernière mise à jour dans le document.","politique de confidentialité loi 25",{},"\u002Fblogue\u002Fpolitique-confidentialite-loi-25-modele","---\ntitle: \"Politique de confidentialité Loi 25 : contenu exigé et modèle\"\ndescription: \"Politique de confidentialité Loi 25 : qui doit en publier une, le contenu attendu (art. 8, 8.1 et 8.2), un plan type à adapter et les erreurs à éviter.\"\ndate: 2026-10-24\ncategory: compliance\ntags: [\"loi 25\", \"politique de confidentialité\", \"conformité\", \"site web\"]\ntranslationKey: loi25-politique\nkeyword: \"politique de confidentialité loi 25\"\nfaq:\n  - q: \"Est-ce obligatoire d'avoir une politique de confidentialité sur son site Web au Québec ?\"\n    a: \"Oui, si votre entreprise recueille des renseignements personnels par un moyen technologique : site Web, formulaire, courriel ou application. L'article 8.2 exige alors de publier sur votre site une politique rédigée en termes simples et clairs. Selon la CAI, cette obligation s'applique depuis le 22 septembre 2023.\"\n  - q: \"Puis-je utiliser un générateur de politique de confidentialité en ligne ?\"\n    a: \"Un générateur peut fournir une structure, mais la CAI rappelle que la politique doit être adaptée au contexte de votre entreprise. Beaucoup de gabarits sont pensés pour le RGPD européen ou des lois américaines et oublient le responsable de la protection des renseignements personnels, la communication hors Québec ou les technologies de profilage. Faites valider le résultat par votre conseiller juridique.\"\n  - q: \"Quelle est la différence entre une politique de confidentialité et une politique de protection des renseignements personnels ?\"\n    a: \"Selon le guide de la CAI, la politique de confidentialité informe les personnes dont vous recueillez les renseignements par un moyen technologique (art. 8.2). La politique de gouvernance, souvent appelée politique de protection des renseignements personnels, encadre vos pratiques internes : conservation et destruction, rôles du personnel, traitement des plaintes (art. 3.2). Ce sont deux documents distincts.\"\n  - q: \"Faut-il aviser les clients quand on modifie sa politique de confidentialité ?\"\n    a: \"Oui. L'article 8.2 exige que l'avis de toute modification soit publié sur votre site et diffusé par un moyen propre à atteindre les personnes concernées, comme la politique elle-même. Indiquez aussi la date de la dernière mise à jour dans le document.\"\nsources:\n  - title: \"Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), art. 3.1, 3.2, 8, 8.1 et 8.2\"\n    url: \"https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1\"\n  - title: \"CAI — Rédiger une politique de confidentialité : guide explicatif pour les entreprises (décembre 2023)\"\n    url: \"https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fuploads\u002Fpdfs\u002FCAI_GU_POL_Confidentialite.pdf\"\n  - title: \"CAI — Collecte de renseignements personnels (entreprises)\"\n    url: \"https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fprotection-renseignements-personnels\u002Finformation-entreprises-privees\u002Fcollecte-renseignements-personnels_entreprises\"\n  - title: \"CAI — Interfaces truquées et protection des renseignements personnels (octobre 2026)\"\n    url: \"https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fprotection-renseignements-personnels\u002Fsujets-et-domaines-dinteret\u002Finterfaces-truquees\"\n  - title: \"Éducaloi — Foire aux questions sur la Charte de la langue française\"\n    url: \"https:\u002F\u002Feducaloi.qc.ca\u002Fpublications\u002Ffoire-aux-questions-sur-la-charte-de-la-langue-francaise-et-les-lois-linguistiques\u002F\"\n---\n\nEn 2023, une entreprise de paysagement de Terrebonne a mis en ligne une politique de confidentialité trouvée sur Internet. Le texte cite le RGPD européen, parle de « votre État de résidence » et promet de ne jamais partager de données. Pendant ce temps, le site utilise un pixel publicitaire et un logiciel de soumission hébergé aux États-Unis.\n\nCe genre de document ne protège ni les clients ni l'entreprise. La Commission d'accès à l'information (CAI) a pourtant publié en décembre 2023 un guide explicatif qui dit clairement quoi y mettre. Voici le contenu attendu, élément par élément, et un plan à adapter.\n\n::callout{type=\"tip\" title=\"En bref\"}\n- Obligatoire pour toute entreprise qui recueille des renseignements personnels par un moyen technologique, depuis le 22 septembre 2023 (art. 8.2).\n- Le contenu découle surtout de l'article 8 (ce qu'il faut dire lors de la collecte) et de l'article 8.1 (identification, localisation, profilage).\n- Elle ne remplace ni vos politiques de gouvernance (art. 3.2) ni vos conditions d'utilisation.\n- Termes simples et clairs, date de mise à jour, et un avis à chaque modification.\n::\n\n## Qui doit publier une politique de confidentialité ?\n\nToute entreprise qui recueille des renseignements personnels par un moyen technologique doit publier une politique de confidentialité sur son site Web. C'est ce que prévoit l'article 8.2 de la Loi sur la protection des renseignements personnels dans le secteur privé, qui exige une politique « rédigée en termes simples et clairs », diffusée par tout moyen propre à atteindre les personnes concernées. Il faut faire de même pour l'avis de toute modification.\n\nSelon le guide de la CAI, l'obligation s'applique depuis le 22 septembre 2023, et la collecte par courriel, site Web ou application suffit à la déclencher. Un simple formulaire de contact vous y assujettit donc.\n\nLa diffusion dépend du contexte. La CAI donne trois exemples : un lien à consulter avant de passer une commande en ligne, un message affiché à la première utilisation d'une application, ou un livret glissé dans l'emballage d'un objet connecté.\n\n## Politique de confidentialité ou politique de gouvernance ?\n\nLa politique de confidentialité informe le public sur la collecte faite par un moyen technologique ; la politique de gouvernance encadre vos pratiques internes. Le guide de la CAI insiste pour ne pas confondre les deux, ni les fusionner avec vos conditions d'utilisation.\n\n| Document | Base | Pour qui | Contenu clé |\n|---|---|---|---|\n| Politique de confidentialité | Art. 8.2 | Clients, visiteurs, utilisateurs | Renseignements recueillis, fins, tiers, témoins, droits |\n| Politiques de gouvernance | Art. 3.2 | D'abord l'interne, avec des informations détaillées publiées sur le site | Conservation et destruction, rôles du personnel, traitement des plaintes |\n| Demande de consentement | Art. 14 | La personne, au moment du choix | Une fin précise, présentée distinctement |\n| Conditions d'utilisation | Contrat | Utilisateurs du service | Usages permis, propriété intellectuelle |\n\nLe titre et les coordonnées du [responsable de la protection des renseignements personnels](\u002Fblogue\u002Fresponsable-protection-renseignements-personnels-securite) doivent aussi être publiés sur votre site (art. 3.1). La politique de confidentialité est l'endroit tout désigné pour les afficher.\n\n## Le contenu attendu, élément par élément\n\nLe contenu d'une politique de confidentialité découle surtout de l'article 8, qui fixe ce qu'il faut dire aux personnes lors de la collecte, et de l'article 8.1. La CAI le précise elle-même : aucun règlement ne fixe ce contenu pour le secteur privé, et ses suggestions s'appuient sur ces obligations, avec quelques ajouts inspirés du secteur public.\n\n- [ ] Nom de l'entreprise, date d'entrée en vigueur et date de la dernière mise à jour (guide de la CAI).\n- [ ] Moyens technologiques de collecte : formulaires, courriels, application, témoins, vidéosurveillance (art. 8).\n- [ ] Renseignements recueillis, par catégorie, et fins de la collecte (art. 8).\n- [ ] Tiers qui recueillent des renseignements pour vous, et tiers ou catégories de tiers à qui vous les communiquez : plateforme de paiement, logiciel d'infolettre, impartiteur TI (art. 8).\n- [ ] Possibilité que les renseignements soient communiqués hors Québec (art. 8). La CAI donne l'exemple d'un hébergeur infonuagique situé en Ontario.\n- [ ] Recours à une technologie permettant d'identifier, de localiser ou de profiler, et façon d'activer ces fonctions, désactivées par défaut (art. 8.1).\n- [ ] Moyens de refuser certaines collectes, et conséquences d'un refus (guide de la CAI).\n- [ ] Catégories de personnes qui ont accès aux renseignements dans l'entreprise, et durée de conservation (art. 8, à fournir sur demande ; la CAI invite à les communiquer d'emblée).\n- [ ] Droits d'accès et de rectification, droit de retirer son consentement (art. 8) et façon de porter plainte.\n- [ ] Coordonnées du responsable de la protection des renseignements personnels (art. 3.1 et 8).\n- [ ] Brève description des mesures de sécurité : physiques, technologiques, administratives (facultatif selon la CAI).\n\n::cta{variant=\"audit\"}\n::\n\n## Modèle : un plan de politique de confidentialité à adapter\n\nLe plan ci-dessous couvre les éléments attendus en neuf sections, avec des titres formulés en questions, une approche que la CAI suggère de tester. Remplacez chaque élément entre crochets par votre réalité.\n\n1. **Qui sommes-nous ?** [Nom de l'entreprise], [adresse]. Politique en vigueur le [date] ; dernière mise à jour le [date].\n2. **Quels renseignements recueillons-nous, et comment ?** Exemple : « Lorsque vous remplissez notre formulaire de soumission, nous recueillons votre nom, votre courriel, votre numéro de téléphone et l'adresse des travaux. »\n3. **Pourquoi les recueillons-nous ?** Une fin par ligne : préparer la soumission, facturer, répondre aux plaintes.\n4. **Qui y a accès ?** Catégories de personnel ; fournisseurs nommés ou par catégorie ; [province ou pays] si les renseignements sont hébergés hors Québec.\n5. **Utilisons-nous des témoins ou d'autres traceurs ?** Catégories, finalités, tiers, et lien vers le panneau de préférences (voir notre guide sur les [témoins et la Loi 25](\u002Fblogue\u002Floi-25-temoins-cookies-consentement-site-web)).\n6. **Combien de temps gardons-nous vos renseignements ?** Durée par catégorie, puis destruction ou anonymisation (art. 23).\n7. **Comment les protégeons-nous ?** Deux ou trois exemples concrets, sans détails exploitables par un attaquant.\n8. **Quels sont vos droits ?** Accès, rectification, retrait du consentement, plainte. Le responsable répond par écrit dans les 30 jours (art. 32).\n9. **Qui contacter ?** Titre et coordonnées du responsable de la protection des renseignements personnels, et possibilité de s'adresser à la CAI.\n\nTerminez par une mention sur les modifications : où l'avis sera publié et comment les personnes en seront informées.\n\n## Rédiger en termes simples et clairs\n\nLa loi exige des termes simples et clairs, et la CAI rappelle que la clarté s'évalue du point de vue de la personne qui lit, pas de celle qui écrit. Son guide recommande d'écrire au « vous » et au « nous », de limiter chaque phrase à une idée, d'utiliser des mots courants et de faire relire la politique par des collègues, puis par quelques clients.\n\nLa CAI conseille aussi de documenter vos réflexions et vos décisions pendant la rédaction, ce qui aide à démontrer le sérieux de la démarche. Dans sa page d'octobre 2026 sur les interfaces truquées, elle note par ailleurs qu'une politique peut elle-même devenir trompeuse quand son langage est complexe ou déroutant.\n\nEnfin, une entreprise au Québec doit offrir son site Web commercial en français : la politique aussi.\n\n## Les erreurs fréquentes\n\n- Un gabarit étranger qui cite le RGPD ou « votre État », sans un mot sur le Québec.\n- Une promesse fausse, comme « nous ne partageons jamais vos données », alors que le site transmet des données à des plateformes publicitaires.\n- Aucune date, aucun responsable désigné, aucune coordonnée.\n- Une politique introuvable, cachée au bas d'une page secondaire.\n- Une politique jamais mise à jour après l'ajout d'un nouveau logiciel ou d'une nouvelle campagne.\n\nCe modèle est un point de départ, pas un document prêt à publier : validez votre politique avec votre conseiller juridique avant de la mettre en ligne. Si vous partez de zéro, suivez notre [plan Loi 25 sur 30 jours](\u002Fblogue\u002Floi-25-pme-par-ou-commencer). Pour vérifier que ce que dit votre politique correspond à ce que font réellement vos systèmes, [réservez une discussion gratuite](\u002Fdiscussion-gratuite) ou découvrez [notre accompagnement en conformité Loi 25](\u002Fservices\u002Fconformite-loi-25).\n\n::cta{variant=\"audit\"}\n::\n",{"title":47,"description":443},[464,467,470,473,476],{"title":465,"url":466},"Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), art. 3.1, 3.2, 8, 8.1 et 8.2","https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1",{"title":468,"url":469},"CAI — Rédiger une politique de confidentialité : guide explicatif pour les entreprises (décembre 2023)","https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fuploads\u002Fpdfs\u002FCAI_GU_POL_Confidentialite.pdf",{"title":471,"url":472},"CAI — Collecte de renseignements personnels (entreprises)","https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fprotection-renseignements-personnels\u002Finformation-entreprises-privees\u002Fcollecte-renseignements-personnels_entreprises",{"title":474,"url":475},"CAI — Interfaces truquées et protection des renseignements personnels (octobre 2026)","https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fprotection-renseignements-personnels\u002Fsujets-et-domaines-dinteret\u002Finterfaces-truquees",{"title":477,"url":478},"Éducaloi — Foire aux questions sur la Charte de la langue française","https:\u002F\u002Feducaloi.qc.ca\u002Fpublications\u002Ffoire-aux-questions-sur-la-charte-de-la-langue-francaise-et-les-lois-linguistiques\u002F","blogue\u002Fpolitique-confidentialite-loi-25-modele",[481,482,483,484],"loi 25","politique de confidentialité","conformité","site web","loi25-politique",null,"RGYWlyYWwEUPboVvQkWnzTbve7OsoplImxhFAcqibS0",{"path":489},"\u002Fen\u002Fblog\u002Flaw-25-privacy-policy-template",[491,499,504],{"path":492,"title":493,"description":494,"category":441,"minutes":27,"tags":495},"\u002Fblogue\u002Fcyberattaque-qui-aviser-obligations","Cyberattaque : qui aviser, et dans quel ordre (guide PME)","Cyberattaque dans votre PME : qui aviser (assureur, banque, police, CAI, clients, Centre canadien pour la cybersécurité), dans quel ordre et selon quelles lois.",[496,481,497,498,483],"incident","cai","lprpde",{"path":500,"title":501,"description":502,"category":441,"minutes":27,"tags":503},"\u002Fblogue\u002Fdeclarer-incident-confidentialite-cai-loi-25","Déclarer un incident de confidentialité à la CAI : le guide","Incident de confidentialité : quand et comment le déclarer à la CAI selon la Loi 25, sans le mythe des 72 h. Évaluation du préjudice, contenu de l'avis, étapes.",[481,497,496,483],{"path":505,"title":506,"description":507,"category":441,"minutes":27,"tags":508},"\u002Fblogue\u002Floi-25-amendes-sanctions-cai","Loi 25 : amendes, sanctions et pouvoirs de la CAI","Amendes Loi 25 : jusqu'à 10 M$ en sanction administrative et 25 M$ au pénal. Comment la CAI fixe les montants, ses autres pouvoirs et comment réduire le risque.",[481,497,509,483],"sanctions",1792971361783]