Personne désignée à la protection des renseignements personnels au sein de Bâtir à Rabais inc. : Simon Lafortune, cofondateur et administrateur, simon@batirarabais.ca. Un registre des incidents de confidentialité est tenu conformément à l’article 3.8 de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1, ci-après « Loi 25 »). En cas d’incident présentant un risque de préjudice sérieux, les utilisateurs concernés et la Commission d’accès à l’information seront avisés sans délai.
Fondement légal : Bâtir à Rabais inc. est assujettie à la Loi 25 et à la Loi sur la protection des renseignements personnels et les documents électroniques (PIPEDA, L.C. 2000, c. 5) selon la résidence de l’utilisateur.
Données collectées : adresse courriel (obligatoire pour la liste d’attente et les communications produit), profil optionnel (propriétaire, entrepreneur ou marchand), langue préférée, source d’inscription, horodatage, adresse IP tronquée et type de navigateur à des fins de sécurité et de statistique agrégée. Aucun mot de passe n’est stocké : l’authentification s’effectue par lien magique transmis par courriel.
Finalités : communication de l’ouverture de la bêta, envoi d’infolettres produit auxquelles l’utilisateur a consenti, segmentation par profil pour adapter le contenu, amélioration du service, prévention de la fraude et respect des obligations légales. Aucune donnée n’est vendue, louée ou échangée. Aucune donnée n’est utilisée à des fins de publicité ciblée par des tiers.
Hébergement et transferts hors Québec : la base de données est hébergée chez Supabase dans une région canadienne (ca-central-1). Certaines composantes de diffusion (CDN Vercel) peuvent acheminer des requêtes vers les États-Unis. Une évaluation des facteurs relatifs à la vie privée (EFVP) a été réalisée conformément à l’article 3.3 de la Loi 25; elle conclut que les garanties contractuelles et techniques offertes par ces fournisseurs (chiffrement en transit et au repos, clauses contractuelles types, certifications SOC 2) assurent un niveau de protection équivalent à celui requis au Québec.
Durée de conservation : compte inactif — anonymisation automatique après 24 mois sans connexion; données de la liste d’inscription marketing — jusqu’à désinscription puis 3 ans à titre de preuve du consentement; journaux techniques — 12 mois. Toute demande de suppression anticipée est traitée dans un délai maximal de 30 jours.
Droits des personnes concernées : accès, rectification, retrait du consentement, désindexation, portabilité et suppression. Pour exercer un droit : simon@batirarabais.ca. En cas de désaccord, l’utilisateur peut porter plainte auprès de la Commission d’accès à l’information du Québec (cai.gouv.qc.ca) ou du Commissariat à la protection de la vie privée du Canada (priv.gc.ca).