Politique de confidentialité

Introduction

Codeshop.ca (« nous », « notre ») s'engage à protéger votre vie privée. Cette politique de confidentialité explique comment nous collectons, utilisons et protégeons vos informations personnelles conformément aux lois canadiennes et québécoises sur la protection de la vie privée, notamment la Loi 25 (Québec ; Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) et la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques).

1. Informations que nous collectons

1.1 Informations que vous nous fournissez

• Formulaires de contact : Nom, adresse courriel, numéro de téléphone, sujet et message
• Cody (bulle de message) : Les renseignements que vous saisissez dans la conversation (nom, coordonnées, message)
• Demande d'audit de sécurité : Nom, courriel, entreprise, site web, description du projet
• Réservation de rendez-vous : Nom, courriel, téléphone, service souhaité, date/heure
• Infolettre : Adresse courriel seulement. Elle est transmise au CRM de Codeshop, qui garde la liste et la preuve de votre consentement (date, adresse IP, phrase acceptée et sa version, puis date et IP de la confirmation). Le site lui-même ne garde rien. L'inscription n'est faite qu'après un clic sur le lien du courriel de confirmation, et chaque courriel contient un lien de désinscription.

1.2 Informations collectées automatiquement

• Mesure d'audience (seulement si vous acceptez) : Google Analytics et Microsoft Clarity (pages visitées, durée, appareil, localisation approximative, enregistrements de navigation) et Vercel Analytics (statistiques de visite, sans témoin). Aucun de ces services n'est chargé avant votre acceptation dans la bannière, ni si vous refusez.
• Adresse IP : Elle accompagne chaque envoi de formulaire : elle sert à limiter le nombre d'envois (gardée en mémoire seulement) et est transmise à Cloudflare Turnstile pour vérifier que vous n'êtes pas un robot. Les pages-pièges destinées aux robots journalisent l'adresse de ceux qui s'y présentent. Notre hébergeur, Vercel, reçoit aussi l'adresse IP de toute visite, comme tout hébergeur.
• Statistiques de visite sans témoin (côté serveur) : Pour chaque page vue, notre site transmet à notre propre serveur (un ordinateur de Codeshop au Québec, joint par Cloudflare) : la page, la langue, la page d'où vous venez, votre navigateur et appareil, vos langues préférées, l'adresse IP et la localisation approximative fournie par Vercel. L'adresse IP sert seulement en mémoire, le temps de deux calculs, et n'est jamais enregistrée : 1) trouver la ville et la région approximatives avec un fichier local de DB-IP (rien n'est envoyé à DB-IP) ; 2) calculer une empreinte du jour (un code HMAC-SHA256 tiré d'un secret du jour, de l'IP, du navigateur et des langues) qui permet de compter les visiteurs uniques. Ce secret est remplacé et détruit chaque jour : il est impossible de relier vos visites d'un jour à l'autre, et l'empreinte ne permet pas de retrouver l'IP. Les robots sont exclus. Aucun témoin, rien n'est écrit dans votre navigateur. Géolocalisation : IP Geolocation by DB-IP (db-ip.com), sous licence CC BY 4.0.
• Carte Google Maps : Sur la page Contact, la carte est un contenu de Google : elle se charge quand vous descendez vers elle ou quand vous cliquez sur « Afficher la carte », et Google reçoit alors votre adresse IP et peut poser ses propres témoins.

1.3 Témoins (cookies) et stockage du navigateur

Voici tout ce que ce site écrit dans votre navigateur. Il n'y a plus de témoin de langue : la langue vient de l'adresse de la page.

• cookie_consent : Témoin du site. Se souvient de votre choix dans la bannière (accepté ou refusé). Durée : 1 an.
• theme : Stockage local du navigateur (localStorage). Se souvient de votre choix de thème (le site est sombre par défaut ; rien n'est enregistré tant que vous ne changez pas de thème). Reste jusqu'à ce que vous l'effaciez.
• style : Stockage local du navigateur (localStorage). Se souvient de votre choix de style des illustrations (pâte à modeler par défaut ; la valeur « murale » n'est enregistrée que si vous choisissez la murale dans le pied de page). Reste jusqu'à ce que vous l'effaciez.
• cody-auto-opened : Stockage de session (sessionStorage). Évite que la bulle Cody s'ouvre seule plus d'une fois par visite. Disparaît à la fermeture de l'onglet.
• cody-pages-viewed : Stockage de session (sessionStorage). Compte les pages vues pendant la visite : la bulle Cody ne s'ouvre seule qu'à partir de la 3e. Disparaît à la fermeture de l'onglet.
• cody-dismissed : Stockage local du navigateur (localStorage). Retient que vous avez fermé Cody, pour qu'il ne s'ouvre plus de lui-même. Aucune donnée personnelle.
• codeshop-visitor-contact : Stockage local du navigateur (localStorage), écrit seulement après l'envoi réussi d'un formulaire ou de Cody. Garde votre nom, votre courriel et votre téléphone pour préremplir les champs la fois suivante : ces coordonnées restent dans votre navigateur, ne sont envoyées nulle part, et vous les effacez avec le lien « Ce n'est pas toi? Oublier mes coordonnées » sous les champs ou en vidant les données du site dans votre navigateur.
• Cloudflare Turnstile : Sur les formulaires et dans Cody. Ses propres témoins ou données de stockage, définis par Cloudflare, pour la vérification anti-robot.
• Google Maps : Sur la page Contact. Témoins éventuels définis par Google.
• Google Analytics et Microsoft Clarity : Seulement après votre acceptation. Témoins définis par ces services (par exemple _ga, _ga_*, _clck, _clsk), dont la durée est fixée par eux. Refuser plus tard, avec « Gérer les témoins », arrête ces services et efface ces témoins.
• Vercel Analytics : Seulement après votre acceptation. Ne dépose pas de témoin.
• Statistiques de visite côté serveur : Aucun témoin ni stockage : tout se passe sur nos serveurs (voir 1.2).

2. Utilisation de vos informations

Nous utilisons vos informations pour :

• Répondre à vos demandes de contact et de rendez-vous
• Nous aviser de votre demande par courriel et par texto
• Mesurer l'audience du site pour l'améliorer : statistiques de visite sans témoin pour tous, et outils de Google, Microsoft et Vercel seulement si vous l'acceptez
• Protéger notre site contre les abus et les robots

3. Consentement

Les outils de mesure d'audience (Google Analytics, Microsoft Clarity, Vercel Analytics) ne se chargent qu'après votre acceptation dans la bannière de témoins ; si vous refusez, rien n'est chargé. Nos statistiques de visite côté serveur (voir 1.2) ne déposent aucun témoin, ne gardent pas votre adresse IP et ne permettent pas de vous suivre d'un jour à l'autre : elles fonctionnent sans bannière, pour compter les visites du site. Les renseignements d'un formulaire ou de Cody sont ceux que vous choisissez de nous envoyer, pour que nous puissions vous répondre.

Types de consentement :

• Mesure d'audience : Votre choix dans la bannière de témoins (cookies), que vous pouvez changer en tout temps avec « Gérer les témoins » en bas de chaque page
• Formulaires et Cody : En envoyant votre demande, vous nous transmettez volontairement les renseignements saisis

4. Partage de vos informations

Nous ne vendons, n'échangeons ni ne louons vos informations personnelles à des tiers.

Nous pouvons partager vos informations avec :

• Gmail (Google) : courriel de chaque demande envoyée par un formulaire ou Cody
• Twilio : texto à Vincent à chaque demande, avec le nom, les coordonnées et un extrait du message
• Vercel : hébergement du site, et Vercel Analytics si vous acceptez la mesure d'audience
• Cloudflare Turnstile : vérification anti-robot sur les formulaires et dans Cody (reçoit votre adresse IP)
• Cloudflare : transporte, chiffrés, les détails de chaque page vue (dont l'adresse IP) jusqu'à notre serveur de statistiques au Québec, sans les garder pour nous
• Google Maps : carte de la page Contact, quand elle se charge
• Google Analytics et Microsoft Clarity : mesure d'audience, seulement si vous acceptez dans la bannière
• Obligations légales : si requis par la loi

Ces fournisseurs peuvent traiter les renseignements à l'extérieur du Québec.

5. Mesures de sécurité

Conformément à la Loi 25, nous mettons en œuvre des mesures de sécurité appropriées pour protéger vos renseignements personnels contre la perte, le vol, l'accès non autorisé, la divulgation ou la modification.

• Connexion chiffrée (HTTPS) pour tout le site
• Limite du nombre d'envois par visiteur, vérification anti-robot (Cloudflare Turnstile) et champs-pièges sur les formulaires
• En-têtes de sécurité du navigateur (dont une politique de sécurité du contenu) qui limitent les sources de scripts
• Les demandes reçues ne sont lues que par le responsable (entreprise individuelle, sans personnel)
• Mots de passe et clés des services gardés dans un gestionnaire de secrets, jamais dans le code du site

6. Minimisation et limitation des données

Conformément à la Loi 25, nous collectons uniquement les renseignements personnels strictement nécessaires aux fins identifiées. Nous ne conservons vos données que pour la durée nécessaire.

Nos principes de minimisation :

• Collecte minimale : Seulement ce qui est nécessaire
• Finalité déterminée : Utilisation uniquement pour les fins déclarées
• Conservation limitée : Le temps nécessaire pour répondre et assurer le suivi ; suppression sur demande
• Pas de profil : Aucune inscription, aucune infolettre, aucun compte

7. Conservation des données

Conformément à la Loi 25, nous conservons vos renseignements personnels uniquement pour la durée nécessaire aux fins pour lesquelles ils ont été collectés, ou tel que requis par la loi.

• Demandes (formulaires et Cody) : Elles se trouvent dans la boîte courriel du responsable. Aucune suppression automatique : elles sont conservées le temps nécessaire pour répondre et assurer le suivi, et supprimées sur demande à data@codeshop.ca
• Textos : Le texto qui nous avise d'une demande reste dans l'historique du téléphone du responsable et chez Twilio, selon les règles de Twilio
• Mesure d'audience : Les durées de conservation sont fixées par Google, Microsoft et Vercel, seulement si vous avez accepté
• Statistiques de visite côté serveur : Chaque page vue (sans adresse IP) est gardée 1 an, puis effacée chaque nuit ; aucun total n'est gardé au-delà. Le secret de l'empreinte du jour est détruit chaque jour
• Choix de témoins : Le témoin cookie_consent dure 1 an
• Infolettre : Dans le CRM de Codeshop. Une inscription non confirmée est effacée après 30 jours. Une adresse inscrite est gardée jusqu'à la désinscription ; après celle-ci, on garde la preuve du consentement et de son retrait, et l'adresse ne reçoit plus aucun courriel

8. Vos droits (Loi 25)

Conformément à la Loi 25 et à la LPRPDE, vous avez le droit de :

• Accéder à vos informations personnelles détenues par Codeshop.ca
• Corriger vos informations si elles sont inexactes ou incomplètes
• Supprimer vos informations (droit à l'oubli)
• Demander la portabilité de vos données
• Retirer votre consentement en tout temps
• Déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI)

9. Notification d'incidents de sécurité

Conformément à la Loi 25, en cas d'incident de confidentialité présentant un risque de préjudice sérieux, nous nous engageons à :

• Notifier la Commission d'accès à l'information du Québec (CAI)
• Vous informer directement si vos renseignements sont concernés
• Prendre les mesures nécessaires pour réduire le risque de préjudice
• Tenir un registre des incidents de confidentialité

10. Nous contacter

Pour toute question concernant cette politique de confidentialité ou pour exercer vos droits :