Politique de confidentialité

Petit Gros Répare Gros (« PGRG », « nous ») prend la protection de vos renseignements personnels au sérieux. Cette politique décrit comment nous recueillons, utilisons et protégeons vos données.

1. Renseignements recueillis

Nous recueillons uniquement les renseignements que vous nous fournissez volontairement par les formulaires de contact, l'inscription, le courriel ou le téléphone : nom, adresse courriel, numéro de téléphone, nom d'entreprise, et description de votre projet.

2. Utilisation des renseignements

Vos renseignements servent uniquement à : répondre à vos demandes, livrer nos services, vous facturer, et améliorer notre offre. Nous ne vendons jamais vos données à des tiers.

3. Hébergement et localisation

Vos données sont hébergées au Canada, sur des serveurs OVH situés à Montréal. Conformément à la Loi 25 du Québec sur la protection des renseignements personnels dans le secteur privé.

4. Cookies et analytics

Nous utilisons un outil analytique (Plausible Analytics, hébergé au Canada) qui ne pose aucun cookie de suivi et n'identifie aucun utilisateur. Aucune donnée n'est partagée avec Google ou autres tiers.

5. Vos droits

Vous pouvez en tout temps demander : la consultation, la rectification ou la suppression de vos renseignements en écrivant à vie-privee@pgrg.ca. Réponse sous 30 jours conformément à la Loi 25.

6. Responsable de la protection des renseignements personnels

Pour toute question relative à cette politique ou au traitement de vos données : vie-privee@pgrg.ca.

7. Base légale du traitement

Nous traitons vos renseignements personnels sur l'une des bases suivantes, selon le contexte :

• Consentement — lorsque vous remplissez un formulaire de contact, vous demandez un devis, ou vous vous abonnez à nos communications.
• Exécution d'un contrat — pour livrer le siteweb, héberger votre domaine et facturer les services convenus.
• Obligation légale — pour respecter les exigences fiscales canadiennes et québécoises (conservation des factures pendant 7 ans).

8. Durée de conservation

Vos renseignements sont conservés uniquement le temps nécessaire à la finalité pour laquelle ils ont été recueillis :

• Données fiscales et factures — 7 ans après la fin de l'exercice financier, conformément aux exigences de Revenu Québec et l'Agence du revenu du Canada.
• Demandes de contact non converties (leads) — 3 ans, puis suppression automatique.
• Données de comptes clients actifs — durée de la relation contractuelle + 7 ans pour les pièces fiscales.
• Données de comptes clients clôturés — suppression dans les 12 mois suivant la résiliation, sauf obligations fiscales.

Vous pouvez à tout moment demander la suppression anticipée de vos données non soumises à une obligation légale de conservation.

9. Sous-traitants techniques

Nous faisons appel à un nombre limité de prestataires pour fournir nos services. Chaque sous-traitant est lié par contrat de confidentialité et traite uniquement les données strictement nécessaires :

• OVH Canada — hébergement des sites web et bases de données. Centres de données situés à Beauharnois (Québec).
• Brevo (sib SAS) — envoi des courriels transactionnels (devis, confirmations, factures). Données traitées dans l'Union européenne, conformes au RGPD et reconnues par la Loi 25.
• Stripe — traitement des paiements par carte. Stripe Canada est conforme PCI-DSS niveau 1. Nous ne stockons jamais les numéros de carte sur nos serveurs.
• Plausible Analytics (community edition auto-hébergée) — statistiques de fréquentation anonymes, sans cookie ni identifiant utilisateur. Hébergé sur la même infrastructure OVH Canada.
• Meta Platforms Ireland Ltd. (Facebook) — uniquement pour les clients ayant activé le module optionnel d'intégration Facebook. Données échangées : jeton de Page Facebook chiffré, publications créées par le client à publier sur sa Page, statistiques publiques de la Page. Conditions : CGU Facebook et Politique de données Meta.

10. Sécurité des données

Nous mettons en place des mesures techniques et organisationnelles raisonnables pour protéger vos renseignements :

• Chiffrement TLS 1.3 pour toutes les communications avec nos serveurs (certificat SSL Let's Encrypt renouvelé automatiquement).
• Sauvegardes quotidiennes chiffrées et stockées dans deux régions géographiques canadiennes distinctes.
• Authentification à deux facteurs (2FA) obligatoire pour tout membre de l'équipe ayant accès aux systèmes clients.
• Journalisation des accès administratifs avec revue mensuelle.
• Mises à jour de sécurité appliquées dans un délai de 7 jours suivant leur publication.

Aucun système n'étant infaillible, nous nous engageons à vous notifier dans les 72 heures si une violation pouvant porter atteinte à vos droits venait à se produire, conformément à l'article 3.5 de la Loi 25.

11. Mineurs

Nos services s'adressent à des entreprises et travailleurs autonomes. Nous ne collectons pas sciemment de renseignements personnels concernant des personnes de moins de 14 ans. Si vous constatez qu'un tel renseignement nous a été transmis, merci de nous écrire à vie-privee@pgrg.ca afin que nous procédions à sa suppression.

12. Mises à jour de la présente politique

Nous révisons cette politique au minimum une fois par année et lorsque nos pratiques évoluent (nouveaux services, nouveaux sous-traitants, exigences légales modifiées). En cas de changement substantiel, nous informons les clients actifs par courriel au moins 30 jours avant la prise d'effet et indiquons la nouvelle date de mise à jour en haut de la présente page.

13. Données Facebook (clients utilisant le module d'intégration Facebook)

Les clients qui activent le module optionnel « Intégration Facebook auto » (forfaits Plus et Premium) connectent une Page Facebook qu'ils administrent à leur tableau de bord PGRG. Cette connexion s'effectue via le bouton officiel « Continuer avec Facebook » et l'autorisation explicite des permissions demandées par PGRG.

Renseignements recueillis par PGRG via Facebook :

• Identifiant et nom de la Page Facebook connectée.
• Jeton d'accès à la Page (« Page Access Token ») nécessaire pour publier et lire les statistiques. Le jeton est chiffré au repos avec AES-256-GCM avant stockage.
• Publications publiées par PGRG au nom de la Page sur demande du client (texte, lien, image — fournis par le client).
• Statistiques d'engagement publiques de la Page (nombre d'abonnés, portée, mentions « J'aime », commentaires agrégés) lorsque la fonctionnalité est activée.
• Avis publics laissés sur la Page (rafraîchis quotidiennement) pour permettre leur affichage modéré sur le site web du client.

Utilisation : ces données servent uniquement à fournir les fonctionnalités du module Facebook activées par le client (publication, lecture des statistiques, synchronisation des avis). Elles ne sont jamais vendues, partagées avec un annonceur, ni utilisées pour entraîner un modèle d'intelligence artificielle.

Durée de conservation : tant que la connexion Facebook est active. Le client peut révoquer la connexion à tout moment via le bouton « Déconnecter Facebook » dans son tableau de bord PGRG, ou directement depuis ses paramètres Facebook (Paramètres et confidentialité > Paramètres > Applications et sites web). Une révocation provoque la suppression immédiate du jeton et de toutes les données associées en moins de 30 jours.

Demande de suppression (Data Deletion Request) : Facebook fournit aux utilisateurs un mécanisme officiel pour demander la suppression de leurs données chez les développeurs tiers (PGRG). Lorsqu'une telle demande nous est transmise par Meta, nous supprimons l'intégration correspondante, le jeton chiffré et toutes les données dérivées (publications planifiées, avis cachés, statistiques) dans un délai maximal de 30 jours et fournissons à l'utilisateur un code de confirmation public consultable à l'URL https://admin.pgrg.ca/api/v1/cms/facebook/data-deletion/status/{code}.

Pour toute question relative au module Facebook ou pour demander la suppression manuelle de vos données Facebook chez PGRG, écrivez à vie-privee@pgrg.ca.

Cette politique est rédigée en français clair pour respecter l'esprit de la Loi 25. Elle sera soumise à une validation juridique formelle dans les 6 prochains mois ou lorsque PGRG aura atteint 20 clients actifs, selon la première éventualité.