Vos données, en langage clair.

L'essentiel

• Nous recueillons le minimum nécessaire pour faire fonctionner une pétition et vous écrire lorsqu'il y a quelque chose qui vaut la peine.
• Votre adresse courriel, votre nom, votre code postal (facultatif) et votre commentaire (facultatif) sont stockés dans une base de données Cloudflare. Votre adresse IP est hachée avant d'être stockée ; nous ne conservons jamais l'adresse IP brute.
• Nous ne vendons pas vos données. Nous ne les partageons pas avec des annonceurs, des courtiers ou des tiers commerciaux.
• Quatre prestataires de services touchent à vos données : Cloudflare (hébergement, anti-robot, base de données), Resend (envoi de courriels), Zeffy (dons, si vous donnez) et Turnstile (vérification anti-robot, partie de Cloudflare).
• Vous pouvez demander une copie de vos données, les corriger, retirer votre consentement ou demander leur suppression à tout moment. Écrivez-nous à privacy@operationimaginal.org.

Qui nous sommes

Operation Imaginal est une société à but non lucratif fédérale constituée en vertu de la Loi canadienne sur les organisations à but non lucratif (LCOBNL). Nous ne sommes pas un organisme de bienfaisance enregistré ; les contributions ne sont pas déductibles d'impôt pour les donateurs canadiens.

Le directeur et responsable de la protection des renseignements personnels est Joshua Han, CFA. Il lit personnellement chaque plainte et chaque demande d'accès.

Responsable de la protection des renseignements personnels : privacy@operationimaginal.org
Société : Operation Imaginal, société à but non lucratif fédérale sous la LCOBNL
Bureau enregistré : en cours de formalisation ; la correspondance par courriel est traitée dans un délai de 5 jours ouvrables.

Ce que nous recueillons

Lorsque vous signez la pétition : votre nom, votre courriel, votre code postal (facultatif), votre commentaire (facultatif), une adresse IP hachée (jamais l'IP brute), votre agent utilisateur (votre navigateur) et un code de pays dérivé du code postal.

Lorsque vous faites un don : Zeffy traite votre paiement. Nous ne recevons que le montant, la cadence (unique ou récurrente) et, si vous le choisissez explicitement, votre prénom et l'initiale de votre nom pour la page de transparence.

Lorsque vous postulez à un poste : votre nom, votre courriel, votre LinkedIn (facultatif), votre disponibilité, deux réponses courtes et votre CV en PDF. Conservé jusqu'à 12 mois.

Lorsque vous envoyez un courriel à votre député par notre outil : le message provient de votre adresse courriel, pas de la nôtre. Nous ne conservons pas le contenu du message après l'envoi.

Lorsque vous participez au test de cinq minutes : un identifiant de session aléatoire à 8 caractères (non lié à votre courriel), le temps passé à chaque étape, vos réponses à deux questions et une ligne qualitative courte. Les identifiants personnels (courriel, téléphone, code postal) sont retirés automatiquement.

Ce que nous ne faisons pas

• Pas de Google Analytics, ni d'autre service d'analytique tiers.
• Pas de pixels publicitaires.
• Pas d'empreinte numérique de navigateur.
• Pas de polices ou de CDN tiers qui exposeraient votre IP à d'autres entreprises.
• Pas de témoins (cookies) persistants. Trois petites données sont stockées dans le stockage local de votre navigateur : une lettre choisie au hasard qui fixe la version de la page d'accueil que vous voyez, un identifiant temporaire pour le test de cinq minutes (si vous le faites) et l'étiquette UTM du lien qui vous a amené ici.

Où vont vos données (transferts hors Québec)

Quatre prestataires : Cloudflare (réseau mondial, principalement Amérique du Nord), Resend (États-Unis), Zeffy (États-Unis et Canada) et Cloudflare Turnstile (réseau mondial Cloudflare). Chacun est lié contractuellement par une entente de traitement des données et agit uniquement sur nos instructions.

Nous avons effectué l'évaluation requise par l'article 17 de la Loi 25 du Québec et conclu que les destinations et les protections contractuelles confèrent à vos données une protection équivalente à celle qu'elles recevraient au Québec. L'évaluation complète des transferts transfrontaliers est disponible sur demande.

Combien de temps nous conservons vos données

• Signatures confirmées : jusqu'à votre demande de suppression ou la fin de la campagne.
• Signatures non confirmées : supprimées automatiquement après 7 jours.
• Journal d'audit des soumissions : conservé 24 mois.
• Journal d'événements (sans identifiants) : conservé 12 mois.
• Dons : conservés selon les exigences de la Loi de l'impôt sur le revenu (7 ans).
• Candidatures à un poste : conservées jusqu'à 12 mois.

Vos droits sous la Loi 25

En tant que résident du Québec, vous avez les droits suivants. Nous répondrons à toute demande vérifiée envoyée à privacy@operationimaginal.org dans les 30 jours.

• Droit d'accès : demandez-nous quelles données nous détenons sur vous. Nous vous en enverrons une copie.
• Droit de rectification : demandez la correction de toute donnée inexacte ou périmée.
• Droit de retrait du consentement : retirez votre consentement à tout moment. Nous cessons le traitement.
• Droit à la suppression (effacement) : demandez la suppression de vos renseignements personnels, sauf obligation légale de conservation.
• Droit à la portabilité : demandez vos données dans un format structuré et lisible par machine, ou demandez-nous de les transmettre à une autre organisation que vous désignez.
• Droit de contester nos pratiques : écrivez à Joshua. Si notre réponse ne vous satisfait pas, vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec (cai.gouv.qc.ca).

Sécurité

• Chiffrement en transit : HTTPS (TLS) sur chaque page et chaque formulaire.
• Chiffrement au repos : Cloudflare D1 et KV appliquent le chiffrement au repos.
• Hachage des adresses IP : HMAC-SHA256 avec un secret côté serveur, jamais l'IP brute.
• Requêtes paramétrées, échappement HTML, pot de miel anti-robot, Turnstile, limitation de débit, pas d'analytique tiers.

Notification en cas de violation

Si jamais nous subissons un incident de confidentialité qui présente un risque sérieux de préjudice, nous vous en avertirons, ainsi que la Commission d'accès à l'information du Québec (CAI), dans les 72 heures suivant la prise de connaissance de l'incident, comme l'exige la Loi 25.

Traductions complètes en français

Nous préparons les traductions françaises complètes de la pétition, de la page de dons et des pages principales de la campagne. Tant qu'elles ne sont pas en ligne, nous reportons toute campagne soutenue de sensibilisation au Québec. Si vous lisez cette page maintenant et souhaitez participer, écrivez-nous : nous traiterons votre demande en français.

Contact

Responsable de la protection des renseignements personnels : Joshua Han, CFA
Courriel : privacy@operationimaginal.org
Adresse postale : en cours de formalisation ; le courriel est traité dans un délai de 5 jours ouvrables.