Gabarit à valider. Ce document est une base de travail rédigée pour discussion interne. Il doit être revu par un conseiller juridique avant publication afin d'assurer sa conformité à la Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25, et son adéquation avec les pratiques réelles de l'organisation (hébergement, fournisseurs, durées de conservation).
1. Qui nous sommes
Noroît est exploité par Tourisme durable Québec (« TDQ », « nous »), organisme sans but lucratif situé au 75 chemin St-André, Saint-Jean-sur-Richelieu (Québec) J2W 1S9. La présente politique décrit les renseignements que nous recueillons lorsque vous utilisez le service, l'usage que nous en faisons, et les droits dont vous disposez.
La personne responsable de la protection des renseignements personnels chez TDQ est Olivier Donzelot, directeur général. Vous pouvez le joindre à od@tourismedurable.quebec pour toute question ou demande relative à vos renseignements.
2. Ce que nous recueillons
Renseignements que vous nous fournissez
Catégorie | Exemples | Pourquoi |
|---|---|---|
Compte | Prénom, nom, adresse courriel; un code de connexion est envoyé à cette adresse | Créer et sécuriser votre accès, vous joindre au sujet du service |
Appartenance à une organisation | Rôle (administrateur ou membre), service ou département, fonction | Gérer l'accès partagé au bilan de l'organisation |
Invitations | Adresse courriel de la personne invitée, rôle proposé | Permettre à des collègues de rejoindre l'organisation |
Profil de l'organisation | Nom, NEQ, adresse, ville, code postal, courriel de récupération, secteur d'activité principal, types de services et d'activités, région touristique, type de propriété, nombre d'employé·e·s | Adapter le bilan, établir les repères sectoriels et vous joindre pour la facturation |
Données du bilan | Nom et période du bilan; superficie du bâtiment, jours d'opération, volumes d'activité (nuitées, repas, etc.); toute donnée d'activité se rapportant aux sources d'émissions couvertes par le Protocole des gaz à effet de serre et la norme ISO 14064-1, pour les portées 1, 2 et 3 : combustibles et carburants, fluides réfrigérants, énergie achetée, déplacements des employés et de la clientèle, matières résiduelles, achats de biens et services, achalandage | Calculer vos émissions et produire vos rapports |
Réponses tarifaires | Contexte (études, entreprise, consultant, cohorte), statut de membre de TDQ, financement obtenu, consentement au portrait sectoriel, code promo, options payantes (widget, rapport, etc.) | Établir le prix du bilan et les services optionnels |
Facturation | Montant, lignes de facture, identifiants de suivi; nous réutilisons l'adresse de l'organisation et le courriel de récupération ou d'un administrateur. Nous ne recueillons pas de numéros de carte | Facturer les services choisis |
Widget | Choix de publier un badge public; un jeton d'affichage est alors généré. Le badge n'expose pas les données d'activité du bilan | Permettre d'afficher sur un site tiers qu'un bilan a été réalisé avec Noroît |
Renseignements recueillis automatiquement
Pour la sécurité et l'authentification (connexion par code, session), l'hébergeur et le fournisseur d'authentification journalisent des données techniques, par exemple l'adresse IP, le type de navigateur, la date et l'heure de connexion. Nous ne mesurons pas l'audience page par page. Une préférence d'affichage (thème) peut être conservée dans votre navigateur. Notre usage des témoins (cookies) est décrit à l'article 8.
Les données d'activité de votre bilan portent sur votre organisation. Dans la mesure où certaines peuvent se rapporter à des personnes identifiables (par exemple les trajets domicile-travail d'une petite équipe), nous les traitons avec les mêmes précautions que des renseignements personnels.
Lorsque vous réalisez un bilan pour un client (tarif consultant), les données d'activité que vous saisissez à son sujet sont également recueillies. Vous êtes responsable de disposer des droits nécessaires pour les fournir.
3. Ce que nous en faisons
Nous utilisons vos renseignements pour fournir le service : créer votre compte, calculer vos bilans, produire vos rapports, vous facturer et vous offrir du soutien. Nous les utilisons aussi pour respecter nos obligations légales et, avec mesure, pour vous informer des évolutions du service. Nous ne vendons pas vos renseignements et nous ne les utilisons pas à des fins publicitaires pour des tiers.
4. Le portrait sectoriel : un consentement distinct
Si vous y avez consenti lors de la création de votre bilan, nous utilisons vos données d'activité sous forme anonymisée et agrégée pour établir des statistiques sur les émissions du tourisme québécois. Concrètement : vos données sont d'abord dépouillées de tout identifiant, puis combinées à celles d'autres organisations; les résultats publiés portent sur des ensembles suffisamment grands pour qu'aucune organisation ne puisse être reconnue, directement ou par recoupement.
Les données d'un bilan sont intégrées au portrait sectoriel en continu, dès que le bilan est finalisé et validé; une fois agrégées, elles ne peuvent plus être extraites des statistiques produites. Ce consentement est facultatif et distinct de l'utilisation du service. Vous pouvez le retirer en écrivant à noroit@tourismedurable.quebec: le retrait vaut pour vos bilans à venir et, le cas échéant, pour tout bilan qui n'est pas encore finalisé, dont les données sont alors exclues du portrait sectoriel. Lorsqu'un rabais est associé au partage des données, son sort en cas de retrait est décrit dans les conditions générales d'utilisation.
5. Avec qui nous partageons
Nous communiquons des renseignements uniquement aux prestataires nécessaires au fonctionnement du service, chacun étant lié par des obligations de confidentialité et limité aux fins prévues :
Prestataire | Rôle | Localisation des données |
|---|---|---|
Supabase | Hébergement des données, authentification et stockage de fichiers | ca-central-1 (Montréal) |
Vercel | Hébergement et exécution de l'application | yul1 (Montréal) |
Resend | Envoi des courriels du service (code de connexion, invitations, facture) | - |
Intuit Inc. (QuickBooks Online) | Création du client et de la facture dans le fichier QuickBooks de TDQ | - |
Lorsque des renseignements personnels sont communiqués à l'extérieur du Québec, nous procédons au préalable à une évaluation des facteurs relatifs à la vie privée et nous nous assurons qu'ils bénéficient d'une protection adéquate, notamment par des engagements contractuels.
Nous pouvons également communiquer des renseignements si la loi l'exige, ou pour protéger nos droits dans le cadre d'une procédure. Les rapports remis à nos partenaires ou bailleurs de fonds ne contiennent que des données agrégées et anonymisées, jamais de renseignements nominatifs.
6. Combien de temps nous conservons
Nous conservons vos renseignements le temps nécessaire aux fins décrites : la durée de vie de votre compte pour les renseignements de compte, douze mois après la fermeture pour les données de bilan afin de vous permettre d'en demander copie, et les durées prescrites par la loi pour les pièces comptables. Au terme de ces périodes, les renseignements sont supprimés ou anonymisés de façon irréversible.
7. Comment nous protégeons
Nous appliquons des mesures de sécurité proportionnées à la sensibilité des renseignements : chiffrement des communications, contrôle des accès selon le principe du moindre privilège, journalisation, copies de sauvegarde et encadrement contractuel de nos prestataires. Aucun système n'est infaillible; en cas d'incident de confidentialité présentant un risque de préjudice sérieux, nous vous en aviserons ainsi que la Commission d'accès à l'information, conformément à la loi, et nous consignerons l'incident à notre registre.
8. Témoins (cookies) et technologies similaires
Le service n'utilise que des témoins essentiels au fonctionnement (authentification, sécurité, mémorisation de l'organisation active). Aucun témoin de mesure d'audience, de publicité ou de profilage n'est déposé. Aucun bandeau de consentement n'est donc affiché. Vous pouvez configurer votre navigateur pour refuser les témoins; la connexion et le changement d'organisation peuvent alors être impossibles.
Nom | Finalité | Durée |
|---|---|---|
sb-…-auth-token (et variantes associées) | Maintenir votre session d’authentification (fournisseur : Supabase). | Durée de la session, selon le navigateur et la configuration du fournisseur. |
last_organization_id | Mémoriser l’organisation active afin de vous y ramener à la prochaine visite (témoin httpOnly). | 1 an |
qb_oauth_state | Sécuriser le flux d’autorisation QuickBooks Online (administrateurs TDQ uniquement). | 10 minutes |
Le service utilise aussi, dans le navigateur, des technologies similaires aux témoins, uniquement pour le fonctionnement :
Nom | Emplacement | Finalité |
|---|---|---|
noroit-theme | localStorage | Mémoriser votre préférence d’affichage (clair / sombre). |
tdq.registration.otp-email.v1 et tdq.registration.otp-next.v1 | sessionStorage | Poursuivre l’étape de vérification par code lors de l’inscription, dans l’onglet en cours. |
tdq.organization.onboarding.session.v1 | sessionStorage | Conserver temporairement le brouillon de création d’organisation, dans l’onglet en cours. |
Ces données de stockage local ne sont pas transmises automatiquement au serveur comme des témoins; elles restent dans votre navigateur et disparaissent avec la session (sessionStorage) ou lorsque vous les effacez (localStorage).
9. Vos droits
Vous pouvez, sur demande écrite à la personne responsable : accéder aux renseignements personnels que nous détenons sur vous; les faire rectifier s'ils sont inexacts ou incomplets; retirer un consentement pour l'avenir; demander la suppression de vos renseignements, sous réserve de nos obligations légales de conservation; et recevoir les renseignements personnels informatisés que vous nous avez fournis dans un format technologique structuré et couramment utilisé.
Nous répondons dans les trente jours. Si la réponse ne vous satisfait pas, vous pouvez vous adresser à la Commission d'accès à l'information du Québec.
10. Mineurs
Le service s'adresse aux organisations et à leurs représentants majeurs. Nous ne recueillons pas sciemment de renseignements personnels auprès de personnes mineures.
11. Modifications
Nous pouvons mettre à jour la présente politique, notamment pour suivre l'évolution du service ou de la loi. La date de mise à jour figure en tête de page; en cas de changement important, nous vous en informerons par le service ou par courriel avant son entrée en vigueur.
12. Nous joindre
Personne responsable de la protection des renseignements personnels : Olivier Donzelot, directeur général, Tourisme durable Québec, 75 chemin St-André, Saint-Jean-sur-Richelieu (Québec) J2W 1S9, od@tourismedurable.quebec. Nous accusons réception de toute demande et la traitons avec diligence.