Politique de confidentialité.

1. Responsable du traitement & contact

Le responsable du traitement des renseignements personnels recueillis via le site cloutiermtb.com est :

Nom commercial

CloutierMTB — entreprise individuelle

Région d'exploitation

Parc du Mont-Bellevue, Sherbrooke, Estrie, Québec (Canada)

Responsable de la protection des renseignements personnels (RPRP)

M. Cloutier, fondateur — joignable à [email protected] (objet : « Vie privée »)

Délai de réponse

30 jours maximum pour toute demande formelle

2. Portée du présent document

Cette politique couvre l'ensemble des renseignements personnels que CloutierMTB recueille, utilise, communique ou conserve dans le cadre :

• De la navigation sur cloutiermtb.com et ses sous-domaines.
• De la réservation et de la prestation de séances de coaching.
• Des échanges par courriel, téléphone, clavardage (chatbot) ou en personne.
• De l'émission de reçus fiscaux, cartes-cadeaux et factures.
• De la console d'administration interne (accès réservé aux agents de soutien).

Elle ne couvre pas les sites tiers auxquels notre site fait référence (Stripe, Instagram, Facebook, etc.). Consultez leurs politiques respectives lorsque vous interagissez avec eux.

3. Nos engagements fondamentaux

• Minimisation. Nous ne collectons que ce qui est nécessaire à la finalité annoncée.
• Transparence. Chaque collecte est expliquée au moment où elle a lieu.
• Consentement libre et éclairé. Jamais de cases pré-cochées. Vous pouvez retirer votre consentement en tout temps.
• Aucune vente. Nous ne vendons, ne louons ni n'échangeons vos données avec qui que ce soit.
• Aucun profilage comportemental. Pas de Google Analytics, pas de Meta Pixel, aucun pixel publicitaire tiers sur le site.
• Hébergement canadien privilégié. Nos bases de données sont hébergées au Canada chaque fois que la technologie le permet.
• Chiffrement en transit. Tout passe par HTTPS (TLS 1.2+) sur cloutiermtb.com.

4. Catégories de renseignements collectés

A. Identification & contact

• Prénom, nom.
• Adresse courriel.
• Numéro de téléphone.
• Ville (optionnel).
• Date de naissance (uniquement pour les mineurs et les formats jeunesse).

B. Données liées à la réservation

• Service choisi, date, heure, nombre de participants.
• Niveau déclaré et objectifs.
• Nom et téléphone du contact d'urgence.
• Notes volontaires (ex. : allergies, blessures récentes).

C. Données de santé (si volontairement partagées)

• Condition médicale pertinente à la sécurité, allergie, médication.
• Attestation de billet médical (sans diagnostic) pour un report.
• Grossesse — uniquement si vous choisissez de nous en informer pour adapter le coaching.

D. Données de paiement (indirectes)

• Montant, devise, date de la transaction.
• Identifiant de transaction Stripe (pi_...).
• Type de carte (Visa / Mastercard / etc.) et 4 derniers chiffres seulement.
• Nous ne voyons ni ne stockons jamais le numéro complet de carte, le CVC, ni le NIP.

E. Données techniques

• Adresse IP (tronquée au /24 dans nos logs après 24 h).
• Type de navigateur et système d'exploitation (User-Agent).
• Page de provenance (Referrer) et date/heure de la visite.
• Identifiants techniques de session (voir §17).

F. Données issues du clavardage

• Contenu des messages échangés avec l'agent IA ou un conseiller humain.
• Numéro de ticket généré si une escalade vers le support humain est demandée.

G. Données du compte d'administration (agents de soutien uniquement)

• Courriel professionnel, nom d'utilisateur, rôle (admin ou agent).
• Mot de passe haché avec scrypt.
• Journal de connexions et d'actions (qui a répondu à quoi, quand).

5. Sources de collecte

Nous collectons vos renseignements :

• Directement auprès de vous, dans 99 % des cas (formulaire de réservation, courriel, clavardage, conversation en personne).
• Indirectement via Stripe pour les confirmations de paiement.
• Auprès du parent ou tuteur dans le cas des mineurs.
• Auprès d'un proche autorisé en cas d'urgence médicale pendant une séance.

Nous n'achetons jamais de bases de données ni de listes de contacts.

6. Finalités du traitement

Chaque donnée est utilisée pour un ou plusieurs des objectifs suivants :

Vos données ne sont jamais utilisées à des fins publicitaires ciblées, de scoring commercial ou de revente.

7. Base juridique du traitement

Le traitement de vos données repose, selon le cas, sur :

• L'exécution du contrat que vous concluez avec nous au moment de la réservation (art. 12 Loi 25).
• Votre consentement explicite, notamment pour les données de santé et la publication éventuelle de photos (art. 14).
• Nos obligations légales (comptabilité, lois fiscales, réponses aux autorités compétentes).
• Notre intérêt légitime à sécuriser nos systèmes, prévenir la fraude et améliorer nos services, évalué par une analyse d'équilibrage documentée.
• La sauvegarde d'un intérêt vital en cas d'urgence médicale.

8. Paiements & Stripe

Nos paiements sont traités par Stripe Payments Canada, Ltd., fournisseur certifié PCI-DSS niveau 1. Au moment du paiement :

• Les champs de carte sont servis directement par Stripe dans un cadre sécurisé (Stripe Elements) : aucune information de carte ne transite par nos serveurs.
• Stripe peut utiliser ses propres témoins et dispositifs anti-fraude (Radar), dont l'usage est décrit dans la politique de Stripe.
• Les données traitées par Stripe peuvent transiter par le Canada et les États-Unis ; une entente de traitement est en place.
• Nous recevons uniquement : identifiant de transaction, montant, devise, type de carte et 4 derniers chiffres.

9. Clavardage & agent intelligent (chatbot)

Notre widget de clavardage combine :

• Un agent de réponse basé sur des règles (base de connaissances maison, aucune IA générative par défaut).
• Un repli optionnel vers un modèle d'IA générative (par exemple OpenAI GPT-4o-mini), activé seulement si la configuration du serveur l'autorise. Dans ce cas, le contenu textuel de votre message est transmis au fournisseur d'IA pour générer une réponse. Aucun identifiant personnel n'est transmis ; nous retirons d'abord les adresses courriel et numéros de téléphone détectables.
• Un transfert vers un agent humain qui ouvre un ticket numéroté (vous recevez la référence par courriel si vous nous l'avez fournie).

Les conversations sont conservées au maximum 18 mois et peuvent être supprimées sur demande. Le clavardage n'est pas utilisé pour entraîner un modèle d'IA tiers.

L'identifiant de session de clavardage est stocké dans votre navigateur (localStorage) pour vous permettre de reprendre la conversation après rafraîchissement — vous pouvez le supprimer à tout moment.

10. Décisions automatisées

Conformément à l'article 12.1 de la Loi 25, nous vous informons que :

• Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard.
• Le moteur anti-fraude de Stripe (Radar) peut refuser une transaction de façon automatisée ; dans ce cas, vous pouvez nous contacter pour une vérification manuelle.
• Le filtre anti-pourriel de notre système de tickets peut classifier automatiquement un message — cette classification peut toujours être révisée par un humain.

11. Sous-traitants & fournisseurs

Un nombre limité de fournisseurs interviennent dans la prestation de nos services. Chaque partenaire est lié par contrat à des obligations de sécurité et de confidentialité au moins équivalentes à celles prévues à la Loi 25 :

Une évaluation des facteurs relatifs à la vie privée (EFVP) est réalisée avant tout ajout ou changement de sous-traitant.

12. Communication hors Québec

Certains de nos sous-traitants (Stripe, OpenAI, SMTP) peuvent traiter des données depuis l'extérieur du Québec. Conformément à l'article 17 de la Loi 25, nous avons procédé à l'évaluation des facteurs relatifs à la vie privée pour chacun, et chaque entente de sous-traitance contient des clauses contractuelles types assurant un niveau de protection adéquat.

Vous pouvez obtenir, sur demande, le résumé de l'évaluation applicable à un sous-traitant particulier.

13. Durées de conservation

Une fois ces délais écoulés, vos données sont détruites ou anonymisées de façon irréversible.

14. Mesures de sécurité

• Connexions HTTPS (TLS 1.2+) sur l'ensemble du site.
• Base de données accessible uniquement depuis le serveur d'application, aucun accès externe.
• Mots de passe des comptes admin hachés avec scrypt (facteur de coût élevé) ; jamais stockés en clair ; jamais transmis par courriel.
• Cookies de session admin avec attributs HttpOnly, SameSite=Lax et Secure en production.
• Principe du moindre privilège : rôles distincts entre admin et agent.
• Mises à jour de sécurité appliquées en continu (Node.js, dépendances npm, système hôte).
• Limitation de débit (rate limiting) sur les endpoints sensibles pour freiner les attaques par force brute.
• Sauvegardes chiffrées hors-site ; tests de restauration périodiques.
• Journal d'actions admin horodaté pour la traçabilité.

15. Vos droits (Loi 25)

Vous avez en tout temps le droit :

• D'accéder aux renseignements personnels que nous détenons à votre sujet.
• De les rectifier s'ils sont inexacts, incomplets ou équivoques.
• De demander leur suppression ou la cessation de leur diffusion, sous réserve de nos obligations légales de conservation.
• De retirer votre consentement à tout moment pour les traitements qui en dépendent.
• De demander la portabilité de vos données dans un format structuré et couramment utilisé (CSV ou JSON).
• D'exiger l'intervention humaine sur une décision prise par traitement automatisé.
• D'être informé de la source des renseignements collectés, et des critères utilisés dans un éventuel traitement automatisé.
• De formuler une plainte à la Commission d'accès à l'information du Québec si vous jugez vos droits non respectés.

16. Comment exercer vos droits

1. Écrivez à [email protected] avec l'objet « Demande Loi 25 ».
2. Précisez la nature de votre demande (accès, rectification, suppression, portabilité, retrait de consentement, plainte).
3. Joignez une pièce d'identité (photo partielle au besoin) uniquement si votre demande concerne des données sensibles ; nous la détruisons dès la vérification faite.
4. Notre RPRP accuse réception dans les 5 jours ouvrables et vous répond dans un délai maximal de 30 jours (extensible une seule fois de 30 jours avec justification).
5. La demande est gratuite ; des frais raisonnables peuvent s'appliquer uniquement pour des copies papier ou extractions volumineuses (art. 33 Loi 25).

17. Témoins (cookies) & technologies similaires

Le site cloutiermtb.com utilise un minimum strict de témoins et technologies similaires. Aucun pixel publicitaire, aucun Google Analytics, aucun Meta Pixel.

Vous pouvez ajuster vos choix en tout temps depuis le lien Gérer les témoins au pied de chaque page, ou en supprimant directement les entrées de votre navigateur.

Le refus des témoins fonctionnels n'empêche pas l'utilisation du site, mais peut dégrader l'expérience (ex. : vous devrez recommencer le formulaire de réservation si vous quittez la page).

18. Données des mineurs

Nos services sont accessibles aux mineurs de 8 ans et plus avec consentement parental. Pour les mineurs :

• Le consentement est donné par le parent ou le tuteur légal, qui est notre interlocuteur privilégié pour toute question relative à la vie privée de l'enfant.
• Conformément à l'article 4.1 de la Loi 25, pour un enfant de moins de 14 ans, le consentement doit obligatoirement être donné par le titulaire de l'autorité parentale.
• Pour un mineur de 14 ans ou plus, son propre consentement est recevable, mais le tuteur reste co-informé.
• Les données de mineurs ne sont jamais utilisées à des fins marketing ou d'analyse comportementale, même agrégée.

19. Incidents de confidentialité

Nous avons mis en place un plan de réponse aux incidents conforme à l'article 3.5 de la Loi 25. En cas d'incident de confidentialité impliquant un renseignement personnel :

1. Le RPRP est avisé dans les meilleurs délais (objectif : 24 h suivant la découverte de l'incident).
2. Les mesures techniques d'endiguement sont déployées (révocation d'accès, rotation de secrets, blocage).
3. Un registre d'incident est consigné dans un délai maximal de 72 h (nature, date, données visées, nombre de personnes touchées, mesures prises).
4. Si l'incident présente un risque de préjudice sérieux, nous avisons les personnes concernées et la CAI dans les meilleurs délais.
5. Une analyse post-mortem est effectuée et les contrôles préventifs sont mis à jour.

Le registre des incidents peut être consulté par les autorités compétentes sur demande.

20. Communications marketing & infolettre

• Nous n'envoyons aucune infolettre automatique à tous les clients passés. Aucune inscription par défaut.
• Si vous choisissez volontairement de vous inscrire à nos communications (case à cocher distincte du formulaire de réservation), vous pouvez vous désinscrire à tout moment via le lien présent en bas de chaque courriel, sans justification.
• Nous respectons la Loi canadienne anti-pourriel (LCAP) : double opt-in, identification claire de l'expéditeur, mécanisme de désabonnement fonctionnel en tout temps.

21. Comptes clients & portail en ligne

Le portail client (/compte) vous permet de gérer vos séances, vos méthodes de paiement et votre profil. Sa création est facultative — vous pouvez continuer à réserver en tant qu'invité. Si vous ouvrez un compte, voici ce que nous collectons et la manière dont nous protégeons ces renseignements.

21.1 Création & authentification

• Courriel et mot de passe — le mot de passe est haché localement avec scrypt (RFC 7914, paramètres OWASP 2024) et jamais stocké en clair ni transmis à un tiers.
• Nom, prénom, téléphone — pour personnaliser l'expérience et vous joindre en cas d'imprévu avant la séance.
• Date de naissance & contact d'urgence (optionnels) — servent uniquement à la prestation sécuritaire du coaching (ex. autorisation parentale pour un mineur, personne à rejoindre en cas d'accident).
• Préférence marketing — respectée strictement : sans coche explicite, aucune infolettre ni communication promotionnelle.

21.2 Connexions tierces (OAuth Google, Apple)

Vous pouvez créer un compte ou vous connecter avec Google ou Apple Sign In. Dans ce cas :

• Nous recevons du fournisseur : votre courriel, votre nom, un identifiant technique (sub) et, si applicable, votre photo de profil.
• Nous ne recevons jamais votre mot de passe Google/Apple, ni aucun contenu de votre compte (Gmail, Photos, iCloud, contacts, etc.).
• Apple applique son option « Masquer mon courriel » — dans ce cas, un alias relayé @privaterelay.appleid.com est stocké à la place du vrai courriel.
• Vous pouvez délier un fournisseur à tout moment depuis l'onglet « Sécurité » du portail ou en révoquant l'accès depuis les paramètres Google / Apple.

Le lien entre votre compte CloutierMTB et le fournisseur est conservé dans la table customer_oauth et supprimé à la fermeture du compte.

21.3 Sessions & témoin de connexion

Après connexion, nous posons un témoin de session cm_session :

• Jeton opaque aléatoire de 256 bits, HttpOnly, SameSite=Lax, Secure en production.
• Durée de vie : 30 jours glissants, puis déconnexion automatique. Vous pouvez forcer la déconnexion de toutes les sessions depuis « Sécurité ».
• Aucune donnée personnelle ne transite dans le cookie — uniquement le jeton qui pointe vers la table customer_sessions.

21.4 Méthodes de paiement sauvegardées (Stripe)

Si vous enregistrez une carte dans l'onglet « Paiements » :

• Nous créons un profil Stripe Customer pour votre compte, et un SetupIntent authentifie la carte côté Stripe (3-D Secure au besoin).
• Notre base ne conserve que les 4 derniers chiffres, la marque (Visa/Mastercard/Amex…) et la date d'expiration — jamais le numéro complet, le cryptogramme (CVC) ni la piste magnétique.
• Les données de carte transitent directement du navigateur vers Stripe, certifié PCI-DSS niveau 1. CloutierMTB reste hors du périmètre PCI.
• Vous pouvez supprimer une carte à tout moment — la suppression est immédiate chez Stripe comme chez nous (table customer_payment_methods).

21.5 Fermeture du compte & portabilité

• Depuis « Sécurité » → « Fermer mon compte », l'accès au portail est coupé immédiatement.
• Les données du profil (nom, courriel, téléphone, liaisons OAuth, méthodes de paiement) sont anonymisées ou supprimées sous 30 jours.
• L'historique de réservations est conservé selon les obligations légales (voir section 13) : obligations fiscales (6 ans) et responsabilité civile (3 ans).
• Vous pouvez demander une portabilité (export CSV/JSON) de toutes vos données à [email protected] — réponse dans les 30 jours (article 27 Loi 25).

21.6 Journal d'activité & motifs de changement de statut

Dans l'onglet « Activité » du portail, vous retrouvez un fil chronologique de tous les événements liés à votre compte : création de réservation, confirmation de séance par le coach, changement de statut (Reportée, Annulée, No-show), publication d'un compte-rendu, rapport d'incident, etc.

• Les motifs saisis par l'équipe CloutierMTB pour justifier un changement de statut (ex. « orage, sentiers fermés ») sont visibles dans ce fil sans modification ni filtrage. Ils ne sont jamais partagés avec un tiers sans votre consentement.
• Un compteur de non-lus apparaît sur la pastille « Activité » tant que vous n'avez pas ouvert l'onglet. Ce compteur est stocké uniquement sur votre appareil (localStorage) et jamais sur nos serveurs.
• Tous les horodatages sont affichés et journalisés au fuseau officiel America/Toronto (Montréal/Sherbrooke). Les entrées serveur sont stockées en UTC et converties lors de l'affichage.
• Le journal d'activité lié à un compte est purgé en même temps que le compte (voir §21.5), sous réserve des obligations légales applicables aux réservations (§13).
• Vous pouvez supprimer, depuis l’onglet « Activité », l’historique d’événements affiché pour votre compte ; les effets et exceptions sont précisés au §21.7.

21.7 Modération, courriels d’avis & contenus d’information (Aide, Nouvelles)

CloutierMTB peut appliquer des mesures de modération (p. ex. avertissement ou suspension d’accès au portail) conformément aux modalités d’utilisation et à la charte lorsqu’une conduite contrevient aux règles annoncées.

• Un résumé des mesures prises à l’égard de votre compte peut être affiché dans l’espace client (section prévue à cette fin) afin d’assurer la transparence.
• Lorsqu’une mesure est appliquée, l’équipe peut cocher l’envoi d’un avis par courriel — dans ce cas seulement, un message vous est transmis. Si cette option n’est pas activée, aucun courriel automatique n’accompagne la seule consignation interne de l’événement de modération.
• La suppression du fil d’activité depuis l’onglet « Activité » efface du moins les entrées affichées à cette interface, dans la limite de nos systèmes et sous réserve des obligations prévues au §13 (réservations, comptabilité) et d’archives de sécurité non consultables par le public.
• Les pages Aide et Nouvelles (salle de presse) publient du contenu informatif grand public. Sauf mention expresse, les articles d’actualité ne visent pas à traiter de renseignements personnels sur un client identifié.

21.8 Durées de conservation spécifiques au compte

22. Modifications de la politique

Cette politique peut être mise à jour pour refléter les évolutions légales, techniques ou opérationnelles. La date et le numéro de version figurent en haut de la page. Les changements substantiels (nouveau sous-traitant, nouvelle finalité, transfert hors-Canada, modification des durées de conservation) sont communiqués par courriel aux clients actifs au moins 30 jours avant leur entrée en vigueur.

La version courante fait toujours foi. L'historique des versions précédentes est archivé et disponible sur demande à [email protected].

CloutierMTB — Politique révisée en conformité avec la Loi 25 (entrée en vigueur progressive 2022-2024).