Conformité PIPEDA & Loi 25

• LPRPDE / PIPEDA (fédéral) :la Loi sur la protection des renseignements personnels et les documents électroniques s'applique aux activités commerciales interprovinciales et fédérales.
• Loi 25 / Loi sur la protection des renseignements personnels dans le secteur privé (Québec) : s'applique à toutes les organisations du secteur privé exploitées au Québec qui recueillent des renseignements sur des résidents québécois.

Les deux régimes s'appliquent à Mariez. En cas de conflit, nous appliquons la norme la plus protectrice pour l'individu.

Mariez désigne un responsable de la protection des renseignements personnels conformément à l'article 3.1 de la Loi 25. Ce responsable supervise la conformité, traite les demandes de droits, gère les incidents et tient le registre des activités de traitement. Contact : privacy@mariez.ca. Délai de réponse : 30 jours.

Nous recueillons uniquement les renseignements personnels nécessaires aux fins déclarées : exploitation des fonctionnalités de planification de mariage, gestion des comptes, traitement des abonnements et soutien à la clientèle. Chaque champ de formulaire a une finalité documentée. Nous ne recueillons pas de renseignements sensibles (données de santé, origines ethniques, opinions politiques) sans consentement explicite. Les finalités sont communiquées avant ou au moment de la collecte.

• Consentement explicite requis pour : la création de compte, les cookies non essentiels et les communications marketing.
• Consentement implicite admis pour : les fonctionnalités essentielles du service souscrit.

Le consentement peut être retiré à tout moment — le retrait n'affecte pas les traitements passés. Nous n'utilisons pas de consentement obtenu par des pratiques trompeuses ou sous contrainte.

Conformément à l'article 17 de la Loi 25, une évaluation des facteurs relatifs à la vie privée (EFVP) est effectuée avant tout transfert de renseignements personnels hors du Québec. Les fournisseurs suivants impliquent des transferts vers les États-Unis :

• Supabase — base de données et stockage de fichiers (serveurs AWS us-east).
• Stripe — traitement des paiements (serveurs aux États-Unis et au Canada).
• Resend / Sendgrid — envoi de courriels transactionnels (serveurs aux États-Unis).
• PostHog — analytics comportemental (serveurs aux États-Unis).

Des ententes de protection des données (DPA) assorties de clauses contractuelles de confidentialité sont en place avec chaque fournisseur. Les données ne sont transférées que dans la mesure nécessaire à la prestation du service.

Nous appliquons le chiffrement TLS 1.2+ en transit et AES-256 au repos. L'accès aux renseignements personnels suit le principe du moindre privilège. Nous journalisons et surveillons les accès, et détectons les anomalies. Tous les fournisseurs de services sont liés contractuellement à des obligations de confidentialité et de sécurité équivalentes et ne peuvent utiliser les renseignements personnels qu'aux fins des services autorisés.

Vous pouvez exercer les droits suivants en écrivant à privacy@mariez.ca. Nous répondons dans les 30 jours.

• Accès (art. 27) : obtenir une copie des renseignements personnels que Mariez détient sur vous.
• Rectification : corriger des informations inexactes ou incomplètes.
• Retrait du consentement :retirer votre consentement pour une activité de traitement précise, avec effet pour l'avenir.
• Effacement (art. 28) : demander la suppression de renseignements personnels collectés pour des fins qui ne sont plus nécessaires, sous réserve des exceptions légales.
• Portabilité (art. 27) : recevoir vos renseignements personnels dans un format technologique structuré et couramment utilisé, lisible par machine.
• Déindexation (art. 28.1) : demander la cessation de la diffusion ou la déindexation de renseignements vous concernant publiés en ligne.

Une vérification d'identité peut être requise. Des exceptions légales s'appliquent (obligations fiscales, sécurité publique, etc.).

Nous tenons un registre interne de tous les incidents de confidentialité, conformément à l'article 8.1 de la Loi 25. Lorsqu'un incident présente un risque sérieux de préjudice :

• Nous avistons la Commission d'accès à l'information (CAI) dans les 72 heures.
• Nous notifions les personnes concernées dans les meilleurs délais.
• Les mesures correctives sont documentées et appliquées promptement.

Conformément à la Loi 25, une EFVP est effectuée avant : tout nouveau projet impliquant des renseignements personnels sensibles ; tout transfert de renseignements personnels vers un nouveau fournisseur hors Québec ; toute modification importante aux systèmes de traitement. Les résultats des EFVP orientent les décisions de conception et de déploiement.

Si vous estimez que vos droits n'ont pas été respectés, vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI) pour les obligations québécoises, ou du Commissariat à la protection de la vie privée du Canada (OPC) pour les obligations fédérales. Nous vous encourageons à nous contacter d'abord à privacy@mariez.ca.