Politique de confidentialité

Responsable de la protection des renseignements personnels

StemJee inc. est responsable des renseignements personnels recueillis sur le site stemjee.com. La personne responsable de leur protection est le président de l'entreprise.

• Steve Johnston, président, responsable de la protection des renseignements personnels
• Courriel : [email protected]
• Adresse : StemJee inc., 266, rue de la Galène, Gatineau (Québec) J8Z 3P5

Écrivez-lui pour toute question sur vos renseignements, pour exercer vos droits ou pour formuler une plainte.

Notre gouvernance

Des règles internes encadrent la façon dont nous traitons vos renseignements, de la collecte à la destruction.

• Responsabilité : le président, Steve Johnston, veille au respect de ces règles et de la loi. Tout nouvel outil qui touche des renseignements personnels est évalué avant d'être utilisé.
• Accès : seules les personnes de StemJee qui en ont besoin pour leur travail peuvent consulter vos renseignements.
• Conservation et destruction : nous appliquons les durées indiquées plus bas, puis nous détruisons les renseignements.
• Plaintes : écrivez au responsable à [email protected]. Nous accusons réception de votre plainte, nous l'examinons et nous vous répondons par écrit dans les 30 jours. Si la réponse ne vous satisfait pas, vous pouvez vous adresser à l'autorité compétente (voir « Vos droits »).
• Incidents : nous évaluons chaque incident, nous le consignons dans un registre et nous avisons les personnes et les autorités concernées lorsque la loi l'exige.

Ce que nous recueillons, pourquoi et comment

Le site ne demande ni compte ni mot de passe. Nous recueillons seulement les renseignements qui suivent, pour les fins indiquées. Nous ne les utilisons pas à d'autres fins sans votre consentement, sauf si la loi le permet ou l'exige, et nous ne les vendons ni ne les louons.

• Pré-diagnostic ÉCO^MC, ce que nous recevons : vos réponses aux questions, ce que vous écrivez dans les champs libres et votre profil. Microsoft reçoit aussi les données techniques de la connexion (adresse IP). Le questionnaire ne demande ni votre nom ni votre courriel. Évitez d'écrire des renseignements personnels dans les champs libres : si vous le faites, nous les recevons avec vos réponses.
• Pré-diagnostic ÉCO^MC, ce que nous en faisons : Microsoft Power Automate nous transmet vos réponses, que nous conservons dans une liste SharePoint de StemJee. Elles portent un numéro de réponse tiré au hasard, affiché avec votre diagnostic. Nous nous en servons pour comprendre les besoins des organisations et pour améliorer le pré-diagnostic et nos services.
• Votre profil : il est calculé dans votre navigateur à partir de vos réponses, puis transmis avec elles. C'est un résultat indicatif : aucune décision n'est prise à votre sujet de façon automatisée. Le bouton « Envoyer par courriel » ouvre votre propre logiciel de courriel : le message part à l'adresse que vous choisissez, sans passer par nous.
• Rendez-vous : quand vous réservez une rencontre dans le calendrier de Calendly (il ne se charge que si vous cliquez sur « Afficher le calendrier »), Calendly recueille pour nous votre nom, votre adresse courriel et les précisions que vous choisissez d'ajouter. Nous nous en servons pour tenir la rencontre et vous écrire à son sujet.
• Mesure d'audience, seulement avec votre accord : si vous l'acceptez, Google Analytics recueille les pages consultées, la provenance de la visite, le type d'appareil et de navigateur, et une localisation approximative (ville ou région) déduite de votre adresse IP, sans conserver cette adresse. Nous nous en servons pour savoir quelles pages sont utiles et pour améliorer le site. Google Signals est désactivé : ces données ne sont pas reliées à votre compte Google ni utilisées pour la publicité. Sans votre accord, Google Analytics n'est même pas chargé : ni celui de StemJee, ni celui de Calendly, qui ne peut se charger qu'une fois le calendrier affiché (voir « Témoins »).
• Journaux techniques : à chaque visite, votre navigateur transmet des données techniques (adresse IP, type de navigateur, page demandée, date et heure). Cloudflare, qui protège et diffuse le site, les traite pour bloquer les attaques et les robots, faire fonctionner le site et en compter le trafic global. Ce comptage se fait sans témoin; le témoin __cf_bm sert seulement à détecter les robots.

Le site s'adresse aux dirigeants et aux équipes d'organisations. Il n'est pas destiné aux personnes de moins de 14 ans.

Témoins

Un témoin (cookie) est un petit fichier déposé dans votre navigateur. Aucun témoin de mesure d'audience, de publicité ou de profilage n'est activé par défaut : ceux de Google Analytics attendent votre accord au bandeau, et ceux de Calendly, que vous choisissiez d'afficher le calendrier. À votre première visite, un bandeau vous offre « Accepter » et « Refuser », présentés à égalité, ou « Choisir » pour décider en détail.

• __cf_bm (Cloudflare, nécessaire) : aide à distinguer les visiteurs des robots. Il expire après 30 minutes d'inactivité.
• cc_cookie (StemJee, nécessaire) : retient votre choix au sujet des témoins, pendant 6 mois.
• _ga (Google Analytics, mesure d'audience) : attribue un identifiant aléatoire à votre navigateur pour compter les visites. Seulement avec votre accord; 13 mois.
• _ga_<ID> (Google Analytics, mesure d'audience) : retient l'état de votre visite. Seulement avec votre accord; 13 mois.

Vous pouvez changer d'avis en tout temps avec le lien « Paramètres des témoins », au bas des pages du site. Si vous retirez votre accord, les témoins de Google Analytics sont effacés. Vous pouvez aussi bloquer ou effacer les témoins dans les réglages de votre navigateur.

Sur nos pages de prise de rendez-vous, le calendrier de Calendly ne se charge que si vous cliquez sur « Afficher le calendrier » : avant ce clic, rien ne provient de Calendly. Une fois affiché, il est servi par Calendly, aux États-Unis. Calendly y dépose ses propres témoins et y charge des services nécessaires à son fonctionnement, dont Stripe (paiement) et reCAPTCHA de Google (détection des robots). Il y utilise aussi des outils de mesure et de marketing, dont ceux de tiers : Google Analytics, le pixel de Meta (Facebook), Segment, Braze et Sprig (ce dernier comprend un module d'enregistrement de session). Calendly peut vous présenter son propre bandeau de témoins, qui permet de refuser ces outils. Tout cela relève de la politique de confidentialité de Calendly. Si vous préférez ne pas afficher le calendrier, écrivez-nous à [email protected] pour convenir d'une rencontre.

Fournisseurs et communication hors Québec

Nous confions certaines tâches à des fournisseurs. Chacun reçoit seulement ce qu'il lui faut pour sa tâche.

• OVHcloud (OVH Hosting Inc., Montréal) : hébergement du site, sur un serveur situé à Beauharnois (Québec).
• Cloudflare (Cloudflare, Inc., États-Unis) : réseau, sécurité et diffusion du site, par un réseau mondial de centres de données.
• Microsoft (Power Automate et SharePoint) : réception et conservation des réponses au pré-diagnostic, dans l'environnement Microsoft 365 de StemJee, hébergé au Canada.
• Calendly (Calendly, LLC, États-Unis) : prise de rendez-vous, seulement si vous affichez le calendrier ou ouvrez notre page chez Calendly.
• Google (Google LLC, États-Unis) : mesure d'audience, seulement avec votre accord.

Certains de ces fournisseurs sont établis à l'extérieur du Québec. Cloudflare, Calendly et Google sont des entreprises américaines : leurs services impliquent un traitement aux États-Unis ou ailleurs dans le monde. Microsoft conserve les réponses au pré-diagnostic au Canada, dans des centres de données situés à Toronto ou à Québec. Avant d'envoyer des renseignements à l'extérieur du Québec, nous vérifions les risques pour votre vie privée (ce qu'on appelle une évaluation des facteurs relatifs à la vie privée, ou EFVP) et nous concluons avec le fournisseur une entente écrite qui l'oblige à bien les protéger. Nous limitons les renseignements au strict nécessaire. Les renseignements traités aux États-Unis peuvent être accessibles aux autorités de ce pays, selon ses lois.

Nous pouvons aussi communiquer des renseignements sans votre consentement lorsque la loi l'exige, par exemple à la suite d'une ordonnance d'un tribunal.

Conservation et destruction

Nous gardons vos renseignements le temps nécessaire aux fins pour lesquelles ils ont été recueillis. Ensuite, nous les détruisons ou nous les anonymisons de façon irréversible.

• Réponses au pré-diagnostic : 24 mois après l'envoi, puis supprimées.
• Rendez-vous : le temps de tenir la rencontre et d'y donner suite, puis supprimés.
• Témoins de Google Analytics : 13 mois au plus dans votre navigateur.
• Données dans Google Analytics : 14 mois, puis supprimées automatiquement. Les rapports agrégés, qui ne permettent pas de vous identifier, peuvent être gardés plus longtemps.
• Choix au sujet des témoins (cc_cookie) : 6 mois.
• Journaux techniques : selon les règles de conservation de Cloudflare, pour les besoins de la sécurité et du fonctionnement de son réseau.

Vos droits

La Loi sur la protection des renseignements personnels dans le secteur privé (Québec) vous donne les droits suivants :

• Accès : savoir quels renseignements nous détenons sur vous et en recevoir une copie.
• Rectification : faire corriger un renseignement inexact, incomplet ou équivoque.
• Retrait du consentement : retirer votre accord en tout temps, par exemple à la mesure d'audience, avec le lien « Paramètres des témoins ».
• Désindexation : faire cesser la diffusion d'un renseignement qui vous concerne, ou faire désindexer un lien qui y mène, dans les cas prévus par la loi.
• Portabilité : recevoir les renseignements que vous nous avez fournis dans un format technologique structuré et couramment utilisé.

Si vous résidez ailleurs au Canada, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) s'applique aussi. Elle vous donne notamment le droit d'accéder à vos renseignements, de les faire corriger et de retirer votre consentement.

Pour exercer un droit, écrivez au responsable de la protection à [email protected]. Nous vous répondrons par écrit dans les 30 jours suivant la réception de votre demande. Nous pourrions vous demander de confirmer votre identité. Pour vos réponses au pré-diagnostic, indiquez-nous le numéro de réponse affiché avec votre diagnostic (il figure aussi dans le courriel du bouton « Envoyer par courriel ») : comme le questionnaire ne demande pas votre nom, c'est ce numéro qui nous permet de retrouver vos réponses. Si vous l'avez perdu, donnez-nous la date approximative de votre envoi, votre profil et le contenu de vos champs libres : nous vérifierons que les réponses correspondent avant de vous les communiquer.

Si notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès de la Commission d'accès à l'information du Québec (cai.gouv.qc.ca). Si la LPRPDE s'applique, vous pouvez aussi porter plainte auprès du Commissariat à la protection de la vie privée du Canada (priv.gc.ca).

Sécurité et incidents de confidentialité

Nous protégeons vos renseignements par des mesures adaptées à leur sensibilité : connexion chiffrée (HTTPS) sur tout le site, accès aux réponses réservé aux personnes de StemJee qui en ont besoin, fournisseurs tenus par contrat à des mesures de sécurité.

Si un incident de confidentialité (accès, utilisation ou communication non autorisés, ou perte de renseignements) présente un risque de préjudice sérieux, nous avisons rapidement la Commission d'accès à l'information et les personnes concernées. Si l'incident relève de la LPRPDE et présente un risque réel de préjudice grave, nous le déclarons aussi au Commissariat à la protection de la vie privée du Canada. Nous consignons tous les incidents dans un registre, que nous conservons au moins cinq ans et que nous communiquons aux autorités sur demande.

Modifications de la politique

Nous mettons cette politique à jour quand nos pratiques changent, par exemple à l'ajout d'un outil. La date de mise à jour figure en haut de la page, et l'historique ci-dessous résume chaque modification. Si un changement important touche la façon dont nous utilisons vos renseignements, nous l'annonçons sur le site avant qu'il s'applique.

• 21 septembre 2026 : politique réécrite pour le nouveau site (hébergement au Québec, pré-diagnostic, rendez-vous, mesure d'audience avec votre accord, fournisseurs, témoins, gouvernance).