BROUILLON — texte avant révision juridique. La version finale doit être révisée par un conseiller juridique québécois et refléter les obligations de la Loi 25 avant le lancement.
Politique de confidentialité
Dernière mise à jour : 2026-05-27 (brouillon)
La présente Politique de confidentialité explique quels renseignements personnels HomyEvent recueille, comment nous les utilisons, avec qui nous les partageons, combien de temps nous les conservons, et comment vous exercez vos droits aux termes de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25) et de la Loi sur la protection des renseignements personnels et les documents électroniques du Canada (LPRPDE). La version française (fr-CA) est celle qui fait foi pour les utilisateurs situés au Québec.
1. Renseignements que nous recueillons
Renseignements de compte que vous fournissez : adresse courriel, nom d'affichage, photo de profil facultative, préférence de langue, et vos acceptations des Conditions d'utilisation et de la présente Politique. Renseignements d'annonce que vous soumettez : détails sur le lieu ou le prestataire, photos et vidéos, disponibilités, prix et autre contenu que vous publiez. Renseignements d'activité générés par votre utilisation : messages, évaluations, historique de recherche et de filtres (en agrégat). Métadonnées de paiement via Stripe — nous ne stockons pas les numéros complets de cartes. Métadonnées techniques limitées : une adresse IP tronquée (dernier octet supprimé) et la chaîne d'agent utilisateur, conservées à des fins de sécurité et de prévention des abus.
2. Utilisation de vos renseignements
Nous utilisons vos renseignements pour faire fonctionner le Service : authentifier votre connexion, afficher vos annonces et réservations, livrer vos messages, envoyer les courriels transactionnels (liens de connexion, avis de compte, reçus de facturation) et faire ressortir des annonces pertinentes en fonction de vos filtres de recherche. Nous ne vendons pas vos renseignements. Nous n'utilisons pas vos renseignements personnels pour entraîner des modèles d'IA.
3. Fondement juridique
Nous traitons vos renseignements personnels en vertu de la Loi 25 et de la LPRPDE sur les fondements suivants : (a) votre consentement manifeste, libre et éclairé donné à l'inscription et de nouveau lors de toute modification importante de la présente Politique ou des Conditions (art. 8 de la Loi 25; principe 3 de la LPRPDE); (b) l'exécution de notre contrat avec vous, soit les Conditions d'utilisation; (c) les utilisations secondaires compatibles avec la finalité initialement divulguée à la collecte, lorsque permis par l'article 12 de la Loi 25 (par exemple, analyses agrégées et anonymisées sur la santé de la plateforme); et (d) nos obligations légales au titre des lois québécoises, canadiennes et provinciales applicables (fiscalité, anti-fraude, ordonnances judiciaires). Nous consignons la captation du consentement sous la forme d'un enregistrement d'audit par utilisateur et par type de document, avec le condensé (hash) de la version du document, la langue, l'horodatage et l'adresse IP tronquée d'origine — ces enregistrements sont conservés afin de démontrer à la Commission d'accès à l'information que votre consentement a été spécifique, éclairé et donné pour chacune des finalités divulguées.
4. Communication des renseignements
Nous ne communiquons des renseignements qu'aux sous-traitants qui en ont besoin pour faire fonctionner le Service. Liste complète par catégorie et par juridiction : CockroachDB (base de données principale, région canadienne); Cloudflare (hébergement, réseau périphérique, stockage d'images; siège aux États-Unis avec stockage au repos en région canadienne); Cloudflare Hyperdrive (mise en commun des connexions à la base de données, Canada); Better Auth (authentification autohébergée sur notre infrastructure, Canada); Stripe (paiements et facturation, États-Unis et Irlande); Mapbox (tuiles cartographiques et autocomplétion d'adresses, États-Unis); Resend (courriels transactionnels, États-Unis); Google et Facebook (uniquement si vous choisissez l'un d'eux comme fournisseur d'identité, États-Unis). Chaque sous-traitant est lié par des clauses contractuelles types exigeant un degré de protection équivalent à celui prévu par la Loi 25. L'article 9 des Conditions nomme également ces fournisseurs. Nous pouvons communiquer des renseignements lorsque la loi l'exige, en réponse à une procédure judiciaire canadienne valide, ou pour protéger des droits, la sécurité ou des biens. Nous ne vendons, louons ni n'échangeons vos renseignements personnels et nous ne les utilisons pas pour entraîner des modèles d'intelligence artificielle.
6. Vos droits
Aux termes des articles 28 à 45 de la Loi 25 et de la LPRPDE, vous avez le droit : (i) d'accéder aux renseignements personnels que nous détenons à votre sujet (gratuitement, dans un délai de 30 jours suivant la demande); (ii) de demander la rectification de renseignements inexacts ou incomplets; (iii) de demander la suppression de votre compte et des renseignements personnels associés; (iv) de recevoir une copie portable de vos données dans un format structuré et couramment utilisé; et (v) de retirer votre consentement pour tout traitement non essentiel. Vous pouvez exercer ces droits depuis /dashboard/settings/privacy ou en écrivant à privacy@homyevent.com. Les demandes de suppression déclenchent un délai de grâce de 30 jours pendant lequel le compte est suspendu mais récupérable — vous pouvez annuler la suppression en tout temps avant la fin du délai en vous connectant et en reconfirmant. Les demandes d'accès et de rectification continuent d'être traitées pendant le délai de grâce. À l'issue du délai, la suppression est exécutée de manière irréversible et seul l'enregistrement minimal d'acceptation juridique est conservé, sous forme dépersonnalisée, afin de démontrer la conformité au consentement.
7. Conservation des données
Les renseignements de compte sont conservés pendant toute la durée du compte plus le délai de grâce de 30 jours après suppression. Les enregistrements d'acceptation juridique (votre traçabilité du consentement aux Conditions et à la Politique, avec condensé de version de document et horodatage) sont conservés pendant la durée du compte et peuvent être conservés sous forme dépersonnalisée après suppression — seuls le condensé de version, l'horodatage et la langue sont conservés; l'identifiant utilisateur est remplacé par un pseudonyme à sens unique afin que l'enregistrement démontre la conformité agrégée au consentement sans permettre votre identification. Les adresses IP tronquées sont conservées au maximum 13 mois puis nullifiées. Les enregistrements de facturation Stripe sont conservés conformément à la loi fiscale canadienne (généralement 7 ans).
8. Sécurité
Toutes les données sont transmises en TLS 1.2 ou supérieur. L'authentification utilise des témoins HTTP-only, Secure et SameSite émis par Better Auth. Les connexions à la base de données sont chiffrées en transit via Cloudflare Hyperdrive vers CockroachDB. L'accès aux outils d'administration est restreint à un personnel désigné et fait l'objet d'une journalisation d'audit. Aucun système ne peut garantir une sécurité absolue; si vous soupçonnez que votre compte a été compromis, écrivez immédiatement à security@homyevent.com.
9. Résidence des données et transferts internationaux
Vos données sont stockées au repos dans une grappe CockroachDB exploitée dans une région canadienne (la région exacte est publiée sur notre page de sécurité). Divulgation aux termes de l'article 17 de la Loi 25 pour les communications hors Québec : avant toute communication transfrontalière, nous réalisons une évaluation des facteurs relatifs à la vie privée (EFVP) de la juridiction réceptrice. (i) Catégories transférées : identifiants de compte, métadonnées de facturation et (pour Stripe) métadonnées de paiement; métadonnées techniques tronquées à des fins d'analyse. (ii) Finalités : paiements (Stripe), tuiles cartographiques (Mapbox), envoi de courriels transactionnels (Resend), connexion par tiers (Google, Facebook si vous les choisissez). (iii) Juridictions réceptrices : États-Unis (Stripe, Mapbox, Resend, Google, Facebook, siège de Cloudflare); Irlande (opérations européennes de Stripe). (iv) Évaluation d'équivalence : chaque sous-traitant est lié par des clauses contractuelles types offrant un degré de protection évalué comme équivalent à celui prévu par la Loi 25, à la lumière des orientations publiées par la Commission d'accès à l'information. Le réseau périphérique de Cloudflare peut acheminer du trafic chiffré par des points de présence situés à l'extérieur du Canada pour des raisons de performance, mais le stockage au repos et le traitement de vos renseignements personnels se font au Canada. Vous pouvez demander la documentation d'EFVP en écrivant à privacy@homyevent.com.
10. Officier responsable et plaintes
Aux termes de l'article 3.1 de la Loi 25, la personne ayant la plus haute autorité au sein de HomyEvent est, par défaut, la personne désignée responsable de la protection des renseignements personnels. Cette personne peut être jointe à l'adresse privacy@homyevent.com. Nous publierons le nom de la personne responsable formellement désignée sur la présente page dès qu'elle aura été nommée; d'ici là, écrire à privacy@homyevent.com permet de joindre la personne responsable. Nous répondons aux demandes liées à la confidentialité et aux demandes d'accès dans un délai de 30 jours suivant leur réception. Si notre réponse ne vous satisfait pas, vous avez le droit de porter plainte auprès de la Commission d'accès à l'information du Québec (https://www.cai.gouv.qc.ca/) ou du Commissariat à la protection de la vie privée du Canada (https://www.priv.gc.ca/). Nous notifierons également la Commission et les personnes concernées de tout incident de confidentialité présentant un risque de préjudice sérieux, conformément à l'article 3.5 de la Loi 25.
11. Modifications de la présente Politique
Nous pouvons modifier la présente Politique de confidentialité de temps à autre. Toute modification importante déclenchera une bannière de reconfirmation du consentement à votre prochaine connexion : l'utilisation continue du Service après reconfirmation constitue votre acceptation de la version mise à jour. La date « Dernière mise à jour » au haut de la page reflète la révision la plus récente.