Politique de confidentialité.

1. À propos de cette politique

App Monstre est une application interne opérée par Agence Monstre. Elle sert à générer des diagnostics stratégiques pour les prospects suivis par les vendeurs autorisés de l'Agence, et à donner aux clients de l'Agence accès à leurs documents dans leur espace client. Cette politique décrit comment les renseignements personnels sont recueillis, utilisés, conservés et protégés dans le cadre de cette utilisation.

Les comptes de l'équipe sont restreints à une liste blanche ; les clients n'accèdent qu'à leur espace client, sur invitation. App Monstre n'est pas accessible au grand public.

2. Responsable de la protection des renseignements personnels

Conformément à l'article 3.1 de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), Agence Monstre désigne la personne suivante à titre de responsable :

Toute question relative à cette politique, ou toute demande d'exercice des droits prévus par la loi, doit être acheminée à cette personne.

3. Renseignements personnels recueillis

3.1 Au sujet des vendeurs autorisés

Lorsqu'un vendeur Monstre obtient accès à App Monstre, les renseignements suivants sont enregistrés :

• Prénom, nom, courriel professionnel
• Numéro de téléphone (facultatif)
• Photo de profil (facultatif)
• Rôle affiché (par exemple « Conseiller stratégique »)
• Journal des connexions et des actions effectuées dans App Monstre (création, soumission, approbation de rapports)
• Statut du compte (actif, désactivé) et historique des modifications administratives

3.2 Au sujet des prospects analysés

Pour chaque diagnostic généré, App Monstre collecte ou conserve :

• Le nom de l'entreprise prospectée, son site web, son secteur d'activité et sa zone géographique
• Des données publiques recueillies de façon automatisée : contenu des pages publiques du site, captures d'écran de pages publiques, mots-clés de référencement, fiche Google Business publique, présence sur le web, mesures techniques
• En mode lead qualifié uniquement : informations de contact saisies manuellement par le vendeur (nom du contact, courriel, téléphone, notes), lorsque la personne lui a déjà manifesté un intérêt

Aucune donnée n'est recueillie auprès des personnes prospectées elles-mêmes au moment du diagnostic. Lorsqu'un rapport est partagé avec le prospect, ce partage est volontaire et tracé.

3.3 Au sujet des clients qui utilisent l'espace client

Lorsque l'Agence donne accès à l'espace client à une personne chez l'un de ses clients, les renseignements suivants sont enregistrés :

• Nom et courriel de chaque personne invitée
• Date de l'invitation, statut de l'accès et date de la dernière connexion
• Consultations : quel document a été ouvert, par qui et quand
• Demandes de lien de connexion et tentatives de connexion échouées (courriel saisi, empreinte de l'adresse IP), conservées 24 heures pour bloquer les abus

Ces renseignements servent uniquement à :

• Donner à ces personnes accès aux documents de leur entreprise
• Les aviser par courriel lorsqu'un document est publié ou mis à jour
• Permettre à l'équipe de l'Agence de suivre le dossier, par exemple de savoir si un document a été consulté
• Protéger l'accès à l'espace client (connexion, retrait d'un accès)

Ils ne sont communiqués à aucun tiers, sauf aux fournisseurs d'hébergement, de conservation des données et d'envoi de courriels décrits à la section 5.

4. Finalités de la collecte

Les renseignements personnels sont utilisés strictement pour :

• Authentifier les vendeurs autorisés et leur permettre d'utiliser App Monstre
• Générer un diagnostic stratégique sur l'entreprise prospectée
• Permettre aux administrateurs Monstre d'examiner et d'approuver les rapports avant leur partage
• Tracer les actions sensibles à des fins de sécurité et d'audit (article 3.5 de la loi)
• Permettre au vendeur de partager le rapport approuvé avec le prospect via un lien sécurisé
• Donner aux personnes invitées chez les clients de l'Agence accès aux documents de leur entreprise dans l'espace client, et leur envoyer les courriels qui s'y rattachent (invitation, liens de connexion, avis de publication)

Aucun renseignement n'est utilisé à des fins de marketing direct ni vendu à un tiers.

5. Sous-traitants et transferts hors du Québec

App Monstre s'appuie sur des fournisseurs spécialisés. Certains sont établis hors du Québec, ce qui constitue une communication de renseignements à l'extérieur du Québec au sens de l'article 17 de la loi. Une évaluation a été réalisée pour chaque fournisseur, et des engagements contractuels exigent un niveau de protection équivalent à celui prévu par la loi québécoise.

Les données transmises à nos prestataires d'analyse pour produire un diagnostic se limitent à des données publiques sur l'entreprise prospectée et son marché. Aucune information de contact d'un prospect (courriel, téléphone) ni aucun renseignement personnel saisi dans App Monstre n'est transmis à ces prestataires.

6. Durée de conservation

• Profils des vendeurs : conservés tant que le compte est actif. Lorsqu'un compte est désactivé, le profil est conservé à des fins d'audit pour une période maximale de 36 mois, après quoi il est anonymisé ou détruit, sauf obligation légale contraire.
• Rapports de diagnostic : conservés indéfiniment par défaut, puisqu'ils constituent l'historique de travail du vendeur. Une demande de suppression peut être adressée au responsable.
• Journal des actions : conservé 24 mois pour des raisons de sécurité et d'audit.
• Notifications par courriel : les métadonnées d'envoi sont conservées 12 mois.

7. Mesures de sécurité

Les mesures suivantes protègent les renseignements personnels traités par App Monstre :

• Authentification par lien magique unique (sans mot de passe à mémoriser, donc moins vulnérable aux fuites)
• Comptes de l'équipe restreints par liste blanche : un courriel non autorisé ne peut pas se connecter à l'application ; les clients n'accèdent qu'à leur espace client, sur invitation
• Politiques de sécurité au niveau des lignes (Row Level Security) dans la base de données : un vendeur ne peut accéder qu'à ses propres rapports
• Chiffrement en transit (HTTPS) et au repos (chiffrement Supabase)
• Journalisation des actions sensibles (création, désactivation, approbation)
• Révocation immédiate des sessions actives lors de la désactivation d'un compte

8. Droits des personnes concernées

Toute personne dont les renseignements personnels sont traités dans App Monstre peut, en s'adressant à la responsable :

• Accéder aux renseignements détenus à son sujet (article 27)
• Faire rectifier un renseignement inexact, incomplet ou équivoque
• Retirer son consentement à un traitement, lorsqu'applicable
• Demander la cessation de la diffusion d'un renseignement ou la désindexation d'un hyperlien (article 28.1)
• Recevoir ses renseignements dans un format technologique structuré et couramment utilisé (portabilité)
• Déposer une plainte auprès de la Commission d'accès à l'information du Québec si la réponse obtenue ne lui paraît pas satisfaisante

La réponse est donnée dans un délai de 30 jours suivant la demande, sans frais sauf pour des transcriptions ou copies raisonnables.

9. Incidents de confidentialité

En cas d'incident impliquant un risque de préjudice sérieux (articles 3.5 à 3.8), Agence Monstre s'engage à :

• Prendre les mesures raisonnables pour limiter le préjudice
• Notifier la Commission d'accès à l'information sans délai
• Notifier les personnes concernées sans délai
• Tenir un registre des incidents de confidentialité

10. Modifications à cette politique

Cette politique peut être mise à jour pour refléter des changements dans les pratiques ou la réglementation. La date de dernière mise à jour est indiquée en haut du document. Les vendeurs autorisés sont informés des changements importants par courriel.

11. Contact

Pour exercer un droit, signaler un incident, ou poser une question :