Aperçu
Sécurité Wraith (« nous ») offre des services de cybersécurité : tests d'intrusion et évaluation de vulnérabilités au moyen d'une plateforme d'intelligence artificielle. La protection de vos renseignements personnels est au cœur de notre métier. Cette politique explique, en termes simples, quels renseignements nous recueillons, pourquoi, et comment vous gardez le contrôle.
Nous appliquons la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25) et la LPRPDE.
Responsable de la protection des renseignements personnels
Conformément à la Loi 25, nous avons désigné un responsable de la protection des renseignements personnels, qui veille au respect de cette politique et traite vos demandes :
- Responsable : Gabriel Pelletier, fondateur, Sécurité Wraith (NEQ 2273064057).
- Courriel : confidentialite@securitywraith.com
- Adresse : 818, rue Léonidas-Bélanger, Chicoutimi (Québec) G7H 1M5, Canada.
Renseignements que nous recueillons
Nous limitons volontairement notre collecte au strict nécessaire :
- Coordonnées : nom, organisation, adresse courriel, téléphone, fournis à l'inscription ou au contact.
- Données de compte : identifiant et données d'authentification, sous forme chiffrée.
- Périmètre d'engagement : les cibles et règles que vous autorisez pour un test.
- Résultats d'analyse : vulnérabilités détectées et preuves techniques associées.
- Données techniques du site : journaux et témoins strictement nécessaires.
Nous ne recherchons pas de renseignements sensibles (NAS, dossiers médicaux ou financiers détaillés) et vous demandons de ne pas nous en transmettre.
Finalités
Nous utilisons vos renseignements uniquement pour des finalités précises : créer et gérer votre accès, exécuter l'engagement convenu, produire votre rapport, assurer la facturation, sécuriser nos services et respecter nos obligations légales. Nous ne vendons jamais vos renseignements.
Consentement
Nous recueillons un consentement manifeste, libre et éclairé, distinct pour chaque finalité. Vous pouvez le retirer en tout temps ; nous cessons alors le traitement concerné, sous réserve de nos obligations légales.
Souveraineté et données d'engagement
Nos engagements s'exécutent dans un environnement autorisé, sans accès à vos systèmes de production. Votre code source et vos données de production ne sont ni copiés ni transférés vers un fournisseur externe.
Les renseignements rencontrés pendant un test sont traités comme strictement confidentiels, anonymisés lorsque possible, et détruits à la fin de l'engagement.
Partage et fournisseurs tiers
Nous ne vendons pas vos renseignements. Nous faisons appel à des fournisseurs de confiance, liés par des ententes écrites imposant confidentialité et sécurité :
- OVHcloud — hébergement et infrastructure, données au Québec (Beauharnois).
- RunPod — puissance de calcul (GPU) pour les analyses.
- Resend — envoi des courriels transactionnels (rapports).
Aucune autre communication sans votre consentement, sauf obligation légale.
Communication à l'extérieur du Québec
Lorsque des renseignements sont susceptibles d'être traités hors du Québec, nous procédons au préalable à une évaluation des facteurs relatifs à la vie privée et concluons une entente écrite garantissant une protection adéquate. Nous privilégions un hébergement des données au Québec.
Conservation et destruction
Nous conservons les renseignements le temps nécessaire aux finalités décrites, puis les détruisons ou les anonymisons de façon sécurisée. Les données rencontrées durant un engagement sont détruites à sa clôture. Les données de facturation sont conservées selon les obligations légales (généralement 7 ans). Le registre des incidents est conservé au moins 5 ans.
Témoins (cookies)
Notre site utilise des témoins strictement nécessaires à son fonctionnement. Conformément à la Loi 25, les témoins non essentiels ne sont pas activés par défaut : ils ne le sont qu'avec votre consentement. Nous n'utilisons pas de technologies de profilage, de localisation ou d'identification sans vous en informer préalablement.
Décisions automatisées
Si une décision vous concernant devait être fondée exclusivement sur un traitement automatisé, nous vous en informerions et vous auriez le droit de connaître les renseignements et les principaux facteurs utilisés, et de présenter vos observations à une personne pouvant réviser la décision.
Sécurité
Nous appliquons des mesures administratives, physiques et technologiques proportionnées à la sensibilité des renseignements : chiffrement des appareils et des identifiants, authentification multifacteur, contrôle d'accès au moindre privilège, sauvegardes, application diligente des correctifs et surveillance. Aucun système n'étant infaillible, nous maintenons un plan d'intervention en cas d'incident.
Vos droits
En vertu de la Loi 25, vous avez le droit de :
- Accès et rectification de vos renseignements.
- Retrait du consentement en tout temps.
- Portabilité de vos renseignements informatisés (format structuré, depuis le 22 septembre 2024).
- Désindexation (droit à l'oubli) dans les cas prévus par la loi.
Pour exercer un droit, écrivez à confidentialite@securitywraith.com. Nous répondons dans les 30 jours.
Incidents de confidentialité
Nous tenons un registre de tous les incidents de confidentialité. Lorsqu'un incident présente un risque de préjudice sérieux, nous avisons avec diligence la Commission d'accès à l'information du Québec et les personnes concernées, et prenons les mesures pour diminuer le risque et éviter la récurrence.
Gouvernance
Nous avons établi des politiques et pratiques internes encadrant la gouvernance des renseignements personnels : rôles et responsabilités tout au long du cycle de vie, modalités de conservation et de destruction, et traitement des plaintes. Un résumé est disponible sur demande auprès du responsable.
Plaintes
Si vous estimez que nous n'avons pas respecté vos droits, écrivez à notre responsable (section Responsable). Vous pouvez aussi communiquer avec la Commission d'accès à l'information du Québec (cai.gouv.qc.ca).
Modifications
Nous pouvons modifier cette politique pour refléter l'évolution de nos pratiques ou de la loi. La version à jour est toujours publiée ici avec sa date. En cas de changement important, nous prendrons des moyens raisonnables pour vous en informer.