Politique de confidentialité et de gouvernance des renseignements personnels de Kiffcom.com

Cadre juridique et champ d'application

La présente politique de confidentialité établit le cadre de gouvernance, de collecte, d'utilisation, de communication, de conservation et de destruction des renseignements personnels appliqué par la société Kiffcom, agence spécialisée en transformation numérique, marketing digital, développement Web, ingénierie d'applications, télémarketing et gestion de bases de données CRM, établie à Montréal, Québec. En tant qu'entreprise privée exerçant ses activités à partir du territoire québécois, Kiffcom est assujettie aux dispositions de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), telle que modifiée substantiellement par la Loi 25.

Cette politique vise à informer de façon claire, précise et transparente l'ensemble des visiteurs du site Web kiffcom.com, des clients, des partenaires commerciaux et des prospects sur la manière dont leurs renseignements personnels sont traités tout au long de leur cycle de vie. Le champ d'application s'étend à l'ensemble des données recueillies par des moyens technologiques ou lors d'interactions professionnelles directes, incluant les campagnes d'automatisation marketing, la génération de pistes de prospection B2B et B2C, la sous-traitance de ressources virtuelles et le déploiement de solutions logicielles.

Gouvernance et Responsable de la protection des renseignements personnels

La responsabilité de veiller à la protection des renseignements personnels et au respect du cadre législatif incombe de plein droit à la personne occupant la plus haute autorité au sein de Kiffcom. Cette fonction s'incarne dans le rôle du Responsable de la protection des renseignements personnels (RPRP), qui supervise la mise en œuvre des politiques de gouvernance, la réalisation des évaluations des facteurs relatifs à la vie privée, la tenue du registre des incidents de confidentialité et le traitement des demandes d'exercice des droits individuels.

Afin d'assurer une accessibilité directe et sans entrave aux personnes concernées, les coordonnées du Responsable de la protection des renseignements personnels sont rendues publiques. Toute communication formelle, demande d'accès, de rectification ou plainte relative à la vie privée doit être acheminée à l'adresse officielle du RPRP, située au siège social de l'entreprise à Montréal, Québec, ou par voie électronique à l'adresse [email protected].

Inventaire des renseignements personnels et finalités du traitement

Kiffcom applique rigoureusement le principe de proportionnalité et de nécessité, en vertu duquel la collecte de renseignements personnels se limite strictement aux données indispensables à la réalisation des finalités d'affaires légitimes préalablement définies. En cas de doute sur la pertinence d'une information, celle-ci est réputée non nécessaire et n'est pas recueillie. Les renseignements générés ou inférés à l'aide de systèmes d'intelligence artificielle ou d'outils analytiques sont également traités comme des renseignements personnels assujettis aux mêmes exigences de protection.

Kiffcom ne sollicite ni ne conserve aucun renseignement personnel qualifié de sensible au sens de la Loi 25, à savoir des données médicales, biométriques ou touchant à l'intimité de la personne. Dans l'hypothèse exceptionnelle où la prestation d'un service spécifique exigerait le traitement de telles données, un consentement exprès, écrit et distinct serait obligatoirement recueilli avant toute opération.

Confidentialité par défaut et principes d'obtention du consentement

L'infrastructure technologique et les processus d'affaires de Kiffcom intègrent le principe de la « confidentialité par défaut » (Privacy by Default). Cette règle impose que toutes les options relatives à la collecte de données non essentielles, au profilage ou au suivi publicitaire soient désactivées au niveau de protection le plus élevé dès le premier accès de l'utilisateur. Aucun mécanisme de précochage automatique ou de consentement tacite n'est employé sur les plateformes exploitées par la société.

Pour être pleinement valide, le consentement de la personne concernée est obtenu de manière explicite et doit répondre en tout temps aux quatre exigences fondamentales prescrites par la loi du Québec :

Le consentement doit être manifeste, ce qui signifie qu'il se traduit par une action affirmative claire et délibérée de la personne. Il doit demeurer libre, exempt de toute forme d'influence préjudiciable, de pression ou de conditionnement restrictif à la fourniture d'un service ou d'un bien de base. Le consentement doit également être éclairé, reposant sur une information limpide exposant les fins précises du traitement. Enfin, il doit être spécifique, signifiant qu'une autorisation distincte est sollicitée pour chaque finalité déterminée.

Toute personne physique conserve la faculté de retirer son consentement à l'utilisation ou à la communication de ses renseignements personnels à tout moment. Ce retrait s'effectue sans frais, soit en cliquant sur les liens de désinscription automatisés présents dans les envois électroniques, soit en transmettant une directive formelle au Responsable de la protection des renseignements personnels. Le retrait du consentement met fin au traitement des données visées, sous réserve des obligations légales de rétention applicables à l'entreprise.

Traitement sous-traité, communication à des tiers et transferts transfrontaliers

Dans le cadre de l'exécution de ses activités de transformation numérique, de marketing d'automation et de gestion de données, Kiffcom collabore avec des prestataires technologiques spécialisés et des éditeurs de logiciels réputés, notamment des fournisseurs de systèmes CRM et des infrastructures d'hébergement en nuage.

Chaque communication de renseignements personnels à un sous-traitant fait l'objet d'un encadrement contractuel strict. Le contrat impose au sous-traitant d'assurer des mesures de sécurité équivalentes à celles exigées par le cadre légal québécois, d'utiliser les renseignements exclusivement pour la réalisation des prestations confiées, de faire signer des engagements de confidentialité à l'ensemble de son personnel, et de signaler immédiatement au RPRP de Kiffcom tout incident de confidentialité suspecté ou avéré.

Lorsque le traitement implique l'hébergement ou la circulation de renseignements personnels à l'extérieur du Québec, Kiffcom réalise obligatoirement une Évaluation des facteurs relatifs à la vie privée (EFVP). Cette analyse permet d'évaluer la sensibilité des données, les risques de préjudice, la législation applicable dans le territoire d'accueil ainsi que les garanties palliatives déployées par le prestataire. Le transfert n'est autorisé que si l'évaluation démontre que les données bénéficieront d'un niveau de protection adéquat et proportionné aux normes québécoises.

Kiffcom s'interdit formellement la vente, la louage ou l'échange commercial de renseignements personnels auprès de tiers. Les données ne peuvent être communiquées sans consentement que dans les cas d'exception expressément prévus par la loi, notamment lors de vérifications nécessaires à la conclusion d'une transaction commerciale d'entreprise ou en réponse à une ordonnance judiciaire dûment émise.

Cycles de conservation, destruction sécurisée et anonymisation

Kiffcom conserve les renseignements personnels uniquement pendant la durée nécessaire à l'accomplissement des finalités pour lesquelles ils ont été recueillis, ou conformément aux délais de conservation minimaux prévus par la législation fiscale et commerciale applicable.

Dès que la finalité d'un dossier est accomplie et que les échéances légales sont purgées, Kiffcom procède à la destruction sécurisée des données ou, dans des cas très spécifiques, à leur anonymisation. La destruction s'effectue par des procédés techniques garantissant l'effacement irréversible des fichiers numériques sur les serveurs locaux et les environnements de sauvegarde. Pour les documents sur support papier, la destruction est réalisée par broyage sécurisé.

Conformément aux orientations édictées par la Commission d'accès à l'information du Québec, un renseignement est considéré comme anonymisé lorsqu'il est raisonnable de prévoir en tout temps qu'il ne permet plus, de manière irréversible, d'identifier directement ou indirectement la personne concernée. Compte tenu des défis techniques complexes associés au maintien du caractère irréversible de l'anonymisation, Kiffcom privilégie de façon systématique la destruction définitive des données. La dépersonnalisation — qui consiste à retirer l'identification directe d'un renseignement sans en éliminer l'identification indirecte — demeure assujettie au plein régime de protection de la loi. Toute tentative de réidentification de données anonymisées ou dépersonnalisées est strictement prohibée au sein de l'organisation.

Droits des personnes concernées et modalités d'exercice

Toute personne physique dont les renseignements personnels sont détenus ou traités par Kiffcom bénéficie de prérogatives légales claires lui permettant de conserver la maîtrise de ses informations. Ces droits s'exercent sur demande écrite transmise au Responsable de la protection des renseignements personnels.

Le Responsable de la protection des renseignements personnels traite toute demande dans un délai légal maximal de 30 jours civils suivant la date de réception. L'exercice de ces droits est gratuit, à moins que la demande ne présente un caractère manifestement abusif en raison de son volume ou de sa répétitivité, auquel cas des frais raisonnables couvrant la transcription ou la reproduction peuvent être exigés. En cas de décision défavorable ou d'insatisfaction quant aux motifs de réponse fournis par Kiffcom, la personne concernée dispose du droit de former une demande d'examen de mésentente auprès de la Commission d'accès à l'information du Québec.

Mesures de sécurité et gestion des incidents de confidentialité

Kiffcom déploie un ensemble de mesures de sécurité physiques, organisationnelles et informatiques afin d'assurer la protection continue des renseignements personnels contre la perte, le vol, la consultation non autorisée, la communication illicite ou toute altération physique ou logique.

Sur le plan technique, la protection des données s'appuie sur le chiffrement systématique des communications via des protocoles sécurisés, le chiffrement des supports de stockage et des appareils mobiles d'entreprise, l'utilisation de pare-feu réseau, le contrôle strict des accès par authentification multifacteur et la dépersonnalisation préalable des données lors des traitements de test logicielles. Sur le plan organisationnel, le personnel est soumis à des engagements de confidentialité formels, formé aux bonnes pratiques de cybersécurité et encadré par des règles claires de gestion des accès.

Conformément aux exigences légales, Kiffcom tient un registre officiel de tous les incidents de confidentialité. Un incident s'entend de tout accès, utilisation ou communication non autorisé par la loi, ainsi que de la perte d'un renseignement personnel ou de toute atteinte à sa sécurité.

Lorsqu'un incident de confidentialité est constaté, le Responsable de la protection des renseignements personnels applique une procédure d'intervention immédiate. L'organisation procède en premier lieu à la caractérisation de l'événement et au confinement immédiat de la brèche afin de limiter la portée de l'atteinte. Le RPRP procède ensuite à une évaluation approfondie du risque de préjudice pour les personnes visées, en analysant la sensibilité des renseignements impliqués, les conséquences prévisibles de leur exploitation malveillante et la probabilité qu'ils soient utilisés à des fins nuisibles.

Si l'évaluation conclut que l'incident présente un risque de préjudice sérieux, Kiffcom avise sans délai la Commission d'accès à l'information du Québec ainsi que l'ensemble des personnes physiques touchées. L'avis transmis aux individus décrit les faits, la nature des données compromises, les démarches préconisées pour prévenir un dommage potentiel et le point de contact au sein de l'entreprise. Chaque événement, qu'il présente ou non un risque de préjudice sérieux, est documenté dans le registre interne conservé à la disposition des autorités de contrôle.

Prise de décision automatisée, profilage et témoins de navigation

Kiffcom recourt à des outils technologiques et à des plateformes automatisées pour la gestion de ses opérations marketing, l'analyse d'audience Web et l'optimisation des parcours d'interaction commerciale.

Lorsqu'une décision produisant des effets juridiques ou ayant un impact significatif sur un individu est prise sur la base exclusive d'un traitement automatisé de ses renseignements personnels, Kiffcom informe la personne concernée au moment même où la décision lui est communiquée. La personne touchée peut exiger de connaître les renseignements précis ayant servi au traitement, les motifs de la décision, ainsi que la révision du dossier par un représentant humain qualifié.

Le site Web kiffcom.com génère des témoins de navigation (cookies) temporaires nécessaires au bon fonctionnement technique de l'interface. Ces fichiers sont détruits à la fin de la session de navigation. Aucune donnée relative aux adresses IP des visiteurs n'est conservée de manière permanente à des fins de traçage individuel. L'activation de fonctionnalités d'analyse poussée ou de suivi partagé avec des plateformes tierces est soumise à l'accord exprès de l'utilisateur, conformément aux paramètres de confidentialité gérés par le centre de préférences.

Révision de la politique et transparence continue

Afin d'assurer une adéquation permanente avec les évolutions technologiques, les pratiques d'affaires de l'agence et le cadre juridique du Québec, la présente politique de confidentialité fait l'objet d'un réexamen annuel par le Responsable de la protection des renseignements personnels.

Toute modification apportée aux règles de collecte, d'utilisation ou de conservation fait l'objet d'un avis d'information affiché clairement sur le site Web kiffcom.com ou communiqué directement aux personnes inscrites dans les bases de données de l'entreprise. La version publiée en ligne constitue la version officielle en vigueur et comporte l'indication précise de la date de sa dernière révision.

Dernière mise à jour : juillet 2026