Politique de Confidentialité

1. Identification du Responsable de la Protection des Renseignements Personnels

Conformément à l'article 3.2 de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25), la personne assumant la plus haute autorité et la responsabilité légale de la protection des renseignements personnels est :

• Responsable légal : William Guindon
• Statut : Auteur et déposant de la communication citoyenne SEM-26-003 (Commission de Coopération Environnementale / ACEUM)
• Localisation : Blainville, Province de Québec, Canada
• Portail web : https://williamguindon.me/
• Canal de contact direct sécurisé : Accessible via le bouton cryptographique en bas de page ou par la Messagerie Sécurisée Client-Side Nostr.

2. Principes Fondamentaux de Traitement et Zéro Profilage

Le site applique les principes cardinaux de Privacy by Design (protection dès la conception) et de Privacy by Default (protection par défaut) :

• Minimisation absolue : Aucune donnée personnelle n'est recueillie sans une finalité explicite, légitime et proportionnée.
• Absence de commercialisation : Les renseignements personnels ne sont jamais vendus, loués, échangés, monétisés ou cédés à des tiers à des fins publicitaires ou commerciales.
• Absence de prise de décision automatisée : Aucun système de profilage, de décision automatisée discriminatoire ou d'évaluation comportementale n'est mis en œuvre sur ce site.

3. Données Recueillies et Modalités de Traitement

3.1. Navigation générale et politique stricte d'absence de témoins publicitaires (Zero-Cookie Policy)

Le site n'installe aucun témoin de connexion (cookie) publicitaire, aucun traceur intersite, aucun pixel invisible et aucun script de reciblage commercial.

• Préférences locales d'affichage : Le choix du mode d'affichage (thème sombre ou clair) est mémorisé exclusivement dans la mémoire locale de votre propre navigateur web (localStorage). Cette information purement technique est conservée sur votre appareil, n'est associée à aucune identité nominative et n'est jamais transmise à nos serveurs.
• Mesure d'audience respectueuse de la vie privée (Umami Analytics) : Le site utilise la solution d'analyse statistique open-source Umami Analytics. Contrairement aux outils d'analyse invasifs, Umami fonctionne sans aucun témoin de connexion (cookieless), ne recueille aucune donnée permettant d'identifier un individu (PII), anonymise totalement les adresses IP par hachage cryptographique journalier avec sel, et ne suit aucun utilisateur d'un site à un autre. Ce mécanisme est rigoureusement conforme aux directives de la CNIL, de la Loi 25 et du RGPD et ne nécessite aucun consentement intrusif par bannière.

3.2. Correspondance volontaire et formulaire de contact

Lorsque vous communiquez volontairement avec William Guindon (par courriel ou formulaire sécurisé), les données suivantes peuvent être traitées :

• Nom et prénom (tels que fournis) ;
• Adresse de courrier électronique ;
• Objet et contenu de votre message, signalement, demande d'entrevue ou communication civique.

Finalité exclusive : Répondre à votre correspondance, assurer le suivi civique, scientifique, médiatique ou documentaire en lien avec les dossiers d'intérêt public traités sur ce site.

4. Messagerie Sécurisée, Chiffrement Client-Side et Protection des Sources (Nostr / NIP-59 / NIP-44)

Dans le cadre de la protection des sources journalistiques, des lanceurs d'alerte et des citoyens engagés, le site intègre un module de communication de pointe basé sur le protocole décentralisé Nostr (Messagerie Sécurisée) régi par les garanties techniques suivantes :

• Architecture Zéro-Connaissance (Zero-Knowledge Architecture) : L'intégralité des opérations cryptographiques s'exécute exclusivement côté client (dans la mémoire vive RAM de votre navigateur) via l'API standardisée Web Crypto API. Aucune clé privée, aucun message en clair et aucune clé de déchiffrement ne transitent ni ne sont hébergés sur les serveurs de williamguindon.me.
• Triple Enveloppe Cryptographique (NIP-59 Gift Wrap & NIP-17) : Le message initial (*Rumor*, kind 14) est chiffré et scellé (*Seal*, kind 13), puis inséré dans un emballage jetable (*Gift Wrap*, kind 1059) signé par une clé éphémère aléatoire unique. Les relais réseau décentralisés ne peuvent techniquement connaître ni l'identité de l'expéditeur, ni celle du destinataire, ni l'horodatage réel de transmission.
• Chiffrement NIP-44 v2 et protection contre l'analyse de trafic : Le chiffrement associe ECDH sur courbe secp256k1, HKDF-SHA256, AES-GCM 256 bits et un algorithme de remplissage par paliers (*padding* géométrique), empêchant tout espionnage par analyse de la taille des paquets réseau.
• Fichiers et pièces jointes chiffrés : Tout document ou photographie joint est chiffré localement en mémoire vive en AES-GCM 256 bits avant diffusion. La clé symétrique de déchiffrement est scellée à l'intérieur de l'enveloppe chiffrée NIP-59.
• Éphémérité et purge irréversible (NIP-40) : L'utilisateur peut assigner une durée d'auto-destruction programmable à son message, ordonnant sa suppression définitive de l'ensemble des relais réseau.
• Droit à l'effacement immédiat sur l'appareil : Un bouton de purge complète (« Tout effacer de cet appareil ») permet à l'utilisateur de détruire instantanément ses clés locales en mémoire RAM, ses caches et toute trace de session.
• Absence totale d'obligation et décharge intégrale : L'envoi d'un message chiffré ne confère aucun mandat, n'établit aucune relation professionnelle ou légale, et n'engage en aucun cas William Guindon à répondre, publier, divulguer ou traiter les éléments transmis. L'expéditeur demeure l'unique responsable de ses transmissions et de la garde de ses clés privées.

5. Module d'Assistance Virtuelle IA (Cloudflare Workers & Groq)

Le site met à disposition un assistant conversationnel citoyen pour faciliter l'accès et la compréhension de la documentation environnementale publique (dossier CCE SEM-26-003). Le traitement est encadré selon les règles suivantes :

• Proxy sans serveur sécurisé (Cloudflare Workers) : Les requêtes formulées à l'assistant sont acheminées via une fonction sans serveur (Serverless Edge Worker) exécutée sur le réseau périphérique de Cloudflare. Ce proxy isole complètement la clé secrète d'inférence, filtre les requêtes et applique des garde-fous stricts sans jamais stocker le contenu sur un serveur persistant.
• Traitement transitoire et anonyme : Les questions posées et un extrait contextuel de la documentation publique sont transmis en temps réel par le Worker vers le moteur d'inférence Groq. Aucun compte utilisateur, cookie ou identifiant nominatif n'est exigé ou transmis.
• Absence de journalisation persistante : L'éditeur du site ne conserve aucun registre des conversations, aucun historique de clavardage ni aucun journal des prompts soumis à l'assistant.
• Non-utilisation pour l'entraînement : Les données de vos requêtes ne sont en aucun cas utilisées par l'éditeur pour entraîner ou affiner des modèles d'intelligence artificielle.
• Absence de conseil et décharge de responsabilité : Les réponses de l'IA sont générées de façon probabiliste et automatisée. Elles ne constituent en aucun cas une promesse, un avis d'expert ou une prise de position formelle de l'éditeur.
• Mise en garde : Il est formellement recommandé aux utilisateurs de ne saisir aucun renseignement personnel confidentiel ou sensible dans l'interface de clavardage IA.

6. Durée de Conservation des Renseignements Personnels

Les renseignements personnels sont conservés uniquement pendant la durée nécessaire à l'accomplissement des fins pour lesquelles ils ont été recueillis, conformément aux exigences légales :

• Correspondance courriel et demandes citoyennes : Conservées pour une durée maximale de 24 mois à compter du dernier échange pour assurer le suivi documentaire et les obligations légales, sauf demande expresse de suppression anticipée.
• Journaux techniques et adresses IP (Politique de non-conservation) : L'éditeur applique une politique stricte d'absence de journalisation nominative (No-Log). Aucune adresse IP brute n'est enregistrée de manière persistante, conservée ou corrélée à vos visites sur nos serveurs. Les métriques de routage ou de sécurité réseau éventuellement traitées en transit par les infrastructures d'hébergement ou de protection (CDN) le sont de manière strictement volatile en mémoire vive ou font l'objet d'une anonymisation immédiate et irréversible, sans stockage de données identifiantes.

7. Communication des Données, Sous-Traitants Tiers et Infrastructure Réseau

Vos renseignements personnels ne sont communiqués à aucun tiers, à l'exception stricte des prestataires techniques et d'infrastructure indispensables au fonctionnement sécurisé, résilient et performant du site web :

• Cloudflare, Inc. (Proxy inverse, CDN, Sécurité réseau & Workers) :
  Le domaine williamguindon.me est protégé et distribué via le réseau mondial de Cloudflare. À ce titre, Cloudflare agit comme mandataire inverse (Reverse Proxy) et réseau de diffusion de contenu (CDN) :
  • Sécurité et atténuation des attaques : Cloudflare analyse les requêtes HTTP/HTTPS entrantes de manière transitoire afin de bloquer les attaques par déni de service distribué (DDoS), les requêtes malveillantes et les robots automatisés illégitimes.
  • Traitement des adresses IP : Les adresses IP des visiteurs sont traitées en mémoire vive aux points de présence périphériques (edge) uniquement pour acheminer le trafic et assurer la sécurité du réseau conformément à l'intérêt légitime de sécurité (art. 6.1.f RGPD / Loi 25), sans profilage commercial ni croisement de données publicitaires.
  • Cloudflare Zero Trust (Access) : Les routes d'administration et de gestion de contenu privées sont sécurisées par une passerelle Zero Trust exigeant une authentification forte (OTP par courriel) réservée à l'administrateur. Aucun compte ni mot de passe n'est exigé des visiteurs publics du site.
  • Sécurité et conformité : Cloudflare est certifié ISO/IEC 27001, SOC 2 Type II et applique des standards de sécurité stricts conformes aux exigences de la Loi 25 et du RGPD.
• GitHub Pages / GitHub Inc. : Hébergement du code source et des fichiers statiques publics sous infrastructure certifiée SOC 1 / SOC 2.
• Obligation légale : William Guindon ne divulguera des renseignements personnels que si une ordonnance judiciaire valide, une loi applicable ou un tribunal compétent l'y contraint expressément, dans le respect des privilèges légaux et des protections accordées aux sources journalistiques et citoyennes.

8. Droits des Personnes Concernées (Loi 25, LPRPDE, RGPD)

En vertu de la législation applicable au Québec et des standards internationaux de protection des données, vous disposez des droits fondamentaux suivants :

• Droit d'accès : Droit de demander confirmation que des renseignements personnels vous concernant sont détenus et d'en obtenir une copie claire et intelligible.
• Droit de rectification : Droit d'exiger la correction de tout renseignement personnel inexact, incomplet ou équivoque.
• Droit à l'effacement (« droit à l'oubli ») : Droit d'exiger la suppression définitive de vos renseignements personnels lorsque leur conservation n'est plus justifiée par la loi.
• Droit au retrait du consentement : Droit de retirer à tout moment votre consentement au traitement de vos données pour l'avenir.
• Droit à la portabilité : Droit de recevoir vos renseignements personnels informatisés dans un format technologique structuré et couramment utilisé.

Modalités d'exercice de vos droits

Pour exercer l'un de ces droits, vous pouvez adresser une demande écrite au Responsable de la protection des renseignements personnels (William Guindon) à l'aide des coordonnées ci-dessous. Une réponse motivée vous sera fournie sans frais dans un délai maximal de trente (30) jours suivant la réception de votre demande, conformément à la Loi 25.

Si vous estimez que vos droits n'ont pas été respectés, vous avez le droit de vous adresser à l'autorité de contrôle compétente : la Commission d'accès à l'information du Québec (CAI) (www.cai.gouv.qc.ca) ou le Commissariat à la protection de la vie privée du Canada (CPVP).

9. Sécurité des Données et Mesures de Protection

Des mesures de sécurité physiques, organisationnelles et technologiques rigoureuses sont déployées pour préserver l'intégrité, la confidentialité et la disponibilité de vos données :

• Protocole de chiffrement TLS 1.3 / HTTPS obligatoire de bout en bout avec politique de préchargement HSTS (HTTP Strict Transport Security) renforcée ;
• Distribution via le réseau périphérique sécurisé Cloudflare avec pare-feu applicatif (WAF) et protection anti-DDoS active ;
• Politique de sécurité de contenu stricte (Content Security Policy - CSP) bloquant toute exécution de scripts ou ressources non autorisées ;
• Protection contre le détournement de clics (*clickjacking*) via en-têtes HTTP X-Frame-Options: DENY et frame-ancestors 'none' servis à la périphérie ;
• Cloisonnement des permissions matérielles (désactivation par défaut de la caméra, microphone, géolocalisation et périphériques USB via Permissions-Policy) ;
• Protection Zero Trust isolant hermétiquement les interfaces d'administration sans stockage local de mots de passe maîtres.

10. Protection des Enfants et Mineurs

Le site est une plateforme d'information civique et scientifique d'accès libre. Aucun renseignement personnel relatif à des enfants ou des personnes mineures n'est recueilli sciemment sans le consentement requis des titulaires de l'autorité parentale. Si vous constatez qu'un mineur a transmis des données personnelles sans autorisation, veuillez nous en aviser sans délai pour suppression immédiate.

11. Liens Externes

Le site propose des hyperliens vers des plateformes et registres officiels tiers (Commission de Coopération Environnementale, ministères, médias, bibliothèques scientifiques). L'éditeur n'exerce aucun contrôle sur les politiques de confidentialité de ces sites tiers et décline toute responsabilité quant à leurs pratiques respectives.

12. Modification de la Politique

La présente Politique de confidentialité peut être modifiée périodiquement pour refléter les évolutions légales, jurisprudentielles ou technologiques. Toute modification entrera en vigueur dès sa publication en ligne avec mise à jour de la date de révision.

13. Contactez le Responsable de la Protection des Données

Pour toute question, demande de clarification ou exercice de vos droits légaux :