Politique de protection des renseignements personnels
Solution Paie Infini Inc.
Date d’entrée en vigueur : 16 octobre 2026
Version : 1.2 (remplace la version 1.0 du 2 mai 2026)
Statut : Approuvée par le responsable de la protection des renseignements personnels le 16 octobre 2026
1. À propos de ce document
Solution Paie Infini Inc. (« SPI », « nous », « notre ») accorde une importance fondamentale à la protection de votre vie privée et de vos renseignements personnels. La présente Politique vous explique :
- Quels renseignements personnels nous collectons et pourquoi
- Comment nous les utilisons, partageons et protégeons
- Quels sont vos droits en vertu de la Loi 25 (Loi modernisant les dispositions législatives en matière de protection des renseignements personnels du Québec, en vigueur depuis le 22 septembre 2022) et de la LPRPDE fédérale
- Comment nous joindre pour exercer vos droits
Cette Politique s’applique à tous les renseignements personnels que SPI recueille via ses sites web (spiheros.com, gardien.spiheros.com), ses formulaires de diagnostic (Zoho Forms), ses outils de prise de rendez-vous (Calendly, Zoho Bookings), ses services de paie offerts à ses clients, et toute communication directe.
2. Identification du responsable
Solution Paie Infini Inc.
Province : Québec, Canada
Site web principal : spiheros.com
Courriel général : info@infinitypay.ca
Responsable de la protection des renseignements personnels (RPRP)
Conformément à l’article 3.1 de la Loi 25, SPI a désigné un Responsable de la protection des renseignements personnels :
- Nom : Jacky Borange, Président-Fondateur, Solution Paie Infini Inc.
- Courriel : info@infinitypay.ca (avec mention « VIE PRIVÉE » ou « LOI 25 » dans l’objet)
- Délai de réponse engagé : 30 jours maximum (délai légal Loi 25)
Pour toute demande relative à vos renseignements personnels (accès, rectification, suppression, retrait de consentement, plainte), veuillez communiquer avec le RPRP par écrit à l’adresse ci-dessus.
3. Renseignements personnels que nous collectons
3.1 Lors d’une prise de rendez-vous (Audit Paie Gratuit, etc.)
Via Calendly, Zoho Bookings et formulaires associés :
- Nom complet
- Adresse courriel
- Numéro de téléphone
- Nom de l’entreprise
- Nombre d’employés (fourchette)
- Secteur d’activité
- Logiciel de paie actuellement utilisé
- Description de votre situation paie (champ libre, optionnel)
3.2 Lors d’un diagnostic en ligne sur nos pages (Zoho Forms)
Les formulaires de diagnostic de nos pages spiheros.com recueillent :
- Vos réponses aux questions du diagnostic et le résultat calculé
- Si vous demandez un suivi : nom, nom de l’entreprise, adresse courriel professionnelle
- Comment vous avez trouvé la page (choix dans une liste)
- La page et la campagne d’où vous venez (paramètres de l’adresse de la page, par exemple utm_campaign)
- Vos choix de consentement (Loi 25 et, de façon facultative, communications LCAP)
Ces renseignements sont transmis directement de Zoho Forms à notre CRM (Zoho CRM).
3.3 Lors d’une relation client (services de paie SPI)
Pour les clients ayant souscrit aux services SPI :
- Coordonnées de l’entreprise et des dirigeants/contacts désignés
- Coordonnées bancaires (pour facturation)
- Données de paie de vos employés (nom, NAS, salaire, heures, retenues, primes) — dans le strict cadre de la prestation du service
- Documentation conformité (contrats, certificats CCQ, déclarations CNESST)
3.4 Lors de la navigation sur nos sites web
- Adresse IP (anonymisée après 30 jours)
- Type de navigateur, système d’exploitation
- Pages visitées, durée de visite
- Cookies essentiels au fonctionnement (session, préférences langue)
Nous n’utilisons pas de cookies publicitaires tiers, de pixels de suivi Facebook/Google sans consentement explicite, ni de profilage automatique sans information préalable.
4. Finalités de la collecte (pourquoi nous collectons)
Conformément à l’article 8 de la Loi 25, voici les finalités précises pour lesquelles SPI collecte vos renseignements :
| Finalité | Renseignements concernés | Base légale |
|---|---|---|
| Répondre à votre demande d’audit paie, de diagnostic ou de consultation | Coordonnées + contexte entreprise | Consentement explicite (formulaire) |
| Communiquer avec vous concernant nos services | Coordonnées + entreprise | Consentement explicite |
| Fournir les services de paie souscrits | Données employés client | Contrat de service signé |
| Respecter nos obligations légales et fiscales | Données paie + entreprise | Obligation légale (LIR, RPC, AE, RRQ, CNESST) |
| Améliorer nos services et notre site web | Données navigation anonymisées | Intérêt légitime |
| Vous envoyer occasionnellement nos communications (au plus une fois par mois) | Coordonnées | Consentement explicite (case à cocher LCAP) |
Aucune utilisation secondaire sans consentement supplémentaire de votre part.
5. Durée de conservation
Conformément à l’article 23 de la Loi 25, nous ne conservons vos renseignements que pour la durée nécessaire aux finalités déclarées :
| Type de renseignement | Durée de conservation | Justification |
|---|---|---|
| Demandes audit/consultation non converties | 12 mois | Délai raisonnable pour reprise de contact |
| Coordonnées clients actifs | Durée du contrat + 7 ans après fin | Obligations fiscales et légales (Revenu Québec, ARC) |
| Données de paie employés (clients) | 7 ans après émission | Loi sur les normes du travail + LIR fédérale |
| Données navigation web (IP) | 30 jours (puis anonymisation irréversible) | Sécurité et analytique |
| Communications marketing (consentement LCAP) | Jusqu’à retrait du consentement | Conformité LCAP |
5.1 Procédé de destruction
À l’expiration de ces délais, vos renseignements sont détruits selon le procédé suivant, ou anonymisés de façon irréversible :
| Support | Procédé de destruction |
|---|---|
| Fichiers sur poste de travail | Suppression, puis vidage de la corbeille. Sur les volumes chiffrés, la destruction de la clé rend les données illisibles |
| Documents dans un service infonuagique (Drive, Zoho) | Suppression, puis vidage de la corbeille du service, selon le délai de purge du fournisseur |
| Journaux techniques | Rotation à 12 mois ; seul un résumé chiffré (nombre d’événements, période) est conservé, sans nom |
| Documents papier | Déchiquetage |
| Sauvegardes | Les renseignements détruits disparaissent des sauvegardes au terme de leur cycle de rotation ; une destruction n’est donc pas instantanée sur tous les supports |
Une anonymisation est irréversible : les identifiants directs sont retirés et aucune clé permettant de retrouver la personne n’est conservée.
6. Destinataires et sous-traitants (transferts à des tiers)
Conformément à l’article 18.3 de la Loi 25, SPI peut transférer vos renseignements aux destinataires suivants pour les besoins des finalités déclarées :
6.1 Sous-traitants technologiques
| Destinataire | Service rendu | Localisation données | Encadrement contractuel |
|---|---|---|---|
| Zoho Corporation (Zoho CRM, Forms, Bookings, Social, Projects) | CRM, formulaires de diagnostic des pages spiheros.com, planification de rendez-vous | Centres de données au Canada (zohocloud.ca) | Entente de traitement des données de Zoho |
| Make.com (Celonis) | Automatisation des flux de travail (par exemple, inscription d’un rendez-vous dans notre CRM) | États-Unis (zone us2.make.com) | Entente de traitement des données de Make |
| Calendly LLC | Prise de rendez-vous en ligne | États-Unis | Entente de traitement des données de Calendly |
| Anthropic PBC (Claude API) | Classification des messages, génération de brouillons | États-Unis | Entente de traitement des données d’Anthropic ; aucune utilisation des données pour l’entraînement |
| Google Workspace (Gmail, Calendar, Drive) | Communications + documents internes | Centres de données mondiaux (Google) | Entente de traitement des données de Google |
| Intuit Inc. (QuickBooks) | Comptabilité interne | Canada (Intuit Canada) + États-Unis | Entente de traitement des données d’Intuit |
| Apollo.io | Recherche de prospects B2B (données publiques uniquement) | États-Unis | Entente de traitement des données d’Apollo ; données publiques B2B uniquement |
Certains de ces fournisseurs conservent ou traitent vos renseignements à l’extérieur du Québec, notamment aux États-Unis. Avant toute communication hors Québec, l’article 17 de la Loi 25 exige une évaluation des facteurs relatifs à la vie privée et une entente écrite. Cette évaluation est en cours ; son état réel est décrit à la section 6.2.
6.2 Évaluation des facteurs relatifs à la vie privée (EFVP)
État au 16 octobre 2026 :
- Article 3.3 (projet de système d’information) : une évaluation a été réalisée le 2 septembre 2026 pour le traitement des dossiers par des outils d’intelligence artificielle.
- Article 17 (communication de renseignements hors Québec) : l’évaluation des transferts listés en 6.1 est en cours.
- Article 17, 2e alinéa (entente écrite) : des ententes de traitement des données existent avec les fournisseurs principaux ; leur vérification une par une est en cours.
Mesures de protection en place :
- Cloisonnement technique par client : l’accès d’un dossier client à un autre est refusé automatiquement
- Aucune donnée sensible d’employé (NAS, salaire, coordonnées bancaires) transmise à un modèle de langage à des fins d’entraînement
- Aucun envoi vers l’extérieur par un outil automatisé qui traite des dossiers de paie
- Journaux internes sans contenu : ils notent qu’un accès a eu lieu, jamais ce qu’il contenait
- Accès limité au besoin de savoir
Une copie des évaluations réalisées est disponible sur demande au RPRP.
6.3 Autorités gouvernementales
Nous pouvons être tenus de divulguer vos renseignements à des autorités compétentes (Revenu Québec, ARC, CNESST, autorités policières avec mandat) lorsque la loi l’exige. Vous serez informé de toute demande sauf interdiction légale.
7. Décisions automatisées
Conformément à l’article 12.1 de la Loi 25, nous vous informons que :
- Nous utilisons des outils d’intelligence artificielle (Claude API d’Anthropic) pour classifier automatiquement les messages reçus en 4 catégories (demande de tarif, question technique, hors-cible, autre) afin d’orienter la réponse appropriée.
- Cette classification est consultative : un humain valide systématiquement avant tout engagement contractuel ou décision affectant vos droits.
- Aucune décision affectant vos droits (acceptation de service, tarification, refus) n’est prise de manière entièrement automatisée par SPI.
Vous avez le droit, en tout temps, de demander :
- Les renseignements utilisés pour la classification
- Une révision humaine de toute classification automatisée vous concernant
- L’opposition au traitement automatisé
Pour exercer ces droits : contactez le RPRP (section 2).
8. Vos droits en vertu de la Loi 25
Vous disposez des droits suivants concernant vos renseignements personnels :
8.1 Droit d’accès (article 27)
Obtenir une copie des renseignements que SPI détient à votre sujet.
8.2 Droit de rectification (article 28)
Demander la correction de renseignements inexacts, incomplets ou équivoques.
8.3 Droit au retrait du consentement (article 14)
Retirer votre consentement à tout moment. Le retrait n’affecte pas la légalité des traitements antérieurs.
8.4 Droit à la portabilité (article 27, en vigueur depuis le 22 septembre 2024)
Recevoir vos renseignements dans un format technologique structuré et couramment utilisé, ou demander leur transmission à un tiers de votre choix.
8.5 Droit à la suppression / désindexation (article 28.1)
Demander la cessation de la diffusion de vos renseignements personnels ou la désindexation de tout hyperlien rattaché à votre nom, sous certaines conditions.
8.6 Droit à l’information sur les transferts hors Québec
Connaître les destinataires hors Québec de vos renseignements.
8.7 Droit de porter plainte
Si SPI ne traite pas votre demande à votre satisfaction, vous pouvez porter plainte auprès de :
Commission d’accès à l’information du Québec (CAI)
- Site : cai.gouv.qc.ca
- Téléphone : 418 528-7741 ou 1 888 528-7741
- Courriel : cai.communications@cai.gouv.qc.ca
Délai de réponse SPI
SPI s’engage à répondre à toute demande dans un délai de 30 jours suivant sa réception (délai légal Loi 25).
9. Mesures de sécurité
SPI met en place des mesures de sécurité raisonnables pour protéger vos renseignements personnels contre l’accès non autorisé, la divulgation, l’altération ou la destruction :
- Chiffrement des données en transit (TLS 1.3) et au repos (sous-traitants conformes)
- Contrôle d’accès strict basé sur le besoin-de-savoir
- Authentification forte (mots de passe complexes + MFA recommandé) pour tous les comptes administratifs
- Sauvegardes régulières et chiffrées
- Formation annuelle du personnel sur la protection des renseignements personnels
- Évaluation annuelle des sous-traitants
Notification d’incident
En cas d’incident de confidentialité présentant un risque sérieux (Loi 25 art. 3.5-3.8), SPI s’engage à :
- Notifier la Commission d’accès à l’information du Québec
- Notifier les personnes concernées
- Tenir un registre des incidents conformément à l’article 3.8 (registre tenu par le RPRP)
9 bis. Rôles et responsabilités du personnel
Principe : personne n’accède à un renseignement personnel dont il n’a pas besoin pour la tâche en cours. Cette limite est appliquée techniquement partout où c’est possible.
| Étape | Qui en répond | Ce que cela implique |
|---|---|---|
| Collecte | Le RPRP | Aucune collecte sans finalité déclarée ; les formulaires ne demandent que le nécessaire |
| Utilisation | Le personnel affecté au mandat, et lui seul | Un dossier client se traite séparément ; le croisement entre deux dossiers clients est refusé automatiquement |
| Communication | Le RPRP | Aucun envoi vers l’extérieur sans son autorisation explicite |
| Conservation et destruction | Le RPRP | Durées de la section 5 et procédé de la section 5.1 |
| Incident | Toute personne qui le constate, puis le RPRP | Signalement immédiat au RPRP, même en cas de doute ; le RPRP évalue le risque et décide d’une déclaration |
| Contrôles | Le responsable technique, sous l’autorité du RPRP | Contrôles automatisés réguliers |
Formation : toute personne qui rejoint SPI est formée à la protection des renseignements personnels dès son arrivée ; son engagement de confidentialité est inscrit à son contrat.
Outils d’intelligence artificielle : les outils automatisés utilisés par SPI suivent les mêmes règles que le personnel (cloisonnement par client, aucun envoi vers l’extérieur, accès journalisés).
10. Cookies et technologies similaires
Notre site web utilise les cookies suivants :
| Type | Finalité | Durée | Consentement requis ? |
|---|---|---|---|
| Cookies essentiels (session) | Fonctionnement du site | Session | Non (exemption Loi 25) |
| Cookies de préférences (langue) | Mémoriser votre langue | 30 jours | Non (exemption) |
| Cookies analytiques (Google Analytics et Google Tag Manager) | Statistiques de fréquentation | Variable selon le témoin | Oui : chargés seulement après votre accord (bandeau) |
Aucun cookie publicitaire tiers n’est déployé sans votre consentement explicite.
Vous pouvez configurer votre navigateur pour bloquer ou supprimer les cookies. Notez que cela peut affecter le fonctionnement de certaines fonctionnalités du site.
11. Modifications de cette politique
SPI se réserve le droit de modifier la présente Politique pour refléter l’évolution de ses pratiques, des technologies utilisées ou de la législation applicable.
- Modifications mineures (corrections, clarifications) : prennent effet immédiatement
- Modifications substantielles (nouvelles finalités, nouveaux destinataires) : notification préalable par courriel aux personnes concernées + délai de 30 jours avant entrée en vigueur
La date de la dernière mise à jour figure en haut de cette Politique.
12. Contact et questions
Pour toute question, demande d’accès, plainte ou exercice de vos droits :
Solution Paie Infini Inc. — Responsable de la protection des renseignements personnels
- Courriel : info@infinitypay.ca (avec mention « VIE PRIVÉE » ou « LOI 25 » dans l’objet)
- Adresse postale : 780 du Rivage, Saint-Antoine-sur-Richelieu, QC J0L 1R0, Canada
- Délai de réponse : 30 jours maximum suivant réception
Mentions légales et références
Cadre légal applicable :
- Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25, modernisée 2021-2024), RLRQ chapitre P-39.1
- Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) fédérale, L.C. 2000, ch. 5
- Loi canadienne anti-pourriel (LCAP), L.C. 2010, ch. 23
Liens utiles :
- Commission d’accès à l’information du Québec : cai.gouv.qc.ca
- Commissariat à la protection de la vie privée du Canada : priv.gc.ca
- Loi 25 texte intégral : legisquebec.gouv.qc.ca/fr/document/lc/P-39.1
Approbation
Version 1.2 approuvée, conformément à l’article 3.2, par Jacky Borange, Président-Fondateur et responsable de la protection des renseignements personnels, le 16 octobre 2026.
Corrections apportées par la version 1.2 : Make situé aux États-Unis (et non dans l’Union européenne) ; Zoho Forms et Calendly ajoutés ; article 17 (et non 3.3) pour la communication hors Québec, avec l’état réel des évaluations ; procédé de destruction (5.1) ; rôles et responsabilités du personnel (9 bis). Ces changements corrigent la description de pratiques déjà en place ; ils n’ajoutent ni nouvelle finalité ni nouvelle pratique de traitement. La version 1.1 (document de travail interne) n’a pas été publiée.
Politique de protection des renseignements personnels — Solution Paie Infini Inc. — v1.2 — 16 octobre 2026 (v1.0 du 2 mai 2026)