Politique de conformité à la Loi 25 — SENTINEL OS

Version 1.0 — Dernière mise à jour : 11 mai 2026 Document maître : version française (autorité juridique au Québec).

Préambule

La présente politique est publiée par SENTINEL OS (ci-après « l'entreprise », « nous ») afin de satisfaire aux obligations qui lui incombent à titre d'entreprise au sens de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), telle que modifiée par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (« Loi 25 », sanctionnée le 22 septembre 2021, dispositions échelonnées entre septembre 2022 et septembre 2024).

Ce document est distinct de notre Politique de confidentialité générale. Il a pour seul objet de détailler les obligations spécifiquement québécoises et constitue la référence prioritaire pour toute personne concernée résidant au Québec et pour la Commission d'accès à l'information du Québec (ci-après « la Commission d'accès à l'information » ou « la Commission »).

En cas de divergence entre la version française et la version anglaise, la version française prévaut.

1. Identification du Responsable de la protection des renseignements personnels (article 3.1)

Conformément à l'article 3.1 de la Loi, l'entreprise désigne formellement un Responsable de la protection des renseignements personnels (« le Responsable »).

Le Responsable est l'interlocuteur officiel pour toute demande d'accès, de rectification, de retrait de consentement, de portabilité, de cessation de diffusion, ou pour toute plainte préalable à un recours auprès de la Commission.

Compte tenu de la taille actuelle de l'entreprise, le fondateur cumule cette fonction jusqu'à ce que l'effectif permette la nomination d'une personne dédiée.

2. Liste exhaustive des renseignements personnels recueillis

2.1 Données de liste d'attente (site web)

• Nom complet
• Adresse de courriel professionnelle
• Rôle ou fonction
• Nom de l'entreprise affiliée
• Taille du parc de véhicules (intervalle)
• Message libre facultatif

2.2 Données de compte utilisateur (SaaS)

• Identifiants (courriel, mot de passe haché, jetons d'authentification)
• Préférences linguistiques et de notification
• Adresse IP, type d'appareil, journal d'authentification

2.3 Données opérationnelles de transport

• Numéros d'identification de véhicule (NIV) — assimilés à des renseignements personnels lorsque rattachables à un conducteur identifié ou identifiable
• Positions GPS en service
• Photographies de marchandises, dommages et bordereaux
• Enregistrements vocaux du copilote (mode actif uniquement)

2.4 Données de paiement

• Renseignements de carte (jetonisés par Stripe — jamais le numéro complet)
• Coordonnées de facturation
• Historique transactionnel

2.5 Données de communication client

• Échanges courriel, SMS et téléphonie (Twilio)
• Synthèses vocales générées (ElevenLabs)

2.6 Témoins

Voir section 11.

3. Finalités de la collecte (article 8 modifié)

Aucune utilisation à d'autres fins sans consentement libre, éclairé et spécifique distinct.

4. Base de la communication et du traitement

• Consentement libre, éclairé et spécifique (article 14) — formulaire, copilote vocal, témoins non strictement nécessaires
• Nécessité contractuelle — données opérationnelles indispensables au service contracté
• Intérêt commercial sérieux et légitime (article 12, paragraphe 1) — sécurité, prévention de la fraude, journalisation
• Obligation légale — conservation fiscale, réponses aux autorités

Le consentement peut être retiré en tout temps (section 9).

5. Conservation et destruction (article 23)

Anonymisation versus destruction : anonymisation privilégiée lorsque techniquement irréversible, conformément aux Critères encadrant l'anonymisation des renseignements personnels (règlement gouvernemental en vigueur depuis 2024).

6. Communication à des tiers (sous-traitants)

Chaque sous-traitant est lié par un accord contractuel imposant des mesures de protection équivalentes à celles prévues par la Loi 25 (clauses contractuelles types adaptées, confidentialité, restrictions d'usage, notification d'incident).

7. Communication hors Québec (article 17)

Plusieurs sous-traitants étant situés aux États-Unis, l'entreprise a procédé à une Évaluation des facteurs relatifs à la vie privée (EFVP) conforme à l'article 17.

Critères évalués

1. Nature des renseignements — sensibilité variable
2. Finalité — strictement liée à la prestation
3. Mesures de protection — TLS 1.3, AES-256, contrôle d'accès, journalisation, clauses contractuelles, SOC 2 / ISO 27001
4. Régime juridique — reconnaissance que le régime n'est pas matériellement équivalent à la Loi 25 sur tous les points ; compensation par engagements contractuels renforcés

Conclusion

Communication autorisée car les mesures contractuelles, techniques et organisationnelles assurent un niveau de protection équivalent, au sens de l'article 17. L'évaluation est documentée, datée, conservée et mise à jour annuellement ou lors de tout changement substantiel.

Synthèse détaillée disponible sur demande écrite au Responsable.

8. Décisions automatisées (article 12.1)

Décisions automatisées identifiées

• Suggestions d'enchères sur véhicules
• Prédictions de marge et alertes de profitabilité
• Routage de répartition et options A/B/C
• Notation de réputation conducteur

Droits ouverts

• Information sur les renseignements utilisés, les facteurs et paramètres, et la conséquence
• Présenter ses observations à un membre du personnel
• Rectifier les renseignements ayant servi à la décision
• Révision humaine par le Responsable ou délégué, dans un délai de 30 jours

Demande à privacy@sentinel-os.ca avec la mention « Décision automatisée — article 12.1 ».

9. Droits des personnes concernées

Modalités d'exercice

• Canal : courriel privacy@sentinel-os.ca ou courrier postal
• Identité : preuve raisonnable requise
• Délai : 30 jours à compter de la demande complète
• Frais : gratuit, sauf demande manifestement abusive
• Refus : motivé par écrit, avec recours auprès de la Commission

10. Incidents de confidentialité (articles 3.5 à 3.8)

1. Détection et confinement — alertes Sentry et Supabase ; isolement immédiat
2. Évaluation du risque dans les 72 heures — analyse documentée du risque de préjudice sérieux
3. Notification à la Commission d'accès à l'information — si risque de préjudice sérieux, dans les meilleurs délais
4. Notification aux personnes concernées — si risque sérieux, individuellement, avec description, mesures, conseils
5. Tenue d'un registre des incidents — obligatoire (article 3.8), conservé 5 ans

11. Démarchage et témoins

11.1 Démarchage

Aucun renseignement de la liste d'attente n'est revendu. Les communications commerciales incluent un mécanisme de désabonnement.

11.2 Témoins

Bandeau de consentement granulaire. Refus aussi simple que l'acceptation, conformément aux orientations de la Commission.

12. Biométrie et identité numérique

L'entreprise ne recueille pas, à ce jour, de caractéristiques ou de mesures biométriques au sens de la Loi concernant le cadre juridique des technologies de l'information (RLRQ, c. C-1.1), articles 44 et 45.

Le module vocal procède à une transcription du contenu vocal et n'effectue pas d'identification par empreinte vocale. Si une telle fonction était introduite, elle serait soumise à :

• Déclaration préalable à la Commission (article 45 LCJTI)
• Consentement exprès et distinct
• Mise à jour de la présente politique

13. Mineurs

Service non destiné aux personnes de moins de 16 ans. Aucune collecte intentionnelle auprès d'un mineur de moins de 14 ans. Si découvert, destruction sans délai.

14. Plainte à la Commission d'accès à l'information du Québec

Il est recommandé, sans y être obligé, de soumettre d'abord une demande au Responsable interne (section 1).

15. Historique des versions

Révision annuelle au minimum et à chaque évolution substantielle. Toute modification matérielle est notifiée par courriel et bandeau persistant pendant 30 jours.

Document approuvé par le Responsable de la protection des renseignements personnels — Yaovi Houndenou, 11 mai 2026.