Dossier sécurité et conformité (Loi 25)

Résidence et chiffrement

• Région primaire : Canada (Montréal et Beauharnois, Québec)
• Hébergeur : OVHcloud Canada inc. — datacentres BHS (Beauharnois) et SBG (rappelé en disaster-recovery uniquement, sans données client en mode nominal)
• Au repos : AES-256 (LUKS au niveau bloc + chiffrement applicatif des champs PII).
• En transit : TLS 1.3 partout (TLS 1.2 toléré encore un cycle, à retirer après audit). HSTS preload activé.
• Aucune donnée client ni artefact ML promu n’est répliqué vers un fournisseur soumis au CLOUD Act des États-Unis sans consentement explicite de l’utilisateur, ni sortie du Canada pour le stockage persistant.

Responsable Loi 25 (RPRP)

Patrick Béland, Responsable de la protection des renseignements personnels — confidentialite@fonciq.ca

Sous-traitants actifs

Rétention (extraits)

• Compte actif : Tant que le compte est actif, plus 90 jours après résiliation pour permettre la récupération.
• Journal d'audit : 7 années (alignement Chambre des notaires du Québec).
• PDF OCR bruts : 180 jours après extraction (au-delà, seul le hash SHA-256 et les champs structurés sont conservés).

Cadres de conformité (statut public)

• Loi 25 (Québec) — en vigueur : Responsable de la protection des renseignements personnels désigné, registre des incidents tenu, ÉFVP complétée. Aucun transfert hors Québec sans consentement explicite.
• LPRPDE / PIPEDA (Canada) — en vigueur : Politique de confidentialité conforme aux 10 principes de l’Annexe 1 ; plaintes traitées par le responsable désigné.
• SOC 2 Type I — en cours : Audit en cours avec un cabinet CPA Canada accrédité. Phase d’observation depuis avril 2026. Rapport attendu Q4 2026.
• SOC 2 Type II — planifié : Période d’observation prévue sur 12 mois après la livraison du Type I. Premier rapport attendu fin 2027.
• ISO/IEC 27001 — planifié : Certification visée après stabilisation du SMSI sur 18 mois, postérieurement à la SOC 2 Type II.

Contrôles clés

• Contrôles d’accès — Connexion sans mot de passe (lien magique + clés d’accès WebAuthn). MFA obligatoire pour tout employé. Accès en production accordé selon le principe du moindre privilège, journalisé et révoqué automatiquement à la fin du mandat.
• Journal d’audit immuable — Chaque action sensible (déverrouillage de fiche, export PDF, modification d’une chambre de transaction) est consignée dans un journal append-only horodaté, conservé 7 années, exportable par l’utilisateur dans le cahier de preuve.
• Cycle de développement sécurisé — Tout changement passe par revue de code obligatoire, analyse statique (Semgrep, ESLint security plugin), tests d’intégration, et déploiement en bleu-vert avec capacité de rollback à froid en moins de 60 secondes.
• Gestion des vulnérabilités — Scan SCA quotidien des dépendances (Dependabot + osv-scanner). SLA de remédiation : 7 jours pour critique, 30 jours pour élevée, 90 jours pour modérée. Test d’intrusion externe annuel par firme québécoise indépendante.
• Minimisation des données — Aucune collecte de race, ethnie, religion, langue maternelle, pays d’origine, ou pointage de crédit personnel. Les PDF originaux du Registre foncier sont supprimés 180 jours après extraction ; seuls les champs structurés et l’empreinte SHA-256 sont conservés au-delà.
• Évaluation des facteurs relatifs à la vie privée (ÉFVP) — Évaluation Loi 25 complétée et révisée annuellement. Document disponible aux clients entreprise sur demande sous accord de confidentialité.

Divulgation responsable : security@fonciq.ca (accusé sous 24 heures ouvrables). Contrat complet : fonciq.ca/securite.