Scan de risques de conformité gratuit
Votre site web est-il conforme en matière de vie privée ?
La loi sur la protection des renseignements personnels qui s'applique à votre site dépend de l'endroit où vous êtes : la LPRPDE dans la plupart du Canada, la LPRP en Alberta et en Colombie-Britannique, la Loi 25 au Québec. Choisissez votre province et le scan vérifie votre site selon celle qui s'applique. Il lit jusqu'à 10 pages et liste les lacunes qu'il peut voir, chacune avec un lien vers sa source juridique. Gratuit, environ une minute.
Ce que le scan vérifie
Sept choses qu'il cherche
Chaque vérification correspond à une obligation précise de la loi de votre province. Quand l'une d'elles ressort dans votre rapport, elle renvoie à sa source : vous pouvez lire la loi vous-même au lieu de nous croire sur parole.
01
Des traceurs qui démarrent avant qu'on ait le choix
Le scan charge votre page d'accueil sans rien cliquer et surveille si des traceurs d'analyse ou de publicité (Google Analytics, le pixel Meta, LinkedIn, Hotjar, Clarity et quelques autres) déposent des témoins qui identifient le visiteur avant qu'il ait fait un choix. Hors Québec, les règles sont plus souples. Le Commissariat à la protection de la vie privée du Canada accepte un consentement par refus (opt-out) pour la publicité comportementale seulement si les renseignements ne sont pas sensibles, que l'avis est clair et que le suivi n'est pas une condition d'utilisation du site, et l'Alberta et la Colombie-Britannique permettent un modèle semblable. Le scan classe donc ce risque moins haut que sous la Loi 25, mais un suivi sans avis et sans moyen de refuser ne correspond à aucun de ces régimes.
02
Une politique de confidentialité facile à trouver
Sous la LPRPDE, l'information sur vos pratiques en matière de renseignements personnels doit être facilement accessible, y compris qui en est responsable et comment porter plainte. L'Alberta et la Colombie-Britannique demandent des politiques écrites que vous fournissez sur demande, et le commissaire de la Colombie-Britannique s'attend à une politique qui explique la collecte en ligne. Le scan en cherche une dans vos liens et aux adresses habituelles (/confidentialite, /privacy, /legal), et signale une politique absente ou trop courte pour couvrir l'essentiel. Sous la LPRPDE, il signale aussi une politique vers laquelle aucune page du site ne mène.
03
Les outils que votre politique nomme
Si le scan trouve un traceur ou un widget de clavardage sur votre site (HubSpot, Intercom, Tawk.to et autres), il vérifie que votre politique en parle. Sous la LPRPDE, vous restez responsable des renseignements confiés à un fournisseur de services, y compris à l'extérieur du Canada. L'Alberta exige que vous avisiez les gens quand un fournisseur à l'extérieur du Canada traite leurs renseignements, et la Colombie-Britannique s'attend à ce que votre politique nomme les tiers qui les reçoivent, y compris dans d'autres pays.
04
Le libellé de consentement de vos formulaires
Un formulaire qui recueille un nom ou un courriel exige un consentement, et ce consentement ne compte que si la personne sait à quoi il sert. L'Alberta exige d'indiquer la fin visée et une personne-ressource au moment de la collecte. En Colombie-Britannique, le consentement n'est pas valide tant que cet avis n'a pas été donné. Le scan lit chaque formulaire qu'il peut voir pour y trouver ce libellé.
05
Une personne responsable, nommée
Les trois lois exigent de désigner une personne responsable de la protection des renseignements personnels. La LPRPDE s'attend à ce que son nom ou son titre et son adresse figurent dans l'information que vous publiez, et la Colombie-Britannique exige que son titre et ses coordonnées soient publics. Le scan cherche une personne-ressource en matière de vie privée sur votre site.
06
Une connexion sécurisée
Le scan vérifie que votre site utilise HTTPS et ne charge pas de parties de la page en HTTP simple. Les trois lois exigent des mesures de sécurité pour les renseignements personnels que vous détenez (la LPRPDE les module selon leur sensibilité), et une page qui envoie des données de formulaire sans chiffrement n'a même pas la plus élémentaire.
07
Le français, au Québec et au Nouveau-Brunswick
Choisissez le Québec et le scan applique les vérifications de la Loi 25, y compris la version française qu'exige la Charte de la langue française (la page Loi 25 les explique). Choisissez le Nouveau-Brunswick et il vérifie aussi la présence d'une version française, et signale son absence comme une recommandation, pas comme un constat juridique.
Comment ça marche
01
Entrez votre site
L'adresse de votre site, le nom de votre entreprise ou de votre organisme, votre province et un courriel pour recevoir votre copie du rapport. Rien à installer.
02
Le scan le lit
Il récupère jusqu'à 10 pages publiques, y compris votre politique de confidentialité et vos pages de contact quand il les trouve, et charge votre page d'accueil dans un navigateur pour voir ce qui dépose des témoins avant que le visiteur fasse un choix. Ça prend habituellement moins d'une minute.
03
Vous recevez une liste de risques
Chaque risque vient avec un niveau de gravité, une explication claire et sa source dans la loi de votre province. La liste s'affiche à l'écran, une copie part à votre courriel, et vous pouvez l'enregistrer en PDF pour la personne qui s'occupe de votre site.
Ce que le scan ne voit pas
La plupart des vérifications lisent le code HTML que votre serveur envoie. Un formulaire qu'un script construit après le chargement de la page peut leur échapper, et nous le savons parce que c'est arrivé : le scan a déjà jugé corrects les formulaires d'un site qu'il ne voyait pas du tout. Nous avons corrigé le rapport pour qu'il dise exactement ce qu'il a lu.
Il ne voit pas non plus ce qui se passe derrière votre site : où vont les données, combien de temps vous les gardez, vos contrats avec vos fournisseurs, ce que votre équipe en fait, ni comment vous géreriez une atteinte à la vie privée. Une courte liste de risques est bon signe. Ce n'est pas une preuve de conformité, et aucun outil automatisé ne peut vous en donner une.
Si le scan trouve quelque chose
Sprint conformité, 447 $ une fois
Plusieurs des risques que le scan peut signaler reviennent à la politique de confidentialité : il n'y en a pas, personne ne la trouve, ou elle ne nomme pas les outils que votre site utilise. Le sprint règle ça, quelle que soit la loi qui s'applique à vous. Nous analysons votre site, comparons ce que nous trouvons avec vos réponses à un court formulaire d'accueil, et rédigeons une politique qui correspond à ce qui tourne réellement dessus.
Aucun avocat ne la révise, et l'entente le dit clairement : ce n'est pas un avis juridique. Si vos pratiques changent plus tard, une mise à jour coûte 149 $ fixes.
Les traceurs, le libellé des formulaires et HTTPS se corrigent sur le site lui-même, pas dans la politique. Si vous voulez qu'on s'en occupe aussi, dites-le quand vous nous écrivez.
Qui est derrière le scan
Studio Signal, c'est un petit studio à Montréal (c'est moi, Seb). Nous construisons et gérons des sites web pour des entreprises et des organismes.
Chaque risque que le scan peut signaler renvoie à un article de loi ou aux lignes directrices d'un organisme de réglementation (le Commissariat à la protection de la vie privée du Canada, le commissaire de la Colombie-Britannique et d'autres), consignés dans un fichier de sources pour chaque loi. Quand une de ces sources change, nous recevons une alerte, et tout changement au libellé du rapport est révisé avant d'être mis en ligne.
Questions fréquentes
Ça dépend de votre province. L'Alberta et la Colombie-Britannique ont leur propre loi pour le secteur privé (la LPRP), tout comme le Québec (la Loi 25). Elles s'appliquent à la place de la LPRPDE pour l'essentiel de ce qu'une entreprise fait dans la province, mais la LPRPDE couvre encore les renseignements qui traversent les frontières et les entreprises sous réglementation fédérale. Partout ailleurs, la LPRPDE s'applique aux renseignements personnels recueillis dans le cadre d'activités commerciales.
En Colombie-Britannique, oui : la LPRP couvre toutes les organisations, y compris les organismes à but non lucratif, sans seuil d'activité commerciale. Sous la LPRPDE et la LPRP de l'Alberta, un organisme à but non lucratif est généralement hors de la loi, sauf s'il exerce des activités commerciales (vendre ou louer ses listes de donateurs ou de membres est l'exemple fédéral). Le scan signale les mêmes risques dans tous les cas, et sous la LPRPDE, le rapport précise comment les lire.
Pas nécessairement d'une bannière d'adhésion (opt-in). Hors Québec, un consentement par refus (opt-out) peut suffire pour le suivi : le Commissariat à la protection de la vie privée du Canada l'accepte pour la publicité comportementale seulement si les renseignements ne sont pas sensibles, que l'avis est clair et que le suivi n'est pas une condition d'utilisation du site. Ce qui ne fonctionne nulle part, c'est un suivi sans avis et sans moyen de refuser. Si vous faites aussi affaire au Québec, la règle d'adhésion de la Loi 25 pourrait s'appliquer à vous, et c'est la plus stricte.
Beaucoup moins lourdes qu'au Québec. Le Commissariat à la protection de la vie privée du Canada ne peut imposer aucune amende sous la LPRPDE. Une personne plaignante ou le commissaire peut s'adresser à la Cour fédérale, qui peut ordonner des changements et accorder des dommages-intérêts, et enfreindre sciemment les règles de déclaration des atteintes est une infraction passible d'une amende pouvant aller jusqu'à 100 000 $. L'Alberta et la Colombie-Britannique n'ont pas de sanctions administratives non plus. Leurs amendes pénales vont jusqu'à 100 000 $ pour une organisation, et leurs commissaires peuvent vous ordonner de cesser une pratique et de détruire les renseignements recueillis en contravention de la loi. La Loi 25 du Québec fait exception, avec des sanctions administratives allant jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial.
Sous la LPRPDE, une atteinte qui présente un risque réel de préjudice grave doit être déclarée au Commissariat et aux personnes touchées, et vous devez tenir un registre de toutes les atteintes, graves ou non. L'Alberta exige aussi de déclarer à son commissaire les atteintes qui présentent un risque réel. La Colombie-Britannique n'impose pour l'instant aucune obligation de déclaration. Le scan ne peut rien vérifier de tout ça : c'est une question de procédures, pas de site web.
C'est possible. La dernière tentative, le projet de loi C-27, est morte en janvier 2025. Son successeur, le projet de loi C-36, a été déposé le 15 juin 2026 et était toujours devant le Parlement au début d'octobre 2026. Tant qu'il n'est pas adopté, la LPRPDE est la loi selon laquelle le scan vérifie votre site, et nous suivons le projet de loi.
Non. C'est une vérification automatisée de ce qui est visible sur vos pages publiques, et elle n'établit pas que votre site est conforme ou non. Pour un avis sur votre situation, consultez un avocat ou une avocate.