Sécurité enterprise

Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (en vigueur depuis 2022).

• Consentement express collecte (art. 8) — express consent IP/UA loggé
• Notification de violation 72h (art. 18.3) — pipeline incident automatisé
• Droit d'effacement (art. 25) — endpoint unifié cross-modules
• Évaluation facteurs vie privée (art. 12.1) — DPIA template fourni
• Hébergement Canada (Railway Montréal)
• Backup chiffré EU (Backblaze B2 Helsinki) — pas de US transfer
• Sanctions évitées : jusqu'à 25M $ ou 4% chiffre d'affaires mondial

Personal Information Protection and Electronic Documents Act — loi canadienne fédérale.

• 10 principes équitables d'information
• Limitation collecte + utilisation + divulgation
• Sauvegardes appropriées (encryption AES-256)
• Accès individuel + contestation
• Plaintes au Commissariat à la protection de la vie privée
• Right-to-be-forgotten implémenté
• Audit logs immuables (AOpsAuditChainEntry)

Canadian Anti-Spam Legislation (2014) — opt-in obligatoire + unsubscribe + identification expéditeur.

• Express consent records (ConsentRecord model)
• Implicit consent tracking (existing relationship)
• Unsubscribe header sur chaque email (List-Unsubscribe)
• Identification claire expéditeur
• SMS opt-out tracking (SmsOptOut model)
• Penalties évitées : jusqu'à 10M $ entreprise / 1M $ individu

Telephone Consumer Protection Act — restrictions appels automatisés et SMS aux États-Unis.

• DNC (Do Not Call List) check automatique
• Manual touch tracking (tcpa-manual-touch.ts)
• Express written consent before auto-dialing
• Calling hours restrictions (8am-9pm local)
• Identification appelant obligatoire
• Opt-out STOP immediate processing
• Penalties évitées : jusqu'à 1500 $ par violation

Lignes directrices du Bureau du surintendant des institutions financières concernant la gestion du risque technologique et cyber.

• MFA obligatoire admin (§4.2)
• RBAC least privilege (§4.3)
• Session timeout 15-30 min (§4.4)
• Audit trails complets (§5.1)
• Encryption at rest + in transit (§3)
• Incident response 24h (§7)
• Third-party risk management (B-10)

Service Organization Control 2 — audit indépendant 5 Trust Service Criteria.

• Security (CC1-CC9) — En conformité
• Availability (A1) — 99.5% SLA Business+
• Confidentiality (C1) — AES-256 partout
• Processing Integrity (PI1) — Audit chain SHA-256
• Privacy (P1-P8) — Loi 25 + PIPEDA aligned
• Certification Q3 2026 (audit indépendant Big 4)
• Pre-audit checklist 100% pass

International Organization for Standardization — Information Security Management System (ISMS).

• ISMS implémenté selon annexe A (93 contrôles)
• Risk assessment + treatment documented
• Statement of Applicability (SoA) finalisé
• Internal audit annuel programmé
• Management review trimestriel
• Certification Q4 2026 (organisme accrédité)
• Mappable vers Loi 25, PIPEDA, SOC 2

Payment Card Industry Data Security Standard — protection données titulaires cartes.

• Stripe tokenization (PAN jamais stocké)
• Aucune donnée carte transitant nos serveurs
• Stripe SAQ A (lowest scope merchant)
• Webhooks signed + verifiés
• Pause recording auto pendant saisie carte VoIP
• Annual review compliance

General Data Protection Regulation (2018) — protection données personnelles UE.

• Right-to-be-forgotten (art. 17) — endpoint unifié
• Data portability (art. 20) — exports JSON/CSV
• Privacy by design + default (art. 25)
• DPA signed avec sous-traitants (Resend, Stripe, etc.)
• Data Protection Officer (DPO) designated
• Breach notification 72h (art. 33)
• Privacy notice transparent + multilingue
• Backups EU (Backblaze B2 Helsinki)

Health Insurance Portability and Accountability Act — protection PHI (Protected Health Information).

• Encryption AES-256 at rest + in transit
• Access controls strict (RBAC)
• Audit logs complets (qui a accédé quoi quand)
• Business Associate Agreement (BAA) available
• Breach notification protocol
• Minimum necessary principle
• Heritex Health module disponible Q4 2026