Politique de confidentialité

Tallgrass est exploité par JOCO INC, une entreprise établie au Québec (Canada). JOCO INC est responsable des renseignements personnels décrits dans la présente politique (le « responsable du traitement » au sens du RGPD).

La présente politique s’applique au site Tallgrass. Elle vise à respecter la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (telle que modifiée par la Loi 25), la Loi sur la protection des renseignements personnels et les documents électroniques du Canada (LPRPDE) et, lorsqu’ils s’appliquent, le Règlement général sur la protection des données de l’UE et du Royaume-Uni (RGPD) ainsi que les lois des États américains sur la protection de la vie privée, comme la California Consumer Privacy Act (CCPA/CPRA).

Conformément à la loi québécoise, la personne responsable de la protection des renseignements personnels chez JOCO INC est son président. Vous pouvez la joindre au moyen de la page Nous joindre (choisissez « Demande relative aux renseignements personnels ») ou par courriel à red@tallgrass.io.

Lorsque vous naviguez simplement. Aucun compte n’est nécessaire pour consulter le catalogue et les prix. Nous ne vous pistons pas. Nous comptons les visites et mesurons la vitesse d’affichage avec Vercel Web Analytics et Speed Insights, qui n’utilisent aucun témoin, ne vous identifient pas et ne nous fournissent que des totaux agrégés (un visiteur n’est reconnu que pendant au plus une journée, au moyen d’une empreinte ensuite supprimée). Pour afficher les pages et protéger le site, nos hébergeurs traitent automatiquement des données techniques comme votre adresse IP, le type de navigateur (agent utilisateur), la page demandée et l’heure; ils conservent ces journaux pendant de courtes périodes selon leurs propres politiques. Deux petits témoins retiennent votre langue et votre devise d’affichage — voir la Politique relative aux témoins.

Lorsque vous utilisez le formulaire de contact. Votre nom, votre adresse courriel, le type de demande, votre message, une adresse URL facultative, la langue du site au moment de l’envoi, l’agent utilisateur de votre navigateur, la date et un hachage salé de votre adresse IP. Nous conservons ce hachage — et non l’adresse IP elle-même — uniquement pour prévenir les abus et limiter les envois répétés.

Lorsque vous avez un compte (l’inscription publique est actuellement fermée; ceci s’appliquera à son ouverture) :

• Renseignements du compte : adresse courriel, nom d’utilisateur et nom affiché. Votre mot de passe est entièrement géré par notre fournisseur d’authentification, Supabase Auth; Tallgrass n’y a jamais accès et ne conserve ni mot de passe ni empreinte (hachage) de mot de passe. Supabase Auth conserve aussi des données techniques de connexion (par exemple l’heure de votre dernière connexion), et un témoin de session vous garde connecté.
• Données de collection : les cartes que vous possédez, les quantités, l’état, la gradation, le prix d’achat et sa devise, les notes, les classeurs avec leurs noms et descriptions, les listes de souhaits, les produits scellés et tout ce que vous importez d’un fichier CSV.
• Préférences : par exemple votre devise d’affichage et votre langue.

Nous ne demandons aucun renseignement sensible (santé, comptes financiers, etc.), et nous vous prions de ne pas en inscrire dans vos notes ou descriptions de classeurs. Aucun paiement n’est traité sur Tallgrass.

Nous utilisons les renseignements personnels uniquement aux fins suivantes :

• créer et sécuriser votre compte et maintenir votre connexion;
• conserver votre collection, vous l’afficher et en calculer la valeur estimée;
• afficher un classeur au moyen d’un lien de partage public, seulement si vous choisissez de le partager;
• importer et exporter vos données (CSV);
• répondre à vos messages et traiter vos demandes, y compris les demandes relatives aux renseignements personnels et les demandes de retrait;
• corriger les bogues que vous signalez et assurer le bon fonctionnement du site;
• prévenir les abus, les pourriels et les attaques (par exemple en limitant les envois au moyen de l’adresse IP hachée);
• respecter la loi et établir, exercer ou défendre des droits en justice.

Nous ne recueillons que ce qui est nécessaire à ces fins. Si nous souhaitons un jour utiliser vos renseignements à une nouvelle fin, nous vous demanderons d’abord votre consentement, sauf exception prévue par la loi.

• Aucune publicité, aucun pixel de suivi, aucun témoin de marketing tiers, aucune analyse fondée sur des témoins (seulement des statistiques de visite agrégées, sans témoins).
• Aucune vente ni location de renseignements personnels, et aucun « partage » à des fins de publicité comportementale intercontextuelle.
• Aucun profilage et aucune décision fondée exclusivement sur un traitement automatisé.
• Aucun courriel de marketing. En fait, Tallgrass n’envoie encore aucun courriel.

En nous envoyant un message ou en créant un compte, vous consentez à la collecte et à l’utilisation de vos renseignements aux fins décrites ci-dessus. Vous pouvez retirer votre consentement en tout temps — par exemple en supprimant votre compte ou en nous demandant de supprimer vos messages —, mais nous pourrions alors ne plus être en mesure de vous offrir le service concerné. Le retrait du consentement ne remet pas en cause les traitements déjà effectués ni les renseignements que la loi nous oblige à conserver.

Nous ne communiquons des renseignements personnels qu’aux personnes suivantes :

• Nos fournisseurs de services, qui les traitent pour notre compte en vertu d’un contrat : Supabase (base de données et authentification), Vercel Inc. (hébergement Web, diffusion de contenu, fonctions sans serveur et statistiques de visite sans témoins) et, lorsque la vérification de sécurité s’affiche sur un formulaire, Cloudflare, Inc. (Turnstile, qui utilise des signaux techniques comme votre adresse IP et votre navigateur pour distinguer les personnes des robots). Ils ne peuvent les utiliser que pour nous fournir leurs services.
• Les personnes que vous choisissez, lorsque vous partagez le lien d’un classeur — toute personne qui a le lien peut voir ce classeur.
• Les autorités, lorsque la loi l’exige (par exemple une ordonnance d’un tribunal) ou lorsque c’est nécessaire pour protéger des droits, la sécurité ou le service.
• Un successeur, si Tallgrass devait être vendu ou cédé; les renseignements demeureraient alors protégés comme l’exige la loi et la présente politique continuerait de s’appliquer.

Si nous ajoutons un fournisseur de courriels transactionnels (comme Resend) pour envoyer des courriels liés aux comptes, nous mettrons la présente politique à jour avant de le faire.

Notre base de données et notre service d’authentification (Supabase) sont hébergés au Canada, dans la région AWS Canada (Centre), à Montréal. Le site lui-même est hébergé par Vercel Inc., une entreprise des États-Unis, et diffusé au moyen d’un réseau périphérique mondial. Ainsi, les données de requête (comme l’adresse IP) et le contenu des pages que vous chargez peuvent être traités aux États-Unis et dans d’autres pays où se trouvent des serveurs périphériques.

Comme l’exige la loi québécoise, nous avons évalué ces communications de renseignements à l’extérieur du Québec avant d’y recourir — en tenant compte de la sensibilité des renseignements, des fins de leur utilisation, des mesures de protection, y compris contractuelles, et du régime juridique des pays concernés — et avons conclu que les renseignements y bénéficient d’une protection adéquate. Nos fournisseurs sont liés par contrat à les protéger et à ne les utiliser que pour nous fournir leurs services. Les renseignements traités à l’étranger peuvent être assujettis aux lois du pays concerné, y compris à un accès légitime par ses autorités.

• Messages de contact : jusqu’à 24 mois après la fermeture de votre demande, et plus longtemps seulement si c’est nécessaire pour établir ou défendre un droit en justice (par exemple un retrait contesté).
• Données de compte et de collection : tant que votre compte est actif. Lorsque vous nous demandez de supprimer votre compte, nous le supprimons dans un délai de 30 jours; les copies figurant dans les sauvegardes quotidiennes de notre fournisseur disparaissent dans les 7 jours environ qui suivent.
• Classeurs partagés : ils cessent d’être publics dès que vous en arrêtez le partage ou les supprimez.
• Journaux d’hébergement : conservés par nos fournisseurs pendant de courtes périodes, selon leurs propres politiques.

Lorsque des renseignements ne sont plus nécessaires, nous les détruisons ou les anonymisons conformément à la loi.

Nous prenons des mesures de sécurité raisonnables, adaptées à la sensibilité des renseignements : connexions chiffrées (HTTPS) partout, chiffrement au repos chez notre fournisseur de base de données, accès limité aux personnes qui en ont besoin (actuellement, seul le propriétaire), authentification renforcée des comptes d’administration, mots de passe gérés uniquement par notre fournisseur d’authentification et adresses IP conservées seulement sous forme de hachage salé dans les messages de contact.

Aucun système n’est parfaitement sûr, mais nous travaillons à réduire les risques et revoyons nos mesures à mesure que le site évolue.

En cas d’incident de confidentialité (par exemple un accès non autorisé à des renseignements personnels ou leur perte), nous agirons rapidement pour diminuer les risques de préjudice et éviter que l’incident ne se reproduise. Nous tenons un registre des incidents. Si un incident présente un risque de préjudice sérieux, nous aviserons avec diligence la Commission d’accès à l’information du Québec et les personnes concernées; lorsque la LPRPDE s’applique et qu’il existe un risque réel de préjudice grave, nous le déclarerons aussi au Commissariat à la protection de la vie privée du Canada et aviserons les personnes touchées.

Sous réserve de la loi, vous avez le droit :

• d’accéder aux renseignements personnels que nous détenons à votre sujet et de savoir comment ils sont utilisés et à qui ils ont été communiqués;
• de faire rectifier les renseignements inexacts, incomplets ou équivoques;
• de retirer votre consentement à l’utilisation de vos renseignements;
• de demander la suppression de vos renseignements, ou de nous demander de cesser de les diffuser ou de désindexer tout hyperlien qui y donne accès, lorsque la loi le prévoit;
• de recevoir vos renseignements dans un format technologique structuré et couramment utilisé (portabilité) — vous pouvez déjà exporter votre collection en CSV, et nous pouvons vous transmettre vos autres renseignements sur demande;
• de porter plainte auprès d’une autorité de protection des renseignements personnels (voir « Questions et plaintes » ci-dessous).

À l’ouverture des comptes, vous pourrez modifier vos renseignements et exporter votre collection vous-même depuis les paramètres de votre compte.

Utilisez la page Nous joindre et choisissez « Demande relative aux renseignements personnels », ou écrivez à red@tallgrass.io. Pour protéger vos renseignements, nous pourrions vous demander de confirmer votre identité avant d’agir. Nous répondons dans un délai de 30 jours, sans frais. Si nous ne pouvons pas accéder entièrement à votre demande, nous vous en indiquerons les motifs et vous informerons de vos recours.

Tallgrass ne s’adresse pas aux enfants de moins de 13 ans, qui ne peuvent pas créer de compte. Au Québec, nous ne recueillons aucun renseignement personnel concernant un enfant de moins de 14 ans sans le consentement du titulaire de l’autorité parentale ou du tuteur. Si nous apprenons que nous avons recueilli des renseignements sur un enfant sans le consentement requis, nous les supprimerons. Les parents peuvent nous écrire pour faire une demande au nom de leur enfant.

Nous nous fondons sur les bases juridiques suivantes au sens du RGPD :

• L’exécution d’un contrat — pour fournir votre compte, le suivi de collection, le partage et les fonctions CSV;
• L’intérêt légitime — pour répondre à vos messages, traiter les demandes de retrait, sécuriser le site et prévenir les abus (y compris l’adresse IP hachée et les journaux d’hébergement), et pour établir ou défendre des droits en justice;
• Le consentement — lorsque nous le demandons; vous pouvez le retirer en tout temps;
• L’obligation légale — lorsque la loi nous oblige à conserver ou à communiquer des renseignements.

En plus des droits ci-dessus, vous pouvez demander la limitation du traitement et vous opposer à un traitement fondé sur l’intérêt légitime. Vous pouvez aussi déposer une plainte auprès de l’autorité de contrôle de la protection des données de votre lieu de résidence ou de travail.

Transferts internationaux. La Commission européenne reconnaît que le Canada offre un niveau de protection adéquat pour les organisations commerciales. Les transferts vers les États-Unis (notre hébergeur Web) reposent sur des garanties appropriées offertes par le fournisseur, comme les clauses contractuelles types de la Commission européenne ou le cadre de protection des données UE–États-Unis (Data Privacy Framework).

Certains États américains, dont la Californie, accordent des droits particuliers à leurs résidents. Voici ce qu’ils nous obligent à vous indiquer, pour les 12 derniers mois :

• Catégories recueillies : identifiants (nom, adresse courriel, nom d’utilisateur, adresse IP hachée); activité Internet (journaux d’hébergement, agent utilisateur); renseignements que vous inscrivez sur les cartes que vous possédez, y compris les prix d’achat; et identifiants de connexion au compte, utilisés uniquement pour vous permettre de vous connecter.
• Sources : vous-même, et votre navigateur lorsque vous utilisez le site.
• Communications : uniquement à nos fournisseurs de services (Supabase et Vercel), aux fins décrites ci-dessus.
• Aucune vente ni aucun partage : nous ne vendons pas de renseignements personnels et ne les partageons pas à des fins de publicité comportementale intercontextuelle, et ne l’avons jamais fait. Nous n’avons connaissance d’aucune vente ni d’aucun partage de renseignements de consommateurs de moins de 16 ans. Comme il n’y a rien à refuser, les signaux de navigateur comme Global Privacy Control sont de fait toujours respectés.

Vous avez le droit de savoir ce que nous recueillons, d’y accéder, de le faire supprimer ou corriger, et de ne pas faire l’objet de discrimination pour avoir exercé ces droits. Vous pouvez recourir à un mandataire autorisé; nous pourrions lui demander une preuve de son autorisation. Si nous refusons votre demande, vous pouvez nous demander de la réexaminer (appel) en répondant à notre décision.

Nous n’utilisons que quelques témoins internes strictement nécessaires et un peu de stockage local du navigateur pour vos préférences. La liste complète figure dans notre Politique relative aux témoins.

Nous mettrons la présente politique à jour lorsque nos pratiques changeront (par exemple si nous commençons à envoyer des courriels). La date en haut de la page indique la version en vigueur. Pour toute modification importante, nous publierons un avis sur le site — et, une fois les courriels de compte en place, nous l’enverrons par courriel aux titulaires de compte — avant son entrée en vigueur, et nous demanderons votre consentement lorsque la loi l’exige.

Écrivez-nous d’abord au moyen de la page Nous joindre (« Demande relative aux renseignements personnels ») ou à red@tallgrass.io — nous ferons de notre mieux pour régler la situation. Vous pouvez aussi porter plainte auprès :

• de la Commission d’accès à l’information du Québec — www.cai.gouv.qc.ca;
• du Commissariat à la protection de la vie privée du Canada — www.priv.gc.ca;
• si vous êtes dans l’UE ou au Royaume-Uni, de votre autorité locale de protection des données;
• si vous êtes aux États-Unis, du procureur général ou de l’organisme de protection de la vie privée de votre État.