Un chatbot recueille des noms, des courriels, parfois des numéros de téléphone : ce sont des renseignements personnels. Au Québec, la Loi 25 encadre leur collecte, leur conservation et leur communication. Ce guide résume ce qu'elle exige d'un chatbot, ce qui change pour les visiteurs européens (RGPD), et comment ChatDirect vous aide à vous y conformer.
À retenir
- Un chatbot qui recueille des coordonnées est soumis à la Loi 25 : transparence, consentement, conservation limitée, droits d'accès et de suppression.
- Les données ChatDirect sont hébergées au Canada ; le contenu des messages est toutefois transmis au fournisseur d'IA choisi pour produire la réponse.
- ChatDirect est conçu pour vous aider à respecter la Loi 25 et le RGPD, mais aucun outil ne rend une entreprise conforme à lui seul.
Qu'exige la Loi 25 d'un chatbot ?
- Transparence — le visiteur sait qu'il parle à une IA et qui recueille ses renseignements.
- Consentement — il est obtenu de façon claire avant la collecte de renseignements personnels, pour des fins précises.
- Minimisation — le chatbot ne demande que ce qui est nécessaire.
- Sécurité — les données sont protégées par des mesures adaptées à leur sensibilité.
- Conservation limitée — les conversations ne sont pas gardées indéfiniment.
- Droits des personnes — accès, rectification et suppression sur demande.
- Communication hors Québec — si des renseignements sont communiqués à l'extérieur du Québec (par exemple à un fournisseur d'IA), une évaluation des facteurs relatifs à la vie privée est attendue.
Loi 25 et RGPD : les principales différences
| Aspect | Loi 25 (Québec) | RGPD (Europe) |
|---|---|---|
| Entrée en vigueur | 2022 à 2024 (progressive) | Mai 2018 |
| Portée | Entreprises qui recueillent des renseignements au Québec | Personnes situées dans l'UE |
| Consentement | Manifeste, libre et éclairé | Libre, spécifique, éclairé et univoque |
| Responsable | Responsable de la protection des renseignements personnels | DPO dans certains cas |
| Sanctions maximales | 25 M$ ou 4 % du chiffre d'affaires mondial | 20 M€ ou 4 % du chiffre d'affaires mondial |
| Transfert hors territoire | Évaluation des facteurs relatifs à la vie privée | Décision d'adéquation ou garanties appropriées |
Si vous servez aussi des clients en Europe, lisez notre guide sur la conformité RGPD des chatbots.
Comment ChatDirect vous aide : 7 protections intégrées
ChatDirect a été conçu selon le principe de protection dès la conception (Privacy by Design). Les réglages suivants se gèrent depuis votre portail :
- Consentement — un message de consentement personnalisable peut s'afficher avant la conversation, avec un lien vers votre politique de confidentialité.
- Aucun cookie — le widget ne dépose pas de cookie ; il garde la conversation dans le stockage local du navigateur pendant une durée réglable (24 heures par défaut), et le mode « zéro cookie » supprime toute persistance.
- Anonymisation IP — quatre réglages : adresse complète, tronquée, hachée ou non conservée.
- Conservation configurable — 30, 60, 90, 180 ou 365 jours, ou sans limite.
- Google Analytics conditionnel — le suivi ne s'active qu'après le consentement du visiteur.
- Export et suppression — vous pouvez extraire ou effacer les données d'un visiteur sur demande.
- Hébergement au Canada — serveurs à Beauharnois (Québec) et base de données à Montréal ; échanges en HTTPS et secrets (clés API, mots de passe) chiffrés en AES-256.
Les données de chaque client sont cloisonnées : un client ne peut jamais voir celles d'un autre.
Vérifiez votre site en quelques minutes
Notre vérificateur gratuit passe en revue les points essentiels de la Loi 25 pour un site Web.
Lancer le vérificateur Loi 25Le point à ne pas oublier : le fournisseur d'IA
Les conversations, les leads et les documents restent hébergés au Canada. En revanche, pour produire chaque réponse, le contenu des messages est transmis au fournisseur d'IA que vous avez choisi (Anthropic, OpenAI, Google ou Mistral), dont le traitement peut avoir lieu aux États-Unis ou en Europe. Mentionnez-le dans votre politique de confidentialité, tenez-en compte dans votre évaluation des facteurs relatifs à la vie privée, et évitez de demander au chatbot des renseignements sensibles dont il n'a pas besoin. Les détails figurent à la section 5 de notre politique de confidentialité.
Liste de vérification pour votre chatbot
- Le visiteur est informé qu'il parle à une IA (le widget affiche « Agent IA » par défaut : gardez cette mention).
- Le consentement est obtenu avant la collecte de renseignements personnels.
- Votre politique de confidentialité mentionne le chatbot, ses fins et le fournisseur d'IA.
- Les cookies sont absents ou soumis au consentement.
- L'anonymisation IP est réglée au niveau voulu.
- Une durée de conservation est définie.
- Vous savez exporter et supprimer les données d'une personne.
- Un responsable de la protection des renseignements personnels est désigné.
- L'évaluation des facteurs relatifs à la vie privée tient compte du fournisseur d'IA.
- Les accès au portail sont limités aux personnes qui en ont besoin.
Questions fréquentes
Un chatbot doit-il indiquer qu'il est une IA ?
Oui. La transparence est attendue au Québec comme en Europe : le visiteur doit savoir qu'il parle à un agent IA et qui recueille ses renseignements. Le widget ChatDirect affiche par défaut l'étiquette « Agent IA » à côté du nom du bot ; gardez-la active.
Les données de mon chatbot quittent-elles le Canada ?
Les conversations, les leads et les documents sont hébergés au Canada (serveurs à Beauharnois, base de données à Montréal). En revanche, le contenu des messages est transmis au fournisseur d'IA que vous choisissez (Anthropic, OpenAI, Google ou Mistral) pour produire la réponse ; ce traitement peut avoir lieu hors du Canada. Mentionnez-le dans votre politique de confidentialité.
ChatDirect rend-il mon site conforme à la Loi 25 ?
Aucun outil ne rend une entreprise conforme à lui seul. ChatDirect est conçu pour vous aider à respecter la Loi 25 et le RGPD (consentement, widget sans cookie, anonymisation IP, durée de conservation réglable, export et suppression), mais votre politique de confidentialité, votre responsable de la protection des renseignements personnels et vos processus restent de votre ressort.
Comment vérifier rapidement mon site ?
Utilisez notre vérificateur gratuit : il passe en revue les points essentiels de la Loi 25 pour un site Web en quelques minutes et vous indique quoi corriger.
Conclusion
La Loi 25 n'interdit pas les chatbots : elle demande de la transparence, du consentement et de la retenue. ChatDirect, chatbot IA et CRM, est conçu pour vous aider à respecter ces exigences, avec des réglages simples et des données hébergées au Canada : les mêmes protections couvrent les conversations du chatbot et les fiches contacts du CRM. Le reste — votre politique, votre responsable, votre évaluation — vous appartient, et notre vérificateur Loi 25 vous aide à faire le point.