Politique de confidentialité

Dernière mise à jour : juin 2026

Le Festival de jazz de North Hatley (« nous ») s'engage à protéger la vie privée des visiteurs de son site Web et des personnes qui participent à ses activités. La présente politique décrit les renseignements personnels que nous recueillons, la façon dont nous les utilisons, les personnes avec qui nous les partageons, ainsi que les droits dont vous disposez en vertu des lois canadiennes et québécoises applicables en matière de protection des renseignements personnels, notamment la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25).

Renseignements que nous recueillons

Nous recueillons les catégories de renseignements personnels suivantes lorsque vous utilisez notre site Web ou participez à nos activités :

• Données d'identité et de contact — nom, adresse courriel, numéro de téléphone et (s'il y a lieu) adresse postale. Nous les recueillons lorsque vous vous abonnez à l'infolettre, achetez des billets, vous inscrivez comme enchérisseur, posez votre candidature comme bénévole ou communiquez avec nous.
• Données de commande et de billetterie — articles achetés, courriels, noms des personnes présentes, numéros de téléphone que vous choisissez d'ajouter aux billets, ainsi que les notes que vous incluez facultativement avec un don. Veuillez ne pas inscrire de renseignements personnels sensibles (par exemple des renseignements de santé ou de nature financière) dans les champs de texte libre.
• Adresse de facturation (recueillie par Stripe, et non par nous) — lorsque des taxes de vente applicables sont perçues au moment du paiement, notre fournisseur de services de paiement (Stripe) exige une adresse de facturation afin de déterminer la juridiction fiscale appropriée. L'adresse de facturation est saisie sur la page de paiement hébergée par Stripe et conservée par Stripe. Nous ne recevons ni ne conservons l'adresse de facturation; nous recevons uniquement le montant de taxes calculé par Stripe.
• Renseignements de paiement — les numéros de carte de crédit et les codes CVV sont saisis sur la page de paiement hébergée par Stripe et n'atteignent jamais nos serveurs ni notre base de données. Nous recevons uniquement une référence de transaction, les quatre derniers chiffres de la carte, la marque de la carte et le montant.
• Carte enregistrée pour les encans — si vous misez lors d'un encan, vous autorisez l'enregistrement d'une carte par Stripe (et non par nous) afin que nous puissions facturer le prix d'adjudication final si vous remportez l'enchère. Nous conservons uniquement l'identifiant client de Stripe, jamais la carte elle-même.
• Activité de mise — lorsque vous placez une mise, nous enregistrons le montant de la mise, l'heure et l'adresse IP à partir de laquelle la mise a été placée, à titre de mesure de prévention de la fraude et de vérification.
• Données de navigation et d'appareil — pages consultées, durée approximative de la visite, type de navigateur et renseignements techniques similaires, recueillis au moyen de témoins (voir ci-dessous) et des journaux de serveur standard.
• Données d'engagement par courriel — lorsque vous recevez notre infolettre et que vous y avez consenti séparément, nous pouvons enregistrer si votre logiciel de messagerie a récupéré le message et quels liens ont été cliqués (voir « Suivi de l'infolettre » ci-dessous).

Nous ne recueillons pas de renseignements personnels directement auprès d'enfants de moins de 14 ans. Lorsqu'un parent ou un tuteur fournit des renseignements concernant un mineur au moment du paiement (par exemple, le nom de l'enfant sur un billet familial), la confirmation de la commande par le parent au moment du paiement tient lieu du consentement parental requis par la Loi 25 du Québec pour la collecte de renseignements personnels concernant un mineur de moins de 14 ans (articles 4.1 et 14).

Comment nous utilisons vos renseignements

Nous utilisons les renseignements recueillis pour :

• traiter les achats de billets, les dons, les inscriptions aux encans et les remboursements;
• vous transmettre vos billets, reçus et confirmations de commande par courriel;
• envoyer des messages transactionnels (rappels d'événements, décisions de remboursement, alertes de surenchère, avis d'enchère gagnante);
• envoyer des infolettres et des annonces de programmation, lorsque vous avez consenti à les recevoir;
• examiner les candidatures de bénévoles et communiquer avec les candidats;
• améliorer notre site Web, notre programmation et l'expérience des participants;
• détecter et prévenir la fraude, les abus et les incidents de sécurité;
• respecter nos obligations légales et fiscales.

Nous n'utilisons pas vos renseignements personnels à des fins de décision automatisée produisant des effets juridiques ou des effets importants similaires à votre égard.

Témoins et technologies similaires

Notre site Web utilise un petit nombre de témoins propriétaires strictement nécessaires (« cookies ») pour faire fonctionner le panier d'achat, le paiement, la page libre-service « Mes commandes », la session d'enchérisseur des encans et la connexion administrateur utilisée par notre personnel. Nous n'utilisons pas de témoins publicitaires, de témoins de suivi intersites ni de témoins d'analyse tiers. Nos témoins portent les attributs HttpOnly, Secure (en production) et SameSite=Lax ou plus stricts. Vous pouvez configurer votre navigateur pour refuser les témoins, mais le panier, le paiement et les fonctions d'encan ne fonctionneront pas sans eux.

Notre fournisseur de services de paiement (Stripe) et notre fournisseur de protection contre les robots (Cloudflare Turnstile) peuvent déposer leurs propres témoins sur leurs propres domaines lorsque leurs composants sont chargés; ces témoins sont régis par leurs politiques de confidentialité respectives.

Suivi de l'infolettre

Lorsque nous vous envoyons des courriels d'infolettre, notre fournisseur de services de messagerie (Resend) peut ajouter une petite image invisible (un pixel de suivi) et réécrire les liens contenus dans le courriel au moyen d'un redirecteur. Cela nous permet de voir, pour chaque destinataire, si votre logiciel de messagerie a récupéré le message et quels liens ont été suivis. Nous utilisons ces renseignements pour comprendre quels contenus intéressent nos abonnés et pour améliorer nos infolettres futures.

Ce suivi est désactivé par défaut. Nous enregistrons les données d'engagement uniquement si vous y avez consenti de façon distincte et précise — par exemple, en cochant une case dédiée, distincte de l'abonnement à l'infolettre lui-même, dans vos préférences. Nous ne regroupons pas ce consentement avec votre inscription à l'infolettre : vous pouvez recevoir l'infolettre sans faire l'objet d'un suivi. Vous pouvez retirer votre consentement en tout temps en désactivant le suivi dans vos préférences ou en vous désabonnant.

Ce que nous enregistrons (uniquement avec votre consentement) : pour chaque infolettre que nous vous envoyons, nous pouvons enregistrer la date et l'heure auxquelles votre logiciel de messagerie a récupéré le message pour la première fois, le nombre de récupérations, la date et l'heure du premier et du plus récent clic sur un lien, ainsi que le nombre total de clics. Ces données sont supprimées dans les 30 jours suivant votre désabonnement ou le retrait de votre consentement.

À propos de l'exactitude : certains logiciels de messagerie, comme Apple Mail (lorsque la protection de la confidentialité est activée) et les filtres antipourriel d'entreprise, récupèrent automatiquement les images et vérifient à l'avance les liens en votre nom, souvent avant même que vous ayez lu le message ou cliqué sur quoi que ce soit. Par conséquent, une ouverture enregistrée indique que votre logiciel de messagerie a récupéré le message, et non nécessairement que vous l'avez lu. Les données de clics sont plus fiables, mais peuvent elles aussi inclure des vérifications de sécurité automatisées.

Renseignements que nous partageons

Nous ne vendons, n'échangeons ni ne louons vos renseignements personnels à des tiers. Nous partageons des renseignements avec les catégories de fournisseurs de services suivantes, uniquement dans la mesure strictement nécessaire à la prestation de nos services :

• Stripe Payments Canada, Ltd. (entité contractante canadienne; données de paiement traitées aux États-Unis) — traitement des paiements, y compris la saisie des cartes de crédit, le filtrage de la fraude, le calcul des taxes de vente lorsqu'il est activé et (pour les encans) l'enregistrement d'une carte au dossier. Stripe reçoit votre nom, votre adresse courriel, le montant de la commande, les données de carte et (lorsque les taxes de vente sont activées) l'adresse de facturation que vous saisissez sur la page de paiement hébergée par Stripe. Stripe effectue le calcul des taxes de vente; nous ne recevons que le montant de taxes qui en résulte.
• Resend, Inc. (États-Unis) — livraison des courriels transactionnels et des infolettres. Resend reçoit votre adresse courriel, le contenu des messages que nous vous envoyons et (pour les infolettres, lorsque vous y avez consenti) les données d'engagement (ouvertures et clics).
• Cloudflare, Inc. (États-Unis) — vérification contre les robots (Turnstile) et diffusion de contenu. Cloudflare peut recevoir votre adresse IP et les métadonnées de requête standard.
• Vultr Holdings, LLC (Canada — centre de données de Toronto) — hébergement de l'application et base de données PostgreSQL principale. Vos dossiers de commande, de billetterie, de don et d'enchérisseur sont stockés sur des serveurs physiquement situés au Canada et ne sont pas transférés à l'extérieur du pays à des fins d'hébergement.
• Cloudflare R2 (États-Unis) — stockage d'objets pour les fichiers multimédias téléversés par notre personnel. Les fichiers multimédias ne contiennent généralement pas de renseignements personnels.
• Functional Software, Inc. (Sentry) (États-Unis) — signalement des erreurs. Les rapports d'erreur peuvent incidemment inclure des identifiants d'utilisateur et des métadonnées de requête.

Résidence des données. Notre base de données principale — contenant vos dossiers de commande, de billetterie, d'enchérisseur, de don, de bénévolat et d'infolettre — est hébergée au Canada (Toronto). Les renseignements personnels ne sont transférés à l'extérieur du Québec qu'aux quelques fournisseurs de services établis aux États-Unis énumérés ci-dessus (Stripe, Resend, Cloudflare, Sentry), chacun étant nécessaire à une fonction précise (paiements, courriel, sécurité, signalement des erreurs) et étant assujetti à des engagements contractuels de sécurité et de confidentialité. Avant d'autoriser tout transfert de renseignements personnels à l'extérieur du Québec, nous avons évalué chaque destinataire comme l'exige l'article 17 de la Loi 25 et conclu que vos renseignements personnels bénéficient d'un niveau de protection comparable à celui exigé par les lois québécoises et canadiennes.

Nous pouvons également divulguer des renseignements personnels si la loi ou une ordonnance d'un tribunal nous y oblige, ou pour protéger nos droits, nos biens ou notre sécurité, ou ceux de nos participants ou du public.

Incidents de confidentialité

En cas d'incident de confidentialité présentant un risque de préjudice sérieux, nous aviserons la Commission d'accès à l'information du Québec ainsi que les personnes concernées, comme l'exige la Loi 25, et nous tenons un registre interne des incidents documentant les incidents que nous avons traités ainsi que les mesures prises pour en atténuer les effets.

Comment nous protégeons vos renseignements

Nous prenons des mesures physiques, techniques et organisationnelles raisonnables pour protéger vos renseignements personnels contre la perte, le vol, l'accès, la divulgation ou la modification non autorisés. Notamment :

• L'ensemble du trafic vers et depuis notre site Web est chiffré au moyen de HTTPS / TLS.
• Les champs sensibles de notre base de données (noms, adresses courriel, numéros de téléphone, noms des personnes présentes, notes) sont chiffrés au repos au moyen d'une clé gérée séparément de la base de données.
• Les numéros de carte de crédit n'atteignent jamais nos serveurs; Stripe est un fournisseur de services certifié PCI-DSS de niveau 1.
• L'accès administratif au système de gestion de contenu est limité au personnel autorisé et protégé par des comptes individuels, avec authentification multifacteur facultative.

Conservation

Nous ne conservons les renseignements personnels que le temps nécessaire aux fins pour lesquelles ils ont été recueillis, après quoi ils sont soit supprimés, soit anonymisés. Périodes de conservation indicatives :

• Données des abonnés à l'infolettre — jusqu'à votre désabonnement; les données d'engagement sont supprimées dans les 30 jours suivant le désabonnement ou le retrait du consentement.
• Données de commande et de billetterie — pendant la durée de nos obligations fiscales, comptables et légales (généralement 6 ans après la fin de l'exercice financier concerné).
• Données des enchérisseurs — jusqu'à la clôture de l'encan et au règlement de tout litige, puis pendant la durée de nos obligations légales.
• Candidatures de bénévoles — pendant la durée du cycle de recrutement, plus un an au maximum, à moins que vous ne nous demandiez de les supprimer plus tôt.
• Journaux de vérification — aussi longtemps que nécessaire pour détecter et investiguer les incidents de sécurité.

Vos droits

Conformément à la Loi 25 du Québec et aux autres lois canadiennes applicables en matière de protection de la vie privée, vous avez le droit de :

• accéder aux renseignements personnels que nous détenons à votre sujet;
• demander la correction ou la suppression de renseignements inexacts ou périmés;
• retirer en tout temps votre consentement à toute utilisation fondée sur le consentement;
• vous désabonner de nos communications;
• demander la portabilité des renseignements personnels recueillis auprès de vous, dans un format technologique structuré et couramment utilisé;
• déposer une plainte auprès de la Commission d'accès à l'information du Québec ou du Commissariat à la protection de la vie privée du Canada.

Pour exercer l'un de ces droits, communiquez avec nous à l'adresse ci-dessous. Nous répondrons dans un délai de 30 jours.

Responsable de la protection des renseignements personnels

Comme l'exige l'article 3.1 de la Loi 25, la personne responsable de la protection des renseignements personnels au Festival de jazz de North Hatley est Eric St-Pierre, directeur des technologies de l'information, que vous pouvez joindre à vieprivee@northhatleyjazz.ca.

Modifications de la présente politique

Nous pouvons mettre à jour la présente politique de temps à autre. La date de « dernière mise à jour » indiquée au haut de cette page précise le moment des plus récentes modifications. Nous vous encourageons à consulter cette politique périodiquement.

Nous joindre

Pour toute question concernant la présente politique ou pour exercer vos droits, veuillez communiquer avec nous à vieprivee@northhatleyjazz.ca.