Politique de confidentialité

Voici la politique de confidentialité de registrywaittimes.ca, un index public d’emplacements de bureaux de permis et d’immatriculation, de leurs heures d’ouverture et de temps d’attente estimés. Elle est écrite pour être vérifiée par rapport au logiciel plutôt que pour se vouloir rassurante, et nomme donc les champs précis et les entreprises précises concernées.

Presque tout le site fonctionne sans compte et sans savoir qui vous êtes. Un compte n’est requis que pour les alertes de temps d’attente.

Ce que vous nous fournissez

• —Votre position approximative, seulement si vous acceptez la demande d’autorisation de votre navigateur. Les coordonnées sont conservées dans la page pendant que vous l’utilisez et envoyées à notre serveur pour trouver les bureaux les plus proches. Nous ne les inscrivons pas dans notre base de données, ne les associons à aucun enregistrement de votre visite, et ne les enregistrons pas sur votre appareil — recharger la page redemande l’autorisation. Deux choses que nous préférons énoncer plutôt que cacher : lorsque nous n’avons aucun bureau en cache pour votre secteur, vos coordonnées et votre rayon de recherche sont transmis à l’API Places de Google afin d’y découvrir des bureaux; et ce même chemin de code inscrit vos coordonnées dans le journal de notre serveur, où elles demeurent aussi longtemps que notre hébergeur conserve ses journaux.
• —Les temps d’attente signalés. Lorsque vous signalez un temps d’attente, nous enregistrons le bureau, le nombre de minutes, le type de service et l’heure. C’est l’intégralité de l’enregistrement : aucun nom, aucune adresse courriel, aucune adresse IP, aucun lien à un compte. Nous ne pouvons pas remonter un signalement jusqu’à la personne qui l’a envoyé.
• —Les messages du formulaire de contact. Votre nom, votre adresse courriel, l’objet et le message. Nous conservons aussi l’adresse IP d’origine du message et la chaîne d’identification (user-agent) de votre navigateur juste à côté.
• —Votre adresse courriel, si vous créez un compte. C’est à cette adresse que nous envoyons vos liens de connexion, et elle est enregistrée de nouveau sur chaque alerte que vous créez.

Ce qui est recueilli automatiquement

• —Votre adresse IP, en transit. Chaque requête passe par notre fournisseur d’hébergement et notre fournisseur de base de données, qui voient tous deux votre adresse IP comme un élément ordinaire de la livraison d’une page web. Nous ne la copions pas dans nos propres tables, sauf pour les messages du formulaire de contact, ci-dessus.
• —Un compteur de limitation de débit. Pour empêcher que le site soit inondé, votre adresse IP est envoyée à Upstash et y est conservée comme compteur pour la durée de la fenêtre de limitation — entre une et dix minutes. Cela ne concerne pas que les formulaires : le point de terminaison de recherche de bureaux et le compteur de pages vues sont eux aussi limités en débit, donc votre adresse IP atteint Upstash pendant une navigation ordinaire.
• —Les rapports d’erreur. Lorsque quelque chose ne fonctionne pas, un rapport est envoyé à Sentry contenant l’adresse de la page, l’erreur elle-même et du contexte technique sur le navigateur ou le serveur. Nous n’avons pas activé l’option de Sentry qui joint des données de requête permettant d’identifier une personne.
• —Les statistiques, décrites dans leur propre section ci-dessous, parce que deux choses différentes s’y déroulent et une seule des deux est anonyme.

Une alerte de temps d’attente nécessite un compte, et deux éléments sont enregistrés sur notre serveur pour la faire fonctionner.

Votre adresse courriel

Lorsque vous créez une alerte, nous enregistrons l’adresse courriel de votre compte sur la ligne de cette alerte dans notre base de données, à côté du bureau et du seuil de minutes que vous avez choisi. Votre adresse est également détenue par le service d’authentification de Supabase, qui est ce qui envoie vos liens de connexion.

Les alertes sont livrées uniquement par notification du navigateur. Nous n’envoyons actuellement aucun courriel d’alerte.

Un abonnement de notification

Si vous autorisez les notifications, votre navigateur nous remet un abonnement de notification. Ce n’est ni votre adresse courriel ni votre nom. Ce sont deux choses :

• —une adresse de point de terminaison auprès du service de notification de votre fournisseur de navigateur — Google pour Chrome, Mozilla pour Firefox, Apple pour Safari, Microsoft pour Edge — qui achemine les messages vers un navigateur sur un appareil;
• —deux clés cryptographiques, afin que le message puisse être chiffré et que seul votre navigateur puisse l’ouvrir.

Nous stockons le tout en JSON sur chacune de vos alertes. Cela identifie une seule installation de navigateur, ce qui se rapproche suffisamment de l’identification d’un appareil pour valoir la peine d’être dit clairement : quiconque le détient pourrait envoyer une notification à ce navigateur. Cela reste stocké jusqu’à ce que vous le retiriez ou que votre navigateur l’invalide.

Pour envoyer une alerte, notre serveur transmet le message chiffré à ce point de terminaison, de sorte que le service de notification de votre fournisseur de navigateur peut voir qu’un message a été envoyé à votre navigateur et à quel moment. Il ne peut pas en lire le contenu.

Comment révoquer les deux

• —Désactivez les notifications du navigateur sur votre page de compte. Cela supprime immédiatement chaque abonnement de notification enregistré sur votre compte. Vos alertes restent configurées, mais rien ne peut être livré.
• —Supprimez une alerte individuelle sur la page de compte. Cela supprime toute la ligne, y compris l’adresse courriel et l’abonnement de notification qui y sont enregistrés.
• —Révoquez l’autorisation de notification pour ce site dans les paramètres de votre navigateur. Cela rompt l’abonnement à la source. Lorsqu’une livraison revient définitivement rejetée, nous supprimons automatiquement l’abonnement enregistré.
• —Supprimez votre compte sur la page de compte, ce qui retire le compte, chaque alerte, chaque adresse courriel enregistrée sur ces alertes et chaque abonnement de notification. Cela ne peut pas être annulé.

Deux choses distinctes fonctionnent sur ce site et elles ne sont pas équivalentes.

Notre propre compteur

Lorsque vous ouvrez la page d’un bureau, nous enregistrons une ligne : quel bureau, s’il s’agissait d’une page vue ou d’un signalement de temps d’attente, l’heure de la journée, le jour de la semaine, et le moment où cela s’est produit. C’est l’ensemble de la ligne, mis à part l’identifiant aléatoire que Postgres lui attribue. Aucune adresse IP, aucun témoin, aucun identifiant d’appareil, aucun lien à un compte — rien qui relie une page vue à une autre ou à vous. Cela existe pour que nous sachions quels bureaux les gens utilisent réellement, et pour que l’estimation du temps d’attente dispose d’un signal de l’achalandage d’une page.

Google Analytics

Le site charge aussi Google Analytics, ce qui est tout autre chose : il définit ses propres témoins, attribue à votre navigateur un identifiant de visiteur et transmet des données à Google. C’est ce dont vous parle la bannière de témoins, et cela envoie considérablement plus que des pages vues :

• —sur quel bureau vous avez cliqué, son nom, le temps d’attente affiché pour lui et sa distance par rapport à vous;
• —quand vous ouvrez les fenêtres de signalement ou d’alerte, pour quel bureau c’était, et comment vous avez navigué dans la recherche;
• —jusqu’où vous avez fait défiler une page, combien de temps vous êtes resté, et un score dérivé de cela lorsque vous partez;
• —ce que vous tapez dans une boîte de recherche de ce site, une fois trois caractères atteints;
• —la phrase de recherche que vous avez tapée dans Google, si c’est un résultat Google qui vous a mené ici. Votre navigateur nous la transmet dans le référent et le code d’analytique la retransmet.

Une limite de la façon dont ceci est actuellement mis en place mérite d’être énoncée clairement plutôt que laissée à découvrir.

Avant que vous ne répondiez à la bannière, Google Analytics ne fonctionne pas : le script lui-même ne se charge pas, donc aucun témoin n’est déposé, aucun identifiant n’est attribué à votre navigateur, et aucun des événements ci-dessus n’atteint Google — pour aucun visiteur, nulle part, tant que vous n’avez pas donné ce consentement. Effacer votre réponse sur la page de la politique des témoins vous ramène à ce même état silencieux, sans script.

Une chose n’est toutefois pas instantanée : refuser après avoir déjà autorisé l’analytique ne détache pas immédiatement les écouteurs qui recueillent les événements ci-dessus. Ils ont été attachés au moment où l’analytique a été activée et ne sont pas détachés au moment où vous changez d’avis, de sorte que le suivi des recherches et des références Google ci-dessus reste lié au fait que le script soit déjà chargé plutôt qu’à votre dernière réponse. Rechargez la page après avoir refusé — et après avoir réactivé l’analytique — pour être certain que le changement a pleinement pris effet.

Nous ne diffusons aucune publicité et ne vendons de données à personne.

Nous préférons décrire ce qui se passe réellement plutôt que citer une période de conservation que rien n’applique. Deux suppressions programmées existent, et rien d’autre n’est supprimé automatiquement.

Supprimé selon un calendrier

• —Les temps d’attente en cache, après sept jours.
• —Un abonnement de notification qu’un fournisseur de navigateur signale comme définitivement disparu, dès que nous voyons le rejet.

Conservé jusqu’à ce que quelqu’un le retire

• —Les messages du formulaire de contact, y compris l’adresse IP et la chaîne d’identification qui les accompagnent. Il n’y a aucune expiration automatique et aucun calendrier de suppression : un message reste au dossier, adresse IP incluse, jusqu’à ce que quelqu’un le retire manuellement. Une version antérieure de cette politique disait que les adresses IP étaient « conservées brièvement pour prévenir les abus ». Ce n’était pas vrai, et ce paragraphe le remplace. Si vous voulez qu’un message et son adresse IP soient retirés, demandez-le sur la page de contact et nous supprimerons la ligne.
• —Les temps d’attente signalés et les compteurs anonymes de pages vues et de signalements. Ceux-ci ne portent aucun identifiant et c’est ce à partir de quoi les estimations publiées sont construites.
• —Votre compte, vos alertes et vos abonnements de notification, jusqu’à ce que vous les retiriez vous-même.

Ces entreprises traitent des données pour notre compte. Les nommer est l’objet de cette section.

• —Supabase — la base de données Postgres et le service d’authentification. Tout ce que cette politique dit que nous stockons est stocké là. Supabase détient aussi l’adresse courriel de votre compte et envoie vos liens de connexion.
• —Vercel — hébergement et livraison de contenu. Sert chaque page et exécute les tâches programmées, et voit les métadonnées de requête, y compris votre adresse IP.
• —Upstash — Redis, utilisé uniquement pour la limitation de débit par IP décrite ci-dessus.
• —Sentry — surveillance des erreurs et de la performance. Reçoit des rapports d’erreur contenant des adresses de page et du contexte technique.
• —Google — dans trois rôles distincts. Google Places fournit les noms, adresses et heures d’ouverture des bureaux. La plupart des recherches sont répondues à partir de notre propre cache, mais lorsque nous n’avons rien en cache pour le secteur que vous cherchez, vos coordonnées et votre rayon sont envoyés à Google afin d’y trouver des bureaux. Google Analytics est décrit ci-dessus. Le service de notification de Google achemine aussi les notifications vers Chrome, comme le fait le service de notification de chaque fournisseur de navigateur pour son propre navigateur.

• —Position — refusez la demande, ou révoquez l’autorisation dans les paramètres de votre navigateur. Rien n’est enregistré sur votre appareil dans un cas comme dans l’autre.
• —Analytique — refusez sur la bannière de témoins, ou changez votre réponse à tout moment sur la page de la politique des témoins.
• —Notifications — désactivez les notifications du navigateur sur votre page de compte, ou révoquez l’autorisation de notification du site dans votre navigateur.
• —Alertes individuelles — retirez-les sur la page de compte.
• —Tout votre compte — supprimez-le sur la page de compte. Cela retire le compte, chaque alerte, les adresses courriel enregistrées et chaque abonnement de notification, immédiatement et définitivement.
• —Messages de contact — demandez-nous et nous supprimerons le message et l’adresse IP qui l’accompagne.

Selon l’endroit où vous vivez, vous pourriez avoir d’autres droits pour voir, corriger, exporter ou restreindre ce que nous détenons à votre sujet. Demandez sur la page de contact et nous nous en occuperons.

Le site est servi en HTTPS. Les lignes d’alertes sont protégées par la sécurité au niveau des lignes de la base de données, de sorte qu’un compte connecté ne peut lire et écrire que les siennes. Les messages du formulaire de contact ne peuvent pas être lus du tout avec la clé publique de la base de données — les lire nécessite une identification côté serveur. Les opérations administratives comme la suppression d’un compte utilisent une clé réservée au serveur qui n’est jamais envoyée à un navigateur.

Aucun système n’est parfait, et nous n’allons pas prétendre que celui-ci l’est.

La Loi 25 du Québec exige que chaque organisation traitant des renseignements personnels désigne une personne responsable de leur protection. C’est le rôle du responsable de la protection des renseignements personnels, joignable à privacy@registrywaittimes.ca. Écrivez à cette adresse pour toute question sur cette politique, pour exercer les droits décrits ci-dessus, ou pour signaler une préoccupation sur la façon dont vos renseignements sont traités — c’est le rôle, et non une personne en particulier, que vous joignez.

Utilisez la page de contact. Comme décrit ci-dessus, un message envoyé de cette façon stocke votre nom, votre adresse courriel et votre message, ainsi que l’adresse IP d’où il provient.