Disons-le tout de suite : ceci n’est pas un avis juridique. On vend une réceptionniste IA, pas des conseils d’avocat. Si votre situation est particulière, parlez à un professionnel. Ce qu’on peut faire, c’est vous expliquer ce qu’on a compris de la Loi 25 en tant que PME qui doit elle-même s’y conformer, et ce que ça change quand une IA répond à votre téléphone.
La bonne nouvelle : les principes sont simples. Recueillir moins, expliquer pourquoi, savoir où ça va, et pouvoir répondre si quelqu’un pose des questions. Le reste, c’est de la discipline.
La Loi 25, en deux paragraphes
La Loi 25 est la loi québécoise qui a modernisé les règles sur la protection des renseignements personnels dans le secteur privé. Elle s’applique à toute entreprise qui recueille des renseignements sur des personnes, peu importe sa taille. Un garage avec trois employés est concerné autant qu’une grande chaîne.
Un « renseignement personnel », c’est tout ce qui permet d’identifier quelqu’un : un nom, un numéro de téléphone, un courriel, une adresse, un motif de rendez-vous. Autrement dit, tout ce qu’une réceptionniste, humaine ou IA, note pendant un appel.
Vous recueilliez déjà ces renseignements avant l’IA. La loi s’appliquait déjà. L’IA rend seulement la question plus visible.
Consentement et minimisation : ne prenez que ce qu’il faut
Deux idées reviennent partout dans la loi. La première : la personne doit savoir pourquoi vous recueillez ses renseignements, et y consentir pour cet usage. Quand un client appelle pour prendre rendez-vous et donne son nom et son numéro, le contexte est clair. Il vous les donne pour que vous le rappeliez et confirmiez le rendez-vous. Pas pour autre chose.
La deuxième : la minimisation. Vous ne recueillez que ce qui est nécessaire. Pour une pose de pneus, vous n’avez pas besoin de la date de naissance. Pour un rendez-vous chez le coiffeur, pas besoin de l’adresse. Une réceptionniste IA bien configurée demande ce que vous lui avez dit de demander, et rien de plus.
- Listez ce que vous demandez vraiment lors d’un appel. Rayez ce qui ne sert pas.
- Assurez-vous que votre politique de confidentialité mentionne le téléphone comme moyen de collecte.
- Si les appels sont transcrits ou résumés, dites-le quelque part de visible : politique, site, message d’accueil.
- Ne réutilisez pas les numéros recueillis pour de la sollicitation sans consentement clair.
Hébergement : où vont les données, concrètement
La loi demande qu’on sache où sont conservés les renseignements, et elle encadre leur communication à l’extérieur du Québec. En règle générale, avant d’envoyer des renseignements personnels hors Québec, l’entreprise doit évaluer si la protection y sera adéquate. C’est une étape de plus, et une raison de poser la question à tout fournisseur.
De notre côté, les données de nos clients sont hébergées au Canada. On le dit parce que c’est vrai, et parce que c’est la première chose qu’un responsable de la protection des renseignements personnels nous demande. Ça ne règle pas tout, mais ça évite une évaluation de plus.
Posez aussi la question de la conservation. Combien de temps les résumés d’appels sont-ils gardés ? Qui peut les consulter ? Peut-on les supprimer sur demande ? Un fournisseur sérieux a une réponse claire à chacune de ces questions.
Le responsable et le registre : deux obligations souvent oubliées
La loi demande à chaque entreprise de désigner une personne responsable de la protection des renseignements personnels. Par défaut, c’est la personne la plus haut placée, donc, dans une PME, souvent vous. Vous pouvez déléguer, mais quelqu’un doit porter le chapeau, et son titre et ses coordonnées doivent être publiés, sur votre site par exemple.
Elle demande aussi de tenir un registre des incidents de confidentialité : une fuite, un accès non autorisé, une perte. Même si vous n’en avez jamais eu, le registre doit exister. Et si un incident présente un risque sérieux, il faut aviser la Commission d’accès à l’information et les personnes concernées.
Pourquoi ça compte avec une réceptionniste IA ? Parce que votre fournisseur devient un maillon de votre chaîne. S’il a un incident, vous devez le savoir, vite, pour remplir vos propres obligations. Ça doit être écrit dans l’entente.
Les questions à poser à un fournisseur
Que ce soit nous ou quelqu’un d’autre, voici la liste qu’on vous encourage à apporter à la rencontre. Un fournisseur qui hésite sur ces questions n’est pas prêt pour une PME du Québec.
- Où sont hébergées les données, et transitent-elles hors du Canada ?
- Quels renseignements sont recueillis lors d’un appel, et puis-je limiter cette liste ?
- Combien de temps les résumés et les enregistrements, s’il y en a, sont-ils conservés ?
- Qui, chez le fournisseur, peut consulter mes données, et pourquoi ?
- Mes données servent-elles à entraîner des modèles ou à autre chose que mon service ?
- Que se passe-t-il en cas d’incident : délai d’avis, qui contacte qui ?
- Puis-je récupérer ou faire supprimer mes données si je pars ?
Un bon fournisseur ne s’offusque pas de ces questions. Il les attend.
Par où commencer, sans paniquer
Si vous lisez ceci et que vous n’avez ni responsable désigné, ni politique, ni registre, vous n’êtes pas seul. Beaucoup de PME en sont là. Commencez par nommer quelqu’un, écrire une page simple sur ce que vous recueillez et pourquoi, et créer un document vide intitulé « registre des incidents ». C’est moins glorieux qu’une conformité parfaite, mais c’est un vrai début.
Et si vous envisagez une réceptionniste IA, apportez vos questions à la consultation gratuite de 30 minutes. On y répond franchement, avec nos réponses à nous, hébergement au Canada compris. Si votre réalité demande un avis juridique, on vous le dira aussi. Pour entendre ce que ça donne au téléphone, la démo est au 438 813-5867 en français et au 438 813-4412 en anglais.
- La Loi 25 s’applique à toute PME qui recueille des noms et des numéros, avec ou sans IA.
- Recueillez seulement le nécessaire, et dites clairement pourquoi vous le faites.
- Sachez où vos données sont hébergées et ce qui se passe en cas d’incident chez votre fournisseur.
- Nommez un responsable, tenez un registre, et posez vos questions avant de signer. Ceci n’est pas un avis juridique.
Appelez — c’est elle qui répond. 438 813-5867438 813-4412