L'article 12.1 §2 de la Loi 25 vous garantit le droit de comprendre les facteurs et paramètres d'une décision automatisée. Voici les nôtres, en toute transparence.
Veridy produit deux scores distincts par entreprise scannée. Ils mesurent des choses différentes et ne doivent pas être confondus.
companies.loi25_score — Plus haut = l'entreprise a besoin de Veridy
| Facteur | Pts max |
|---|---|
| Secteur à risque (santé, finance, juridique) | 40 |
| IA / chatbot détecté | 30 |
| Technologies tierces (3 pts/techno) | 15 |
| Site actif (présence web) | 10 |
| Bonus IA + secteur sensible | +10 |
audit_runs.loi25_score — Plus bas = pire transparence observée
| Pénalité | Malus |
|---|---|
| CMP absente (art. 13-15 consentement) | -5 à -20 (gradué selon nombre de traceurs) |
| Politique de confidentialité absente (art. 3.2 gouvernance) | -15 |
| Sous-traitant US (art. 17) | -8/techno (cap -15) |
| Email US — CLOUD Act (art. 17) | -22 (CA/US) ou -40 (US/US) |
| Hébergement US (art. 17) | -12 (CA/US) ou -25 (US/US) |
| Profilage/décision automatisée non documenté (art. 12.1) | -15 |
| Sur-collecte cookies avant consentement (art. 13-15) | -10 |
| Bonus A1 (CMP présente + politique complète) | cap anti-overshoot (plafond A+) |
Démarre à 100, descend selon les signaux détectés. Bonus A1 plafonné pour éviter les faux A+.
Barème public et verrouillé. Toute modification déclenche un recalcul global et un test anti-régression côté pipeline.
| Grade | Score transparence | Interprétation |
|---|---|---|
| A++ | ≥ 99 | Exemplaire — politique complète + CMP + headers + infrastructure souveraine |
| A+ | 95-98 | Transparence très élevée (politique + CMP + RPRP + gouvernance) |
| A | 80-94 | Transparence élevée, quelques observations mineures |
| B | 70-79 | Transparence acceptable, ajustements souhaitables |
| C | 55-69 | À surveiller, plusieurs manquements moyens |
| D | 40-54 | Signaux importants, action recommandée |
| F | < 40 | Signaux critiques, intervention requise |
L'article 17 pondère les transferts selon deux dimensions : où sont les données ET où est le siège social. Les CDN (Cloudflare, Fastly, Akamai) sont exemptés du compteur de sous-traitants US mais restent des transferts au sens de l'art. 17. Le Canada hors Québec est un transfert — le régime canadien (LPRPDE) est reconnu équivalent, ce qui réduit la pénalité, mais ne l'élimine pas.
| Données ↓ / Siège → | 🇨🇦 Québec | 🇨🇦 Canada | 🇺🇸 États-Unis | 🇪🇺 Europe | 🇨🇳 CN / 🇷🇺 RU |
|---|---|---|---|---|---|
| 🇨🇦 Québec | 0 🟢 | 0 🟡 | -13 🟠 | -2 🟡 | -15 🟠 |
| 🇨🇦 Canada | -5 🟡 | -6 🟡 | -14 🟠 | -6 🟡 | -16 🟠 |
| 🇺🇸 États-Unis | -25 🔴 | -25 🔴 | -25 🔴 | -22 🔴 | -25 🔴 |
| 🇪🇺 Europe | -5 🟡 | -6 🟡 | -13 🟠 | -10 🟡 | -15 🟠 |
| 🇨🇳 CN / 🇷🇺 RU | -25 🔴 | -25 🔴 | -25 🔴 | -25 🔴 | -25 🔴 |
Le DNS suit la même matrice que l'hébergement. Un registrar US (Cloudflare, Route 53, NS1/IBM) soumet votre DNS au CLOUD Act, même si les serveurs sont géolocalisés au Canada.
| Données ↓ / Siège → | 🇨🇦 Québec | 🇨🇦 Canada | 🇺🇸 États-Unis | 🇪🇺 Europe | 🇨🇳 CN / 🇷🇺 RU |
|---|---|---|---|---|---|
| 🇨🇦 Québec | 0 🟢 | 0 🟡 | -13 🟠 | -1 🟡 | -15 🟠 |
| 🇨🇦 Canada | -5 🟡 | -6 🟡 | -14 🟠 | -6 🟡 | -16 🟠 |
| 🇺🇸 États-Unis | -25 🔴 | -25 🔴 | -25 🔴 | -22 🔴 | -25 🔴 |
| 🇪🇺 Europe | -5 🟡 | -6 🟡 | -13 🟠 | -6 🟡 | -15 🟠 |
| 🇨🇳 CN / 🇷🇺 RU | -25 🔴 | -25 🔴 | -25 🔴 | -25 🔴 | -25 🔴 |
La messagerie est plus sensible car elle expose des communications personnelles soumises au CLOUD Act américain.
| Données ↓ / Siège → | 🇨🇦 Québec | 🇨🇦 Canada | 🇺🇸 États-Unis | 🇪🇺 Europe | 🇨🇳 CN / 🇷🇺 RU |
|---|---|---|---|---|---|
| 🇨🇦 Québec | 0 🟢 | 0 🟡 | -20 🟠 | -1 🟡 | -24 🟠 |
| 🇨🇦 Canada | -8 🟡 | -10 🟡 | -22 🟠 | -10 🟡 | -26 🟠 |
| 🇺🇸 États-Unis | -40 🔴 | -40 🔴 | -40 🔴 | -35 🔴 | -40 🔴 |
| 🇪🇺 Europe | -8 🟡 | -10 🟡 | -20 🟠 | -6 🟡 | -24 🟠 |
| 🇨🇳 CN / 🇷🇺 RU | -40 🔴 | -40 🔴 | -40 🔴 | -40 🔴 | -40 🔴 |
| Régime | Sévérité | Mécanisme juridique | Obligations dans la politique |
|---|---|---|---|
| 🟢 Québec | none | Aucun transfert | — |
| 🟩 Europe (RGPD) | low | Régime équivalent (RGPD). Aucune ordonnance directe US (le RGPD art. 48 bloque l'exécution directe du CLOUD Act), mais l'entraide judiciaire (MLAT) demeure possible | Fournisseur + datacenter + RGPD + entente écrite + équivalence |
| 🟡 Canada hors QC | low | Régime équivalent (LPRPDE) mais transfert au sens de l'art. 17 | Équivalence documentée + entente écrite + information des clients |
| 🟠 États-Unis | high | CLOUD Act : le fournisseur US doit produire les données qu'il contrôle, peu importe où elles dorment | Fournisseur + localisation + siège/CLOUD Act + entente écrite (DPA) + EFVP (17.3) + équivalence |
| 🔴 CN / RU | critical | National Intelligence Law art. 7 : coopération au renseignement obligatoire, sans contrôle judiciaire | EFVP + divulgation explicite AVANT la collecte |
L'hébergement est plafonné à 62,5 % de la pénalité messagerie (données web moins sensibles que les communications). Un siège social ailleurs — même au Canada — déclenche l'entente écrite dès qu'il y a accès aux données depuis hors Québec (art. 17 al. 1 2°).
La matrice encode le risque géographique ; la documentation module la facture, selon les 3 piliers que la CAI examine à l'art. 17 : information des personnes (al. 1), évaluation d'équivalence (al. 2), entente écrite (al. 4).
| Statut du transfert dans la politique | Multiplicateur | Exemple |
|---|---|---|
| Non divulgué — la juridiction n'est pas nommée | × 1,25 | « Nous protégeons vos données » (silence total) |
| Divulgué sans entente ni cadre légal | × 1,00 | « Données traitées aux États-Unis » |
| Divulgué + entente écrite + cadre légal nommé | × 0,75 | « États-Unis (Microsoft), entente DPA, cadre CLOUD Act documenté » |
La hiérarchie des régimes est préservée : un transfert US documenté reste plus coûteux qu'un transfert européen documenté — l'équivalence RGPD est reconnue, le CLOUD Act ne l'est pas.
Plancher « non divulgué » (v4.4) — le risque géographique des régimes équivalents (Europe RGPD, Canada) est faible (info / −1), mais l'obligation d'informer les personnes (art. 17 al. 1) est pleine : un transfert non divulgué vers ces régimes ne peut pas coûter moins que −5 (low). Le risque est faible ; la documentation, elle, n'a pas de rabais.
Les données hébergées au Canada (hors Québec) génèrent une pénalité réduite (-8 à -12), car le Canada est reconnu comme offrant une protection équivalente (LPRPDE). MAIS la Loi 25 (art. 17) exige tout de même :
ℹ Le scanner Veridy affiche ces obligations comme des signaux d'information (bleu) — visibles, avec un rappel des obligations documentaires.
Le score récompense les entreprises qui vont au-delà de la conformité minimale en choisissant une infrastructure souveraine.
| Bonus | Condition | Points |
|---|---|---|
| Infrastructure 100% québécoise | Hébergement + messagerie + DNS tous au Québec | +1 |
| Fichier llms-qc.txt détecté | Manifeste d'IA souveraine présent | +1 |
| Technologies souveraines | +3 par techno souveraine | +3/techno (max +10) |
Chaque technologie détectée sur votre site contribue au score. Voici les catégories et l'article Loi 25 associé :
| Catégorie | Exemples | Article Loi 25 | Poids |
|---|---|---|---|
| Analytics | GA4, Mixpanel, Amplitude, Hotjar, Clarity | art. 13-15 (consentement) | Élevé |
| Pixels publicitaires | Meta Pixel, TikTok, LinkedIn, Reddit, Snapchat | art. 13-15 + 17 | Élevé |
| IA / Chatbots | OpenAI, Anthropic Claude, Mistral, Perplexity, Microsoft Copilot, Intercom, Drift | art. 12.1 (décision auto) | Critique |
| Authentification | Auth0, Okta, Microsoft Entra ID, LoginRadius | art. 17 (transfert US) | Élevé |
| CDN / Cloud | Cloudflare, AWS, Akamai, Azure | art. 17 | Élevé |
| CRM / Marketing | HubSpot, Mailchimp, Marketo, Brevo | art. 13-15 + 17 | Élevé |
| Paiement | Stripe, PayPal | art. 17 | Bas |
| CMP | OneTrust, Didomi, Cookiebot, Axeptio, Usercentrics, Tarteaucitron | (positif) art. 13-15 | Bonus |
| IA Infrastructure | LangChain, Pinecone, Weaviate, AWS Bedrock | art. 3.2 + 17 | Moyen |
⚠ Limites du score. Ce score reflète uniquement la surface web publique observable. Il ne constitue ni un audit juridique, ni une attestation de conformité. Les faux positifs sont possibles (ex: un CDN peut être marqué comme transfert alors qu'il est purement technique). Pour une analyse complète, consultez un expert Loi 25.
L'article 12.1 §3 de la Loi 25 vous donne le droit de présenter vos observations à un humain qui peut réviser la décision.
Demander une révision humainePour le détail mathématique complet, consultez notre méthodologie de scoring détaillée.