Loi 25 et données hébergées au Québec : ce qu’un entrepreneur doit exiger de son logiciel
Où vivent vos soumissions, vos employés, vos clients ? La Loi 25 vous rend responsable. Les questions à poser à tout fournisseur — et les réponses de BatiCore.
Vos soumissions contiennent les noms et adresses de vos clients. Vos dossiers d'employés contiennent des NAS, des taux horaires, parfois des dossiers d'accident. Depuis la Loi 25, c'est vous — pas votre fournisseur de logiciel — qui répondez de ces renseignements. Ce qui fait du choix du logiciel une décision de conformité, pas seulement d'efficacité.
Ce que la Loi 25 exige concrètement d'un entrepreneur
- Un responsable désigné de la protection des renseignements personnels (par défaut : le plus haut dirigeant — vous).
- Un registre des incidents de confidentialité, et la déclaration à la Commission d'accès à l'information en cas de risque de préjudice sérieux.
- L'encadrement des transferts hors Québec : toute communication de renseignements personnels à l'extérieur exige une évaluation préalable (EFVP) démontrant une protection adéquate.
- Répondre aux demandes d'accès et de rectification de vos clients et employés.
Votre logiciel de gestion est votre principal sous-traitant de données : il détient tout. D'où les questions qui suivent.
Les 5 questions à poser à tout fournisseur
- « Où sont hébergées mes données — pays et région précise, pas “dans le cloud” ? »
- « Quels sous-traitants touchent à mes données, et dans quels pays ? La liste est-elle publique ? »
- « Les données sensibles (NAS, paie, santé/CNESST) sortent-elles du Québec ? »
- « Offrez-vous un registre des incidents et des outils pour répondre aux demandes d'accès ? »
- « Que se passe-t-il à la résiliation — exports, délais de rétention, destruction ? »
Un fournisseur sérieux répond à ces cinq questions par écrit. Un silence est une réponse.
Les réponses de BatiCore, publiquement
- Hébergement au Canada, région AWS de Montréal (ca-central-1) : base de données, fichiers, sauvegardes chiffrées — tout.
- Paie, santé et NAS ne quittent jamais le Québec. Aucun flux de ces données vers un tiers, point.
- Sous-traitants documentés publiquement — la liste, avec le pays de chacun (courriels transactionnels, paiements, assistant IA sur consentement), vit sur notre page confidentialité et notre page Loi 25.
- Outils intégrés : registre des incidents de confidentialité prêt à remplir, journal d'audit inviolable (chaîne de hachage), exports complets en tout temps, purge encadrée à la résiliation.
- L'assistant IA est sur consentement explicite, recueilli à l'inscription — et les briefs envoyés sont expurgés des renseignements personnels identifiables.
Essai gratuit de 14 jours, sans carte de crédit — créez une vraie soumission dès aujourd'hui.
Questions fréquentes
La Loi 25 s’applique-t-elle à une petite entreprise de construction ?
Oui. Dès que vous détenez des renseignements personnels — noms et coordonnées de clients, dossiers d’employés, NAS pour la paie — vous avez des obligations : désigner un responsable, tenir un registre des incidents, encadrer les communications hors Québec et répondre aux demandes d’accès. La taille de l’entreprise ne change pas l’obligation.
Est-il interdit d’utiliser un logiciel américain ?
Non — mais tout transfert de renseignements personnels hors du Québec exige une évaluation (EFVP) démontrant une protection adéquate, et vos clients doivent en être informés. En pratique : demandez à votre fournisseur OÙ sont hébergées les données et exigez la liste de ses sous-traitants. S’il ne peut pas répondre, c’est une réponse.
Où BatiCore héberge-t-il les données ?
Au Canada, dans la région AWS de Montréal (ca-central-1) : base de données, fichiers et sauvegardes. Les données de paie, de santé (dossiers CNESST) et les NAS ne quittent jamais le Québec. Les rares flux vers des tiers (courriels transactionnels, paiements, assistant IA sur consentement) sont documentés publiquement sur notre page confidentialité, avec le pays de chaque sous-traitant.
Qu’est-ce qu’un registre des incidents de confidentialité ?
Un registre obligatoire (art. 3.5 et suivants) où l’entreprise consigne tout incident touchant des renseignements personnels — perte, accès non autorisé — avec l’évaluation du risque de préjudice sérieux et, le cas échéant, la déclaration à la Commission d’accès à l’information. BatiCore fournit ce registre intégré, prêt à remplir.
Nous construisons BatiCore, un logiciel de gestion pour les entrepreneurs en construction du Québec — soumissions, chantiers, paie CCQ, conformité. Nos articles citent des sources publiques datées ; quand un fait vient d'un organisme ou d'un concurrent, on dit lequel et quand. Une erreur ? Écrivez-nous, on corrige.
À lire aussi
Tous les articles →Programme de prévention ou plan d’action : ce que la CNESST attend d’une entreprise de construction (2026)
Plan d’action avant le 1ᵉʳ octobre 2026, programme de prévention à 20 travailleurs, règles du chantier : qui doit quoi en construction, et par où commencer.
Lire l'articleSe faire payer au Québec : dénonciation, hypothèque légale et quittances — le calendrier à ne pas rater
Quand dénoncer son contrat, les 30 jours pour inscrire l’hypothèque légale, les 6 mois pour la conserver, et ce que valent vraiment retenues et quittances.
Lire l'article