Politique de confidentialité

Protection des renseignements personnels — Groupe Gamache

Entrée en vigueur : 16 septembre 2026

1. Objectif et champ d'application

Le Centre du Camion Gamache, Groupe Gamache et l'ensemble de leurs divisions, filiales et sites Web (« Gamache », « nous ») décrivent dans cette politique la manière dont ils recueillent, utilisent, communiquent, conservent, protègent et détruisent les renseignements personnels des personnes avec lesquelles ils font affaire, conformément à la Loi sur la protection des renseignements personnels dans le secteur privé (Québec) telle que modifiée par la Loi 25 et aux lois canadiennes applicables. Elle s'applique à tous les renseignements personnels recueillis par Gamache, peu importe le support, ainsi qu'à toute personne faisant affaire avec Gamache (visiteurs, clients, acheteurs/vendeurs, demandeurs de financement, fournisseurs, partenaires, candidats, employés, utilisateurs de l'assistant virtuel, etc.), et à tous les sites Web et plateformes numériques exploités par Gamache, notamment groupegamache.com, gamex.ca et financementgamache.com.

2. Définitions clés

Renseignement personnel : tout renseignement permettant d'identifier, directement ou indirectement, une personne physique (nom, coordonnées, renseignements financiers, renseignements sur un véhicule, historique d'achats, localisation, adresse IP, historique de conversation avec le chatbot, etc.).
Renseignement personnel sensible : renseignement qui, par sa nature notamment médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou de sa communication, suscite un haut degré d'attente raisonnable en matière de vie privée. Des mesures de protection renforcées lui sont appliquées.
Traitement : toute opération sur un renseignement personnel (collecte, utilisation, communication, conservation, destruction, etc.).
Assistant virtuel (chatbot) : service conversationnel alimenté par l'IA, disponible sur certains sites de Gamache, qui répond aux questions générales, aide à trouver un véhicule ou une pièce, et transmet les demandes qualifiées à un représentant.

3. Principes généraux

Gamache est responsable des renseignements qu'elle détient, ne recueille que ce qui est nécessaire à ses activités, utilise les renseignements uniquement aux fins pour lesquelles ils ont été recueillis (sauf autorisation légale), prend des mesures raisonnables pour qu'ils demeurent exacts et à jour, et informe les personnes concernées des renseignements recueillis, des fins poursuivies, des catégories de personnes y ayant accès, de la durée de conservation et de leurs droits.

4. Collecte et consentement

Selon la nature de nos activités, nous pouvons recueillir : nom, coordonnées, entreprise, langue de préférence, renseignements financiers ou liés à une demande de financement, informations sur les véhicules recherchés, historique des demandes, et tout renseignement transmis volontairement à notre équipe ou à l'assistant virtuel. Ces renseignements sont obtenus par formulaire Web, téléphone, courriel, en personne, en concession, via le chatbot, lors d'activités promotionnelles ou d'événements, via des plateformes publicitaires, ou par témoins de connexion. Lorsque le consentement est requis, il est demandé directement à la personne concernée. Il doit être manifeste, libre, éclairé, donné à des fins spécifiques, demandé distinctement pour chacune de ces fins et pour la durée nécessaire. Un consentement exprès est obtenu lorsqu'un geste positif est requis; un consentement implicite peut s'appliquer aux utilisations et communications nécessaires aux fins principales clairement annoncées au moment de la collecte. Le consentement peut être retiré en tout temps, sous réserve des obligations légales ou contractuelles applicables et des conséquences préalablement expliquées.

5. Assistant virtuel (chatbot) et intelligence artificielle

L'utilisation du chatbot est entièrement volontaire. Selon la conversation, il peut recueillir les questions posées, les réponses générées, les préférences d'achat (type de véhicule, budget, délai), et, avec consentement explicite, le prénom, le courriel ou le téléphone. Ces renseignements servent à répondre aux questions, trouver un véhicule, transmettre une demande qualifiée, assurer le suivi, améliorer le service et prévenir les abus. Avant l'envoi du premier message, un avis de confidentialité clairement affiché présente les renseignements recueillis, les fins du traitement et un lien vers la présente politique. Après avoir pris connaissance de cet avis, l'envoi d'un premier message manifeste le consentement au traitement nécessaire au fonctionnement du service. La collecte de coordonnées ou toute utilisation facultative requiert un consentement distinct lorsqu'il est exigé par la loi. L'utilisateur peut interrompre la conversation en tout temps et demander la suppression de son historique auprès du RPRP, sous réserve des obligations légales de conservation.

Le chatbot n'est pas destiné aux personnes de moins de 14 ans. Une personne de moins de 14 ans ne doit pas l'utiliser ni transmettre de renseignements personnels sans l'autorisation du titulaire de l'autorité parentale. Tout renseignement recueilli en contravention à cette exigence est supprimé dans les meilleurs délais lorsqu'il est porté à l'attention de Gamache. L'IA est utilisée exclusivement comme outil d'assistance à la communication (compréhension des questions, recherche d'information, orientation des utilisateurs) et peut générer des réponses comportant des erreurs; un représentant humain peut prendre le relais. Aucune décision juridique, financière ou commerciale (vente, achat, financement, prix, devis ferme ou rendez-vous) n'est prise exclusivement par un système automatisé — chacune est validée par un représentant de Gamache.

6. Communication des renseignements personnels

Gamache ne vend jamais de renseignements personnels à des tiers. Ils ne sont communiqués qu'aux personnes ou organisations qui en ont besoin pour fournir un service ou respecter une obligation contractuelle ou légale, et l'accès interne est limité aux employés dont les fonctions l'exigent (principe du besoin de connaître). Gamache fait appel à des fournisseurs spécialisés (hébergement, infonuagique, courriel, marketing, statistiques, financement, service à la clientèle, chatbot, sécurité informatique), chacun lié par une entente contractuelle prévoyant les fins autorisées, les mesures de sécurité, la confidentialité, l'interdiction d'utilisation à d'autres fins, notamment pour l'entraînement de leurs propres modèles, l'obligation de signaler tout incident et la destruction des renseignements en fin de mandat. Fournisseurs technologiques utilisés par le chatbot et ses services connexes, agissant comme sous-traitants techniques :

Fournisseur	Rôle
InnovXAI Inc.	Développement et maintenance du chatbot
MongoDB Atlas	Base de données des conversations et de l'inventaire
Cohere Inc.	Recherche sémantique
Vercel Inc.	Hébergement du widget Web
Auth0 / Okta	Authentification du tableau de bord
Anthropic	Moteur d'intelligence artificielle
OpenAI	Moteur d'intelligence artificielle
Railway	Hébergement des services API
Sentry	Surveillance technique et journalisation des erreurs
Microsoft Clarity	Mesure et analyse de l'utilisation du site

7. Transferts hors Québec

Certains fournisseurs traitent ou hébergent des renseignements à l'extérieur du Québec, au Canada ou aux États-Unis. Gamache a réalisé une évaluation des facteurs relatifs à la vie privée pour le chatbot, l'utilisation de l'IA et ces transferts. Cette évaluation tient notamment compte de la sensibilité des renseignements, des fins poursuivies, des mesures de protection et du régime juridique applicable dans le territoire concerné. Gamache met en place les mesures contractuelles et de sécurité nécessaires afin que les renseignements bénéficient d'une protection adéquate.

8. Témoins de connexion (cookies) et stockage local

Les sites de Gamache utilisent des témoins essentiels, fonctionnels, analytiques, de performance, publicitaires et de sécurité, gérables au moyen de la bannière de consentement ou des paramètres du navigateur. Les témoins et technologies non essentiels sont désactivés par défaut et ne sont activés qu'après le consentement de l'utilisateur. Aucun témoin publicitaire propre au chatbot n'est déposé. Le widget du chatbot peut enregistrer dans le stockage local du navigateur les éléments techniques non publicitaires suivants :

Fonction	Finalité
Identifiant de session	Maintenir la conversation entre plusieurs visites
Préférence de consentement	Conserver le choix de consentement
Préférence linguistique	Conserver la langue sélectionnée

9. Outils d'analyse et de mesure

Gamache utilise Google Analytics, Google Tag Manager, Google Ads, Meta Pixel et Microsoft Clarity afin d'obtenir des statistiques, d'améliorer l'expérience utilisateur et d'optimiser les campagnes publicitaires. Ces outils demeurent désactivés jusqu'à ce que l'utilisateur y consente au moyen de la bannière de consentement. Dans la mesure du possible, les renseignements sont agrégés ou anonymisés avant analyse.

10. Conservation, destruction et sécurité

Les renseignements sont conservés uniquement pour la durée nécessaire aux fins pour lesquelles ils ont été recueillis ou pour respecter les obligations légales, puis détruits ou anonymisés de façon sécuritaire. Pour le chatbot, les suppressions sont appliquées automatiquement, y compris dans les systèmes secondaires, selon les délais suivants : historique des conversations après 365 jours, coordonnées des prospects après 730 jours et journaux techniques après 30 jours. Gamache applique des mesures de sécurité administratives, physiques et technologiques raisonnables : contrôle des accès, authentification, journalisation, chiffrement, pare-feu, surveillance, sauvegardes, gestion des vulnérabilités et formation des employés. En cas d'incident de confidentialité présentant un risque sérieux de préjudice, Gamache limite les conséquences, documente l'incident, avise la Commission d'accès à l'information du Québec et les personnes concernées lorsque la loi l'exige, et met en place des mesures correctives.

11. Responsable de la protection des renseignements personnels (RPRP)

Le RPRP veille au respect des lois applicables et de la présente politique : approbation des politiques internes, supervision des pratiques, traitement des demandes d'accès et de rectification, gestion des incidents, réponse aux plaintes et réalisation des évaluations de facteurs relatifs à la vie privée.

Responsable actuelle : Catherine Gamache, CPA, CMA — Directrice des ressources humaines
Téléphone : 1 800 363-3881
Courriel : catherinegamache@gamache.net

En cas d'absence, cette responsabilité est assumée par la personne désignée par la direction.

12. Droits des personnes concernées

Accès : confirmer que Gamache détient des renseignements personnels concernant la personne et en obtenir communication, sous réserve des exceptions prévues par la loi.
Rectification : corriger un renseignement inexact, incomplet ou équivoque, ou contester une collecte, une communication ou une conservation qui n'est pas autorisée par la loi.
Retrait du consentement : en tout temps, sans effet rétroactif sur les traitements déjà effectués; peut limiter certains services.
Cessation de diffusion et désindexation : demander la cessation de diffusion d'un renseignement ou la désindexation ou réindexation d'un hyperlien lorsque les conditions prévues par la loi sont réunies.
Portabilité : recevoir les renseignements personnels informatisés admissibles dans un format technologique structuré et couramment utilisé, ou en demander le transfert à une personne ou à un organisme autorisé à les recueillir, lorsque la loi le permet et que cela ne soulève pas de difficultés pratiques sérieuses.
Prospection commerciale : exiger que les renseignements personnels ne soient plus utilisés à des fins de prospection commerciale.
Suppression : demander la suppression de renseignements lorsque la loi le permet, sous réserve des obligations légales ou contractuelles de conservation.

Les utilisateurs du chatbot bénéficient des mêmes droits. Les demandes d'accès aux conversations sont traitées manuellement après vérification de l'identité et dans la mesure où la conversation peut être rattachée au demandeur. Ils peuvent également demander la correction d'un renseignement, la suppression de leur historique sous réserve des exceptions applicables, le retrait du consentement à une utilisation future et l'intervention d'un représentant humain.

13. Exercice des droits et plaintes

Toute demande doit être transmise par écrit au RPRP avec le nom complet, les coordonnées et une description suffisamment précise; une preuve d'identité peut être exigée. Une opposition à l'utilisation de renseignements à des fins de prospection commerciale peut être formulée par écrit ou verbalement. Gamache donne suite à une demande d'accès, de rectification, de portabilité, de cessation de diffusion ou de désindexation dans les 30 jours de sa réception. En cas de refus, Gamache communique par écrit les motifs du refus ainsi que les recours prévus par la loi. Toute plainte relative au non-respect de cette politique doit être transmise par écrit au RPRP avec les coordonnées du plaignant, une description détaillée et les documents pertinents. Chaque plainte est traitée confidentiellement et une réponse écrite est transmise dans les délais légaux. Une personne insatisfaite peut ensuite s'adresser à la Commission d'accès à l'information du Québec.

14. Évaluation des facteurs relatifs à la vie privée, révision et publication

Lorsqu'un nouveau projet, une nouvelle technologie ou un nouveau traitement est susceptible de présenter des risques pour la vie privée, notamment l'implantation d'un système d'IA ou le recours à un nouveau fournisseur, Gamache réalise l'évaluation des facteurs relatifs à la vie privée requise avant sa mise en œuvre. Une telle évaluation a été réalisée pour le chatbot, ses fonctions d'IA et les transferts de renseignements hors Québec. Cette politique est révisée périodiquement selon l'évolution législative, technologique et opérationnelle. Gamache peut la modifier en tout temps; toute modification importante est publiée sur ses sites Web avec la date d'entrée en vigueur. La version la plus récente remplace toute version antérieure et entre en vigueur à la date de son adoption.

Tableau des versions

Version	Date	Description
3.0	16 septembre 2026	Mise à jour complète : IA, chatbot, nouveaux fournisseurs, transferts hors Québec, harmonisation Loi 25.
2.0	13 septembre 2023	Ajout de l'annexe
1.0	20 avril 2023	Première version

Annexe A — Catégories de renseignements et technologies

Résumé des principales catégories de renseignements personnels susceptibles d'être recueillies, à titre indicatif; la liste peut évoluer selon les services, technologies ou obligations légales.

Clients et clients potentiels

Nom, prénom, courriel, téléphone, ville, province, entreprise, langue, historique des demandes et préférences d'achat — recueillis par formulaire, téléphone, en personne, courriel, CRM ou chatbot, aux fins d'identification, communication, suivi et service à la clientèle.

Financement, recrutement et infolettre

Financement : nom, coordonnées, employeur, revenus, historique d'emploi et renseignements financiers, aux seules fins d'évaluation d'une demande de crédit. Recrutement : CV, expérience, formation, références et compétences, aux fins d'évaluation des candidatures. Infolettre : prénom, courriel, langue et préférences marketing, avec désabonnement possible en tout temps.

Assistant virtuel (chatbot) — catégories recueillies

Catégorie	Obligatoire
Questions posées / réponses générées	Oui
Type de camion recherché, budget, marque, délai d'achat	Non
Nom, courriel, téléphone, ville	Non

Fournisseurs technologiques (usage général)

Microsoft 365 (courriel), Google (analytique et publicité), Meta (publicité), Microsoft Clarity (mesure et analyse de l'utilisation du site), SugarCRM (gestion de la relation client), ainsi que les fournisseurs du chatbot listés à la section 6. Toute modification importante de cette liste est reflétée dans la politique.

Durées de conservation indicatives

Catégorie	Durée
Conversation du chatbot	365 jours
Prospect qualifié	730 jours
Journaux techniques	30 jours
Autres (demande Web, client actif, financement, analytique)	Selon la finalité ou les obligations légales/réglementaires

Glossaire

Chatbot : assistant virtuel utilisant l'IA pour répondre aux visiteurs.
Consentement explicite : donné clairement par une action positive. Consentement implicite : déduit du comportement dans les cas prévus par la loi.
LocalStorage : mécanisme de stockage de données dans le navigateur de l'utilisateur.
RPRP : Responsable de la protection des renseignements personnels.