Zapier et loi 25 au Québec : ce qui sort du Québec à chaque formulaire, ce que prévoit l’article 17, et comment réduire les données envoyées aux États-Unis.
Adib Ghamri
Dès qu’un flux Zapier transmet des renseignements personnels vers les États-Unis, l’article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé prévoit une évaluation des facteurs relatifs à la vie privée avant la communication. Une piste technique consiste à remplacer ces données par des jetons au Québec avant l’envoi, pour réduire ce qui sort du Québec. Ce que la loi exige ensuite pour ce qui sort encore est une question à valider avec un juriste.
Le présent article décrit le texte légal et détaille un patron d’architecture technique pour protéger vos opérations ; il ne constitue pas un avis juridique.
Dans une entreprise type de 25 employés, un prospect remplit une demande de soumission sur un site web. Un webhook transmet immédiatement le nom complet, le numéro de cellulaire, le courriel et l’adresse civique à un connecteur Zapier pour créer une fiche dans un logiciel de gestion et expédier une alerte dans une boîte de réception.
Ce geste paraît anodin, mais les serveurs de Zapier traitent et stockent leurs tâches sur l’infrastructure d’Amazon Web Services située aux États-Unis, principalement dans la zone us-east-1 en Virginie du Nord. Le texte de l’article 17 vise justement la communication de renseignements personnels à l’extérieur du Québec : il prévoit une évaluation préalable des facteurs relatifs à la vie privée et une entente écrite. C’est ce que dit la loi ; la façon dont elle s’applique à votre flux précis se vérifie avec un juriste.
Selon un sondage mené par la Banque de développement du Canada en septembre 2024, 61 % des PME interrogées estiment que plus une entreprise est grande, plus elle risque d’être ciblée, alors que 73 % disent avoir déjà subi un incident de cybersécurité. Statistique Canada rapporte de son côté qu’environ une entreprise canadienne sur six (16 %) a été touchée par des incidents de cybersécurité en 2023. Un flux Zapier se branche en quelques clics, et rien dans l’interface ne rappelle que les données quittent le Québec.
Pour les responsables qui supervisent la conformité et la facturation, laisser des renseignements personnels transiter sans contrôle dans des connecteurs étrangers expose l’organisation à des recours directs.
Ignorer le cadre réglementaire pour économiser du temps de développement est un calcul trompeur. La Commission d’accès à l’information peut imposer des sanctions administratives pécuniaires atteignant 10 000 000 $ CA ou 2 % du chiffre d’affaires mondial. Posons les chiffres pour une PME québécoise traitant 2 500 dossiers de clients par mois.
| Élément analysé | Scénario direct sans filtrage | Scénario avec relais local sécurisé |
|---|---|---|
| Volume mensuel | 2 500 formulaires | 2 500 formulaires |
| Localisation du traitement initial | États-Unis (AWS us-east-1) | Montréal (AWS ca-central-1 ou OVH Beauharnois) |
| Statut des données transmises à Zapier | Renseignements personnels en clair | Identifiants opaques (UUID sans valeur nominative) |
| Évaluation des facteurs relatifs à la vie privée | Prévue par l’article 17 (P-39.1) | À valider avec un juriste selon ce qui sort encore |
| Coût d’infrastructure mensuel | Forfait Zapier Pro (~30 $ USD) | Zapier Pro + Relais serveur (~15 $ CAD) |
| Exposition financière | Sanctions administratives jusqu’à 10 000 000 $ ou 2 % du chiffre d’affaires mondial | Exposition réduite, sans garantie |
Pour comprendre l’ensemble des composantes d’un projet d’intégration, consultez notre guide sur combien coûte une automatisation. L’écart financier entre un flux imprudent et un flux protégé se résume souvent à une quinzaine de dollars d’infrastructure par mois pour héberger un relais au Québec.
Pour conserver la souplesse de vos flux sans transmettre de données nominatives aux États-Unis, nous mettons en place un patron d’architecture en cinq étapes précises.
Cette approche peut notamment être orchestrée avec une passerelle open source. Vous pouvez voir comment déployer ce type d’outil dans notre article sur n8n en PME québécoise. Le résultat est net : la logique d’affaires continue de tourner dans Zapier, mais la matière première sensible reste au pays.
Plusieurs entreprises tentent des raccourcis qui ne résistent pas à une inspection réglementaire. Signer l’accord de traitement des données standard de Zapier ne suffit pas à valider vos transferts transfrontaliers. Cet accord s’appuie sur les règles européennes ou américaines, mais ne remplace pas l’évaluation des facteurs relatifs à la vie privée que prévoit l’article 17, qui tient compte du régime juridique de l’endroit où les données sont envoyées.
Une autre erreur fréquente consiste à masquer les trois premières lettres d’un courriel ou à remplacer un prénom par des astérisques. Selon l’article 23 de la Loi sur la protection des renseignements personnels dans le secteur privé et son règlement de mai 2024, une donnée n’est anonymisée que si le risque de réidentification demeure très faible en tout temps. Une simple dépersonnalisation réversible reste un renseignement personnel assujetti à la loi.
Enfin, beaucoup oublient l’historique des tâches de la plateforme. Même si votre application de destination purge les dossiers au bout de 24 heures, Zapier conserve les journaux complets des requêtes sur ses serveurs américains pendant plusieurs semaines. Pour creuser les questions d’outils tiers et de conformité légale, lisez également notre analyse : Peut-on utiliser l’IA au Québec sans enfreindre la loi 25 ?.
Le proxy de tokenisation n’est pas une baguette magique pour tous les cas de figure. Si votre flux d’automatisation a pour but explicite de faire envoyer un courriel marketing personnalisé ou un message texte par Zapier via un service tiers américain, l’adresse de destination devra forcément être transmise à un moment donné.
Dans cette situation, il reste deux voies : faire l’envoi depuis une infrastructure au Québec en utilisant le jeton comme référence, ou réaliser l’évaluation des facteurs relatifs à la vie privée que prévoit l’article 17. L’architecture technique protège les flux de synchronisation entre bases de données, mais elle ne dispense pas de tenir un registre des incidents de confidentialité, que la loi prévoit depuis septembre 2022.
L’entretien de ce relais demande également une surveillance minimale. Sur notre plateforme Fluvano, qui traite 1 240 exécutions de flux par jour sans erreur, chaque passerelle fait l’objet d’un suivi automatisé pour garantir qu’aucun rejet d’API ne provoque une perte de données.
Pour assainir vos automatisations sans perturber vos opérations quotidiennes, voici trois gestes concrets à poser cette semaine :
Si vous voulez éliminer le risque légal sans ralentir vos ventes, je vous invite à réserver l’audit d’automatisation et de conformité. En deux semaines et pour 3 500 $, montant entièrement déduit du premier chantier, nous dressons la cartographie de vos flux et nous mettons en production un premier relais conforme.
Non, Zapier n’offre pas d’hébergement localisé au Canada sur ses forfaits réguliers. L’ensemble des flux transite par les centres de données d’Amazon Web Services situés aux États-Unis, principalement en Virginie du Nord. Toute information personnelle envoyée vers l’outil quitte ainsi juridiquement le territoire québécois.
Oui, car tout renseignement permettant d’identifier directement ou indirectement une personne physique constitue un renseignement personnel. Un simple courriel professionnel nominatif ou un numéro de téléphone cellulaire suffit à déclencher l’application de la Loi 25 lors d’un transfert hors de la province.
Non. Cette entente type est rédigée surtout en fonction du RGPD européen et du droit américain. Elle ne remplace pas l’évaluation des facteurs relatifs à la vie privée que prévoit l’article 17 de la loi québécoise avant de communiquer des renseignements personnels à l’extérieur du Québec, et qui tient compte du régime juridique du pays de destination.
Les pénalités administratives imposées par la Commission d’accès à l’information peuvent atteindre 10 000 000 $ CA ou 2 % du chiffre d’affaires mondial de l’entreprise. En matière pénale, les amendes devant les tribunaux peuvent grimper jusqu’à 25 000 000 $ CA ou 4 % du chiffre d’affaires mondial.
Les sources extérieures citées dans cet article :
Écrit par
Adib Ghamri
Deux semaines, 3 500 $. Ce qui se fait à la main, ce que ça coûte par mois, un plan classé par retour, et un premier flux déjà en production.
Une commande recopiée à la main coûte deux minutes. Cent par jour font soixante-dix heures par mois, et personne n’a décidé de les dépenser.
Adib Ghamri
Le CRM connaît le client, la comptabilité connaît la facture, et aucun ne sait ce que l’autre a fait. C’est réparable, à condition de décider qui fait foi.
Adib Ghamri
Oui. La question n’est pas « a-t-on le droit », c’est « qu’est-ce qui sort, vers où, et qu’est-ce qu’on saura prouver ». Ce que la loi demande vraiment.
Adib Ghamri