Vos reconnaissances dorment aux États-Unis (et votre DRH ne le sait pas)

« Vos dossiers de formation et de certification des employés — ils sont hébergés où? »

Marie-Claude ouvre la plateforme de badges que l’entreprise utilise depuis 2021. Une plateforme américaine, très connue, très correcte. Elle descend dans les conditions d’utilisation. Serveurs : Virginie, États-Unis. Juridiction : Delaware.

Trois cent quarante dossiers d’employés — noms, courriels, historiques de formation, compétences certifiées — qui dorment en Virginie.

Pourquoi c’est un vrai enjeu (pas de la politique)

Soyons précis, parce que le sujet mérite mieux que des slogans.

La Loi 25, c’est la loi québécoise sur la protection des renseignements personnels. Elle exige, entre autres, que si des renseignements personnels sont communiqués hors du Québec, l’organisation ait évalué que l’information recevra une protection adéquate — et qu’elle en soit imputable. Un nom d’employé lié à son historique de formation, c’est un renseignement personnel. L’évaluation, la documentation, la responsabilité : c’est sur les épaules de l’entreprise de Marie-Claude, pas sur celles du fournisseur.

Le Cloud Act, lui, c’est une loi américaine qui permet aux autorités des États-Unis d’exiger l’accès à des données détenues par des entreprises américaines — même quand ces données concernent des étrangers, même stockées à l’étranger. On ne parle pas de probabilité quotidienne; on parle d’architecture de risque. La question du consultant n’était pas « est-ce que ça va arriver? », c’était : « es-tu capable de documenter que tu le savais, et que tu l’as choisi en connaissance de cause? »

Marie-Claude ne l’avait jamais choisi. Personne ne le choisit. On choisit une plateforme pour ses fonctionnalités, et la juridiction vient avec, en petits caractères.

La souveraineté, c’est de la gestion de risque qui se voit

Il y a aussi l’angle que le consultant n’a pas mentionné, mais que la directrice des communications a vu tout de suite : l’entreprise de Marie-Claude vend à des municipalités et à des organismes publics québécois. Dans les appels d’offres, les questions sur la résidence des données se multiplient. Pouvoir répondre « nos reconnaissances professionnelles sont émises et hébergées au Québec, conformes Loi 25 » n’est plus un détail : c’est un point de plus dans la grille.

Ce que Meritag corrige

Meritag est conçu, développé et opéré au Québec — Montréal et Terrebonne, pour être exact. Les données restent au Canada, sous juridiction québécoise et canadienne, hors de portée du Cloud Act. La Loi 25 n’est pas une case cochée après coup : collecte minimale, consentement, droits d’accès, de rectification et de suppression sont dans l’architecture depuis le premier jour. Et parce qu’une reconnaissance doit être lisible par le monde entier, chaque badge est nativement bilingue — français et anglais — sur le badge, la page de vérification et les critères.

Marie-Claude n’a pas tout migré du jour au lendemain — personne ne fait ça. Elle a commencé par les nouvelles cohortes : chaque formation interne certifiée émet désormais un badge souverain. Les 340 dossiers de Virginie diminuent à mesure que les renouvellements arrivent.

« Le plus drôle, » m’a-t-elle dit, « c’est que je pensais faire ça pour la conformité. Mais c’est les employés qui sont les plus contents : leurs badges sont à eux, en français, sur LinkedIn, pour de bon. »

→ Vous êtes DRH, responsable formation ou conformité? Faites le test en 5 minutes : où dorment VOS reconnaissances? Puis venez voir la différence sur meritag.ca. On offre l’accompagnement de migration.