Derrière la plupart des comptoirs de réception, il y a une chemise avec une entente de confidentialité dedans. Quelqu'un l'a imprimée, quelqu'un d'autre a révisé le troisième paragraphe il y a deux ans, et la version dans la chemise est peut-être celle-là. Elle se fait signer quand le comptoir est occupé et que la personne derrière y pense. Faire signer une entente de confidentialité à l'arrivée règle un problème plus étroit que « la conformité » : ça transforme la signature en étape que le visiteur ne peut pas contourner, et ça conserve une copie qui pointe exactement vers les mots acceptés.

Pourquoi la version en chemise échoue en silence

Le parcours papier a quatre modes de défaillance, et aucun ne s'annonce.

• Personne ne sait quelle version est courante. Quand le texte change, les vieilles impressions restent dans la chemise et dans le classeur. Deux visiteurs de la même journée peuvent signer deux ententes différentes, et un an plus tard rien au dossier ne dit laquelle.
• Le visiteur ne repart avec rien. Il signe quelque chose, le rend, et s'en va les mains vides. S'il demande un jour ce qu'il a accepté, vous voilà à la photocopieuse.
• On la saute précisément quand elle compte. L'entrepreneur qui arrive à 7 h avant que quiconque soit au comptoir est justement la visite dont vous voudriez le plus une signature — et c'est celle que la chemise ne couvre pas.
• La trace juridique et le journal sont la même feuille. Ça semble ordonné jusqu'au jour où il faut supprimer de vieilles données de visiteurs. Une entente signée est un document juridique qui a sa propre raison d'exister ; une ligne disant « Marc, de Groupe Delta, est passé le 14 » n'en est pas un. Les confondre vous force soit à tout garder trop longtemps, soit à détruire ce qu'il ne fallait pas.

Ce que « signé à l'arrivée » devrait vraiment vouloir dire

Si vous évaluez un système qui promet des documents à la porte, voici les propriétés qui en font un outil valable.

• Le document s'attache à un type de visiteur, pas à la mémoire de quelqu'un. Les entrepreneurs signent la consigne de sécurité ; les candidats, l'avis de confidentialité ; une livraison ne signe rien. La règle vit dans la configuration, donc elle s'applique à 7 h aussi fidèlement qu'à 14 h.
• Le document bloque l'inscription. Si un visiteur de ce type peut terminer son inscription sans signer, ce n'est pas une exigence : c'est une suggestion bien mise en page. Refuser doit rester possible, et doit simplement mettre fin à l'inscription sans rien conserver.
• Modifier publie une nouvelle version au lieu d'écraser l'ancienne. Chaque signature doit continuer de pointer vers le texte exact qu'elle a accepté. Un système qui permet de modifier un document sur place vient de changer les termes de toutes les signatures déjà recueillies, rétroactivement et sans que ça paraisse.
• Le visiteur obtient sa propre copie. Un PDF signé, envoyé, sans que personne ait à y penser.
• Le texte est dans une langue qu'il lit. Une signature apposée sur un texte incompréhensible ne vaut pas grand-chose. Et changer la langue de la tablette ne doit pas devenir un moyen de contourner le document.
• Le renouvellement a une politique. Personne ne veut qu'un entrepreneur hebdomadaire resigne la même entente tous les mardis. Personne ne veut non plus qu'une signature de 2019 compte encore. Il faut un délai, et c'est à vous de le fixer.

L'angle québécois, avec prudence

Une note avant d'aller plus loin : ce qui suit est une orientation générale, pas un avis juridique. WeDisplay n'est pas un cabinet d'avocats et rien ici n'est une décision de conformité pour votre organisation. Les obligations en matière de renseignements personnels dépendent de ce que vous recueillez, pourquoi, qui vous êtes et où se trouvent vos gens — des questions à poser à un conseiller juridique ou à la Commission d'accès à l'information du Québec, pas à un billet de blogue. Nos propres pages légales portent la même mise en garde, pour la même raison.

Cela dit, la Loi 25 (et la pratique canadienne en général) soulève des thèmes qu'un comptoir de réception touche directement, et qu'il vaut mieux avoir réfléchis avant qu'un vérificateur ou un visiteur ne pose la question.

• Recueillir ce qu'il faut, aussi longtemps qu'il le faut. Un journal de visites contient des renseignements personnels. Conserver indéfiniment des noms, des employeurs et des adresses courriel faute d'avoir choisi un délai, c'est le réglage par défaut de la plupart des systèmes papier — et l'exact contraire de la minimisation.
• Une entente signée et une trace de visite sont deux choses différentes. L'entente peut raisonnablement devoir survivre des années à la visite ; l'entrée au journal, généralement pas. Les systèmes qui en font un seul objet vous forcent à la mauvaise réponse sur l'un des deux.
• Les gens devraient pouvoir revoir ce qu'ils ont signé. Leur remettre leur copie sur-le-champ est la version la moins coûteuse de ce principe, et ça élimine du même coup toute une catégorie de litiges ultérieurs.
• Pouvoir répondre à « que détenez-vous sur moi, et pour combien de temps ». Non pas parce que la question revient souvent, mais parce que la réponse devrait être un réglage que vous montrez du doigt, et non une enquête.

Rien de tout cela n'est exotique et rien n'exige un programme de conformité. Il faut surtout que le système ait des opinions sur la conservation, au lieu de laisser le champ vide.

Concrètement, avec WeDisplay

Les documents et la signature électronique font partie de la borne d'accueil, sur les forfaits qui les incluent. Ce que ça donne :

• Par type de visiteur, par langue. Attachez un document à un type de visiteur et personne de ce type ne s'inscrit sans le signer. Chaque document peut avoir une version par langue ; la tablette choisit celle du visiteur, puis celle de votre organisation, puis l'anglais.
• Signé au doigt, sur la vitre. La signature est captée sur la tablette elle-même — pas de second appareil, pas de lien à ouvrir plus tard.
• Modifier publie une nouvelle version. Les versions antérieures ne sont jamais modifiées ni supprimées, parce que les signatures pointent vers la version exacte qu'elles ont acceptée. Si une tablette affiche une version périmée au moment de signer, le serveur refuse plutôt que d'enregistrer une signature contre un texte qui n'existe plus.
• Un délai de renouvellement que vous fixez. Par défaut, on redemande la signature quand la version du document a changé, ou quand la dernière signature a plus d'un an. Ce délai se règle.
• Le visiteur reçoit le PDF. La copie signée contient le texte, la signature, le nom et l'horodatage, et elle est conservée avec la visite. Si le visiteur a laissé une adresse courriel, sa copie lui est envoyée automatiquement.
• La préinscription n'est pas une échappatoire. Un invité annoncé d'avance signe à la tablette exactement comme un visiteur spontané : une invitation ne peut jamais devenir le moyen de contourner votre entente. Changer la langue de la tablette non plus.
• Deux horloges de conservation, délibérément. Les visites s'effacent selon un délai que vous choisissez — 90 jours par défaut. Les documents signés gardent leur propre horloge, plus longue — trois ans par défaut — parce qu'une entente signée est un document juridique et qu'une entrée de journal n'en est pas un. Supprimer une vieille visite ne détruit pas la signature qui en est issue.

Si vos écrans doivent aussi respecter les attentes linguistiques du Québec, notre guide sur l'affichage dynamique bilingue au Québec couvre le versant écran de la même question. Et si vous en êtes encore à vous demander si une borne en vaut la peine, commencez par la gestion des visiteurs en PME.

Foire aux questions

Une signature électronique sur une tablette est-elle valide ? Orientation générale, pas avis juridique : les signatures électroniques sont largement reconnues dans la pratique canadienne, et le cadre québécois applicable aux documents technologiques est explicitement neutre sur le plan technologique. Ce qui pèse en cas de litige relève surtout de la preuve : pouvez-vous démontrer ce qui a été signé, par qui, quand, et que le texte n'a pas changé depuis ? C'est pourquoi le versionnement et le PDF conservé comptent davantage que le tracé de la signature. Pour vos ententes précises, consultez votre conseiller juridique.

Un visiteur peut-il refuser de signer ? Oui, et il doit pouvoir le faire. Le refus met fin à l'inscription sans rien conserver. Ce que vous faites d'un entrepreneur qui refuse votre consigne de sécurité est une question de politique interne, pas une décision que le logiciel devrait prendre à la porte.

Les visiteurs réguliers signent-ils à chaque passage ? Non — c'est le rôle du délai de renouvellement. On redemande la signature quand la version du document a changé, ou quand la précédente dépasse le délai que vous avez fixé (un an par défaut). Un entrepreneur hebdomadaire signe une fois, pas cinquante.

Combien de temps faut-il conserver les dossiers de visiteurs ? Il n'existe pas de chiffre universel, et la réponse honnête est que cela dépend de la raison pour laquelle vous les gardez. La bonne discipline consiste à choisir un délai délibérément et à laisser le système l'appliquer, plutôt que d'accumuler par défaut. WeDisplay utilise 90 jours pour les visites et trois ans pour les documents signés, et les deux sont des réglages.