PIPEDA · Quebec Law 25 · EU/UK GDPR
Privacy Policy
Blue Supply & Distribution Inc. ("Blue Supply", "we", "us", "our") is committed to protecting personal information in accordance with the highest applicable standard among the Personal Information Protection and Electronic Documents Act (PIPEDA, Canada), the Act Respecting the Protection of Personal Information in the Private Sector ("Quebec Law 25"), and the EU/UK General Data Protection Regulation (GDPR).
This policy explains, in plain language, who we are, what personal information we collect, why we collect it, how we protect it, and what rights you have. It is structured as a layered notice: essential information appears first, with detail in numbered sections below.
1. Identity of the data controller
Blue Supply & Distribution Inc.
231 Oak Park Blvd, Suite 301
Oakville, Ontario L6H 7S8, Canada
Email: contact@bluesupply.ca
For the purposes of GDPR Article 4(7), Blue Supply is the controller of personal information collected via this website.
2. Person responsible for the protection of personal information ("Privacy Officer")
In accordance with section 3.1 of Quebec Law 25 and PIPEDA Principle 1 (Accountability), the person with the highest authority within Blue Supply is by default the person responsible for the protection of personal information. This responsibility may be delegated in writing.
You may contact our Privacy Officer in writing at:
Email: contact@bluesupply.ca — subject line "Privacy Inquiry — Attn: Privacy Officer"
Mail: Privacy Officer, Blue Supply & Distribution Inc., 231 Oak Park Blvd, Suite 301, Oakville, Ontario L6H 7S8, Canada
For GDPR purposes, Blue Supply has assessed that it is not required to formally appoint a Data Protection Officer under Article 37 GDPR (no large-scale systematic monitoring or processing of special categories of data). The Privacy Officer above acts as the point of contact for all data protection matters.
3. Personal information we collect
We collect personal information only when you provide it to us voluntarily through the contact form on this website. Specifically:
- Required: full name, email address, content of your message
- Optional: company name, commodity of interest
We do not collect personal information through cookies, analytics, advertising trackers, behavioural profiling, geolocation, or any other automated means. We do not collect special categories of data as defined by Article 9 GDPR (e.g., health, racial, religious, political, biometric, or genetic data).
4. Purposes of processing
Your personal information is used solely to:
- respond to your inquiry or commercial request;
- provide information about our commodity trading services that you have requested;
- maintain a reasonable record of business communications.
We will not use your information for unsolicited marketing, profiling, automated decision-making, or transfer to advertising networks.
5. Legal basis (GDPR Article 6) and consent (Law 25 / PIPEDA)
We process personal information on the following legal grounds:
- Consent (GDPR Art. 6(1)(a); Law 25 s. 12; PIPEDA Principle 3): your express consent given when you submit the contact form.
- Legitimate interests (GDPR Art. 6(1)(f)): our legitimate interest in conducting B2B commercial activity and maintaining records of business correspondence, where this does not override your fundamental rights and freedoms.
You may withdraw your consent at any time, free of charge, by writing to contact@bluesupply.ca. Withdrawal does not affect the lawfulness of processing carried out before withdrawal.
6. Disclosure to third parties
We do not sell, rent, lease, or trade your personal information. We may disclose personal information only:
- to our hosting provider (GoDaddy Inc., USA) strictly for the technical operation of the website;
- to professional advisors (lawyers, accountants) under contractual confidentiality, where strictly necessary;
- where required by a valid legal order, subpoena, or to enforce our legal rights.
Each third party with access to personal information is bound by contractual confidentiality and data protection obligations.
7. International transfers
Your personal information is stored on servers operated by our hosting provider in Canada and/or the United States. When transferring personal information outside your jurisdiction, we rely on the following safeguards:
- For transfers from Quebec: a transfer assessment under Section 17 of Law 25 has been performed, evaluating the legal regime of the destination country and contractual safeguards.
- For transfers from the EU/EEA/UK: where the destination country is not subject to an adequacy decision (e.g., USA), we rely on the EU Standard Contractual Clauses (SCCs) and supplementary measures as needed.
- Canada has been recognised by the European Commission as offering an adequate level of protection (Adequacy Decision 2002/2/EC, as updated).
You may request further information about these safeguards by contacting our Privacy Officer.
8. Retention
We retain personal information only as long as necessary for the purposes for which it was collected:
- Contact-form submissions that do not lead to a commercial relationship: maximum 24 months from the last interaction.
- Business correspondence in the context of an ongoing commercial relationship: for the duration of the relationship plus 7 years following its termination, in accordance with applicable Canadian tax and commercial recordkeeping obligations.
Once the retention period expires, personal information is securely destroyed or anonymised.
9. Security safeguards
We implement reasonable physical, technical, and organisational safeguards proportionate to the sensitivity of the information:
- HTTPS / TLS encryption for the entire website;
- access controls limiting personal information to authorised personnel only;
- HTTP security headers (X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy);
- privacy-by-design and privacy-by-default approach (Law 25 s. 9.1; GDPR Art. 25): no analytics, no advertising trackers, no third-party scripts other than user-consented Google Fonts.
10. Data breach notification
In the event of a confidentiality incident posing a risk of serious harm, we will:
- notify the Office of the Privacy Commissioner of Canada (under PIPEDA), and the Commission d'accès à l'information du Québec (under Law 25), as soon as possible;
- notify affected individuals without undue delay (and, for GDPR data subjects, within 72 hours where feasible);
- maintain a register of all confidentiality incidents in accordance with Law 25 s. 3.5 and GDPR Art. 33(5).
11. Automated decision-making and profiling
Blue Supply does not make decisions concerning you based solely on automated processing of personal information. No profiling is performed.
12. Your rights
Under PIPEDA, Quebec Law 25, and the GDPR, you have the following rights regarding your personal information:
- Right of access — to obtain confirmation and a copy of personal information we hold about you;
- Right to rectification — to correct inaccurate or incomplete information;
- Right to erasure / de-indexation ("right to be forgotten") — to request deletion or, under Law 25, de-indexation of personal information disseminated about you, subject to legal retention obligations;
- Right to restriction of processing (GDPR);
- Right to data portability — to receive your computerised personal information in a structured, commonly used, machine-readable format (Law 25, GDPR);
- Right to object to processing based on legitimate interests (GDPR Art. 21);
- Right to withdraw consent at any time, without affecting prior lawful processing;
- Right not to be subject to automated decisions (GDPR Art. 22; Law 25);
- Right to lodge a complaint with a supervisory authority (see Section 14).
13. How to exercise your rights
To exercise any of the rights above, please send a written request to our Privacy Officer:
contact@bluesupply.ca — subject "Data Subject Request"
Please include: (a) your full name and contact information, (b) the right you wish to exercise, (c) a clear description of the request, and (d) reasonable proof of identity (we will not retain identity documents beyond what is necessary to verify the request).
We will respond within 30 days of receiving a complete request, or notify you of any extension required by the complexity of the request, in accordance with Law 25 and the GDPR. Our response is free of charge for the first request in any 12-month period.
14. Complaints to a supervisory authority
If you believe your rights have been infringed, you may lodge a complaint with:
- Office of the Privacy Commissioner of Canada — priv.gc.ca
- Commission d'accès à l'information du Québec — cai.gouv.qc.ca
- European Data Protection Board (EU residents) — your local data protection authority, listed at edpb.europa.eu
- Information Commissioner's Office (UK residents) — ico.org.uk
15. Cookies and similar technologies
For details on cookies and similar technologies used on this website, please refer to our separate Cookie Policy.
16. Children
This website and our services are intended for B2B commercial use and are not directed to children under 14. We do not knowingly collect personal information from minors under 14 without verifiable parental consent.
17. Privacy by design and by default
In accordance with Section 9.1 of Law 25 and Article 25 GDPR, the highest level of confidentiality is configured by default on this website. Optional technologies (such as Google Fonts) are deactivated until you give your express consent.
18. Changes to this policy
We may update this Privacy Policy occasionally. Material changes (e.g., new processing purposes, new categories of recipients, or changes to data subjects' rights) will be flagged on this page and on the cookie banner before they take effect. Non-material changes (typographical corrections, clarifications) may be made without notice.
Version 1.0 — Effective date: May 1, 2026
Last reviewed: May 1, 2026
LPRPDE · Loi 25 (Québec) · RGPD UE/RU
Politique de confidentialité
Blue Supply & Distribution Inc. (« Blue Supply », « nous », « notre ») s'engage à protéger les renseignements personnels conformément aux exigences les plus élevées parmi la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE, Canada), la Loi sur la protection des renseignements personnels dans le secteur privé (« Loi 25 du Québec »), et le Règlement général sur la protection des données (RGPD UE/RU).
Cette politique explique, dans un langage clair, qui nous sommes, quels renseignements nous recueillons, à quelles fins, comment nous les protégeons, et quels sont vos droits. Elle est structurée comme une notice par couches : l'information essentielle apparaît d'abord, les détails dans les sections numérotées ci-dessous.
1. Identité du responsable du traitement
Blue Supply & Distribution Inc.
231 Oak Park Blvd, Suite 301
Oakville, Ontario L6H 7S8, Canada
Courriel : contact@bluesupply.ca
Aux fins de l'article 4(7) du RGPD, Blue Supply est le responsable du traitement des renseignements personnels collectés via ce site.
2. Personne responsable de la protection des renseignements personnels
Conformément à l'article 3.1 de la Loi 25 et au Principe 1 de la LPRPDE (Responsabilité), la personne ayant la plus haute autorité au sein de Blue Supply est, par défaut, la personne responsable de la protection des renseignements personnels. Cette responsabilité peut être déléguée par écrit.
Vous pouvez joindre notre Responsable par écrit à :
Courriel : contact@bluesupply.ca — objet « Demande de confidentialité — À l'attention du Responsable »
Postal : Responsable de la protection des renseignements personnels, Blue Supply & Distribution Inc., 231 Oak Park Blvd, Suite 301, Oakville, Ontario L6H 7S8, Canada
Aux fins du RGPD, Blue Supply a évalué qu'elle n'est pas tenue de désigner formellement un délégué à la protection des données (DPO) au sens de l'article 37 RGPD (aucun suivi systématique à grande échelle ni traitement à grande échelle de catégories particulières de données). Le Responsable ci-dessus est le point de contact pour toutes les questions de protection des données.
3. Renseignements personnels recueillis
Nous recueillons des renseignements personnels uniquement lorsque vous nous les fournissez volontairement via le formulaire de contact. Plus précisément :
- Obligatoires : nom complet, adresse courriel, contenu de votre message
- Facultatifs : nom de l'entreprise, matière d'intérêt
Nous ne recueillons aucun renseignement via des témoins, outils d'analyse, traqueurs publicitaires, profilage comportemental, géolocalisation ou tout autre moyen automatisé. Nous ne recueillons aucune catégorie particulière de données au sens de l'article 9 RGPD (santé, origine raciale, religion, politique, biométrie, génétique, etc.).
4. Finalités du traitement
Vos renseignements personnels sont utilisés uniquement pour :
- répondre à votre demande commerciale ;
- fournir l'information demandée sur nos services de négoce ;
- tenir un registre raisonnable des communications d'affaires.
Nous n'utiliserons jamais vos renseignements à des fins de marketing non sollicité, de profilage, de décision automatisée ou de transfert à des réseaux publicitaires.
5. Base légale (article 6 RGPD) et consentement (Loi 25 / LPRPDE)
Nous traitons les renseignements personnels sur les bases légales suivantes :
- Consentement (RGPD art. 6(1)(a) ; Loi 25 art. 12 ; LPRPDE Principe 3) : votre consentement exprès donné lors de la soumission du formulaire.
- Intérêts légitimes (RGPD art. 6(1)(f)) : notre intérêt légitime à exercer une activité commerciale B2B et à conserver les correspondances commerciales, lorsque cela ne prévaut pas sur vos droits et libertés fondamentaux.
Vous pouvez retirer votre consentement à tout moment, sans frais, en écrivant à contact@bluesupply.ca. Le retrait n'affecte pas la licéité du traitement effectué avant celui-ci.
6. Communication à des tiers
Nous ne vendons, louons, ni cédons vos renseignements personnels. Nous ne les communiquons que :
- à notre hébergeur (GoDaddy Inc., États-Unis) strictement pour le fonctionnement technique du site ;
- à des conseillers professionnels (avocats, comptables) sous obligation contractuelle de confidentialité, si strictement nécessaire ;
- lorsque la loi, une ordonnance judiciaire ou la défense de nos droits l'exige.
Tout tiers ayant accès à des renseignements personnels est lié par des obligations contractuelles de confidentialité et de protection des données.
7. Transferts internationaux
Vos renseignements personnels sont conservés sur des serveurs exploités par notre hébergeur au Canada et/ou aux États-Unis. Pour les transferts hors juridiction, nous nous appuyons sur les garanties suivantes :
- Pour les transferts depuis le Québec : une évaluation du transfert au sens de l'article 17 de la Loi 25 a été effectuée, évaluant le régime juridique du pays destinataire et les garanties contractuelles.
- Pour les transferts depuis l'UE/EEE/RU : lorsque le pays destinataire ne fait pas l'objet d'une décision d'adéquation (ex : États-Unis), nous appliquons les Clauses Contractuelles Types (CCT) de la Commission européenne et des mesures supplémentaires si nécessaire.
- Le Canada bénéficie d'une décision d'adéquation de la Commission européenne (décision 2002/2/CE, mise à jour).
Vous pouvez demander davantage d'informations sur ces garanties auprès de notre Responsable.
8. Durée de conservation
Nous conservons les renseignements personnels uniquement le temps nécessaire :
- Soumissions du formulaire ne menant pas à une relation commerciale : maximum 24 mois après la dernière interaction.
- Correspondances dans le cadre d'une relation commerciale : pour la durée de la relation plus 7 ans après sa cessation, conformément aux obligations fiscales et commerciales canadiennes applicables.
À l'expiration, les renseignements sont détruits ou anonymisés de manière sécurisée.
9. Mesures de sécurité
Nous mettons en œuvre des mesures physiques, techniques et organisationnelles raisonnables, proportionnelles à la sensibilité des renseignements :
- chiffrement HTTPS / TLS de tout le site ;
- contrôles d'accès limitant les renseignements au personnel autorisé ;
- en-têtes de sécurité HTTP (X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy) ;
- approche de protection dès la conception et par défaut (Loi 25 art. 9.1 ; RGPD art. 25) : aucune analyse, aucun traqueur publicitaire, aucun script tiers en dehors de Google Fonts soumis à votre consentement.
10. Notification d'incident de confidentialité
En cas d'incident de confidentialité présentant un risque qu'un préjudice sérieux soit causé, nous :
- aviserons le Commissariat à la protection de la vie privée du Canada (LPRPDE) et la Commission d'accès à l'information du Québec (Loi 25) dans les meilleurs délais ;
- aviserons les personnes concernées sans retard injustifié (et, pour les personnes concernées par le RGPD, dans les 72 heures lorsque cela est faisable) ;
- tiendrons un registre de tous les incidents conformément à l'art. 3.5 de la Loi 25 et à l'art. 33(5) RGPD.
11. Décision automatisée et profilage
Blue Supply ne prend aucune décision vous concernant fondée exclusivement sur un traitement automatisé. Aucun profilage n'est effectué.
12. Vos droits
En vertu de la LPRPDE, de la Loi 25 et du RGPD, vous disposez des droits suivants :
- Droit d'accès — obtenir confirmation et copie des renseignements détenus à votre sujet ;
- Droit de rectification — corriger des informations inexactes ou incomplètes ;
- Droit à l'effacement / désindexation (« droit à l'oubli ») — demander la suppression ou, en vertu de la Loi 25, la désindexation de renseignements diffusés vous concernant, sous réserve des obligations légales de conservation ;
- Droit à la limitation du traitement (RGPD) ;
- Droit à la portabilité — recevoir vos renseignements personnels informatisés dans un format structuré, couramment utilisé et lisible par machine (Loi 25, RGPD) ;
- Droit d'opposition au traitement fondé sur l'intérêt légitime (RGPD art. 21) ;
- Droit de retirer votre consentement à tout moment, sans affecter la licéité du traitement antérieur ;
- Droit de ne pas faire l'objet d'une décision automatisée (RGPD art. 22 ; Loi 25) ;
- Droit de déposer une plainte auprès d'une autorité de contrôle (voir section 14).
13. Comment exercer vos droits
Pour exercer l'un des droits ci-dessus, veuillez envoyer une demande écrite à notre Responsable :
contact@bluesupply.ca — objet « Demande de personne concernée »
Veuillez inclure : (a) votre nom complet et coordonnées, (b) le droit que vous souhaitez exercer, (c) une description claire de la demande, et (d) une preuve raisonnable d'identité (que nous ne conserverons pas au-delà du nécessaire à la vérification).
Nous répondrons dans les 30 jours de la réception d'une demande complète, ou vous informerons de toute prolongation rendue nécessaire par la complexité de la demande, conformément à la Loi 25 et au RGPD. La première demande sur 12 mois est gratuite.
14. Plainte auprès d'une autorité de contrôle
Si vous estimez que vos droits ont été enfreints, vous pouvez déposer une plainte auprès de :
- Commissariat à la protection de la vie privée du Canada — priv.gc.ca
- Commission d'accès à l'information du Québec — cai.gouv.qc.ca
- Comité européen de la protection des données (résidents UE) — autorité locale listée sur edpb.europa.eu
- Information Commissioner's Office (résidents RU) — ico.org.uk
15. Témoins et technologies similaires
Pour les détails sur les témoins, consultez notre Politique des témoins.
16. Mineurs
Ce site et nos services sont destinés à un usage commercial B2B et ne s'adressent pas aux enfants de moins de 14 ans. Nous ne recueillons sciemment aucun renseignement de mineurs de moins de 14 ans sans le consentement vérifiable du titulaire de l'autorité parentale.
17. Protection dès la conception et par défaut
Conformément à l'article 9.1 de la Loi 25 et à l'article 25 RGPD, le plus haut niveau de confidentialité est configuré par défaut sur ce site. Les technologies optionnelles (telles que Google Fonts) sont désactivées tant que vous n'avez pas donné votre consentement exprès.
18. Modifications de la présente politique
Nous pouvons mettre à jour la présente politique. Les modifications substantielles (nouvelles finalités, nouveaux destinataires, modifications des droits) seront signalées sur cette page et sur la bannière de témoins avant leur entrée en vigueur. Les modifications mineures (corrections typographiques, clarifications) peuvent être effectuées sans préavis.
Version 1.0 — Date d'entrée en vigueur : 1er mai 2026
Dernière révision : 1er mai 2026