Politique relative à la protection des renseignements personnels (RP)
1. Objectif
La présente politique a pour but de garantir la protection de la vie privée des individus et de se conformer aux obligations légales en matière de protection des RP; et de présenter nos pratiques en matière de collecte, d’utilisation, de divulgation, de conservation, d’anonymisation et destruction des RP.
2. Portée
Cette procédure couvre donc l'ensemble du cycle de vie des RP, depuis leur collecte jusqu'à leur destruction.
Elle concerne tous les employés et parties prenantes impliquées dans ledit cycle conformément aux exigences légales et aux bonnes pratiques en matière de protection de la vie privée.
3. Définition
Renseignement personnel (RP) : toute information permettant d'identifier, directement ou indirectement, une personne physique ou morale.
Exemple de RP :
• Les noms/prénoms, adresses postales et électroniques ainsi que téléphoniques.
• Les renseignements relatifs à vos commandes.
• Documents officiels comme les rapports de taxes, coordonnées bancaires.
• Les renseignements relatifs au marketing et aux préférences de communication, de même que des renseignements, des commentaires et des réponses à des sondages;
• Des renseignements sur l’utilisation du site Web et d’autres renseignements techniques, comme des détails concernant les visites sur nos sites Web, votre interaction avec notre publicité et notre contenu en ligne.
• Tout autre renseignement personnel fourni et toutes preuves de consentements.
Utilisation et divulgation : Manière d’utiliser les renseignements dans le cadre normal des actions de l’entreprise et de transmettre lesdits renseignements.
Conservation : stockage sécurisé des RP pendant la durée requise.
Destruction : suppression, élimination ou effacement définitif des RP.
Anonymisation : processus de modification des renseignements personnels de manière à ne plus permettre en tout temps et de façon irréversible l'identification, directe ou indirecte, des individus concernés.
I- Procédure de conservation, destruction et anonymisation des RP
1. Catégorisation des RP
Nous avons catégorisé les renseignements personnels de la façon suivante :
- Renseignements concernant les employés de l’entreprise;
- Renseignements concernant les membres du conseil d’administration et les actionnaires;
- Renseignements concernant les personnes ou entités en relation avec notre compagnie (externes, sous-traitants, etc.);
- Renseignements concernant les prospects.
2. Durée de conservation
La durée de conservation pour chacune des catégories précédemment établies est la suivante :
- Employés de l’entreprise : 7 ans après la fin d'emploi.
- Membres du conseil d’administration et actionnaires : 7 ans après la fin du mandat ou du partenariat.
- Personnes ou entités en relation avec notre compagnie : Variable en fonction de la relation d’affaire et du type de renseignement personnel.
- Prospects : Variable en fonction du type de renseignement personnel.
Le détail des durées variables est annoté dans notre inventaire complet des renseignements personnels détenus. Des délais de conservation spécifique peuvent s’appliquer.
3. Méthode de stockage sécurisé
Les renseignements personnels en notre possession sont mixtes.
Ceux sous forme physique sont stockés dans une armoire sécurisée (fermée à clefs) dans une pièce à l’accès limité.
Ceux sous forme numérique sont sur le serveur de l’entreprise dans des dossiers spécifiques aux accès définis par type d’utilisateur.
4. Destructions des RP
La destruction est réalisée de manière à ce que les RP ne puissent pas être récupérés ou reconstitués.
Les versions papiers sont totalement déchiquetés à l’aide d’une déchiqueteuse. Les versions numériques sont totalement supprimées de tous les appareils, des serveurs et des outils infonuagiques.
Le calendrier de destruction a été établi selon les durées de conservation indiquée plus haut. Les dates de destruction seront documentées.
5. Anonymisation des RP
L’anonymisation des RP n’aura lieu que si l’organisation souhaite les conserver et les utiliser à des fins sérieuses et légitimes.
Les critères pris en considération pour procéder sont les suivants :
• L’individualisation : Le fait de ne pas être en mesure d’isoler ou de distinguer une personne dans un ensemble de données.
• La corrélation : Le fait de ne pas être en mesure de relier entre eux des ensembles de données qui concernent une même personne.
• L’inférence : Le fait d’être (ou ne pas être) en mesure de déduire des renseignements personnels à partir d’autres renseignements disponibles.
Il s’agit de s’assurer que l’information restante ne permette plus l’indentification directe ou indirecte des individus concernés et de s’assurer d’évaluer régulièrement le risque de réidentification des données anonymisées notamment en effectuant des test et analyses pour garantir leur efficacité.
6. Formation et sensibilisation du personnel
Une formation régulière sera dispensée aux employés dans le cadre de la présente procédure, ainsi que sur les risques liés à la violation de la vie privé et la cybersécurité.
Cela inclut la sensibilisation aux bonnes pratiques de sécurité des données et à l’importance du respect des procédures établies.
II- Procédure de demande d’accès aux RP et de traitement des plaintes
1. Objectif
Toute personne peut demander à accéder à ses RP détenus au sein de notre entreprise, et peut également formuler des plaintes.
Le but de cette procédure est donc de garantir que toutes les demandes d'accès soient traitées de manière confidentielle, rapide et précise, tout en respectant les droits des personnes concernées.
2. Portée
Cette procédure concerne les personnes souhaitant accéder à leurs RP mais aussi les acteurs internes responsables du traitement des demandes d’accès et du traitement des plaintes.
3. Procédure de demande d’accès
a- Soumission de la demande
Toute demande doit être soumise par écrit (courriel ou courrier postal) et adressée au responsable de la protection des renseignements personnels de notre entreprise.
Elle doit indiquer clairement que c’est une demande d’accès aux RP et fournir les informations suffisantes pour vous identifier (Nom, adresse, etc.) et identifier les renseignements recherchés.
b- Réception de la demande
Un accusé-réception vous sera envoyé à la réception de votre demande, confirmant sa prise en compte.
La demande sera traitée dans les trente (30) jours suivant sa réception.
c- Vérification de l’identité
Avant de procéder au traitement de la demande, nous vérifions l’identité de la personne demanderesse. Cela peut être en demandant des informations supplémentaires ou en vérifiant l’identité directement (en personne par exemple).
d- Réponse aux demandes incompletes ou excessive
Si une demande d’accès aux RP est incomplète ou excessive, notre responsable de la protection des renseignements personnels communique avec l'individu pour demander des informations supplémentaires ou clarifications.
Nous nous réservons le droit de refuser le traitement d’une demande si elle est manifestement abusive, excessive ou non justifiée.
e- Examen des renseignements
Avant de communiquer les RP, le responsable examine attentivement les informations pour s'assurer qu'elles ne contiennent pas de renseignements tiers confidentiels ou susceptibles de porter atteinte à d'autres droits.
Si des renseignements de tiers sont présents, le responsable évalue s'ils peuvent être dissociés ou s'ils doivent être exclus de la divulgation.
f- Communications des renseignements
Une fois les vérifications terminées, les RP sont communiqués à la personne demanderesse dans le délai légal indiqué précédemment.
Les RP peuvent être communiqués par voie électronique, par courrier postal sécurisé ou en personne, selon les préférences de la personne demanderesse et les mesures de sécurité appropriées.
g- Suivi et documentation
Toutes les étapes du processus de traitement de la demande d'accès aux RP seront consignées de manière précise et complète.
Les détails de la demande, les actions entreprises, les décisions prises et les dates correspondantes seront enregistrés dans un registre de suivi des demandes d'accès.
[Date de réception de la demande; date de l’accusé de réception; date de la vérification de l’identité; méthode de vérification de l’identité; décision; date de la communication des renseignements (si applicable)].
h- Gestion des plaintes et recours
Si la personne demanderesse est insatisfaite de la réponse reçue à sa demande d'accès aux RP, elle sera informée des procédures de réclamation/plaintes et des recours disponibles devant la Commission d’accès à l’information (CAI).
4. Procédure de traitement des plaintes
a- Réception des plaintes
Les plaintes peuvent être déposées par écrit, par téléphone, par courrier électronique ou via tout autre canal de communication officiel.
L’employé réceptionnant la plainte informera immédiatement le service responsable de la réception des plaintes. La plainte sera enregistrée dans un registre centralisé, accessible uniquement au personnel désigné.
b- Évaluation préliminaire
Le responsable désigné examine chaque plainte pour évaluer sa pertinence et sa gravité.
Les plaintes évaluées frivoles, diffamatoires ou sans fondement évident seront rejetées. Une justification sera fournie au plaignant.
c- Enquête et analyse
Le responsable chargé de la plainte, ayant l’autorité nécessaire, mène une enquête approfondie en collectant des preuves, en interrogeant les parties concernées et en recueillant tous les documents pertinents. Il est impartial et traite les parties impliquées équitablement.
Le responsable de la plainte communique régulièrement avec le plaignant pour le tenir informé de l'avancement de l'enquête et de la résolution de la plainte.
d- Résolution de la plainte
Le responsable de la plainte propose des solutions appropriées pour résoudre la plainte dans les meilleurs délais. Les solutions peuvent inclure des mesures correctives, des compensations financières ou toute autre action nécessaire pour résoudre la plainte de manière satisfaisante.
e- Clôture de la plainte
Une fois la plainte résolue, le responsable de la plainte doit fournir une réponse écrite au plaignant, résumant les mesures prises et les solutions proposées.
III- Procédure de désindexation et de suppression des RP
1. Objectif
Le but de cette procédure est de fournir un mécanisme structuré pour gérer les demandes de désindexation/suppression.
2. Portée
Cette procédure s'applique à notre équipe interne chargée de la gestion des demandes de désindexation et de suppression des RP. Elle couvre toutes les informations publiées sur nos plateformes en ligne, y compris notre site web, nos applications mobiles, nos bases de données ou tout autre support numérique utilisé
3. Définition
Suppression des renseignements personnels : action d'effacer complètement les données, les rendant indisponibles et irrécupérables.
Désindexation des renseignements personnels : retrait des informations des moteurs de recherche, les rendant moins visibles, mais toujours accessibles directement.
La suppression élimine définitivement les données, tandis que la désindexation limite leur visibilité en ligne.
4. Procédures
a- Réception des demandes
Les demandes de désindexation et de suppression des RP seront transmises à l'équipe responsable désignée.
Les clients peuvent soumettre leurs demandes par le biais de canaux spécifiques tels que le formulaire en ligne, l’adresse courriel dédiée ou le numéro de téléphone.
Toutes les demandes de désindexation et de suppression des RP, ainsi que les actions entreprises pour y répondre, seront consignées dans le système de suivi dédié.
Les enregistrements incluront les détails des demandes, les mesures prises, les dates et les résultats des actions effectuées.
b- Vérification de l’identité
Avant de traiter la demande, l'identité de l'individu sera vérifiée de manière raisonnable. Cela peut être fait en demandant des informations supplémentaires ou en vérifiant l'identité de l'individu en personne.
Si l'identité ne peut pas être vérifiée de manière satisfaisante, nous refuserons de donner suite à la demande.
c- Évaluation des demandes
L'équipe responsable examinera attentivement les demandes et RP concernés pour déterminer leur admissibilité à la désindexation ou à la suppression. L'équipe responsable est chargée de communiquer avec les demandeurs tout au long du processus, en fournissant des confirmations d'accusé de réception et des mises à jour régulières sur l'état d'avancement de leur demande.
Tout retard ou problème rencontré lors du traitement des demandes doit être communiqué aux demandeurs avec des explications claires.
d- Raisons légitimes d’un refus
Il existe aussi des raisons parfaitement valables pour lesquelles nous pourrions refuser de supprimer ou de désindexer des RP :
• Pour continuer à fournir des biens et des services au client ;
• Pour des raisons d’exigence du droit du travail ;
• Pour des raisons juridiques en cas de litige.
e- Résolution de la demande
L'équipe responsable doit prendre les mesures nécessaires pour désindexer ou supprimer les RP conformément aux demandes admissibles.
La présente politique a été mise à jour le 16 Octobre 2024.
