Politique de gouvernance des renseignements personnels

La présente politique encadre la gouvernance des renseignements personnels conformément à l'art. 3.2 de la Loi sur la protection des renseignements personnels dans le secteur privé (telle que modifiée par la Loi 25). Sa portée et son calendrier de conservation sont générés à partir de notre registre des renseignements personnels.

Rôles et responsabilités

Le responsable de la protection des renseignements personnels est chargé de veiller au respect de la présente politique tout au long du cycle de vie des renseignements personnels et sert de point de contact aux personnes concernées et à la Commission d'accès à l'information. Cette fonction est exercée par : David Tucker, Président directeur général - david.tucker@ophelios.com. Les membres du personnel doivent protéger les renseignements personnels dans l'exercice de leurs fonctions et signaler les incidents au responsable.

Portée

Nous détenons les catégories de renseignements personnels suivantes en date de la présente version : Contrats et ententes d'affaires : nom, coordonnées, entreprise, modalités et signatures, Nom et adresse courriel des participants au programme d'essai d'Agreely, Consultation d'ophelios.com par notre outil de mesure d'audience (pages, provenance, appareil, lieu approximatif), Rendez-vous pris sur rdv.ophelios.com : nom, courriel, notes facultatives, plage horaire, fuseau horaire et langue, Consultation de corvee.ca par notre outil de mesure d'audience (pages, provenance, appareil, lieu approximatif), Messages du formulaire de contact de La Corvée : nom, courriel, contenu du message et nos réponses, Journal d'administration de la plateforme (actes des opérateurs d'Ophelios), Journaux de témoins des sites clients (identifiant, choix, langue ; IP tronquée et agent utilisateur en option) (mandat), Demandes et correspondance : nom, courriel, entreprise, contenu des messages et nos réponses, Consultation d'agreely.ca par notre outil de mesure d'audience (pages, provenance, appareil, lieu approximatif), Factures clients et pièces comptables (Memento), Coordonnées des représentants clients (nom, fonction, courriel et téléphone du travail), Journal d'activité tenu pour les entreprises clientes (mandat), Dossiers des organismes abonnés à La Corvée : personnes desservies, bénévoles, membres, donateurs (mandat), Journal des actes et journaux techniques de La Corvée (identifiants, horodatages, gestes posés), Organismes abonnés à La Corvée (personne-ressource, coordonnées, taille de l'équipe, abonnement, factures et paiements), Comptes d'utilisateurs La Corvée (nom, courriel, mot de passe haché, facteurs de connexion, sessions), Registre des clients d'entreprises clientes (nom et courriel chiffrés), Registre des demandes de droits tenu pour des entreprises clientes, Dossiers de consentement tenus pour des entreprises clientes (mandat), Preuves d'exercice des droits (retrait et effacement auto-signés), Index des consentements du citoyen (instantanés par DID), Identité citoyenne pseudonyme (identifiant DID, partie publique de vos clés d'accès et de votre clé de récupération), Coordonnées professionnelles d'invitation (courriel de travail, rôle), Renseignements de facturation (identifiants Stripe, factures), Journaux de sécurité et d'anti-abus (IP, agent utilisateur, horodatages), Justificatifs d'authentification (mot de passe haché, 2FA, passkeys, témoins de session), Compte de l'espace de travail (nom, courriel, rôle, langue) (proportionnalité, art. 3.2).

Calendrier de conservation par catégorie

La conservation doit être limitée au temps nécessaire aux fins de la collecte, puis suivie de la destruction ou de l'anonymisation (art. 23). Les durées ci-dessous sont des règles déclarées, et non une preuve de destruction effectuée. Journal d'administration de la plateforme : conservation de 36 mois après la décision, puis destruction. Comme ces renseignements servent à rendre une décision, ils sont conservés au moins un an après celle-ci (art. 11, al. 2). Correspondance et demandes : conservation de 24 mois après le dernier échange, puis destruction. Coordonnées des représentants clients (Memento) : conservation de 24 mois après la dernière activité, puis destruction. Mesure d'audience Umami : événements bruts : conservation de 13 mois à compter de la collecte, puis destruction. Messages du formulaire de contact de La Corvée : conservation de 24 mois après le dernier échange, puis destruction. Journal d'activité tenu pour les entreprises clientes : conservation de 24 mois à compter de la collecte, puis destruction. Comptes et dossiers d'un organisme La Corvée : conservation de 24 mois après la fin de l'abonnement de l'organisme, puis destruction. Journal des actes de La Corvée : conservation de 24 mois à compter de la collecte, puis destruction. Données transitoires (jetons, codes, sessions) : conservation de 1 mois à compter de la collecte, puis destruction. Témoins : journaux de consentement : conservation de 36 mois à compter de la collecte, puis destruction. Preuves d'exercice des droits (citoyen) : conservation de 60 mois après l'accomplissement des fins, puis destruction. Artefacts de mandat (entreprises clientes) : conservation de 6 mois après l'accomplissement des fins, puis destruction. Portefeuille citoyen (identité et index), sauf les empreintes inscrites sur la chaîne de blocs, qui sont permanentes : conservation de 12 mois après l'accomplissement des fins, puis destruction. Facturation et pièces fiscales : conservation de 72 mois après l'accomplissement des fins, puis destruction. Journaux de sécurité et d'anti-abus : conservation de 12 mois à compter de la collecte, puis destruction. Comptes de l'espace de travail : conservation de 36 mois après l'accomplissement des fins, puis destruction.

Destruction et anonymisation

Lorsque les fins sont accomplies, l'art. 23 prévoit la destruction ou l'anonymisation. Le registre consigne les règles, et non la destruction effectuée. Les renseignements utilisés pour rendre une décision doivent être conservés au moins un an après la décision (art. 11, al. 2).

Mesures de sécurité

Les mesures de sécurité doivent protéger les renseignements personnels tout au long de leur cycle de vie, compte tenu de leur sensibilité, de leur finalité, de leur quantité, de leur répartition et de leur support (art. 10). Le registre ci-dessous documente les mesures déclarées, et non leur efficacité. Le registre des mesures de sécurité documente 10 mesures. Elles comprennent notamment : formation et engagements de confidentialité, réponse aux incidents, destruction sécuritaire, minimisation et dépersonnalisation, journalisation et surveillance, contrôle des accès, chiffrement, sauvegardes et reprise, ainsi qu'une autre mesure consignée au registre. Une méthode de destruction sécuritaire est consignée au registre des mesures de sécurité ; cette inscription ne démontre pas qu'une destruction a été effectuée. Des renseignements sensibles étant détenus, une mesure déclarée comme les couvrant est consignée, la sensibilité étant l'un des facteurs énumérés à l'art. 10.

Gestion des incidents de confidentialité

Tout incident de confidentialité (art. 3.6) est traité selon la mesure « réponse aux incidents » du registre des mesures de sécurité : mesures pour diminuer le risque de préjudice et éviter la répétition (art. 3.5 al. 1), évaluation du risque avec le responsable (art. 3.7), avis avec diligence à la Commission d'accès à l'information et aux personnes concernées en cas de risque de préjudice sérieux (art. 3.5 al. 2), et inscription au registre des incidents (art. 3.8).

Traitement des plaintes

Toute plainte relative à la protection des renseignements personnels s'adresse par écrit au responsable identifié ci-dessus. Le responsable en accuse réception dans un délai de 5 jours ouvrables, l'examine et répond par écrit dans un délai de 30 jours, en indiquant les mesures prises, le cas échéant. La personne insatisfaite peut s'adresser à la Commission d'accès à l'information.

Communication à l'extérieur du Québec et évaluations

Chaque événement hors Québec consigné dans ces registres est lié à une ÉFVP terminée. Les projets visés par l'art. 3.3 requièrent également une ÉFVP.

Formation et sensibilisation

Une mesure de formation et de sensibilisation du personnel est consignée au registre des mesures de sécurité.

Accès interne

Des mesures de contrôle d'accès sont consignées au registre des mesures de sécurité ; celui-ci ne vérifie pas les accès effectifs.