Hébergement au Québec et obligations des organismes publics
Les renseignements personnels que votre organisme confie à Agreely sont hébergés au Québec : l'application, la base de données et ses sauvegardes chiffrées sont chez OVH, à Beauharnois. Confier à Agreely leur conservation ou leur utilisation pour votre compte est une communication à un mandataire au sens de l'art. 67.2 de la Loi sur l'accès (RLRQ, c. A-2.1) : votre organisme doit confier le mandat par écrit, y indiquer les dispositions de la loi qui s'appliquent et les mesures de confidentialité prévues à l'art. 67.2 al. 2, obtenir les engagements de confidentialité que cet alinéa prévoit et inscrire cette communication à son registre (art. 67.3 al. 1). Les courriels qu'Agreely envoie pour votre organisme (demandes de consentement, confirmations de demandes, avis) passent toutefois par le relais Zoho Mail, situé aux États-Unis, qui reçoit le nom et l'adresse du destinataire et le contenu du message. Ces courriels relèvent de l'art. 70.1 : avant le premier envoi, votre organisme doit réaliser une évaluation des facteurs relatifs à la vie privée, conclure que les renseignements bénéficieraient d'une protection adéquate et conclure une entente écrite qui en tient compte (art. 70.1 al. 1 et 2), puis indiquer à son registre qu'il s'agit d'une communication visée à l'art. 70.1 (art. 67.3 al. 3 par. 3°). La catégorisation des témoins de vos bannières fait aussi appel à Anthropic, aux États-Unis, à partir de métadonnées conçues pour ne contenir aucun renseignement personnel ni valeur de témoin. Enfin, quel que soit le lieu d'hébergement, l'art. 63.5 exige une évaluation des facteurs relatifs à la vie privée de tout projet d'acquisition d'un système d'information impliquant des renseignements personnels.
Agreely agit comme mandataire au sens de l'art. 67.2. Agreely documente et consigne ; il ne réalise pas ces évaluations à votre place et ne certifie pas le caractère adéquat de la protection.
Attestation requise pour le régime des organismes publics
La Loi sur l'accès ne s'applique pas aux renseignements de santé et de services sociaux au sens de R-22.1 détenus par un organisme du secteur de la santé et des services sociaux (art. 2 (5°)). Agreely ne couvre pas ce régime distinct.
Par exemple le ministère de la Santé et des Services sociaux, Santé Québec, un établissement de santé et de services sociaux, la RAMQ ou l'INSPQ, ainsi que, pour ces activités, un organisme qui fournit par entente des services de santé ou des services sociaux pour le compte de Santé Québec, d'un établissement ou d'un organisme des annexes de cette loi. Agreely ne couvre pas ce régime.
Attestez uniquement ce que vous avez vérifié vous-même. Une attestation inexacte transmise à la Commission peut constituer une infraction.
Une fois consignée, cette attestation est définitive. Son empreinte sera inscrite dans un ancrage public permanent : elle ne pourra jamais être effacée, seulement cesser de couvrir le registre ou être remplacée, et ce retrait sera lui aussi consigné et ancré.
L'assujettissement précis de chaque établissement doit être confirmé au cas par cas.