Règles de gouvernance des renseignements personnels

1. Le responsable

La personne qui a la plus haute autorité chez Groupe Perreault Poirier inc. exerce la fonction de Responsable de la protection des renseignements personnels. On le joint à info@groupepp.ca. Il approuve ces règles, tient le registre des incidents, fait faire les évaluations des facteurs relatifs à la vie privée, répond aux demandes et aux plaintes, et revoit ces règles au moins une fois par année.

2. Qui fait quoi, du début à la fin

• Collecte : on ne demande que ce qui sert au bloc ou à la fonction ; chaque formulaire et chaque nouvelle fonction dit pourquoi on demande un renseignement. Ce qui est sensible ou qui permet de localiser, de reconnaître ou de profiler une personne est éteint par défaut et demande un accord exprès.
• Utilisation : seulement pour la fin annoncée. Une nouvelle fin demande un nouvel accord.
• Accès : seuls les administrateurs de Blocs ont accès aux données des membres, et seulement quand c’est nécessaire (soutien, correction d’un problème, sécurité). Chaque administrateur est nommé par le responsable et ses droits sont retirés dès qu’il n’en a plus besoin.
• Communication : à un fournisseur seulement s’il est nécessaire, avec une entente écrite (ses conditions d’entreprise) qui l’oblige à protéger les renseignements et à ne pas s’en servir pour lui-même. Avant toute communication à l’extérieur du Québec, une évaluation des facteurs relatifs à la vie privée est faite. La liste des fournisseurs est publiée dans la politique de confidentialité.
• Conservation et destruction : chaque type de renseignement a une durée (voir la politique, section 10). La destruction se fait automatiquement chaque jour ; les comptes inactifs reçoivent un avis à 35 mois et sont supprimés à 36 mois. Un membre peut supprimer son compte lui-même, en tout temps.

3. Les nouveaux blocs et les nouvelles fonctions

Les blocs sont bâtis par notre équipe et par Lia, notre IA de construction, avec des consignes écrites : pas de renseignement inutile, rien d’envoyé hors de l’app sans raison, renseignements sensibles seulement dans des blocs choisis par le membre, et confidentialité la plus élevée par défaut. Un projet qui touche à des renseignements personnels de façon nouvelle (un nouveau fournisseur, un nouveau pays, la biométrie, la localisation) passe par une évaluation des facteurs relatifs à la vie privée avant d’être offert.

4. Les demandes et les plaintes

1. Écris à info@groupepp.ca en expliquant ta demande (accès, correction, retrait, suppression, révision d’une décision automatique) ou ta plainte.
2. On vérifie qu’on parle bien au titulaire du compte (par exemple en répondant depuis son courriel ou depuis l’app).
3. On te répond par écrit dans les 30 jours, gratuitement. Si on refuse une partie de la demande, on te dit pourquoi et quel recours tu as.
4. Si la réponse ne te satisfait pas, tu peux t’adresser à la Commission d’accès à l’information.

Bien des demandes se font directement dans l’app : Mon compte, section Mes renseignements (télécharger, retirer un accord, supprimer le compte).

5. Les incidents de confidentialité

1. Toute personne de l’équipe qui soupçonne un accès, une utilisation ou une communication non autorisés, ou une perte, avise le responsable tout de suite.
2. On prend sans attendre les mesures pour réduire le risque et éviter que ça se reproduise.
3. On évalue le risque de préjudice sérieux (sensibilité des renseignements, conséquences possibles, probabilité qu’ils soient mal utilisés).
4. Si le risque est sérieux, on avise la Commission d’accès à l’information et les personnes concernées avec diligence.
5. Chaque incident est inscrit au registre, gardé 5 ans.

6. Sensibilisation

Les personnes de l’équipe, et les consignes données à nos outils d’IA (Lia, Alfred), connaissent ces règles. Elles sont relues à chaque nouvelle personne qui obtient un accès administrateur, et quand elles changent.