Politique de confidentialité

Qui sommes-nous

Samwell est un service en ligne de gestion des ressources humaines, de la paie et de la coordination pour les organismes à but non lucratif du Canada. Il est édité par Michoozon Inc., 2440, Watercolours Way, Ottawa (Ontario) K2J 7A9.

Cette politique s'applique au Québec (Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25) et ailleurs au Canada (Loi sur la protection des renseignements personnels et les documents électroniques, LPRPDE, et lois provinciales semblables).

Deux rôles, selon les renseignements

• Les renseignements que votre organisme saisit sur son personnel, ses bénévoles, ses membres et ses candidats lui appartiennent. L'organisme en est responsable ; Michoozon Inc. les traite seulement pour lui, selon l'entente de traitement des données.
• Les renseignements du compte de l'organisme (personne-ressource, facturation) et ceux des personnes qui se connectent (adresse courriel, appareils, journal de connexion) sont traités par Michoozon Inc. pour fournir le service. Cette politique les décrit.

Pour une question sur votre dossier d'employé, de bénévole ou de membre, adressez-vous d'abord à votre organisme : il décide de ce qu'il recueille et de qui y a accès.

Responsable de la protection des renseignements personnels

La personne responsable de la protection des renseignements personnels chez Michoozon Inc. est sa présidence (titre de la fonction ; son nom est communiqué sur demande). Écrivez-lui à [email protected], ou par la poste au 2440, Watercolours Way, Ottawa (Ontario) K2J 7A9.

Ce que nous recueillons

• Compte : prénom, nom, adresse courriel, langue, fonction dans l'organisme.
• Sécurité : facteurs de double authentification et clés d'accès (Face ID, empreinte), sans jamais recevoir votre visage ni votre empreinte ; appareils connectés, adresse IP et date des connexions.
• Facturation de l'organisme : nom, adresse, nombre d'employés rémunérés, forfait, historique des paiements. Les numéros de carte sont saisis chez Stripe ; Samwell ne les voit jamais.
• Contenu saisi par l'organisme : dossiers du personnel, congés, temps, paie, remboursements, documents, messages, et le reste des modules utilisés.
• Demandes de soutien : ce que vous nous écrivez.

Pourquoi nous les utilisons

• Fournir le service : vous connecter, afficher ce que votre rôle permet, envoyer les avis et les courriels que vous avez choisis.
• Protéger les comptes : double authentification, journal d'audit, détection des abus, limites de débit.
• Facturer l'organisme et respecter nos obligations fiscales.
• Répondre au soutien et améliorer le service à partir de mesures globales, sans profilage publicitaire.

Nous ne vendons aucun renseignement. Aucune publicité, aucun outil de mesure d'audience tiers. Nous n'utilisons pas le contenu de votre organisme pour entraîner des modèles d'intelligence artificielle.

Aucune décision vous concernant n'est fondée exclusivement sur un traitement automatisé. Les calculs de Samwell (paie, congés, conformité) sont des propositions que votre organisme vérifie et peut modifier.

Consentement

Nous recueillons les renseignements du compte avec votre consentement, donné à la création du compte et à l'acceptation des conditions d'utilisation. Vous pouvez le retirer en fermant votre compte ; le retrait peut empêcher l'usage du service.

Pour le contenu saisi par l'organisme, c'est l'organisme qui obtient les consentements nécessaires auprès de son personnel et des autres personnes concernées.

Où les renseignements sont gardés

• La base de données, les fichiers et l'authentification sont hébergés au Canada (Supabase, sur Amazon Web Services, région ca-central-1, « Canada Central »).
• L'application web est servie depuis le Canada (DigitalOcean, Toronto) ; le trafic passe par le réseau de Cloudflare.
• Certains sous-traitants traitent des renseignements hors du Canada (paiement par Stripe ; envoi des courriels par Resend ; avis de l'application mobile par Expo ; réunions Jitsi Meet par 8x8). Avant toute communication hors du Québec, nous évaluons la protection offerte, comme l'exige la Loi 25. La liste à jour est publiée : voir « Sous-traitants ».

Qui y a accès

• Dans votre organisme : seulement les personnes dont le rôle le permet. Chaque organisme est isolé des autres dans la base de données.
• Chez Michoozon Inc. : seulement le personnel qui en a besoin pour le soutien ou la sécurité, tenu à la confidentialité.
• Nos sous-traitants : seulement ce qui est nécessaire à leur service, sous contrat.
• Les autorités : seulement si la loi nous y oblige. Nous en informons l'organisme lorsque la loi le permet.

Sécurité

• Double authentification exigée pour tout le monde, y compris avec un mot de passe.
• Isolation stricte entre organismes et entre collègues (droits vérifiés par la base de données).
• Chiffrement en transit (HTTPS) et au repos ; numéros d'assurance sociale et comptes bancaires chiffrés à part, lecture journalisée.
• Journal d'audit non modifiable ; déconnexion à distance des appareils.

Combien de temps nous les gardons

• Tant que le compte de l'organisme est actif.
• À la fermeture du compte : l'organisme peut exporter toutes ses données ; elles sont retirées de l'application après 30 jours, puis gardées 100 jours dans une archive chiffrée, hors de portée de l'application, pour réparer une fermeture frauduleuse, et enfin effacées. La paie (registres, feuillets, remises) est gardée à part, chiffrée, le temps exigé par la loi fiscale : jusqu'au 1er janvier de la 7e année qui suit la dernière paie.
• Votre propre compte : vous pouvez le supprimer en tout temps dans « Mon profil ». Votre accès s'arrête immédiatement ; ce que votre organisme doit garder (paie, dossiers d'emploi) reste sous sa responsabilité.
• Copies de sauvegarde : effacées au fil de leur rotation, au plus 30 jours plus tard.
• Factures et dossiers comptables de Michoozon Inc. : six ans, comme l'exige la loi fiscale.

Vos droits

• Accéder à vos renseignements et en recevoir une copie, y compris dans un format technologique structuré et couramment utilisé (portabilité).
• Faire corriger un renseignement inexact, incomplet ou équivoque.
• Retirer votre consentement, et demander la suppression de votre compte.
• Être informé d'un incident de confidentialité qui présente un risque de préjudice sérieux.

Écrivez à [email protected]. Nous répondons dans les 30 jours. Pour un dossier d'emploi, nous transmettons la demande à votre organisme, qui en décide.

Vous pouvez porter plainte à la Commission d'accès à l'information du Québec (cai.gouv.qc.ca) ou au Commissariat à la protection de la vie privée du Canada (priv.gc.ca), ou au commissaire de votre province, s'il y a lieu.

Incidents de confidentialité

En cas d'incident (accès, utilisation ou communication non autorisés, perte), nous agissons sans délai pour réduire le risque, nous inscrivons l'incident au registre et, s'il présente un risque de préjudice sérieux, nous avisons la Commission d'accès à l'information ou le Commissariat à la protection de la vie privée du Canada, ainsi que les personnes concernées. Pour les données d'un organisme, nous l'avisons au plus tard 72 heures après en avoir pris connaissance, pour qu'il puisse remplir ses propres obligations.

Témoins

Samwell n'utilise que des témoins nécessaires au service et à vos préférences d'affichage. Voir « Témoins ».

Modifications

Nous publions toute modification sur cette page, avec sa date. Un changement important est annoncé dans l'application au moins 30 jours à l'avance.

Nous joindre

• Protection des renseignements personnels : [email protected]
• Soutien (connexion, compte, application mobile) : [email protected]
• Par la poste : Michoozon Inc., 2440, Watercolours Way, Ottawa (Ontario) K2J 7A9