Entente de traitement des données

Objet et rôles

Cette entente fait partie des conditions d'utilisation. L'organisme est responsable des renseignements personnels de son personnel, de ses bénévoles, de ses membres, de ses donateurs et de ses candidats (« les données »). Michoozon Inc. agit comme prestataire de services (sous-traitant) : elle traite les données pour le compte de l'organisme et selon ses instructions, au sens de l'article 18.3 de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec et du principe de responsabilité de la LPRPDE.

Instructions

• Les instructions de l'organisme sont ce contrat, ses réglages dans l'application et les gestes de ses utilisateurs autorisés.
• Nous n'utilisons les données pour aucune autre fin : ni publicité, ni vente, ni entraînement de modèles d'intelligence artificielle.
• Si une instruction nous semble contraire à la loi, nous en avisons l'organisme.

Données et personnes visées

• Personnes : employés, bénévoles, membres du conseil et de l'organisme, candidats, donateurs, personnes remboursées sans compte.
• Données : identité et coordonnées, emploi et rémunération, NAS et comptes bancaires (paie), congés et temps, formations, documents, messages, dons, et ce que l'organisme choisit d'ajouter.
• Renseignements sensibles : l'organisme évite d'y saisir des diagnostics médicaux ; Samwell demande des besoins d'adaptation, jamais des diagnostics.

Mesures de sécurité

• Base de données, fichiers et authentification hébergés au Canada (région ca-central-1) ; chiffrement en transit et au repos.
• Isolation de chaque organisme par des règles d'accès dans la base de données ; droits par rôle ; personne ne règle son propre dossier.
• NAS et comptes bancaires chiffrés avec une clé gardée dans un coffre ; chaque lecture est journalisée.
• Double authentification pour tous les utilisateurs ; journal d'audit non modifiable.
• Personnel de Michoozon Inc. : accès limité au besoin, engagement de confidentialité.

Sous-traitants ultérieurs

L'organisme autorise les sous-traitants de la liste publiée (voir « Sous-traitants »). Nous les lions par écrit à des obligations de protection au moins équivalentes. Nous annonçons tout nouveau sous-traitant au moins 30 jours à l'avance ; l'organisme qui s'y oppose pour un motif raisonnable peut fermer son compte sans frais.

Communication hors du Québec et du Canada

La base de données, les fichiers et l'authentification sont hébergés au Canada. Quand un sous-traitant les traite ailleurs, nous faisons au préalable l'évaluation des facteurs relatifs à la vie privée exigée par la Loi 25 et nous l'encadrons par contrat. Nous remettons ces évaluations à l'organisme sur demande.

Aide à l'organisme

• Demandes d'accès, de rectification et de portabilité : les outils d'export et de correction de Samwell ; nous transmettons à l'organisme, sans y répondre nous-mêmes, toute demande reçue à son sujet.
• Évaluations des facteurs relatifs à la vie privée : nous fournissons les renseignements utiles sur le service.
• Registre des consentements et journal d'audit consultables dans l'application.

Incidents de confidentialité

Nous avisons l'organisme de tout incident qui touche ses données au plus tard 72 heures après en avoir pris connaissance : nature, données et personnes visées, mesures prises, personne à joindre. Nous l'aidons à évaluer le risque de préjudice sérieux et à aviser la Commission d'accès à l'information, le Commissariat à la protection de la vie privée du Canada et les personnes concernées. L'organisme reste responsable de ces avis, sauf entente contraire.

Fin du contrat

• L'organisme exporte ses données avant la fermeture (export complet dans les paramètres).
• Les données sont retirées de l'application 30 jours après la fermeture, gardées 100 jours de plus dans une archive chiffrée pour réparer une fermeture frauduleuse, puis effacées ; les copies de sauvegarde le sont au fil de leur rotation.
• Nous ne gardons rien d'autre, sauf ce que la loi oblige à conserver : les factures de l'abonnement, et la paie de l'organisme (registres, feuillets, remises), chiffrée à part jusqu'au 1er janvier de la 7e année qui suit la dernière paie.
• Les obligations de conservation de l'organisme (par exemple, les registres de paie) restent les siennes : l'export sert à les remplir.

Vérifications

Sur demande écrite, une fois par année au plus, nous répondons à un questionnaire de sécurité et fournissons les renseignements nécessaires pour démontrer le respect de cette entente. Une vérification sur place se convient par écrit, à frais de l'organisme.