Politique de confidentialité

1. PRÉAMBULE

Dans le cadre de ses activités et de sa mission, Instrumentation Icetek inc. (la « Société ») traite des renseignements personnels, notamment ceux de ses clients, des visiteurs de son site web et de ses employés et autres membres de son personnel ainsi que de ses administrateurs et dirigeants. À ce titre, la Société reconnait l’importance de respecter la vie privée et de protéger les renseignements personnels qu’elle détient.

Afin de s’acquitter de ses obligations selon la Loi sur la protection des renseignements personnels dans le secteur privé, la Société s’est dotée de la présente politique. Celle-ci énonce les principes-cadres applicables à la protection des renseignements personnels détenus tout au long de leur cycle de vie, les droits des personnes concernées et le rôle des parties prenantes dans la mise en œuvre de la loi au sein de la Société.

2. OBJET

La présente politique :

énonce les principes et les règles de gouvernance de la Société à l’égard des renseignements personnels tout au long de leur cycle de vie;
définit les rôles et responsabilités des parties prenantes en matière de protection des renseignements personnels;
encadre l’exercice des droits des personnes concernées; et
prévoit le processus de traitement des plaintes relatives à la protection des renseignements personnels.

3. CHAMP D’APPLICATION

La présente politique s’applique aux renseignements personnels recueillis ou détenus par la Société. Elle s’applique aussi à toute personne qui traite des renseignements personnels pour la Société. La conformité à cette politique est obligatoire et la Société s’engage à traiter les renseignements personnels conformément aux principes de protection des renseignements personnels prévus dans la présente politique.

Cette politique est le document de référence du programme de conformité en matière de protection des renseignements personnels de la Société dont pourront découler des politiques, directives, procédures ou tout autre document couvrant des sujets comme :

l’obtention de consentements valides;
la réalisation d’évaluations des facteurs relatifs à la vie privée;
la communication de ces renseignements à des tiers sans consentement;
la communication de renseignements personnels à l’extérieur du Québec;
l’exercice des droits des individus;
la conservation, l’archivage et la destruction; et
le traitement des plaintes des individus.

4. DÉFINITIONS

Aux fins de la présente politique, les termes suivants signifient :

« CAI » désigne la Commission d’accès à l’information du Québec.

« coordonnées professionnelles » désigne les renseignements personnels qui concernent l’exercice d’une fonction au sein d’une entreprise, tel que le nom, le titre et la fonction, de même que l’adresse postale, électronique et le numéro de téléphone du lieu de travail.

« cycle de vie » désigne l’ensemble des étapes visant le traitement d’un renseignement personnel soit la collecte, l’utilisation, la communication, la conservation et la destruction.

« évaluation des facteurs relatifs à la vie privée » ou « ÉFVP » désigne la démarche visant à protéger les renseignements personnels et à respecter la vie privée des personnes physiques. Il s’agit d’une forme d’analyse d’impact. Elle est évolutive et doit être revue tout au long du projet.

« incident de confidentialité » désigne tout accès, utilisation ou communication non autorisée par la loi d’un renseignement personnel, ou toute perte ou autre atteinte à la protection de ce renseignement.

« loi » désigne les lois, règlements, recommandations ou avis applicables aux questions de protection de la vie privée, y compris la Loi sur la protection des renseignements personnels dans le secteur privé, la Loi concernant le cadre juridique des technologies de l’information ainsi que toute autre loi, règlement, recommandation ou avis qui remplace, complète, modifie, étend, remet en vigueur ou codifie les lois sur la vie privée applicables.

« personne concernée » désigne une personne physique à qui se rapportent les renseignements personnels.

« renseignement personnel » désigne toute information qui concerne une personne physique et qui permet de l’identifier directement — soit par le recours à cette seule information — ou indirectement — par combinaison avec d’autres informations.

« responsable de la protection des renseignements personnels » ou « RPRP » désigne la personne qui, au sein de la Société, veille à y assurer le respect et la mise en œuvre de la loi concernant la protection des renseignements personnels.

5. PRINCIPES DIRECTEURS

La protection des renseignements personnels est assurée tout au long de leur cycle de vie dans le respect des principes suivants, sauf exception prévue par la loi. Les coordonnées professionnelles et les renseignements personnels à caractère public ne sont pas soumis aux principes directeurs.

5.1. Collecte

La Société ne recueille que les renseignements personnels nécessaires à la réalisation de ses activités. Avant de recueillir des renseignements personnels, la Société détermine les fins de leur traitement.

5.1.2. Au moment de la collecte, et par la suite sur demande, la Société informe les personnes concernées du contenu obligatoire prévu par loi, notamment des finalités de la collecte et du droit de retirer son consentement à l’utilisation ou la communication de renseignements personnels par la Société.

L’information prévue au paragraphe 5.1.2 est donnée en termes simples et clairs, au moyen d’une politique de confidentialité ou d’un avis « juste à temps ».

La personne concernée qui fournit ses renseignements personnels après avoir reçu l’information au paragraphe 5.1.2 est présumée consentir à l’utilisation et à la communication aux fins déclarées.

5.2. Utilisation

La Société n’utilise les renseignements personnels qu’aux fins pour lesquelles ces renseignements ont été recueillis. Cependant, la Société peut modifier ces fins si la personne concernée y consent préalablement.

Elle peut également les utiliser à d’autres fins sans le consentement de la personne concernée, dans les seuls cas où l’utilisation projetée est permise par la loi.

5.3. Communication

Sous réserve des exceptions prévues par la loi, la Société ne peut communiquer des renseignements personnels à des tiers sans le consentement de la personne concernée.

Lorsque les renseignements personnels sont communiqués à l’extérieur du Québec, la Société procède à une ÉFVP conformément à l’article 6 des présentes.

La Société tient à jour un registre de certaines communications de renseignements personnels sans consentement. Le registre enregistre les communications visées par la loi, notamment les suivantes:
- à une personne ou à un organisme ayant le pouvoir de contraindre la Société à lui communiquer des renseignements personnels et qui les requiert dans l’exercice de ses fonctions;

à une personne à qui cette communication doit être faite en raison d’une situation d’urgence mettant en danger la vie, la santé ou la sécurité de la personne concernée;

à une personne ou à un organisme pour les fins d’un mandat ou d’un contrat de services ou d’entreprise;

à l’autre partie à une transaction commerciale, si la communication est nécessaire aux fins de la conclusion de la transaction;

à une personne qui peut les utiliser à des fins d’étude, de recherche ou de statistique;

à une personne que la loi autorise à recouvrer des créances pour autrui et qui le requiert à cette fin dans l’exercice de ses fonctions;

à une personne si le renseignement est nécessaire aux fins de recouvrer une créance de la Société.

5.4. Conservation

La Société prend toutes les mesures raisonnables afin que les renseignements personnels qu’elle détient soient à jour, exacts et complets pour servir aux fins pour lesquelles ils sont recueillis ou utilisés.

La Société conserve les renseignements personnels aussi longtemps que nécessaire pour réaliser les finalités pour lesquelles ils ont été recueillis, sous réserve d’obligations de conservation qui pourraient s’appliquer, conformément à son calendrier de conservation.

5.5. Destruction et anonymisation

Lorsque les finalités pour lesquelles les renseignements personnels recueillis sont atteintes, ces renseignements sont détruits ou, dans certains cas, anonymisés suivant les délais prévus au calendrier de conservation.

6. ÉVALUATION DES FACTEURS RELATIFS À LA VIE PRIVÉE

La réalisation d’une ÉFVP sert à démontrer que la Société a respecté toutes les obligations en matière de protection des renseignements personnels et que toutes les mesures ont été prises afin de protéger efficacement ces renseignements.

La Société réalise une ÉFVP notamment dans les situations suivantes :

avant d’entreprendre un projet d’acquisition, de développement et de refonte d’un système d’information ou de prestation électronique de services qui implique des renseignements personnels;

avant de communiquer des renseignements personnels sans le consentement des personnes concernées à une personne ou à un organisme qui souhaite utiliser ces renseignements à des fins d’étude, de recherche ou de production de statistiques;

avant de communiquer des renseignements personnels à l’extérieur du Québec.

En effectuant une ÉFVP, la Société tient compte de la sensibilité des renseignements à être traités, des fins de leur utilisation, de leur quantité, de leur distribution et de leur support, ainsi que de la proportionnalité des mesures proposées pour protéger les renseignements personnels. La Société tient également compte des critères déterminés par la loi pour chaque ÉFVP.

7. DROITS DES PERSONNES CONCERNÉES

À la demande d’une personne concernée, la Société doit l’informer de ce qui suit :

les renseignements personnels recueillis auprès d’elle;

les catégories de personnes qui ont accès à ces renseignements au sein de la Société;

la durée de conservation de ces renseignements; et

les coordonnées du RPRP de la Société.

Dans la mesure prévue par la loi, une personne concernée a les droits suivants :

le droit d’être informé, le cas échéant, que des renseignements personnels sont utilisés pour prendre une décision fondée sur un traitement exclusivement automatisé;

le droit de retirer son consentement à l’utilisation et à la communication de renseignements personnels recueillis par la Société.

7.3. Dans la mesure prévue par la loi, toute personne physique à propos de laquelle la Société détient des renseignements personnels dispose des droits suivants :

le droit d’accéder aux renseignements personnels détenus par la Société et d’en obtenir une copie, en format électronique ou autre;

à moins que cela ne soulève des difficultés pratiques sérieuses, à la demande d’une personne concernée, la Société communique les renseignements personnels informatisés recueillis auprès d’elle dans un format technologique structuré et couramment utilisé;

le droit de faire rectifier tout renseignement personnel incomplet ou inexact détenu par la Société;

le droit de demander la suppression d’un renseignement dans certaines circonstances, ou de formuler par écrit des commentaires à la Société;

le droit de demander à la Société de cesser de diffuser un renseignement ou de désindexer tout hyperlien rattaché à son nom, à certaines conditions.

Le RPRP répond par écrit aux demandes d’exercice des droits prévues au paragraphe 7.3, avec diligence et au plus tard dans les 30 jours de la date de réception de la demande.

8. SÉCURITÉ DES RENSEIGNEMENTS PERSONNELS

La Société met en place des mesures de sécurité raisonnables afin d’assurer la confidentialité, l’intégrité et la disponibilité des renseignements personnels recueillis, utilisés, communiqués, conservés ou détruits. Ces mesures tiennent notamment en compte du degré de sensibilité des renseignements personnels, de la finalité de leur collecte, de leur quantité, de leur localisation et de leur support.

La Société gère les droits d’accès des membres son personnel afin que seuls ceux ayant besoin d’y accéder dans le cadre de leurs fonctions aient accès aux renseignements personnels.

9. INCIDENTS DE CONFIDENTIALITÉ

Tout incident de confidentialité est pris en charge conformément au plan de réponse aux incidents de la Société.

9.2. Conformément à la loi, la Société tient à jour un registre des incidents de confidentialité.

Si l’incident de confidentialité présente un risque de préjudice sérieux pour les personnes concernées, la Société avise celles-ci avec diligence ainsi que la CAI.

Le registre prévu au paragraphe 9.2 est tenu à jour pendant cinq ans après le dernier incident ou la période du dernier incident.

10. RÔLES ET RESPONSABILITÉS

La protection des renseignements personnels que la Société détient repose sur l’engagement de tous ceux qui traitent ces renseignements et plus particulièrement des parties prenantes qui suivent:

Le président:

veille à assurer la mise en œuvre de la loi;

facilite l’exercice des fonctions du RPRP, notamment en s’assurant qu’il dispose des ressources appropriées pour la réalisation de son mandat et la mise en œuvre du programme de protection des renseignements personnels de la Société.

Le conseil d’administration de la Société:

approuve la présente politique, ainsi que toute modification importante à celle-ci, sur recommandation du RPRP;

le cas échéant, reçoit et analyse tout enjeu relatif à la protection des renseignements personnels qui lui est soumis par le RPRP;

le cas échéant, reçoit et analyse le rapport du RPRP;

se tient informé des activités en protection des renseignements personnels de la Société et fait les interventions qu’il juge appropriées pour maintenir un niveau de risque acceptable pour la Société.

Le RPRP:

veille à assurer le respect et la mise en œuvre de la loi au sein de la Société;

est responsable de l’application et la mise en œuvre de la présente politique et des autres documents formant le programme de protection des renseignements personnels de la Société;

conçoit le programme de protection des renseignements personnels de la Société et effectue toute mise à jour appropriée;

soutient les membres du personnel de la Société dans la mise en œuvre du programme, notamment en agissant à titre de répondant pour toute question qui s’y rattache;

au besoin, produit un rapport des activités liées au programme de protection des renseignements personnels de la Société et le soumet au conseil d’administration;

supervise la coordination de la réponse à un incident de confidentialité et la tenue du registre des incidents de confidentialité;

reçoit les demandes écrites d’exercice de droits des personnes concernées et s’assure d’y répondre conformément à la présente politique; et

est consulté, dès le début des évaluations des facteurs relatifs à la vie privée, et peut suggérer des mesures de protection des renseignements personnels pour atténuer les risques.

Toute personne qui traite des renseignements personnels que la Société détient :

agit avec précaution et intègre les principes et lignes de conduite énoncés à la présente politique à ses activités;

lorsqu’elle recueille des renseignements personnels auprès des personnes concernées, s’assure d’obtenir un consentement valide et de le documenter;

n’accède qu’aux renseignements nécessaires à l’exercice de ses fonctions;

conserve ses dossiers de manière à ce que seules les personnes autorisées y aient accès;

s’abstient de communiquer les renseignements personnels dont elle prend connaissance dans l’exercice de ses fonctions, à moins d’être dûment autorisée à le faire;

ne conserve pas, à la fin de son emploi ou de son contrat, les renseignements personnels obtenus ou recueillis dans le cadre de ses fonctions et maintient ses obligations de confidentialité;

conserve et détruit tout renseignement personnel conformément au calendrier de conservation de la Société;

participe aux activités de sensibilisation et de formation en matière de protection des renseignements personnels qui lui sont destinées;

détecte les situations qui nécessitent de réaliser une ÉFVP et complète les documents appropriés;

signale sans délai tout manquement, incident de confidentialité ou toute autre situation ou irrégularité qui pourrait compromettre de quelque façon que ce soit la sécurité, l’intégrité ou la confidentialité de renseignements personnels au RPRP;

réfère sans délai toute demande d’exercice des droits ou toute plainte relative aux pratiques de protection des renseignements personnels de la Société au RPRP.

11. TRAITEMENT DES PLAINTES

Toute plainte relative aux pratiques de protection des renseignements personnels de la Société ou de sa conformité aux exigences de la loi qui concernent les renseignements personnels est transmise au RPRP, lequel en accuse réception et y répond dans un délai de 30 jours.

Instrumentation Icetek inc. François Bissonnette françois.bissonnette@icetek.ca

1200, av. Saint-Jean-Baptiste, bureau 116 Québec (Québec) G2E 5E8

Canada

12. SANCTIONS

La conformité à la présente politique et à tout autre document formant le cadre documentaire est obligatoire pour l’ensemble de la Société. Le personnel qui ne s’y conforme pas est sujet à des mesures disciplinaires pouvant aller de l’avis disciplinaire au congédiement ou aux mesures et pénalités contractuelles prévues pour les fournisseurs et autres tiers, lesquelles peuvent notamment prévoir la résiliation du contrat et la réclamation de dommages-intérêts. De la formation et de la sensibilisation supplémentaire peuvent également être offertes en cas de défaut de respecter la présente politique.

13. RÉVISION

De manière à suivre l’évolution des lois applicables en matière de protection des renseignements personnels et à améliorer le programme de protection des renseignements personnels de la Société, la présente politique pourra être mise à jour au besoin.

Le RPRP est responsable de la présente politique et de ses mises à jour.

14. ENTRÉE EN VIGUEUR

La présente politique entre en vigueur lors de son approbation par le conseil d’administration, sur recommandation du RPRP.

Date d’entrée en vigueur : 15 juillet 2024.

Date de la dernière modification : 15 juillet 2024.