Politique de gouvernance des renseignements personnels
Ce que nous faisons, à l'interne, pour protéger ce que vous nous confiez (Loi 25, article 3.2).
Les rôles
- Le responsable de la protection des renseignements personnels est Shawn Dupuis, propriétaire et responsable de la protection des renseignements personnels. Il reçoit les demandes, tient le registre des incidents et décide des avis à transmettre.
- Chaque employé n'accède qu'à ce que son rôle exige. Un technicien voit les chantiers qu'on lui assigne, pas les factures ni les salaires. Les données sensibles des employés (numéro d'assurance sociale, compte bancaire) sont réservées au propriétaire et à la comptable, chiffrées, et leur consultation est journalisée.
La conservation et la destruction
Chaque catégorie de renseignements a une durée de conservation écrite dans la configuration de l'application et publiée dans notre politique de confidentialité. Une tâche automatique détruit ou anonymise chaque semaine ce qui a dépassé sa durée. Les documents que la loi nous oblige à garder (factures, preuves de signature) font exception, pendant la durée que la loi fixe.
La sécurité
- Les fichiers (photos, documents, certificats) ne sont jamais accessibles sans session ou sans un lien que nous avons émis et que nous pouvons couper.
- Les liens d'accès au portail expirent et se révoquent. Les jetons sont conservés sous forme hachée.
- Toute modification d'une facture, d'un paiement, d'un chantier ou d'un dossier d'employé est journalisée avec la personne, la date et l'adresse IP.
- L'application est hébergée à Montréal; la base de données est sauvegardée avant chaque mise à jour.
Les plaintes et les incidents
Une plainte s'adresse au responsable, qui répond dans les trente jours. Un incident de confidentialité est consigné dans un registre dès sa découverte, son risque de préjudice est évalué, et la Commission d'accès à l'information ainsi que les personnes concernées sont avisées quand ce risque est sérieux.
La formation
Chaque nouvel employé reçoit, à son accueil, les règles d'usage de l'application : ce qu'on photographie, ce qu'on écrit dans une note, ce qu'on ne demande jamais à un client. Ces règles sont revues une fois par année.