Gouvernance des renseignements personnels
Version 1.0 · En vigueur le 17 octobre 2026
Cette page présente, en termes simples, les règles que RM Digital Solutions LTD. applique à l’interne pour protéger les renseignements personnels : qui en est responsable, combien de temps nous les gardons, comment nous les détruisons et comment traiter une plainte. Elle complète la Politique de confidentialité.
1. Rôles et responsabilités
- Personne responsable de la protection des renseignements personnels : la personne qui porte le titre de responsable de la protection des renseignements personnels, joignable à [email protected]. Elle veille au respect de la loi, approuve ces règles, tient le registre des incidents et répond aux demandes et aux plaintes.
- Personnes qui ont accès aux données : seulement celles qui en ont besoin pour leur travail (soutien, facturation, administration technique). Les accès d’administration sont nominatifs et journalisés.
- Fournisseurs : ils traitent les renseignements seulement selon nos instructions, en vertu d’une entente écrite. La liste est dans la politique de confidentialité.
2. Cycle de vie des renseignements
- Collecte : seulement ce qui est nécessaire, avec un avis au moment de la collecte (inscription, formulaires).
- Utilisation : seulement pour les fins annoncées. Toute nouvelle fin exige un nouveau consentement, sauf exception prévue par la loi.
- Communication : seulement aux fournisseurs listés, ou lorsque la loi l’exige.
- Conservation : selon le calendrier ci-dessous.
- Destruction : suppression définitive des lignes liées à la personne dans la base de données. Nous ne conservons que des statistiques globales sans lien avec une personne.
3. Calendrier de conservation et de destruction
| Renseignements | Durée | Destruction |
|---|---|---|
| Compte supprimé à la demande de la personne | 30 jours après la demande | Suppression automatique quotidienne |
| Adresse IP et navigateur dans le journal de sécurité | 365 jours | Effacement automatique quotidien |
| Courriels envoyés (copie technique) | 90 jours | Suppression automatique quotidienne |
| Sessions et jetons de vérification expirés | Jusqu’à leur expiration | Suppression automatique quotidienne |
| Demandes d’accès, de rectification ou de suppression | 3 ans après la réponse | Revue manuelle |
| Registre des incidents de confidentialité | Au moins 5 ans | Revue manuelle |
| Comptes inactifs | Tant que le compte existe | Suppression depuis Paramètres ou sur demande, effacée 30 jours après la demande |
4. Évaluations des facteurs relatifs à la vie privée
Avant d’acquérir, de développer ou de refondre un système qui traite des renseignements personnels, et avant de communiquer des renseignements hors du Québec, nous réalisons une évaluation des facteurs relatifs à la vie privée. Les nouveaux systèmes permettent dès leur conception l’export des renseignements dans un format structuré.
5. Incidents de confidentialité
Tout incident (accès, utilisation ou communication non autorisés, perte) est signalé sans délai à la personne responsable. Nous prenons les mesures pour réduire le risque de préjudice, nous l’inscrivons au registre, et, s’il présente un risque de préjudice sérieux, nous avisons la Commission d’accès à l’information et les personnes concernées.
6. Traitement des plaintes
- Écrivez à [email protected] en décrivant votre plainte. Aucune forme particulière n’est exigée.
- Nous accusons réception et nous vous répondons par écrit dans les 30 jours.
- Si la réponse ne vous satisfait pas, vous pouvez vous adresser à la Commission d’accès à l’information du Québec.
7. Formation et révision
Les personnes qui ont accès aux renseignements personnels sont informées de ces règles. Nous révisons ces règles au moins une fois par année et chaque fois qu’un système ou un fournisseur change.