Politique de gouvernance des renseignements personnels
Adoptée le 16 octobre 2026 — publiée en vertu de l'art. 3.2 de la Loi sur la protection des renseignements personnels dans le secteur privé
1. Rôles et responsabilités
- Responsable de la protection des renseignements personnels : veille au respect de la loi, approuve la présente politique, traite les demandes d'accès et de rectification, les plaintes et les incidents. Fonction déléguée par écrit par la personne ayant la plus haute autorité dans l'entreprise.
- Personnel et modérateurs : n'accèdent aux renseignements personnels que selon les besoins de leur rôle (administration, modération, soutien, finances), au moyen de permissions par rôle et de la sécurité au niveau des rangées de la base de données; l'accès est retiré à la fin du rôle.
- Fournisseurs de services : traitent les renseignements uniquement selon nos instructions, en vertu d'ententes écrites (confidentialité, sécurité, destruction en fin de contrat, avis d'incident). La liste figure dans la Politique de confidentialité.
Anne-Marie Coulombe
Responsable de la protection des renseignements personnels
Solutions Techno-Rédac inc., 301-4609 route de Fossambault, Sainte-Catherine-de-la-Jacques-Cartier, QC G3N 2T7
2. Conservation et destruction
Les renseignements sont détruits ou anonymisés à la fin de leur durée de conservation par des tâches automatisées quotidiennes. L'anonymisation doit être irréversible, selon les meilleures pratiques généralement reconnues.
| Renseignements | Durée de conservation |
|---|---|
| Compte et profil | Tant que le compte existe; anonymisé/supprimé 14 jours après une demande de suppression |
| Messages de clavardage (direct et chaîne) | 90 jours |
| Adresses IP de compte (anti-abus, qualification des paliers) | 12 mois après la dernière utilisation |
| Journal anti-abus d'inscription | 90 jours |
| Événements de santé du lecteur | 30 jours |
| Journaux de requêtes API | 90 jours |
| File de courriels (contenu des messages) | 30 jours |
| Journal d'envoi de courriels, journal d'activation | 12 mois |
| Notifications | 90 jours |
| Acceptations des conditions | IP et navigateur effacés après 3 ans (version et date conservées) |
| Preuve de suppression de compte (IP, navigateur, signature) | 3 ans après le traitement, puis effacée |
| Bannissements de clavardage expirés | 12 mois après l'expiration |
| Journal des autorisations d'applications tierces | 180 jours |
| Signalements et preuves de modération | 2 ans (dossiers de protection des enfants : conservés jusqu'à résolution, au moins 21 jours) |
| Enregistrements (VOD, sur activation) | 72 heures (7 jours pour VPZONE+) |
| Abonnements et jetons de notification | Jusqu'à leur désactivation ou la suppression du compte |
| Dossiers financiers (paiements, versements, Pixels) | 7 ans (lois fiscales), référence anonymisée après suppression |
3. Évaluations des facteurs relatifs à la vie privée
Une évaluation des facteurs relatifs à la vie privée (ÉFVP), proportionnée à la sensibilité des renseignements, est réalisée avant tout projet d'acquisition, de développement ou de refonte d'un système d'information ou d'un service impliquant des renseignements personnels, et avant toute communication de renseignements à l'extérieur du Québec (art. 17). Elle examine la finalité, la nécessité, la minimisation, les mesures de protection et, pour les transferts, le régime juridique de l'endroit visé. Les ÉFVP sont conservées et révisées lorsque le traitement change. Confidentialité par défaut : les paramètres les plus protecteurs s'appliquent sans action de votre part (p. ex. témoins publicitaires désactivés tant que vous n'acceptez pas).
4. Incidents de confidentialité
- Tout membre du personnel qui soupçonne un incident le signale immédiatement à la responsable.
- Nous prenons les mesures raisonnables pour diminuer les risques de préjudice et éviter que l'incident se reproduise.
- Nous évaluons le risque de préjudice sérieux (sensibilité, conséquences appréhendées, probabilité d'utilisation malveillante).
- Si le risque est sérieux, nous avisons promptement la Commission d'accès à l'information et les personnes concernées, et pouvons aviser toute personne susceptible de diminuer le risque.
- Chaque incident, sérieux ou non, est consigné au registre des incidents, conservé au moins 5 ans.
5. Demandes et plaintes
Adressez vos demandes (accès, rectification, retrait, désindexation, portabilité) ou plaintes à la responsable par courriel ou par la poste. Nous accusons réception, vérifions votre identité et répondons par écrit dans un délai de 30 jours. Un refus indique les motifs, la disposition de la loi et votre droit de recours devant la CAI. Les plaintes sur notre traitement des renseignements personnels font l'objet d'un examen et d'une réponse écrite dans les 30 jours; si vous n'êtes pas satisfait, vous pouvez vous adresser à la Commission d'accès à l'information. Ces services sont gratuits.
6. Protection des enfants
Les signalements pour motif de protection des enfants sont traités en priorité. Les preuves sont conservées de façon privée, exclues de la suppression automatique et préservées au moins 21 jours et jusqu'à résolution. Le matériel d'abus pédosexuel est signalé à Cyberaide.ca et, lorsque requis, à la police, conformément à la loi canadienne sur la déclaration obligatoire.
7. Formation et sensibilisation
Le personnel et les modérateurs reçoivent une formation sur la protection des renseignements personnels et la confidentialité lorsqu'ils obtiennent un accès, puis un rappel chaque année, couvrant la présente politique, le signalement des incidents et les procédures de protection des enfants.
8. Révision
La présente politique, le calendrier de conservation et la liste des fournisseurs sont révisés au moins une fois par année et lors de tout changement important.