Politique en cas de violation de la vie priv茅e
SECTION 1 - INTRODUCTION
1.1 Objectif
L'objectif de cette politique est de fournir des orientations en cas de violation de la confidentialit茅 des informations personnelles ou confidentielles des clients, du personnel ou des clients de Precise Parklink Inc. ("Precise").
Cette politique fournit des orientations sur les mesures raisonnables n茅cessaires pour limiter la violation, soutenir une enqu锚te efficace et aider 脿 la rem茅diation.
SECTION 2 - POLITIQUE聽
2.1 Politique
Precise a pour politique de pr茅venir les atteintes 脿 la vie priv茅e en adoptant une culture de la vie priv茅e, de la s茅curit茅 et de la responsabilit茅 en adh茅rant 脿 tous les protocoles de protection de la vie priv茅e d茅taill茅s dans la politique de Precise en mati猫re de protection de la vie priv茅e. Si une atteinte 脿 la vie priv茅e survient 脿 la suite de la perte, du vol ou de l'acc猫s non autoris茅 脿 des informations personnelles ou confidentielles, l'impact de l'atteinte doit 锚tre ma卯tris茅 et une r茅ponse rapide, raisonnable et coordonn茅e doit 锚tre apport茅e 脿 l'atteinte, conform茅ment 脿 la pr茅sente politique.
SECTION 3 - RESPONSABILIT脡 ET PROC脡DURE
3.1 Protocole de violation de la vie priv茅e
Les cinq 茅tapes suivantes seront mises en 艙uvre d猫s qu'une violation de la vie priv茅e, ou une violation pr茅sum茅e, aura 茅t茅 signal茅e.聽
3.1.1 脡tape 1 - Rapport et 茅valuation
Rapport
D猫s qu'il a connaissance d'une 茅ventuelle violation d'informations personnelles ou confidentielles, l'employ茅 de Precise signale rapidement la violation pr茅sum茅e 脿 son sup茅rieur hi茅rarchique. Il en sera ainsi m锚me si la violation est suspect茅e et non encore confirm茅e. Le responsable signalera rapidement la violation pr茅sum茅e au vice-pr茅sident charg茅 de l'information et de la technologie ("vice-pr茅sident charg茅 de l'informatique"). Le gestionnaire signalera rapidement l鈥檃tteinte pr茅sum茅e au Vice-pr茅sident charg茅 de l'information et de la technologie (芦 VP de la TI 禄). Le VP de la TI 茅valuera :
Ce qui s'est pass茅.
Lieu de l'incident.
Date de l'incident pr茅sum茅.
Comment la violation potentielle a 茅t茅 d茅couverte.
L'endroit o霉 l'information a 茅t茅 viol茅e, par exemple : technologie, dossiers papier, oralement.聽
Mesures correctives prises lors de la d茅couverte de l'茅ventuelle violation.
脡惫补濒耻别谤
Le VP de la TI 茅valuera 茅galement la violation en posant les questions suivantes :
Q1) Des informations personnelles ou confidentielles sont-elles concern茅es ?
聽聽聽聽聽聽聽聽 聽 聽聽聽聽聽聽聽聽聽聽聽聽 聽oui non
Q2) Des informations personnelles ou confidentielles ont-elles 茅t茅 collect茅es, utilis茅es, divulgu茅es ou conserv茅es sans autorisation ?聽聽
聽oui non
Q3) Des informations personnelles ou confidentielles ont-elles 茅t茅 perdues ou vol茅es ?
聽聽聽聽聽聽聽聽 聽 聽聽聽聽聽聽聽聽聽聽聽聽 聽oui non
Si la r茅ponse est "oui" 脿 la question 1 et "oui" aux questions 2 ou 3, on peut supposer qu'une infraction a 茅t茅 commise.
3.1.2 脡tape 2 - Confinement
Le confinement consiste 脿 prendre des mesures correctives imm茅diates pour mettre fin 脿 la pratique non autoris茅e qui a conduit 脿 une violation. Par exemple, les mesures correctives peuvent consister 脿 r茅cup茅rer les dossiers perdus ou vol茅s, 脿 r茅voquer/modifier les codes d'acc猫s ou 脿 corriger les faiblesses d'un syst猫me de s茅curit茅 茅lectronique. L'objectif principal est d'att茅nuer les cons茅quences pour les personnes dont les informations personnelles ou confidentielles ont 茅t茅 impliqu茅es et pour Precise.聽
3.1.3 脡tape 3 - Enqu锚ter
Une fois que la violation de la vie priv茅e est confirm茅 et contenu, le VP de la TI m猫ne une enqu锚te pour d茅terminer la cause et l'茅tendue de la violation :
Identifier et analyser les 茅v茅nements qui ont conduit 脿 la violation de la vie priv茅e.聽聽
脡惫补濒耻别谤 si la violation est un incident isol茅 ou s'il existe un risque d'autres violations de la vie priv茅e.聽
D茅terminer qui a 茅t茅 affect茅 par la violation, par exemple les clients ou le personnel, et combien de personnes ont 茅t茅 touch茅es.
脡惫补濒耻别谤 l'effet des activit茅s de confinement.
脡惫补濒耻别谤 qui a eu acc猫s 脿 l'information.
D茅terminer si les informations ont 茅t茅 perdues ou vol茅es.
脡惫补濒耻别谤 si les informations personnelles ou confidentielles ont 茅t茅 r茅cup茅r茅es.
3.1.4 脡tape 4 - Notification
Le VP de la TI consultera le service juridique pour d茅terminer les notifications n茅cessaires. Voici quelques 茅l茅ments 脿 prendre en consid茅ration :
Notification aux autorit茅s/autres organisations. Exemples : application de la loi, la Commission d'acc猫s 脿 l'information du Qu茅bec, soci茅t茅s de cartes de cr茅dit, institutions financi猫res, etc.
La perte ou le vol d'informations expose-t-il une personne 脿 un risque d'atteinte 脿 son int茅grit茅 physique, de traque ou de harc猫lement ?
Existe-t-il un risque d'usurpation d'identit茅 ? Dans quelle mesure ce risque est-il raisonnable ?
Chronologie
Les personnes concern茅es doivent 锚tre rapidement inform茅es et recevoir la premi猫re notification d猫s que possible apr猫s la survenance de la violation. D'autres communications avec les personnes concern茅es peuvent avoir lieu au cours du processus, au fur et 脿 mesure des mises 脿 jour.
惭茅迟丑辞诲别
La m茅thode de notification sera d茅termin茅e en fonction de la nature et de l'ampleur de la violation et d'une mani猫re qui soit raisonnable pour garantir que la personne concern茅e la recevra. La notification directe, par exemple par t茅l茅phone, par lettre, par courrier 茅lectronique ou en personne, est utilis茅e lorsque les personnes concern茅es sont identifi茅es. Lorsque les personnes concern茅es ne sont pas totalement connues, des communiqu茅s de presse, des avis sur le site web ou des lettres aux clients peuvent 锚tre envisag茅s.聽
Responsabilit茅 de la notification
Si la violation concerne des informations relatives 脿 des clients, c'est le responsable du programme concern茅 qui sera charg茅 de la notification. Si la violation concerne des informations personnelles du personnel de Precise, c'est le service des ressources humaines qui sera charg茅 de la notification. S'il s'agit d'informations concernant un client de Precise, c'est le service marketing qui sera charg茅 de la notification.
Dans le cas o霉 il y a un risque 茅lev茅 de publicit茅 脿 la suite de l鈥檃tteinte, le Chef de l鈥檈xploitation sera responsable de la notification. Le cas 茅ch茅ant, il sera d茅termin茅 s'il convient de faire appel 脿 des m茅dias externes ou 脿 des relations publiques en raison de la gravit茅 de l鈥檃tteinte.
La notification comprendra
Description de l'incident et du moment o霉 il s'est produit
Description des informations concern茅es
La nature des risques ou dommages potentiels ou r茅els
Quelles sont les mesures prises/en cours de prise en charge ?
Toute mesure appropri茅e 脿 prendre par le(s) individu(s) afin de se prot茅ger contre les dommages.
Une personne de contact pour les questions ou pour fournir des informations compl茅mentaires
3.1.5 脡tape 5 - Pr茅vention des violations futures
Une fois l鈥檃tteinte r茅solue, le VP de la TI travaillera avec le gestionnaire pour 茅laborer un plan de pr茅vention ou prendre les mesures correctives qui s'imposent, et fera rapport au chef des op茅rations pour obtenir les approbations n茅cessaires. Les activit茅s de pr茅vention peuvent comprendre : des audits, l'examen des politiques, des proc茅dures et des pratiques, la formation des employ茅s ou l'examen de la prestation de services.
3.2 Registres d'incidents
Precise tiendra un registre historique des incidents li茅s 脿 la protection de la vie priv茅e, qui contiendra, sans s鈥檡 limiter les informations suivantes : date de l鈥檌ncident, description de l鈥檌ncident, mesures correctives prises.
Mise 脿 jour du 21 mars 2025