Politique de protection des renseignements personnels

La présente politique relative à la protection des renseignements personnels de la Fondation HORA (la « Fondation ») énonce les lignes directrices et les règles spécifiques qui doivent être respectées par le personnel de la Fondation relativement à la collecte, à l'utilisation, à la communication, à la conservation et à la destruction de tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier.

Aux fins de la présente politique, la notion de renseignement personnel est définie par la Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1 (la « LPRPSP »). La présente politique a pour objectif de fournir un cadre général en matière de protection des renseignements personnels concernant le personnel de la Fondation, ses administrateurs, bénévoles, consultants et prestataires de services, ainsi que les participants à ses formations, les donateurs, les demandeurs de bourse, les partenaires et les fournisseurs de la Fondation, en conformité avec les lois et règlements applicables, et en particulier la LPRPSP, la Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 2000 ch. 5 (« LPRPDE ») et, lorsqu'applicable, le Règlement général sur la protection des données (« RGPD »).

Cette politique décrit les principes et les pratiques qui guident la Fondation dans le traitement des renseignements personnels, laquelle possède et exploite le présent site Web (le « Site »).

La présente politique s'applique à tout le personnel de la Fondation, peu importe son titre, son statut, ses fonctions ou son affiliation professionnelle, ainsi qu'aux bénévoles, consultants et prestataires de services lorsque ces derniers y sont assujettis spécifiquement dans leur contrat de service ou leur engagement.

Aux fins de la présente politique :

Le consentement à la collecte, à l'utilisation et à la communication de renseignements personnels doit être manifeste, libre et éclairé. Il doit être donné à des fins spécifiques, en termes simples et clairs. Lorsque la personne concernée le requiert, la Fondation lui prête assistance afin de l'aider à comprendre la portée du consentement demandé.

Suivant la nature et la sensibilité des renseignements personnels, le consentement peut être explicite — oralement, par écrit ou par voie électronique — ou implicite, soit lorsque la personne concernée fournit volontairement des renseignements personnels, par exemple en remplissant un formulaire du Site. Lorsqu'il est requis, le consentement lié à des renseignements sensibles doit dans tous les cas être manifesté de manière expresse.

Le consentement est obtenu avant ou au moment de la collecte des renseignements, sauf dans les autres cas et aux conditions prévus par la loi. Il ne vaut que pour la période nécessaire à la réalisation des fins auxquelles il a été demandé. Un consentement peut être retiré en tout temps, sous réserve de restrictions légales et contractuelles et d'un préavis raisonnable; en cas de retrait, la Fondation se réserve le droit de maintenir ou non sa relation avec la personne concernée ou de lui fournir certains services.

La Fondation ne recueille que les renseignements personnels nécessaires à l'établissement, à la gestion et au maintien de sa relation avec son personnel, ses bénévoles, ses consultants et prestataires de services, ainsi que ceux nécessaires à l'exécution de sa mission envers les participants à ses formations, les donateurs, les demandeurs de bourse, les partenaires et les fournisseurs. Ces renseignements peuvent inclure des renseignements d'identification, des renseignements financiers liés aux dons, aux inscriptions ou aux demandes de bourse, des renseignements relatifs au travail ou à la formation, des renseignements relatifs au projet entrepreneurial ou organisationnel présenté, ainsi que, pour une personne morale, les coordonnées du représentant autorisé et les renseignements requis sur les membres du conseil d'administration.

Concernant son personnel, ses bénévoles, ses consultants et ses prestataires de services, la Fondation recueille et utilise des renseignements personnels notamment pour : la détermination initiale d'éligibilité à un emploi ou à un mandat, y compris la vérification des références et des qualifications; la gestion des ressources humaines et de l'administration, incluant les contrats et les attestations de lecture des politiques; la préparation de la paie et des remboursements, le cas échéant; les renseignements requis aux fins d'identification et de sécurité, dont la personne à contacter en cas d'urgence; et tout autre renseignement requis ou dont l'accès est autorisé par la loi.

Concernant les participants, donateurs, demandeurs de bourse, partenaires et fournisseurs, la Fondation recueille et utilise des renseignements personnels notamment pour : identifier la personne concernée afin d'établir et de maintenir la relation, par exemple pour l'inscription à une formation, le traitement d'un don, l'évaluation d'une demande de bourse, y compris l'analyse du plan d'affaires, des états financiers, du plan prévisionnel, de l'organigramme, des dates de naissance et des pièces d'identité gouvernementales des membres du conseil d'administration lorsque requis, ou l'offre d'un service; fournir un service continu, y compris lorsque la personne soumet une question, s'inscrit à une activité ou indique ses préférences; prévenir les erreurs et la fraude; améliorer sa gamme de programmes et de services; et répondre aux exigences que la loi impose à la Fondation.

Un renseignement personnel ne peut être utilisé au sein de la Fondation qu'aux fins pour lesquelles il a été recueilli, à moins du consentement de la personne concernée ou si l'utilisation est autrement autorisée par la loi — notamment lorsque l'utilisation est compatible avec les fins de la collecte, manifestement au bénéfice de la personne concernée, ou nécessaire à l'application d'une loi au Québec.

Dans la plupart des cas, la Fondation recueille les renseignements personnels auprès de la personne concernée. Elle peut toutefois les recueillir auprès d'un tiers avec le consentement de la personne concernée ou sans son consentement si la loi l'autorise. La personne concernée est informée, au moment de la collecte et par la suite sur demande, des fins pour lesquelles les renseignements sont recueillis, des moyens utilisés et de toute autre information requise par la loi.

Sauf dans les cas prévus par la loi, la communication de renseignements personnels à un tiers requiert le consentement de la personne concernée. Sans égard au contexte, la Fondation ne transmet que la quantité minimale et le type de renseignements nécessaires aux fins de la communication.

Conformément à la loi, des renseignements personnels peuvent être communiqués sans consentement : à une personne ou à un organisme ayant pouvoir de contraindre à leur communication et qui les requiert dans l'exercice de ses fonctions, incluant pour répondre à une assignation, à un mandat ou à une ordonnance d'un tribunal; à un organisme chargé en vertu de la loi de prévenir, de détecter ou de réprimer le crime ou les infractions aux lois, si le renseignement est nécessaire pour l'institution ou la poursuite de procédures judiciaires; ou à une personne à qui il est nécessaire de communiquer le renseignement en vertu d'une loi applicable.

L'accès aux renseignements personnels à l'intérieur de la Fondation est strictement limité aux personnes pour qui ils sont nécessaires à l'exercice de leurs fonctions. L'accès ou la communication non autorisé d'un renseignement personnel par un membre du personnel est strictement interdit et peut donner lieu à des mesures disciplinaires.

La Fondation peut partager des renseignements personnels avec ses sous-traitants — notamment PayPal (traitement des paiements et des dons), Eventbrite (billetterie de certaines formations), Google Analytics (mesure d'audience anonymisée, seulement après consentement), son fournisseur d'hébergement infonuagique et son service d'envoi de courriels transactionnels — si les renseignements sont nécessaires à l'exécution de leur mandat ou de leur contrat de service. Dans tous les cas, la Fondation met en place des moyens raisonnables pour s'assurer que le sous-traitant maintient la confidentialité, l'intégrité et la disponibilité des renseignements communiqués. Le mandat ou le contrat est confié par écrit et prévoit minimalement : les mesures de protection du caractère confidentiel des renseignements confiés; l'utilisation des renseignements uniquement dans l'exercice du mandat ou du contrat; l'engagement de ne pas conserver les renseignements après la fin du mandat; l'engagement d'aviser le responsable de la protection des renseignements personnels de toute violation ou tentative de violation des obligations de confidentialité; et la possibilité pour la Fondation d'effectuer toute vérification relative à cette confidentialité.

Si la communication a lieu à l'extérieur du Québec, ou si elle s'inscrit dans le cadre d'un projet en technologie de l'information, la Fondation procède à une EFVP tenant compte de tous les éléments prévus par la loi. Elle ne communique des renseignements personnels à l'extérieur du Québec que si l'EFVP démontre qu'ils bénéficieront d'une protection adéquate. Il est important de noter que si un sous-traitant opère dans une juridiction étrangère, la législation locale est susceptible de permettre à des tiers d'avoir autrement accès aux renseignements personnels sans le consentement de la personne concernée.

Le Site fait usage de mécanismes essentiels : la mémorisation locale de votre choix relatif au bandeau de consentement et, pour l'équipe, la session de connexion à l'espace admin. Avec votre consentement explicite, le Site peut aussi utiliser Google Analytics afin de mesurer la fréquentation des pages de manière anonymisée. Sans ce consentement, Google Analytics n'est pas chargé et aucun témoin d'analyse n'est déposé. Le Site n'utilise aucun témoin publicitaire ni outil de pistage publicitaire tiers. Les journaux techniques du serveur peuvent enregistrer les pages demandées, l'adresse IP, la date et l'heure de connexion, le type de navigateur et le système d'exploitation, à des fins exclusives de sécurité et de bon fonctionnement.

Un témoin de connexion est un fichier qui enregistre des renseignements sur le disque dur ou dans le navigateur. La majorité des navigateurs permettent de les bloquer ou de les supprimer; consultez le guide d'utilisation de votre navigateur. Vous pouvez refuser la mesure d'audience depuis le bandeau de consentement, sans affecter la consultation du contenu.

La Fondation reconnaît qu'il est important que les renseignements personnels soient exacts, complets et à jour, et met en place des mesures raisonnables pour s'assurer de l'exactitude des renseignements utilisés et communiqués. Les personnes concernées demeurent responsables d'informer la Fondation de tout changement significatif relatif à leurs renseignements personnels au cours de la relation.

La Fondation a mis en place des mesures de sécurité visant à protéger les renseignements personnels contre la perte, le vol, la consultation, la communication, la copie, l'utilisation et la modification non autorisées, quelle que soit la nature du support. Ces mesures, raisonnables compte tenu de la sensibilité des renseignements, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support, incluent notamment :

La Fondation veille également à ce que tout son personnel soit informé du contenu de la présente politique et s'y conforme en tout temps. Sauf dans les cas où la collecte, l'utilisation, la communication ou la conservation sont confiées à un sous-traitant à l'étranger dans le respect de la présente politique, les renseignements personnels sous le contrôle de la Fondation sont conservés au Canada. La Fondation conserve les renseignements personnels seulement pendant la durée nécessaire à la réalisation de l'objet pour lequel ils ont été recueillis, pour rencontrer les exigences légales de conservation applicables et pendant la durée nécessaire à la protection de ses intérêts légitimes. Les renseignements personnels utilisés pour prendre une décision relative à une personne concernée — par exemple l'octroi d'une bourse — sont conservés pendant au moins un an suivant la décision. Les pièces d'identité gouvernementales sont conservées dans l'espace administrateur sécurisé et détruites lorsqu'elles ne sont plus nécessaires à l'évaluation ou à la gestion de la demande, sous réserve des exigences légales applicables.

Toute personne a le droit de demander de consulter ou d'obtenir une copie de ses renseignements personnels détenus par la Fondation. Elle peut également demander qu'ils soient rectifiés s'ils sont inexacts, incomplets ou équivoques, ou si leur collecte, leur communication ou leur conservation ne sont pas autorisées par la loi.

Toute question relative à la présente politique ou à la collecte, à l'utilisation ou à la communication de renseignements personnels, incluant les demandes d'accès ou de rectification, doit être formulée par écrit et adressée au responsable de la protection des renseignements personnels de la Fondation :

La Fondation répond à toute demande d'accès ou de rectification dans les 30 jours de la date de réception de la demande écrite. En cas de refus de fournir ou de corriger les renseignements, la Fondation fournit les motifs à l'appui de son refus, sous réserve des restrictions prévues par la loi, et informe la personne concernée de ses recours, dont la possibilité de déposer une plainte auprès de la Commission d'accès à l'information du Québec (cai.gouv.qc.ca).

Tout membre du personnel de la Fondation qui a des motifs de croire qu'un incident de confidentialité impliquant un renseignement personnel détenu par la Fondation s'est produit doit immédiatement en informer le responsable de la protection des renseignements personnels, par écrit, en fournissant l'ensemble des informations pertinentes à l'évaluation de la situation.

Le responsable de la protection des renseignements personnels prend les mesures raisonnables pour diminuer les risques qu'un préjudice soit causé aux personnes concernées et pour éviter que de nouveaux incidents de même nature ne se produisent. Il détermine si l'incident présente un risque de préjudice sérieux; le cas échéant, il avise avec diligence la Commission d'accès à l'information et toute personne concernée, sauf si cela serait susceptible d'entraver une enquête menée par une personne ou un organisme chargé en vertu de la loi de prévenir, de détecter ou de réprimer le crime ou les infractions aux lois. Il peut également aviser toute personne ou tout organisme susceptible de diminuer ce risque, en ne communiquant que les renseignements nécessaires à cette fin, sans consentement, en enregistrant alors la communication.

Le responsable de la protection des renseignements personnels tient un registre des incidents de confidentialité.

Le RGPD établit des règles spécifiques applicables exclusivement au traitement des renseignements personnels des personnes se trouvant dans l'EEE, dans la mesure où ce traitement a lieu alors que les personnes concernées s'y trouvent et lorsque les activités de traitement sont liées à l'offre de biens ou de services — comme une formation en ligne — ou au suivi du comportement de ces personnes au sein de l'EEE. Lorsque ces conditions d'application s'appliquent à des renseignements personnels recueillis, utilisés, communiqués ou conservés par la Fondation, les dispositions du RGPD ont préséance sur la présente politique en cas de conflit.

La directrice générale de la Fondation HORA, Mme Mireille Lavie Nana, fondatrice et également présidente du conseil d'administration, est responsable de la protection des renseignements personnels au terme de la LPRPSP et de la présente politique, et peut déléguer ses fonctions, sur autorisation du conseil d'administration, à toute personne nommément désignée.

Elle veille à la mise en place des mesures visant à assurer le respect des règles établies dans la présente politique, à la gestion adéquate des incidents de confidentialité, à la participation à la réalisation des EFVP, à l'établissement d'un processus de traitement des demandes d'accès aux renseignements personnels détenus par la Fondation et des plaintes concernant la protection des renseignements personnels, et publie sur le Site des informations détaillées au sujet de la présente politique et de la collecte de renseignements personnels par l'entremise de moyens technologiques.