Politique sur la protection des renseignements personnels

1. Contexte

Compte tenu que les entreprises doivent avoir et adapter leurs politiques et leurs pratiques en vue de se conformer aux obligations prévues en matière de confidentialité, il est primordial d'établir une politique interne et des procédures pour la protection des renseignements personnels et ce, conformément à la Loi sur la protection des renseignements personnels dans le secteur privé (LRQ. Chapitre P-39.1).

2. Définition

Il faut entendre par renseignement personnel, tout renseignement qui concerne une personne physique et permet de l'identifier.

• Prénom et nom
• Âge, adresse de domicile
• Adresse électronique personnelle et adresse IP
• État matrimonial et situation financière
• Numéro d'assurance sociale, permis de conduire, passeport
• Renseignements bancaires et relevés de comptes
• Dossiers médicaux et questionnaires médicaux
• Contrats et propositions d'assurance
• Situation familiale

3. Mise en œuvre

La mise en œuvre de cette politique a été confiée à Véronique Mondoux, VP Finance et Opérations. Cette personne veille au respect des différentes lois applicables à la protection des renseignements personnels et assure la circulation de l'information ainsi que la formation des membres de l'organisation.

4. Organisme responsable

La Commission d'accès à l'information (CAI) du Québec est responsable de veiller au respect et à l'application de la loi. Plus d'informations sur : cai.gouv.qc.ca

5. Informations avant la collecte

Avant de procéder à la collecte de renseignements personnels, les informations suivantes doivent être fournies à la personne concernée :

• Les objectifs pour lesquels les renseignements sont recueillis
• Les moyens par lesquels les renseignements sont recueillis
• Ses droits d'accès et de rectification prévus par la loi
• Son droit de retirer son consentement

6. Consentement

CVU Inc. s'engage à recueillir les renseignements personnels d'un client nécessaires à la constitution de son dossier que dans la seule mesure où celui-ci aura donné un consentement. Pour être valide, le consentement doit être :

• Manifeste : évident et donné d'une façon qui démontre la volonté réelle
• Libre : impliquant un réel choix et donné sans contraintes
• Éclairé : donné en toute connaissance de cause
• Spécifique : donné dans un objectif précis
• Temporaire : valide seulement pour la durée nécessaire

7. Renseignements recueillis

• Renseignements servant à identifier et authentifier la personne
• Renseignements sur sa santé
• Renseignements sur ses dossiers d'assurance
• Renseignements financiers et d'emploi
• Renseignements sur ses proches
• Renseignements numériques (sites web, applications, médias sociaux)
• Renseignements sur ses communications avec nous

8. Utilisation et communication

Les renseignements personnels recueillis ne seront utilisés et communiqués qu'aux seules fins pour lesquelles ils auront été recueillis et dans le cours normal de nos affaires dans l'unique but d'exécuter le mandat qui nous est confié.

9. Conservation

Nous conservons principalement les renseignements personnels sous notre responsabilité sur le territoire du Québec ou au Canada. Nous appliquons des mesures de sécurité physiques, technologiques et administratives.

10. Mesures de sécurité

Mesures physiques

• Contrôles physiques des visiteurs à nos locaux administratifs
• Accès restreints à nos locaux et serveurs
• Sauvegarde et archivage sécurisé

Mesures technologiques

• Authentification à multiples facteurs
• Chiffrement des données
• Certificats numériques, antivirus et pare-feu
• Journalisation des accès

Mesures administratives

• Vérifications de sécurité pour certains types d'emplois
• Contrôle des droits d'accès limité au strict nécessaire
• Formation et sensibilisation régulière du personnel

11. Durée de conservation

La durée minimale de conservation des livres, registres et dossiers clients est de 5 ans à partir de la fermeture du dossier, tel que prescrit par le règlement sur la discipline de l'assurance de personnes.

12. Destruction

Toute destruction de dossiers contenant des renseignements personnels doit être effectuée en respectant le caractère confidentiel de ces renseignements, de façon définitive et sécuritaire.

13. Droits des personnes

Toute personne a le droit de consulter les renseignements personnels que nous détenons sur elle, de les modifier, corriger ou rectifier, et de demander leur suppression, sous réserve de nos obligations légales.

14. Incidents de confidentialité

Un incident de confidentialité correspond à tout accès, utilisation ou communication non autorisés d'un renseignement personnel. Si un incident présente un risque de préjudice sérieux, la Commission d'accès à l'information et les personnes concernées seront avisées.

15. Registre des incidents

Nous tenons un registre de tous les incidents de confidentialité impliquant des renseignements personnels, conservé pour une période minimale de cinq (5) ans après la date de prise de connaissance de l'incident.

16. Transparence

Nous rendons accessibles au public les coordonnées du responsable de la protection des renseignements personnels, ainsi que de l'information claire et simple à propos de nos politiques et pratiques.

17. Approbation

Cette politique a été approuvée par la personne responsable de la protection des renseignements personnels.