Gouvernance des renseignements personnels

• Responsable de la protection des renseignements personnels : Andrew Dominique, Responsable de la protection des renseignements personnels. Il veille au respect de la loi, approuve cette politique, traite les demandes et les plaintes, et tient le registre des incidents. Pour le joindre : confidentialite@vigio.ca.
• Personnes qui travaillent pour Vigio : elles n'accèdent aux renseignements que lorsque leur tâche l'exige (support demandé par un client, enquête sur un incident), et s'engagent à les garder confidentiels.
• Fournisseurs technologiques : ils traitent les renseignements seulement pour nous rendre leur service. Leur liste est dans la politique de confidentialité.
• Entreprises clientes : chaque entreprise reste responsable des renseignements qu'elle enregistre sur ses employés, ses clients et ses fournisseurs. Vigio les traite pour son compte. Chaque entreprise peut indiquer son propre responsable, qui est affiché à ses clients dans le portail client.
• Membres d'une entreprise : leur accès dépend de leur rôle (propriétaire, administrateur, chargé de projet, contremaître, employé…). Les montants et les données sensibles sont cachés aux rôles qui n'en ont pas besoin. Voir la page Sécurité.

Nous recueillons seulement les renseignements nécessaires au service, et nous les utilisons seulement pour les fins annoncées dans la politique de confidentialité, pour une fin compatible, ou avec le consentement de la personne.

Le consentement aux conditions d'utilisation et à la politique de confidentialité est demandé à l'inscription, par une case à cocher qui n'est jamais cochée d'avance. La date et la version acceptées sont enregistrées. Quand ces documents changent de façon importante, l'application demande à chaque membre d'accepter la nouvelle version.

Par défaut, Vigio n'utilise aucun témoin publicitaire, aucun outil de mesure d'audience et aucune technologie de localisation ou de profilage. Voir la page sur les témoins.

Un renseignement est gardé seulement le temps nécessaire à la fin pour laquelle il a été recueilli, ou plus longtemps si une loi l'exige.

Les pièces comptables et fiscales d'une entreprise cliente (factures, dépenses, paie) sont gardées tant qu'elle les garde dans Vigio. C'est l'entreprise qui décide de leur durée de conservation selon ses obligations : par exemple, Revenu Québec demande de garder les registres et pièces justificatives six ans après la fin de la dernière année à laquelle ils se rapportent. L'export (Paramètres → Données) permet de les garder hors de Vigio.

À la fin de la durée de conservation, les renseignements sont supprimés de la base de données de façon définitive. Les suppressions automatiques (sessions, liens et invitations expirés) sont faites par une tâche qui roule toutes les heures.

Un renseignement supprimé peut rester dans les copies de sauvegarde jusqu'à ce que ces copies soient elles-mêmes détruites, à la fin de leur durée de conservation. Il n'en est jamais restauré pour un autre usage.

Quand des renseignements sont gardés à des fins statistiques après la fin de leur utilité, ils sont d'abord anonymisés de façon irréversible, selon les règles prévues par la loi.

• Accès et copie : une personne peut demander quels renseignements nous détenons sur elle et en obtenir une copie.
• Portabilité : les données d'une entreprise peuvent être exportées en tout temps par un propriétaire (Paramètres → Données → Exporter), en fichiers CSV, un format structuré et couramment utilisé.
• Rectification : la plupart des renseignements se corrigent directement dans l'application ; sinon, sur demande.
• Suppression du compte : chaque personne peut supprimer son compte elle-même (Paramètres → Données).
• Retrait du consentement, cessation de diffusion et désindexation : sur demande, dans les cas prévus par la loi.

Les demandes se font par écrit à notre responsable (confidentialite@vigio.ca). Nous vérifions l'identité de la personne, puis nous répondons par écrit au plus tard 30 jours après la réception de la demande. Si les renseignements ont été saisis par une entreprise cliente (par exemple, une fiche d'employé ou de client), nous transmettons la demande à cette entreprise ou nous l'aidons à y répondre.

• La plainte est envoyée par écrit à notre responsable (confidentialite@vigio.ca).
• Nous en accusons réception et nous l'inscrivons dans un registre des plaintes.
• Le responsable examine la plainte, demande au besoin des précisions, et prend les mesures nécessaires.
• Nous répondons par écrit à la personne, en expliquant notre décision et les mesures prises.

Si la personne n'est pas satisfaite de notre réponse, elle peut s'adresser à la Commission d'accès à l'information du Québec.

Un incident de confidentialité est un accès, une utilisation, une communication ou une perte de renseignements personnels qui n'est pas autorisé. Quand nous en découvrons un :

• nous prenons tout de suite les mesures pour réduire le risque de préjudice et éviter que l'incident se reproduise ;
• nous évaluons le risque de préjudice (sensibilité des renseignements, conséquences possibles, probabilité qu'ils soient mal utilisés) ;
• si le risque de préjudice est sérieux, nous avisons avec diligence la Commission d'accès à l'information et les personnes concernées ;
• si l'incident touche les données d'une entreprise cliente, nous l'avisons sans délai pour qu'elle puisse remplir ses propres obligations ;
• chaque incident, même sans risque sérieux, est inscrit dans notre registre des incidents, gardé 5 ans après sa découverte.

Avant de mettre en place un nouveau système qui traite des renseignements personnels, et avant de communiquer des renseignements à l'extérieur du Québec (par exemple, à un fournisseur qui les héberge ailleurs), nous faisons une évaluation des facteurs relatifs à la vie privée. La région d'hébergement et les fournisseurs concernés sont indiqués dans la politique de confidentialité.

Le responsable revoit cette politique au moins une fois par année, et chaque fois que nos pratiques changent (nouveau fournisseur, nouvelle fonction qui touche des renseignements personnels).