Énoncé de conformité à la LPRPDE

1. Portée et rôle

Le présent Énoncé s’applique au programme de protection des renseignements personnels de Dutiva lorsque la LPRPDE s’applique à la collecte, à l’utilisation, à la communication, à la conservation et à la protection de renseignements personnels par Dutiva dans le cadre d’activités commerciales.

Pour les renseignements relatifs aux comptes, au site Web, à la facturation, au soutien, à la sécurité et aux opérations du produit que Dutiva recueille directement auprès des utilisateurs, Dutiva est responsable de ces renseignements personnels en vertu des lois canadiennes applicables en matière de protection des renseignements personnels.

Lorsqu’un client soumet dans Dutiva des renseignements personnels concernant des employés, des candidats, des contractuels ou d’autres personnes aux fins des processus RH, des documents générés, du contexte du Conseiller, des processus de signature électronique ou des dossiers enregistrés, le client détermine généralement les fins de ce traitement et Dutiva traite les renseignements à titre de fournisseur de services ou de sous-traitant, sous réserve de l’Accord de traitement des données et des instructions applicables du client.

Certaines activités peuvent également être assujetties aux lois provinciales sur la protection des renseignements personnels, y compris les exigences québécoises, ou à des obligations juridiques propres au client. Le présent Énoncé soutient les contrôles de Dutiva axés sur la LPRPDE, mais ne remplace pas les obligations du client, les politiques propres à l’organisation ni un examen juridique.

2. Principe 1 - Responsabilité

Dutiva désigne une responsable de la protection des renseignements personnels chargée des demandes relatives à la confidentialité, des demandes d’accès et de rectification, des demandes de suppression, de la propriété des politiques, de l’examen de la confidentialité des fournisseurs, des changements de produit ayant une incidence sur la vie privée et de l’évaluation des atteintes à la vie privée. La responsable de la protection des renseignements personnels peut être jointe à l’adresse privacy@dutiva.ca.

Dutiva utilise une responsabilisation interne et des procédures documentées pour les changements ayant une incidence sur la vie privée, les fournisseurs de services et sous-traitants, le traitement transfrontalier, le traitement par IA et fournisseurs de modèles, les processus de conservation et de suppression des données, la réponse aux incidents, les dossiers d’atteinte et les mises à jour des politiques publiques de confidentialité.

Les clients demeurent responsables de s’assurer qu’ils disposent de l’autorité, du consentement, des avis, des politiques internes et du fondement légal nécessaires pour soumettre dans Dutiva des renseignements personnels concernant des employés, des candidats, des contractuels ou d’autres tiers.

3. Principe 2 - Détermination des fins

Dutiva détermine les fins de la collecte de renseignements personnels dans la Politique de confidentialité, les parcours du produit, les interactions de soutien, les documents contractuels et les pages juridiques connexes.

Les fins principales comprennent l’accès aux comptes, l’authentification, les processus documentaires RH, les réponses du Conseiller, le contexte du profil employeur, la facturation, le soutien, la sécurité du produit, le suivi de l’utilisation, la fiabilité du service, la conformité juridique, les dossiers fiscaux et comptables, la réponse aux incidents et les besoins d’audit.

Lorsque Dutiva introduit des pratiques substantiellement différentes en matière de renseignements personnels, Dutiva met à jour la politique publique, l’avis dans l’application, la condition contractuelle ou l’explication du produit pertinente selon ce qui est approprié au changement.

4. Principe 3 - Consentement

Dutiva demande un consentement approprié à la sensibilité des renseignements, au contexte du produit et aux attentes raisonnables de l’utilisateur. Certains traitements sont nécessaires pour fournir le service, maintenir la sécurité, compléter la facturation, conserver des dossiers d’audit ou respecter des obligations légales.

Les communications facultatives, les communications liées aux commentaires sur la bêta, les outils d’analyse facultatifs ou les communications de marketing sont traités au moyen de mécanismes appropriés de consentement, de désabonnement ou de préférences lorsque cela est requis ou approprié.

Les utilisateurs peuvent retirer un consentement facultatif en utilisant les mécanismes de désabonnement ou de préférences disponibles ou en communiquant avec Dutiva. Le retrait peut ne pas avoir d’incidence sur le traitement requis pour fournir le service, maintenir la sécurité, compléter la facturation, conserver des dossiers juridiques ou respecter la loi.

5. Principe 4 - Limitation de la collecte

Dutiva conçoit les processus du produit de façon à recueillir les renseignements personnels nécessaires à des fins définies de conformité RH, de documents, de compte, de facturation, de sécurité, de soutien et d’exploitation du produit.

Dutiva limite le contexte du Conseiller et les requêtes d’IA au contenu du message et au contexte de l’espace de travail raisonnablement nécessaires pour produire un accompagnement utile des processus. Les indications du produit avertissent les utilisateurs de ne pas saisir de numéros d’assurance sociale, numéros de carte de paiement, identifiants bancaires, dossiers médicaux, renseignements médicaux protégés ou dossiers d’employés hautement sensibles, sauf si un processus précis de Dutiva prend expressément en charge ce type de données.

Dutiva peut ajuster les formulaires, messages-guides, champs et exigences des processus au fil du temps afin de réduire la collecte non nécessaire tout en préservant l’utilité du produit, la tenue de dossiers juridiques et la fiabilité du service.

6. Principe 5 - Limitation de l’utilisation, de la communication et de la conservation

Dutiva utilise et communique les renseignements personnels aux fins décrites dans la Politique de confidentialité, l’Accord de traitement des données, les Conditions d’utilisation, la Politique relative aux témoins, la Divulgation relative à l’utilisation de l’IA et les autres pages juridiques applicables ou instructions du client.

Dutiva ne vend pas de renseignements personnels. Dutiva n’utilise pas les documents RH des clients ni les messages envoyés au Conseiller à des fins de publicité de tiers.

Dutiva utilise des fournisseurs de services et sous-traitants uniquement dans la mesure nécessaire pour exploiter, sécuriser, soutenir, traiter les paiements, analyser lorsque cela est activé et améliorer le service. Les catégories actuelles de fournisseurs principaux sont décrites dans la Politique de confidentialité et l’Accord de traitement des données.

La Politique de conservation et de suppression des données décrit les principes de conservation, les processus de suppression de compte, la suppression contrôlée par le client, les limites liées aux sauvegardes, les suspensions pour raisons juridiques et les exceptions liées aux obligations juridiques, fiscales, de facturation, de différend, de sécurité, d’incident et d’audit anonymisé.

7. Principe 6 - Exactitude

Dutiva s’appuie sur les utilisateurs et les clients pour fournir des renseignements exacts sur le compte, l’organisation, la province, le territoire, le régime fédéral, le rôle, le processus, le document et le profil employeur.

Les paramètres du produit, les parcours de profil, la configuration de l’espace de travail et les canaux de soutien permettent aux utilisateurs de mettre à jour les renseignements utilisés par le tableau de bord, le Conseiller, le générateur de documents, l’espace de travail, la facturation et les processus connexes, lorsque cela est applicable.

Les personnes peuvent demander la rectification de renseignements personnels inexacts en communiquant avec privacy@dutiva.ca, sous réserve des limites prévues par la loi et des considérations liées au contrôle du client lorsque les renseignements ont été soumis par une organisation cliente.

8. Principe 7 - Mesures de sécurité

Dutiva utilise des mesures de protection adaptées à la sensibilité des renseignements, y compris des mesures administratives, techniques et organisationnelles conçues pour protéger les renseignements personnels contre la perte, le vol, l’accès non autorisé, la communication non autorisée, la copie, l’utilisation, la modification, la disposition ou toute autre compromission.

Les mesures de protection peuvent comprendre le chiffrement TLS en transit, les contrôles d’authentification, l’accès administratif restreint, les contrôles de propriété des lignes, la séparation des rôles de service, l’isolation des secrets d’API, les limites de débit, les limites d’entrée, les contrôles de sécurité des fournisseurs, la surveillance opérationnelle, les pratiques de développement sécurisées, le hachage des audits de suppression et les procédures de réponse aux incidents.

Dutiva maintient une Politique de réponse aux incidents et aux atteintes pour les incidents de confidentialité et de sécurité soupçonnés ou confirmés. Aucune mesure de sécurité ne peut éliminer tous les risques, mais Dutiva vise à appliquer des mesures proportionnelles à la sensibilité, au volume et à l’utilisation des renseignements en cause.

9. Principe 8 - Transparence

Dutiva publie des documents publics sur la confidentialité et le cadre juridique qui décrivent ses pratiques en matière de protection des renseignements personnels, les conditions du service, les témoins et le stockage du navigateur, l’utilisation de l’IA, les fournisseurs technologiques, le traitement des données, la conservation et la suppression, la réponse aux incidents, l’accessibilité, la LCAP et la Loi 25 du Québec.

La Politique de confidentialité de Dutiva décrit les catégories de renseignements, les fins, les fournisseurs de services, le traitement transfrontalier, le traitement par le Conseiller par IA, le traitement automatisé, la conservation, les droits des personnes, les témoins, la sécurité et les coordonnées.

Les questions relatives à la confidentialité peuvent être transmises à la responsable de la protection des renseignements personnels de Dutiva à l’adresse privacy@dutiva.ca.

10. Principe 9 - Accès aux renseignements personnels

Sous réserve des limites prévues par la loi, les personnes peuvent demander l’accès aux renseignements personnels que Dutiva détient à leur sujet et demander de l’information sur la façon dont ces renseignements ont été utilisés ou communiqués.

Dutiva vise à répondre aux demandes d’accès dans un délai de 30 jours lorsque la loi l’exige, sauf si une prolongation est permise ou requise.

Lorsque Dutiva traite des Renseignements personnels du client pour le compte d’une organisation cliente, Dutiva peut diriger la demande vers le client concerné ou fournir une assistance raisonnable au client au moyen des fonctionnalités existantes du produit, des canaux de soutien et des processus de suppression de compte ou de dossier.

11. Principe 10 - Possibilité de porter plainte à l’égard du non-respect des principes

Les personnes peuvent contester la conformité de Dutiva au présent Énoncé, à la Politique de confidentialité ou aux lois applicables en matière de protection des renseignements personnels en communiquant avec la responsable de la protection des renseignements personnels à l’adresse privacy@dutiva.ca.

Dutiva examinera les plaintes relatives à la confidentialité, mènera une enquête lorsque cela est approprié, documentera les constatations pertinentes et répondra d’une manière proportionnelle à la question soulevée et aux exigences juridiques applicables.

Les personnes peuvent également communiquer avec le Commissariat à la protection de la vie privée du Canada à priv.gc.ca.

12. Déclaration des atteintes et dossiers

Dutiva évalue les atteintes à la vie privée et les atteintes aux mesures de sécurité visant des renseignements personnels dont Dutiva a la gestion afin de déterminer si l’atteinte présente un risque réel de préjudice grave. L’évaluation tient compte de la sensibilité des renseignements, de la probabilité d’utilisation abusive et d’autres facteurs pertinents.

Lorsque la déclaration prévue par la LPRPDE s’applique, Dutiva fait rapport au Commissariat à la protection de la vie privée du Canada et avise les personnes touchées dès que possible après avoir déterminé que l’atteinte présente un risque réel de préjudice grave, sauf interdiction par la loi. Dutiva peut également aviser d’autres organisations ou institutions gouvernementales susceptibles de réduire ou d’atténuer le préjudice lorsque cela est approprié.

Dutiva conserve un registre de chaque atteinte aux mesures de sécurité visant des renseignements personnels dont elle a la gestion pendant au moins deux ans, y compris les atteintes qui ne sont pas à déclaration obligatoire. Les incidents de confidentialité du Québec sont traités conformément aux exigences québécoises de notification et de tenue de registre lorsqu’elles s’appliquent.

Lorsque Dutiva traite des Renseignements personnels du client pour le compte d’un client, les responsabilités relatives à la notification au client et au soutien en cas d’atteinte sont également décrites dans l’Accord de traitement des données et la Politique de réponse aux incidents et aux atteintes.

13. Examen et amélioration du programme de confidentialité

Dutiva examine ses pratiques de confidentialité au fur et à mesure que son produit, ses fournisseurs, ses processus d’IA, ses flux de données et ses obligations juridiques évoluent. Les examens peuvent comprendre l’examen de la confidentialité des fournisseurs, l’examen des changements de produit ayant une incidence sur la vie privée, l’examen des transferts transfrontaliers, l’examen des processus de suppression, l’examen des contrôles de sécurité et les mises à jour des politiques.

Dutiva peut mettre à jour le présent Énoncé pour refléter les changements apportés au service, à la pile de fournisseurs, aux pratiques de confidentialité, à la loi applicable, aux directives des organismes de réglementation ou aux contrôles internes de confidentialité.

14. Références officielles

Le présent Énoncé s’appuie sur l’explication du Commissariat à la protection de la vie privée du Canada concernant les principes relatifs à l’équité dans le traitement de l’information de la LPRPDE et les lignes directrices sur la déclaration obligatoire des atteintes. Il tient également compte du texte de la LPRPDE, y compris l’annexe 1 et les dispositions relatives aux atteintes aux mesures de sécurité.

15. Contact

Dutiva Canada Inc. - Responsable de la protection des renseignements personnels

Courriel : privacy@dutiva.ca

Site Web : dutiva.ca