Documentation de conformité à la Loi 25 du Québec

1. Portée et rôle

La présente Documentation s’applique au traitement des renseignements personnels par Dutiva lorsque la loi québécoise applicable au secteur privé s’applique, y compris les renseignements liés aux comptes, au site Web, au soutien, à la facturation, à la sécurité, à l’utilisation du produit, au Conseiller, aux processus documentaires et aux services connexes.

Pour les renseignements relatifs aux comptes, au site Web, à la facturation, au soutien, à la sécurité et aux opérations du produit que Dutiva recueille directement auprès des utilisateurs, Dutiva est responsable de ce traitement en vertu des lois applicables en matière de protection des renseignements personnels. Pour les renseignements personnels qu’un client soumet, téléverse, génère ou rend autrement disponibles pour les processus RH, les documents générés, le contexte du Conseiller, les processus de signature électronique ou les dossiers sauvegardés, le client détermine généralement les fins du traitement, et Dutiva agit comme fournisseur de services ou sous-traitant, comme il est décrit dans l’Accord de traitement des données.

Dans la présente Documentation, les « Renseignements personnels du Québec » désignent les renseignements personnels concernant des résidents, employés, candidats, contractuels, utilisateurs ou autres personnes du Québec, ou les renseignements personnels autrement assujettis à la loi québécoise applicable au secteur privé.

2. Responsabilité du responsable de la protection des renseignements personnels

Dutiva désigne un responsable de la protection des renseignements personnels chargé de coordonner la gouvernance en matière de protection des renseignements personnels, les coordonnées publiques, le traitement des demandes de droits, l’évaluation des incidents, les évaluations des facteurs relatifs à la vie privée, l’examen des fournisseurs de services, la tenue à jour des politiques et l’escalade interne des changements ayant une incidence sur la protection des renseignements personnels.

Les questions et demandes relatives à la protection des renseignements personnels peuvent être transmises à privacy@dutiva.ca.

Dutiva maintient une responsabilité interne pour les changements de produit ayant une incidence sur la protection des renseignements personnels, les inventaires de renseignements personnels, l’examen des fournisseurs de services, la réponse aux incidents, les processus de conservation et de suppression, ainsi que les mises à jour de la documentation publique relative à la protection des renseignements personnels.

3. Politiques de gouvernance et documentation publique

Dutiva publie une documentation relative à la confidentialité et aux aspects juridiques afin d’expliquer comment les renseignements personnels sont recueillis, utilisés, communiqués, conservés, supprimés, sécurisés et traités dans le cadre de processus assistés par l’IA et de fournisseurs de services.

La documentation publique comprend la Politique de confidentialité, l’Accord de traitement des données, la Politique de conservation et de suppression des données, la Politique relative aux témoins, la Politique de réponse aux incidents et aux atteintes, la Divulgation relative à l’utilisation de l’IA, la Politique sur l’IA et la technologie, l’Avis de non-responsabilité juridique, la documentation relative à la LCAP et la présente Documentation relative à la Loi 25 du Québec.

Les attentes internes en matière de gouvernance comprennent l’examen des nouveaux processus impliquant des renseignements personnels, l’examen des fournisseurs de services, l’escalade des incidents de sécurité, le suivi de la conservation et de la suppression, les attentes liées à l’accès selon les rôles et la révision des politiques à mesure que le produit évolue.

4. Évaluations des facteurs relatifs à la vie privée

Dutiva effectue un examen sous forme d’évaluation des facteurs relatifs à la vie privée pour les projets importants impliquant des renseignements personnels, y compris les nouveaux systèmes, les changements majeurs aux produits ou au traitement, les flux de données liés à l’IA, les changements de fournisseurs, le traitement transfrontalier impliquant des Renseignements personnels du Québec et les projets d’acquisition, de développement ou de refonte de systèmes d’information ou de prestation électronique de services.

L’examen est proportionnel à la sensibilité des renseignements, aux fins du traitement, à la quantité et à la répartition des renseignements, au support sur lequel ils sont conservés, à l’accès par les fournisseurs, à la conservation, à la transparence, aux mesures de sécurité et à l’incidence sur les utilisateurs.

Le responsable de la protection des renseignements personnels est consulté tôt dans les projets ayant une incidence sur la protection des renseignements personnels et peut recommander des contrôles supplémentaires, de la documentation, de la formation, des mesures de protection auprès des fournisseurs, des limites d’accès ou des avis destinés aux utilisateurs avant le lancement.

5. Traitement transfrontalier

Dutiva utilise des fournisseurs de services qui peuvent traiter ou conserver des renseignements personnels à l’extérieur du Québec et à l’extérieur du Canada, y compris aux États-Unis. Le traitement transfrontalier peut viser l’hébergement, l’authentification, les services de base de données, l’inférence par IA, la facturation, la sécurité réseau, l’analytique lorsqu’elle est activée, le soutien et les journaux opérationnels.

Avant d’approuver un traitement transfrontalier impliquant des Renseignements personnels du Québec, Dutiva évalue si les renseignements bénéficieraient d’une protection appropriée aux risques, en tenant compte de la sensibilité des renseignements, des fins du traitement, des mesures de protection, de l’accès par les fournisseurs, du cadre juridique applicable, des conditions contractuelles et des contrôles opérationnels.

Dutiva utilise des ententes écrites et des mesures techniques, contractuelles et organisationnelles destinées à répondre aux risques identifiés. Le traitement transfrontalier est également décrit dans la Politique de confidentialité et l’Accord de traitement des données.

6. Collecte, consentement et transparence

Dutiva identifie les fins de la collecte et limite la collecte aux renseignements nécessaires pour l’accès au compte, les processus documentaires RH, les réponses du Conseiller, la facturation, le soutien, la sécurité, le suivi de l’utilisation, l’accès bêta, l’exploitation du produit et la conformité légale.

Les avis de confidentialité et les processus du produit sont conçus pour décrire les catégories de renseignements recueillis, les fins du traitement, le rôle des fournisseurs de services, le traitement lié à l’IA, les pratiques de conservation et de suppression, ainsi que les points de contact disponibles en matière de protection des renseignements personnels.

Dutiva avertit les utilisateurs de ne pas soumettre de renseignements d’employés hautement sensibles aux fonctionnalités d’IA, sauf si un processus précis prend expressément en charge ce type de données et si le client dispose d’un fondement légal pour les fournir.

Les communications facultatives, le marketing, l’analytique ou les autres technologies non essentielles utilisent des mécanismes de consentement, d’avis, de préférences ou de désabonnement lorsque cela est requis. Les pratiques relatives aux témoins et au stockage local sont décrites dans la Politique relative aux témoins.

7. Droits des personnes et traitement des demandes

Sous réserve des limites prévues par la loi, les résidents du Québec peuvent demander l’accès à leurs renseignements personnels, la rectification de renseignements inexacts, la suppression ou le retrait du consentement lorsque cela s’applique, ainsi que des renseignements sur les pratiques de Dutiva en matière de protection des renseignements personnels.

Les résidents du Québec peuvent également disposer de droits à la portabilité pour les renseignements personnels informatisés admissibles, au déréférencement ou à la cessation de diffusion dans certaines circonstances, ainsi qu’à des renseignements sur certaines décisions fondées exclusivement sur un traitement automatisé de renseignements personnels.

Dutiva examine les demandes de droits par l’intermédiaire du responsable de la protection des renseignements personnels et peut exiger une vérification de l’identité avant de communiquer, rectifier, supprimer, exporter ou modifier des renseignements liés à un compte. Lorsque Dutiva traite des Renseignements personnels du client pour le compte d’un client, Dutiva peut diriger la personne demanderesse vers le client ou fournir une assistance raisonnable au client au moyen des fonctionnalités du produit et des canaux de soutien disponibles.

8. IA, traitement automatisé et révision humaine

Dutiva utilise un accompagnement assisté par l’IA et un soutien aux processus pour aider les utilisateurs à poser des questions RH, générer des ébauches de documents, repérer des éléments à réviser et suivre des processus axés sur la conformité. Dutiva ne prend pas de décisions finales d’emploi, d’embauche, de discipline, d’accommodement, de cessation d’emploi, de rémunération, de confidentialité ou relatives au milieu de travail pour les clients.

Les réponses du Conseiller et le contenu généré ne constituent pas des conseils juridiques et ne sont pas examinés par un avocat avant leur transmission. Les clients et les utilisateurs autorisés demeurent responsables de réviser les résultats, de confirmer les faits, d’appliquer le contexte du milieu de travail et d’obtenir une révision professionnelle qualifiée pour les questions à risque élevé.

Si Dutiva introduit une fonctionnalité qui prend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels et que cette décision produit des effets juridiques ou des effets similaires importants, Dutiva examinera, avant le lancement, si des mesures additionnelles de transparence, d’explication, de rectification ou de traitement des demandes sont requises au Québec.

Des renseignements supplémentaires figurent dans la Divulgation relative à l’utilisation de l’IA, la Politique sur l’IA et la technologie et l’Avis de non-responsabilité juridique.

9. Incidents de confidentialité

Dutiva traite les incidents de confidentialité soupçonnés au Québec conformément à sa Politique de réponse aux incidents et aux atteintes. Un incident de confidentialité peut comprendre un accès non autorisé, une utilisation non autorisée, une communication non autorisée, la perte de renseignements personnels ou toute autre atteinte à la protection de ces renseignements.

Dutiva évalue les incidents impliquant des Renseignements personnels du Québec afin de déterminer s’ils présentent un risque de préjudice sérieux, en tenant compte de la sensibilité des renseignements, des conséquences appréhendées de leur utilisation et de la probabilité qu’ils soient utilisés à des fins préjudiciables.

Lorsque le seuil légal est atteint, Dutiva avisera la Commission d’accès à l’information du Québec et les personnes touchées, sous réserve des limites applicables liées aux enquêtes. Dutiva tient un registre des incidents de confidentialité impliquant des Renseignements personnels du Québec et conserve les renseignements du registre pendant la période requise.

10. Conservation, destruction et anonymisation

Dutiva conserve les renseignements personnels seulement aussi longtemps que nécessaire aux fins liées au produit, aux obligations légales, à la sécurité, à la facturation, au soutien, aux différends, à l’audit et aux opérations. Les périodes de conservation et les processus de suppression sont décrits dans la Politique de conservation et de suppression des données.

Lorsque les renseignements personnels ne sont plus requis aux fins pour lesquelles ils ont été recueillis ou utilisés, Dutiva les supprime, les détruit, les anonymise ou les dépersonnalise lorsque cela est approprié et permis par la loi, sous réserve des obligations de conservation, des dossiers de facturation et de taxes, des journaux de sécurité, des sauvegardes, des dossiers d’incident, de la préservation liée aux différends et des autres exceptions permises par la loi.

Le processus de suppression de compte de Dutiva est conçu pour supprimer les lignes détenues par le compte et les documents générés, sous réserve des exceptions légales et opérationnelles, et pour enregistrer une entrée d’audit anonymisée liée à la suppression.

11. Fournisseurs de services et contrôles contractuels

Dutiva utilise des fournisseurs de services et des sous-traitants pour l’hébergement, l’authentification, l’infrastructure de base de données, l’inférence par IA, le traitement des paiements, la sécurité réseau, l’analytique lorsqu’elle est activée, le soutien et les fonctions opérationnelles. Les principaux fournisseurs actuels sont décrits dans la Politique de confidentialité et l’Accord de traitement des données.

Dutiva utilise un processus d’examen des fournisseurs et des ententes écrites destinées à traiter la confidentialité, la sécurité, le traitement restreint, le signalement des incidents, le traitement transfrontalier, la conservation, la suppression et l’assistance relative aux obligations de protection des renseignements personnels lorsque cela s’applique.

Les clients demeurent responsables de déterminer si Dutiva convient à leurs propres obligations de protection des renseignements personnels au Québec, à leur contexte de travail, à leurs documents RH, aux avis destinés aux employés, à leurs pratiques de consentement et à leurs exigences internes de gouvernance.

12. Communications en français et contexte québécois

Dutiva prend en charge des processus de produit et de documents bilingues en anglais et en français lorsque les fonctionnalités de base sont configurées pour une utilisation bilingue. Les communications de confidentialité et de soutien destinées au Québec devraient être claires, compréhensibles et disponibles dans la langue requise par la loi applicable et le contexte du produit.

Des obligations linguistiques québécoises distinctes peuvent s’appliquer aux documents RH des clients, aux communications d’emploi, aux sites Web, aux contrats, aux affichages, aux politiques et aux processus de travail. Les clients demeurent responsables d’examiner et de respecter ces obligations dans leur propre milieu de travail.

13. Mises à jour et révision

Dutiva peut mettre à jour la présente Documentation à mesure que son produit, ses fournisseurs, ses processus liés à l’IA, ses obligations légales, sa documentation publique ou ses pratiques de confidentialité visant le Québec évoluent. Les changements publics importants seront reflétés dans la présente Documentation ou dans les pages juridiques connexes, lorsque cela est approprié.

14. Contact

Dutiva Canada Inc. - Responsable de la protection des renseignements personnels

Courriel : privacy@dutiva.ca

Site Web : dutiva.ca

15. Points de référence officiels

Les points de référence comprennent la Loi sur la protection des renseignements personnels dans le secteur privé, telle que modernisée par la Loi 25, ainsi que les lignes directrices de la Commission d’accès à l’information du Québec sur la gouvernance, les évaluations des facteurs relatifs à la vie privée, les communications à l’extérieur du Québec, les incidents de confidentialité, la conservation et la destruction, les droits des personnes et la prise de décision automatisée.