Politique de confidentialité

1Qui nous sommes

SentiaSec est une entreprise exploitée à Montréal (Québec). Elle offre aux organisations un programme géré de simulations d'hameçonnage et de formation des employés.

Cette politique s'applique aux renseignements personnels que nous recueillons quand vous nous écrivez, quand vous consultez ce site et quand nous réalisons un mandat pour un client. Sauf mention contraire, les articles cités renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), appelée ci-dessous « la loi québécoise ».

2Responsable de la protection des renseignements personnels

Le responsable de la protection des renseignements personnels répond à toute question, demande ou plainte au sujet de vos renseignements personnels.

Titre

Propriétaire de l'entreprise

Courriel

contact@sentiasec.com

Objet du message

« Confidentialité »

3Ce que nous recueillons

Quand vous nous écrivez

Nous recevons ce que contient votre message : votre nom, votre adresse courriel, le nom de votre organisation et ce que vous choisissez de nous dire.

Quand vous consultez ce site

• Aucun formulaire, aucun témoin (cookie), aucun outil de mesure d'audience, aucune publicité.
• Pour afficher la page, notre hébergeur Netlify reçoit techniquement votre adresse IP.
• Si vous mettez en pause l'animation de la page d'accueil, ce choix est gardé dans votre navigateur seulement. Il ne nous est jamais transmis.

Quand nous réalisons un mandat

Pour offrir le programme à un client, nous traitons des renseignements sur ses employés : nom, adresse courriel professionnelle, service, résultats aux simulations et aux formations.

Nous traitons ces renseignements pour le compte du client, qui en demeure responsable. Ils sont hébergés sur la plateforme de sensibilisation d'un partenaire éditeur. La région d'hébergement est confirmée par écrit au client avant toute signature.

4Pourquoi nous les utilisons

Nous utilisons vos renseignements personnels uniquement pour :

• Afficher ce site (votre adresse IP, reçue par notre hébergeur).
• Répondre à votre message.
• Préparer et réaliser un mandat.
• Facturer nos services.
• Traiter vos demandes et vos plaintes, et respecter nos obligations légales.

Nous ne vendons jamais vos renseignements personnels. Nous ne faisons jamais de prospection auprès des employés de nos clients.

5Qui peut y avoir accès

Au sein de SentiaSec, seuls nos deux spécialistes y ont accès. Nous faisons aussi appel aux fournisseurs suivants :

• Microsoft : messagerie (Microsoft 365).
• Netlify, entreprise établie aux États-Unis : hébergement et diffusion du site.
• Notre partenaire éditeur : plateforme de simulations et de formation, pour les mandats seulement.

Communication à l'extérieur du Québec

Certains de ces fournisseurs exercent leurs activités à l'extérieur du Québec. Vos renseignements personnels peuvent donc être communiqués à l'extérieur du Québec.

Avant de communiquer un renseignement personnel à l'extérieur du Québec, nous nous engageons à évaluer d'abord la protection qu'il y recevrait. Nous tenons compte notamment de sa sensibilité, de l'usage prévu, des mesures de protection qui s'appliqueraient, y compris par contrat, et des lois de l'endroit où il serait communiqué. Nous nous engageons à ne le communiquer que si cette protection est adéquate, et à encadrer la communication par une entente écrite (art. 17).

6Combien de temps nous les gardons

• Si vous nous avez écrit sans devenir client : 24 mois après le dernier échange, puis suppression.
• Pendant un mandat : pendant la durée du contrat seulement. Le contrat fixe par écrit comment nous remettons les renseignements au client et les détruisons à son expiration; nous n'en gardons aucun après.
• Après ces délais : nous ne gardons aucun renseignement personnel.

Seule exception : les factures et les pièces comptables, conservées pendant la durée qu'exigent les lois fiscales.

7Nos pratiques de gouvernance

La loi québécoise demande à chaque entreprise d'établir des politiques et des pratiques qui encadrent la protection des renseignements personnels (art. 3.2). Voici les nôtres.

Rôles et responsabilités

• Le responsable de la protection des renseignements personnels approuve nos politiques et nos pratiques.
• Il tient le registre des incidents de confidentialité.
• Il traite les demandes d'accès et de rectification, ainsi que les plaintes.
• Au sein de SentiaSec, seuls nos deux spécialistes ont accès aux renseignements personnels, sur des comptes protégés par la double authentification.

Incidents de confidentialité

Si nous avons des motifs de croire qu'un incident de confidentialité s'est produit, nous prenons des mesures raisonnables pour diminuer les risques et éviter qu'un incident semblable se reproduise, et nous l'inscrivons à notre registre (art. 3.5 et 3.8). Pour les renseignements que nous détenons pour notre propre compte, si l'incident présente un risque de préjudice sérieux, nous avisons avec diligence la Commission d'accès à l'information et les personnes concernées (art. 3.5). Pour les renseignements que nous traitons pour le compte d'un client, nous avisons sans délai son responsable de la protection des renseignements personnels. C'est le client qui donne alors les avis prévus par la loi, et nous l'aidons à le faire.

Plaintes

Pour vous plaindre de la façon dont nous traitons vos renseignements personnels, écrivez au responsable à contact@sentiasec.com, objet « Confidentialité ». Nous vous répondons par écrit. Vous pouvez aussi, en tout temps, porter plainte à la Commission d'accès à l'information (art. 81).

Demandes d'accès et de rectification

Votre demande doit être faite par écrit, et vous devrez confirmer votre identité (art. 30). Nous y répondons par écrit au plus tard dans les 30 jours suivant sa réception (art. 32).

Si nous refusons votre demande, ou si nous n'y répondons pas dans ce délai, vous pouvez soumettre la mésentente à la Commission d'accès à l'information dans les 30 jours suivant le refus ou la fin du délai (art. 42 et 43).

8Vos droits

Au Québec

• Accès : savoir si nous détenons des renseignements personnels sur vous, et en obtenir une copie (art. 27).
• Portabilité : recevoir, dans un format technologique structuré et couramment utilisé, les renseignements informatisés que vous nous avez fournis, sauf si cela soulève des difficultés pratiques sérieuses (art. 27).
• Rectification : faire corriger un renseignement inexact, incomplet ou équivoque, ou dont la collecte, la communication ou la conservation n'est pas autorisée par la loi (art. 28).
• Retrait du consentement : retirer votre consentement à la communication ou à l'utilisation de vos renseignements (art. 8).

Pour exercer ces droits, écrivez au responsable (section 2). Les délais et les recours sont décrits à la section 7.

Ailleurs au Canada

Lorsque la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) s'applique, vous pouvez aussi demander l'accès à vos renseignements personnels et leur correction (annexe 1, principe 4.9). Vous pouvez retirer votre consentement en tout temps, sous réserve des restrictions prévues par une loi ou un contrat et d'un préavis raisonnable (principe 4.3.8). Vous pouvez déposer une plainte auprès du Commissariat à la protection de la vie privée du Canada (art. 11 de la LPRPDE).

Dans l'Union européenne

Lorsque le Règlement général sur la protection des données (RGPD) s'applique, vous disposez, dans les conditions qu'il prévoit, des droits d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité et d'opposition (art. 15 à 18, 20 et 21 du RGPD). Lorsqu'un traitement repose sur votre consentement, vous pouvez le retirer à tout moment (art. 7). Vous pouvez aussi introduire une réclamation auprès d'une autorité de contrôle, notamment dans l'État membre de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation alléguée (art. 77).

Nos bases juridiques (art. 6 du RGPD) : l'exécution d'un contrat ou de mesures précontractuelles prises à votre demande, pour répondre à une demande de service, réaliser un contrat et le facturer; notre intérêt légitime à répondre aux autres messages que nous recevons, à afficher ce site de façon sûre et à conserver nos pièces comptables. Pour les renseignements que nous traitons pour le compte d'un client, c'est le client qui détermine la base juridique.

Vous êtes employé d'un de nos clients? Votre employeur demeure responsable des renseignements traités pendant le programme. Adressez-lui d'abord votre demande. Si vous nous écrivez, nous la lui transmettons et l'aidons à y répondre.

9Modifications de cette politique

Toute modification de cette politique est annoncée sur cette page, avec sa date de mise à jour. Nous en avisons aussi par courriel nos clients et les personnes avec qui nous correspondons.