Politique de gouvernance des renseignements personnels de Kainen
Adoptée le 14 novembre 2026 par le responsable de la protection des renseignements personnels (le fondateur) · English version
1. Objet
Cette politique décrit comment Kainen encadre la collecte, l'utilisation, la communication, la conservation et la destruction des renseignements personnels, comme le demande la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25). Elle s'applique à toute personne qui travaille pour Kainen et à tous les renseignements que Kainen détient : ceux des utilisateurs, des visiteurs du site, et ceux que les clients saisissent sur leurs employés (pour ces derniers, Kainen agit comme prestataire de services du client).
2. Rôles et responsabilités
- Responsable de la protection des renseignements personnels : le fondateur, joignable à [email protected]. Son titre et ses coordonnées sont publiés dans la politique de confidentialité. Il peut déléguer cette fonction par écrit.
- Il s'assure que cette politique est appliquée; il approuve tout nouveau fournisseur et toute nouvelle collecte; il fait les évaluations des facteurs relatifs à la vie privée (EFVP); il traite les demandes et les plaintes; il tient le registre des incidents et décide des avis à donner.
- Toute personne qui travaillera pour Kainen signera un engagement de confidentialité, lira cette politique à son arrivée, puis chaque année, et n'aura accès qu'aux renseignements nécessaires à ses tâches.
3. Principes
- Nécessité. Nous ne recueillons que ce qui sert à fournir Kainen, à le sécuriser ou à l'améliorer, pour des fins indiquées d'avance dans la politique de confidentialité.
- Consentement. Le consentement est demandé pour chaque fin, en termes simples, séparément des autres informations. Les courriels d'information sur le produit demandent un choix distinct, non coché par défaut.
- Protection par défaut. Nouvelles cartes privées; partage en lecture par défaut; liens de lecture expirant après 30 jours; aucun profilage, aucune localisation, aucune décision automatisée.
- Transparence. La politique de confidentialité, la page Sécurité et la liste des fournisseurs sont publiques et tenues à jour.
- Pas de vente. Aucun renseignement n'est vendu, loué ou utilisé pour de la publicité.
4. Cycle de vie des renseignements
| Étape | Règle |
|---|---|
| Collecte | Seulement les renseignements listés dans la politique de confidentialité. Toute nouvelle collecte : mise à jour de la politique avant. |
| Utilisation | Seulement pour les fins annoncées. Une nouvelle fin demande un nouveau consentement, sauf exception prévue par la loi. |
| Communication | Seulement aux fournisseurs listés, aux personnes que l'utilisateur choisit, ou si la loi l'exige. |
| Conservation | Selon le calendrier ci-dessous. |
| Destruction | Suppression dans la base de données, puis expiration des sauvegardes (30 jours). Les journaux et sauvegardes expirés sont détruits automatiquement. |
Calendrier de conservation : compte et contenu, tant que le compte existe, puis 30 jours dans la base et 30 jours dans les sauvegardes; corbeille, 30 jours; sessions, fin après 14 jours sans utilisation, sessions expirées supprimées; adresses IP et courriels saisis du journal de sécurité, 12 mois; journaux du serveur (IP raccourcie), jusqu'à 30 jours (réglage de l'hébergeur); liens expirés ou révoqués, 90 jours; courriels de soutien, 24 mois après le dernier message, ou plus tôt sur demande; consentements, conservés après la suppression du compte jusqu'à ce qu'une durée soit fixée; facturation, selon les règles fiscales; registre des incidents, au moins 5 ans après la date où l'incident est connu.
5. Fournisseurs et communication à l'extérieur du Québec
- Avant d'engager un fournisseur qui recevra des renseignements personnels : une EFVP (sensibilité des renseignements, fin, mesures de protection, régime juridique du lieu), un contrat écrit (confidentialité, usage limité, sécurité, avis d'incident, destruction à la fin) et l'ajout à la liste publique, avant qu'il reçoive des données (D1021).
- Fournisseurs actuels : DigitalOcean (Toronto), Cloudflare, Resend (courriel, dès son activation), Have I Been Pwned (vérification des mots de passe) et, plus tard, Stripe.
- Révision de la liste et des EFVP chaque année et à chaque nouveau fournisseur (prochains prévus : connexion Google et Microsoft, fournisseur d'intelligence artificielle).
6. EFVP pour les projets
Une EFVP est faite pour tout projet qui acquiert, développe ou refond un système ou un service électronique touchant des renseignements personnels (par exemple une fonction d'intelligence artificielle, une nouvelle méthode de connexion, un nouvel outil de mesure). Elle est conservée avec le registre.
7. Demandes d'accès, de rectification, de portabilité et de suppression
- Recevoir la demande (page Compte ou [email protected]) et l'inscrire au registre des demandes (date, personne, objet).
- Vérifier l'identité (la demande vient du courriel du compte, ou une question de vérification).
- Répondre dans les 30 jours, gratuitement. Un refus est motivé par écrit et indique le recours à la Commission d'accès à l'information.
- Si la demande vise des renseignements qu'un client a saisis sur ses employés, la transmettre au client et l'aider à répondre.
8. Plaintes
Toute plainte est envoyée au responsable ([email protected]). Il en accuse réception, l'examine et répond par écrit dans les 30 jours en indiquant le recours possible devant la Commission d'accès à l'information.
9. Incidents de confidentialité
Un incident est tout accès, utilisation ou communication non autorisés d'un renseignement personnel, ou sa perte, ou toute autre atteinte à sa protection.
- Le jour même : l'inscrire au registre des incidents et prévenir le responsable.
- Limiter : couper l'accès, révoquer les liens ou sessions, changer les secrets, restaurer une sauvegarde au besoin.
- Évaluer le risque de préjudice sérieux (sensibilité, usage malveillant possible, conséquences). Cible interne : dans les 72 heures (notre choix, pas un délai légal).
- Si le risque est sérieux : aviser promptement la Commission d'accès à l'information (formulaire de la CAI) et les personnes concernées; aviser les clients touchés sans délai indu (article 6 des conditions).
- Après : noter les mesures prises, corriger la cause, mettre à jour cette politique si besoin.
10. Mesures de sécurité
Décrites sur la page Sécurité : hébergement à Toronto, connexions chiffrées, mots de passe hachés, contrôle d'accès à chaque ouverture, journal de sécurité, secrets hors du code.
11. Sensibilisation
Le responsable relit cette politique, le registre et la liste des fournisseurs chaque année et fait un exercice d'incident (restauration et avis fictif) une fois par an.
12. Révision
Cette politique est révisée chaque année, à chaque nouveau fournisseur ou nouvelle collecte, et après tout incident.