Depuis le 22 septembre 2022, les entreprises doivent protéger les renseignements personnels qu’elles détiennent et doivent désigner un responsable de la protection des renseignements personnels.
Responsable de la protection des renseignements personnels
Christine-Amélie Roberge
Propriétaire et vice-présidente
caroberge@la2eclasse.com
514-307-1010 poste 101
Date d’entrée en vigueur : septembre 2022
Objectif de la politique
La présente politique a pour but d’expliquer comment La 2e Classe (ci-après « l’entreprise ») collecte, utilise, conserve et protège les renseignements personnels de ses clients, employés et partenaires, conformément à la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels au Québec).
Collecte des renseignements personnels
Nous recueillons uniquement les renseignements nécessaires à la prestation de nos services, tels que :
Parents et tuteurs légaux :
-
- Nom et prénom
-
- Adresse courriel
-
- Numéro de téléphone
-
- Adresse postale
-
- Informations de paiement
Étudiants
-
- Nom et prénom
-
- Adresse courriel
-
- Numéro de téléphone
-
- Adresse postale
-
- Diagnostiques (Nous utilisons les diagnostics à des fins pédagogiques, en complément du suivi scolaire des élèves. Ces évaluations nous permettent d’adapter nos services en fonction du niveau et des besoins réels de chaque élève)
Les informations sont recueillies par l’entremise de notre application Ma Classe, développée avec Angular et PowerApps. Les données sont hébergées de manière sécurisée dans Microsoft Azure. L’ensemble de l’infrastructure, incluant le back-end PowerApps, respecte les normes de conformité de Microsoft en matière de protection des renseignements personnels.
4. Utilisation des renseignements
Les renseignements personnels sont utilisés uniquement aux fins suivantes :
-
- Offrir les services demandés
-
- Gérer les inscriptions ou les comptes clients
-
- Effectuer la facturation
-
- Communiquer avec les clients
-
- Améliorer nos services
-
- Respecter nos obligations légales
5. Consentement
Le consentement à la collecte, à l’utilisation et à la communication de renseignements personnels est obtenu de façon claire, libre et éclairée, sauf exception prévue par la loi. Les utilisateurs peuvent retirer leur consentement à tout moment, sous réserve de nos obligations légales ou contractuelles.
6. Conservation et sécurité
Les renseignements personnels sont conservés de manière sécuritaire et seulement pour la durée nécessaire aux fins pour lesquelles ils ont été collectés.
-
- Accès restreint aux employés autorisés
-
- Stockage dans des environnements sécurisés
- Mesures techniques pour prévenir l’accès non autorisé, la perte ou la divulgation
6.1. Hébergement et sécurité dans Microsoft Azure
Les renseignements personnels collectés par La 2e CLasse sont hébergés dans des centres de données sécurisés via la plateforme Microsoft Azure.
Microsoft Azure offre une infrastructure de niveau entreprise avec des mesures de sécurité robustes, conformes aux normes les plus strictes de l’industrie, notamment :
-
- Chiffrement des données en transit et au repos
-
- Pare-feux, surveillance 24/7 et détection d’intrusion
-
- Conformité aux normes internationales telles que ISO 27001, SOC 2, CSA STAR, et au RGPD et à la Loi 25
-
- Redondance et sauvegardes régulières pour éviter toute perte de données
-
- Accès restreint et journalisé aux ressources infonuagiques
Grâce à Azure, l’entreprise bénéficie d’un environnement hautement sécurisé et scalable, réduisant les risques de fuites de données ou d’accès non autorisé.
7. Accès, rectification et suppression
Toute personne peut :
-
- Accéder à ses renseignements personnels
-
- Demander une correction
-
- Demander la suppression de ses données, dans les limites prévues par la loi
Les demandes doivent être envoyées par courriel à la personne responsable de la protection des renseignements.
8. Communication à des tiers
Les renseignements ne sont jamais vendus. Ils peuvent être transmis à des fournisseurs de services (hébergement, paiement, soutien technique) seulement lorsque cela est nécessaire, et sous réserve d’accords assurant leur confidentialité.
9. Fuite ou incident de confidentialité
En cas d’incident impliquant un renseignement personnel présentant un risque sérieux de préjudice, l’entreprise :
-
- Avisera la Commission d’accès à l’information du Québec
-
- Avisera la personne concernée
-
- Tiendra un registre des incidents, tel que requis par la loi
10. Modifications à la politique
Nous pouvons mettre à jour cette politique de temps à autre. La date de la dernière mise à jour figure en haut du document. Tout changement important fera l’objet d’un avis aux utilisateurs.
Traitement des paiements via Stripe
Pour le traitement sécurisé des paiements, [Nom de votre entreprise] utilise les services de Stripe, une plateforme de paiement reconnue mondialement. Lorsque vous effectuez un paiement sur notre site ou application, certaines de vos informations personnelles, telles que vos coordonnées et les détails de votre carte de paiement, sont transmises directement à Stripe pour le traitement de la transaction.
Stripe agit en tant que responsable du traitement de ces données et les gère conformément à sa propre politique de confidentialité. Vous pouvez consulter la politique de confidentialité de Stripe ici : https://stripe.com/fr/privacy.Stripe
Stripe met en œuvre des mesures de sécurité rigoureuses pour protéger vos informations personnelles, notamment :
-
- Chiffrement des données en transit et au repos.
-
- Conformité aux normes de sécurité telles que PCI DSS, SOC 1, SOC 2 et SOC 3.
-
- Surveillance proactive pour détecter et prévenir la fraude.
-
- Authentification multifacteur pour sécuriser l’accès aux comptes.docs.stripe.com
En utilisant nos services, vous consentez au traitement de vos informations de paiement par Stripe conformément à sa politique de confidentialité.
Plan d’intervention en cas de perte ou d’incident de confidentialité
Nom de l’entreprise : La 2e Classe
Responsable : Christine-Amélie Roberge, caroberge@la2eclasse.com, 514-307-1010 poste 101
Date de dernière mise à jour : Septembre 2024
1. Identification de l’incident
Un incident de confidentialité peut inclure :
-
- Perte ou destruction accidentelle de données personnelles
-
- Accès non autorisé à des renseignements personnels
-
- Divulgation non intentionnelle d’information sensible
-
- Ransomware, vol ou piratage de données
-
- Erreur humaine (ex. : envoi de données au mauvais destinataire)
2. Évaluation rapide du risque
Dans les 24 heures suivant la découverte :
-
- Identifier la nature des renseignements compromis
-
- Estimer le nombre de personnes concernées
-
- Évaluer le niveau de préjudice potentiel (identité, réputation, sécurité)
-
- Déterminer si l’incident présente un “risque sérieux de préjudice”, selon la Loi 25
3. Mesures immédiates
-
- Isoler les systèmes affectés (si nécessaire)
-
- Révoquer ou suspendre les accès compromis
-
- Activer les sauvegardes Azure si disponible
-
- Consulter les journaux Azure pour identifier l’origine de l’incident
-
- Contacter Microsoft si une faille infrastructurelle est suspectée
4. Avis aux parties concernées
Si le risque est sérieux :
-
- Avis écrit à la personne concernée (par courriel, lettre ou appel) comprenant :
-
- Nature des renseignements touchés
-
- Mesures prises
-
- Moyens de limiter les risques (ex. : changer les mots de passe)
-
- Coordonnées du responsable à contacter
-
- Avis écrit à la personne concernée (par courriel, lettre ou appel) comprenant :
-
- Avis à la Commission d’accès à l’information du Québec (CAI) via le formulaire officiel
5. Tenue d’un registre des incidents
Conformément à la Loi 25, un registre interne des incidents doit être conservé pendant 5 ans. Il comprend :
-
- La date, nature et ampleur de l’incident
-
- Les personnes concernées
-
- Les actions correctives prises
-
- Toute communication faite (CAI, clients, etc.)
6. Prévention et amélioration
Après l’incident :
-
- Mener une analyse post-incident
-
- Corriger les failles techniques ou humaines
-
- Mettre à jour les procédures internes
-
- Former l’équipe à la cybersécurité si nécessaire
7. Intégration avec Microsoft Azure
-
- S’assurer que les outils Azure Security Center, Azure Backup, et Azure Sentinel sont bien configurés
-
- Utiliser la fonctionnalité de journalisation (Azure Logs) pour traquer les événements anormaux
-
- Activer les alertes automatiques pour activité suspecte
Droit à la portabilité et transparence des renseignements personnels
Tous les renseignements personnels que La 2e Classe recueille sont centralisés dans notre portail sécurisé Ma Classe, développé avec PowerApps et Angular. Les données sont hébergées dans Microsoft Azure, plus précisément dans une base de données relationnelle Azure SQL, assurant une sécurité et une conformité élevées.
Conformément à l’article 27 de la Loi sur la protection des renseignements personnels dans le secteur privé, toute personne peut, sur demande :
-
- Obtenir la confirmation de l’existence des renseignements personnels que nous détenons à son sujet.
-
- Accéder à l’ensemble de ces renseignements directement via son profil dans le portail.
-
- Recevoir une copie de ses renseignements personnels dans un format technologique structuré et couramment utilisé.
-
- Demander que ses données soient transmises à une autre organisation ou à toute personne légalement autorisée à les recueillir.
Ces mesures visent à offrir un maximum de transparence, à faciliter l’exercice du droit à la portabilité des données et à renforcer le contrôle des individus sur leurs renseignements personnels.
Téléchargez la politique de conservation, destruction et anonymisation des renseignements personnels
Processus de traitement des plaintes – Protection des renseignements personnels
Conformément à l’article 3.2 de la Loi sur la protection des renseignements personnels dans le secteur privé, La 2e Classe met à la disposition du public un processus clair et accessible pour formuler une plainte relative à la protection des renseignements personnels.
Déposer une plainte
Toute personne (client, employé, partenaire ou citoyen) qui souhaite formuler une plainte concernant la collecte, l’utilisation, la conservation ou la communication de ses renseignements personnels peut le faire en suivant les étapes ci-dessous :
-
Formuler la plainte par écrit
La plainte doit contenir les renseignements suivants :-
Vos coordonnées complètes (nom, adresse courriel, téléphone) ;
-
Une description précise de la situation ou de l’incident ;
-
Toute information pertinente permettant d’évaluer la plainte.
-
-
Envoyer la plainte à l’adresse suivante : info@la2eclasse.com
Objet : Plainte – Protection des renseignements personnels -
Traitement de la plainte
La Responsable de la protection des renseignements personnels (RPRP) accusera réception de la plainte dans un délai de 7 jours ouvrables. Une analyse sera ensuite effectuée, et une réponse vous sera transmise dans un délai raisonnable, généralement dans les 30 jours suivant la réception complète de la plainte. -
Résolution ou recours
Si la plainte est fondée, des mesures correctives seront mises en place. Si la personne plaignante n’est pas satisfaite du traitement ou de la réponse obtenue, elle peut s’adresser à la Commission d’accès à l’information du Québec.