Politique de protection des renseignements personnels

1. Introduction

Dans le cadre de ses activités, le Groupe d’Entraide en Toute Amitié recueille, utilise et conserve des renseignements personnels sur ses membres, bénévoles, employés, partenaires et clients. Conformément aux exigences de la Loi 25 sur la protection des renseignements personnels dans le secteur privé, nous nous engageons à en assurer la confidentialité, la sécurité et l’utilisation responsable.

2. Définitions

2.1) Renseignement personnel

Un renseignement personnel est une information qui concerne une personne physique et permet de l’identifier directement ou indirectement (ex. : nom, adresse, numéro de téléphone, informations sur l’état de santé, situation familiale, situation financière, etc.).

2.2) Anonymisée

Modifier une donnée de manière irréversible, de telle sorte qu’elle ne puisse plus permettre d’identifier une personne directement ou indirectement. Cette technique permet de conserver les données pour des fins d’intérêt public, à la place de leur destruction.

2.3) Système Toucan

Plateforme informatique de gestion des dons et de logistique utilisée par la Banque Alimentaire du Québec. Elle relie les donateurs, les Moissons (et organismes affiliés), les entrepôts et les transporteurs, permettant d’optimiser l’attribution des denrées, de lutter contre le gaspillage alimentaire et de s'assurer que la nourriture parvienne rapidement aux personnes en situation de vulnérabilité.

2.4) Incident de confidentialité

Tout accès, utilisation ou communication non autorisée de renseignements personnels, ainsi que la perte de ces renseignements ou toute autre atteinte à leur protection.

3. Collecte et utilisation des renseignements personnels

Notre organisme recueille uniquement les renseignements personnels nécessaires à la réalisation de sa mission et à la prestation de ses services, notamment :

Gestion des demandes d’aide alimentaire et dépannage d’urgence (alimentaire vestimentaire ou matériel), ainsi que pour tout autre demande d’aide.
Gestion des demandes de sac-à-dos, matériel scolaire, paniers de Noël, diners école et diners communautaire.
Prise de rendez-vous pour le soutien au membre ou le Bonhomme à lunette.
Inscription a des ateliers d’éducation populaire et aux différentes activités de notre organisme.
Service de cueillette et livraison pour notre Comptoir meubles.
Gestion du service d’aide pour les impôts
Tenue de la base de données membres via le système Toucan
Gestion des ressources humaines (bénévoles et employés), dossiers physique de l’employé et Sage 50.
Curriculum vitae dans le cadre du recrutement de personnel.
Communication avec les membres et partenaires
Gestion des dons et donateurs reçu via notre site web, par la poste, par virement bancaire ou en personne, que ce soit en argent ou en nature, ainsi que pour l’émission des reçus de charité.
Rapports aux bailleurs de fonds et aux instances réglementaires sous forme anonymisée.

Aucun renseignement n’est recueilli sans le consentement éclairé de la personne concernée.

4. Consentement

L’organisme s’assure d’obtenir le consentement éclairé des personnes concernées avant de recueillir, d’utiliser ou de communiquer leurs renseignements personnels, sauf dans les cas prévus par la loi.

5. Conservation et sécurité des renseignements personnels

5.1) Les renseignements personnels recueillis sont conservés dans des systèmes sécurisés et accessibles uniquement aux personnes autorisées dans le cadre de leurs fonctions. Notre organisme applique des mesures de protection physiques, administratives et technologiques afin d’assurer la confidentialité des données, incluant des mots de passe protégés, des accès restreints et des procédures internes de gestion.

5.2) L’organisme a mis en place une procédure qui permettra d’identifier, de déclarer et de gérer ces incidents de confidentialité le cas échéant. C’est-à-dire la tenue d’un registre et d’un plan d’urgence advenant un incident de confidentialité. Aussi, une notification sera envoyée aux autorités et victimes concernées.

5.3) Lorsqu’il n’est plus nécessaire pour l’organisme de conserver un renseignement personnel, celui-ci sera détruit. C’est-à-dire qu’il sera déchiqueté et/ou anonymisé.

6. Rôles et responsabilités des membres du personnel de l’organisme

6.1) Employés, incluant la responsable de la protection des renseignements personnels

Les employés et bénévoles ont la responsabilité de respecter les politiques et les procédures établies pour la protection des renseignements personnels, de participer aux formations sur le sujet et de traiter les données avec professionnalisme. C’est-à-dire:

Obtenir et documenter le consentement éclairé et spécifique des personnes avant de collecter, utiliser ou divulguer leurs renseignements personnels.
Gérer les demandes des personnes concernant l’accès à leurs renseignements personnels, leur rectification ou leur retrait du consentement.
Appliquer les règles de protection lors des traitements de renseignements personnels tout au long de leur cycle de vie.

6.2) Responsable de la protection des renseignements personnels

Nom : Julie Tétreault*
Titre : Coordonnatrice au Groupe d’Entraide en Toute Amitié
Téléphone : 450-836-6966 poste 2
Courriel : entouteamitie.org@hotmail.com

*La personne responsable est déléguée par le CA de l’organisme.

7. Accès et rectification des renseignements personnels

Toute personne dont l’organisme détient des renseignements personnels peut, sur demande écrite, accéder à ceux-ci et demander leur rectification si les informations sont inexactes, incomplètes ou équivoques. Les demandes doivent être adressées à la personne responsable de la protection des renseignements personnels.

8. Processus de traitement des plaintes

8.1) Réception des plaintes

Les plaintes peuvent être déposées par écrit, par téléphone, par courrier électronique ou via tout autre canal de communication. Chaque plainte est conservée dans notre registre des incidents, accessible uniquement au personnel désigné. Les employés recevant une plainte doivent en informer la responsable de la protection des renseignements personnels.

8.2) Gestion des plaintes

8.2.1) La responsable examine chaque plainte pour en évaluer la pertinence et la gravité. Les plaintes frivoles, diffamatoires ou sans fondement évident peuvent être rejetées; une justification sera toutefois fournie au plaignant.

8.2.2) La responsable mène une enquête approfondie en collectant des preuves, en interrogeant les parties concernées et en recueillant tous les documents pertinents. Elle doit être impartiale, maintenir la confidentialité des informations liées à la plainte et veiller à ce que toutes les parties impliquées soient traitées équitablement.

8.3) Résolution des plaintes

Le responsable propose des solutions appropriées pour résoudre la plainte dans les meilleurs délais. Ces solutions peuvent inclure des mesures correctives, une formation de rappel sur la gestion des renseignements personnels, le renforcement des mesures de sécurité des systèmes ou toute autre action nécessaire pour résoudre la plainte de manière satisfaisante.

9. Mise à jour de la politique

Cette politique sera révisée lorsque des modifications législatives ou organisationnelles l'exigent. La version la plus récente sera disponible sur demande au bureau de la coordonnatrice de l’organisme.

Annexe 1

PLAN D’URGENCE INCIDENTS DE CONFIDENTIALITÉ

Remplir le formulaire Avis à la commission d’accès à l’information de la Commission d’accès à l’information du Québec, si l’incident présente un risque de préjudice sérieux.

Questions à se poser pour connaître le risque de préjudices sérieux dans le contexte d’un incident de confidentialité :

Quelle est la sensibilité des renseignements concernés ?
Quelles sont les conséquences appréhendées de leur utilisation ?
Quelle est la probabilité qu’ils soient utilisés à des fins préjudiciables ?

Préjudice grave :

Humiliation
Dommage à la réputation ou aux relations
Perte de possibilité d’emploi ou d’occasion d’affaires ou d’activités professionnelles
Perte financière
Vol d’identité
Effet négatif sur le dossier de crédit
Dommage aux biens ou leur perte

Renseignements sensibles :

Documents financiers
Dossiers médicaux
Les renseignements personnels que l’on communique de manière courante ne sont généralement pas considérés comme sensibles (nom, adresse)

Dépend du contexte : nom et adresse associés à une infolettre par exemple.

Aviser toute(s) autre(s) autorités concernées, s’il y a lieu.

Aviser les victimes.

Annexe 2

Formulaire de signalement : Incident de confidentialité

Comme prévu dans la Politique de confidentialité du Groupe d’Entraide en Toute Amitié, vous devez remplir ce formulaire de signalement aussitôt que vous constatez un incident de confidentialité et le remettre à la personne responsable.

Les informations colligées seront versées au registre des incidents sur la confidentialité. À partir de ces informations, la personne responsable décidera si l'incident présente « un risque de préjudice sérieux » pour les personnes concernées et remplira une déclaration à la Commission de l'accès à l'information, si nécessaire. Des mesures pour contrôler et prévenir le type d'incident déclaré seront ensuite déployées.

Un incident de confidentialité correspond à tout accès, utilisation ou communication non autorisés par la loi d’un renseignement personnel, de même qu’à la perte d’un renseignement personnel ou à toute autre atteinte à sa protection.

Par exemple, un incident de confidentialité pourrait se produire lorsque :

Un membre de l'équipe consulte un renseignement personnel sans autorisation ;
Un membre de l'équipe communique des renseignements personnels au mauvais destinataire ;
L’organisation est victime d’une cyberattaque : hameçonnage, rançongiciel, etc.

FORMULAIRE DE SIGNALEMENT D'UN INCIDENT DE CONFIDENTIALITÉ

(DOCUMENT INTERNE)

Date et période de l’incident de confidentialité

Date de l’incident :

Date de la découverte de l’incident :

L’incident a eu lieu sur une période de :

Type d’incident de confidentialité

(Identifier avec un “x” le type d’incident) :

☐Accès non autorisé par la loi à un renseignement personnel

☐Utilisation non autorisée par la loi d’un renseignement personnel

☐Communication non autorisée par la loi d’un renseignement personnel

☐Perte d’un renseignement personnel ou toute autre atteinte à la protection d’un

tel renseignement

Causes et circonstances de l’incident

(Identifier avec un “x” les causes ou circonstances) :

☐Altération délibérée

☐Communication accidentelle

☐Communication délibérée sans autorisation

☐Consultation non autorisée

☐Cyberattaque (virus, logiciel espion, etc.)

☐Défaillance technique

☐Destruction accidentelle

☐Destruction volontaire sans autorisation

☐Divulgation accidentelle

☐Divulgation délibérée sans autorisation

☐Erreur humaine

☐Hameçonnage (phishing)

☐Ingénierie sociale (technique de manipulation pour obtenir des rens. pers.)

☐Perte d’accès aux renseignements

☐Perte de renseignements

☐Rançongiciel

☐Utilisation incompatible

☐Vol de renseignements

☐Autre, précisez :

Sur quel(s) support(s) les renseignements personnels étaient-ils conservés au moment de l’incident ?

☐Ordinateur de bureau

☐Dispositif amovible électronique

☐Papier

☐Clé USB

☐Serveur

☐CD

☐Bande sonore

☐Téléphone portable

☐Infonuagique (cloud)

☐Tablette

☐Vidéosurveillance

☐Ordinateur portable

☐Photo

☐Autre, précisez :

Identification des renseignements personnels visés par l’incident de confidentialité (identifier avec un x pour chaque renseignement).

☐Nom

☐Prénom

☐Adresse du domicile

☐Date de naissance

☐Numéro de téléphone au domicile

☐Numéro du cellulaire

☐Adresse courriel personnelle

☐Numéro de permis de conduire

☐Numéro d’assurance sociale

☐Numéro d’assurance maladie

☐Numéro de passeport

☐Salaire Fonction / occupation

☐Renseignements sur des employés, ou bénéficiaires

☐Renseignements médicaux

☐Renseignements génétiques

☐Renseignements scolaires / académiques

☐Renseignements bancaires / numéro de compte / institution / placements /

hypothèque

☐Numéro de carte de crédit

☐Numéro d’identification personnel (NIP)

☐Nom du détenteur

☐Code de sécurité à trois chiffres

☐Numéro de carte de débit

☐Numéro d’identification personnel (NIP)

☐Nom du détenteur

☐Autres renseignements personnels, précisez :

☐Impossible de fournir une description des renseignements personnels visés

Expliquez :

Personnes concernées par l’incident de confidentialité

Nombre de personnes concernées par l’incident :

Nombre de personnes concernées par l’incident qui résident au Québec :

Si possible, ventilez le nombre de personnes concernées par l’incident selon leur lien avec l’organisation, qu’il s’agisse d’employés, de clients, d’étudiants, de patients, de membres, de bénévoles, de fournisseurs, etc., actuels ou anciens :

Personne déclarant l’indicent

Prénom, nom de la personne :

Fonction :

Moyen de communication (courriel et / ou téléphone) : ________