Politique de données et de sécurité

1. Objet et portée

La présente politique établit la façon dont Ablaze.Digital Inc. gère les données afin d’assurer la conformité légale, la qualité, la sécurité et l’utilité. Elle s’applique à l’ensemble des employés, entrepreneurs, fournisseurs et systèmes qui traitent des données d’Ablaze.Digital ou de ses clients, y compris notre site Web, notre portail client et notre plateforme de gestion interne. Elle complète notre Politique de confidentialité, qui explique comment nous traitons les renseignements personnels et quels sont vos droits.

2. Principes de gouvernance

• Les données sont un actif et une responsabilité : les décisions tiennent compte des obligations juridiques, opérationnelles et éthiques.
• Responsabilité : chaque domaine de données a un propriétaire et un intendant désignés.
• Protection de la vie privée dès la conception et par défaut : les systèmes réduisent au minimum les renseignements personnels recueillis et exposés; les paramètres les plus protecteurs sont ceux par défaut.
• Sécurité et résilience : nous protégeons la confidentialité, l’intégrité et la disponibilité.
• Vérifiabilité et transparence : nous tenons des registres permettant les audits et démontrant la conformité à la LPRPDE, à la PIPA de l’Alberta, à la Loi 25 du Québec, à la LCAP, au RGPD et au RGPD du R.-U., aux lois des États américains sur la vie privée, aux exigences de tenue de registres IFRS et, lorsqu’un contrat client l’exige, à la HIPAA.

3. Rôles et responsa­bilités

• Direction : supervision et attribution des ressources en matière de protection des données et de sécurité.
• Responsable de la protection des renseignements personnels : personne chargée de la protection des renseignements personnels; approuve les évaluations des facteurs relatifs à la vie privée, coordonne les demandes d’exercice de droits et l’intervention en cas d’incident. Courriel : [email protected].
• Propriétaires et intendants des données : classifient les données, approuvent les accès et veillent à leur qualité et à leur traçabilité.
• Technologie et sécurité : mettent en œuvre les mesures de contrôle, la surveillance, les sauvegardes et l’intervention en cas d’incident.
• Affaires juridiques et conformité : interprètent les obligations légales, examinent les contrats et assurent la liaison avec les auditeurs et les autorités.

4. Classification des données

5. Cycle de vie des données

• Collecte : ne recueillir que ce qu’exige une fin documentée.
• Conservation : conserver les données dans des systèmes approuvés — principalement notre plateforme de gestion interne — et jamais dans des comptes personnels ou des outils non approuvés.
• Utilisation : accès fondés sur les rôles, journalisation et révisions périodiques des accès.
• Communication : uniquement en vertu d’ententes de partage de données ou d’addenda sur le traitement des données.
• Conservation et destruction : respecter les durées de conservation de notre Politique de confidentialité et des ententes avec les clients, puis détruire ou anonymiser les données de façon sécuritaire.

6. Sécurité de notre site et du portail client

• Chiffrement en transit : chaque page et chaque appel d’API utilisent HTTPS avec HTTP Strict Transport Security.
• Pages renforcées : une politique de sécurité du contenu (CSP) stricte, une protection contre l’intégration dans des cadres et d’autres en-têtes de sécurité sur chaque page.
• Aucune donnée de carte : les paiements sont entièrement traités par la page de paiement hébergée de Stripe, certifiée PCI DSS.
• Sessions du portail : la connexion crée un témoin de session HttpOnly et Secure, illisible par les scripts, qui expire après 12 heures et est révoqué à la déconnexion. Chaque client ne voit que les données de sa propre organisation, contrôle appliqué côté serveur.
• Formulaires : transmis côté serveur par une connexion privée vers notre plateforme interne; protégés par un filtrage des robots et une limitation du débit.
• Accès du personnel : les systèmes internes sont protégés par un contrôle d’accès « zéro confiance » avec authentification multifacteur; il n’existe aucune interface d’administration publique.
• Suivi : aucun script d’analyse ou de marketing n’est chargé tant que le visiteur n’y a pas consenti.

7. Mesures de sécurité

Accès fondés sur les rôles et le principe du moindre privilège; authentification multifacteur pour les comptes à privilèges; chiffrement en transit et au repos; gestion sécurisée des clés et des secrets; journalisation centralisée et détection des anomalies; analyse des vulnérabilités et application régulière des correctifs; cycle de développement sécurisé avec revue de code et vérifications automatisées; et tests de sécurité périodiques.

8. Fournisseurs et sous-traitants

Nous faisons preuve de diligence raisonnable à l’égard des fournisseurs qui traitent des données, utilisons des clauses contractuelles de protection des données et les réévaluons périodiquement, avec des exigences plus strictes pour les fournisseurs qui traitent des données restreintes. Nos principaux fournisseurs d’infrastructure sont Cloudflare (hébergement, sécurité réseau, stockage et notre plateforme interne) et Stripe (paiements). Les clients peuvent demander notre liste à jour des sous-traitants, et nous les avisons des changements importants conformément à leur addenda sur le traitement des données.

9. Données des clients et projets d’IA

Lorsque nous traitons des renseignements personnels pour un client, nous agissons à titre de sous-traitant ou de fournisseur de services : nous suivons les instructions documentées du client, appliquons les mesures de protection de notre addenda sur le traitement des données, aidons à répondre aux demandes d’exercice de droits et restituons ou détruisons les données à la fin du mandat. Pour les projets d’IA, nous n’utilisons que les données nécessaires au cas d’usage, documentons les flux de données, choisissons des fournisseurs et des paramètres d’IA qui n’utilisent pas les données des clients pour entraîner leurs modèles lorsque c’est possible, et ne versons aucune donnée restreinte dans des outils d’IA sans l’autorisation écrite du client.

10. Évaluations des facteurs relatifs à la vie privée et des risques

Une évaluation des facteurs relatifs à la vie privée est réalisée avant tout nouveau traitement à risque élevé — notamment de données sensibles, de profilage à grande échelle, de nouveaux systèmes d’IA, de nouvelles plateformes de tiers et de communication de renseignements personnels à l’extérieur du Québec — et le responsable de la protection des renseignements personnels approuve les mesures d’atténuation avant la mise en service.

11. Sauvegarde et continuité

Les systèmes critiques sont sauvegardés et les restaurations sont testées. Des objectifs de reprise sont établis pour les services critiques et révisés au moins une fois par année dans le cadre de la planification de la continuité des activités.

12. Intervention en cas d’incident et avis d’atteinte

Nous suivons un plan d’intervention documenté : contenir, évaluer, aviser, corriger et tirer des leçons. Chaque incident de confidentialité est consigné dans notre registre des incidents. Lorsque la loi l’exige, nous avisons :

• le Commissariat à la protection de la vie privée du Canada et les personnes concernées de toute atteinte aux mesures de sécurité présentant un risque réel de préjudice grave, dès que possible;
• le Commissaire à l’information et à la protection de la vie privée de l’Alberta, sans délai déraisonnable, en cas de risque réel de préjudice grave;
• la Commission d’accès à l’information du Québec et les personnes concernées, avec diligence, lorsqu’un incident de confidentialité présente un risque qu’un préjudice sérieux soit causé;
• l’autorité de contrôle compétente de l’UE ou du R.-U. dans un délai de 72 heures lorsque le RGPD l’exige, et les personnes concernées lorsque le risque est élevé;
• les clients touchés, dans les meilleurs délais, conformément à leur addenda sur le traitement des données, afin qu’ils puissent remplir leurs propres obligations.

13. Signaler une vulnéra­bilité

Si vous croyez avoir découvert une vulnérabilité dans notre site, notre portail ou nos systèmes, veuillez écrire à [email protected] avec l’objet « Sécurité » et suffisamment de détails pour nous permettre de la reproduire. Veuillez nous laisser un délai raisonnable pour la corriger avant toute divulgation publique, ne pas accéder à des données qui ne vous appartiennent pas ni les modifier, et ne pas perturber nos services. Nous accuserons réception de votre signalement et vous tiendrons informé. Notre fichier security.txt contient les mêmes renseignements.

14. Formation, audit et révision

L’ensemble du personnel et des entrepreneurs suit une formation sur la protection de la vie privée, la sécurité, l’anti-pourriel (LCAP) et la gouvernance des données à l’embauche, puis chaque année. Nous surveillons la conformité, faisons rapport trimestriellement à la direction sur la gouvernance, et révisons la présente politique au moins une fois par année et chaque fois que la loi ou nos services changent de façon importante. Toute exception exige l’approbation écrite du responsable de la protection des renseignements personnels et de la direction.

La version 2.0 remplace la politique de gouvernance des données d’entreprise publiée auparavant sur cette page.

Ce document est publié en français et en anglais ; les deux versions ont la même valeur.