Politique de confidentialité

Préambule

La présente politique de confidentialité explique comment COMPASS (« l'application », « le service », « nous ») recueille, utilise, conserve, protège et communique les renseignements personnels dans le cadre de son service de gestion de dossiers destiné aux familles d'accueil et aux ressources intermédiaires (RI-RTF) au Québec.

L'application est un outil de soutien administratif et de suivi. Elle prépare uniquement des documents internes et ne produit jamais de classification officielle ou de décision relevant du Directeur de la protection de la jeunesse (DPJ).

Cette politique s'adresse principalement aux ressources qui utilisent l'application (nos clientes). Elle décrit aussi les droits des personnes concernées par les renseignements (notamment les enfants et leurs représentants légaux), même si ces personnes n'utilisent pas directement l'application.

1. Qui est responsable de vos renseignements

L'application est exploitée par Nawal Hamaidi, exploitante de COMPASS (structure juridique à constituer avant production commerciale).

Une personne est désignée comme responsable de la protection des renseignements personnels. Vous pouvez la joindre pour toute question relative à la présente politique ou pour exercer vos droits :

Responsable de la protection des renseignements personnels

Nawal Hamaidi, exploitante de COMPASS — responsable provisoire pour la phase démo

Courriel

Adresse de contact en cours de mise en place. Pour la phase de démonstration, les demandes sont dirigées vers Nawal Hamaidi, exploitante de COMPASS.

Selon le contexte, la ressource qui utilise l'application est elle-même responsable des renseignements qu'elle y consigne. L'application agit alors comme fournisseur de service (mandataire) qui traite ces renseignements pour le compte de la ressource, selon ses instructions.

2. Quels renseignements nous recueillons

2.1 Renseignements sur les utilisatrices

Lorsqu'une ressource crée un compte et utilise l'application, nous recueillons :

• Adresse courriel et mot de passe (le mot de passe est conservé sous forme hachée, jamais en clair).
• Nom et prénom.
• Organisation de rattachement et rôle au sein de celle-ci.
• Journaux d'utilisation (dates de connexion, actions effectuées dans l'application).

2.2 Renseignements saisis dans les dossiers

Dans le cadre de son utilisation, la ressource saisit ou téléverse des renseignements concernant les enfants qu'elle accueille et les personnes liées à leur situation. L'application est conçue selon le principe de minimisation : le profil structuré d'un enfant se limite à un prénom, sans nom de famille ni date de naissance affichés.

Toutefois, les documents téléversés et les contenus saisis peuvent contenir des renseignements plus étendus et sensibles, notamment :

• Renseignements d'identité (nom complet, date de naissance, numéro de dossier, adresse).
• Renseignements sur le milieu (école ou garderie, intervenants, parents biologiques).
• Renseignements de santé et psychosociaux.
• Documents de suivi (communications, formulaires, remboursements, rapports).

Plusieurs de ces renseignements sont sensibles au sens de la Loi 25, notamment parce qu'ils concernent des personnes mineures et leur santé. Ils font l'objet d'une protection rehaussée.

Compte tenu de la nature des renseignements concernant des enfants, nous appliquons un niveau de prudence accru à leur collecte, leur utilisation, leur conservation et leur communication.

Les documents téléversés peuvent contenir des renseignements plus détaillés que ceux affichés dans le profil structuré. Nous recommandons de ne téléverser que les documents nécessaires à l'utilisation du service.

2.3 Formulaire de contact public

Lorsque le formulaire « Nous contacter » est activé, il recueille le nom, le courriel, le profil, le sujet et le message pour répondre à une demande générale. Aucun fichier n'est accepté. Ce canal ne doit jamais recevoir de renseignements concernant un usager ou un enfant. Quand l'envoi est désactivé, aucun champ de saisie n'est affiché ni soumis.

Les messages, lorsque la fonction est activée, passent par le serveur COMPASS et sont transmis par le service de messagerie existant à la personne responsable. Le contenu n'est pas conservé dans une table de soumissions COMPASS dédiée. La réception par courriel implique néanmoins les traitements et conservations du prestataire de messagerie et de la boîte destinataire. Formspree n'est plus utilisé pour cette collecte.

3. Pourquoi nous utilisons ces renseignements

Nous utilisons les renseignements uniquement pour les fins suivantes :

Nous n'utilisons pas les renseignements à des fins publicitaires et nous ne les vendons jamais.

4. Consentement et fondement de l'utilisation

Les renseignements concernant un enfant ne doivent être consignés dans l'application que si la ressource est autorisée à le faire, conformément à son entente avec l'établissement (CISSS/CIUSSS), à ses obligations professionnelles et aux règles applicables au dossier. En consignant des renseignements dans l'application, la ressource confirme qu'elle dispose de l'autorisation nécessaire.

Cette confirmation ne limite pas nos propres obligations : nous demeurons tenus de protéger les renseignements, de les utiliser uniquement pour les fins prévues et de respecter les instructions applicables.

Pour les renseignements des utilisatrices elles-mêmes, l'utilisation repose sur le consentement donné à la création du compte et sur la nécessité de fournir le service.

5. Avec qui les renseignements sont partagés

Nous ne communiquons pas les renseignements à des tiers à des fins commerciales. Les renseignements peuvent toutefois être traités par des fournisseurs de service qui nous aident à exploiter l'application. Ces fournisseurs sont tenus de protéger les renseignements et de ne les utiliser que pour les fins prévues.

Nous pouvons aussi communiquer des renseignements lorsque la loi l'exige (par exemple à la demande d'une autorité compétente).

Fournisseurs principaux utilisés ou prévus :

• Supabase — hébergement de la base de données et des documents.
• Google — traitement par intelligence artificielle.
• Google Workspace — envoi de courriels applicatifs.
• Google Cloud Platform — hébergement du serveur.
• Vercel — hébergement de l’interface web.
• Aucun fournisseur de paiement n'est utilisé à ce stade. Si des paiements ou abonnements sont offerts, la présente politique sera mise à jour avant leur activation.
• Aucun service d’envoi de messages texte (SMS) n’est utilisé à ce stade.

Cette liste peut évoluer. La version à jour est maintenue dans le cadre de notre registre des traitements.

6. Utilisation de l'intelligence artificielle

Certaines fonctions de l'application utilisent un service d'intelligence artificielle pour analyser des textes ou des documents (par exemple pour aider à préparer un brouillon ou répondre à une question documentaire).

• L'intelligence artificielle ne prend aucune décision : elle prépare uniquement des contenus que la ressource doit vérifier et valider.
• Nous cherchons à limiter au minimum les renseignements transmis à ces fonctions.
• Les contenus soumis aux fonctions d’intelligence artificielle peuvent inclure des textes, des extraits et, lorsque cela est nécessaire à la fonction demandée, des documents complets.
• Les résultats générés par l'intelligence artificielle sont des suggestions ou des aides à la rédaction. Ils doivent toujours être vérifiés par la ressource avant utilisation.
• Certaines fonctions d'intelligence artificielle sont déclenchées lorsque l'utilisatrice choisit d'utiliser ces fonctions.
• Certaines fonctions d’intelligence artificielle font appel à des fournisseurs de services externes. Certains traitements peuvent être effectués à l’extérieur du Québec. Tout traitement hors Québec est évalué et encadré avant l’utilisation de données réelles.

7. Renseignements traités à l'extérieur du Québec

Nous privilégions le traitement au Canada lorsque cela est disponible et approprié. Certains fournisseurs pourraient toutefois traiter des données à l'extérieur du Québec. Lorsqu'un fournisseur est susceptible de traiter des renseignements à l'extérieur du Québec, nous réalisons l'évaluation des facteurs relatifs à la vie privée requise par la loi, ou nous nous engageons à la réaliser avant toute mise en production ou utilisation réelle de ce fournisseur pour des renseignements personnels, et concluons l'entente écrite requise afin de vérifier que les renseignements bénéficient d'une protection adéquate.

8. Combien de temps nous conservons les renseignements

Les renseignements sont conservés uniquement pendant la durée nécessaire aux fins pour lesquelles ils sont traités, sous réserve des obligations légales applicables. Les modalités de conservation, d’export, de suppression et de sauvegarde sont définies avant l’utilisation du service avec des données réelles.

9. Comment nous protégeons les renseignements

Nous mettons en œuvre des mesures de sécurité adaptées à la sensibilité des renseignements, notamment :

• Un cloisonnement strict visant à garantir qu'une organisation ne peut accéder aux données d'une autre, au moyen de contrôles d'accès appliqués à chaque requête.
• Un accès protégé par identifiants, avec mots de passe conservés sous forme hachée (non réversible).
• La vérification, à chaque requête, que l'utilisatrice est autorisée à accéder aux données demandées.
• Le chiffrement des communications (HTTPS).
• La limitation volontaire des renseignements affichés (principe de minimisation).
• La tenue de journaux techniques nécessaires à la sécurité, au diagnostic et à la prévention des accès non autorisés. Ces journaux sont limités autant que possible et ne contiennent pas le contenu détaillé des dossiers, documents ou communications.

En cas d'incident de confidentialité présentant un risque de préjudice sérieux, nous prenons les mesures requises et avisons les personnes concernées ainsi que la Commission d'accès à l'information, conformément à la loi.

10. Vos droits

Sous réserve des conditions prévues par la loi, vous disposez des droits suivants à l'égard des renseignements qui vous concernent :

• Accès : obtenir une copie des renseignements que nous détenons à votre sujet.
• Rectification : faire corriger un renseignement inexact ou incomplet.
• Retrait du consentement : retirer votre consentement à l'utilisation de vos renseignements, sous réserve des suites que cela peut avoir sur le service.
• Portabilité : obtenir, dans certains cas, vos renseignements informatisés dans un format technologique structuré.

Pour les renseignements concernant un enfant saisis par une ressource, les demandes sont normalement adressées à la ressource, qui est responsable de ces renseignements. Nous l'aidons à y répondre. Pour la phase démo, les demandes sont dirigées vers Nawal Hamaidi.

Si vous n'êtes pas satisfaite de notre réponse, vous pouvez porter plainte auprès de la Commission d'accès à l'information du Québec.

11. Témoins de connexion et technologies similaires

L'application utilise les témoins (« cookies ») et technologies similaires strictement nécessaires à son fonctionnement et à la sécurité (par exemple pour maintenir une session ouverte). Nous n'utilisons pas de témoins à des fins de publicité comportementale, de profilage publicitaire ou de revente de données.

12. Modifications de cette politique

Nous pouvons modifier la présente politique pour refléter des changements dans nos pratiques ou dans la loi. La version à jour est toujours accessible dans l'application, avec sa date de dernière mise à jour. En cas de changement important, nous vous en informerons par un moyen approprié.

13. Nous joindre

Pour toute question concernant la présente politique ou la protection de vos renseignements, communiquez avec :

Responsable

Nawal Hamaidi, exploitante de COMPASS — phase démonstration

Courriel

Adresse de contact en cours de mise en place. Pour la phase de démonstration, les demandes sont dirigées vers Nawal Hamaidi, exploitante de COMPASS.

Autorité de contrôle

Commission d'accès à l'information du Québec (cai.gouv.qc.ca)