Modèle à titre indicatif; le document signé est préparé pour chaque client

Home lab : clause Loi 25, textes pour la politique et pour l'évaluation des facteurs relatifs à la vie privée, registre des accès

Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), modifiée par la Loi 25. Articles cités de mémoire, non revérifiés en ligne pendant cette mission.

1. Analyse (pour l'éditeur)

• Client entreprise (travailleur autonome, artisan, commerce, restaurant, atelier, ferme, OBNL, PME) : les renseignements personnels de ses clients, employés ou membres qui se trouvent dans son système sont sous sa responsabilité. Pendant l'installation, DRAK Infinity y a accès comme prestataire de services (mandataire). La communication sans consentement à un mandataire est permise si elle est nécessaire au mandat et si un contrat écrit prévoit les mesures de protection, l'usage limité au mandat, l'absence de conservation après le mandat et l'avis au client de toute violation (art. 18.3). La clause ci-dessous est ce contrat écrit.
• Client entreprise, projet de système : installer un home lab qui conservera des renseignements personnels est un projet d'acquisition ou de mise en place d'un système d'information; l'entreprise doit en faire une évaluation des facteurs relatifs à la vie privée (art. 3.3). Si une sauvegarde hors site ou un service en ligne communique ces renseignements hors du Québec, l'évaluation de l'art. 17 s'ajoute. DRAK Infinity fournit la fiche de la section 4 pour l'aider; l'évaluation reste celle du client.
• Client consommateur : les renseignements de sa famille dans son propre système ne sont pas visés par la loi entre lui et ses proches, mais DRAK Infinity, entreprise, doit protéger ce qu'il voit ou recueille pendant le service (art. 10) et ne l'utiliser qu'à cette fin (art. 12).
• DRAK Infinity responsable : pour ses propres dossiers (nom, courriel, municipalité, devis, contrat, factures, registre des accès), DRAK Infinity est l'entreprise responsable; la politique du site le dit (section 3).
• Incidents : un accès non autorisé, une perte ou une communication par erreur pendant l'installation est un incident de confidentialité; DRAK Infinity l'inscrit à son registre des incidents (art. 3.8) et en avise le client sans délai; le client entreprise décide d'aviser la Commission d'accès à l'information et les personnes concernées si le risque de préjudice est sérieux (art. 3.5).

2. Clause du contrat (fait partie du contrat de service, article 12)

Protection des renseignements personnels.

a) Pendant les travaux, DRAK Infinity peut avoir accès à des renseignements personnels conservés dans votre système. Si vous êtes une entreprise, vous en restez responsable et DRAK Infinity agit seulement comme votre prestataire de services, pour l'exécution du présent contrat.

b) DRAK Infinity :

• n'accède à ces renseignements que dans la mesure nécessaire au travail du devis, et ne les utilise à aucune autre fin;
• n'emporte, ne copie et ne conserve aucun de ces renseignements, ni pendant ni après les travaux;
• ne les communique à personne et ne les inscrit dans aucun outil en ligne;
• protège les accès selon l'entente de confidentialité (document 05);
• tient un registre des accès (date, durée, accès utilisé, motif, travail fait), qu'il vous remet à la fin des travaux et sur demande;
• vous avise sans délai, par courriel, de tout incident qui touche ces renseignements (accès non autorisé, perte, communication par erreur), avec les renseignements dont vous avez besoin pour évaluer la situation et, s'il y a lieu, aviser la Commission d'accès à l'information et les personnes concernées;
• vous permet de vérifier le respect de la présente clause, notamment en vous remettant le registre des accès;
• retire tous ses accès à la fin des travaux (procès-verbal de remise des accès).

c) Il vous revient, si vous êtes une entreprise, de faire l'évaluation des facteurs relatifs à la vie privée de votre projet et, s'il y a lieu, d'informer les personnes concernées. DRAK Infinity vous remet une fiche descriptive du système pour vous y aider.

3. Texte pour la politique de confidentialité du site (section nouvelle)

Texte de référence : [J18-28] du rapport juridique de la mission 18, publié dans la politique de confidentialité du site (liste « Ce que nous recueillons » et section « Home lab (installation sur devis) »). Il est repris ici mot pour mot.

Home lab (installation sur devis). Si vous nous confiez une installation, nous gardons aussi le devis, le contrat, les fiches d'intervention, le registre des accès et nos factures. Ils servent à faire le travail, à le facturer et à prouver ce qui a été convenu. Pendant l'installation, nous pouvons voir des renseignements conservés dans votre système : nous n'en emportons aucun, n'en copions aucun et ne les utilisons à aucune autre fin; si vous êtes une entreprise, nous agissons alors comme votre prestataire de services, selon une clause écrite du contrat. Les demandes de devis sans suite sont supprimées au plus tard 24 mois après notre dernier échange; les contrats, fiches et factures sont gardés six ans après la fin de l'année du contrat, comme l'exigent les lois fiscales, puis supprimés.

4. Fiche pour l'évaluation des facteurs relatifs à la vie privée du client

Remise au client entreprise avec la documentation, remplie par DRAK Infinity pour la partie technique. Le client complète les sections marquées « Vous ».

1. Projet : installation d'un serveur domestique ou d'atelier (home lab) au [lieu : municipalité], format [tour / compact].
2. Renseignements personnels visés (Vous) : [clients, employés, membres, patients...], catégories : [coordonnées, factures, dossiers...], sensibilité : [faible / moyenne / élevée].
3. Où ils sont conservés : sur le serveur, dans vos locaux; copie de sauvegarde locale : [oui / non, emplacement]; sauvegarde hors site : [aucune / chiffrée avant l'envoi, chez fournisseur, pays].
4. Qui y a accès : comptes créés [liste des rôles, sans mot de passe]; accès à distance : [aucun / réseau privé virtuel (VPN) réservé à liste].
5. Mesures de sécurité installées : chiffrement du disque [oui / non], chiffrement des sauvegardes hors site [oui / non], mises à jour [automatiques / manuelles, fréquence], pare-feu [description], journal des connexions [oui / non], sauvegarde et restauration testées le [date].
6. Communication hors du Québec : [aucune / sauvegarde chiffrée chez fournisseur, pays : la clé reste chez vous / autre]. Si oui, l'évaluation de l'art. 17 s'applique (Vous).
7. Intervention de DRAK Infinity : accès pendant les travaux seulement, inscrits au registre des accès, tous retirés le [date] (procès-verbal de remise des accès); aucune donnée emportée.
8. Risques résiduels et décisions (Vous) : [par exemple, vol du serveur, panne, perte de la clé de chiffrement; mesures retenues].
9. Responsable de la protection des renseignements personnels (Vous) : [nom], date de l'évaluation : [date].

5. Registre des accès

Remis au client à la fin des travaux; copie gardée par DRAK Infinity avec le contrat (six ans), sans aucun renseignement personnel autre que les catégories.

Les champs entre crochets sont complétés avec votre devis. Le contrat signé fait foi.