Conformité Loi 25

Hexceos opère depuis Montréal et la France. Pour nos clients établis au Québec, les renseignements personnels collectés ou traités dans le cadre de nos prestations relèvent de la Loi 25 ainsi que de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE / PIPEDA). Cette page décrit nos engagements concrets. Elle complète notre politique de confidentialité et notre charte RGPD, les principes étant fortement alignés entre les trois cadres.

1. Souveraineté des renseignements canadiens

Les renseignements personnels collectés au Québec et au Canada restent au Canada. Notre point de présence québécois assure l'hébergement, le traitement et la sauvegarde des données canadiennes en territoire canadien, sans transfert vers les États-Unis ni vers l'Union européenne, sauf accord exprès et documenté.

Pour les clients qui acceptent un traitement transfrontalier (notamment vers notre datacenter souverain en France), nous procédons préalablement à une évaluation des facteurs relatifs à la vie privée (EFVP / PIA) qui couvre les garanties contractuelles, la juridiction applicable et l'absence de droit d'accès extraterritorial américain (Cloud Act).

2. Responsable de la protection des renseignements personnels (RPRP)

Hexceos a désigné un responsable de la protection des renseignements personnels (RPRP) conformément à l'article 3.1 de la Loi 25. Le RPRP veille à la conformité de l'ensemble de nos traitements de renseignements personnels et constitue le point de contact privilégié pour toute question, demande d'accès ou plainte.

Responsable de la protection des renseignements personnels
Gaëtan Maiuri
Email, [email protected]

3. Droits des personnes concernées

La Loi 25 reconnaît aux personnes concernées des droits étendus que nous nous engageons à honorer dans des délais courts, sans frais et sans condition préalable injustifiée :

• Droit d'accès aux renseignements personnels détenus par Hexceos ou par nos clients dans le cadre de nos prestations.
• Droit de rectification en cas d'inexactitude, d'incomplétude ou d'équivoque.
• Droit de retrait du consentement à tout moment, sans préjudice du traitement antérieur.
• Droit à la portabilité dans un format technologique structuré, couramment utilisé (JSON, CSV).
• Droit à la désindexation et à la cessation de la diffusion lorsque la diffusion cause un préjudice grave à la réputation ou à la vie privée.
• Droit à l'information sur les décisions fondées exclusivement sur un traitement automatisé.

Nous répondons aux demandes d'exercice de droits sous 30 jours, en pratique souvent sous 10 jours ouvrables. Aucun frais n'est facturé pour une première demande raisonnable.

4. Notification des incidents de confidentialité

En cas d'incident de confidentialité susceptible de causer un risque sérieux de préjudice aux personnes concernées :

• Notification à la Commission d'accès à l'information du Québec (CAI) dans les meilleurs délais.
• Information directe et compréhensible des personnes concernées dont les renseignements ont été affectés.
• Inscription au registre des incidents tenu par Hexceos, à disposition de la CAI sur demande.
• Rapport forensique mis à disposition des autorités compétentes et des clients impactés.

Pour les missions clients, le délai contractuel de notification entre Hexceos et le client est inférieur à 24 heures pour les incidents critiques, bien en deçà de l'obligation réglementaire.

5. Évaluation des facteurs relatifs à la vie privée (EFVP)

Nous procédons à une EFVP avant tout projet qui implique :

• L'acquisition ou la mise en service d'un nouveau système de traitement de renseignements personnels.
• La communication de renseignements à l'extérieur du Québec.
• Un traitement à des fins de profilage, localisation ou identification.
• Tout traitement présentant un risque accru pour les personnes concernées.

Les EFVP sont documentées, archivées et révisées à chaque évolution significative du traitement. Elles sont mises à disposition des clients qui en font la demande pour les traitements qui les concernent.

6. Sous-traitance et tiers

La liste complète de nos sous-traitants ayant accès à des renseignements personnels canadiens est tenue à jour et communiquée à tout client qui en fait la demande à [email protected]. Chaque sous-traitant fait l'objet :

• D'une entente écrite respectant les exigences des articles 18.3 et 22 de la Loi 25.
• D'une évaluation initiale de sa maturité cyber et juridique.
• D'une revue annuelle de conformité.
• D'un droit de notification préalable en cas de changement de sous-traitant ultérieur.

7. Mineurs

Lorsque nos traitements impliquent des renseignements personnels d'un mineur de moins de 14 ans, le consentement est obtenu de la personne ayant l'autorité parentale ou du tuteur. Pour les mineurs de 14 à 17 ans, le consentement est obtenu de l'intéressé ou, selon la nature du traitement, de la personne ayant l'autorité parentale.

Hexceos ne sollicite jamais sciemment de renseignements personnels d'enfants de moins de 13 ans dans le cadre de ses propres activités commerciales (formulaires, infolettres).

8. Conservation et destruction

Les renseignements personnels sont conservés uniquement pendant la durée nécessaire à la réalisation des finalités pour lesquelles ils ont été collectés, ainsi que pour respecter nos obligations légales et fiscales. À l'issue de cette durée :

• Suppression sécurisée des renseignements sur l'ensemble de nos systèmes (production, sauvegardes, archives).
• Effacement cryptographique des disques chiffrés ou destruction physique des supports lorsque pertinent.
• Attestation de destruction délivrée au client qui en fait la demande.

9. Plainte auprès de la Commission d'accès à l'information

Si vous estimez que vos droits n'ont pas été respectés et que la réponse de notre RPRP ne vous donne pas satisfaction, vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec :

Commission d'accès à l'information du Québec
575, rue Saint-Amable, bureau 1.10, Québec (QC) G1R 2G4
Téléphone, 1 888 528-7741
Site web, cai.gouv.qc.ca

10. Évolution de la présente page

Cette page est mise à jour à chaque évolution significative de nos pratiques ou de la réglementation québécoise applicable. La date de dernière mise à jour est indiquée en tête de page. Pour les évolutions importantes, nous informons proactivement nos clients par courriel.

Pour toute question, suggestion ou réclamation, écrivez à [email protected].