Politique de confidentialité

POLITIQUE DE CONFIDENTIALITÉ

Dernière mise à jour : 2025-09-12

1) CONTEXTE

Les Entrepreneurs Peintres B.S.R. inc. (ci-après « la Société ») est une personne morale qui traite des renseignements personnels dans le cadre de ses activités. La Société a été constituée le 14 janvier 1981 sous le régime constitutif de la Loi canadienne sur les sociétés par actions et elle a fait l’objet de fusions le 1er avril 2022 ainsi que le 1er avril 2023.

La présente politique vise à assurer la protection des renseignements personnels et à encadrer la manière dont la Société les collecte, les utilise, les communique, les conserve et les détruit ou dont, autrement, elle les gère. Elle vise également à informer toute personne intéressée sur la manière dont la Société traite leurs renseignements personnels, y compris ceux recueillis par un moyen technologique.

2) APPLICATION ET DÉFINITIONS

La présente politique s’applique à la Société, ce qui inclut notamment ses dirigeants, employés, sous-traitants, fournisseurs de services ainsi qu’à toute personne qui fournit des services pour son compte. Elle s’applique également aux clients, candidats, fournisseurs et visiteurs de son site internet, ainsi qu’à tous les sites internet contrôlés et maintenus par la Société.

Elle vise tous les types de renseignements personnels gérés par la Société, que ce soit ceux de ses clients actuels ou potentiels, de ses employés et candidats, de ses fournisseurs et sous-traitants, ou encore des visiteurs de ses sites internet.

Renseignement personnel : un renseignement qui concerne une personne physique et qui permet, directement ou indirectement, de l’identifier (par ex. nom, adresse, courriel, numéro de téléphone, NAS, renseignements bancaires).

Renseignement personnel sensible : un renseignement présentant un haut degré d’attente raisonnable en matière de vie privée (par ex. renseignements de santé, NAS, renseignements bancaires, orientation sexuelle, dossier criminel).

Coordonnées professionnelles : les coordonnées d’affaires d’une personne (nom, titre ou fonction, adresse d’affaires, adresse courriel et numéro de téléphone du lieu de travail) constituent des renseignements personnels, mais la Loi prévoit que certaines obligations (collecte, utilisation, communication, conservation et sécurité) ne s’appliquent pas à ces renseignements lorsqu’ils concernent uniquement l’exercice d’une fonction dans une entreprise.

3) COLLECTE, UTILISATION ET COMMUNICATION

Dans le cadre de ses activités, la Société peut collecter différents types de renseignements, et ce, à différentes fins.

La Société collecte principalement les renseignements personnels suivants :

Clients et prospects : nom, coordonnées, renseignements liés aux projets et à la facturation.

Employés et candidats : coordonnées, renseignements professionnels et administratifs nécessaires à la gestion des ressources humaines, de la paie et au respect des obligations légales.

Fournisseurs et sous-traitants : coordonnées professionnelles et renseignements financiers liés aux paiements et contrats.

Visiteurs du site web : données de navigation (témoins de connexion, adresse IP) et coordonnées fournies volontairement dans les formulaires de contact.

Ces renseignements sont recueillis directement auprès des personnes concernées, par le biais de formulaires en ligne ou dans le cadre de relations contractuelles.

La Société tient un inventaire détaillé de ses activités de traitement, lequel peut être consulté sur demande auprès du Responsable de la protection des renseignements personnels.

La Société informera également les personnes concernées, au moment de la collecte de renseignements personnels, de tout autre renseignement recueilli, des fins pour lesquelles ils sont collectés et les moyens de la collecte, en plus des autres informations à fournir tel que requis par la loi.

La Société applique les principes généraux suivants relativement à la collecte, l’utilisation et la communication de renseignements personnels, à savoir :

3.1 Consentement

De façon générale, la Société collecte les renseignements personnels directement auprès de la personne concernée et avec son consentement, sauf si une exception est prévue par la loi.

Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. Il doit être obtenu pour chacune des finalités identifiées lors de la collecte.

Lorsque les renseignements personnels sont de nature sensible (par exemple le NAS, des renseignements financiers, médicaux ou liés au dossier criminel), la Société doit obtenir un consentement exprès.

Le consentement peut être obtenu de façon implicite dans certaines situations, par exemple lorsque la personne décide volontairement de fournir ses renseignements après avoir été informée de l’utilisation et des communications prévues dans la présente politique. Ce mode de consentement n’est toutefois pas utilisé pour les renseignements sensibles.

Normalement, la Société doit également obtenir le consentement de la personne concernée avant de collecter ses renseignements personnels auprès de tiers, avant de les communiquer à des tiers ou pour toute utilisation secondaire de ceux-ci. Toutefois, la Société peut agir sans consentement dans certains cas prévus par la loi et aux conditions prévues par celle-ci (ex. : respect d’une obligation légale, prévention d’une fraude, protection d’une personne, sécurité, transaction commerciale)

3.2 Collecte

Dans tous les cas, la Société ne collecte des renseignements que s’il a une raison valable de le faire. De plus, la collecte ne sera limitée qu’au renseignement nécessaire dont elle a besoin pour remplir l’objectif visé.

Veuillez noter que de façon plus générale, la Société n’obtient pas intentionnellement de renseignements personnels concernant des mineurs (dans ces cas, les renseignements ne peuvent être recueillis auprès de lui sans le consentement d’un parent ou tuteur).

3.2.1 Collecte auprès de tiers

La Société peut collecter des renseignements personnels auprès de tiers. À moins d’une exception prévue par la loi, la Société demandera le consentement de la personne concernée avant de collecter des renseignements personnels qui la concernent auprès d’un tiers. Dans le cas où un tel renseignement n’est pas collecté directement auprès de la personne, mais auprès d’une autre organisation, la personne concernée peut demander la source des renseignements collectés à la Société.

Dans certaines situations, la Société peut également collecter des renseignements personnels auprès de tiers, sans le consentement de la personne concernée, si elle a un intérêt sérieux et légitime à le faire et :

1. si la cueillette est dans l’intérêt de la personne et qu’il n’est pas possible de le faire auprès d’elle en temps utile ; ou

2. si cette cueillette est nécessaire pour s’assurer que les renseignements sont exacts.

3.2.2 Informations supplémentaires sur les technologies utilisées

La Société utilise certains moyens technologiques pour recueillir des renseignements personnels, notamment par l’entremise de son site internet. Cela inclut l’usage de témoins de connexion (« cookies ») et d’outils d’analyse web (par ex. Google Analytics), ainsi que de formulaires en ligne (formulaire de contact, infolettre, questionnaires).

L’utilisation des témoins est encadrée par une “politique cookies” distincte, accessible sur le site internet de la Société, et dont les paramètres peuvent être gérés directement à partir du bandeau de consentement affiché lors de la navigation.

La Société applique par défaut le principe de confidentialité maximale : seuls les témoins essentiels sont actifs automatiquement, tandis que les témoins non essentiels (analytiques, marketing) ne sont activés qu’avec le consentement de la personne concernée.

3.3 Détention et utilisation

La Société veille à ce que les renseignements qu’elle détient soient à jour et exacts au moment de leur utilisation pour prendre une décision relative à la personne visée.

La Société ne peut utiliser les renseignements personnels d’une personne que pour les raisons indiquées aux présentes ou pour toutes autres raisons fournies lors de la collecte. Dès que la Société veut utiliser ces renseignements pour une autre raison ou une autre fin, un nouveau consentement devra être obtenu de la personne concernée, lequel devra être obtenu de façon expresse s’il s’agit d’un renseignement personnel sensible. Cependant, dans certains cas prévus par la loi, la Société peut utiliser les renseignements à des fins secondaires sans le consentement de la personne, par exemple :

1. lorsque cette utilisation est manifestement au bénéfice de cette personne ;

2. lorsque cela est nécessaire pour prévenir ou détecter une fraude ;

3. lorsque cela est nécessaire pour évaluer ou améliorer des mesures de protection et de sécurité.

3.3.1 Décisions automatisées

La Société ne prend actuellement aucune décision fondée exclusivement sur un traitement automatisé.

3.3.2 Accès limité

La Société doit mettre en place des mesures pour limiter l’accès à un renseignement personnel seulement aux employés et aux personnes au sein de son organisation qui ont la qualité pour en prendre connaissance et pour qui ce renseignement est nécessaire dans l’exercice de leurs fonctions. La Société demandera le consentement de la personne avant d’accorder l’accès à toute autre personne.

3.4 Communication

Généralement, et à moins d’une exception indiquée dans la présente politique ou autrement prévue par la loi, la Société obtiendra le consentement de la personne concernée avant de communiquer ses renseignements personnels à un tiers. De plus, lorsque le consentement est nécessaire et lorsqu’il s’agit d’un renseignement personnel sensible, la Société devra obtenir le consentement explicite de la personne avant de communiquer le renseignement.

Cependant, la communication des renseignements personnels à des tiers est parfois nécessaire. Ainsi, des renseignements personnels peuvent être communiqués à des tiers sans le consentement de la personne concernée dans certains cas, notamment, mais non exclusivement, dans les cas suivants :

1. La Société peut communiquer un renseignement personnel, sans le consentement de la personne concernée, à un organisme public (comme le gouvernement) qui, par un de ses représentants, le recueille dans l’exercice de ses attributions ou la mise en œuvre d’un programme dont il a la gestion.

2. Des renseignements personnels pourront être transmis à ses fournisseurs de service à qui il est nécessaire de communiquer les renseignements, et ce, sans le consentement de la personne. Par exemple, ces fournisseurs de services peuvent être des juristes et des fournisseurs de services infonuagiques. Dans ces cas, la Société doit avoir des contrats écrits avec ces fournisseurs qui indique les mesures qu’ils doivent prendre pour assurer la confidentialité des renseignements personnels communiqués, que l’utilisation de ces renseignements ne soit faite que dans le cadre de l’exécution du contrat et qu’ils ne peuvent conserver ces renseignements après son expiration. De plus, ces contrats doivent prévoir que les fournisseurs doivent aviser le responsable de la protection des renseignements personnels de la Société (indiqué dans la présente politique) de toute violation ou tentative de violation des obligations de confidentialité concernant les renseignements personnels communiqués et doivent permettre à ce responsable d’effectuer toute vérification relative à cette confidentialité.

3. Si cela est nécessaire aux fins de la conclusion d’une transaction commerciale, la Société pourrait également communiquer un renseignement personnel, sans le consentement de la personne concernée, à l’autre partie de la transaction et sous réserve des conditions prévues par la loi.

3.4.1 Communication à l’extérieur du Québec

Il est possible que les renseignements personnels détenus par la Société soient communiqués à l’extérieur du Québec, par exemple, lorsque la Société a recours à des fournisseurs de services infonuagiques dont le ou les serveurs se situent hors Québec ou lorsque la Société fait affaire avec des sous-traitants situés en dehors de la province.

Avant tout transfert de renseignements personnels à l’extérieur du Québec, la Société procédera à une évaluation des facteurs relatifs à la vie privée afin de s’assurer que les renseignements bénéficieront d’une protection adéquate. La Société ne procèdera à un tel transfert que si cette évaluation démontre que les renseignements bénéficieront d’une protection conforme aux principes applicables au Québec.

4) CONSERVATION ET DESTRUCTION DES RENSEIGNEMENTS PERSONNELS

Sauf si une durée minimale de conservation est requise par la loi ou la réglementation applicable, la Société ne conservera les renseignements personnels que pour la durée nécessaire à la réalisation des fins pour lesquelles ils ont été collectés.

Les renseignements personnels utilisés par la Société pour prendre une décision relative à une personne doivent être conservés durant une période d’au moins un (1) an suivant la décision en question ou même sept (7) années après la fin de l’année fiscale où la décision a été prise si celle- ci a des incidences fiscales, par exemple, les circonstances d’une fin d’emploi.

Les durées de conservation applicables aux différentes catégories de renseignements personnels sont définies dans l’inventaire interne des activités de traitement tenu par la Société. Cet inventaire peut être consulté sur demande auprès du Responsable de la protection des renseignements personnels.

À la fin de la durée de conservation ou lorsque les renseignements personnels ne sont plus nécessaires, la Société s’assurera :

a) de les détruire ; ou

b) de les anonymiser (c’est-à-dire qu’ils ne permettent plus, de façon irréversible, d’identifier la personne et qu’il n’est plus possible d’établir un lien entre la personne et les renseignements personnels) pour les utiliser à des fins sérieuses et légitimes.

La Société tient un registre interne des pratiques de conservation et destruction, qui peut être consulté sur demande auprès du Responsable de la protection des renseignements personnels.

5) RESPONSABILITÉ DE LA SOCIÉTÉ

La Société est responsable de la protection des renseignements personnels qu’elle détient. Le Responsable de la protection des renseignements personnels (RPRP) de la Société est la personne indiquée à la section 10.

Le RPRP veille au respect de la législation applicable, approuve les politiques et pratiques encadrant la gouvernance des renseignements personnels, et supervise la mise en œuvre de la présente politique. Il agit également comme point de contact pour toute demande ou question liée à la protection des renseignements personnels. En cas d’absence ou d’impossibilité d’agir, le président de la Société assume cette responsabilité.

Tous les employés et membres du personnel de la Société ayant accès à des renseignements personnels, ou impliqués dans leur traitement, doivent les protéger et respecter la présente politique ainsi que les politiques et procédures internes applicables. La Société s’engage à offrir des activités de sensibilisation et de formation afin de soutenir cette responsabilité.

6) SÉCURITÉ DES DONNÉES

La Société s’engage à mettre en place des mesures de sécurité raisonnables pour assurer la protection des renseignements personnels qu’elle gère. Les mesures de sécurité en place correspondent, entre autres, à la finalité, à la quantité, à la répartition, au support et à la sensibilité des renseignements. Ainsi, cela signifie qu’un renseignement pouvant être qualifié de sensible devra faire l’objet de mesures de sécurité plus importantes et devra être mieux protégé. Notamment, et conformément à ce qui a été mentionné précédemment concernant l’accès limité aux renseignements personnels, la Société doit mettre en place des mesures nécessaires pour imposer des contraintes aux droits d’utilisation de ses systèmes d’information de manière à ce que seuls les employés qui doivent y avoir accès soient autorisés à y accéder.

6.1 Évaluations des facteurs relatifs à la vie privée

La Société s’engage à réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) dans les cas prévus par la Loi 25, notamment :

avant de communiquer des renseignements personnels à l’extérieur du Québec ;

avant d’acquérir, de développer ou de réviser un système d’information ou de prestation électronique de services impliquant des renseignements personnels.

7) INCIDENTS DE CONFIDENTIALITÉ

Un incident de confidentialité est tout accès non autorisé, toute utilisation, communication, perte ou toute autre atteinte à la protection d’un renseignement personnel.

Lorsqu’un tel incident survient et présente un risque de préjudice sérieux pour les personnes concernées, la Société :

prendra rapidement les mesures raisonnables afin de diminuer les risques qu’un préjudice soit causé et d’éviter qu’un nouvel incident de même nature ne se reproduise ;

avisera les personnes concernées, sauf si cela risquerait d’entraver une enquête menée par une autorité compétente ;

avisera la Commission d’accès à l’information du Québec uniquement lorsque l’incident présente un risque de préjudice sérieux pour la personne concernée ;

tiendra un registre de tous les incidents de confidentialité conformément à la Loi.

Le Responsable de la protection des renseignements personnels supervise la gestion de tout incident et veille à l’évaluation du risque de préjudice sérieux pour les personnes concernées.

8) DROITS D'ACCÈS, DE RECTIFICATION ET DE RETRAIT DU CONSENTEMENT

Toute personne concernée peut exercer ses droits en soumettant une demande écrite (y compris par courriel) au Responsable de la protection des renseignements personnels de la Société (voir section 10).

Sous réserve de certaines restrictions légales, les personnes concernées disposent notamment des droits suivants :

Accès : demander si la Société détient des renseignements personnels les concernant et en obtenir communication.

Rectification : faire corriger tout renseignement inexact, incomplet ou équivoque.

Cessation de diffusion, désindexation et réindexation : exiger le retrait, la désindexation ou la réindexation d’un renseignement diffusé en ligne, lorsque les conditions légales sont remplies.

Portabilité : obtenir, dans un format structuré et couramment utilisé, les renseignements personnels informatisés qui ont été recueillis auprès d’eux.

Retrait du consentement : retirer leur consentement à la communication ou à l’utilisation de leurs renseignements, sous réserve des restrictions légales et contractuelles applicables. Le retrait s’applique de façon prospective.

Information : demander à connaître les catégories de renseignements recueillis, les personnes qui y ont accès et les durées de conservation applicables.

Le Responsable de la protection des renseignements personnels doit répondre par écrit dans un délai maximal de trente (30) jours à compter de la réception de la demande. Tout refus sera motivé et indiquera la disposition légale applicable, de même que les recours possibles et le délai pour les exercer.

9) PROCESSUS DE TRAITEMENT DES PLAINTES

Toute personne qui souhaite formuler une plainte relative à la protection de ses renseignements personnels peut communiquer par écrit avec le Responsable de la protection des renseignements personnels de la Société (voir section 10).

La Société s’engage à traiter toute plainte de façon confidentielle, conformément à sa procédure interne de traitement des plaintes, et à fournir une réponse dans un délai maximal de 30 jours.

Si la réponse ne satisfait pas le plaignant, il est possible de s’adresser à la Commission d’accès à l’information du Québec.

10) APPROBATION

La présente politique est approuvée par le Responsable de la protection des renseignements personnels de la Société. Celui-ci est chargé de veiller à sa mise en œuvre, à sa mise à jour et au respect de la législation applicable. Il agit également comme point de contact pour toute demande d’accès, de rectification, de retrait de consentement ou pour tout dépôt de plainte concernant la protection des renseignements personnels.

Responsable de la protection des renseignements personnels :
M. David Lebrun
112, rue Prévost, Boisbriand, Québec, Canada
J7G 2S2
david@peintresbsr.com

Pour toute demande, question ou commentaire relatif à la présente politique, vous pouvez communiquer avec le Responsable par courriel ou par courrier postal.