Politique de gouvernance des renseignements personnels

OralReady · Houssem Ben Salem

Version 1.0 · Approuvée le 8 novembre 2026 par Propriétaire, responsable de la protection des renseignements personnels · En vigueur le 8 novembre 2026

Cette politique décrit comment nous encadrons les renseignements personnels pendant tout leur cycle de vie : collecte, utilisation, communication, conservation et destruction. Elle est adaptée à notre taille : une entreprise individuelle, sans employé et sans comptes d'utilisateurs. Notre Politique de confidentialité explique quels renseignements nous recueillons et pourquoi.

1. Portée

Cette politique s'applique à tous les renseignements personnels que nous détenons dans le cadre de OralReady, ou que nos fournisseurs de services traitent pour nous. Ce sont les renseignements des personnes qui pratiquent, qui achètent un laissez-passer ou qui nous écrivent.

2. Rôles et responsabilités

Ce que nous faisons à chaque étape

3. Calendrier de conservation et de destruction

4. Demandes d'accès, de rectification et de portabilité

1. La demande est faite par écrit au responsable, à [email protected] ou à 2000, rue Saint-Marc, app. 905, Montréal (Québec) H3H 2N9.
2. Le responsable vérifie l'identité de la personne, sans lui demander plus que nécessaire.
3. Il cherche les renseignements chez Stripe (à partir du courriel d'achat), dans la boîte de courriel et sur le serveur, seulement pendant leur courte durée de conservation. Il les remet dans un format structuré et couramment utilisé.
4. Il répond par écrit dans les 30 jours suivant la réception. Sans réponse dans ce délai, la loi considère la demande comme refusée, et la personne peut s'adresser à la Commission d'accès à l'information.
5. Il inscrit chaque demande dans un registre : date, type, date de la réponse.
6. Il adapte la façon de donner accès aux personnes handicapées.

5. Révision d'une estimation automatisée

• Toute personne peut présenter ses observations sur une estimation et demander qu'une personne la révise, avec le bouton « Demander une révision » ou par courriel.
• Le responsable examine les renseignements fournis (par exemple, le rapport imprimé), les critères et l'estimation. Il corrige les renseignements utilisés s'il y a lieu, par exemple une erreur de transcription.
• Il répond dans les 30 jours, avec les raisons et les principaux facteurs qui expliquent l'estimation.
• La révision est gratuite.

6. Traitement des plaintes

1. Déposer une plainte. Écrivez à [email protected] (objet : « Plainte ») ou par la poste à 2000, rue Saint-Marc, app. 905, Montréal (Québec) H3H 2N9, à l'attention du responsable de la protection des renseignements personnels. Décrivez le problème et ce que vous souhaitez.
2. Accusé de réception. Nous accusons réception dans les 5 jours ouvrables, avec un numéro de dossier.
3. Examen. Le responsable examine la plainte. Il peut vous poser des questions.
4. Réponse. Nous vous envoyons une réponse écrite et motivée dans les 30 jours suivant la réception de la plainte.
5. Recours. Si notre réponse ne vous satisfait pas, vous pouvez vous adresser à la Commission d'accès à l'information du Québec (www.cai.gouv.qc.ca) ou au Commissariat à la protection de la vie privée du Canada (www.priv.gc.ca).

Le traitement d'une plainte est gratuit. Nous gardons le dossier 24 mois après sa fermeture.

7. Incidents de confidentialité

Un incident de confidentialité est, par exemple, un accès non autorisé à des renseignements personnels ou leur perte. Voici notre démarche :

1. Réduire le risque. Dès que nous avons des raisons de croire qu'un incident s'est produit, nous prenons des mesures raisonnables pour réduire le risque de préjudice et éviter que cela se reproduise.
2. Évaluer le risque. Nous tenons compte de la sensibilité des renseignements, des conséquences possibles et de la probabilité qu'ils soient mal utilisés.
3. Aviser. Si le risque de préjudice est sérieux, nous avisons promptement la Commission d'accès à l'information et les personnes concernées. Si l'incident crée un risque réel de préjudice grave au sens de la loi fédérale, nous le déclarons au Commissariat à la protection de la vie privée du Canada et nous avisons les personnes concernées.
4. Consigner. Nous inscrivons chaque incident au registre, même s'il ne présente pas de risque sérieux : description, circonstances, dates, nombre de personnes touchées, évaluation du risque, avis envoyés et mesures prises. Nous gardons chaque inscription 5 ans.
5. Fournisseurs. Nos fournisseurs doivent nous aviser d'un incident : OpenAI et Cloudflare sans retard indu.

8. Évaluations des facteurs relatifs à la vie privée (ÉFVP)

Quand. Nous faisons une ÉFVP :

• avant le lancement;
• avant d'acquérir, de développer ou de refondre un système qui traite des renseignements personnels;
• avant de communiquer des renseignements personnels hors du Québec, ou de les confier à un fournisseur situé hors du Québec;
• avant tout changement de fournisseur ou de modèle, par exemple un nouveau modèle de transcription.

Comment. Nous suivons le modèle de rapport de la Commission d'accès à l'information, à une échelle adaptée à notre taille. Pour chaque fournisseur, l'ÉFVP décrit :

• les renseignements, la fin visée, le lieu et la durée de conservation;
• l'utilisation pour l'entraînement de modèles d'IA;
• l'entente écrite (version et date);
• le cadre juridique du pays de destination, dont l'accès par les autorités;
• les mesures de protection, le risque résiduel et la décision.

Elle documente aussi :

• pourquoi les règles sur la biométrie ne s'appliquent pas : nous n'identifions personne par la voix et nous ne créons pas de banque d'empreintes vocales;
• pourquoi nous traitons les réponses orales comme des renseignements sensibles;
• les limites des ententes, qui ne mentionnent ni le Québec ni le Canada.

Nous communiquons des renseignements hors du Québec seulement si l'ÉFVP conclut qu'ils seront protégés adéquatement, et selon une entente écrite qui en tient compte. Le responsable approuve et date chaque ÉFVP. Version en vigueur : 1.0, 8 novembre 2026.

9. Ententes écrites avec nos fournisseurs

Nous revoyons ces ententes à chaque ÉFVP.

10. Révision de cette politique

Le responsable revoit cette politique chaque année et avant tout changement de fournisseur ou de modèle. Chaque version est approuvée et datée, puis publiée sur cette page.