Qui répond de vos renseignements, et comment

Responsable de la protection des renseignements personnels

Conformément à l'article 3.1, la personne ayant la plus haute autorité au sein de l'entreprise exerce elle-même cette fonction. Nous avons fait ce choix délibérément : la protection des renseignements personnels n'est pas une tâche déléguée au bas d'un organigramme, c'est une responsabilité de direction.

Rôles et responsabilités

Cycle de vie des renseignements

1. Collecte : uniquement ce qui est nécessaire (art. 4 et 5), avec une information claire au moment de la collecte (art. 8) et un consentement distinct par fin (art. 14).
2. Utilisation : aux seules fins annoncées (art. 12), avec les paramètres les plus protecteurs par défaut (art. 9.1).
3. Communication : au courtier qui reçoit la demande, et aux fournisseurs de services dans la mesure nécessaire (art. 13, 17 et 18.3).
4. Conservation : la durée annoncée à la saisie est la durée appliquée. Voir le tableau des durées dans notre politique de confidentialité.
5. Destruction : automatique à l'échéance, ou sur demande ; les renseignements sont supprimés, puis la clé de chiffrement qui les protégeait est détruite quand plus rien ne doit en survivre. Seules des statistiques anonymisées subsistent (art. 23).

Les comptes des courtiers et de leurs équipes

• Un courtier qui part (abonnement terminé ou compte fermé) garde ses données : s'il revient, il retrouve tout. Sans retour, son compte et ses données sont supprimés 5 ans après son départ, avec un avis 30 jours avant.
• Un membre d'équipe sans équipe active ni connexion depuis 2 ans est supprimé de la même façon, avec le même avis.
• Sur demande, un compte est supprimé sans attendre.
• La suppression est définitive : l'identité est effacée et sa clé détruite ; il ne reste qu'un identifiant qui ne désigne plus personne, pour que l'historique tienne (l'interface affiche « Membre supprimé »). Les dossiers clients qu'un courtier doit conserver par la loi restent, sous leur propre clé, jusqu'à la fin de l'obligation.

Incidents de confidentialité

Un incident de confidentialité, c'est un accès, une utilisation ou une communication non autorisés, ou la perte d'un renseignement personnel. Notre procédure écrite applique les articles 3.5 à 3.8 et le Règlement sur les incidents de confidentialité. La plateforme surveille elle-même les signes d'une atteinte (un renseignement chiffré qui refuse de s'ouvrir, une clé illisible, un journal d'audit altéré) et ouvre alors d'office une entrée à évaluer. Notre responsable évalue toute alerte et tout signalement le jour même. Puis :

1. Contenir : prendre sans délai les mesures raisonnables pour diminuer le risque qu'un préjudice soit causé et éviter que l'incident se reproduise.
2. Évaluer : déterminer s'il existe un risque de préjudice sérieux, en tenant compte de la sensibilité des renseignements, des conséquences appréhendées de leur utilisation et de la probabilité qu'ils soient utilisés à des fins préjudiciables.
3. Aviser : s'il existe un risque de préjudice sérieux, aviser avec diligence la Commission d'accès à l'information et chaque personne concernée, ainsi que les courtiers responsables des renseignements touchés.
4. Consigner : inscrire chaque incident au registre des incidents, qu'il présente ou non un risque de préjudice sérieux : les renseignements visés, les circonstances, les dates, le nombre de personnes, l'évaluation du risque, les avis donnés et les mesures prises. Le registre est chiffré, et chaque entrée est conservée 5 ans après la connaissance de l'incident.

Pour signaler un incident ou une vulnérabilité, écrivez à support@conversion.realestate, objet « Sécurité ». Nous remercions les personnes qui nous signalent de bonne foi un problème de sécurité et ne prendrons aucune mesure contre elles.

Traitement des plaintes

Toute plainte relative à la protection de vos renseignements est adressée à notre responsable. Elle reçoit un accusé de réception, est examinée par lui, et fait l'objet d'une réponse écrite et motivée dans les 30 jours. Si la réponse ne vous satisfait pas, vous pouvez vous adresser à la Commission d'accès à l'information du Québec.

Pourquoi nous prenons cela au sérieux

La Loi prévoit des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial (art. 90.12), et des amendes pénales pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial (art. 91). Ce n'est pas ce qui nous motive. Ce qui nous motive, c'est qu'une adresse, un numéro de téléphone et un projet de déménagement, mis entre de mauvaises mains, suffisent à cibler une famille. Les sanctions disent simplement que le législateur a mesuré, comme nous, ce qui est en jeu.

Historique des modifications