Politique de confidentialité

L’objectif de la présente politique est d’assurer la protection des Renseignements personnels détenus par Groupe Canam inc. et ses filiales (ci-après « Canam »). Canam accorde une importance primordiale aux rapports qu'elle entretient avec ses employés, ses clients et ses partenaires d’affaires et s'engage à protéger les Renseignements personnels qu'elle détient à leur sujet, et ce, conformément aux lois applicables (ci-après collectivement appelées la « Loi »), notamment la Loi sur la protection des renseignements personnels dans le secteur privé (Québec), telle qu’elle est modifiée par la Loi modernisant des dispositions législatives en matière de protection des Renseignements personnels dans le secteur privé.

DÉFINITIONS

Dans la présente politique, à moins que le contexte n’indique un sens différent, on entend par :

Renseignement personnel : s’entend d’un renseignement qui permet d'identifier, directement ou indirectement, une personne, par exemple son adresse civique, son adresse de courriel personnelle, son numéro de téléphone personnel, sa date de naissance, son numéro d’assurance sociale. Ne sont pas considérés comme des Renseignements personnels, les coordonnées d’affaires, incluant le nom, le titre et la fonction d'un employé, son lieu de travail, son adresse de courriel et son numéro de téléphone professionnel.

Incident de confidentialité : s’entend de l’accès non autorisé par la Loi à un Renseignement personnel, de l’utilisation ou de la communication non autorisée par la Loi d’un Renseignement personnel, de la perte d’un Renseignement personnel ou encore de toute autre atteinte à la protection d’un tel renseignement. Pour plus de clarté, les exemples suivants seraient considérés comme des Incidents de confidentialité : l’envoi d’un courriel contenant des Renseignements personnels à la mauvaise personne; le vol ou la perte d’un ordinateur, d’une tablette ou d’un téléphone cellulaire utilisé à des fins professionnelles; la perte de données provoquées par un virus, une faille informatique ou une erreur humaine; la consultation, l’extraction ou la communication non autorisées de Renseignements personnels; l’utilisation d’un Renseignement personnel à des fins autres que celles pour lesquelles il a été recueilli ou que celles auxquelles la personne concernée a consenti; l’attaque par rançongiciel; l’intrusion dans le système informatique de Canam; l’intrusion dans un ordinateur, une tablette ou un cellulaire utilisé à des fins professionnelles.

Renseignement personnel anonymisé : s’entend d’un Renseignement personnel qui ne permet plus, en tout temps et de façon irréversible, d’identifier directement ou indirectement une personne.

Renseignement personnel dépersonnalisé : s’entend d’un renseignement qui ne permet plus d’identifier directement la personne concernée.

Renseignement personnel sensible : s’entend d’un renseignement qui, de par sa nature, par exemple médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou de sa communication, suscite un haut degré d’attente raisonnable en matière de vie privée.

Tiers : s’entend de toute personne qui est externe à Canam.

Transaction commerciale : s’entend de l’aliénation ou de la location, en tout ou en partie, d’une entreprise ou des actifs dont elle dispose, d’une modification de sa structure juridique par fusion ou autrement.

RESPONSABILITÉ DE LA PROTECTION DES RENSEIGNEMENTS PERSONNELS

Canam est responsable de la protection de tous les Renseignements personnels qu'elle a en sa possession ou sous sa garde et dont elle assure la gestion. Ce faisant, Canam s’engage à prendre les mesures de sécurité appropriées afin d’assurer la protection des Renseignements personnels qu’elle a en sa possession. Des informations supplémentaires sur les mesures de sécurité appliquées aux Renseignements personnels se trouvent à la Politique de sécurité des technologies de l’information de Canam.

Cette responsabilité relève principalement du responsable de la protection des Renseignements personnels qui, dans l’exercice de ses fonctions, est appuyé par le Service des affaires juridiques de Canam et par tout autre service concerné, notamment les Services des TI, des RH et du marketing, qui sont les services qui recueillent et gèrent la grande majorité des Renseignements personnels pour Canam.

Annie Vézina, directrice, affaires juridiques et secrétaire corporative, occupe la fonction de responsable de la protection des renseignements personnels pour Canam et ses filiales.

RENSEIGNEMENTS PERSONNELS RECUEILLIS PAR CANAM ET OBJECTIFS DE CETTE COLLECTE DE RENSEIGNEMENTS

Canam est susceptible de recueillir, utiliser et divulguer, notamment à ses filiales, les Renseignements personnels suivants de ses employés, et de ses administrateurs :

nom;
adresse;
adresse de courriel personnelle;
numéro de téléphone;
date de naissance;
état civil;
sexe;
langues parlées;
informations bancaires;
numéro d’assurance sociale;
autres informations de nature fiscale;
bénéficiaires;
curriculum Vitae;
matricule (numéro d’employé);
rapport d’antécédents criminels (uniquement pour ceux qui postulent à certains types d’emploi);
informations médicales;
numéro de carte de fidélité (pour les clients du Programme de fidélité Canam);
profils psychométriques;
numéro de passeport;
permis de conduire.

Canam recueille, utilise et divulgue des Renseignements personnels sur ses employés, notamment pour les raisons suivantes :

administrer les activités de Canam;
gérer les programmes de rémunération et d'avantages sociaux;
élaborer et gérer les services aux employés;
répondre aux exigences imposées par la Loi.

Lorsque Canam recueille des Renseignements personnels, elle informera les personnes concernées :

des fins auxquelles les renseignements sont recueillis;
des droits d’accès et de rectification prévus par la Loi, incluant le retrait du consentement;
des catégories de Tiers, dont les fournisseurs de services, à qui il est nécessaire de communiquer les Renseignements personnels;
le cas échéant, de la possibilité que les Renseignements personnels recueillis soient communiqués à l’extérieur du Québec.

COMMUNICATION DES RENSEIGNEMENTS PERSONNELS

Sous réserve des exceptions décrites ci-bas, Canam s’engage à ne pas divulguer, vendre ou communiquer des Renseignements personnels à des Tiers sans le consentement des personnes concernées.

Canam peut communiquer certains Renseignements personnels à ses fournisseurs de services, ces derniers étant parfois situés à l’extérieur de la province de Québec. Ces fournisseurs de services, notamment des fournisseurs de logiciels qui sont appelés à traiter des Renseignements personnels incluent des :

fournisseurs de logiciels informatiques, par exemple, pour traiter la paie des employés;
institutions financières;
gouvernements;
firmes d’actuaires;
firmes d’assurances;
firmes externes offrant des services de télémédecine;
firmes d’avocats;
syndicats;
plateformes de commerce électronique.

Nonobstant ce qui précède, Canam peut, sans le consentement de la personne concernée, communiquer à un Tiers et utiliser les Renseignements personnels qui sont nécessaires et permis par la Loi, notamment :

à son Service des affaires juridiques et à ses services juridiques externes;
au directeur des poursuites criminelles et pénales si le renseignement est requis aux fins d’une poursuite pour infraction à une loi;
à une personne ou à un organisme chargé en vertu de la loi de prévenir, détecter ou réprimer le crime ou les infractions aux lois, qui le requiert dans l’exercice de ses fonctions, si le renseignement est nécessaire pour la poursuite d’une infraction à une loi;
à une personne à qui il est nécessaire de communiquer le renseignement dans le cadre d’une loi ou pour l’application d’une convention collective;
à un organisme public au sens de la Loi sur l’accès aux documents des organismes publics et sur la protection des Renseignements personnels (Québec) qui, par l’entremise d’un représentant, le recueille dans l’exercice de ses attributions ou la mise en œuvre d’un programme dont il a la gestion;
à une personne ou à un organisme ayant pouvoir de contraindre à leur communication et qui les requiert dans l’exercice de ses fonctions;
à une personne à qui cette communication doit être faite en raison d’une situation d’urgence mettant en danger la vie, la santé ou la sécurité de la personne concernée;
à une personne ou à un organisme, dans le cadre d’un mandat ou d’un contrat de service et dans le cadre d’une Transaction commerciale;
à une personne qui peut utiliser ce renseignement à des fins d’étude, de recherche ou de statistique conformément à une loi, à condition que soit menée une évaluation des facteurs relatifs à la vie privée avant d’effectuer une telle communication;
à une personne qui, en vertu d’une loi, peut recouvrer des créances pour Canam et qui le requiert à cette fin dans l’exercice de ses fonctions.

ÉVALUATION DES FACTEURS RELATIFS À LA VIE PRIVÉE

Canam procédera à une évaluation des facteurs relatifs à la vie privée avant de communiquer des Renseignements personnels à l’extérieur du Québec et lors de la réalisation de projets spéciaux, dont ceux d’acquisition, de développement, de refonte de système d’information et de refonte de système de prestation électronique de services, qui impliquent la collecte, l’utilisation, la communication, la conservation ou la destruction des Renseignements personnels.

La responsable de la protection des Renseignements personnels doit être contactée dès le début d’un tel projet spécial afin de procéder à l’évaluation des facteurs relatifs à la vie privée, conjointement avec les personnes responsables de ce projet, le Service des affaires juridiques et tout autre service concerné, par exemple les Services des RH et des TI.

CONSENTEMENT

Des Renseignements personnels ne peuvent être recueillis, utilisés ou divulgués que si la personne concernée en est informée et donne son consentement. Une personne est libre de retirer son consentement en tout temps, sous réserve de restrictions de nature juridique ou contractuelle et d'un préavis raisonnable. Le consentement ne vaut que pour la durée nécessaire à la réalisation des fins auxquelles il a été demandé.

Dans certaines circonstances prévues ou imposées par la Loi, Canam pourra recueillir, utiliser ou divulguer des Renseignements personnels sans le consentement préalable de la personne concernée. Parmi ces circonstances, mentionnons :

des Renseignements personnels disponibles sur la place publique;
lorsque la collecte ou l'utilisation est clairement dans l'intérêt de la personne et que le consentement ne peut être obtenu en temps opportun;
lorsque son utilisation est nécessaire à des fins de fourniture ou de livraison d’un produit ou de prestation d’un service demandé par la personne concernée;
lorsque son utilisation est nécessaire à des fins d’étude, de recherche ou de production de statistiques et que le Renseignement personnel est dépersonnalisé;
lorsque son utilisation est nécessaire à des fins de prévention et de détection de la fraude ou d’évaluation et d’amélioration des mesures de protection et de sécurité;
lorsqu'il faut faire enquête en cas de manquement à une entente contractuelle ou de contravention à une loi;
lorsqu'il faut agir face à une urgence menaçant la vie, la santé ou la sécurité d'une personne; lorsqu'il faut se conformer à une assignation de témoin, un mandat ou une ordonnance de toute cour compétente;
lorsque son utilisation ou sa communication est nécessaire à l’exécution d’un mandat, d’un contrat de service ou d’une Transaction commerciale.

Dans ce dernier cas, Canam et l’entité avec laquelle elle réalise une telle transaction, auront, préalablement au partage de Renseignements personnels, signé une convention de confidentialité aux termes de laquelle elles se seront engagées à protéger les Renseignements personnels communiqués.

LIMITATION DE LA COLLECTE, DE L'UTILISATION, DE LA COMMUNICATION ET DE LA CONSERVATION

L'employé doit veiller à protéger les Renseignements personnels auxquels il a accès dans le cadre de son travail. Pour ce faire, l’employé ne peut pas, sans le consentement écrit de la personne concernée, accéder, utiliser, transmettre, copier ou communiquer de quelque manière que ce soit à quiconque, des Renseignements personnels dans un but autre que celui pour lequel ces renseignements ont été obtenus. De plus, il est strictement interdit d’envoyer tout document ou toute communication contenant des Renseignements personnels obtenus dans le cadre du travail à une adresse courriel personnelle, à l’adresse courriel personnelle d’un employé ou à l’adresse courriel personnelle d’un Tiers. De même, aucun Renseignement personnel ne doit être sauvegardé sur du matériel informatique personnel.

La pratique générale de Canam en matière de conservation des Renseignements personnels consiste à détruire ou anonymiser tous les Renseignements personnels, à l'exception de ceux que Canam est spécifiquement tenue de conserver, sous réserve des délais de conservation prévus par la loi. Cette pratique s'applique peu importe le support sur lequel le Renseignement personnel est conservé (support électronique, notamment dans des courriels, bases de données et autres, ou support physique, dont sur papier). Il est de la responsabilité de chaque employé et de chaque service de veiller à ce qu’aucun Renseignement personnel ne soit conservé pour une période plus longue que celle qui est prévue au calendrier de conservation des Renseignements personnels de Canam.

MESURES DE SÉCURITÉ

Canam s’engage à s’assurer de la protection des Renseignements personnels détenus au moyen de mesures adéquates sur les plans matériel, administratif et technique, notamment contre la perte ou le vol ou encore la consultation, la communication, la copie, l’utilisation ou la modification non autorisées. Parmi les mesures de protection utilisées, mentionnons des moyens matériels (notamment, des classeurs verrouillés et un accès limité aux bureaux), des mesures administratives (notamment, des autorisations sécuritaires et un accès limité) et des mesures techniques (notamment, l'usage de mots de passe, de double authentification et de chiffrement). Seuls les membres du personnel autorisé de Canam pour qui l’accès aux renseignements est nécessaire à l’exercice de leurs fonctions y auront accès. Des informations supplémentaires sur les mesures de sécurité appliquées aux Renseignements personnels se trouvent à la Politique de sécurité des technologies de l’information de Canam.

INCIDENT DE CONFIDENTIALITÉ

En cas d’Incident de confidentialité, l’employé doit immédiatement en informer son superviseur ainsi que la responsable de la protection des Renseignements personnels. La collaboration de l’employé est primordiale afin que Canam puisse appliquer son processus de gestion des Incidents de confidentialité et ainsi respecter les exigences de la Loi.

TRANSPARENCE, ACCÈS ET RECTIFICATION DES RENSEIGNEMENTS PERSONNELS

Une personne dont des Renseignements personnels sont recueillis par Canam peut demander, en s’adressant au service qui a recueilli les renseignements personnels concernés, d’être informée des Renseignements personnels recueillis auprès d’elle, des catégories de personnes qui ont accès à ces renseignements au sein de l’entreprise, ainsi que de la durée de conservation de ces renseignements. Elle peut aussi demander à Canam que lui soient communiqués, sous forme de copie, les Renseignements personnels que Canam possède à son égard.

En cas de changement à un Renseignement personnel que Canam recueille, la personne concernée doit avertir le service qui a recueilli le renseignement personnel devant être mis à jour afin que les informations que Canam possède soient exactes et à jour. Il en est de même si la personne concernée remarque que des Renseignements personnels que Canam détient sont inexacts. Pour ce faire, la personne concernée doit s’adresser par écrit au service qui a recueilli le renseignement personnel devant être modifié.

Nonobstant ce qui précède, Canam peut refuser de communiquer à une personne un Renseignement personnel la concernant lorsque la divulgation du renseignement risquerait vraisemblablement :

de nuire à une enquête menée par son service de sécurité interne ayant pour objet de prévenir, détecter ou réprimer le crime ou les infractions à la loi ou, pour son compte, par un service externe ayant le même objet ou un titulaire de permis d’agence de gardiennage ou d’agence d’investigation délivré conformément à la Loi sur la sécurité privée (Québec, chapitre S-3.5);
d’avoir un effet sur une procédure judiciaire dans laquelle l’une ou l’autre de ces personnes a un intérêt;
de révéler un Renseignement personnel sur un Tiers ou l’existence d’un tel renseignement et que cette divulgation serait susceptible de nuire sérieusement à ce Tiers, à moins que ce dernier ne consente à sa communication ou qu’il ne s’agisse d’un cas d’urgence mettant en danger la vie, la santé ou la sécurité de la personne concernée;
de révéler des renseignements confidentiels de nature commerciale.

FORMATION ET SENSIBILISATION

Chaque superviseur doit sensibiliser les membres de son équipe quant aux dispositions de la présente politique et aux conséquences d’une atteinte à la vie privée des personnes concernées, dont les employés. Il doit s’assurer, sur une base régulière, que les ressources informationnelles sont utilisées en conformité avec les principes généraux et les autres exigences de la présente politique et répondre de l’utilisation faite par son personnel des Renseignements personnels.

Le superviseur est également responsable de veiller à ce que les membres de son équipe suivent les formations sur les pratiques en matière de protection des Renseignements personnels et sur l’utilisation correcte des Renseignements personnels afin de minimiser les risques d’atteinte à la vie privée pour les personnes concernées, dont les employés.

MARCHE À SUIVRE POUR DÉPOSER UNE PLAINTE

Toute personne qui souhaite déposer une plainte, relativement à la protection des Renseignements personnels de Canam, est invitée à communiquer avec la Responsable de la protection des renseignements de Canam.

Canam fera enquête sur toutes les plaintes déposées par écrit. Si une plainte est jugée fondée, les mesures qui s'imposent seront prises, y compris, le cas échéant, l'éventuelle modification des politiques et pratiques de Canam.

MISE EN APPLICATION DE LA POLITIQUE

La responsable de la protection des Renseignements personnels est chargée de s’assurer de l’application de la présente politique.