Politique de gouvernance des renseignements personnels
Entrée en vigueur : 10 octobre 2026 · Labontech inc. (RestoManager)
1. Objet et portée
Cette politique décrit comment Labontech inc. protège les renseignements personnels tout au long de leur cycle de vie, de la collecte à la destruction. Elle répond à l'article 3.2 de la Loi sur la protection des renseignements personnels dans le secteur privé.
Elle s'applique :
- à tous les renseignements personnels que Labontech détient, y compris ceux traités dans RestoManager pour le compte de ses clients;
- à toutes les personnes qui travaillent pour Labontech, y compris les contractuels;
- aux fournisseurs qui traitent des renseignements pour nous, par l'entremise de leur contrat.
Elle complète notre Politique de confidentialité, qui explique aux utilisateurs quels renseignements nous recueillons et quels sont leurs droits.
2. Responsable de la protection des renseignements personnels
La personne ayant la plus haute autorité chez Labontech exerce la fonction de responsable de la protection des renseignements personnels, comme le prévoit la loi. Elle a délégué par écrit une partie de cette fonction à deux membres de l'équipe, qui la secondent et la remplacent en son absence.
Le responsable :
- approuve les politiques et pratiques de gouvernance des renseignements personnels;
- reçoit et traite les demandes d'accès, de rectification et les plaintes;
- dirige la gestion des incidents de confidentialité et tient le registre des incidents;
- approuve les évaluations des facteurs relatifs à la vie privée;
- veille à la formation de l'équipe.
Pour joindre le responsable : confidentialite@restomanager.ca
3. Rôles et responsabilités
Chaque personne qui touche à des renseignements personnels a un rôle défini, de la collecte à la destruction.
| Qui | Responsabilités |
|---|---|
| Responsable de la protection | Approuve les politiques, décide des avis en cas d'incident, tient le registre des incidents, approuve les évaluations des facteurs relatifs à la vie privée. |
| Membres désignés | Traitent les demandes et les plaintes au quotidien, coordonnent la réponse aux incidents, remplacent le responsable en son absence. |
| Toute l'équipe | Accède seulement aux renseignements dont elle a besoin pour son travail, signale sans délai tout incident soupçonné, suit la formation, respecte son engagement de confidentialité. |
| Équipe de développement | Intègre la protection dès la conception, règle par défaut les paramètres de confidentialité au niveau le plus élevé, applique les durées de conservation dans le logiciel. |
| Fournisseurs | Traitent les renseignements seulement selon nos instructions et leur contrat, les protègent, nous avisent de tout incident. |
| Clients employeurs | Décident des renseignements qu'ils recueillent sur leurs employés, les informent de l'utilisation de RestoManager, répondent à leurs demandes avec notre aide. |
4. Collecte, utilisation et communication
Nous recueillons seulement les renseignements nécessaires aux fins annoncées, et nous ne les vendons pas.
- Collecte. Nous informons les personnes au moment de la collecte : fins, moyens, droits et coordonnées du responsable. Les paramètres de confidentialité de l'application sont désactivés par défaut.
- Consentement. Nous demandons un consentement manifeste, libre et éclairé, donné à des fins précises. Pour un renseignement sensible, le consentement est exprès. Nous conservons une trace des consentements.
- Utilisation. Nous utilisons un renseignement seulement aux fins pour lesquelles il a été recueilli, sauf consentement ou exception prévue par la loi.
- Décisions automatisées. Quand une décision est fondée exclusivement sur un traitement automatisé, nous en informons la personne et elle peut demander qu'une personne la révise.
- Fournisseurs. Chaque fournisseur qui traite des renseignements pour nous est lié par un contrat écrit. Ce contrat précise les mesures de protection, limite l'utilisation au mandat, prévoit la destruction à la fin du contrat et l'avis de tout incident.
- Communication hors du Québec. Avant de communiquer un renseignement hors du Québec, nous faisons une évaluation des facteurs relatifs à la vie privée (section 7) et nous encadrons la communication par une entente écrite.
5. Conservation et destruction
Nous gardons chaque renseignement le temps nécessaire à ses fins ou exigé par la loi, puis nous le détruisons ou le rendons anonyme. Les durées précises figurent à la section 10 de notre Politique de confidentialité.
- Application automatique. Le logiciel applique lui-même les durées de conservation : une tâche planifiée efface ou anonymise les renseignements arrivés à échéance.
- Décisions. Un renseignement utilisé pour prendre une décision au sujet d'une personne est conservé au moins un an après cette décision.
- Destruction. Les données sont effacées de façon sécurisée. Les copies de secours sont remplacées automatiquement dans un délai de 35 jours. Les supports retirés du service sont effacés de façon sécurisée ou détruits.
- Anonymisation. Nous anonymisons un renseignement seulement selon les meilleures pratiques généralement reconnues et les critères prévus par règlement, de façon qu'il ne permette plus, de façon irréversible, d'identifier la personne.
- Fin d'abonnement. Un client qui met fin à son abonnement dispose de 90 jours pour exporter ses données. Nous les supprimons ensuite, sauf ce que la loi nous oblige à garder.
6. Sécurité et gestion des accès
L'accès aux renseignements personnels est limité aux personnes qui en ont besoin pour leur travail, et il est journalisé.
- Moindre privilège. Chaque membre de l'équipe reçoit seulement les accès nécessaires à ses tâches. L'accès aux données de production est réservé à quelques personnes désignées.
- Authentification. Tous les comptes internes utilisent l'authentification multifacteur.
- Revue des accès. Nous revoyons les accès chaque trimestre. Nous retirons les accès d'une personne le jour de son départ.
- Chiffrement. Les renseignements sont chiffrés en transit et au repos. Le NAS et les coordonnées bancaires font l'objet d'un chiffrement supplémentaire et sont masqués à l'affichage.
- Confidentialité. Chaque membre de l'équipe signe un engagement de confidentialité avant d'obtenir un accès.
- Journalisation. Les accès aux renseignements sensibles sont consignés et peuvent être vérifiés.
7. Évaluations des facteurs relatifs à la vie privée
Nous évaluons les risques pour la vie privée avant de lancer un projet ou une communication qui touche des renseignements personnels.
Quand. Nous faisons une évaluation :
- avant tout projet d'acquisition, de développement ou de refonte d'un système d'information ou d'un service électronique qui implique des renseignements personnels;
- avant de communiquer des renseignements personnels hors du Québec, y compris à un nouveau fournisseur.
Comment. L'évaluation est proportionnée à la sensibilité des renseignements, à la finalité, à la quantité, à la répartition et au support. Elle examine la nécessité des renseignements, les risques et les mesures pour les réduire. Pour une communication hors du Québec, elle tient aussi compte du régime juridique de l'endroit et des mesures contractuelles.
Qui. L'équipe responsable du projet rédige l'évaluation dès le début. Le responsable de la protection l'approuve et peut exiger des mesures. Nous la conservons et la mettons à jour quand le projet change.
8. Incidents de confidentialité
Un incident de confidentialité est un accès, une utilisation ou une communication non autorisés d'un renseignement personnel, ou sa perte. Nous le traitons en cinq étapes.
- Signaler. Toute personne de l'équipe qui soupçonne un incident le signale immédiatement au responsable de la protection.
- Contenir. Nous prenons sans délai des mesures raisonnables pour diminuer le risque de préjudice et éviter qu'un incident semblable se reproduise.
- Évaluer. Nous évaluons s'il existe un risque de préjudice sérieux, selon la sensibilité des renseignements, les conséquences possibles de leur utilisation et la probabilité qu'ils soient utilisés à des fins préjudiciables.
- Aviser. S'il y a un risque de préjudice sérieux, nous avisons avec diligence et par écrit la Commission d'accès à l'information et les personnes concernées. Quand l'incident touche les renseignements d'un client, nous l'avisons sans délai, au plus tard 72 heures après en avoir pris connaissance, et nous l'aidons à faire ses propres avis.
- Consigner. Nous inscrivons chaque incident au registre des incidents, même sans risque de préjudice sérieux. Nous tenons ce registre à jour et le conservons au moins 5 ans après la prise de connaissance de l'incident.
9. Plaintes et demandes
Toute personne peut exercer ses droits ou déposer une plainte en écrivant à confidentialite@restomanager.ca, ou en laissant un message au +1 581 706-5568. Le service est gratuit, en français ou en anglais.
| Demande | Accusé de réception | Réponse écrite |
|---|---|---|
| Accès, rectification ou autre droit | À la réception | Dans les 30 jours |
| Plainte sur le traitement des renseignements | Dans les 5 jours ouvrables | Dans les 30 jours |
- Identité. Nous pouvons vérifier l'identité de la personne avant de répondre.
- Dossier d'emploi. Une demande qui porte sur un dossier que nous traitons pour un employeur est transmise à cet employeur sans délai. Nous l'aidons à y répondre.
- Traitement d'une plainte. Un membre désigné examine les faits, propose une solution et le responsable approuve la réponse. Nous consignons chaque plainte et sa résolution.
- Recours. Si la réponse ne satisfait pas la personne, elle peut s'adresser à la Commission d'accès à l'information. Une demande de révision d'un refus d'accès ou de rectification doit être faite dans les 30 jours suivant le refus.
10. Formation et sensibilisation
Chaque membre de l'équipe est formé avant d'obtenir un accès à des renseignements personnels, puis chaque année.
La formation couvre :
- cette politique et la politique de confidentialité;
- comment reconnaître et signaler un incident de confidentialité;
- les bonnes pratiques de sécurité (mots de passe, hameçonnage, appareils);
- comment réagir à une demande d'une personne concernée.
Nous donnons aussi un rappel après un incident ou un changement important de nos pratiques.
11. Révision et nous joindre
Nous revoyons cette politique chaque année et après tout changement important : nouvelle loi, nouveau fournisseur, nouvelle fonction ou incident. Le responsable de la protection approuve chaque version, et la date d'entrée en vigueur est indiquée en haut de la page.
Pour toute question sur cette politique :
- Courriel : confidentialite@restomanager.ca
- Téléphone : +1 581 706-5568 (messagerie vocale)