Traitement des données et confidentialité

Cette page résume les engagements que devrait contenir une annexe de traitement des données (« DPA ») entre DrivingOps et une école cliente. Elle ne remplace pas un DPA signé et n'ajoute pas à elle seule des obligations contractuelles.

1. Parties et rôles

Pour les données que l'école saisit dans le service, l'école est normalement l'organisation responsable ou le responsable du traitement, et DrivingOps agit comme fournisseur de services ou sous-traitant. La qualification exacte dépend de la loi et de l'activité concernée.

2. Objet, durée et instructions

Nous traitons les données pendant la durée du service et la période de retour, suppression ou conservation convenue, uniquement pour fournir, sécuriser, maintenir et soutenir DrivingOps, selon l'entente, la configuration du client et ses instructions documentées. Nous aviserons le client si une instruction nous semble contraire à la loi applicable.

3. Personnes et catégories de données

Les personnes peuvent comprendre les propriétaires, employés, moniteurs, élèves, parents, tuteurs, prospects et contacts de soutien. Les données peuvent comprendre l'identité, les coordonnées, le compte, l'inscription, l'horaire, la présence, la progression, les communications, les factures, les documents, les consentements, les notes nécessaires, les journaux et les identifiants techniques.

4. Confidentialité

Nous traitons les données client comme confidentielles. L'accès est limité aux personnes et fournisseurs qui en ont besoin pour leurs tâches et qui sont soumis à des obligations de confidentialité. Nous ne vendons pas les données client, ne les utilisons pas pour la publicité comportementale et n'utilisons pas les dossiers d'élèves pour entraîner des modèles généraux appartenant à des tiers.

5. Mesures de sécurité

Les mesures sont proportionnées au risque et comprennent, selon l'environnement, le chiffrement en transit et au repos, l'isolation logique des locataires, les rôles et permissions, les identités gérées, la gestion des secrets, les journaux, les sauvegardes, la surveillance, les contrôles de changement et la réponse aux incidents. Consultez l'aperçu de la sécurité.

6. Sous-traitants ultérieurs

Nous pouvons utiliser des sous-traitants pour fournir le service. Nous demeurons responsables de leur encadrement contractuel et leur imposons des obligations pertinentes. La liste actuelle se trouve sur la page des sous-traitants. Le mécanisme d'avis et d'objection est défini dans le DPA signé.

7. Transferts hors Québec ou hors Canada

Les charges principales sont conçues pour le Canada, mais certains fournisseurs ou fonctions facultatives peuvent traiter des données ailleurs. Nous fournissons au client les renseignements raisonnablement nécessaires à son évaluation des facteurs relatifs à la vie privée et mettons en place les garanties contractuelles requises.

8. Demandes des personnes

Lorsque nous recevons une demande portant sur des données sous la responsabilité d'une école, nous la transmettons à l'école, sauf interdiction légale. Nous aidons raisonnablement l'école à répondre aux demandes d'accès, de rectification, de retrait, de portabilité, de suppression ou d'information sur une décision automatisée.

9. Incidents de confidentialité

Après avoir confirmé un incident touchant les données client, nous avisons le client sans délai indu selon le DPA et lui communiquons les renseignements disponibles pour l'aider à évaluer les risques, tenir son registre, aviser les personnes ou autorités et atténuer les effets. Nous ne faisons pas de déclaration publique au nom du client sans autorisation, sauf obligation légale.

10. Aide à la conformité

Compte tenu de la nature du service et des renseignements disponibles, nous aidons raisonnablement le client pour les évaluations de facteurs relatifs à la vie privée, la sécurité, les incidents et les consultations réglementaires applicables. Les demandes extraordinaires peuvent être soumises à des frais convenus.

11. Audit et renseignements

Nous fournissons des renseignements raisonnables démontrant le respect du DPA, comme les politiques, résumés de contrôles ou rapports disponibles. Les modalités d'un audit, y compris la confidentialité, le préavis, la portée, la fréquence et les coûts, sont définies dans le DPA signé.

12. Retour et suppression

À la fin du service, le client peut exporter les données selon l'entente. Nous supprimons ou anonymisons ensuite les données, sauf celles devant être conservées par la loi, pour un litige ou pendant le cycle normal des sauvegardes. Les données conservées demeurent protégées et ne sont pas utilisées à d'autres fins.

13. Obligations du client

Le client doit avoir l'autorité et la base juridique nécessaires, fournir les avis, gérer les consentements, configurer les accès, limiter les données et définir les calendriers de conservation applicables. Il demeure responsable de ses décisions et de ses obligations envers les personnes concernées.

14. Demander le DPA

Pour demander le DPA complet, les mesures techniques ou la liste applicable à votre environnement, écrivez à hello@drivingops.ca.