Politique de confidentialité

Qui traite vos renseignements

Le site groupitcs.ca est exploité par Information Technologie Cyber Sécurité Inc., qui fait affaire sous le nom Groupe ITCS. L'entreprise est immatriculée au registre des entreprises du Québec sous le NEQ 1178764289 et son établissement est situé au 1700-2001, boulevard Robert-Bourassa, Montréal (Québec) H3A 2A6, Canada.

Toute question, demande d'accès ou plainte relative à vos renseignements personnels s'adresse au responsable désigné dans l'entreprise.

• Titre : Responsable de la protection des renseignements personnels
• Courriel : [email protected]
• Téléphone : +1 (438) 701-0624
• Adresse postale : 1700-2001, boulevard Robert-Bourassa, Montréal (Québec) H3A 2A6, Canada

Ce que nous recueillons

Nous recueillons les renseignements que vous nous transmettez vous-même, uniquement ceux qui servent à traiter votre demande, ainsi que les données de navigation décrites à la section Témoins et traceurs.

Le site ne comporte ni compte utilisateur, ni paiement, ni espace client, et il ne diffuse aucune publicité.

Ne transmettez jamais par formulaire un mot de passe, une clé d'accès, un numéro de carte ou une preuve technique liée à un incident en cours. Pour ces éléments, nous convenons avec vous d'un canal approprié.

• Formulaire de contact : votre nom, votre adresse de courriel, votre message et votre consentement.
• Formulaire de rappel de l'assistant : les mêmes champs, auxquels s'ajoute un numéro de téléphone facultatif.
• Formulaire du document SOC 360 : votre prénom, votre nom, votre courriel professionnel, votre entreprise, le nombre de postes et serveurs à protéger et un numéro de téléphone facultatif.
• Données de navigation : pages consultées, page de provenance, type d'appareil et de navigateur, adresse IP, recueillies par les outils décrits à la section Témoins et traceurs.
• Page d'origine de la demande, pour situer le contexte de votre question.
• Adresse IP et horodatage de l'envoi, utilisés le temps de la requête pour limiter le débit et écarter les soumissions automatisées.

Pourquoi nous le recueillons

Vos renseignements servent uniquement aux finalités suivantes.

Les champs marqués obligatoires sont ceux sans lesquels nous ne pouvons pas répondre. Vous consentez à la transmission en envoyant le formulaire, après avoir coché la case prévue à cet effet lorsqu'il en comporte une, et vous pouvez retirer ce consentement à tout moment.

• répondre à votre demande et vous rappeler;
• vous remettre le document que vous avez demandé;
• mesurer la fréquentation du site et connaître les organisations qui le consultent;
• préparer une proposition de service et, le cas échéant, exécuter le mandat que vous nous confiez;
• protéger le site contre les envois abusifs et automatisés;
• respecter nos obligations légales, comptables et professionnelles.

Ce que nous ne faisons pas

Ces engagements ne dépendent d'aucun réglage de votre part : ils décrivent le fonctionnement normal du site.

• Nous ne vendons, ne louons et n'échangeons aucun renseignement personnel.
• Nous n'envoyons ni infolettre ni courriel de prospection. Vous ne recevez de nous que les réponses à vos propres demandes.
• Nous n'utilisons pas vos renseignements pour de la publicité ciblée.
• Nous n'achetons pas de listes et nous n'enrichissons pas votre dossier avec des renseignements obtenus auprès de tiers.

Fournisseurs qui interviennent

Le fonctionnement du site repose sur les fournisseurs ci-dessous. Chacun n'accède qu'aux renseignements nécessaires à son rôle et ne peut les utiliser à d'autres fins.

Les messages du formulaire de contact et de l'assistant transitent par un service d'acheminement que nous exploitons nous-mêmes avant d'être expédiés vers nos boîtes professionnelles. Le formulaire du document SOC 360 est transmis directement à HubSpot, notre outil de gestion de la relation client. Aucune clé d'accès à ces services ne se trouve dans votre navigateur.

Nous communiquons également des renseignements lorsque la loi nous y oblige, notamment sur ordonnance d'un tribunal, en nous limitant alors à ce qui est exigé.

• Cloudflare, Inc. : hébergement et diffusion du site, exécution de la fonction serveur qui reçoit les formulaires (États-Unis).
• Netlify, Inc. : hébergement du site connexe virementfrauduleux.com (États-Unis).
• Brevo : expédition des courriels de notification vers notre équipe (France, Union européenne).
• HubSpot, Inc. : gestion de la relation client : réception du formulaire du document SOC 360 et mesure de la fréquentation du site (États-Unis).
• Apollo.io : identification des organisations qui consultent le site (États-Unis).

Communication hors Québec

L'hébergement du site, l'expédition des courriels, la gestion de la relation client et la mesure de la fréquentation reposent sur des fournisseurs établis aux États-Unis et dans l'Union européenne. Vos renseignements peuvent donc être traités et conservés hors du Québec, où ils relèvent des lois locales, y compris des demandes que les autorités de ces pays peuvent adresser à un fournisseur.

Si cette communication vous pose problème, le téléphone reste une voie de contact qui n'emprunte aucun formulaire.

Combien de temps nous les gardons

Nous conservons les renseignements le temps nécessaire aux finalités annoncées, puis nous les détruisons ou les anonymisons.

Les délais qui dépassent la durée du mandat répondent à nos obligations fiscales et professionnelles ainsi qu'aux délais de prescription applicables en droit civil québécois.

• Demande de contact restée sans suite commerciale : 24 mois à compter du dernier échange.
• Dossier de mandat et livrables remis à un client : 7 ans après la fin du mandat.
• Preuve du consentement recueilli sur un formulaire : durée de la relation, puis 3 ans.
• Journaux techniques et de sécurité de l'hébergement : 12 mois au plus.

Comment nous les protégeons

Les mesures suivantes encadrent les renseignements que vous nous confiez.

Aucune mesure ne rend un système inviolable. Lorsqu'un incident survient, nous appliquons la procédure décrite plus bas.

• l'ensemble du site est servi en HTTPS, et la fonction qui reçoit les formulaires refuse les requêtes provenant d'une autre origine que nos domaines;
• la taille des envois est plafonnée, un délai minimal de saisie et un piège à robots écartent les soumissions automatisées, et le débit est limité par adresse;
• aucune clé d'accès à un service tiers n'est déposée dans votre navigateur;
• l'accès aux boîtes qui reçoivent les demandes est restreint aux personnes qui en ont besoin et protégé par une authentification à plusieurs facteurs;
• les dossiers de mandat sont chiffrés et leurs accès sont journalisés.

Témoins et traceurs

Chaque page du site charge le code de suivi de HubSpot et le traceur de visiteurs d'Apollo. Ils servent à mesurer la fréquentation du site et à connaître les organisations qui le consultent. Le site ne diffuse aucune publicité.

HubSpot dépose des témoins (hubspotutk, __hstc, __hssc, __hssrc) qui distinguent un navigateur d'un autre et retiennent les pages consultées, pendant six mois au plus, et écrit des données de mesure dans le stockage de votre navigateur. Si vous remplissez le formulaire du document SOC 360, ces pages sont rattachées à votre fiche de contact.

Apollo écrit un identifiant anonyme dans le stockage local de votre navigateur et transmet les pages consultées à ses serveurs pour déterminer l'organisation d'où provient la visite. Il peut faire appel à LiveIntent (États-Unis), qui associe alors votre navigateur à une empreinte chiffrée d'adresse courriel.

Notre hébergeur peut déposer un témoin strictement technique servant à distinguer un visiteur d'un robot. Il ne sert ni à la publicité, ni au profilage, ni au suivi d'un site à l'autre.

Vous pouvez refuser ces témoins et effacer le stockage du site dans les réglages de votre navigateur, ou y bloquer les domaines de ces outils : le site reste entièrement consultable.

Assistant du site et traitement automatisé

L'assistant répond à partir de règles et de réponses rédigées à l'avance, tirées des pages publiées. Il ne fait appel à aucun modèle de langage externe et n'envoie votre question à aucun serveur.

La conversation reste dans l'onglet de votre navigateur et disparaît lorsque vous le fermez. Rien n'est transmis tant que vous ne remplissez pas volontairement le formulaire de rappel.

Aucune décision produisant un effet juridique ou un effet significatif à votre égard n'est prise sur le seul fondement d'un traitement automatisé. Une personne de l'équipe lit chaque demande et y répond.

Vos droits

La Loi 25 et la Loi sur la protection des renseignements personnels et les documents électroniques vous reconnaissent les droits suivants, que vous exercez sans frais auprès du responsable.

Nous répondons dans les 30 jours de la réception de votre demande. Si notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès de l'autorité compétente.

• accéder aux renseignements que nous détenons sur vous et en obtenir copie;
• les faire rectifier lorsqu'ils sont inexacts, incomplets ou équivoques;
• retirer votre consentement et demander que nous cessions de les utiliser;
• en demander la suppression lorsque leur conservation n'est plus justifiée;
• recevoir dans un format technologique structuré et couramment utilisé les renseignements informatisés que vous nous avez fournis;
• demander la désindexation d'un hyperlien qui donne accès à vos renseignements lorsque les conditions prévues par la loi sont réunies.

Incidents de confidentialité

Nous tenons un registre des incidents de confidentialité. Lorsqu'un incident présente un risque qu'un préjudice sérieux vous soit causé, nous en avisons avec diligence la Commission d'accès à l'information et les personnes concernées, puis nous prenons les mesures pour réduire le risque et éviter qu'il se reproduise.

Gouvernance interne

Des politiques internes encadrent le cycle de vie des renseignements personnels dans notre entreprise.

La version détaillée de ces politiques est remise sur demande au responsable.

• un responsable désigné, dont le titre et les coordonnées figurent en tête de cette page;
• une règle de minimisation : nous ne demandons que les renseignements nécessaires à la finalité annoncée;
• des rôles et des accès attribués selon le besoin d'en connaître;
• des durées de conservation et une procédure de destruction, décrites plus haut;
• un registre des incidents et une procédure de traitement des plaintes, avec réponse dans les 30 jours.

Personnes mineures

Nos services s'adressent à des organisations. Nous ne sollicitons pas de renseignements auprès de personnes de moins de 14 ans et nous détruisons ceux qui nous parviendraient par erreur.

Modifications

Cette politique peut être modifiée à la suite d'un changement de service, de fournisseur ou d'obligation légale. La version en vigueur est celle publiée sur cette page, et un changement important est signalé sur le site.