POLITIQUE DE CONFIDENTIALITE ET
DE SÉCURITÉ DE L'INFORMATION

Entrée en vigueur le 16 novembre 2023

1. Contexte de la Politique de Confidentialité et de Sécurité de l'Information

Le Centre de ressources éducatives et communautaires pour adultes (CRÉCA) est un
organisme à but non lucratif dédié à l'éducation populaire, à l'intégration sociale et au
développement communautaire. Dans le cadre de ses activités, le CRÉCA collecte, utilise et
conserve des renseignements personnels de ses membres, employés, bénévoles, partenaires et
participants aux activités.

Avec l'évolution des technologies numériques et l'augmentation des risques liés à la
cybersécurité, la protection des renseignements personnels est devenue une priorité
essentielle pour le CRÉCA. Afin d'assurer la transparence, la sécurité et le respect des
droits des individus, cette politique a été élaborée pour établir des règles claires concernant :

• La collecte, l'utilisation et la communication des renseignements personnels
• Les mesures de protection et de sécurité des données
• Les droits des individus sur leurs informations
• La gestion des incidents et des violations de confidentialité

Cette politique est conforme aux exigences légales, notamment à la Loi 25 du Québec, qui
renforce les obligations en matière de gestion des renseignements personnels dans les
organismes privés et publics.

Le CRÉCA s'engage à former ses employés et bénévoles à la protection des données et à
mettre en place des mécanismes de contrôle pour assurer la conformité à cette politique.
Objectif principal : garantir un environnement de travail et de services où la confidentialité et
la sécurité des renseignements personnels sont respectées et protégées.

2. Définitions des termes clés

2.1 Renseignements personnels

Toute information concernant une personne physique et permettant de l'identifier  directement ou indirectement. 

Exemples : nom, adresse, téléphone, courriel, date de naissance, informations  bancaires.

2.2 Confidentialité

Principe garantissant que les renseignements personnels ne sont accessibles qu'aux  personnes autorisées et utilisées uniquement aux fins prévues. 

2.3 Consentement

Accord explicite donné par une personne pour la collecte, l'utilisation ou la  communication de ses renseignements personnels. 

Consentement éclairé : Lorsque la personne est informée de la nature des  renseignements collectés et de leur utilisation.

Consentement implicite : Lorsque la collecte et l'utilisation des renseignements sont nécessaires pour fournir un service demandé.

2.4 Incident de confidentialité

Toute situation où des renseignements personnels sont perdus, volés, consultés, utilisés  ou communiqués sans autorisation. 

Exemples: envoi d'un courriel contenant des données personnelles à la mauvaise personne, vol d'un ordinateur contenant des renseignements sensibles.

2.5 Responsable de la protection des renseignements personnels (RPRP)

Personne désignée par le CRÉCA pour assurer la conformité aux lois sur la protection  des renseignements personnels et gérer les incidents de confidentialité. 

2.6 Conservation des données

Période pendant laquelle les renseignements personnels sont stockés de manière sécurisée avant leur destruction.

2.7 Destruction sécurisée 

Processus garantissant que les renseignements personnels sont éliminés de manière  définitive et irrécupérable. 

Exemples: déchiquetage des documents papier, suppression sécurisée des fichiers  numériques.

2.8 Accès non autorisé

Consultation, modification ou suppression de renseignements personnels par une personne qui n'a pas l'autorisation d'y accéder.

2.9 Divulgation non autorisée

Communication involontaire ou intentionnelle de renseignements personnels à une personne ou à un organisme qui n'y a pas droit.

2.10 Mesures de sécurité

Moyens mis en place pour protéger les renseignements personnels contre les pertes, les  vols, les accès non autorisés et les violations de confidentialité. 

Exemples : mots de passe, contrôle des accès.

2.11 Commission d'accès à l'information du Québec (CAi)

Organisme chargé de veiller au respect des lois sur la protection des renseignements personnels au Québec et de traiter les plaintes liées à la confidentialité.

3. Objectif

Le Centre de ressources éducatives et communautaires pour adultes (CRÉCA) s'engage à  protéger les renseignements personnels de ses membres, participants, employés et partenaires.  Cette politique vise à assurer la conformité avec les lois du Québec, notamment : 

• La Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25).

• La Loi sur l'accès aux documents des organismes publics et sur la protection des  renseignements personnels.

Elle définit les principes de collecte, d'utilisation, de conservation et de destruction des  renseignements personnels. 

4. Principes généraux

Les principes qui guident les actions du CRÉCA en matière de sécurité de l'information sont  les suivants : 

• Reconnaître l'importance de la Politique et de confidentialité et de sécurité de  l'information; 
• S'assurer de bien connaître l'information à protéger, en identifier les détenteurs et leurs  caractéristiques de sécurité ; 
• Protéger le cycle de vie de l'Information; 
• S'assurer que chaque membre du personnel n'ait accès qu'à l'information  confidentielle requise pour accomplir ses tâches (caractère de nécessité) ; 
• Sensibiliser et former les utilisatrices et utilisateurs à la sécurité des actifs  informationnels, aux conséquences d'une atteinte à leur sécurité ainsi qu'à leur rôle de  leurs obligations en la matière.

5. Portée

Cette politique s'applique à toutes les personnes ayant accès aux renseignements personnels détenus par notre organisme, incluant :

• Les employés et bénévoles. 
• Les membres et participants. 
• Les partenaires et fournisseurs de services.

6. Rôles et responsabilités

6.1 Direction générale

La Direction générale du CRÉCA est la première responsable de la confidentialité et de la sécurité de l'information. Elle a pour objectif la mise en place et l'application du cadre de gestion de la confidentialité et la sécurité de l'information pour assurer la protection du CRÉCA et être conforme à la réglementation. Ses principales responsabilités sont :

• S'assurer que tout membre du personnel du CRÉCA soit avisé de la Politique de  confidentialité et de sécurité de l'information et obtient son engagement au respect de la  Politique; 
• Mettre en place les orientations stratégiques en matière de confidentialité et de sécurité  des renseignements personnels (RP) ; 
• Assurer la coordination et la cohérence des actions de la sécurité de l'information  menées au sein du CRÉCA par les intervenantes et intervenants internes et externes ;
• Communiquer et coordonner la mise en œuvre des processus ; 
• Faire le suivi des incidents.

6.2 Utilisatrices et utilisateurs

Les utilisatrices et utilisateurs sont les personnes qui ont accès aux renseignements personnels  et qui se servent de ces informations dans le cadre de leur travail. Qu'ils soient membres du  conseil d'administration, membres du personnel ou bénévoles, ils ont l'obligation de protéger  les informations mises à leur disposition dans le cadre de leurs fonctions. L'information visée  est celle que le CRÉCA détient dans le cadre de ses activités, que sa conservation soit assurée  par elle-même ou par un tiers. Les formats de l'information visée sont numériques et non  numériques. À cette fin, les utilisatrices et utilisateurs du CRÉCA doivent : 

• Prendre connaissance de la présente Politique, des directives, des procédures et autres  lignes de conduite en découlant, y adhérer et prendre l'engagement de s'y conformer en  signant le document de déclaration d'engagement ; 
• Utiliser, dans le cadre des droits d'accès qui leurs sont attribués et uniquement  lorsqu'ils sont nécessaires à l'exercice de leurs fonctions, les renseignements  personnels mis à leur disposition, en se limitant aux fins auxquelles ils sont destinés ; 
• Respecter les mesures de sécurité mises en place sur leur poste de travail et sur tout  équipement contenant des données à protéger et ne pas modifier leur configuration ou  les désactiver ; 
• Se conformer aux exigences légales portant sur l'utilisation des produits à l'égard  desquels des droits de propriété intellectuelle pourraient exister ; 
• Signaler immédiatement à la direction tout acte dont ils ont connaissance, susceptible de constituer une violation réelle ou présumée des règles de sécurité ainsi que toute anomalie pouvant nuire à la protection des renseignements personnels du CRÉCA.

7. Droit de regard et sanctions

Lorsqu'un utilisateur contrevient à la présente Politique, au cadre de gestion ou aux directives  en découlant, il s'expose à des mesures disciplinaires, administratives ou légales, en fonction  de la gravité de son geste. 

Le CRÉCA a un droit de regard sur l'emploi des renseignements personnels récoltés par les  utilisateurs notamment par le contrôle de leurs droits d'accès à l'information. De ce fait, toute  leur expectative en matière de protection de la vie privée s'en trouve restreinte. 

Toute personne qui enfreint une règle applicable à la protection ou à la sécurité des renseignements personnels s'expose à tout recours permis par la loi et/ou à des sanctions administratives selon le cas.

8. Collecte des renseignements personnels

Nous recueillons des renseignements personnels uniquement dans le cadre de nos activités  éducatives et communautaires, par exemple pour : 

• Inscrire des participants à nos activités et formations; 
• Communiquer avec nos membres et partenaires ; 
• Traiter des demandes de soutien ou d'information; 
• Gérer les dons, subventions et collaborations.

Types d'informations collectées 

• Informations générales : Nom, prénom, adresse, téléphone, courriel ; • Informations administratives : Date de naissance, statut d'immigration, préférences  linguistiques ; 
• Données financières : Informations liées aux paiements et dons (si applicable) ; • Autres renseignements : Tout renseignement pertinent aux services offerts, avec consentement.

9. Consentement et transparence

Nous obtenons le consentement éclairé des individus avant de recueillir, utiliser ou partager leurs renseignements personnels.

• Le consentement peut être écrit, verbal ou électronique. 
• Une personne peut retirer son consentement en tout temps.

10. Utilisation et communication des renseignements

Les renseignements personnels sont utilisés uniquement aux fins prévues et ne sont jamais partagés avec des tiers, sauf dans les cas suivants :

• Lorsque requis par la loi (ex. : obligations gouvernementales); 
• Avec des fournisseurs de services sous contrat ; 
• Avec le consentement explicite de la personne concernée.

11. Mesures de sécurité

Nous mettons en place des mesures pour assurer la protection des renseignements personnels  contre toute perte, vol, accès non autorisé ou divulgation. 

Mesures adoptées 

Stockage sécurisé des documents papier (classeurs verrouillés, locaux fermés ;  Protection des fichiers électroniques (mots de passe, accès restreint) ;  

Formation du personnel sur les bonnes pratiques en cyber sécurité; 

Politique de confidentialité signée par les employés et bénévoles.

12. Conservation et destruction des renseignements personnels

Les renseignements sont conservés uniquement pour la durée nécessaire aux fins prévues. À l'expiration de cette période : 

• Les documents papier sont détruits de manière sécurisée (déchiquetage). 
• Les fichiers numériques sont supprimés de façon permanente.

13. Droits des individus

Toute personne dont nous détenons des renseignements personnels a les droits suivants :

‍Accès Obtenir une copie des renseignements détenus. 

Correction: Demander la modification d'informations inexactes. 

Retrait du consentement: Exiger l'arrêt de l'utilisation de ses données.

‍Suppression : Demander la suppression des renseignements sous certaines conditions.  

Pour exercer ces droits, contactez : 

Ilham Rezki  

administration@creca.net 

574 596 7629

14. Gestion des incidents et violations de sécurité

En cas d'incident de confidentialité présentant un risque de préjudice, nous nous engageons à: 

• Informer immédiatement la personne concernée ; 
• Aviser la Commission d'accès à l'information du Québec si nécessaire;
• Prendre les mesures correctives pour éviter qu'un incident similaire ne se reproduise.

15. Dispositions finales

La présente Politique entre en vigueur à la date de son adoption par le conseil d'administration,  soit le 16 novembre 2023. 

La direction s'assure de la mise en œuvre des dispositions de la présente Politique et des  directives d'application.