Politique de confidentialité

1. Qui nous sommes et portée de la politique

La présente politique de confidentialité est émise par ChaparHub (« ChaparHub », « nous » ou « nos »), exploitée depuis le Québec, Canada. Elle s'applique aux renseignements personnels que nous traitons par l'entremise de notre site public https://www.chaparhub.com et de ses sous-domaines, de l'application ChaparHub, de nos pages de connexion et de compte, de nos communications marketing et de tout autre service qui renvoie à la présente politique (collectivement, les « Services »).

Un « renseignement personnel » (ou « donnée à caractère personnel ») est tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier. La présente politique est rédigée pour satisfaire notamment aux exigences : de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec, telle que modifiée par la Loi 25; de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et de la Loi canadienne anti-pourriel (LCAP); des lois sur la protection des renseignements personnels de l'Alberta et de la Colombie-Britannique; du Règlement général sur la protection des données (RGPD) de l'Union européenne et de la directive « vie privée et communications électroniques »; du RGPD britannique, du Data Protection Act 2018 et des Privacy and Electronic Communications Regulations (PECR); du California Consumer Privacy Act tel que modifié par le California Privacy Rights Act (CCPA/CPRA); et des lois générales sur la protection de la vie privée des consommateurs des autres États américains. Lorsque les lois de votre territoire vous accordent une protection supérieure à celle décrite ici, ces lois prévalent.

2. Nos engagements

Ces engagements ne sont pas des intentions : ils décrivent la conception même des Services, et nous les respectons dans tous les territoires, que la loi locale l'exige ou non :

• Aucune vente, aucun partage. Nous ne vendons, ne louons ni n'échangeons de renseignements personnels, et nous ne les partageons pas à des fins de publicité comportementale ni ne les utilisons pour de la publicité ciblée. Nous n'achetons aucun renseignement personnel auprès de courtiers en données.
• Aucun suivi tiers sur notre site. Notre site public n'utilise aucun témoin publicitaire ou analytique, aucun pixel de réseau social, aucun outil de relecture de session ni aucune prise d'empreinte numérique. Les polices sont servies depuis notre propre domaine.
• Minimisation. Nous recueillons le minimum de renseignements nécessaire à chaque fin, et nous ne les utilisons pas à une nouvelle fin incompatible sans votre consentement ou un fondement juridique.
• Confidentialité par défaut. Chaque paramètre ayant une incidence sur votre vie privée offre par défaut le plus haut niveau de confidentialité. Rien n'est rendu public à moins que vous ou votre Client choisissiez de le publier.
• Aucun profilage aux effets importants. Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou des effets similaires importants à votre égard.
• La sécurité d'abord. La vérification en deux étapes est obligatoire pour tous les comptes. Les identifiants sont hachés ou chiffrés, et l'accès aux données de production est réservé au personnel qui en a besoin.
• Responsabilité. Nous tenons un registre des activités de traitement et des incidents de confidentialité, réalisons des évaluations des facteurs relatifs à la vie privée lorsque la loi l'exige, et formons toute personne ayant accès à des renseignements personnels.

3. Les renseignements personnels que nous recueillons

Nous recueillons des renseignements personnels directement auprès de vous, automatiquement lorsque vous utilisez les Services, et auprès des Clients qui vous invitent. Nous ne recueillons pas intentionnellement de renseignements sensibles (tels que des renseignements sur la santé, biométriques, sur l'origine raciale ou ethnique, la religion, l'orientation sexuelle ou la géolocalisation précise), et nous vous demandons de ne pas en téléverser.

4. Pourquoi nous les utilisons et nos fondements juridiques

Nous n'utilisons les renseignements personnels qu'aux fins ci-dessous. Lorsque le RGPD ou le RGPD britannique s'applique, chaque fin repose sur le fondement juridique indiqué. Lorsque le droit canadien s'applique, nous nous fondons sur votre consentement — exprès pour tout renseignement sensible ou toute utilisation secondaire — ou sur une exception prévue par la loi.

Lorsque nous nous fondons sur l'intérêt légitime, nous avons mis cet intérêt en balance avec vos droits et libertés et conclu qu'il ne les supplante pas. Vous pouvez nous demander cette analyse et vous y opposer en tout temps (section 12).

5. Courriel, consentement et règles anti-pourriel

• Nous n'envoyons de courriels marketing qu'aux personnes qui y ont consenti expressément, consentement confirmé par un clic dans un message de confirmation (double opt-in). Nous consignons quand, où et comment le consentement a été donné.
• Chaque message marketing nous identifie, indique une adresse de contact valide et contient un lien de désabonnement en un clic. Le désabonnement prend effet immédiatement et, dans tous les cas, bien en deçà des 10 jours ouvrables permis par la LCAP.
• Après votre désabonnement, nous ne conservons que votre adresse courriel et la date du retrait sur une liste de suppression, afin de ne jamais vous écrire de nouveau par erreur.
• Nos courriels contiennent une petite image et des liens suivis qui nous indiquent s'ils ont été ouverts ou cliqués. Vous pouvez l'empêcher en désactivant le chargement automatique des images dans votre logiciel de courriel; cela n'empêche pas la lecture du message.
• Les avis de service et de sécurité ne sont pas du marketing; vous les recevrez tant que votre compte est actif.

6. Témoins (cookies) et technologies similaires

Notre site public n'utilise que des témoins strictement nécessaires au service que vous demandez — vous garder connecté, compléter la vérification en deux étapes et mémoriser votre langue. Nous n'utilisons aucun témoin publicitaire ou analytique; aucune bannière de consentement n'est donc requise. La Politique relative aux témoins énumère chaque témoin et chaque élément de stockage du navigateur par nom, fin et durée, et explique comment les contrôler.

Nous respectons le signal Global Privacy Control (GPC) et les signaux équivalents des navigateurs comme une demande valide de refus de la vente, du partage et de la publicité ciblée, même si nous ne pratiquons aucune de ces activités.

7. À qui nous les communiquons

Nous ne communiquons de renseignements personnels qu'aux destinataires ci-dessous, uniquement dans la mesure nécessaire, et uniquement en vertu de contrats écrits qui les obligent à les protéger, à ne les utiliser que pour nous fournir leur service et à les supprimer ou nous les retourner à la fin de ce service.

Si nous sommes partie à une fusion, une acquisition, un financement ou une vente d'actifs, des renseignements personnels peuvent être communiqués à l'autre partie en vertu d'une entente de confidentialité et utilisés uniquement pour évaluer et conclure la transaction; nous vous aviserons avant que vos renseignements ne deviennent assujettis à une autre politique. Nous ne communiquerons de renseignements personnels à toute autre fin qu'avec votre consentement.

Nous contesterons toute demande d'une autorité publique que nous jugeons illégale, ne communiquerons que le minimum requis et, à moins que la loi ne l'interdise, en aviserons la personne ou le Client concerné.

8. Transferts internationaux

Nous sommes établis au Canada et nos fournisseurs de services exercent leurs activités à l'échelle mondiale; vos renseignements peuvent donc être conservés ou traités au Canada, aux États-Unis et dans d'autres pays dont les lois peuvent différer de celles de votre lieu de résidence. Chaque fois que nous transférons des renseignements personnels hors de l'UE/EEE, du Royaume-Uni, de la Suisse ou du Québec, nous mettons en place des garanties appropriées :

• Les transferts vers le Canada depuis l'UE/EEE reposent sur la décision d'adéquation de la Commission européenne visant les organisations assujetties à la LPRPDE, et depuis le Royaume-Uni sur le règlement d'adéquation britannique équivalent.
• Les transferts vers d'autres pays reposent sur les clauses contractuelles types de la Commission européenne (2021/914), l'addendum britannique sur les transferts internationaux de données, les équivalents approuvés en Suisse, ou la certification du destinataire au cadre de protection des données UE–États-Unis et à ses extensions britannique et suisse, assortis de mesures supplémentaires comme le chiffrement.
• Avant de communiquer des renseignements personnels à l'extérieur du Québec, nous réalisons une évaluation des facteurs relatifs à la vie privée comme l'exige l'article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé, et ne procédons que si les renseignements bénéficieront d'une protection adéquate.

Vous pouvez obtenir une copie des garanties applicables à un transfert en communiquant avec notre responsable de la protection des renseignements personnels.

9. Durée de conservation

Nous ne conservons les renseignements personnels que le temps nécessaire à la fin pour laquelle ils ont été recueillis, puis nous les détruisons ou les anonymisons de manière irréversible. Les renseignements anonymisés ne sont utilisés qu'à des fins sérieuses et légitimes, selon les meilleures pratiques généralement reconnues.

10. Comment nous les protégeons

• Tout le trafic est chiffré en transit par TLS; les données stockées sont chiffrées au repos par notre fournisseur d'infrastructure.
• La vérification en deux étapes (TOTP) est obligatoire pour tous les comptes; un mot de passe seul n'ouvre jamais de session.
• Les mots de passe ne sont conservés que sous forme de hachages PBKDF2 salés; les jetons de session, codes de récupération et jetons de réinitialisation uniquement sous forme hachée; les identifiants de plateformes uniquement après chiffrement AES-GCM au moyen d'une clé conservée hors de la base de données.
• L'accès se fait uniquement sur invitation et selon le rôle; chaque personne ne voit que les espaces de travail qui lui sont attribués, au niveau qui lui est attribué.
• Les formulaires publics sont protégés par une limitation du débit, des champs pièges et, lorsqu'il est activé, Cloudflare Turnstile.
• Le personnel ayant accès à des renseignements personnels est lié par des obligations de confidentialité et reçoit une formation sur la protection de la vie privée.

Aucune méthode de transmission ou de stockage n'est parfaitement sûre. Si vous croyez que votre compte a été compromis, communiquez avec nous immédiatement.

11. Incidents de confidentialité et atteintes aux données

Nous tenons un registre de tous les incidents de confidentialité et prenons rapidement des mesures pour diminuer les risques de préjudice et éviter que de nouveaux incidents ne surviennent. Lorsque la loi l'exige, nous avisons : la Commission d'accès à l'information du Québec et les personnes concernées, lorsqu'un incident présente un risque qu'un préjudice sérieux soit causé; le Commissariat à la protection de la vie privée du Canada et les personnes concernées, lorsqu'une atteinte présente un risque réel de préjudice grave; l'autorité de contrôle compétente dans les 72 heures après en avoir pris connaissance, en vertu du RGPD ou du RGPD britannique, et les personnes concernées dans les meilleurs délais lorsque le risque pour elles est élevé; ainsi que les personnes et autorités visées par les lois des États américains sur la notification des atteintes. Lorsque nous agissons à titre de sous-traitant, nous avisons le Client concerné dans les meilleurs délais afin qu'il puisse remplir ses propres obligations.

12. Vos droits

Sous réserve des conditions et exceptions prévues par la loi qui s'applique à vous, vous avez le droit :

• D'être informé et d'accéder. obtenir la confirmation que nous traitons vos renseignements et en recevoir une copie, avec les fins, les destinataires, les sources et les durées de conservation.
• De rectifier. faire corriger des renseignements inexacts, incomplets ou équivoques.
• De supprimer. faire effacer vos renseignements, notamment lorsqu'ils ne sont plus nécessaires ou ont été recueillis illégalement.
• À la portabilité. recevoir les renseignements que vous avez fournis dans un format structuré, couramment utilisé et lisible par machine, et les faire transmettre à une autre organisation.
• De limiter et de vous opposer. restreindre l'utilisation de vos renseignements et vous opposer à un traitement fondé sur l'intérêt légitime ou à des fins de prospection — dans ce dernier cas, sans avoir à vous justifier.
• De retirer votre consentement. en tout temps, sans incidence sur la licéité du traitement antérieur au retrait.
• De refuser. la vente, le partage, la publicité ciblée et le profilage produisant des effets juridiques ou similaires importants (nous ne pratiquons aucune de ces activités).
• À la désindexation (Québec). exiger que nous cessions de diffuser vos renseignements ou que soit désindexé tout hyperlien rattaché à votre nom, lorsque les conditions de la loi sont réunies.
• D'être informé des décisions automatisées. et de présenter vos observations à une personne — bien que nous ne prenions aucune décision fondée exclusivement sur un traitement automatisé.
• À la non-discrimination. nous ne refuserons jamais un service, n'exigerons jamais un prix différent et n'offrirons jamais une qualité de service différente parce que vous avez exercé un droit.
• De porter plainte. auprès d'une autorité de contrôle (section 17). Nous vous serions reconnaissants de nous donner d'abord l'occasion de répondre à votre préoccupation.

Renseignements supplémentaires pour les résidents de la Californie et des autres États américains

Au cours des 12 derniers mois, nous avons recueilli les catégories de renseignements personnels suivantes, au sens du CCPA : identifiants (nom, courriel, adresse IP, identifiants de compte); dossiers clients (adresse de facturation, numéro de téléphone); renseignements commerciaux (factures et historique des paiements); activité sur Internet ou un autre réseau électronique (connexions, interaction avec nos courriels, journaux de requêtes); géolocalisation approximative (pays, région et ville — jamais de géolocalisation précise); renseignements professionnels (titre du poste et employeur); et des renseignements personnels sensibles limités aux identifiants de connexion au compte. Nous les avons recueillis auprès des sources, aux fins commerciales, et communiqués aux catégories de fournisseurs de services décrites aux sections 3, 4 et 7, et nous les conservons pendant les durées indiquées à la section 9.

Nous n'avons ni vendu ni partagé de renseignements personnels, et nous n'avons aucune connaissance réelle d'avoir vendu ou partagé ceux de consommateurs de moins de 16 ans. Nous n'utilisons les renseignements personnels sensibles que pour vous authentifier et sécuriser votre compte, fins pour lesquelles le CCPA ne prévoit pas de droit de limitation. Nous n'offrons aucun incitatif financier en échange de renseignements personnels. Nous ne vendons pas de « covered information » au sens de la loi du Nevada.

Vous pouvez faire appel à un mandataire autorisé pour présenter une demande; nous lui demanderons une preuve de son mandat et pourrons vous demander de confirmer directement votre identité. Si nous refusons votre demande en tout ou en partie, vous pouvez faire appel en répondant à notre décision avec l'objet « Privacy appeal »; nous répondrons par écrit dans le délai prévu par la loi de votre État (45 jours dans la plupart des États) en expliquant nos motifs. Si votre appel est rejeté, vous pouvez communiquer avec le procureur général de votre État.

Renseignements supplémentaires pour les résidents du Québec

La personne responsable de la protection des renseignements personnels au sein de notre organisation est notre responsable de la protection des renseignements personnels, joignable à l'adresse indiquée à la section 16. Vous pouvez demander par écrit l'accès à vos renseignements ou leur rectification; nous répondons dans les 30 jours de la réception. En cas de refus, nous motiverons notre décision, indiquerons la disposition de la loi sur laquelle elle s'appuie et vous informerons de votre droit de demander à la Commission d'accès à l'information d'examiner la mésentente. Vos renseignements ne sont communiqués à des fournisseurs à l'extérieur du Québec qu'après l'évaluation décrite à la section 8.

13. Comment exercer vos droits

1. 01Écrivez à hello@chaparhub.com en précisant le droit que vous souhaitez exercer. Vous pouvez aussi effectuer vous-même la plupart des modifications sur votre page de profil.
2. 02Nous vérifierons votre identité en proportion de la sensibilité de la demande — généralement en confirmant que vous contrôlez l'adresse courriel enregistrée. Nous ne demanderons pas plus de renseignements que la vérification n'en exige et ne les utiliserons qu'à cette fin.
3. 03Nous répondons dans les 30 jours de la réception. Lorsque le RGPD ou le RGPD britannique s'applique et que la demande est complexe, ce délai peut être prolongé d'au plus deux mois; lorsque le CCPA s'applique, d'au plus 45 jours. Nous vous informerons de toute prolongation et de son motif pendant le délai initial.
4. 04Les demandes sont gratuites. Nous pouvons refuser les demandes manifestement infondées ou excessives, ou exiger des frais raisonnables, et vous expliquerons pourquoi.

14. Enfants

Les Services sont destinés aux entreprises et aux professionnels et ne s'adressent pas aux enfants. Nous ne recueillons pas sciemment de renseignements personnels auprès de personnes de moins de 16 ans. Si nous apprenons avoir recueilli des renseignements d'un enfant de moins de 16 ans sans le consentement vérifié d'un parent ou tuteur lorsqu'il est requis, nous les supprimerons promptement. Si vous croyez que c'est le cas, communiquez avec nous.

15. Modifications de la politique

Nous mettrons la présente politique à jour lorsque nos pratiques ou la loi changeront. La date d'entrée en vigueur en haut de la page indique quand la version actuelle a pris effet. Nous aviserons les titulaires de compte par courriel ou dans l'application au moins 30 jours avant l'entrée en vigueur de toute modification importante, et nous n'appliquerons jamais une modification importante aux renseignements recueillis auparavant sans votre consentement lorsque la loi l'exige. Les versions antérieures sont disponibles sur demande.

16. Nous joindre

Les questions, demandes et plaintes concernant la présente politique ou notre traitement des renseignements personnels sont adressées à notre responsable de la protection des renseignements personnels, qui est aussi la personne responsable de la protection des renseignements personnels au sens de la loi québécoise : ChaparHub — Responsable de la protection des renseignements personnels, hello@chaparhub.com. Nous accusons réception de chaque demande rapidement et y répondons dans les délais indiqués à la section 13.

17. Autorités de contrôle

Si notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès de l'autorité compétente pour votre territoire, notamment :

• Québec. Commission d'accès à l'information du Québec — www.cai.gouv.qc.ca
• Canada. Commissariat à la protection de la vie privée du Canada — www.priv.gc.ca
• Union européenne / EEE. l'autorité de protection des données de votre État membre — liste sur www.edpb.europa.eu
• Royaume-Uni. Information Commissioner's Office — www.ico.org.uk
• Californie. California Privacy Protection Agency — www.cppa.ca.gov, ou le procureur général de la Californie
• Autres États américains. le procureur général de votre État