Cette politique est établie conformément à la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25, L.Q. 2021, c. 25), en vigueur depuis septembre 2023 au Québec.
1. Responsable de la protection des renseignements personnels (RPRP)
Conformément à l'article 3.1 de la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP), JSTOF Bien-être inc. désigne formellement la personne suivante comme responsable de la protection des renseignements personnels :
- Nom : Guichard S.
- Titre : Responsable de la protection des renseignements personnels
- Fonction : Directeur général adjoint — JSTOF Bien-être inc.
- Courriel : confidentialite@jstof.com
- Téléphone : 514 400-6195
- Adresse : Montréal, Québec
Toute personne souhaitant exercer ses droits ou poser des questions relatives à la protection de ses renseignements personnels peut communiquer avec le RPR aux coordonnées ci-dessus.
2. Renseignements personnels collectés
2.1 — Employés et professionnels de la santé
- Identification : nom complet, adresse, date de naissance, numéro de téléphone, courriel — collectés via le portail candidats (Firebase, région Canada)
- Renseignements financiers : numéro d'assurance sociale (NAS) et coordonnées bancaires pour dépôt direct — collectés et gérés exclusivement via QuickBooks (Intuit Inc.), voir section 8
- Documents professionnels : permis d'ordre professionnel, diplômes, attestations, preuves d'assurance — téléversés via le portail candidats et stockés dans Firebase Storage (région northamerica-northeast1, Montréal, Canada)
- Antécédents : vérification des antécédents judiciaires (avec consentement explicite séparé)
- Opérationnels : heures travaillées, rapports de supervision, évaluations de performance — stockés dans Firebase Firestore (région Canada)
2.2 — Clients (établissements)
- Identification : nom de l'établissement, adresse, numéro d'entreprise du Québec (NEQ)
- Contact : nom et courriel des personnes-ressources
- Renseignements contractuels : données liées aux contrats de prestation de services
2.3 — Visiteurs du site web
- Renseignements techniques : adresse IP, type de navigateur, pages visitées, durée de visite
- Formulaires : données soumises via les formulaires de contact ou de demande de services
3. Finalités de la collecte
JSTOF Bien-être inc. collecte les renseignements personnels aux seules fins suivantes :
- Gestion des ressources humaines : recrutement, embauche, paie, gestion des horaires et des affectations
- Conformité légale : vérification des titres professionnels, ordres professionnels, obligations fiscales (NAS)
- Conformité Loi P-10 : reddition de comptes au MSSS, maintien des dossiers de certification
- Prestation de services : coordination des mandats avec les établissements clients
- Communication : envoi de confirmations d'affectation, avis et informations contractuelles
- Amélioration des services : analyse des évaluations de supervision pour la formation continue
Aucun renseignement personnel n'est collecté à des fins autres que celles énumérées ci-dessus. La collecte est limitée au strict nécessaire (principe de minimisation).
4. Conservation et destruction des renseignements
| Type de renseignement | Durée de conservation | Méthode de destruction |
|---|
| Dossiers employés (actifs) | Durée de l'emploi | Archivage sécurisé |
| Dossiers employés (après départ) | 5 ans minimum | Déchiquetage / suppression sécurisée |
| Antécédents judiciaires | Durée de l'emploi | Déchiquetage immédiat après vérification |
| Contrats clients et facturation | 7 ans (obligation fiscale) | Suppression sécurisée |
| NAS + coordonnées bancaires (QuickBooks) | Durée de l'emploi + 7 ans (fiscal) | Suppression dans QuickBooks par RPR |
| Documents prof. (Firebase Storage — Canada) | Durée de l'emploi + 5 ans | Suppression Firebase Storage par RPR |
| Données site web (logs) | 12 mois | Suppression automatique |
5. Droits des personnes concernées
Toute personne dont JSTOF Bien-être inc. détient des renseignements personnels dispose des droits suivants :
- Droit d'accès : obtenir une copie des renseignements personnels détenus à son sujet
- Droit de rectification : faire corriger les renseignements inexacts ou incomplets
- Droit à l'effacement : demander la suppression des renseignements (sous réserve des obligations légales de conservation)
- Droit à la portabilité : recevoir ses données dans un format technologique structuré et couramment utilisé
- Droit de retirer son consentement : révoquer son consentement à tout moment, sans préjudice aux traitements antérieurs
Pour exercer ces droits, la personne doit adresser une demande écrite au RPR (voir section 1). JSTOF Bien-être inc. dispose de 30 jours pour répondre à toute demande d'accès.
6. Consentement
La collecte, l'utilisation et la communication des renseignements personnels de nos employés sont fondées sur un consentement explicite obtenu :
- À l'embauche : par la signature d'un formulaire de consentement distinct, avant toute collecte
- Pour les antécédents judiciaires : par un consentement écrit spécifique et séparé
- Pour le site web : par l'acceptation de la politique de cookies lors de la première visite
Le consentement peut être retiré en tout temps en communiquant avec le RPR. Le retrait du consentement peut toutefois limiter la capacité de JSTOF Bien-être inc. à maintenir la relation d'emploi, selon les obligations légales applicables.
7. Mesures de sécurité
JSTOF Bien-être inc. met en place les mesures suivantes pour protéger les renseignements personnels :
- Accès restreint : seules les personnes autorisées ont accès aux renseignements personnels, selon le principe du besoin de savoir
- Documents physiques : conservés dans des classeurs verrouillés, accès limité au RPR et aux personnes désignées
- Portail candidats : données stockées dans Firebase Firestore et Storage, région northamerica-northeast1 (Montréal, Canada), chiffrées en transit (HTTPS/TLS) et au repos par Google Cloud
- NAS et coordonnées bancaires : gérés exclusivement dans QuickBooks (Intuit), logiciel de paie avec chiffrement natif et contrôles d'accès dédiés. Jamais stockés dans le portail ni transmis par courriel
- Courriel : aucune donnée sensible (NAS, bancaires, antécédents) n'est jamais transmise par courriel ordinaire
- Formation : les employés de JSTOF ayant accès à des données personnelles reçoivent une formation sur la confidentialité
8. Communication à des tiers
JSTOF Bien-être inc. ne vend, ne loue ni ne partage les renseignements personnels de ses employés ou clients à des tiers, sauf dans les cas suivants :
- Obligations légales : transmission aux autorités fiscales (Revenu Québec, ARC), ordres professionnels ou MSSS selon les exigences applicables
- Établissements clients : uniquement les informations strictement nécessaires à la coordination des mandats (nom, titre professionnel, numéro d'ordre)
8.1 — Sous-traitants technologiques
JSTOF Bien-être inc. utilise les sous-traitants suivants pour le traitement de renseignements personnels. Chacun est lié par un accord de traitement des données (DPA) conforme aux exigences de la Loi 25 :
| Sous-traitant | Localisation serveurs | Données traitées |
|---|
| QuickBooks (Intuit Inc.) | États-Unis ⚠ | NAS, coordonnées bancaires, données de paie |
| Firebase / Google Cloud (Alphabet Inc.) | Canada ✓ (northamerica-northeast1) | Profil candidat, documents (permis, diplômes), consentements |
| Firebase Auth (Google) | Global ⚠ | Courriel et mot de passe (authentification uniquement) |
⚠ QuickBooks (Intuit) et Firebase Authentication (Google) traitent certaines données sur des serveurs situés hors du Québec. Les données transmises hors Québec sont limitées au strict nécessaire, conformément à l'article 17 de la LPRPSP.
9. Incidents de confidentialité
En cas d'incident de confidentialité (accès non autorisé, perte, vol ou divulgation de renseignements personnels), JSTOF Bien-être inc. s'engage à :
- Documenter : consigner l'incident dans le Registre des incidents de confidentialité dès sa découverte
- Évaluer : évaluer le risque sérieux de préjudice pour les personnes concernées
- Aviser la CAI : notifier la Commission d'accès à l'information du Québec si le risque est sérieux
- Aviser les personnes : informer les individus affectés si leur préjudice est probable
- Corriger : prendre les mesures correctives pour prévenir la récurrence
Le Registre des incidents est tenu à jour par le RPR et conservé pendant un minimum de 5 ans.
10. Mise à jour de la politique
La présente politique est révisée annuellement ou lors de tout changement significatif dans les activités de JSTOF Bien-être inc. ou dans la législation applicable. La version en vigueur est toujours disponible sur le site web www.jstof.com.
11. Nous contacter