Politique de confidentialité — Domilia Super App

La présente politique de confidentialité est publiée pour répondre aux exigences de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25, Québec, RLRQ c. P-39.1) et à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE, canadienne).

1. Préambule et champ d'application

1.1 Qui est visé par la présente politique

La présente politique régit le traitement des renseignements personnels effectué par Domilia Inc. (ci-après « Domilia ») dans le cadre de l'exploitation de la plateforme Domilia Super App et de ses modules, dont notamment :

• Module LMS (gestion des apprentissages et des formations)
• Module RH (gestion des employés, horaires, remplacements, vérification d'antécédents judiciaires)
• Module bénéficiaires et santé
• Module hygiène et maintenance
• Module télécommunications / téléphonie
• Module Internet des objets (IoT)
• Module localisation indoor et desk booking

Elle s'applique à tous les utilisateurs finaux (employés des clients institutionnels, gestionnaires, administrateurs, bénéficiaires, apprenants) ainsi qu'aux visiteurs des sites web de Domilia.

1.2 Responsable du traitement

Dans le cadre des contrats de service SaaS signés avec les clients institutionnels (centres de services scolaires, établissements de santé, organismes publics, entreprises), Domilia agit à titre de sous-traitant ou de responsable conjoint du traitement selon la nature de la relation contractuelle. Les rôles respectifs sont précisés dans l'entente de sous-traitance ou l'entente de traitement des données annexée au contrat de service.

2. Renseignements personnels collectés

Domilia ne collecte que les renseignements personnels strictement nécessaires à la prestation des services convenus et au respect de ses obligations légales.

2.1 Catégories de renseignements

2.2 Renseignements sensibles

Certains modules peuvent traiter des renseignements sensibles au sens de la Loi 25 :

• Renseignements de santé (module bénéficiaires / santé)
• Antécédents judiciaires (module VAJ)
• Données biométriques : Domilia n'exploite aucune donnée biométrique à ce jour.

Le traitement de renseignements sensibles est encadré par des mesures renforcées : chiffrement en transit et au repos, journalisation accrue, accès restreint par rôle, et évaluation des facteurs relatifs à la vie privée (ÉFVP) documentée par module concerné.

2.3 Renseignements que Domilia ne collecte pas

• Numéro d'assurance sociale (NAS), sauf lorsque strictement requis par un processus légal spécifique et consigné dans une ÉFVP dédiée
• Information bancaire complète de l'utilisateur final (les paiements transactionnels éventuels transitent via un processeur tiers certifié PCI-DSS)
• Données de navigation publicitaire à des fins de profilage commercial

3. Finalités du traitement

Les renseignements personnels sont traités exclusivement pour les finalités suivantes :

Aucune commercialisation ni transfert à des tiers à des fins publicitaires n'est effectué.

4. Base légale du traitement

En vertu de la Loi 25, le traitement des renseignements personnels repose sur les fondements suivants :

1. Exécution d'un contrat : relation contractuelle Domilia ↔ client institutionnel, et mandat du client employeur envers ses propres employés.
2. Respect d'une obligation légale : par exemple, conservation des registres d'audit exigée par la Loi 25 et les politiques gouvernementales québécoises applicables.
3. Consentement : pour les traitements optionnels ou les modules soumis à consentement explicite (p. ex. module VAJ).
4. Intérêt légitime : pour les fonctions de sécurité, de détection de fraude et de journalisation, dont la nécessité ne porte pas une atteinte déraisonnable aux droits des personnes concernées.

5. Hébergement, localisation des serveurs et transferts

5.1 Région d'hébergement principale

La plateforme Domilia Super App est hébergée sur Microsoft Azure, dans les régions canadiennes suivantes :

Les données clients, incluant les bases PostgreSQL, le stockage Azure Blob et les caches Redis, résident exclusivement dans ces régions canadiennes. Aucune réplication vers une région hors Canada n'est configurée sur les environnements de production des clients exigeant la résidence canadienne des données.

5.2 Exceptions et transferts hors Canada

Certains services auxiliaires peuvent occasionner un traitement ou un transit de métadonnées hors Canada. Domilia les identifie explicitement ci-dessous afin d'éviter toute déclaration trompeuse :

Pour les clients institutionnels exigeant une stricte résidence des données au Canada, ces intégrations peuvent être désactivées ou remplacées par des alternatives canadiennes, sur demande contractuelle.

5.3 Clause d'équivalence

Conformément à l'article 17 de la Loi 25, toute communication de renseignements personnels hors Québec fait l'objet d'une évaluation préalable prenant en compte la sensibilité des renseignements, la finalité du traitement, les mesures de protection offertes par le destinataire, ainsi que le régime juridique applicable dans l'État d'accueil. Les résultats de ces évaluations sont documentés et conservés par l'Agent de protection des renseignements personnels.

6. Durée de conservation

Les durées de conservation sont détaillées dans la Politique de conservation des données. Les grandes lignes sont :

À la fin de la période de conservation, les renseignements sont soit anonymisés irréversiblement soit supprimés de manière sécurisée, conformément à l'article 23 de la Loi 25.

7. Droits des personnes concernées

Conformément aux articles 28 à 41 de la Loi 25, toute personne physique concernée par les renseignements traités par Domilia dispose des droits suivants :

7.1 Délai de traitement

Domilia s'engage à répondre à toute demande dans un délai maximum de trente (30) jours, conformément à l'article 32 de la Loi 25. En cas de refus, le requérant est informé des voies de recours, notamment auprès de la Commission d'accès à l'information du Québec (CAI).

7.2 Vérification d'identité

Afin de prévenir toute divulgation non autorisée, Domilia peut demander une vérification raisonnable de l'identité du requérant avant de donner suite à une demande d'accès ou de rectification. Cette vérification est proportionnée à la sensibilité des renseignements demandés.

8. Agent de protection des renseignements personnels

Conformément à l'article 3.1 de la Loi 25, Domilia Inc. désigne un Agent de protection des renseignements personnels responsable de l'application de la présente politique.

La nomination nominative de l'APRP est publiée sur le site web corporatif de Domilia. La fonction est rattachée à la direction générale afin de garantir son indépendance.

Responsabilités de l'APRP :

• Superviser la mise en oeuvre et le respect de la présente politique
• Recevoir et traiter les demandes des personnes concernées
• Gérer le registre des incidents de confidentialité (art. 3.5)
• Approuver les évaluations des facteurs relatifs à la vie privée (ÉFVP)
• Coordonner la formation interne en matière de protection des renseignements personnels
• Représenter Domilia auprès de la CAI

9. Mesures de sécurité

Domilia met en oeuvre des mesures techniques et organisationnelles raisonnables et proportionnées à la sensibilité des renseignements traités.

9.1 Mesures techniques en place

9.2 Mesures organisationnelles

9.3 Certifications

• Infrastructure Azure (Microsoft) : certifiée ISO/IEC 27001, ISO/IEC 27018, SOC 2 Type II, FedRAMP, conformité Loi 25 attestée par Microsoft pour les régions canadiennes.
• Domilia Inc. (entité) : Domilia ne détient pas à ce jour de certification ISO/IEC 27001 ou SOC 2 en propre. Des travaux internes de mise en conformité ISO/IEC 27001 sont en cours et seront attestés par un organisme accrédité lorsque mûrs.

10. Sous-traitants et fournisseurs

Domilia fait appel à un nombre limité de sous-traitants pour assurer la prestation du service. Tous sont liés contractuellement par des clauses de confidentialité, de sécurité et de respect de la législation applicable.

La liste détaillée des sous-traitants actifs pour un client donné est disponible sur demande auprès de l'Agent de protection des renseignements personnels.

11. Incidents de confidentialité (art. 3.5)

11.1 Définition

Constitue un incident de confidentialité tout accès non autorisé, toute utilisation non autorisée, toute communication non autorisée ou toute perte d'un renseignement personnel, ou toute autre atteinte à la protection d'un renseignement personnel.

11.2 Procédure

En cas d'incident, Domilia :

1. Détection et contention — L'équipe de sécurité ouvre un dossier, contient l'incident et préserve les preuves.
2. Évaluation du risque de préjudice sérieux — L'APRP évalue le risque selon les critères de l'article 3.7 de la Loi 25.
3. Notification à la CAI — Si un risque de préjudice sérieux est identifié, la CAI est avisée dans les meilleurs délais (objectif opérationnel : moins de 72 heures après confirmation de l'incident).
4. Notification aux personnes concernées — Les personnes physiques concernées sont notifiées sans délai indu, à moins que cela ne compromette une enquête ou que la loi l'interdise.
5. Notification aux clients institutionnels — Le client institutionnel (ex : CSS, établissement) est notifié afin de lui permettre d'exercer ses propres obligations en tant que responsable conjoint du traitement.
6. Consignation — L'incident est inscrit au registre des incidents, conservé conformément à l'article 3.5.
7. Mesures correctives et préventives — Un plan d'action est mis en oeuvre et fait l'objet d'un suivi jusqu'à clôture.

11.3 Objectif de délai

Domilia vise une notification à la CAI et aux personnes concernées dans les 72 heures suivant la confirmation d'un incident présentant un risque de préjudice sérieux, en ligne avec les meilleures pratiques canadiennes et européennes.

12. Témoins (cookies) et technologies similaires

12.1 Témoins strictement nécessaires

Domilia utilise des témoins strictement nécessaires au fonctionnement de la plateforme, notamment :

• Cookie d'authentification (accessToken, refreshToken) — HTTP-only, Secure, SameSite=Strict
• Cookie de session
• Cookie anti-CSRF

Ces témoins ne requièrent pas de consentement préalable, conformément aux pratiques reconnues et à l'article 8.1 de la Loi 25.

12.2 Témoins analytiques

L'utilisation de témoins analytiques n'est pas activée par défaut sur les environnements clients institutionnels. Lorsqu'ils sont activés (par exemple pour un site vitrine), ils sont configurés en minimisation des données et font l'objet d'une bannière de consentement.

13. Mineurs

La plateforme Domilia est destinée à un usage institutionnel (employés, gestionnaires) et, pour certains modules éducatifs (LMS scolaire), peut traiter des renseignements concernant des personnes mineures dans le cadre d'un mandat confié par un organisme scolaire légalement compétent. Dans ces cas, les garanties suivantes s'appliquent :

• Le client institutionnel (centre de services scolaires, établissement) est responsable du consentement parental lorsqu'applicable.
• Les interfaces destinées aux mineurs appliquent une minimisation renforcée et n'intègrent pas de mécanismes de profilage.

13.bis Conformité au Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels (RLRQ c. A-2.1)

Lorsqu'un client de Domilia est un organisme public au sens de la Loi A-2.1 (centre de services scolaire, ministère, établissement de santé public, municipalité, université, etc.), la présente section décrit comment Domilia, agissant à titre de prestataire de services / sous-traitant au sens de l'article 67.2 de la Loi A-2.1, soutient l'organisme public dans le respect de ses obligations.

13.bis.1 Cadre juridique applicable

13.bis.2 Engagements spécifiques de Domilia envers un organisme public

Conformément à l'article 67.2 de la Loi A-2.1 (entente écrite avec le tiers), Domilia s'engage à :

13.bis.3 Mécanismes d'exercice des droits prévus à la Loi A-2.1

Bien que les demandes d'accès et de rectification au sens de la Loi A-2.1 doivent être formulées auprès de l'organisme public lui-même (responsable des renseignements), Domilia met à la disposition de l'organisme public les outils techniques nécessaires pour y répondre dans les délais légaux (art. 47 — 30 jours) :

13.bis.4 Audit indépendant et droit de vérification (art. 67.2 al. 2)

L'organisme public peut, conformément à l'article 67.2 de la Loi A-2.1 et aux engagements contractuels Domilia (art. 8.02 du Contrat-cadre OP-LGEM2-540 §3.4.4.5) :

• Demander, sur préavis raisonnable, toute vérification ou enquête relative à la protection des renseignements personnels.
• Consulter le registre des incidents sur demande motivée.
• Recevoir, sur demande, copie de tout RP que Domilia a obtenu ou produit (art. 3.4.4.6 du Devis CSSMV).
• Demander la destruction de tout RP, sur demande raisonnable, dans un délai déterminé conjointement (art. 3.4.4.7).
• Au terme du contrat, exiger qu'aucun RP ne soit conservé : Domilia procède alors à une destruction sécuritaire et irréversible à ses frais (art. 3.4.4.8 et 3.4.4.9).

Ces engagements sont opposables sans formalité supplémentaire dès l'adjudication d'un contrat de prestation auprès d'un organisme public.

14. Modifications de la politique

La présente politique peut être mise à jour pour tenir compte d'évolutions législatives, technologiques ou organisationnelles. La date de dernière révision figure en tête du document.

En cas de modification substantielle, Domilia :

• Publie la nouvelle version sur son site web corporatif.
• Notifie les clients institutionnels par courriel administratif.
• Informe, le cas échéant, les utilisateurs finaux via l'application.

L'historique des versions antérieures est conservé et peut être consulté sur demande auprès de info@domilia.ca.

15. Questions, plaintes et recours

Toute question, préoccupation ou plainte relative à la protection des renseignements personnels peut être adressée à :

Agent de protection des renseignements personnels — Domilia Inc. info@domilia.ca 769, rue Maple, Longueuil (Québec) J4J 4M8, Canada

Si la réponse reçue ne vous satisfait pas, vous pouvez porter plainte auprès de la Commission d'accès à l'information du Québec (CAI) :

• Site web : https://www.cai.gouv.qc.ca
• Adresse : 525, boulevard René-Lévesque Est, bureau 2.36, Québec (Québec) G1R 5S9
• Téléphone : 1 888 528-7741

Annexe A — Historique des versions