Politique de confidentialité

Protection des renseignements personnels • Ateliers de groupe, accompagnement individuel, mandats de consultation

Entreprise : Myriam Jasmin, faisant aussi affaire sous le nom de Consultation AuroraCumulus

Adresse : 2590 rue Principale, Mont-Blanc (Québec) J0T 2G0

Responsable de la protection des renseignements personnels

Myriam Jasmin, propriétaire de l’entreprise • myriam@myriamjasmin.ca • 514-360-5773

Entrée en vigueur

15 septembre 2026 • Version 2

« Le masculin est utilisé dans le présent document uniquement pour alléger le texte et désigne les personnes de tous genres. »

La présente politique est établie conformément à la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), telle que modifiée par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (2021, chapitre 25), communément appelée « loi 25 ». Dans les articles qui suivent, « la Loi » désigne la Loi sur la protection des renseignements personnels dans le secteur privé. La présente politique constitue également l’information détaillée sur les politiques et pratiques de gouvernance que l’entreprise doit rendre accessible en vertu de l’article 3.2 de la Loi.

1. Objet et portée

1.1 La présente politique décrit les renseignements personnels recueillis par l’entreprise, les fins de leur collecte, les personnes qui y ont accès, les mesures de protection appliquées, les durées de conservation ainsi que les droits de la personne concernée.

1.2 Elle s’applique aux renseignements recueillis dans le cadre des activités suivantes de l’entreprise : les ateliers de constellations familiales en groupe, l’accompagnement individuel, les mandats de consultation auprès d’entreprises. Elle vise notamment les renseignements recueillis lors de l’inscription, du paiement, de l’ouverture d’un dossier, de la signature d’un formulaire de consentement ou d’un contrat de services, des communications avec l’entreprise et autres activités commerciales de l’entreprise.

1.3 La présente politique est diffusée par tout moyen propre à atteindre les personnes concernées. Elle est rendue accessible avant tout paiement au moyen d’un lien présenté soit avec les conditions de vente et de participation. Dans le cas de l’accompagnement individuel et des mandats de consultation, elle est mentionnée au contrat de service. Elle demeure accessible en tout temps sur demande à la responsable et est publiée sur le site web de l’entreprise, à l’adresse https://auroracumulus.ca.

2. Responsable de la protection des renseignements personnels

2.1 Conformément à l’article 3.1 de la Loi, Myriam Jasmin, qui exploite l’entreprise, exerce la fonction de responsable de la protection des renseignements personnels.

2.2 Toute question, demande d’accès, demande de rectification, retrait de consentement ou plainte doit être adressée à la responsable, au courriel myriam@myriamjasmin.ca ou à l’adresse postale indiquée en tête des présentes.

2.3 Le titre et les coordonnées de la responsable sont rendus accessibles par la publication de la présente politique.

3. Rôle de la coanimatrice dans les ateliers de groupe (lorsqu’applicable)

3.1 Statut de la coanimatrice. Les ateliers de groupe sont parfois animés conjointement par Myriam Jasmin et une autre animatrice. Cette dernière n’exploite pas l’entreprise et n’exerce pas la fonction de responsable au sens de l’article 3.1 de la Loi sauf pour sa propre entreprise.

3.2 Renseignements accessibles à la coanimatrice. Aux seules fins de la coanimation et du suivi des inscriptions, la coanimatrice a accès à la liste des personnes inscrites ainsi qu’aux renseignements consignés au formulaire de consentement. Elle n’a aucun accès au tableau de bord du prestataire de services de paiement utilisé pour les ateliers. Les renseignements nécessaires au suivi financier de la collaboration lui sont transmis sous forme de sommaire, sans nom ni coordonnées de client.

3.3 Entente écrite encadrant l’accès. Cet accès est encadré par une entente écrite conforme à l’article 18.3 de la Loi. Cette entente prévoit notamment l’obligation de confidentialité, la limitation de l’utilisation aux seules fins de la coanimation, l’interdiction de conserver des copies personnelles, la destruction ou la remise des renseignements au terme de la collaboration et l’obligation d’aviser la responsable sans délai de tout incident ou tentative d’incident. La limitation de l’utilisation et l’interdiction de conserver des copies s’appliquent sous réserve de l’exception prévue à l’article « Photographies et enregistrements ».

3.4 Conservation et traitement des demandes. Les renseignements personnels demeurent conservés par l’entreprise. Toute demande relative à ces renseignements est traitée par la responsable; lorsqu’applicable la coanimatrice peut l’assister dans la mesure nécessaire à son rôle, sans traiter elle-même la demande.

3.5 Limite aux ateliers de groupe. Le rôle de la coanimatrice est limité aux ateliers de groupe. Elle n’a accès à aucun renseignement se rapportant aux autres activités de l’entreprise, notamment l’accompagnement individuel et les mandats de consultation.

4. Renseignements recueillis

4.1 L’entreprise recueille le minimum de renseignements nécessaires aux fins énoncées à l’article « Fins de la collecte ».

Inscription et facturation : prénom et nom du client, adresse courriel, numéro de téléphone, adresse du client, mention que doit contenir le contrat conclu à distance en vertu de l’article 54.6 de la Loi sur la protection du consommateur; cette adresse sert également à la vérification de la transaction et au traitement d’un éventuel litige de paiement.

Inscription effectuée pour une autre personne ou transfert d’une inscription : prénom, nom et adresse courriel du participant, transmis par le client. Ces renseignements sont recueillis auprès d’une autre personne et sont visés par l’article « Renseignements recueillis auprès d’une autre personne ».

Contact d’urgence déclaré par le participant : prénom, nom, numéro de téléphone de la personne désignée par le participant et le lien avec le participant, transmis par celui-ci au moyen du formulaire de consentement. Ces renseignements sont recueillis auprès d’une autre personne et sont visés par l’article « Renseignements recueillis auprès d’une autre personne ».

Liste d’attente : prénom, nom et adresse courriel, ainsi que l’atelier visé.

Images captées lors d’un atelier : images captées lors d’un atelier permettant d’identifier un participant, uniquement lorsque celui-ci y a consenti par écrit. Voir l’article « Photographies et enregistrements ».

Paiement par carte : le paiement est traité par un prestataire de services de paiement, soit Stripe, Square ou QuickBooks selon le service et le mode de paiement retenu. Selon les paramètres de la transaction, ce prestataire peut recueillir notamment le nom, les coordonnées, l’adresse de facturation, des renseignements relatifs au mode de paiement, à la transaction et à l’appareil, l’adresse IP ainsi qu’une localisation approximative lors de l’achat ou de la connexion, notamment aux fins du traitement du paiement, de la prévention de la fraude et de la gestion des contestations. L’entreprise n’a pas accès au numéro complet de la carte ni à son code de sécurité. Elle peut notamment consulter la confirmation du paiement, son montant et sa date, le type de carte, ses quatre derniers chiffres, l’adresse de facturation et les renseignements transactionnels pertinents.

Paiement par virement Interac : un paiement peut également être effectué par virement Interac, qui est déposé automatiquement. L’entreprise reçoit alors le nom du payeur, son adresse courriel, le montant et la date du virement, ainsi que le message que le payeur choisit d’y joindre, lequel sert généralement à indiquer le numéro de la facture visée. Aucun renseignement relatif au compte bancaire du payeur n’est communiqué à l’entreprise avec cette méthode. L’avis de virement parvient à l’adresse courriel professionnelle de l’entreprise. Il est ensuite classé avec les pièces comptables de l’entreprise et conservé pour la durée prévue à l’article « Conservation et destruction ».

Infolettre : prénom et adresse courriel; date et heure de l’inscription et de sa confirmation; source et statut du consentement; adresse IP enregistrée par la plateforme au cours du processus de double confirmation; renseignements relatifs au désabonnement; données techniques concernant la livraison, l’ouverture et les clics générées par la plateforme d’envoi.

Communications et documents numériques : nom, coordonnées, contenu et métadonnées des communications, formulaires de consentement, renseignements d’inscription et documents administratifs connexes. Ces renseignements sont gérés au moyen des services Microsoft 365 utilisés par l’entreprise avec différents logiciels, notamment Outlook, OneDrive, Microsoft Forms, Word, Excel et tout autre logiciel pertinent de la suite Microsoft 365. Certaines communications parviennent à l’entreprise au moyen d’un réseau social; l’article « Communication à l’extérieur du Québec » en précise le traitement.

Formulaire de contact du site web : prénom et nom ainsi qu’adresse courriel, qui doivent être fournis, et, au choix de la personne, un numéro de téléphone, l’objet de la demande et un message. Ces renseignements servent uniquement à répondre à la demande et à en assurer le suivi. Une copie de chaque envoi est conservée par l’hébergeur du site web dans le tableau de bord de l’entreprise, et un avis reprenant le contenu de l’envoi est acheminé à l’adresse courriel professionnelle de l’entreprise. Il est recommandé de ne transmettre aucun renseignement de nature sensible au moyen de ce formulaire.

Accompagnement individuel : à l’ouverture du dossier, prénom et nom, coordonnées, date de naissance, source de la référence, motif de la démarche, ainsi que le nom, le lien et le numéro de téléphone de la personne à joindre en cas d’urgence. Le client déclare également les renseignements de santé pertinents au déroulement sécuritaire des rencontres, notamment les allergies, la médication et tout suivi professionnel en cours. Les renseignements relatifs à l’enjeu du client sont recueillis au fil de la démarche, dans la mesure où ils en constituent la matière. Par la suite, l’entreprise consigne la date de chaque rencontre, les thèmes abordés, les observations consignées et le suivi de facturation. Ces renseignements sont recueillis au moyen du formulaire d’ouverture de dossier et du contrat de services signés par le client, ainsi qu’au cours des rencontres. Ils ne servent ni à établir un diagnostic, ni à constituer un dossier médical, ni un traitement, ni un suivi psychologique.

Mandats de consultation auprès d’entreprises : nom, titre, fonction et coordonnées professionnelles des personnes-ressources du client, communications échangées dans le cadre du mandat, documents contractuels signés et renseignements nécessaires à la facturation. Lorsqu’un mandat exige le traitement de renseignements concernant les employés du client, ce traitement est encadré par une entente écrite conforme à l’article 18.3 de la Loi.

4.2 L’entreprise peut recueillir, au moyen du formulaire de consentement, les renseignements que le participant choisit de déclarer au sujet de sa situation ou de son état au moment de l’atelier. Ces renseignements sont recueillis uniquement dans la mesure nécessaire pour prendre en considération les mesures raisonnables pouvant favoriser une participation sécuritaire, pour le participant comme pour le groupe. Ils ne servent ni à établir un diagnostic, ni à constituer un dossier médical, ni un traitement, ni un suivi psychologique, ni à écarter une personne en raison d’un diagnostic ou d’un état de santé. L’entreprise ne recueille aucun renseignement biométrique.

4.3 Les propos tenus et les situations exposées pendant un atelier ne sont consignés dans aucun dossier. Ils sont couverts par l’engagement de confidentialité prévu aux conditions de vente et de participation.

5. Fins de la collecte

5.1 Les renseignements sont recueillis aux seules fins suivantes :

Répondre aux demandes d’information reçues par courriel ou au moyen du formulaire de contact du site web, et en assurer le suivi;
Organiser l’atelier, confirmer l’inscription et communiquer avec le client et le participant à son sujet;
Percevoir le prix, produire les factures et traiter les annulations, les reports, les transferts et les remboursements;
Gérer une liste d’attente lorsqu’un atelier est complet et offrir une place libérée;
Joindre la personne désignée en cas d’urgence survenant pendant un atelier ou une rencontre d’accompagnement individuel;
Prendre en considération les renseignements déclarés par le participant afin de déterminer si sa participation peut se dérouler de manière sécuritaire et convenir, au besoin, des mesures raisonnables qui en découlent;
Offrir l’accompagnement individuel, y compris, lorsque la démarche l’implique, la représentation de l’enjeu et du système familial du client, tenir son dossier, assurer le suivi des rencontres et facturer les honoraires;
Exécuter les mandats de consultation confiés par une entreprise cliente, communiquer avec ses personnes-ressources et facturer les services;
Satisfaire aux obligations légales, fiscales et comptables de l’entreprise;
Transmettre l’infolettre de l’entreprise, notamment les dates futures d’ateliers, aux personnes ayant expressément confirmé leur abonnement;
Faire connaître les ateliers au moyen de photographies, uniquement à l’égard des participants qui y ont consenti par écrit.

5.2 Les renseignements ne servent à aucune autre fin. Ils ne sont ni vendus, ni loués, ni échangés et ne servent à établir aucun profil.

5.3 Conformément à l’article 12 de la Loi, la prospection commerciale ne constitue pas une fin compatible avec la collecte effectuée aux fins d’une inscription, d’un accompagnement ou d’un mandat. Une personne n’est ajoutée à la liste d’envoi de l’entreprise qu’après avoir rempli le formulaire d’abonnement et confirmé son inscription.

6. Consentement

6.1 Qualités du consentement. Le consentement est demandé avant la collecte. Conformément à l’article 14 de la Loi, il est manifeste, libre et éclairé, il est donné à des fins spécifiques et la demande est présentée en termes simples et clairs, distinctement de toute autre information.

6.2 Consentements facultatifs et distincts. L’abonnement à l’infolettre ainsi que les consentements relatifs aux photographies et à la publication d’un témoignage sont facultatifs et distincts du consentement à la participation. L’absence d’abonnement ou le refus d’un consentement est sans incidence sur les autres choix et sur la possibilité de participer.

6.3 Retrait du consentement. Le consentement peut être retiré en tout temps par avis écrit à la responsable. Le retrait est sans effet sur les traitements déjà effectués. Le retrait du consentement portant sur les renseignements nécessaires à l’inscription peut toutefois empêcher la participation à un atelier à venir.

6.4 Durée du consentement. Le consentement ne vaut que pour la durée nécessaire à la réalisation des fins pour lesquelles il a été demandé.

6.5 Personnes mineures. Les services de l’entreprise s’adressent aux personnes de 18 ans et plus. Aucun consentement n’est donc recueilli auprès d’une personne mineure, ni en son nom.

7. Renseignements sensibles

7.1 Certains renseignements confiés à l’entreprise sont sensibles au sens de l’article 12 de la Loi, en ce qu’ils suscitent, par leur nature intime ou en raison du contexte, un haut degré d’attente raisonnable en matière de vie privée. Le seul fait qu’une personne s’inscrive à un atelier de constellations familiales constitue un tel renseignement. Il en va de même du fait d’entreprendre une démarche d’accompagnement individuel, des renseignements que le participant ou le client déclare au sujet de sa situation ou de sa santé, ainsi que des renseignements relatifs au système familial du client.

7.2 Le consentement à l’utilisation ou à la communication d’un renseignement sensible est manifesté expressément.

7.3 Ces renseignements font l’objet de mesures renforcées : accès restreint aux seules personnes nommées à l’article « Personnes et fournisseurs ayant accès », libellé neutre de la description transmise à tout prestataire de services de paiement et de celle qui apparaît au relevé de carte du client, mais qui permet d’identifier le nom de l’entreprise clairement pour éviter toute confusion ou tout litige.

8. Renseignements recueillis auprès d’une autre personne

8.1 Consentement préalable et renseignements exclus. Certains renseignements ne sont pas recueillis directement auprès de la personne concernée. Conformément à l’article 6 de la Loi, ces renseignements ne sont recueillis que si la personne concernée a consenti à cette cueillette. Le client atteste avoir obtenu son accord au préalable et s'engage à l'informer de leur transmission. Les modalités selon lesquelles cette personne est informée sont précisées aux sous-articles « Participant inscrit par un tiers » et « Personne à joindre en cas d’urgence » du présent article. Le présent article ne vise pas les renseignements qui concernent l’exercice par une personne d’une fonction au sein d’une entreprise, tels son nom et sa fonction ainsi que les coordonnées de son lieu de travail.

8.2 Participant inscrit par un tiers. Lorsque le client achète une place pour une autre personne ou transfère son inscription, il transmet les prénom, nom et adresse courriel de cette personne. Le client atteste avoir obtenu son accord au préalable. L’entreprise communique ensuite directement avec le participant afin de lui transmettre la confirmation d’inscription, les détails pour le déroulement de l’activité ainsi que le lien vers la politique de confidentialité.

8.3 Personne à joindre en cas d’urgence. Les coordonnées de cette personne et son lien avec le participant ou le client, selon le cas, sont recueillis auprès de ce dernier, qui atteste avoir obtenu son accord et s’engage à l’informer de leur transmission. Elles sont utilisées uniquement en cas d’urgence survenant pendant un atelier ou une rencontre d’accompagnement individuel, ne servent à aucune communication commerciale et ne sont communiquées à aucun tiers. Si l’entreprise doit joindre cette personne, elle l’informe alors de la source des renseignements et de la fin pour laquelle ils ont été recueillis.

8.4 Droits de la personne visée. Toute personne dont les renseignements ont été recueillis de cette manière bénéficie des mêmes droits d’accès, de rectification et de retrait que toute autre personne concernée et peut les exercer auprès de la responsable.

9. Vérification d’identité à l’accueil

9.1 À l’accueil de l’atelier, une pièce d’identité avec photo est demandée dans le but de confirmer que la personne présente est celle qui est inscrite et de maintenir un espace sécuritaire pour tous les participants.

9.2 Aucune copie n’est prise, aucun numéro n’est noté et aucun renseignement issu de cette vérification n’est conservé.

10. Photographies et enregistrements

10.1 Consentement préalable à la captation. Aucune photographie ni aucun enregistrement permettant d’identifier un participant n’est réalisé par les animatrices sans le consentement écrit, distinct et facultatif de celui-ci. Le refus de consentir est sans incidence sur la participation à l’atelier.

10.2 Utilisation et diffusion des images. Les images ainsi captées servent uniquement à faire connaître les ateliers de constellations familiales, y compris lorsque chacune des animatrices les présente pour faire connaître ses propres services. Elles peuvent être diffusées sur les canaux de communication de l’entreprise ainsi que sur ceux de la coanimatrice, existants ou mis en service ultérieurement, notamment un site web, une page Facebook ou Instagram, toute autre plateforme de réseaux sociaux, des documents promotionnels, une publicité ou une infolettre. Le recours à un nouveau canal ne modifie pas la fin pour laquelle le consentement a été donné. Les images ne sont ni vendues, ni cédées, ni utilisées à une autre fin. La publication sur un réseau social est en outre visée à l’article « Communication à l’extérieur du Québec ».

10.3 Durée d’utilisation. Les photographies permettant d’identifier un participant sont conservées et peuvent être utilisées pendant une période maximale de 10 ans suivant la date de l’atelier, à moins que le consentement soit retiré plus tôt. Une nouvelle autorisation écrite est requise pour toute utilisation après cette période.

10.4 Retrait du consentement à l’image. Le consentement peut être retiré en tout temps. L’entreprise cesse alors toute nouvelle utilisation de l’image et la retire, dans un délai raisonnable, des supports numériques qu’elle contrôle. L’entreprise transmet sans délai l’avis de retrait à la coanimatrice, qui est tenue d’y donner suite dans les mêmes conditions. Le retrait n’a pas d’effet rétroactif sur les utilisations licitement effectuées avant sa réception et ne permet pas de récupérer les documents imprimés déjà distribués ni les copies reproduites ou rediffusées par des tiers.

10.5 Utilisation par la coanimatrice. L’utilisation des images par la coanimatrice se limite aux photographies des ateliers qu’elle a animés. Elle demeure permise après la fin de la collaboration, dans les mêmes limites et pour la même durée. Sur avis de la responsable, la coanimatrice cesse toute nouvelle utilisation et retire les images des supports numériques qu’elle contrôle, dans un délai raisonnable; les limites prévues au sous-article « Retrait du consentement à l’image » s’appliquent également à ses publications. Cette obligation est prévue à l’entente écrite conclue avec elle.

10.6 Interdiction faite aux participants. Il est interdit aux participants de photographier ou d’enregistrer l’atelier, en tout ou en partie, conformément aux conditions de vente et de participation.

11. Personnes et fournisseurs ayant accès

11.1 Liste des personnes et fournisseurs. Ont accès aux renseignements personnels :

La responsable de la protection des renseignements personnels de l’entreprise;
La coanimatrice, dans les limites prévues à l’article « Rôle de la coanimatrice »;
Stripe, ainsi qu’un compte Stripe distinct de celui des ateliers, pour le traitement des paiements, la prévention de la fraude et la gestion des remboursements et des contestations;
Square, Stripe ou QuickBooks, pour les mêmes fins à l’égard de l’accompagnement individuel;
Cyberimpact, pour la gestion des consentements à l’infolettre, de la liste d’envoi, des désabonnements et des statistiques de transmission;
Microsoft 365 pour entreprise, pour l’hébergement et la gestion des communications, des formulaires, des documents administratifs et des sauvegardes;
Google Workspace, pour l’hébergement de l’adresse courriel professionnelle de l’entreprise, à laquelle parviennent les courriels qui lui sont adressés directement, les avis reprenant les envois faits au moyen du formulaire de contact du site web, ainsi que les avis de virement Interac reçus par dépôt automatique;
Wix, pour l’hébergement du site web de l’entreprise, pour l’enregistrement de son nom de domaine et pour la conservation des envois faits au moyen du formulaire de contact; Wix agit en outre comme revendeur du service de messagerie professionnelle pour le domaine auroracumulus.ca et détient à ce titre un accès d’administrateur à la console de ce service, distincte du tableau de bord du site;
QuickBooks, pour la facturation et la tenue des livres, ainsi que pour le paiement d’une facture par carte lorsque le client utilise cette option;
Adobe, pour la signature électronique des documents contractuels;
Notion, pour l’organisation du travail, les suivis, la planification des activités et la préparation des communications de l’entreprise;
Canva, pour la production du matériel promotionnel, y compris les photographies visées à l’article « Photographies et enregistrements »;
Claude, exploité par Anthropic, pour l’assistance à l’organisation du travail, à la rédaction et au montage du matériel promotionnel, dans les limites prévues au sous-article « Outils d’intelligence artificielle »;
ChatGPT, exploité par OpenAI, pour l’assistance à l’organisation du travail, à la rédaction et au montage du matériel promotionnel, dans les limites prévues au sous-article « Outils d’intelligence artificielle »;
Meta, qui exploite Facebook, Messenger et Instagram, à l’égard du matériel promotionnel publié sur les pages de l’entreprise, y compris les photographies et les témoignages dont la publication a été autorisée; ces plateformes hébergent ce matériel et le traitent selon leurs propres conditions, dans les limites décrites à l’article « Communication à l’extérieur du Québec »;
LinkedIn, à l’égard du matériel promotionnel publié sur les pages de l’entreprise, y compris les photographies et les témoignages dont la publication a été autorisée; cette plateforme héberge ce matériel et le traite selon ses propres conditions, dans les limites décrites à l’article « Communication à l’extérieur du Québec »;
Un professionnel tenu au secret professionnel, notamment un comptable ou un avocat, lorsque cela est nécessaire;
Une autorité publique, uniquement lorsque la loi l’exige.

11.2 Encadrement contractuel des fournisseurs. Lorsque des renseignements personnels sont confiés à un fournisseur dans le cadre d’un mandat ou d’un contrat de service, leur communication est encadrée par un contrat écrit ou par les conditions contractuelles applicables au service. L’entreprise vérifie que cet encadrement prévoit les mesures requises pour protéger la confidentialité des renseignements, en limiter l’utilisation aux fins du service, encadrer leur conservation et leur destruction et assurer la communication de tout incident de confidentialité, conformément à la loi.

11.3 Absence d’autre communication à des fins commerciales. Aucun renseignement personnel n’est vendu, loué ou échangé ni communiqué à un tiers afin que celui-ci l’utilise pour ses propres fins de prospection commerciale. La communication des renseignements nécessaires à Cyberimpact pour gérer l’infolettre pour le compte de l’entreprise demeure encadrée par le sous-article « Encadrement contractuel des fournisseurs ».

11.4 Communication en situation d’urgence. Conformément à l’article 18.1 de la Loi, un renseignement personnel peut être communiqué sans le consentement de la personne concernée en vue de protéger une personne ou un groupe de personnes identifiable, lorsqu’il existe un motif raisonnable de croire qu’un risque sérieux de mort ou de blessures graves menace cette personne ou ce groupe et que la nature de la menace inspire un sentiment d’urgence. La communication ne peut être faite qu’aux personnes exposées à ce risque, à leur représentant ou à toute personne susceptible de leur porter secours. Elle est limitée aux renseignements nécessaires et est consignée.

11.5 Outils d’intelligence artificielle. L’entreprise a recours à des outils d’intelligence artificielle générative pour l’assistance à l’organisation du travail, à la rédaction et à la production de son matériel promotionnel. Seuls y sont traités les renseignements dont la publication a été autorisée par la personne concernée, notamment un témoignage ou une photographie visée à l’article « Photographies et enregistrements ». Aucun dossier d’accompagnement individuel, aucun formulaire de consentement, aucun renseignement d’inscription et aucun renseignement concernant les employés d’une entreprise cliente n’y est traité. Les images ne sont pas modifiées par ces outils et les témoignages ne sont pas reformulés : les images publiées sont celles qui ont été captées et les propos publiés sont ceux de la personne concernée. Aucune décision concernant une personne n’est prise au moyen de ces outils.

11.6 Ajout ou remplacement d’un outil. L’entreprise peut confier des renseignements personnels à un outil qui ne figure pas encore au sous-article « Liste des personnes et fournisseurs », notamment lorsqu’elle ajoute ou remplace un logiciel. Elle procède alors à l’évaluation prévue à l’article « Communication à l’extérieur du Québec » avant toute communication, met la présente politique à jour et en diffuse l’avis conformément à l’article « Modification et révision de la politique ».

12. Communication à l’extérieur du Québec

12.1 Lieux de traitement et d’hébergement. Certains fournisseurs auxquels l’entreprise a recours traitent ou hébergent des renseignements personnels à l’extérieur du Québec, notamment ailleurs au Canada et aux États-Unis. Un fournisseur peut également traiter ou héberger des renseignements dans un autre pays, selon l’emplacement de ses installations et de celles de ses propres sous-traitants.

Certains de ces fournisseurs ne prennent aucun engagement quant au pays où les renseignements sont conservés et ne communiquent pas cet emplacement. L’entreprise n’est donc pas en mesure d’établir, à un moment donné, dans quel pays se trouve un renseignement précis.

L’entreprise ne peut établir, à l’égard de l’ensemble de ses fournisseurs, une liste exhaustive et permanente des pays où les renseignements sont traités ou hébergés. Dans tous les cas, la communication demeure assujettie à l’évaluation et aux conditions prévues aux sous-articles « Évaluation des facteurs relatifs à la vie privée », « Conditions de la communication » et « Limitation aux renseignements nécessaires ».

12.2 Évaluation des facteurs relatifs à la vie privée. Conformément à l’article 17 de la Loi, une évaluation des facteurs relatifs à la vie privée est réalisée avant toute communication de cette nature. Elle porte sur la sensibilité des renseignements, sur la finalité de leur utilisation, sur les mesures de protection dont ils bénéficieraient, y compris les mesures contractuelles, ainsi que sur le régime juridique applicable dans le pays de destination.

12.3 Conditions de la communication. Sous réserve des sous-articles « Communications reçues au moyen d'un réseau social », « Limites applicables à ce canal » et « Publication de matériel promotionnel sur un réseau social », la communication à l'extérieur du Québec n'a lieu que si l'évaluation conclut que les renseignements bénéficieraient d'une protection adéquate. Elle est encadrée par une entente écrite avec le fournisseur, qui prend le plus souvent la forme de conditions non négociables acceptées à l’ouverture du compte, notamment des conditions de service, des addendas relatifs au traitement des données et des clauses contractuelles types. L'entreprise en vérifie le contenu au regard des résultats de l'évaluation, ne procède à la communication que si les mesures prévues répondent aux risques identifiés, et conserve une copie datée de ces documents.

12.4 Limitation aux renseignements nécessaires. Seuls les renseignements strictement nécessaires sont transmis à ces fournisseurs.

12.5 Communications reçues au moyen d’un réseau social. Une personne peut communiquer avec l’entreprise au moyen d’un réseau social, notamment Facebook, Messenger ou Instagram, exploités par Meta. Dans le cadre de ces échanges, l’entreprise ne confie aucun renseignement à ce tiers : le choix du canal appartient à la personne et le contenu de l’échange demeure sur la plateforme, qui le conserve et l’utilise selon ses propres conditions, notamment à des fins publicitaires. L’entreprise n’exerce aucun contrôle sur cette conservation ni sur cette utilisation et ne peut obtenir de ce tiers une entente adaptée aux résultats de son évaluation.

12.6 Limites applicables à ce canal. L’évaluation prévue au sous-article « Évaluation des facteurs relatifs à la vie privée » ne permet pas de conclure que les renseignements transmis par un réseau social bénéficieraient d’une protection comparable à celle des autres outils de l’entreprise. Ce canal sert au premier contact et à l’information générale. L’entreprise n’y transmet aucun renseignement tiré de ses dossiers, informe la personne de cette limite et lui offre le courriel en tout temps. Il est recommandé de ne pas transmettre de renseignement de nature personnelle ou sensible par ce canal. Lorsque la personne, ainsi informée, choisit de poursuivre par le réseau social, son choix est respecté.

12.7 Publication de matériel promotionnel sur un réseau social. L’entreprise publie du matériel promotionnel sur ses pages de réseaux sociaux, notamment Facebook, Instagram et LinkedIn. Lorsque ce matériel comprend une photographie ou un témoignage permettant d’identifier une personne, la publication n’a lieu qu’avec le consentement écrit, distinct et facultatif de celle-ci, obtenu préalablement conformément aux articles « Consentement » et « Photographies et enregistrements ». La personne est informée que le matériel publié est hébergé par la plateforme, à l’extérieur du Québec, qu’il y est conservé et utilisé selon les conditions de celle-ci, et que l’entreprise n’exerce aucun contrôle sur les copies qui pourraient en être faites ou rediffusées par des tiers. Le retrait du consentement produit les effets prévus à l’article « Photographies et enregistrements ».

13. Conservation et destruction

13.1 Les exemplaires papier des formulaires de consentement des ateliers sont numérisés dans les sept jours suivant l'atelier, puis détruits de façon sécuritaire; ils sont gardés sous clé jusqu'à leur destruction. Les copies numérisées et les dossiers d'accompagnement individuel tenus sous forme numérique sont conservés dans un espace protégé par mot de passe et par authentification à deux facteurs.

13.2 Les durées de conservation sont les suivantes :

Preuve de l’inscription, de l’acceptation des conditions et du consentement à participer à un atelier : 7 ans suivant l’atelier

Renseignements sensibles déclarés au formulaire de consentement et utilisés pour accepter ou refuser la participation : 7 ans suivant l’atelier ou la décision de refus

Dossier d’accompagnement individuel, incluant le formulaire d’ouverture, le contrat de services, les renseignements déclarés par le client et le sommaire des rencontres : 7 ans suivant la dernière rencontre

Renseignements confiés par une entreprise cliente : Détruits ou remis au client dès la confirmation de la fin du mandat, conformément au contrat de service

Contrat de service, correspondance et pièces de facturation d'un mandat : 7 ans suivant la fin du mandat

Documents comptables et justificatifs de paiement, y compris les avis de virement Interac : 6 ans suivant la fin de la dernière année fiscale à laquelle ils se rapportent

Courriels administratifs ordinaires : 2 ans suivant le dernier échange

Envois reçus au moyen du formulaire de contact du site web : Jusqu’à la purge annuelle suivant l’expiration d’une période de 2 ans après le dernier échange, puis jusqu’à 180 jours dans la corbeille de Wix.

Plaintes : 3 ans suivant leur règlement définitif

Registre et documents relatifs à un incident de confidentialité : Au moins 5 ans suivant la date ou la période au cours de laquelle l’entreprise a pris connaissance de l’incident

Registre des communications faites en vertu de l’article 18.1 de la Loi : 5 ans suivant la communication

Liste d’attente visant aussi de futurs ateliers : 12 mois suivant l’inscription ou le dernier renouvellement exprès

Photographies identifiables : 10 ans suivant l’atelier ou jusqu’au retrait du consentement, selon la première éventualité

Infolettre de l’entreprise : Jusqu’au désabonnement. Après celui-ci, l’adresse courriel ainsi que la date et le statut du désabonnement sont conservés aussi longtemps que l’entreprise utilise l’infolettre afin de respecter le retrait; les autres éléments de preuve sont conservés seulement pendant la durée nécessaire à la conformité.

Les gabarits, modèles et outils produits par l'entreprise ne contiennent aucun renseignement personnel et ne sont pas visés par le présent tableau.

Les renseignements sensibles déclarés au formulaire de consentement sont conservés pour la même durée que le formulaire qui les porte, ces renseignements figurant sur le même document signé. Cette durée tient compte du fait que le délai de prescription d’une action en réparation d’un préjudice qui se manifeste graduellement ou tardivement court à compter du jour où ce préjudice se manifeste pour la première fois. Elle permet à l’entreprise d’établir, le cas échéant, les renseignements déclarés par le participant ainsi que les motifs de sa décision d’accepter ou de refuser une participation.

Les envois reçus au moyen du formulaire de contact dont le dernier échange remonte à plus de deux ans sont placés dans la corbeille de Wix lors de la purge annuelle effectuée par l’entreprise. Selon le fonctionnement actuellement documenté par Wix, ils y demeurent pendant 180 jours avant leur suppression définitive. L’entreprise vérifie périodiquement ce délai et ajuste sa pratique si le fournisseur le modifie.

Malgré les durées prévues au tableau, lorsqu’une réclamation, une plainte, une vérification ou une procédure est en cours ou a été annoncée, les renseignements qui s’y rapportent sont conservés jusqu’au règlement définitif du dossier et à l’expiration des délais de recours applicables.

13.3 Destruction sécuritaire. Lorsque la durée de conservation applicable est expirée, l’entreprise détruit de façon sécuritaire les renseignements personnels sous son contrôle. Lorsqu’ils sont détenus par un fournisseur pour son compte, elle veille à leur suppression au moyen des mécanismes prévus à cette fin. Les délais techniques de suppression, notamment ceux liés aux copies de sauvegarde, varient selon les services; l’entreprise les documente et en tient compte dans son calendrier de destruction. Pendant tout délai résiduel, les renseignements demeurent assujettis aux mesures de protection et aux restrictions d’utilisation applicables. Une obligation légale de conservation peut toutefois retarder leur destruction.

14. Mesures de sécurité

14.1 L’entreprise maintient des mesures administratives, techniques et physiques raisonnables et proportionnées à la sensibilité, à la quantité, à la finalité et au support des renseignements personnels détenus.

Ces mesures comprennent notamment :

Documents papier rangés sous clé et jamais laissés sans surveillance;
Appareils et comptes protégés par des mots de passe uniques et par authentification à deux facteurs lorsque cette fonction est offerte;
Gestionnaire de mots de passe pour l’ensemble des accès;
Compte d’utilisateur distinct et nominatif pour chaque personne ayant accès à un outil, avec des droits limités à ce qui est nécessaire à sa fonction;
Comptes de paiement distincts pour les ateliers de groupe et pour l’accompagnement individuel;
Séparation stricte entre les dossiers contenant des renseignements de participants et tout dossier faisant l’objet d’un partage public;
Transmission des renseignements sensibles par des méthodes offrant un niveau de protection approprié;
Révocation sans délai indu des accès au terme d’une collaboration.

15. Infolettre et communications commerciales

15.1 Inscription volontaire et double confirmation. L’inscription à l’infolettre de l’entreprise est facultative et s’effectue au moyen d’un formulaire distinct accessible par un lien fourni par l’entreprise. Aucune personne n’est ajoutée automatiquement à la liste d’envoi. L’inscription n’est complétée qu’après sa confirmation au moyen du courriel transmis à l’adresse fournie. Le refus de s’inscrire est sans incidence sur la participation à un atelier ou sur l’accès aux autres services de l’entreprise.

15.2 Invitation à s’abonner. Un lien vers le formulaire d’abonnement peut notamment être présenté dans la signature de certains courriels adressés aux clients, notamment lors de la transmission du contrat, ainsi que dans un courriel de remerciement transmis après un atelier. La présence de ce lien n’entraîne aucun abonnement automatique. Tout courriel contenant cette invitation identifie clairement l’entreprise, fournit son adresse postale ainsi qu’au moins un autre moyen de communication valide et comporte un mécanisme simple permettant de refuser toute autre communication commerciale.

15.3 Contenu de chaque envoi. Chaque infolettre identifie clairement l’entreprise comme expéditrice, comporte ses coordonnées et un mécanisme de désabonnement fonctionnel.

15.4 Traitement des demandes de retrait. Toute demande de désabonnement à l’infolettre ou de refus de futures communications commerciales de l’entreprise est traitée sans délai et au plus tard dans les 10 jours ouvrables suivant sa réception, conformément à la Loi canadienne anti-pourriel.

15.5 Absence d’abonnement automatique ou pour autrui. L’inscription à un atelier ou à une liste d’attente, le recours à un service d’accompagnement et la conclusion d’un mandat n’entraînent pas l’ajout à la liste d’envoi. Une personne ne peut pas inscrire une autre personne à l’infolettre à sa place.

16. Droits de la personne concernée

16.1 Droits pouvant être exercés. Toute personne concernée peut exercer les droits suivants :

Accès : Obtenir communication des renseignements détenus à son sujet et en recevoir une copie.

Rectification et suppression : Faire corriger un renseignement inexact, incomplet ou équivoque; faire supprimer un renseignement périmé ou non justifié par l’objet du dossier; ou faire rectifier un renseignement dont la collecte, la communication ou la conservation n’est pas autorisée par la loi.

Retrait du consentement : Retirer son consentement à l’utilisation ou à la communication de ses renseignements.

Portabilité : Recevoir, à moins que cela ne soulève des difficultés pratiques sérieuses, dans un format technologique structuré et couramment utilisé, les renseignements personnels informatisés recueillis auprès d’elle, à l’exclusion de ceux créés ou inférés, ou en demander la communication à une personne ou à un organisme autorisé par la loi à les recueillir.

Diffusion et indexation : Demander, dans les cas prévus par la Loi, la cessation de la diffusion d’un renseignement personnel ou la désindexation ou la réindexation d’un hyperlien rattaché à son nom permettant d’y accéder.

16.2 Présentation de la demande et vérification de l’identité. La demande est adressée par écrit à la responsable. La personne qui la présente doit établir son identité et, lorsqu’elle agit pour autrui, sa qualité ou son autorisation à agir. Seuls les renseignements nécessaires à cette vérification sont demandés.

16.3 Délai de réponse. Une réponse écrite est transmise dans les 30 jours suivant la réception de la demande, conformément à l’article 32 de la Loi.

16.4 Frais. L’accès aux renseignements personnels et leur rectification sont gratuits. Des frais n’excédant pas le coût de leur transcription, de leur reproduction ou de leur transmission peuvent toutefois être exigés. La personne concernée est informée au préalable du montant approximatif de ces frais.

16.5 Motivation d’un refus. Tout refus d’acquiescer à une demande est motivé par écrit. La réponse indique la disposition de la Loi sur laquelle le refus s’appuie, les recours qui s’offrent à la personne concernée et le délai dans lequel ils peuvent être exercés. La responsable prête assistance à la personne qui le demande pour l’aider à comprendre le refus.

16.6 Suite donnée à une rectification ou à une suppression. Lorsque l’entreprise acquiesce à une demande de rectification ou de suppression, elle délivre sans frais à la personne concernée une copie de tout renseignement personnel modifié ou ajouté ou, selon le cas, une attestation de la suppression. Elle avise sans délai de la rectification toute personne ayant reçu le renseignement au cours des six mois précédents et, le cas échéant, la personne de qui elle le tient.

16.7 Examen d’une demande de rectification ou de suppression. Toute demande est évaluée conformément à l’article 40 du Code civil du Québec et à l’article 28 de la Loi. Une demande de suppression peut être refusée lorsque le renseignement demeure actuel et justifié par l’objet du dossier et que sa conservation demeure nécessaire aux fins pour lesquelles il a été recueilli ou est exigée par une loi. Le renseignement est détruit lorsque ces fins sont accomplies et qu’aucun délai légal de conservation ne s’applique, conformément à l’article « Conservation et destruction ». Tout refus est motivé conformément au sous-article « Motivation d’un refus ».

17. Traitement des plaintes

17.1 Toute plainte relative à la protection des renseignements personnels est adressée à la responsable, qui en accuse réception, l’examine et y répond par écrit dans les meilleurs délais.

17.2 Les plaintes reçues et les suites qui leur sont données sont consignées.

Si la réponse de la responsable ne satisfait pas la personne concernée, une plainte peut être déposée auprès de la Commission d’accès à l’information du Québec : cai.gouv.qc.ca • 1 888 528-7741.

18. Incidents de confidentialité

18.1 L’entreprise tient un registre de tous les incidents de confidentialité, conformément à l’article 3.8

de la Loi.

18.2 Dès qu’un incident est constaté, les mesures raisonnables sont prises sans délai pour en diminuer les risques et pour éviter qu’un incident de même nature ne se reproduise.

18.3 Lorsque l’incident présente un risque qu’un préjudice sérieux soit causé, les personnes concernées et la Commission d’accès à l’information en sont avisées avec diligence.

19. Décisions automatisées, profilage et témoins de connexion

19.1 Absence de décision automatisée. L’entreprise ne prend aucune décision concernant l’admissibilité à un service ou la participation à une activité sur le seul fondement d’un traitement automatisé. Les prestataires de services de paiement peuvent toutefois utiliser des mécanismes automatisés d’autorisation des paiements et de prévention de la fraude, conformément à leurs propres pratiques de confidentialité.

19.2 Statistiques de l’infolettre. Pour les ouvertures et les clics relatifs à l’infolettre, l’entreprise utilise uniquement des statistiques d’envoi anonymisées. Ces événements sont comptabilisés sans être associés à un destinataire. L’entreprise n’utilise pas ces statistiques pour identifier une personne, établir un profil ou prendre une décision la concernant. Les données nécessaires à la livraison, à la confirmation du consentement et au désabonnement demeurent toutefois associées au contact concerné.

19.3 Site web et témoins de connexion. L’entreprise exploite un site web à l’adresse https://auroracumulus.ca, hébergé par Wix. Ce site présente de l’information sur les services offerts, rend la présente politique accessible et comporte un formulaire de contact; il ne sert ni à l’inscription aux ateliers ni au paiement.

Wix dépose des témoins essentiels nécessaires au fonctionnement et à la sécurité du site; ceux-ci ne peuvent pas être désactivés. Les témoins facultatifs, notamment analytiques, fonctionnels ou marketing, ne sont activés que selon le choix exprimé au moyen du bandeau de gestion des témoins. La personne peut les refuser et modifier ses préférences en tout temps.

L’entreprise n’utilise actuellement aucun outil publicitaire ou de profilage ajouté par elle. Avant d’activer une technologie permettant d’identifier, de localiser ou d’effectuer un profilage, elle informe les personnes concernées et leur indique les moyens offerts pour activer ces fonctions, conformément à la Loi.

Le présent sous-article vise le site décrit ci-dessus; la mise en ligne d’un autre site entraîne une révision de la présente politique.

19.4 Pages des fournisseurs. L’inscription et le paiement s’effectuent sur la page sécurisée du prestataire de services de paiement et l’abonnement à l’infolettre, sur celle de la plateforme d’envoi.

Ces pages utilisent leurs propres témoins de connexion, régis par les politiques de leurs fournisseurs respectifs.

20. Modification et révision de la politique

20.1 La présente politique peut être modifiée. La version en vigueur est celle publiée sur le site web de l’entreprise. Sa date d’entrée en vigueur figure en tête et au bas du document.

20.2 Elle est révisée au moins une fois par année, ainsi que dès qu’un changement d’outil, de fournisseur, de services offerts ou de renseignements recueillis le requiert.

20.3 Toute modification de la présente politique fait l’objet d’un avis diffusé par tout moyen propre à atteindre les personnes concernées, conformément à l’article 8.2 de la Loi.

21. Coordonnées

Myriam Jasmin

Responsable de la protection des renseignements personnels

2590 rue Principale, Mont-Blanc (Québec) J0T 2G0

Téléphone : 514-360-5773 • Courriel : myriam@myriamjasmin.ca