Police Gouvernance des renseignements personnels
Politiques et pratiques de Police Management, publiées en application de l'article 3.2 de la Loi sur la protection des renseignements personnels dans le secteur privé. Version 2026.10.20, approuvée par le responsable de la protection des renseignements personnels.
1. Rôles et responsabilités
Anthony Smith, propriétaire et exploitant, est le responsable de la protection des renseignements personnels (art. 3.1). Il :
- veille au respect de la loi et des présentes pratiques;
- approuve la politique de confidentialité et les évaluations des facteurs relatifs à la vie privée (ÉFVP);
- répond aux demandes d'exercice de droits et aux plaintes;
- tient le registre des incidents de confidentialité;
- est le seul à détenir les accès administrateur à l'hébergement (Supabase, GitHub, Apple Developer). Ces accès sont protégés par l'authentification à deux facteurs.
Aucun employé ni sous-traitant n'a accès aux renseignements personnels, sauf les fournisseurs techniques décrits dans la politique de confidentialité, dans la mesure nécessaire à leurs services.
Contact : police.management@hotmail.com
2. Cycle de vie des renseignements
| Étape | Pratique |
|---|---|
| Collecte | Seulement les renseignements nécessaires aux finalités annoncées, directement auprès de la personne, avec un consentement manifeste, libre et éclairé, dont la preuve (date et version) est conservée |
| Utilisation | Limitée aux finalités annoncées. Aucune publicité, aucun profilage, aucune décision entièrement automatisée. |
| Communication | Aucune vente ni communication commerciale. Communication sans consentement seulement dans les cas prévus par la loi; chacune serait consignée. |
| Conservation | Selon le calendrier ci-dessous |
| Destruction | Suppression définitive dans la base de données et le stockage de fichiers. Destruction automatique des demandes refusées. |
3. Calendrier de conservation
| Renseignements | Durée | Mode de destruction |
|---|---|---|
| Compte approuvé et ses données | Tant que le compte existe | Suppression par la personne ou par l'administrateur sur demande |
| Compte inactif | Revue après 24 mois d'inactivité | Avis par courriel, puis suppression sans réponse dans les 30 jours |
| Demande d'accès refusée | 90 jours après le refus | Suppression automatique quotidienne |
| Demande d'exercice de droits ou plainte, et sa réponse | 2 ans après la réponse | Suppression des courriels et des notes |
| Registre des incidents | 5 ans après la connaissance de l'incident | Suppression de l'entrée |
4. Demandes d'exercice de droits
- Réception : par courriel, avec un accusé de réception.
- Vérification de l'identité : la demande doit venir de l'adresse liée au compte, ou d'une confirmation équivalente.
- Réponse dans les 30 jours, sans frais : accès, rectification, suppression, cessation de diffusion ou portabilité (format JSON ou CSV).
- Refus : le cas échéant, il est motivé par écrit et indique le recours possible devant la Commission d'accès à l'information.
- Trace : chaque demande est consignée (date, nature, réponse).
5. Traitement des plaintes
Toute plainte concernant la protection des renseignements personnels est reçue par courriel, puis examinée par le responsable, qui répond dans les 30 jours. Le traitement est consigné. La personne est informée qu'elle peut aussi s'adresser :
- à la Commission d'accès à l'information;
- hors Québec, au Commissariat à la protection de la vie privée du Canada.
6. Incidents de confidentialité
- Contenir : révoquer les accès, corriger la faille, joindre le fournisseur au besoin.
- Évaluer le risque de préjudice sérieux : sensibilité des renseignements, conséquences appréhendées, probabilité d'une utilisation préjudiciable.
- Consigner tout incident au registre, même sans risque sérieux.
- Aviser en cas de risque sérieux : la Commission d'accès à l'information et les personnes concernées, avec diligence. Le Commissariat à la protection de la vie privée du Canada est aussi avisé lorsque la LPRPDE s'applique.
- Réviser les mesures de protection.
7. Évaluations des facteurs relatifs à la vie privée
Une ÉFVP est réalisée avant tout projet de système d'information touchant des renseignements personnels, et avant toute communication de renseignements à l'extérieur du Québec (art. 3.3 et 17).
La dernière ÉFVP a été réalisée le 20 octobre 2026. Elle couvre :
- le passage de l'hébergement Apple iCloud à Supabase (données hébergées à Montréal);
- l'application iPhone et iPad;
- les notifications;
- l'ouverture aux agents de la paix.
Elle conclut à une protection adéquate et à des risques résiduels faibles. Elle est mise à jour à chaque changement important : nouveau fournisseur, nouvelle catégorie de renseignements ou nouvelle finalité.
8. Protection dès la conception et par défaut
- Paramètres les plus protecteurs par défaut :
- notifications, photo, position GPS et 2ᵉ calendrier désactivés tant que la personne ne les active pas;
- événements, notes et repères toujours privés;
- seul le partage de la rotation au poste est activé, et il peut être désactivé.
- Règles d'accès appliquées par la base de données, séparation par corps de police et approbation humaine de chaque compte.
- Aucun outil d'analyse, de mesure ou de publicité, dans le site comme dans l'app.
9. Formation et révision
Le responsable se tient informé des exigences légales, notamment par les publications de la Commission d'accès à l'information et du Commissariat à la protection de la vie privée du Canada. Les présentes pratiques sont révisées au moins une fois par année, et à chaque changement important.