Loi 25 et la plateforme app.sentrix.ca

Dernière mise à jour le 2026-10-02. Cette section explique comment Sentrisques Cybersécurité Inc. applique la Loi sur la protection des renseignements personnels dans le secteur privé du Québec, telle que modifiée par la Loi 25, à la plateforme app.sentrix.ca. Elle complète notre politique de confidentialité, qui couvre le site public, et notre entente de traitement des données.

Qui est responsable

Notre responsable de la protection des renseignements personnels est William Georges Khouri, président-directeur général de Sentrix. Il veille au respect de la loi et à la mise en œuvre de nos politiques. Vous pouvez le joindre à privacy@sentrix.ca.

Deux rôles coexistent dans la plateforme, et ils déterminent qui répond de quoi :

• Sentrix est l'entreprise responsable des renseignements nécessaires à la gestion de votre abonnement : nom, adresse courriel professionnelle, organisation et rôle des personnes qui ouvrent une session, ainsi que les journaux de sécurité de l'application.
• Votre organisation demeure responsable des renseignements qu'elle verse dans la plateforme pour son programme de conformité : comptes de ses utilisateurs, preuves tirées de ses systèmes, documents téléversés. Sentrix agit alors comme mandataire, uniquement selon vos instructions et pour vous fournir le service.

Ce que la plateforme traite, et pourquoi

Nous ne collectons que ce qui est nécessaire à ces fins. Nous ne vendons pas de renseignements personnels et n'utilisons pas les données de conformité d'un client à d'autres fins que la fourniture du service.

Où les données sont hébergées

La plateforme est hébergée sur Microsoft Azure, dans la région Canada Central, à Toronto. Les bases de données, les fichiers, les clés de chiffrement et les copies de sauvegarde demeurent au Canada.

Toronto étant à l'extérieur du Québec, la Loi 25 considère cet hébergement comme une communication de renseignements personnels hors Québec. Avant de la faire, nous avons évalué si les renseignements bénéficient d'une protection adéquate, notamment au regard de leur sensibilité, des fins de leur utilisation, des mesures de protection et du régime juridique applicable. Cette évaluation est consignée dans notre évaluation des facteurs relatifs à la vie privée.

Nos sous-traitants

Nous confions certaines tâches à des fournisseurs, liés par un contrat écrit qui encadre la confidentialité, la sécurité et l'usage des renseignements. Ils ne peuvent les utiliser qu'aux fins du mandat.

Les clients sont avisés au moins 30 jours avant l'ajout d'un nouveau sous-traitant à la plateforme. La liste nominative est fournie à nos clients avec leur entente de traitement et sur demande à privacy@sentrix.ca.

Évaluation des facteurs relatifs à la vie privée

Une évaluation des facteurs relatifs à la vie privée a été réalisée pour la plateforme, y compris pour son hébergement hors Québec. Nous la mettons à jour lorsqu'un changement important touche la façon dont la plateforme traite des renseignements personnels, par exemple l'ajout d'un sous-traitant, d'une région d'hébergement ou d'une fonction qui utilise de nouveaux renseignements.

Sécurité et confidentialité par défaut

Les données sont chiffrées en transit et au repos, et les clés sont conservées dans un coffre géré. L'accès aux données des clients est limité aux membres de notre équipe dont la fonction l'exige, journalisé et revu. Notre personnel est lié par des engagements de confidentialité et suit une formation de sensibilisation à la sécurité.

La plateforme n'utilise ni Google Analytics, ni témoins publicitaires, ni outil de profilage. Lorsque la plateforme offre un paramètre de confidentialité, il est réglé par défaut au niveau le plus protecteur.

Intelligence artificielle et décisions automatisées

Les fonctions assistées par l'intelligence artificielle s'exécutent sur les services de Microsoft Azure, dans le même cadre contractuel que l'hébergement. Elles servent à vous fournir le service ; vos données ne sont pas utilisées à d'autres fins.

Si une fonction de la plateforme devait fonder une décision exclusivement sur un traitement automatisé de vos renseignements, nous vous en informerions au plus tard au moment de la décision, et vous pourriez connaître les renseignements et les principaux facteurs utilisés, faire rectifier les renseignements et présenter vos observations à une personne en mesure de réviser la décision.

Incidents de confidentialité

Nous tenons un registre des incidents de confidentialité. Lorsqu'un incident présente un risque de préjudice sérieux, nous avisons avec diligence la Commission d'accès à l'information et les personnes concernées, comme le prévoit la loi.

Lorsque l'incident touche des renseignements dont votre organisation est responsable, nous l'en avisons sans délai indu et lui fournissons l'information dont elle a besoin pour évaluer le risque et remplir ses propres obligations.

Conservation et destruction

À l'échéance, les renseignements sont détruits de façon sécuritaire ou anonymisés selon les méthodes reconnues, lorsque la loi le permet.

Vos droits

Vous pouvez demander l'accès aux renseignements personnels qui vous concernent, leur rectification, ou retirer votre consentement lorsque le traitement en dépend. Vous pouvez aussi demander que des renseignements informatisés que vous nous avez fournis vous soient communiqués, ou à la personne que vous désignez, dans un format technologique structuré et couramment utilisé.

Écrivez à privacy@sentrix.ca. Nous vérifions votre identité, puis répondons dans les 30 jours. Si votre demande porte sur des renseignements dont votre employeur est responsable dans la plateforme, nous la lui transmettons et l'aidons à y répondre.

Plaintes

Une plainte au sujet de notre traitement de vos renseignements personnels s'adresse d'abord à notre responsable, à privacy@sentrix.ca. Nous en accusons réception et y répondons par écrit dans les 30 jours. Si la réponse ne vous satisfait pas, vous pouvez vous adresser à la Commission d'accès à l'information du Québec.

Utilisateurs de la plateforme

La plateforme est un service offert aux organisations. Elle n'est pas destinée aux personnes de moins de 14 ans et ne collecte pas sciemment de renseignements à leur sujet.