Politique de protection des données (« Politique »)

La Politique a pour objet de :

• i. Respecter la loi.
• ii. Suivre les bonnes pratiques.
• iii. Protéger les clients, le personnel et les autres personnes.
• iv. Protéger la Société.

2. Toutes les données personnelles (telles que ce terme est défini dans le Règlement général sur la protection des données (« RGPD ») collectées, conservées et traitées par WORKPLACED ne seront collectées, conservées, transférées et traitées que conformément au RGPD et à la Politique de WORKPLACED. Par conséquent, la présente Politique s’applique à chaque serveur, base de données et système informatique qui traite de telles données, y compris tout appareil régulièrement utilisé pour la messagerie électronique, l’accès au web ou d’autres tâches professionnelles. Chaque utilisateur interagissant avec les services informatiques de la société est également soumis à la présente politique. Les informations classées comme publiques ne sont pas soumises à la présente Politique. D’autres données peuvent être exclues de la Politique par la direction de WORKPLACED sur la base de besoins opérationnels spécifiques, par exemple lorsque la protection des données est trop coûteuse ou trop complexe.

3. Le service informatique de WORKPLACED (« Service informatique ») est responsable de :

• i. Informer le Conseil d’administration de WORKPLACED des responsabilités en matière de Protection des données.
• ii. Réviser la politique de Protection des données et les politiques connexes.
• iii. Conseiller les autres membres du personnel sur les questions délicates de Protection des données.
• iv. Veiller à ce que l’initiation et la formation en matière de Protection des données aient lieu.
• v. Traiter les demandes d’accès des personnes concernées.
• vi. Approuver les divulgations inhabituelles ou controversées de données personnelles.
• vii. Approuver les contrats avec les Sous-traitants.

4. Tous les membres du personnel et les bénévoles doivent être tenus de lire, de comprendre et d’accepter toutes les politiques et procédures relatives aux données personnelles qu’ils peuvent être amenés à traiter dans le cadre de leur travail. (Désormais, lorsque le terme « employés » est utilisé, il inclut à la fois les employés rémunérés et les bénévoles.)

5. Le Service informatique veille à ce qu’il existe des contrôles de sécurité des données comprenant, au minimum, mais sans s’y limiter, la séparation logique des données, un accès restreint (par exemple fondé sur les rôles) et une surveillance, ainsi que l’utilisation de technologies de chiffrement des données personnelles disponibles dans le commerce et conformes aux normes du secteur.

6. Tous les e-mails contenant des données personnelles doivent être chiffrés.

7. WORKPLACED donne à tous les employés et aux tiers sous contrat l’accès aux informations dont ils ont besoin pour s’acquitter de leurs responsabilités aussi efficacement et rationnellement que possible. Par conséquent :

• a. Chaque utilisateur est identifié par un identifiant utilisateur unique afin que les personnes puissent être tenues responsables de leurs actions.
• b. L’utilisation d’identités partagées n’est autorisée que lorsqu’elle est appropriée, par exemple pour les comptes de formation ou les comptes de service.
• c. Chaque utilisateur lit la présente politique de sécurité des données et signe une déclaration attestant qu’il comprend les conditions d’accès.
• d. Les enregistrements des accès des utilisateurs peuvent être utilisés pour fournir des preuves lors des enquêtes sur les incidents de sécurité.
• e. L’accès est accordé selon le principe du moindre privilège, ce qui signifie que chaque utilisateur, application et service se voit accorder le moins de privilèges nécessaires à l’accomplissement de ses tâches.

• a. Tous les employés et sous-traitants se voient accorder un accès réseau conformément aux procédures de contrôle d’accès de l’entreprise et au principe du moindre privilège.
• b. Tous les membres du personnel et sous-traitants disposant d’un accès à distance aux réseaux de WORKPLACED sont authentifiés uniquement au moyen du mécanisme d’authentification VPN.
• c. La ségrégation des réseaux est mise en œuvre conformément aux recommandations issues des recherches de WORKPLACED en matière de sécurité des réseaux. Les administrateurs réseau regroupent les services d’information, les utilisateurs et les systèmes d’information de manière appropriée afin d’obtenir la ségrégation requise.
• d. Des contrôles de routage réseau sont mis en œuvre pour soutenir la politique de contrôle d’accès.

• a. Tous les utilisateurs doivent verrouiller leur écran chaque fois qu’ils quittent leur poste de travail afin de réduire le risque d’accès non autorisé.
• b. Tous les utilisateurs doivent laisser leur poste de travail exempt de toute information sensible ou confidentielle lorsqu’ils le quittent.
• c. Tous les utilisateurs doivent garder leurs mots de passe confidentiels et ne pas les partager.

• a. Tous les membres du personnel et sous-traitants de WORKPLACED se voient accorder l’accès aux données et applications requises pour leurs responsabilités professionnelles.
• b. Tous les membres du personnel et sous-traitants de WORKPLACED n’accèdent aux données et systèmes sensibles que s’il existe un besoin opérationnel de le faire et qu’ils ont l’approbation de la direction supérieure.
• c. Les systèmes sensibles sont isolés physiquement ou logiquement afin d’en restreindre l’accès au seul personnel autorisé.

• a. L’accès aux données classées « Confidentielles » ou « Restreintes » est limité aux personnes autorisées dont les responsabilités professionnelles l’exigent, tel que déterminé par la Politique ou la direction supérieure de WORKPLACED.
• b. La responsabilité de la mise en œuvre des restrictions d’accès incombe au service informatique.

12. Les données personnelles ne peuvent pas être transférées vers un appareil appartenant personnellement à un employé, et les données personnelles ne peuvent être transférées vers des appareils appartenant à des agents, sous-traitants ou autres parties travaillant pour le compte de WORKPLACED que si la partie concernée a accepté de se conformer pleinement à la lettre et à l’esprit de la présente Politique et du RGPD (ce qui peut inclure la démonstration à WORKPLACED que toutes les mesures techniques et organisationnelles appropriées ont été prises).

13. Le Service informatique fournit des procédures opérationnelles et des contrôles pour garantir le retrait sécurisé de toute partie des systèmes informatiques ou de tout support, afin de rendre toute information ou donnée contenue dans les systèmes informatiques illisible ou irrécupérable avant leur retrait définitif ou leur sortie de la possession de WORKPLACED.

14. Lorsque des données personnelles doivent être supprimées ou autrement retirées pour quelque raison que ce soit (y compris lorsque des copies ont été réalisées et ne sont plus nécessaires), elles doivent être supprimées de manière sécurisée. Les copies papier doivent être déchiquetées et les copies électroniques doivent être supprimées de manière « définitive ».

15. Le Service informatique veille à disposer de mesures techniques et organisationnelles appropriées pour se protéger contre le traitement non autorisé ou illicite des données personnelles et contre la perte ou la destruction accidentelle des données personnelles, ou les dommages qui leur seraient causés. Ces mesures sont adaptées aux dommages qui pourraient résulter du traitement non autorisé ou illicite ou de la perte, de la destruction ou de l’endommagement accidentels des données à protéger et à la nature des données à protéger, compte tenu de l’état du développement technologique et du coût de mise en œuvre des mesures (ces mesures peuvent inclure la pseudonymisation et le codage des données personnelles lorsque cela est approprié, la garantie de la confidentialité, de l’intégrité, de la disponibilité et de la résilience des systèmes et services, la garantie de la disponibilité des données personnelles et de l’accès à celles-ci, le rétablissement de la disponibilité de ces données et de l’accès à celles-ci dans des délais appropriés à la suite d’un incident, ainsi que l’examen et l’évaluation réguliers de l’efficacité des mesures techniques et organisationnelles prises par la Commission).

16. Toutes les copies électroniques de données personnelles doivent être stockées de manière sécurisée au moyen de mots de passe et du chiffrement des données.

17. Seuls les Utilisateurs qui ont besoin d’accéder aux données personnelles et de les utiliser afin d’accomplir correctement les tâches qui leur sont assignées ont accès aux données personnelles détenues par WORKPLACED.

18. Tous les Utilisateurs qui traitent des données personnelles pour et au nom de WORKPLACED sont soumis aux dispositions de la Politique de protection des données de WORKPLACED et doivent s’y conformer.