Politique de confidentialité d’Innova Route

Innova Route est un logiciel de planification et de suivi du transport scolaire exploité par [RAISON SOCIALE] (« Innova », « nous »). Cette politique explique quels renseignements personnels nous traitons, pourquoi, où ils sont, combien de temps nous les gardons et comment exercer vos droits. Elle est rédigée selon la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25) et, quand elle s’applique, la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels.

1. La personne responsable

La personne responsable de la protection des renseignements personnels chez Innova est [RPRP]. On la joint à [ADRESSE DE SUPPORT] ou à [ADRESSE POSTALE]. Elle reçoit vos demandes et vos plaintes.

2. Nos deux rôles

Pour les élèves, les familles et les chauffeurs d’un transporteur, nous sommes un prestataire de services. Le transporteur scolaire (ou le centre de services scolaire dont il tient les renseignements) est l’entreprise responsable : c’est lui qui recueille les renseignements, qui décide de leur usage et qui répond de leur protection devant vous. Nous les traitons pour lui, selon ses instructions, et pour rien d’autre. Nous ne les utilisons pas pour nos propres fins : pas d’analyse de produit, pas de comparaison entre transporteurs, pas de vente, pas d’entraînement de modèle d’intelligence artificielle.

Pour nos propres besoins, nous sommes l’entreprise responsable. Cela couvre les comptes de nos utilisateurs, la sécurité du service, le soutien et la facturation. Les sections 3 à 9 de cette politique décrivent ces renseignements.

Si vous voulez accéder à un renseignement sur un élève, le faire corriger ou en demander l’effacement, adressez-vous au transporteur : c’est lui qui détient le dossier et qui peut vérifier qui vous êtes. Nous ne répondons pas directement à ces demandes et nous ne remettons jamais une information sur un enfant à un parent sans passer par le transporteur.

3. Les renseignements que nous recueillons pour notre propre compte

Nous ne recueillons pas de renseignements sur vous à partir de sources externes, et nous n’établissons pas de profil commercial.

4. Ce que nous traitons pour le compte des transporteurs

Ces renseignements sont ceux que le transporteur met dans le service. Ils comprennent :

• les élèves : prénom, nom, date de naissance, nom et téléphone du responsable, notes de transport et note médicale (ces champs sont chiffrés élève par élève), école, niveau, besoins particuliers, adresse et emplacement de l’arrêt d’embarquement ;
• les parents et responsables, si le transporteur leur ouvre l’Espace famille : courriel, nom, lien avec un élève, avis d’absence ;
• les chauffeurs et le personnel du transporteur : nom, téléphone, courriel, numéro d’employé, permis, rondes de sécurité signées, comptes d’utilisateur (ces renseignements ne sont pas chiffrés un à un : ils sont protégés par l’isolement entre organisations) ;
• les positions de l’autobus pendant une course : position, altitude, vitesse, direction, précision et heure.

Le transporteur reste maître de ces renseignements. Nous n’envoyons aucun nom ni aucune adresse d’élève à un service externe : l’adresse est géocodée et l’itinéraire calculé par des services que nous exploitons nous-mêmes.

5. Pourquoi nous utilisons les renseignements

Pour nos propres besoins : fournir, sécuriser et réparer le service ; vous authentifier ; répondre au soutien ; facturer ; respecter nos obligations légales. Nous n’utilisons pas vos renseignements à des fins de publicité, nous ne les vendons pas et nous ne les communiquons pas à des tiers autres que ceux de la section 7.

6. Témoins et stockage sur votre appareil

Nous n’utilisons aucun témoin de publicité, aucun outil de mesure d’audience et aucun outil de suivi d’usage. Les tiers de la section 7 voient toutefois l’adresse IP de votre appareil quand votre navigateur leur demande un fichier. Les témoins ci-dessous sont nécessaires au fonctionnement du service ou mémorisent un réglage que vous avez choisi.

Sur la tablette d’un chauffeur, le navigateur garde aussi, pour que la course continue sans réseau : le colis de la course (arrêts et adresses, lisible 24 heures par défaut, supprimé à la déconnexion), une file d’envoi des positions et des passages (30 jours au plus), l’état de la course et des préférences comme la voix du guidage. Pour la ronde de sécurité, il garde aussi la liste des défectuosités du règlement (sans renseignement personnel), l’état de départ de l’autobus avec le nom que le rapport portera, et le brouillon d’une ronde commencée (deux heures au plus après sa dernière modification) ; le brouillon et l’état de l’autobus sont supprimés à la déconnexion, la ronde signée attend dans la file d’envoi jusqu’à son accusé de réception. Ces données restent sur l’appareil, ne servent à aucun suivi et sont supprimées comme indiqué.

7. Les tiers qui interviennent

• [HÉBERGEUR] héberge le service et ses données.
• [FOURNISSEUR COURRIEL] achemine nos courriels d’invitation (adresse du destinataire et nom de l’organisation).
• Adobe Fonts fournit la police de caractères de l’interface. Quand votre navigateur la charge, Adobe, société américaine, reçoit votre adresse IP et les en-têtes ordinaires de la requête.
• Un service d’hébergement de pages (protomaps.github.io) fournit les polices et les pictogrammes de la carte. Il reçoit de la même façon l’adresse IP de votre appareil quand une carte s’affiche.

Aucun de ces deux derniers tiers ne reçoit de renseignement sur un élève, un parent ou un chauffeur. La liste détaillée de nos sous-traitants est communiquée à chaque transporteur et à toute personne qui la demande.

8. Où sont gardés vos renseignements

Les renseignements sont hébergés au Canada, dans la région de [RÉGION]. À l’exception de l’adresse IP décrite à la section 7, aucun renseignement n’est communiqué hors du Québec sans une évaluation des facteurs relatifs à la vie privée préalable et une entente écrite, comme la loi l’exige. Quand vous chargez une page qui utilise la police d’Adobe, votre adresse IP est communiquée à Adobe aux États-Unis, comme expliqué à la section 7.

9. Combien de temps nous gardons les renseignements

À la fin de la durée, nous détruisons les renseignements ou nous les rendons inutilisables. Là où l’application automatique n’est pas encore en place (voir le tableau), nous la faisons à la main, sous contrôle.

10. La sécurité

Voici des mesures qui existent aujourd’hui :

• chaque organisation ne voit que ses propres données, ce que la base de données elle-même fait respecter ;
• le nom, la date de naissance, les contacts et les notes de chaque élève sont chiffrés par une clé propre à l’élève ;
• dans le logiciel, l’accès aux renseignements d’identité d’un élève exige une autorisation nommée, et chaque lecture est consignée ;
• les mots de passe ne sont jamais vus par le service : ils sont gérés et hachés par un service d’authentification, qui en exige au moins 12 caractères, refuse les mots de passe courants et verrouille un compte quelques minutes après plusieurs essais ratés ;
• l’authentification à deux facteurs est exigée de tout le personnel d’administration et de répartition. Elle n’est pas exigée des chauffeurs, qui ouvrent leur session sur des tablettes que plusieurs personnes reprennent ; le transporteur peut demander qu’elle le soit ;
• le service refuse de démarrer avec un réglage de développement, et les pages de l’application portent des en-têtes qui limitent d’où le navigateur peut charger du contenu ;
• les fichiers importés sont chiffrés et détruits à échéance ;
• la session est un témoin chiffré, protégé contre la lecture par le code de la page.

D’autres mesures sont prévues et ne sont pas encore en service : les sauvegardes et la surveillance continue (leur outillage est écrit, mais le service n’est pas encore hébergé et aucune sauvegarde n’existe). Notre aperçu de sécurité, que nous remettons sur demande et mettons à jour à chaque version, indique l’état de chacune. Aucune mesure ne protège à cent pour cent ; si un incident de confidentialité survient, nous suivons notre procédure : nous avisons sans délai le transporteur touché, qui avise la Commission d’accès à l’information et les personnes concernées si le risque de préjudice sérieux l’exige, et nous consignons l’incident dans un registre. Pour les renseignements que nous détenons pour notre propre compte, c’est nous qui avisons la Commission et les personnes concernées si le risque de préjudice sérieux l’exige.

11. Vos droits

Vous avez le droit de savoir si nous détenons des renseignements sur vous et d’y accéder, de les faire rectifier, de retirer votre consentement, de demander qu’ils soient détruits quand l’objet de leur collecte est accompli et, pour ceux que vous nous avez fournis, d’en obtenir une copie dans un format technologique structuré et couramment utilisé.

• Pour les renseignements de la section 3 : écrivez à [RPRP], à [ADRESSE DE SUPPORT]. Nous répondons dans les 30 jours. Nous pouvons vous demander une preuve d’identité.
• Pour les renseignements d’un élève, d’un parent ou d’un chauffeur d’un transporteur : adressez-vous au transporteur. Il peut nous demander d’exécuter votre demande.

12. Décisions fondées sur un traitement automatisé

Le logiciel propose des itinéraires et signale les arrêts dont la sécurité doit être vérifiée. Ces propositions sont examinées, approuvées et publiées par une personne désignée du transporteur ; un fait inconnu n’est jamais tenu pour sûr. Si une famille veut savoir comment un arrêt a été décidé ou présenter ses observations, elle s’adresse au transporteur. Pour nos propres besoins, nous ne prenons aucune décision à votre sujet à partir d’un traitement entièrement automatisé.

13. Les chauffeurs et la localisation

Pendant une course, la tablette enregistre la position de l’autobus et l’écran le dit en toutes lettres (« La position de l’autobus est enregistrée pendant la course »). La position ne s’enregistre pas hors d’une course. Elle sert à tenir la course à jour, à la répartition, à l’alerte « position perdue » et au rejeu d’une course par le transporteur ; elle n’est jamais montrée à un parent. L’employeur, c’est-à-dire le transporteur, remet à ses chauffeurs l’avis préalable que la loi exige sur l’usage d’une technologie de localisation et sur le moyen d’en contrôler la fonction.

14. Les enfants

Nous n’offrons aucun service directement à un enfant et nous ne recueillons aucun renseignement auprès d’un enfant. Les renseignements des élèves nous sont confiés par les transporteurs.

15. Plaintes

Si vous croyez que nous n’avons pas respecté la loi ou cette politique, écrivez à [RPRP], à [ADRESSE DE SUPPORT]. Nous accusons réception dans les [5] jours ouvrables et répondons par écrit dans les 30 jours. Vous pouvez aussi vous adresser à la Commission d’accès à l’information du Québec (cai.gouv.qc.ca (nouvel onglet)).

16. Modifications

Nous publions cette politique à [DOMAINE]/confidentialite avec sa date de version. Si un changement est important, nous informons les transporteurs à l’avance.