Confidentialité

La présente politique établit les pratiques et normes générales mises en œuvre par CSP lorsqu’il procède au traitement de Renseignements personnels. Cette politique est applicable lorsque CSP agit en tant que responsable du traitement ou en tant que sous-traitant au traitement de tous les Renseignements personnels, quels que soient leur nature ou catégorie et le support sur lequel ils sont stockés. La présente politique ne s’applique pas aux sites Web de tiers qui sont accessibles en cliquant sur des liens qui se trouvent sur notre site Web et nous ne sommes aucunement responsables des sites Web de tiers.

1.1. À qui s’adresse cette politique ?

Notre politique s’adresse à toute personne qui communique avec nous, à toute personne dont les Renseignements personnels sont susceptibles d’être recueillis dans le cadre de nos services et à toute personne désirant s’informer sur nos pratiques en manière d’utilisation, de conservation, de collecte et de divulgation des Renseignements personnels.

Aux fins de la présente politique, les définitions suivantes s’appliquent :

• « Application » désigne le site Internet de CSP accessible aux Client et aux Utilisateurs : https://Clients.nethris.com/ ou https://evo.nethris.com;
• « Application mobile » désigne la version de l’Application accessible via les téléphones et les tablettes;
• « Candidat » désigne, selon le contexte, toute personne qui postule un emploi chez le Client ou à CSP;
• « Client » désigne les entités qui ont conclu une entente avec CSP afin d’utiliser nos Services;
• « Client potentiel » désigne toute entité qui démontre un intérêt envers les Services et qui communique avec CSP pour s’en informer, mais qui n’a pas encore conclu d’entente à cet effet;
• « Employé »désigne les employés du Client dont les dossiers sont gérés par l’entremise des Services;
• « Entités juridiques de CGI » désignent toutes les entités juridiques contrôlées directement ou indirectement par CGI et qui traitent des données à caractère personnel, à l’exclusion des entités juridiques relevant des activités de CGI Federal. CSP est une filiale à part entière de CGI;
• « Législation locale » désigne les règlements, les lois, y compris les lois sur la protection des données, les ordonnances et les normes obligatoires dans une région donnée;
• « Membre » désigne les Employés, conseillers, agents, administrateurs et directeurs de CSP qui exploitent les Services en notre nom;
• « Personne concernée » désigne une personne physique identifiée ou identifiable dont les Renseignements personnels sont traités. Il peut s’agir de visiteurs, de Candidats ou d’Employés ou d’utilisateurs finaux d’un Client dans un contexte d’affaires;
• « Renseignements personnels » signifie toute information concernant une personne physique permettant de l’identifier directement ou indirectement. Les Renseignements personnels comprennent les données sensibles;
• « Responsable du traitement » désigne toute entité (personne physique ou morale, autorité publique, service ou autre organisme) qui, seule ou conjointement avec d’autres responsables du traitement, détermine les finalités et les moyens du traitement des Renseignements personnels;
• « Sous-traitant » désigne toute entité (personne physique ou morale, autorité publique, service ou autre organisme) qui traite des Renseignements personnels pour le compte et conformément aux instructions du responsable du traitement ou d’un autre sous-traitant;
• « Services » désigne les services électroniques de CSP disponibles via l’Application et l’Application mobile;
• « Site public » désigne le site Web accessible aux Visiteurs : https://nethris.com/;
• « Témoin » désigne tout identificateur transmis à votre appareil par votre navigateur lorsque vous visitez un site Web. Un témoin peut être temporaire et disparaître après la session de navigation ou être permanent, même après la fermeture de l’appareil utilisé pour effectuer la navigation;
• « Traiter », « traitement(s) » ou « traité(e)s » désignent toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation, la modification, l’extraction, la consultation (y compris l’accès à distance), l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction;
• « Utilisateur » désigne toute personne désignée (administrateurs, directeurs, Employés, consultants et autres représentants) par le Client en mesure d’accéder aux Services et de les utiliser;
• « Visiteur » désigne toute personne naviguant sur le site Web de CSP, avec ou sans utilisation de fichiers témoins.

Dans le cadre de ses activités, CSP collecte et traite des Renseignements personnels relatifs :

• aux Candidats à un emploi à CSP;
• aux Employés et anciens Employés de CSP;
• aux Clients actuels et potentiels;
• aux Employés et aux Candidats des Clients actuels;
• aux Visiteurs du site Web de CSP;
• aux fournisseurs de services, conseillers, fournisseurs, entrepreneurs et sous-traitants;
• à tout autre tiers.

Sous réserve de la Législation applicable sur la protection des données, les catégories de Renseignements personnels suivantes peuvent être, en partie ou en totalité, traitées par le Responsable du traitement ou par CSP en tant que sous-traitant pour le compte du Client ou pour ses propres besoins en tant que responsable du traitement :

Candidats du Client

Dossier de candidature : CV, vérification des antécédents.

Employés et ex-Employés du Client

Pour le compte du Client, CSP peut traiter des Renseignements personnels (y compris des données sensibles, le cas échéant et sous réserve de la présente politique et de la Législation applicable sur la protection des données) concernant les Employés et ex-Employés du Client ainsi que leurs personnes à charge et leurs plus proches parents (s’il y a lieu) à des finalités liées à leur emploi chez le Client. Il peut s’agir du recrutement, de la gestion générale, de la gestion salariale, de la gestion de la performance, du perfectionnement professionnel, de la conformité en matière de santé et de sécurité, de l’assurance maladie, de l’assurance vie, de la gestion de la diversité et de l’inclusion, des procédures disciplinaires, des vérifications de sécurité (si requis), des vérifications des antécédents des demandes de visa et autres exigences en matière d’immigration, de l’administration et de la gestion des systèmes TI, de l’imposition, du traitement des dépenses et des avantages sociaux des Employés.

Clients actuels, Clients potentiels et visiteurs de CSP

Le nom des personnes contacts ainsi que leur titre et leurs coordonnées (téléphone, courriel).

Les Renseignements personnels sont recueillis des façons suivantes :

• directement auprès de vous lorsque vous soumettez votre candidature pour un poste à CSP;
• directement auprès de vous lorsque vous demandez des informations sur nos services;
• lors de la navigation sur le site Web si les fichiers témoins sont activés;
• par l’employeur (Client de CSP) lorsqu’une fiche Employé ou Candidat est créée. L’employeur est responsable de l’obtention du consentement de l’employé(e) ou du/de la candidat(e) lors de la collecte des Renseignements personnels.

CSP ne traite les Renseignements personnels que lorsque cela est strictement nécessaire et applique des principes différents selon qu’il agit en tant que responsable du traitement ou en tant que sous- traitant.

Tout traitement de données ne peut être effectué que si au moins une des conditions énoncées ci-dessous s’applique :

• il est nécessaire à l’exécution d’un contrat, p. ex. une entente de services avec un Client;
• il est nécessaire pour la conformité à une obligation légale applicable à CSP, p. ex. pour la déclaration de données aux autorités fiscales;
• il est nécessaire pour l’intérêt légitime de CSP, étant entendu que cet intérêt légitime de CSP doit être évalué par rapport aux intérêts des personnes concernées.

Si aucun des fondements juridiques définis ci-dessus ne s’applique, CSP demandera et conservera le consentement préalable des personnes concernées avant le traitement de leurs Renseignements personnels, étant entendu que le consentement des personnes concernées est valide lorsque (i) il est donné de manière manifeste et librement par un acte positif clair et (ii) il représente une indication précise, éclairée et univoque de l’accord de la personne concernée pour le traitement de ses Renseignements personnels.

CSP met en œuvre des mesures techniques et organisationnelles appropriées pour prévenir la consultation et le traitement illicites des Renseignements personnels, y compris la destruction, la perte, l’altération et la divulgation accidentelles ou frauduleuses des Renseignements personnels transmis, conservés ou autrement traités. Plus particulièrement, CSP accorde l’accès aux Renseignements personnels seulement lorsqu’il est nécessaire à l’accomplissement des tâches assignées conformément aux finalités définies pour le traitement des Renseignements personnels. Lorsque CSP fait appel à un tiers pour procéder au traitement pour son compte, CSP s’assure que des mesures équivalentes sont mises en place par ce tiers dans le cadre d’ententes contractuelles. En cas d’accès ou de traitement illicite, CSP se conforme à sa politique de sécurité de l’information et aux procédures connexes. Entre autres mesures, CSP détient et s’engage à maintenir les certifications ISO 27001 et 27701.

8.1. Gestion des incidents

CSP dispose d’un processus de gestion et d’intervention mature et basé sur des normes et conçu pour traiter toutes les phases d’un incident de sécurité. Les responsabilités des membres sont clairement définies à tous les niveaux. Les normes d’évaluation et de priorisation des incidents sont suivies pour assurer des niveaux d’engagement appropriés et une résolution rapide. Les dossiers d’incidents sont conservés et communiqués à la direction générale, le cas échéant. Les incidents hautement prioritaires sont gérés par le Centre mondial de gestion de la sécurité (SOC) de CSP, ouvert 24 heures sur 24 et 7 jours sur 7, où des professionnels hautement qualifiés sont sur place en tout temps pour coordonner les efforts d’intervention. L’organisation interne responsable de la protection des Renseignements personnels est immédiatement impliquée dans le processus de gestion des incidents lorsqu’on soupçonne que des Renseignements personnels ont été compromis.

8.2. Notification de violation des Renseignements personnels

Si, en agissant en qualité de responsable du traitement ou de sous-traitant, CSP a des motifs raisonnables de croire qu’une atteinte à la sécurité pouvant avoir entraîné la destruction, la perte, l’altération, la divulgation ou la consultation accidentelle ou frauduleuse des Renseignements personnels transmis, stockés ou autrement traités s’est produite ou risque de s’être produite, CSP fournira un avis d’incident de sécurité et des mises à jour de statut à l’autorité de protection des données compétente, aux personnes concernées et/ou au Responsable du traitement, tel qu’exigé par la Législation applicable sur la protection des données et toute autre loi locale en vigueur. De même, et par souci de clarté, dans l’éventualité où une violation des Renseignements personnels est constatée par un tiers engagé par CSP, ce dernier devra en informer CSP comme convenu dans l’entente pertinente.

9.1. CSP en tant que responsable du traitement

CSP ne conserve pas les Renseignements personnels au-delà de la période nécessaire à l’atteinte des finalités pour lesquelles ils ont été collectés. Par conséquent, CSP détermine la durée de conservation appropriée avant la mise en œuvre du traitement des données. Pour ce faire, CSP évalue la période pendant laquelle les Renseignements personnels sont nécessaires aux fins du traitement, tout en tenant compte des facteurs suivants :

• la durée au-delà de laquelle la conservation des Renseignements personnels peut avoir une incidence sur le droit à l’oubli des personnes concernées;
• toute obligation légale imposant une période minimale de conservation des données, comme définie dans la Politique de conservation des documents et le calendrier de conservation des documents de CGI ou autrement.

CSP peut conserver des Renseignements personnels après que les finalités spécifiques pour lesquelles ceux-ci ont été collectés aient été complétées si cela est nécessaire (i) pour se conformer aux lois applicables, (ii) pour prévenir toute infraction ou (iii) pour résoudre tout différend.

9.2. CSP en tant que sous-traitant

Le Client est le responsable du traitement et à ce titre demeure responsable de conserver les données selon les délais applicables pour respecter les exigences légales applicables à son entreprise. Les délais de conservation doivent également tenir compte des délais de prescription applicables et des recours éventuels. Il est donc possible que vos Renseignements personnels soient conservés après la fin de votre relation avec le Client, s’il s’agit de votre employeur.

À l’expiration de l’Entente, CSP et tous les tiers engagés par CSP doivent détruire ou retourner au Client tous les Renseignements personnels conformément à ses instructions et à la Législation applicable sur la protection des données.

Pour éviter toute ambiguïté, il est entendu que rien dans la présente Politique de protection des Renseignements personnels ne limite le droit de CSP de conserver des Renseignements personnels dans le cas d’un litige existant ou de déposer ou de défendre des réclamations futures, conformément aux lois de prescription applicables à CSP.

Ce site Web peut contenir des liens vers des sites Web et des applications de tiers qui ne sont pas affiliés à CSP. CSP n’approuve en aucune façon ces sites Web et applications de tiers et ne fait aucune déclaration à leur sujet. CSP n’est donc pas responsable des pratiques de confidentialité ou du contenu de ces sites Web et applications de tiers qui sont assujettis à leurs propres politiques de confidentialité. Si vous choisissez d’accéder à ces liens, nous vous encourageons à consulter les politiques de confidentialité de tous les sites tiers avant de soumettre vos données.

Dans le cadre de ses activités, CSP collecte et traite des Renseignements personnels relatifs :

• Entités juridiques de CGI s’il est possible que la personne concernée puisse bénéficier de notre gamme complète de solutions et de services dans le cadre de notre modèle mondial de prestation de services;
• tiers engagés par CSP qui fournissent des biens à CSP ou qui dispensent des services en son nom (p. ex. fournisseurs, sous-traitants);
• membres de certaines professions réglementées (p. ex. banquiers, avocats, notaires et auditeurs);
• partenaires du Client et autres tiers à la demande expresse du Client.

CSP peut divulguer des Renseignements personnels si cette action s’avère raisonnablement nécessaire à la protection des droits de CSP et à l’exercice de tout recours à sa disposition pour faire respecter les conditions générales, enquêter sur une fraude ou protéger ses activités ou ses utilisateurs.

CSP peut également divulguer des Renseignements personnels aux autorités administratives, judiciaires ou gouvernementales et à des agences ou organismes publics, strictement en accord avec la Législation applicable sur la protection des données et les lois locales et après un examen approfondi de la recevabilité de toute ordonnance de divulgation de données. CSP contestera une telle ordonnance si les lois le permettent et avisera la personne concernée d’une ordonnance potentielle conformément à la législation locale.

CSP ne vend pas de Renseignements personnels.

Dans le cadre de ses activités, CSP conserve les Renseignements personnels au Québec et n’effectue aucun transfert vers d’autres juridictions.

En vertu de la Législation applicable sur la protection des Renseignements personnels, les personnes concernées ont plusieurs droits incluant le retrait du consentement. Elles peuvent notamment demander d’accéder à leurs Renseignements personnels détenus par CSP et/ou demander d’obtenir des informations sur la manière dont CSP traite leurs Renseignements personnels. Si vous avez des requêtes concernant le traitement de vos Renseignements personnels, veuillez envoyer une demande formelle à confidentialite@cgi.com ou remplir le formulaire en ligne.

Lorsqu’il agit en qualité de sous-traitant, CSP fournit aux Clients, sur demande, les Renseignements pertinents leur permettant de respecter leurs propres obligations envers les personnes concernées. Sauf indication contraire dans une entente contractuelle, CSP n’est pas tenu d’informer directement les personnes concernées, car cette responsabilité incombe au responsable du traitement.

14.1 Conformité des membres

Chaque année, les membres reconnaissent leurs obligations et acceptent de se conformer à la présente politique. De plus, ils doivent se conformer aux autres obligations applicables en matière de confidentialité et de protection des données, y compris celles qui sont définies dans la Législation applicable sur la protection des données, leurs contrats de travail et les politiques, processus et normes de CSP ou les instructions du Client.

Les membres doivent suivre l’ensemble des programmes de formation et de sensibilisation obligatoires de CSP en matière de confidentialité. Ces programmes comprennent notamment des formations obligatoires en ligne sur la confidentialité des données, la sécurité de l’information, la lutte contre la corruption et la gestion des documents, des campagnes de communication et des formations spécifiques adaptées aux diverses fonctions au sein de l’organisation.

Ces formations et programmes de sensibilisation sont régulièrement mis à jour pour refléter les changements apportés à la Législation applicable sur la protection des données.

14.2 Conformité relative aux tiers

Dans le cas où un tiers traite des Renseignements personnels pour le compte de CSP, ce tiers est régi par une entente contractuelle et doit :

• respecter la présente politique ainsi que les normes et politiques de sécurité de CSP, en plus des contrôles de sécurité prévus aux ententes contractuelles entre CSP et ses Clients et/ou partenaires;
• traiter les données à caractère personnel conformément aux instructions documentées par CSP et à aucune autre fin que celle expressément définie par écrit par CSP, à moins d’y être forcé en vertu d’une obligation juridique. Dans un tel cas, le tiers doit informer CSP immédiatement de cette obligation juridique avant de procéder au traitement;
• aviser CSP, dans la mesure prévue par la loi, de toute demande de divulgation de Renseignements personnels en provenance d’un tiers, d’une autorité publique ou d’un tribunal ainsi que de toute action et/ou mesure concernant le traitement de Renseignements personnels lié à CSP faisant l’objet d’une enquête de la part des autorités;
• aviser immédiatement CSP de tout changement pouvant avoir une incidence sur le traitement des Renseignements personnels de CSP;
• aviser immédiatement CSP de tout incident de confidentialité sur le traitement des Renseignements personnels de CSP;
• collaborer activement avec CSP pour évaluer et documenter la conformité du traitement des Renseignements personnels de CSP, en lui communiquant notamment toute information dont elle pourrait avoir besoin ou nécessaire à la satisfaction des exigences de la Législation applicable sur la protection des données (y compris toute information requise pour l’évaluation de l’impact du transfert de données);
• informer immédiatement CSP par écrit si, à son avis, une instruction de CSP concernant le traitement des Renseignements personnels constitue une violation de la Législation applicable sur la protection des données.

La présente politique peut être modifiée de temps à autre par CSP. CSP doit s’assurer que les personnes concernées sont promptement informées de tout changement important apporté à la politique au moyen d’une « mise à jour » publiée sur nethris.com. Les dernières mises à jour prennent effet à la date indiquée sur la Politique.

16.1. Questions

En cas de questions concernant l’interprétation ou l’application de cette politique, veuillez envoyer un courriel à confidentialite@cgi.com ou nous contacter par téléphone au 1-514-841-3200 ou par écrit à :

Centre de services de paie CGI inc.
A l’attention des Affaires légales
1350, boulevard René-Lévesque Ouest, 25è étage
Montréal (Québec) H3G 1T4

16.2. Les autorités de protection de la vie privée

Si vous croyez que vos droits n’ont pas été respectés par nous ou votre employeur, veuillez communiquer dans un premier temps avec nous ou votre employeur selon la nature de la plainte.

Si vous le désirez, vous pouvez également vous adresser à l’organisme provincial ou fédéral compétent en matière de protection de la vie privée en utilisant les ressources ci-dessous :

• Québec
• Alberta
• Colombie-Britannique
• Employé (autres provinces ou territoires)