Politique de gouvernance des renseignements personnels d’Akuntsu

Cette politique fait l’objet d’une révision par un conseiller juridique québécois et sera mise à jour à la suite de cette révision.
La présente politique établit la façon dont Akuntsu Inc. encadre les renseignements personnels qu’elle recueille, utilise, communique, conserve et détruit. L’article 3.2 de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (modifiée par la Loi 25) l’exige.

1. Objet et portée

La présente politique s’applique à tous les renseignements personnels détenus par Akuntsu Inc. (6878938 Canada Inc.), quel que soit leur support, à chaque étape de leur cycle de vie : collecte, utilisation, communication, conservation et destruction.

Elle vise :

• Akuntsu.com, ses sous-domaines, ses ressources téléchargeables, ses sondages et ses recherches sectorielles;
• Attractr (beta.attractr.live ou son successeur en production) et Audience Lab (audiencelab.attractr.live);
• les mandats clients, sauf lorsqu’une entente de traitement des données distincte régit les données propres d’un client.

Elle s’applique à toute personne qui traite des renseignements personnels pour le compte d’Akuntsu : administrateurs, employés, contractuels et fournisseurs de services. La Politique de confidentialité explique au public ce que nous recueillons et pourquoi; la présente politique explique comment nous encadrons ces renseignements à l’interne.

2. Rôles et responsabilités

En vertu de la Loi 25, le président-directeur général est la personne ayant la plus haute autorité et, à ce titre, la personne responsable de la protection des renseignements personnels. Il a délégué cette fonction, par écrit, à la responsable de la protection des renseignements personnels, dont le titre et les coordonnées sont publiés sur notre site Web.

3. Collecte, utilisation et communication

Nous ne recueillons que les renseignements personnels nécessaires à une fin déterminée avant la collecte, et nous informons les personnes de cette fin au moment de la collecte.

• Consentement. Le consentement doit être manifeste, libre et éclairé, et donné à des fins spécifiques. Nous le demandons en termes simples et clairs, distinctement pour chaque fin qui l’exige. Les renseignements sensibles exigent un consentement exprès. Les courriels de marketing, la participation à la recherche et l’entraînement de l’IA font chacun l’objet d’un consentement distinct, non coché par défaut.
• Mineurs. Attractr et Audience Lab s’adressent aux personnes de 18 ans et plus. Nous ne recueillons pas sciemment de renseignements sur des mineurs.
• Confidentialité par défaut. Les paramètres qui divulgueraient des renseignements personnels ou activeraient un suivi non essentiel sont désactivés jusqu’à ce que la personne les active.
• Limitation de l’utilisation. Les renseignements personnels ne sont utilisés qu’aux fins pour lesquelles ils ont été recueillis, sauf si la personne consent à une nouvelle fin ou si la loi le permet.
• Fournisseurs de services. Dans la mesure du possible, un fournisseur ne reçoit des renseignements personnels qu’en vertu d’un contrat écrit qui en limite l’utilisation au service, exige des mesures de sécurité, l’oblige à signaler les incidents et prévoit la destruction à la fin du contrat. Lorsqu’un fournisseur n’offre que des conditions standard, l’évaluation des facteurs relatifs à la vie privée consigne les raisons pour lesquelles ces conditions ont été acceptées. La responsable tient une liste des fournisseurs et de leurs ententes.
• Communication à l’extérieur du Québec. Avant que des renseignements personnels soient communiqués ou confiés à l’extérieur du Québec, y compris dans une autre province canadienne, nous réalisons une évaluation des facteurs relatifs à la vie privée (article 6). Le transfert n’a lieu que si les renseignements bénéficieront d’une protection adéquate, en vertu d’une entente écrite qui tient compte de l’évaluation.
• Registre de recherche. Les renseignements professionnels provenant de sources publiques ne sont utilisés que de la façon décrite dans la Politique de confidentialité. Rien n’est deviné, construit ou acheté auprès de courtiers en données. Personne n’est contacté à partir du registre avant que les conditions de la Politique de confidentialité soient remplies. Les demandes de retrait sont inscrites sur une liste de suppression permanente.

4. Conservation et destruction

Nous ne conservons les renseignements personnels que le temps nécessaire à leur fin ou exigé par la loi. À la fin de cette période, nous les détruisons ou les anonymisons conformément au règlement pris en vertu de la Loi 25.

Méthodes de destruction :

• les documents électroniques sont supprimés des systèmes de production; les copies de sauvegarde détenues par les fournisseurs expirent selon leurs calendriers (la plupart dans un délai de 7 jours; les instantanés automatiques et l’historique des fiches d’Airtable jusqu’à 12 mois), et le registre des fournisseurs consigne la période de sauvegarde de chacun;
• les documents papier, le cas échéant, sont déchiquetés;
• à la fin d’un contrat, nous demandons aux sous-traitants de supprimer nos données et, lorsque leurs conditions le prévoient, de confirmer qu’ils l’ont fait;
• les renseignements ne sont anonymisés qu’à des fins sérieuses et légitimes, après une analyse du risque de réidentification, comme l’exige le règlement de 2024 sur l’anonymisation, et chaque anonymisation est consignée. Les renseignements qui permettent encore d’identifier une personne sont traités comme dépersonnalisés et demeurent des renseignements personnels.

5. Sécurité et incidents de confidentialité

Les mesures de sécurité sont adaptées à la sensibilité des renseignements. Elles comprennent :

• l’authentification multifacteur sur les comptes administratifs lorsque le service l’offre;
• le chiffrement en transit et, lorsque nos fournisseurs le permettent, au repos;
• l’accès fondé sur les rôles;
• la journalisation des accès aux systèmes.

Un incident de confidentialité est tout accès, utilisation ou communication non autorisés, ou toute perte, de renseignements personnels. Lorsqu’un incident survient :

1. Toute personne qui soupçonne un incident le signale immédiatement à la responsable.
2. La responsable prend les mesures raisonnables pour diminuer le risque qu’un préjudice soit causé et éviter que de nouveaux incidents se produisent.
3. La responsable évalue si l’incident présente un risque de préjudice sérieux, en tenant compte de la sensibilité des renseignements, des conséquences appréhendées et de la probabilité qu’ils soient utilisés à des fins préjudiciables.
4. Le cas échéant, Akuntsu avise avec diligence la Commission d’accès à l’information et les personnes concernées.
5. Chaque incident, sérieux ou non, est consigné au registre des incidents, conservé au moins 5 ans après la date ou la période où nous en avons pris connaissance.

6. Évaluations des facteurs relatifs à la vie privée

La responsable dirige une évaluation des facteurs relatifs à la vie privée (ÉFVP), proportionnée à la sensibilité, à la quantité et à l’utilisation des renseignements, avant qu’Akuntsu :

• acquiert, développe ou refonde un système d’information ou une prestation électronique de services impliquant des renseignements personnels (par exemple, une nouvelle fonctionnalité d’Attractr ou un nouvel outil d’IA);
• communique ou confie des renseignements personnels à l’extérieur du Québec, y compris à un fournisseur situé dans une autre province ou un autre pays;
• communique des renseignements personnels sans consentement à des fins de recherche, lorsque la loi le permet.

Chaque évaluation tient compte :

• de la sensibilité des renseignements;
• de la finalité de leur utilisation;
• des mesures de protection, y compris contractuelles;
• pour un transfert, du régime juridique applicable dans l’État de destination.

Les évaluations sont datées, conservées avec le registre des fournisseurs et révisées lorsque le système ou le fournisseur change.

7. Accès, rectification et plaintes

Toute personne peut faire une demande ou une plainte en écrivant à privacy@akuntsu.com ou à la responsable de la protection des renseignements personnels, Akuntsu Inc., 4060, boulevard Saint-Laurent, bureau 703, Montréal (Québec) H2W 1Y9. Les demandes peuvent viser l’accès, la rectification, la suppression, la portabilité, le retrait du consentement et la désindexation.

Pour les demandes :

1. Nous vérifions l’identité de la personne, en ne demandant que ce qui est nécessaire à cette fin.
2. Les demandes sont gratuites, sauf des frais raisonnables de transcription, de reproduction ou de transmission, annoncés à l’avance.
3. Nous répondons par écrit dans les 30 jours suivant la réception.
4. En cas de refus total ou partiel, nous en donnons les motifs et la disposition légale invoquée, et nous indiquons que la personne peut demander à la Commission d’accès à l’information d’examiner le désaccord dans les 30 jours.

Pour les plaintes :

1. Nous accusons réception dans les 5 jours ouvrables.
2. La responsable examine la plainte et enquête au besoin, en impliquant les personnes ou les fournisseurs concernés.
3. Nous répondons par écrit dans les 30 jours avec nos constats et les mesures correctives, le cas échéant.
4. Si la personne n’est pas satisfaite, elle peut communiquer avec la Commission d’accès à l’information (cai.gouv.qc.ca, 1 888 528-7741).

Les plaintes et leurs suites sont consignées afin que les problèmes récurrents entraînent des changements à nos pratiques.

8. Registres

La responsable tient les registres ci-dessous. Il peut s’agir de simples tableurs ou dossiers, pourvu qu’ils soient tenus à jour et puissent être produits sur demande.

Exigés par la loi :

• les incidents de confidentialité;
• les communications de renseignements personnels faites sans consentement, lorsque la loi les permet;
• les renseignements anonymisés;
• les évaluations des facteurs relatifs à la vie privée.

Tenus par bonne pratique :

• les fournisseurs de services et leurs ententes;
• les registres de consentement (la plupart sont conservés par nos outils de courriel et de consentement);
• la liste de suppression;
• les demandes d’accès et les plaintes.

9. Formation, révision et approbation

• Toute personne ayant accès à des renseignements personnels reçoit une séance d’information sur la protection des renseignements personnels à son arrivée (au minimum, une revue de la présente politique et de la façon de signaler un incident), et une mise à jour chaque fois que la présente politique change de façon importante. La responsable note qui a été informé et à quelle date.
• La responsable révise la présente politique au moins une fois par année, et chaque fois que nos services, nos sous-traitants ou la loi changent.
• La présente politique est approuvée par la personne responsable de la protection des renseignements personnels (la responsable, par délégation du président-directeur général), appuyée par le président-directeur général, et publiée en français et en anglais sur akuntsu.com. Au Québec, la version française prévaut lorsque la loi l’exige.

Approuvée par : Yuko Nakamura, responsable de la protection des renseignements personnels (personne responsable, par délégation)

Appuyée par : Serge Labelle, président-directeur général

Date d’entrée en vigueur : 30 octobre, 2026

Prochaine révision : 30 octobre 2027, ou plus tôt une fois la révision par le conseiller juridique terminée