Politique de confidentialité

2. Responsabilité

Nous sommes responsables des renseignements personnels que nous recevons de notre clientèle. Nous protégerons ces renseignements, quel que soit le moyen utilisé lors de la transmission.

3. Consentement

Nous recueillerons uniquement les renseignements fournis avec votre consentement. L'utilisation de vos renseignements personnels, notamment votre nom, votre adresse, votre date de naissance, vos antécédents médicaux et vos habitudes de vie, ne servira que pour trouver des produits, des concepts et des services financiers qui répondent aux besoins que vous avez identifiés. En signant le formulaire d'autorisation, vous consentez, en votre nom ainsi qu'au nom de vos liquidateur(-trice)s, administrateur(-trice)s ou cessionnaires, à :

• •Fournir des renseignements exacts tout au long de notre relation d'affaires et au fur et à mesure que votre situation évolue.
• •Nous permettre d'utiliser, de transmettre et de divulguer ces renseignements au besoin à nos fournisseurs, associé(e)s et agent(e)s généraux(-ales) administrateur(-trice)s, qui pourraient conserver certains renseignements dans leurs dossiers pour une utilisation et une recommandation ultérieure par nous, nos fournisseurs et tout cessionnaire.
• •Nous permettre de conserver vos renseignements personnels, y compris les renseignements médicaux qui apparaissent sur vos propositions, dans nos dossiers en format papier et électronique, aussi longtemps que vous souhaitez faire affaire avec nous ou que nous devions satisfaire à un besoin commercial ou règlementaire en conservant les renseignements.
• •Céder votre dossier, y compris vos renseignements personnels, à un(e) autre agent(e) et/ou un(e) agent(e) général(e) administrateur(-trice), pour continuer à répondre à vos besoins, advenant l'invalidité, le décès, la retraite ou tout autre événement majeur affectant notre cabinet. Vous avez cependant le droit de choisir votre propre agent à ce moment-là, si jamais vous préférez un(e) autre que celui ou celle qui vous a été attribué(e).

4. Raisons de la collecte | utilisation | conservation

Nous recueillons tous les renseignements personnels (y compris les renseignements médicaux et financiers ainsi que ceux sur la société et les renseignements qui y sont liés) fournis avec votre consentement. Nous les utilisons et les conservons uniquement afin de fournir des conseils, d'administrer des produits ou des services que vous achetez par notre entremise, et de vous conseiller de nouveaux produits ou services qui pourraient vous intéresser.

5. Limite de la collecte

Nous recueillons et conservons uniquement les renseignements qui nous aident à vous conseiller, y compris les renseignements personnels, financiers et médicaux, et à répondre à nos obligations règlementaires. Nous utilisons uniquement des moyens équitables et légaux pour recueillir ces renseignements.

6. Limite de l'utilisation | communication | conservation

Nous n'utilisons et ne divulguons vos renseignements personnels que dans le but de remplir nos fonctions, de vous conseiller et, s'il y a lieu, d'observer la loi. Les renseignements personnels contenus dans votre dossier client(e) sont communiqués seulement :

• •À nos employé(e)s et aux personnes que nous aurons autorisé(e)s, par exemple des professionnel(le)s, afin de vous aider dans des domaines hors de notre champ de pratique.
• •Aux compagnies dont nous offrons les produits et les services et à leurs employé(e)s et mandataires, pour leurs activités visant à vous fournir ou à chercher à vous fournir des produits et des services financiers, ou pour toute autre activité connexe (et en lien avec toute autre fin que vous avez autorisée).
• •Aux tiers fournisseurs de services sélectionnés que nous aurons autorisés ; s'ils sont situés à l'étranger, vos renseignements personnels peuvent alors être assujettis aux lois applicables, y compris les lois sur l'accès à l'information des autorités publiques, d'autres pays.
• •Aux personnes ou aux entités à qui vous y avez donné accès ou qui sont autorisées à y accéder en vertu de la loi.

Nous avons l'obligation de conserver la plupart des renseignements que nous recueillons pour des raisons règlementaires, y compris l'exigence de démontrer que les recommandations que nous avons formulées sont appropriées et répondent à vos besoins identifiés.

Conformément aux lois applicables et à votre autorisation écrite, vous avez le droit de prendre connaissance des renseignements personnels qui sont contenus dans votre dossier. À votre demande, des copies (et non des originaux) d'autres documents personnels, comme des polices d'assurance, des testaments ou des mandats (procurations), peuvent être conservées dans votre dossier.

7. Exactitude des renseignements

Afin de faire les recommandations appropriées, nous devons recevoir des renseignements exacts. Il nous incombe de conserver les renseignements à votre sujet aussi exacts et à jour que possible. Si la situation l'exige, nous mettrons à jour vos renseignements personnels afin de déterminer si les recommandations que nous avons émises sont toujours appropriées selon l'évolution de votre situation. Par ailleurs, nous nous fions également à vous pour nous fournir des mises à jour régulières. Sur demande, vous pouvez passer en revue les renseignements personnels que nous conservons à votre sujet.

8. Efforts déployés afin de protéger vos renseignements personnels

Tous les membres du personnel, les conseiller(-ère)s associé(e)s, les agent(e)s généraux(-ales) administrateur(-trice)s et les fournisseurs qui ont accès aux dossiers des client(e)s doivent protéger ces renseignements, les garder confidentiels et les utiliser uniquement aux fins prévues. Nous avons également mis en place des mesures de protection physiques et informatiques, ainsi que d'autres processus, pour protéger les renseignements des client(e)s d'un accès non autorisé. Suivant les principes et recommandations de la LPRPDE, le personnel est tenu de signer un accord de confidentialité dès le début de l'emploi et nous nous assurons de rester conscientisé(e)s sur une base régulière par des formations et des contenus traitant de l'importance de la protection des renseignements personnels et de la cybersécurité.

En annexe A, vous trouverez notre procédure en cas de manquement / brèche / atteinte à la protection de vos renseignements personnels.

9. Durée de conservation de vos renseignements personnels

Vos renseignements personnels seront conservés uniquement pendant :

1. 1.la durée nécessaire à l'accomplissement des objectifs pour lesquels ils ont été récoltés ;
2. 2.le temps exigé par les lois applicables aux produits ou services auxquels vous avez souscrit auprès de nous ;
3. 3.la durée requise pour protéger nos droits en cas de recours.

Afin d'obtenir davantage d'information sur la durée exacte pendant laquelle ces renseignements seront conservés, nous vous invitons à communiquer avec le Responsable de la protection des renseignements personnels, ce dernier étant identifié plus loin dans la présente Politique.

10. Vos choix en matière de renseignements personnels

Vous pouvez retirer votre consentement en tout temps (sous réserve de restrictions contractuelles ou légales de nous fournir un préavis raisonnable) en communiquant avec nous. Si vous retirez votre consentement, nous pourrions être dans l'impossibilité de vous fournir les produits ou les services demandés et nous pourrions devoir mettre fin à notre relation d'affaires.

11. Votre droit de porter plainte

Si vous avez des préoccupations concernant la collecte, l'utilisation ou la divulgation de vos renseignements personnels, vous avez le droit de porter plainte auprès de nous ou de l'organisme fédéral ou provincial responsable de la protection de la vie privée de votre lieu de résidence :

Annexe A — Procédure en cas de manquement | brèche | atteinte

Une atteinte à la protection des renseignements personnels survient lorsqu'il y a accès non autorisé à des renseignements personnels, ou collecte, utilisation ou communication non autorisée de tels renseignements. Ces activités sont dites « non autorisées » lorsqu'elles contreviennent aux lois applicables en matière de protection des renseignements personnels, telles que la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et la Loi 25, ou aux autres lois provinciales et fédérales en matière de protection des renseignements personnels. Certaines des atteintes les plus courantes surviennent lorsque les renseignements personnels d'un(e) consommateur(-trice), d'un(e) patient(e), d'un(e) client(e), ou d'un(e) employé(e) sont volés, perdus ou distribués par erreur. Une atteinte peut également être la conséquence d'une procédure déficiente ou d'une défaillance opérationnelle.

Tel qu'il a été déterminé par la Commission d'accès à l'information du Québec (www.cai.gouv.qc.ca), nous suivrons les sept (7) étapes suivantes en cas d'atteinte à la protection de vos renseignements personnels :

1. 1.Formulaire d'incident
2. 2.Évaluation préliminaire de la situation
3. 3.Limite de l'atteinte à la vie privée
4. 4.Évaluation des risques associés à l'atteinte
5. 5.Notification à l'intention des personnes concernées
6. 6.Prévention
7. 7.Suivi

Étape 1 : Formulaire d'incident

Nous remplirons un formulaire de rapport d'incident et d'atteinte à la vie privée contenant toutes les informations requises par la Commission d'accès à l'information du Québec, notamment la date de l'incident, la nature des renseignements touchés, les personnes concernées, les mesures prises et les risques identifiés.

Étape 2 : Évaluation préliminaire de la situation

a) Définir sommairement le contexte de la perte ou du vol de renseignements personnels :

• •Identifier les renseignements personnels touchés et leur support ;
• •Identifier les personnes, leur nombre ainsi que le groupe de personnes (client(e)s, employé(e)s, etc.) touchées ;
• •Établir le contexte des événements (date, heure, lieu, etc.) ;
• •Identifier, si possible, les circonstances entourant la perte (cause, personnes susceptibles d'être impliquées dans l'incident, etc.) ;
• •Répertorier les mesures de sécurité physiques et informatiques en place lors de l'incident.

b) Informer les autorités externes concernées qui doivent être avisées de l'incident immédiatement (avant l'évaluation des risques) :

• •Service de police (si les circonstances laissent croire à la possibilité d'un crime) ;
• •Commission d'accès à l'information.

c) Désigner une personne ou une équipe responsable de la gestion de la situation.

d) Informer les intervenant(e)s concerné(e)s à l'interne : dirigeant(e)s, responsable de l'unité administrative, responsable de la protection des renseignements personnels, conseiller(-ère) juridique, direction des communications.

Étape 3 : Limite de l'atteinte à la vie privée

Prendre sans tarder des mesures adéquates pour limiter les conséquences pour les personnes concernées :

• •Prendre des mesures afin de limiter immédiatement les conséquences en s'assurant de mettre fin à la pratique non conforme, le cas échéant ;
• •Récupérer les dossiers physiques ou numériques, selon le cas ;
• •Révoquer ou modifier les mots de passe ou les codes d'accès informatiques ;
• •Contrôler les lacunes dans les systèmes de sécurité.

Étape 4 : Évaluation des risques associés à l'atteinte

• •Compléter une évaluation préliminaire des risques, en considérant les personnes concernées et la sensibilité des renseignements personnels en cause quant à leur nature, leur quantité, la possibilité de les combiner avec d'autres renseignements, etc. ;
• •Déterminer le contexte de l'incident incluant la cause, les auteur(e)s connu(e)s ou probables, l'étendue de la situation et le caractère systémique ou non de la disparition ;
• •Évaluer la possibilité que les renseignements personnels concernés fassent l'objet d'une utilisation préjudiciable ;
• •Évaluer le caractère réversible ou non de la situation ;
• •Évaluer l'adéquation des mesures immédiates prises pour limiter l'atteinte ;
• •Déterminer les préjudices potentiels, notamment les possibilités d'utilisation future des renseignements par des personnes malveillantes ;
• •Déterminer les priorités et identifier les actions à prendre.

Étape 5 : Notification à l'intention des personnes concernées

Déterminer qui doit être mis au courant de la perte ou du vol de renseignements personnels :

• •Service de police : dans les cas où la disparition peut résulter de la commission d'un crime, le service de police doit être avisé en premier et de toutes les démarches subséquentes ;
• •Personnes concernées : si la perte ou le vol présente un risque de préjudice, celles-ci devraient en être avisées sans tarder, afin de leur permettre de prendre les mesures pertinentes pour protéger leurs renseignements personnels ;
• •Commission d'accès à l'information : si les personnes concernées viennent du Québec, la Commission pourrait amorcer une inspection ou une enquête ;
• •Autres : agences de crédit, mandataire, cocontractant(e), instance gouvernementale, syndicat, ordre professionnel, etc.

Dans la diffusion des informations, une attention particulière doit être portée afin de ne pas aggraver le préjudice que pourraient subir les personnes concernées (p. ex., minimiser la description des renseignements personnels dans les avis).

Étape 6 : Prévention

• •Approfondir l'analyse des circonstances de la perte ou du vol des renseignements personnels et effectuer une description chronologique des événements ;
• •Répertorier et examiner les normes, politiques ou directives internes en place au moment de l'incident ;
• •Vérifier si ces normes ont été suivies par les personnes impliquées et identifier les raisons pour lesquelles elles n'ont pas été suivies, le cas échéant ;
• •S'il s'agit d'une erreur de procédure ou d'une défaillance opérationnelle, les consigner au dossier de sécurité et adapter les processus ;
• •Évaluer la nécessité d'élaborer une politique en matière de traitement d'une perte ou d'un vol de renseignements personnels ;
• •Formuler les recommandations relatives aux solutions à moyen et long termes et aux stratégies de prévention ;
• •S'assurer de la réelle nécessité de la collecte des renseignements personnels concernés.

Étape 7 : Suivi

Il est important d'effectuer le suivi :

• •Du processus de traitement qui doit être appliqué lors d'une perte ou d'un vol de renseignements personnels, et des résultats obtenus afin de l'améliorer, s'il y a lieu ;
• •Des mesures de sécurité requises à la suite de l'incident et de leur performance ;
• •De la communication de l'information pertinente à la Commission d'accès à l'information et au service de police impliqué, le cas échéant.

Tenue de dossier

Il est également obligatoire de tenir un registre de tous les événements d'atteinte à la protection des renseignements personnels, même si certains ne comptaient aucun risque de préjudice grave. Tout dossier d'événement doit être conservé au moins deux ans.

Les dossiers doivent inclure, au minimum, les éléments suivants :

• •La date ou durée estimée de l'atteinte ;
• •Une description des circonstances de l'atteinte ;
• •La nature des renseignements en cause dans l'atteinte ;
• •L'existence d'un rapport au Commissariat à la protection de la vie privée ou le nom des autres organisations avisées, s'il y a lieu ;
• •Une courte explication des raisons pour lesquelles l'organisation a déterminé qu'il n'y avait aucun risque de préjudice grave si l'atteinte n'a pas fait l'objet d'un rapport.

Annexe B — Références de la Chambre de la sécurité financière

Code de déontologie

Un(e) représentant(e) doit s'assurer que les renseignements qu'il(elle) détient à propos de ses client(e)s demeurent confidentiels, à moins que certaines dispositions légales ou qu'une ordonnance d'un tribunal permettent de les divulguer. Il(elle) est également tenu(e) d'utiliser les renseignements qu'il(elle) recueille seulement aux fins pour lesquelles il(elle) les a obtenus et de ne jamais les utiliser au préjudice de son(sa) client(e).

Ce sont les articles 26 et 27 du Code de déontologie de la Chambre de la sécurité financière qui prévoient ces obligations.

Il est aussi important de souligner l'exigence de l'article 23 de la Loi sur la distribution de produits et services financiers qui prévoit qu'« un représentant doit transmettre à l'établissement auquel il est rattaché tous les renseignements qu'il recueille relativement à ses clients. [...] Il ne peut les communiquer qu'à une personne autorisée par la loi à les recevoir. »

Questions fréquemment posées