Politique de confidentialité

1. Introduction et définitions

La présente politique de confidentialité (ci-après la « Politique ») s'applique à l'utilisation du service en ligne Planifize, offert par MEMORA solutions inc. (ci-après « nous », « notre » ou « MEMORA solutions »), société constituée en vertu des lois du Québec, ayant son siège social à Québec, Québec, Canada.

Cette Politique décrit comment nous collectons, utilisons, protégeons, conservons et partageons vos renseignements personnels conformément aux lois applicables, notamment :

• La Loi sur la protection des renseignements personnels dans le secteur privé du Québec (RLRQ, c. P-39.1), telle que modifiée par la Loi 25 (2021, c. 25) - pleinement en vigueur depuis le 22 septembre 2024
• La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE/PIPEDA), L.C. 2000, c. 5
• Le Règlement général sur la protection des données (RGPD) de l'Union européenne, pour les utilisateurs situés dans l'EEE (voir section 18)
• Le California Consumer Privacy Act (CCPA/CPRA), pour les utilisateurs situés en Californie (voir section 19)

Définitions :

• Renseignements personnels : tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier. Cela inclut notamment le nom, l'adresse courriel, l'adresse IP, les identifiants de session, les données de géolocalisation approximative et les préférences d'utilisation.
• Traitement : toute opération ou ensemble d'opérations effectuées sur des renseignements personnels, y compris la collecte, l'enregistrement, l'organisation, la conservation, la modification, la consultation, l'utilisation, la communication, la destruction ou l'anonymisation.
• Responsable du traitement : la personne ou l'organisme qui détermine les finalités et les moyens du traitement des renseignements personnels.
• Sous-traitant : toute personne ou entité qui traite des renseignements personnels pour le compte du responsable du traitement.
• Consentement : manifestation de volonté libre, éclairée et spécifique par laquelle la personne concernée accepte le traitement de ses renseignements personnels.
• Cookie : petit fichier texte stocké sur votre appareil par votre navigateur web, utilisé pour conserver des préférences ou suivre votre navigation.
• Incident de confidentialité : tout accès, utilisation, communication, perte ou autre atteinte non autorisée portant sur des renseignements personnels (art. 3.6, Loi sur le privé).
• Anonymisation : processus irréversible par lequel les renseignements personnels sont modifiés de façon permanente afin qu'ils ne permettent plus, directement ou indirectement, d'identifier la personne concernée, conformément aux meilleures pratiques généralement reconnues et selon les critères et modalités déterminés par règlement (art. 23, Loi 25).
• Dépersonnalisation : processus par lequel les renseignements personnels sont modifiés de manière à ce qu'ils ne permettent plus d'identifier directement la personne concernée, tout en demeurant potentiellement réversibles.

2. Responsable du traitement des données

Conformément à l'article 3.1 de la Loi sur la protection des renseignements personnels dans le secteur privé, tel que modifié par la Loi 25, nous avons désigné un Responsable de la protection des renseignements personnels (RPRP) dont les coordonnées sont les suivantes :

Le titre et les coordonnées du RPRP sont publiés sur notre site web conformément à l'article 3.1 de la Loi. Le RPRP est chargé de :

• Veiller au respect de la loi et de la présente Politique
• Répondre aux demandes d'accès, de rectification et de suppression
• Superviser nos pratiques de protection de la vie privée
• Gérer les incidents de confidentialité et en assurer la notification
• Effectuer ou superviser les évaluations des facteurs relatifs à la vie privée (EFVP)
• Tenir le registre des incidents de confidentialité

Par défaut, la personne ayant la plus haute autorité au sein de l'entreprise assume la fonction de RPRP, à moins qu'une autre personne ne soit désignée par écrit.

Pour les utilisateurs de l'Union européenne : le RPRP exerce également les fonctions de délégué à la protection des données (DPO) au sens de l'article 37 du RGPD.

3. Données personnelles collectées

Nous collectons les catégories suivantes de renseignements personnels :

3.1 Données de compte

• Nom et prénom
• Adresse courriel
• Mot de passe (stocké sous forme de hachage irréversible bcrypt)
• Numéro de téléphone (facultatif)
• Photo de profil (facultatif)
• Préférences linguistiques et de fuseau horaire
• Rôle et permissions dans l'organisation

3.2 Données d'utilisation

• Activités dans l'application (planification, gestion de cours, interactions)
• Horodatage des connexions et actions
• Journaux d'accès et d'audit
• Préférences et paramètres de configuration

3.3 Données techniques

• Adresse IP
• Type et version du navigateur
• Système d'exploitation
• Résolution d'écran
• Pages visitées et durée de visite
• Source de référence (URL d'origine)
• Géolocalisation approximative (dérivée de l'adresse IP)

3.4 Données de paiement

• Les données de paiement (numéro de carte, informations bancaires) sont traitées directement par notre processeur de paiement tiers (Stripe) et ne sont jamais stockées sur nos serveurs
• Nous conservons uniquement les références de transaction, le type de carte (4 derniers chiffres) et l'historique de facturation

3.5 Données de cookies

• Identifiants de session
• Jetons d'authentification
• Préférences de consentement aux cookies

Note : Nous ne collectons aucune donnée sensible (origine raciale ou ethnique, opinions politiques, convictions religieuses, données de santé, orientation sexuelle, données biométriques ou génétiques) sauf consentement explicite et éclairé distinct.

4. Finalités du traitement

Nous traitons vos renseignements personnels uniquement pour les finalités suivantes :

Conformément au principe de finalité (art. 4 et 5 de la Loi sur le privé), nous ne traiterons pas vos renseignements personnels pour des finalités incompatibles avec celles décrites ci-dessus sans obtenir votre consentement préalable.

5. Base juridique du traitement

La légalité de chaque traitement repose sur l'une des bases suivantes :

• Exécution du contrat : le traitement est nécessaire à l'exécution du contrat de service entre vous et MEMORA solutions (fourniture de la plateforme, gestion de compte, fonctionnalités)
• Consentement : votre consentement libre, manifeste, éclairé et spécifique pour les traitements non essentiels (cookies analytiques, communications commerciales, fonctionnalités optionnelles)
• Obligation légale : le traitement est nécessaire au respect de nos obligations légales (conservation des journaux de sécurité, déclaration d'incidents, réponse aux ordonnances judiciaires)
• Intérêt légitime : le traitement est nécessaire à nos intérêts légitimes (amélioration du service, détection de fraude, statistiques d'utilisation), sous réserve qu'il ne porte pas atteinte de manière disproportionnée à vos droits. Nos intérêts légitimes incluent : la sécurité du Service, la prévention de la fraude, l'amélioration continue du Service et l'analyse agrégée d'utilisation.

6. Consentement

Conformément à la Loi 25 (art. 14 modifié de la Loi sur le privé), nous obtenons votre consentement pour tout traitement qui n'est pas strictement nécessaire à la fourniture du service. Ce consentement est :

• Manifeste : exprimé par un acte positif clair (case à cocher activée manuellement, clic sur un bouton d'acceptation). Le silence ou l'inaction ne constituent pas un consentement valide.
• Libre : donné sans contrainte. L'accès aux fonctionnalités essentielles du service n'est pas conditionné à l'acceptation de traitements non essentiels.
• Éclairé : précédé d'informations claires, simples et complètes sur la finalité du traitement, la nature des données, les destinataires, la durée de conservation et vos droits.
• Spécifique : donné pour chaque finalité distincte. Un consentement global pour plusieurs finalités non liées n'est pas valide.
• Temporaire : valide pour la durée nécessaire à la réalisation de la finalité, et révocable à tout moment.
• Granulaire : vous pouvez consentir à certains traitements tout en refusant d'autres, sans impact sur les fonctionnalités essentielles du service.

Vous pouvez retirer votre consentement à tout moment par les moyens suivants :

• Paramètres de votre compte (section Confidentialité)
• Bandeau de gestion des cookies
• Courriel à [email protected]
• Lien de désabonnement dans nos courriels commerciaux

Le retrait du consentement ne compromet pas la licéité du traitement effectué avant le retrait, ni le traitement fondé sur d'autres bases juridiques.

7. Cookies et technologies de suivi

Nous utilisons des cookies conformément à la Loi 25 et à la Loi canadienne anti-pourriel (LCAP, L.C. 2010, c. 23). Le consentement préalable est requis pour les cookies non strictement nécessaires.

7.1 Cookies essentiels (obligatoires)

Ces cookies sont indispensables au fonctionnement du site et ne peuvent pas être désactivés. Leur utilisation est fondée sur notre intérêt légitime à fournir un service fonctionnel et sécurisé.

7.2 Cookies fonctionnels (optionnels)

Ces cookies permettent de mémoriser vos préférences pour améliorer votre expérience. Ils requièrent votre consentement.

7.3 Cookies analytiques (optionnels)

Ces cookies nous permettent de mesurer l'audience et d'améliorer le service. Ils requièrent votre consentement. Aucun suivi publicitaire n'est effectué.

7.4 Cookies publicitaires

Planifize n'utilise aucun cookie publicitaire, de suivi inter-sites ou de ciblage comportemental.

7.5 Gestion de vos préférences

Vous pouvez gérer vos préférences de cookies à tout moment via le bandeau de gestion des cookies accessible depuis le pied de page du site. Vous pouvez également configurer votre navigateur pour bloquer ou supprimer les cookies, sachant que cela peut affecter certaines fonctionnalités du service.

8. Partage et transferts de données

Nous ne vendons, ne louons et ne commercialisons jamais vos renseignements personnels.

Vos données peuvent être partagées avec les catégories de destinataires suivantes, uniquement dans la mesure nécessaire :

8.1 Sous-traitants techniques

Tous nos sous-traitants sont liés par un contrat conforme aux articles 18.3 et 18.4 de la Loi sur le privé (Loi 25) incluant des obligations de confidentialité, de sécurité et de notification d'incidents.

La liste détaillée et à jour de nos sous-traitants est disponible sur demande à [email protected].

8.2 Autorités publiques

Uniquement lorsque la loi l'exige (ordonnance judiciaire, mandat, demande légitime d'un organisme autorisé).

8.3 Membres de votre organisation

Les utilisateurs de votre organisation Planifize peuvent voir les données que vous partagez dans le cadre de la collaboration (horaires, cours, disponibilités).

8.4 Transferts internationaux

Vos données sont principalement hébergées et traitées au Canada. En cas de transfert vers un pays n'offrant pas un niveau de protection adéquat au sens de la Loi 25 (art. 17), nous mettons en place :

• Une évaluation des facteurs relatifs à la vie privée (EFVP) préalable au transfert
• Des clauses contractuelles types ou des garanties contractuelles appropriées
• Des mesures techniques de protection (chiffrement de bout en bout)

Conformément à l'article 17 de la Loi sur le privé (Loi 25), avant tout transfert de renseignements personnels hors Québec, nous procédons à une évaluation des facteurs relatifs à la vie privée pour nous assurer que les renseignements bénéficieront d'une protection adéquate selon les critères prévus par règlement.

Pour les utilisateurs de l'UE : les transferts vers le Canada sont couverts par la décision d'adéquation de la Commission européenne (décision 2002/2/CE). Pour les transferts vers d'autres pays, nous utilisons les clauses contractuelles types adoptées par la Commission européenne.

9. Conservation des données

Nous conservons vos renseignements personnels uniquement pendant la durée nécessaire aux finalités pour lesquelles ils ont été collectés, conformément au principe de minimisation :

À l'expiration de la durée de conservation, les données sont supprimées de manière sécurisée (écrasement) ou anonymisées de façon irréversible conformément à l'article 23 de la Loi 25 et aux meilleures pratiques reconnues.

10. Sécurité des données

Nous mettons en oeuvre des mesures de sécurité techniques et organisationnelles proportionnées à la sensibilité des renseignements personnels traités, conformément à l'article 10 de la Loi sur le privé :

Mesures techniques

• Chiffrement au repos : AES-256 pour toutes les données sensibles stockées
• Chiffrement en transit : TLS 1.3 pour toutes les communications client-serveur
• Authentification : authentification multifacteur (MFA/2FA) disponible, mots de passe hachés avec bcrypt (facteur de coût 12+)
• Journalisation : audit complet de tous les accès et modifications aux données
• Sauvegardes : sauvegardes chiffrées quotidiennes avec rétention de 30 jours
• Isolation : architecture multi-tenant avec isolation complète des données par organisation
• Protection réseau : pare-feu applicatif (WAF), protection contre les attaques DDoS, filtrage IP
• Gestion des vulnérabilités : mises à jour régulières des dépendances et correctifs de sécurité

Mesures organisationnelles

• Principe du moindre privilège pour l'accès aux données
• Formation du personnel sur la protection des renseignements personnels
• Évaluations de sécurité régulières
• Procédures documentées de gestion des incidents
• Politique de gestion des accès et des identités
• Procédure de notification et de gestion des incidents de confidentialité

Avertissement : malgré nos efforts raisonnables, aucune méthode de transmission ou de stockage électronique n'est sécurisée à 100 %. Nous ne pouvons garantir la sécurité absolue de vos données. En cas d'incident, nous agirons conformément à la section 13 de la présente Politique.

11. Droits des utilisateurs

Conformément aux articles 27 à 40 de la Loi sur le privé (tels que modifiés par la Loi 25) et à la LPRPDE, vous disposez des droits suivants :

• Droit d'accès (art. 27) : obtenir la confirmation que nous détenons des renseignements vous concernant et en obtenir une copie
• Droit de rectification (art. 28) : faire corriger tout renseignement inexact, incomplet ou équivoque
• Droit à la désindexation (art. 28.1 - Loi 25) : demander la cessation de la diffusion ou la désindexation de renseignements personnels lorsque la diffusion contrevient à la loi ou à une ordonnance judiciaire
• Droit à la portabilité (art. 27 modifié - Loi 25) : recevoir vos renseignements dans un format technologique structuré et couramment utilisé (JSON, CSV ou Excel), ou les faire transmettre à un autre organisme lorsque techniquement possible
• Droit de retrait du consentement : retirer votre consentement à tout moment pour les traitements fondés sur le consentement
• Droit d'être informé : être informé de l'existence d'une prise de décision automatisée et des renseignements utilisés
• Droit à la suppression : demander la destruction de vos renseignements lorsque leur conservation n'est plus nécessaire aux finalités pour lesquelles ils ont été collectés

Exercice de vos droits

Délai de traitement : nous traitons toute demande dans les 30 jours suivant sa réception. Ce délai peut être prolongé de 30 jours supplémentaires si la demande est complexe ou volumineuse, auquel cas nous vous en informons par écrit en motivant le report.

Comment exercer vos droits : adressez votre demande par courriel à [email protected] en précisant votre nom, votre adresse courriel associée à votre compte et la nature de votre demande. Nous pouvons vous demander une preuve d'identité pour vérifier votre demande.

Gratuité : l'exercice de ces droits est gratuit. Si une demande est manifestement infondée ou excessive (par son caractère répétitif notamment), nous nous réservons le droit de facturer des frais raisonnables ou de refuser la demande, conformément à la loi.

Refus motivé : en cas de refus total ou partiel de votre demande, nous vous en informerons par écrit en motivant notre décision et en vous indiquant les recours disponibles.

12. Évaluation des facteurs relatifs à la vie privée (EFVP)

Conformément à l'article 3.3 de la Loi sur le privé (Loi 25), nous réalisons une évaluation des facteurs relatifs à la vie privée (EFVP) avant :

• Tout nouveau projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels
• Toute communication de renseignements personnels à l'extérieur du Québec
• Tout traitement de renseignements personnels susceptible de présenter un risque élevé d'atteinte à la vie privée
• Toute modification substantielle aux traitements existants

L'EFVP évalue la nécessité et la proportionnalité du traitement, identifie les risques pour la vie privée des personnes concernées et prévoit les mesures d'atténuation appropriées. Les résultats sont documentés et conservés dans un registre interne accessible à la Commission d'accès à l'information du Québec sur demande.

13. Incident de confidentialité

Conformément aux articles 3.5 à 3.8 de la Loi sur le privé (Loi 25), en cas d'incident de confidentialité :

• Évaluation : nous évaluons promptement la gravité de l'incident en tenant compte de la sensibilité des renseignements, des conséquences appréhendées, du nombre de personnes concernées et de l'existence de mesures d'atténuation
• Notification à la CAI : si l'incident présente un risque de préjudice sérieux, nous en avisons la Commission d'accès à l'information du Québec avec diligence (art. 3.5)
• Notification aux personnes : nous avisons les personnes concernées avec diligence si l'incident présente un risque de préjudice sérieux, en leur fournissant les informations nécessaires pour protéger leurs intérêts (art. 3.5), incluant la nature des renseignements visés, les mesures prises et les recommandations pour se protéger
• Registre : nous tenons un registre de tous les incidents de confidentialité, qu'ils présentent ou non un risque de préjudice sérieux. Ce registre est conservé pendant au moins 5 ans et est accessible à la CAI sur demande (art. 3.8)

Pour les utilisateurs de l'Union européenne : conformément à l'article 33 du RGPD, nous notifions l'autorité de contrôle compétente dans un délai de 72 heures après avoir pris connaissance d'une violation de données présentant un risque pour les droits et libertés des personnes physiques. Si la violation est susceptible d'engendrer un risque élevé, nous en informons également les personnes concernées sans délai injustifié (art. 34 du RGPD).

14. Prise de décision automatisée et profilage

Planifize utilise des algorithmes d'intelligence artificielle pour :

• L'optimisation automatique des horaires et plannings
• La détection de conflits d'horaires
• Les suggestions d'amélioration de planification
• L'analyse prédictive de la charge de travail

Conformément à l'article 12.1 de la Loi sur le privé (Loi 25) :

• Information : vous êtes informé au moment de la collecte ou avant qu'une décision fondée exclusivement sur un traitement automatisé ne soit prise
• Droit à l'explication : vous avez le droit de connaître les renseignements personnels utilisés dans la décision, les raisons et les principaux facteurs et paramètres ayant mené à la décision
• Droit de contestation : vous pouvez faire valoir vos observations et demander la révision de la décision par une personne physique compétente

Aucune décision ayant un impact juridique ou significatif sur vous ne repose exclusivement sur un traitement automatisé sans possibilité de révision humaine.

Les résultats générés par les algorithmes sont des suggestions et ne remplacent pas le jugement professionnel humain. Vous êtes seul responsable de la validation et de la mise en application des résultats.

15. Protection des mineurs

Le service Planifize est destiné à un usage professionnel et organisationnel. L'utilisation du Service requiert d'avoir au moins 18 ans (voir les Conditions d'utilisation, section 1.2).

Nous ne collectons pas sciemment de renseignements personnels auprès de personnes âgées de moins de 16 ans.

Conformément à l'article 4.1 de la Loi sur le privé (Loi 25), le consentement d'un mineur de 14 ans et plus peut être donné par le mineur lui-même pour ce qui concerne la collecte de renseignements personnels. Pour un mineur de moins de 14 ans, le consentement doit être donné par le titulaire de l'autorité parentale ou le tuteur.

Si nous découvrons que nous avons collecté des renseignements personnels d'un enfant de moins de 14 ans sans le consentement parental requis, nous supprimerons ces données dans les meilleurs délais. Si vous croyez qu'un mineur de moins de 14 ans nous a fourni des renseignements personnels, veuillez nous contacter à [email protected].

16. Modifications de la politique

Nous nous réservons le droit de modifier la présente Politique à tout moment. En cas de modification substantielle :

• Nous vous en informerons au moins 30 jours avant l'entrée en vigueur par courriel et/ou par notification dans l'application
• La date de dernière mise à jour et le numéro de version seront modifiés en haut de cette page
• Si la modification affecte un traitement fondé sur votre consentement, nous solliciterons un nouveau consentement
• Un résumé des modifications sera fourni pour faciliter votre compréhension

Votre utilisation continue du service après l'entrée en vigueur des modifications constitue votre acceptation de la Politique révisée. Si vous n'acceptez pas les modifications, vous devez cesser d'utiliser le service et supprimer votre compte.

17. Droit applicable, juridiction et utilisateurs internationaux

17.1 Droit applicable

La présente Politique est régie et interprétée conformément aux lois de la province de Québec et aux lois fédérales du Canada qui s'y appliquent, notamment :

• Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)
• Code civil du Québec (RLRQ, c. CCQ-1991)
• Loi sur la protection des renseignements personnels et les documents électroniques (L.C. 2000, c. 5)

17.2 Juridiction exclusive

Tout litige découlant de la présente Politique ou du traitement de vos renseignements personnels relève de la compétence exclusive des tribunaux de la ville de Montréal, district judiciaire de Montréal, province de Québec.

17.3 Utilisateurs internationaux

Si vous accédez au Service depuis un pays autre que le Canada :

• La présente Politique est régie exclusivement par les lois du Québec et du Canada, indépendamment de votre lieu de résidence
• Vos données sont transférées et traitées au Canada, pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat
• Vous consentez à ce transfert en utilisant le Service
• Tout litige relève de la compétence exclusive des tribunaux de Montréal, Québec
• Vous êtes responsable de votre conformité aux lois locales applicables dans votre juridiction

Des dispositions spécifiques pour les utilisateurs de l'Union européenne et de la Californie sont prévues aux sections 18 et 19.

18. Dispositions spécifiques - RGPD (Union européenne)

Si vous êtes situé dans l'Espace économique européen (EEE), le Royaume-Uni ou la Suisse, les dispositions suivantes s'appliquent en complément de la présente Politique :

18.1 Responsable du traitement et DPO

Au sens du RGPD, MEMORA solutions inc. est le responsable du traitement de vos données personnelles. Notre délégué à la protection des données (DPO) est joignable à [email protected].

18.2 Bases juridiques (art. 6 RGPD)

Nos traitements sont fondés sur les bases juridiques suivantes au sens de l'article 6 du RGPD :

• Art. 6(1)(b) - Exécution du contrat : fourniture du service, gestion de compte, facturation
• Art. 6(1)(a) - Consentement : cookies analytiques, communications commerciales
• Art. 6(1)(c) - Obligation légale : conservation de journaux, déclaration d'incidents
• Art. 6(1)(f) - Intérêt légitime : sécurité, amélioration du service, prévention de la fraude

18.3 Droits supplémentaires (RGPD)

En plus des droits mentionnés à la section 11, vous bénéficiez des droits suivants :

• Droit à l'effacement (art. 17 RGPD) : demander la suppression de vos données dans les cas prévus par le RGPD
• Droit à la limitation du traitement (art. 18 RGPD) : demander la restriction temporaire du traitement de vos données
• Droit d'opposition (art. 21 RGPD) : vous opposer au traitement fondé sur l'intérêt légitime, y compris au profilage
• Droit à la portabilité (art. 20 RGPD) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON, CSV)

18.4 Transferts hors EEE

Vos données sont transférées au Canada, pays bénéficiant d'une décision d'adéquation de la Commission européenne (décision 2002/2/CE). Pour tout transfert vers un pays ne bénéficiant pas d'une telle décision, nous utilisons les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution 2021/914).

18.5 Réclamation auprès d'une autorité de contrôle

Vous avez le droit d'introduire une réclamation auprès de l'autorité de protection des données de votre pays de résidence dans l'EEE. Une liste des autorités est disponible sur le site du Comité européen de la protection des données (EDPB) : edpb.europa.eu.

19. Dispositions spécifiques - CCPA/CPRA (Californie)

Si vous êtes résident de l'État de Californie (États-Unis), les dispositions suivantes s'appliquent en complément de la présente Politique, conformément au California Consumer Privacy Act (CCPA) tel que modifié par le California Privacy Rights Act (CPRA) :

19.1 Vos droits en vertu du CCPA/CPRA

• Droit de savoir : vous pouvez demander quelles catégories et quels éléments spécifiques de renseignements personnels nous avons collectés, les sources de collecte, les finalités commerciales et les catégories de tiers avec qui nous les partageons
• Droit de suppression : vous pouvez demander la suppression de vos renseignements personnels, sous réserve des exceptions prévues par la loi
• Droit de correction : vous pouvez demander la correction de renseignements personnels inexacts
• Droit de limiter l'utilisation de renseignements sensibles : vous pouvez limiter l'utilisation de vos renseignements personnels sensibles
• Droit de non-discrimination : nous ne vous discriminerons pas pour l'exercice de vos droits en vertu du CCPA/CPRA

19.2 Vente et partage de données

Planifize ne vend pas (« sell ») et ne partage pas (« share ») vos renseignements personnels au sens du CCPA/CPRA. Nous n'avons vendu ni partagé de renseignements personnels de consommateurs au cours des douze (12) derniers mois.

19.3 Catégories de renseignements collectés

Au sens du CCPA, les catégories de renseignements personnels que nous collectons sont : les identifiants (nom, courriel), les informations internet ou d'activité réseau (journaux, IP), les informations professionnelles ou liées à l'emploi (rôle, organisation), et les inférences (préférences d'utilisation).

19.4 Exercice de vos droits CCPA

Pour exercer vos droits, contactez-nous à [email protected]. Nous traiterons votre demande dans un délai de 45 jours, extensible de 45 jours supplémentaires si nécessaire.

20. Limitation de responsabilité relative aux données

Dans la mesure maximale permise par la loi applicable, MEMORA solutions ne saurait être tenue responsable de :

• Toute perte, corruption, altération ou destruction de données résultant d'un événement échappant à son contrôle raisonnable
• Tout accès non autorisé à vos données résultant de votre négligence (mots de passe faibles, partage d'identifiants, absence de MFA)
• Tout traitement de données effectué par des services tiers auxquels vous avez choisi de connecter votre compte
• Toute conséquence de l'exercice de vos droits de suppression ou de retrait de consentement
• Tout retard dans le traitement de vos demandes d'accès ou de rectification résultant de circonstances exceptionnelles

Pour les limitations détaillées de responsabilité, veuillez consulter la section 10 de nos Conditions d'utilisation.

21. Contact et plaintes

Pour toute question, demande d'exercice de vos droits ou plainte relative à la présente Politique ou à la protection de vos renseignements personnels, contactez :

Organismes de surveillance et de recours

Si vous estimez que vos droits en matière de protection des renseignements personnels n'ont pas été respectés, vous pouvez déposer une plainte auprès de :

Pour les utilisateurs situés au Canada hors Québec :

Pour les utilisateurs situés dans l'Union européenne : vous pouvez déposer une plainte auprès de l'autorité de protection des données de votre pays de résidence (voir section 18.5).

Pour les utilisateurs situés en Californie : vous pouvez contacter le Bureau du procureur général de Californie : oag.ca.gov/privacy.