Entente de traitement des données

À propos de cette entente

Cette entente fait partie de nos conditions d’utilisation entre Meiko Technologies Ltd. (« Luncheezy », « nous ») et l’école, le centre de services scolaire ou conseil scolaire, le comité de parents ou l’autre organisation qui gère un programme de repas dans Luncheezy (« vous »). Un administrateur l’accepte pour votre organisation en acceptant les conditions.

Elle couvre les renseignements personnels que vous, votre personnel, vos bénévoles, vos vendeurs et les familles inscrivez dans Luncheezy pour votre programme : les renseignements des familles et des enfants, les allergies et les régimes, les commandes, les paiements et les crédits, le personnel et les bénévoles, les listes de classes et les registres du jour du repas (« les renseignements de votre école »).

Elle ne couvre pas ce que nous traitons pour nos propres besoins, comme organisation qui en est responsable : les renseignements de connexion et les registres de sécurité des personnes, la facturation de votre forfait, les demandes envoyées par notre site et les messages à notre équipe de soutien. Notre politique de confidentialité les décrit.

Qui est responsable de quoi

• Vous êtes responsable des renseignements de votre école selon la loi sur la protection des renseignements personnels qui s’applique à vous : vous décidez de ce que votre programme recueille et pourquoi, vous en informez les familles, et vous en répondez devant elles et devant votre autorité de protection des renseignements personnels.
• Nous sommes votre fournisseur de services. Nous conservons et traitons les renseignements de votre école pour vous, selon cette entente et les lois qui s’appliquent à nous : la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la loi de la Colombie-Britannique sur la protection des renseignements personnels (Personal Information Protection Act) et, pour les renseignements sur des personnes au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25.
• Si vous êtes un organisme public, comme un centre de services scolaire, une loi sur l’accès aux documents des organismes publics peut vous imposer des obligations. Nous vous aidons à les respecter, et nous examinerons la signature de votre propre entente si votre loi l’exige : écrivez à [email protected].

Seulement selon vos instructions

Nous utilisons les renseignements de votre école seulement pour vous fournir Luncheezy, à vous et à vos familles : selon le fonctionnement du produit, selon la façon dont votre personnel le configure et l’utilise, et selon ces conditions et vos demandes écrites. Nous les utilisons aussi lorsque la loi l’exige, et nous vous en avisons d’abord, sauf si la loi l’interdit.

Nous ne vendons jamais les renseignements de votre école, ne les utilisons jamais pour de la publicité ou du marketing, ne les combinons jamais avec d’autres sources pour créer des profils et ne nous en servons jamais pour entraîner des modèles d’intelligence artificielle. Si une de vos instructions semble contraire à une loi sur la protection des renseignements personnels, nous vous le disons.

Confidentialité et notre personnel

Seuls les membres du personnel de Luncheezy qui en ont besoin, pour vous soutenir ou protéger le service, peuvent accéder aux renseignements de votre école, et ils sont tenus à la confidentialité. L’équipe de soutien peut consulter un compte ; seuls quelques membres expérimentés, qui se connectent avec la vérification en deux étapes, peuvent agir sur un compte. Lorsque l’un d’eux voit Luncheezy comme l’un de vos utilisateurs pour régler un problème, chaque action est inscrite dans le journal d’audit de votre école, que vos administrateurs peuvent consulter.

Sécurité

Nous protégeons les renseignements de votre école avec les mesures décrites dans notre politique de confidentialité : connexions chiffrées, connexion sans mot de passe et vérification en deux étapes pour les personnes qui peuvent modifier les coordonnées bancaires ou la facturation d’une école, séparation des renseignements de chaque école par la base de données elle-même, accès limité selon le rôle, journal d’audit non modifiable, et journaux qui ne contiennent jamais de codes de connexion, de NIP ni de renseignements sur les allergies. Nous revoyons ces mesures à mesure que le service et les risques évoluent.

Sous-traitants

Nous faisons appel aux fournisseurs de notre liste des sous-traitants. Chacun ne reçoit que ce dont son travail a besoin, selon un contrat écrit qui l’oblige à protéger ces renseignements au moins aussi bien que cette entente. Nous demeurons responsables envers vous de ce qu’ils en font.

Nous avisons vos administrateurs par courriel au moins 30 jours avant qu’un nouveau fournisseur reçoive les renseignements de votre école, sauf si nous devons en remplacer un d’urgence pour que le service continue de fonctionner ou reste sûr ; nous vous avisons alors dès que possible. Si vous vous y opposez pour une raison raisonnable liée à la protection des renseignements personnels et que nous ne pouvons pas y remédier, vous pouvez cesser d’utiliser Luncheezy et fermer le compte de votre école sans pénalité, et nous remboursons les frais de forfait payés d’avance pour la période qui suit la fermeture.

Où vont les renseignements de votre école

Les renseignements de votre école sont conservés au Canada : sur des serveurs que nous exploitons nous-mêmes, et chez Backblaze, à Toronto, pour les fichiers et les sauvegardes. Seuls trois fournisseurs en traitent une partie à l’extérieur du Canada : Stripe (paiements ; aux États-Unis et dans d’autres pays), MailerSend (courriels ; dans l’Union européenne) et Plivo (codes de connexion par texto ; aux États-Unis). Aucun d’eux ne reçoit de renseignements sur les allergies ou les régimes.

Les renseignements traités dans un autre pays sont soumis aux lois de ce pays, et ses tribunaux et ses autorités pourraient y avoir accès. Avant de communiquer des renseignements personnels à l’extérieur du Québec, nous évaluons les facteurs relatifs à la vie privée, comme l’exige la loi québécoise. Vous pouvez nous demander un résumé de cette évaluation.

Incidents de confidentialité

Si nous apprenons que des renseignements de votre école ont fait l’objet d’un accès, d’une utilisation, d’une communication ou d’une perte non autorisés, nous en avisons vos administrateurs et votre responsable de la protection des renseignements personnels sans délai injustifié, et nous agissons aussitôt pour y mettre fin et limiter le préjudice. Nous vous disons ce qui s’est passé, quels renseignements et quelles personnes sont touchés, dans la mesure où nous le savons, ce que nous avons fait et ce que nous recommandons, et nous vous tenons au courant.

Nous inscrivons chaque incident dans notre registre des incidents, comme l’exige la loi québécoise, et le conservons 5 ans. Sauf entente contraire, c’est vous qui décidez d’aviser les personnes concernées et votre autorité, et nous vous donnons ce qu’il vous faut pour le faire. Lorsque la loi qui s’applique à nous nous oblige à déclarer l’incident, nous le déclarons aussi.

Aide pour les demandes et les évaluations

Les familles peuvent consulter, corriger et télécharger une grande partie de leurs propres renseignements dans l’application, et votre personnel peut corriger et exporter les renseignements de votre école. Si une personne vous demande l’accès à ses renseignements, leur correction ou leur suppression et que l’application ne permet pas de le faire, nous vous aidons à répondre dans le délai que la loi vous donne.

Si nous recevons directement une demande qui porte sur les renseignements de votre école, nous vous la transmettons, ou nous invitons la personne à communiquer avec vous, sauf si elle concerne son propre compte Luncheezy. Nous vous aidons aussi pour les évaluations des facteurs relatifs à la vie privée, les questions d’une autorité et les questionnaires de sécurité et de protection des renseignements personnels des organismes publics.

À la fin : exportation et suppression

Vous pouvez exporter les renseignements de votre école en tout temps avec les rapports et les exportations de l’application.

• Quand votre école ferme son compte Luncheezy (ou que nous y mettons fin selon les conditions), les commandes s’arrêtent, votre personnel et vos familles en sont avisés, et vos administrateurs peuvent encore se connecter pour exporter les renseignements de votre école pendant 90 jours.
• Après ces 90 jours, nous supprimons les renseignements personnels de votre école ou les rendons anonymes : le nom des enfants est remplacé par un code, et leurs allergies, leurs connexions, les listes de classes, les rôles du personnel et les liens familiaux sont supprimés.
• Nous conservons les registres financiers (commandes, paiements, remboursements, crédits et relevés de frais) pendant 7 ans, comme l’exige la loi fiscale, puis nous les supprimons. Les entrées du journal d’audit sont conservées 2 ans, ou 7 ans pour l’argent, puis supprimées.
• Les renseignements supprimés disparaissent de nos sauvegardes dans un délai de 35 jours, au fil de leur renouvellement.
• Les parents gardent leur propre compte Luncheezy, qu’ils peuvent supprimer en tout temps ; leur lien avec votre école prend fin.

Pendant que votre école utilise Luncheezy, des renseignements sont aussi supprimés selon le calendrier de notre politique de confidentialité : par exemple, les enfants sont rendus anonymes 12 mois après avoir quitté votre école.

Information et vérifications

Nous répondons à vos questions raisonnables sur la façon dont nous traitons les renseignements de votre école, et nous vous remettons sur demande un résumé de nos mesures de sécurité et de nos évaluations des facteurs relatifs à la vie privée. S’il vous faut davantage pour respecter vos obligations légales, par exemple une vérification après un incident, nous en convenons de bonne foi avec vous : portée, échéancier et coût.

Durée et conflits

Cette entente s’applique tant que nous détenons des renseignements de votre école, même après la fermeture de votre compte. Si elle et les conditions d’utilisation disent des choses différentes sur les renseignements personnels, cette entente l’emporte. Nous pouvons la mettre à jour de la façon décrite dans les conditions ; un changement important est annoncé à l’avance et accepté de nouveau par un administrateur.

Nous joindre

Notre responsable de la protection des renseignements personnels est responsable de cette entente : [email protected], ou par la poste à 4648 Lakelse Avenue, Terrace, BC V8G 1R2, Canada.