Confidentialité et renseignements personnels

Portée de cet avis

Vitosha Technologies est la marque commerciale retenue. Cet avis vise les visiteurs du site, les clients potentiels, les contacts professionnels et les renseignements personnels consultés dans le cadre de travaux TI autorisés. L’entité juridique reste à confirmer.

Nos dossiers administratifs et les renseignements présents dans les systèmes d’un client répondent à des finalités et à des responsabilités distinctes. Le mandat doit préciser les renseignements accessibles, les travaux permis et les responsabilités de chacun. Une consultation temporaire peut concerner des renseignements personnels même sans conservation d’une copie.

Renseignements liés à nos services

Selon le mandat et les outils qui seront retenus, les renseignements pertinents peuvent comprendre :

• Coordonnées professionnelles : noms, fonctions, organisations, adresses courriel et numéros de téléphone.
• Dossiers administratifs : propositions, contrats, renseignements de facturation et éléments nécessaires au suivi de la relation d’affaires.
• Communications de soutien : demandes, correspondance, descriptions de problèmes et éléments de diagnostic nécessaires.
• Informations techniques : noms d’appareils, identifiants professionnels, adresses IP, configurations, inventaires et journaux diagnostiques limités.
• Renseignements consultés dans les comptes, messageries, serveurs, postes, sauvegardes ou alertes de sécurité du client lors de travaux autorisés.

Pourquoi ces renseignements peuvent être nécessaires

L’approche prévue consiste à limiter les renseignements à ce qui est nécessaire pour une finalité définie : évaluer une demande, fournir et documenter les services convenus, administrer les contrats et la facturation, protéger les systèmes ou respecter les obligations applicables de tenue de dossiers.

Les renseignements du client doivent servir au mandat autorisé. Les modèles contractuels interdisent la vente des renseignements confiés, leur utilisation publicitaire et leur exploitation à d’autres fins. Ils interdisent aussi leur copie dans des outils tiers non approuvés, notamment les services publics d’intelligence artificielle.

Fonctionnement du formulaire de contact

Le formulaire recueille votre nom, votre organisation, votre adresse courriel, un téléphone facultatif, le service recherché, votre message, la langue et votre consentement pour nous permettre d’évaluer votre demande et d’y répondre. Aucun compte ni paiement n’est requis.

Lors de l’envoi, votre navigateur transmet ces renseignements par HTTPS à FormSubmit, qui les achemine à info@vtiox.ca, notre boîte Microsoft Outlook. FormSubmit traite la demande et peut utiliser des données techniques de connexion pour l’envoi et la prévention du pourriel. FormSubmit indique conserver une archive des demandes pendant 30 jours. Les copies dans notre messagerie sont gérées séparément.

Le site ne conserve pas les champs dans le stockage local ou de session du navigateur. Votre navigateur peut proposer ses propres fonctions de remplissage automatique. Vous pouvez nous écrire directement sans passer par FormSubmit. N’inscrivez aucun mot de passe, journal client, pièce d’identité ou renseignement sensible.

Témoins et données techniques de connexion

Le site ne comporte aucun outil d’analyse, traceur publicitaire, témoin de marketing, contenu tiers intégré ou police chargée à distance. Il ne demande pas votre position et ne crée aucun profil marketing. Les ressources sont servies par le site lui-même; l’envoi du formulaire effectue une requête à FormSubmit.

Le site est hébergé sur Microsoft Azure Static Web Apps. L’hébergeur et le fournisseur d’envoi peuvent traiter des données de connexion, comme les adresses IP, les pages demandées, les horodatages et les informations sur le navigateur, pour fournir et protéger leurs services.

Accès autorisé aux systèmes clients

Le modèle de service prévoit un accès limité aux travaux convenus et aux personnes autorisées qui en ont besoin. Les obligations de confidentialité du personnel et des sous-traitants, les méthodes d’administration à distance et l’installation de logiciels ou d’agents doivent être encadrées par les ententes et autorisations appropriées.

Les travaux doivent se faire dans l’environnement du client lorsque possible. Les exports, captures ou échantillons diagnostiques temporaires nécessaires doivent répondre à une finalité autorisée, être conservés dans un emplacement approuvé et protégé, puis être supprimés lorsqu’ils ne sont plus nécessaires, sous réserve des exigences de conservation applicables. Les accès et identifiants doivent être révisés et retirés à la fin du mandat.

Wazuh et maîtrise des journaux

Le modèle Wazuh standard conserve les journaux, événements, alertes et index dans l’infrastructure contrôlée par le client. Notre rôle comprend la mise en œuvre, la configuration, la personnalisation, l’intégration, l’ajustement, le dépannage, la documentation, la formation et le soutien autorisé. Il n’inclut ni SIEM hébergé, ni conservation centralisée habituelle des journaux clients, ni centre d’opérations de sécurité 24 h/24.

Le client détermine les sources, la couverture des appareils, les durées de conservation, la surveillance permise et les modalités de réponse. Un accès temporaire pour les travaux convenus ne transfère pas la maîtrise des données. Toute copie exceptionnelle de dépannage doit être nécessaire, autorisée, protégée et supprimée à la fin de son utilité, sous réserve des exigences applicables.

Destinataires, fournisseurs et lieux de traitement

Le site utilise Microsoft Azure Static Web Apps pour l’hébergement, FormSubmit pour la transmission du formulaire et Microsoft Outlook pour la boîte de réception. D’autres fournisseurs futurs pourraient couvrir la billetterie, la comptabilité, la sauvegarde et les outils administratifs. Cet avis ne confirme aucun lieu de stockage précis.

Notre disponibilité internationale ne signifie pas que les renseignements sont stockés exclusivement au Québec ou au Canada. Avant de recourir à un fournisseur ou à un traitement impliquant des renseignements à l’extérieur du Québec, les exigences applicables d’évaluation de la vie privée et d’encadrement contractuel doivent être traitées. Les lieux réels et les destinataires pertinents devront être précisés lors de la finalisation des modalités de collecte.

Conservation et suppression

FormSubmit indique conserver les demandes pendant 30 jours. Les messages transmis restent dans notre boîte Outlook, dont la conservation est gérée séparément. Le calendrier de conservation doit distinguer les demandes et les dossiers comptables des éléments temporaires de soutien et des identifiants.

La règle prévue consiste à conserver les renseignements tant qu’ils sont nécessaires à leur finalité ou à une exigence légale ou contractuelle applicable, puis à les détruire de façon sécuritaire ou à les anonymiser lorsque cela est permis et approprié. Les copies de soutien ne doivent pas devenir une archive permanente des données du client. La conservation Wazuh demeure une décision du client. Les durées opérationnelles précises ne sont pas encore approuvées.

Mesures de protection et responsabilités

Les modèles internes prévoient des mesures proportionnées à la sensibilité et à l’utilisation des renseignements : moindre privilège, comptes nominatifs lorsque possible, authentification multifacteur, appareils protégés, chiffrement adapté, accès à distance approuvés et obligations de confidentialité.

Le responsable désigné de la protection des renseignements personnels doit coordonner la gouvernance, les questions, les plaintes, les évaluations et la gestion des incidents. Ces modèles décrivent des mesures à mettre en œuvre et à vérifier. Leur existence ne prouve pas que toutes les mesures sont opérationnelles et ne constitue pas une certification de conformité à la Loi 25.

Questions, accès, rectification et consentement

Vous pouvez demander l’accès ou la rectification de renseignements personnels vous concernant, ou poser une question et porter plainte sur leur traitement. Une vérification proportionnée de votre identité peut être nécessaire. Les conditions et exceptions prévues par la loi peuvent avoir une incidence sur la réponse.

Lorsqu’un traitement repose sur le consentement, une demande de retrait doit être examinée selon les exigences applicables et ses effets éventuels sur le service demandé. Si la demande vise des renseignements détenus pour un client, le processus prévu consiste à la lui transmettre et à l’assister dans le cadre du mandat, plutôt qu’à décider de façon indépendante de leur communication.

Pour toute question sur les renseignements de votre demande, écrivez à info@vtiox.ca. Le responsable désigné et le processus formel de traitement restent à confirmer. Ne transmettez pas de pièces d’identité par le formulaire.

Incidents de confidentialité et mises à jour

Le modèle de réponse aux incidents prévoit le signalement, le confinement, l’évaluation, la documentation et les mesures pour réduire le préjudice et prévenir une récidive. Un incident touchant des renseignements clients doit être coordonné avec le contact désigné du client, selon l’entente et la loi applicable. Les avis requis dépendent de l’incident et des critères légaux applicables.

Cet avis doit être révisé lorsque la collecte, les outils, les fournisseurs ou les pratiques importantes de confidentialité changent. La date de révision concerne cet avis du site; elle n’est pas la date d’entrée en vigueur d’une politique d’entreprise signée.