Politique de protection des renseignements personnels

Préambule

Cette politique vise à régir la conformité du cabinet 9499-6345 Québec Inc. (Félix Di Gennaro – Courtier Hypothécaire). Elle doit être appliquée rigoureusement et utilisée comme un outil au service de l'exercice des courtiers hypothécaires autonomes ou des cabinets pour répondre aux exigences de l'Autorité des marchés financiers (ci-après nommée « l'AMF »).

L'objet des politiques

• A. Établir les principes généraux relatifs à la collecte, l'utilisation et la communication de renseignements personnels;
• B. Conserver adéquatement les données;
• C. Détruire adéquatement les renseignements personnels;
• D. Anonymiser les renseignements personnels, le cas échéant;
• E. Recevoir et traiter adéquatement les plaintes et demandes d'individus souhaitant exercer leurs droits;
• F. Sécuriser adéquatement les données;
• G. Gérer les incidents de confidentialité et plan de réponse aux incidents.

1. Rôles et responsabilités

La personne responsable de l'application de la présente politique est la personne responsable de la protection des renseignements personnels, M. Félix Di Gennaro. Le titre et les coordonnées de la personne responsable de la protection des renseignements personnels sont publiés sur le site Internet de 9499-6345 Québec Inc.

M. Félix Di Gennaro

Courtier hypothécaire – Permis AMF #608349

Responsable de la protection des renseignements personnels

5 rue Industrielle, Saint-Roch-de-l'Achigan (Québec) J0K 3H0

Téléphone : 438-795-3991

Courriel : [email protected]

2. Définition de renseignement personnel

La définition d'un renseignement personnel est la suivante : « Est un renseignement personnel, tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier. »

À titre indicatif : nom, religion, état matrimonial, niveau d'instruction, âge, dossier médical, revenus, renseignements bancaires, numéro d'assurance sociale, adresse civique, déclaration de revenus, rapport de solvabilité, etc.

3. Définition de renseignement personnel sensible

Un renseignement personnel est considéré sensible lorsque, de par sa nature notamment médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou de sa communication, il suscite un haut degré d'attente raisonnable en matière de vie privée.

4. Embauche

Tout employé doit signer une entente de confidentialité.

5. Entente de services

La personne qui conclut une entente de services avec un fournisseur dont les activités pourraient permettre un accès aux renseignements personnels doit s'assurer que l'offre de service inclut un engagement à cet effet. Sinon, un engagement de confidentialité doit être signé.

6. Consentement

En tout temps, le courtier hypothécaire doit obtenir une autorisation écrite dûment signée par son client, qui l'autorise à recueillir, utiliser, communiquer et conserver les renseignements personnels le concernant.

7. Principes généraux relatifs à la collecte, l'utilisation et la communication de renseignement personnel

7.1. Collection des renseignements personnels

Pour recueillir des renseignements personnels sur autrui, il faut un intérêt sérieux et légitime. Les renseignements doivent être recueillis par des moyens licites uniquement.

Renseignements recueillis auprès d'un tiers

Dans l'éventualité où des renseignements personnels sont recueillis auprès d'un tiers, le consentement de la personne concernée doit être obtenu préalablement.

Renseignements concernant un mineur de moins de 14 ans

Les renseignements personnels concernant un mineur de moins de 14 ans ne peuvent être recueillis auprès de celui-ci sans avoir obtenu préalablement le consentement du titulaire de l'autorité parentale ou du tuteur.

7.2. L'utilisation des renseignements personnels

Les renseignements personnels sont seulement utilisés aux fins pour lesquelles ils ont été recueillis, à moins du consentement de la personne concernée.

7.3. Communication des renseignements personnels

Il est interdit de communiquer des renseignements personnels sur le client à des tiers, sans avoir obtenu l'autorisation du client au préalable, à l'exception des cas permis par la loi.

8. Conserver adéquatement les données

8.1. Conserver les renseignements personnels

Afin de s'assurer de bien conserver les renseignements personnels contenus dans les dossiers actifs, les employés prennent les mesures suivantes :

• Consigner au dossier les communications écrites avec le client;
• Tourner face contre table les documents contenant des renseignements personnels;
• Limiter l'accès aux locaux aux personnes autorisées;
• Verrouiller les classeurs tous les soirs;
• À la fin de la journée, les dossiers sont rangés et conservés dans les classeurs.

8.2. Conserver les dossiers inactifs

Les dossiers inactifs sont conservés selon les durées minimales suivantes :

• Dossiers clients et registres AMF : cinq (5) ans suivant la fermeture définitive du dossier;
• Documents à caractère fiscal : six (6) ans suivant la dernière année d'imposition concernée.

9. Accès au dossier

Le client doit pouvoir en tout temps, avoir accès à son dossier. Il doit pouvoir le consulter ou en demander une copie. Également, le client doit pouvoir demander à ce que toute information fausse ou erronée soit corrigée.

10. Fermeture de dossiers

Après les délais de conservation prescrits (cinq (5) ans pour les dossiers clients et registres AMF, six (6) ans pour les documents fiscaux), les dossiers peuvent être détruits.

11. Destruction et anonymisation des renseignements personnels

11.1. Destruction sécuritaire

La destruction des documents physiques doit se faire par le biais d'outils spécialisés, telle qu'une déchiqueteuse de bureau. Le document déchiqueté doit donner des morceaux tellement petits qu'il est impossible de reconstituer le document. La destruction des renseignements numériques se fait par effacement sécurisé conformément aux meilleures pratiques en vigueur.

11.2. Anonymisation

L'anonymisation est le processus visant à supprimer ou modifier les renseignements personnels de façon irréversible afin qu'aucun individu ne puisse être identifié, directement ou indirectement. Lorsque des renseignements personnels ne sont plus nécessaires aux fins pour lesquelles ils ont été collectés, ils peuvent être anonymisés de manière irréversible plutôt que détruits, en respectant les meilleures pratiques techniques en vigueur. Un renseignement anonymisé n'est plus considéré comme un renseignement personnel.

12. Recevoir et traiter adéquatement les plaintes et demandes d'individus

12.1. Définition de plainte et registre

Aux fins de la présente politique, une plainte constitue tout reproche ou toute insatisfaction à l'égard d'un service ou d'un produit offert par le cabinet, qui lui est communiqué par une personne faisant partie de sa clientèle et pour lequel une réponse finale est attendue. Une réponse finale est notamment attendue lorsque la communication de l'auteur de la plainte implique, en termes exprès ou de façon implicite, que des mesures doivent être prises pour y remédier. Chaque plainte est consignée au registre des plaintes du cabinet.

12.2. Procédure lors de signalement d'une plainte

Tout client qui désire porter plainte doit le faire par écrit à l'adresse suivante :

M. Félix Di Gennaro

Responsable de la protection des renseignements personnels

5 rue Industrielle, Saint-Roch-de-l'Achigan (Québec) J0K 3H0

Téléphone : 438-795-3991

Courriel : [email protected]

12.3. Accès au dossier

Tant le client qu'un employé, ils peuvent en tout temps, avoir accès à leur dossier, pour le consulter ou en demander une copie.

12.4. Vos droits concernant vos renseignements personnels

Conformément à la Loi sur la protection des renseignements personnels dans le secteur privé, vous disposez des droits suivants :

• Droit d'accès : Consulter les renseignements personnels que nous détenons à votre sujet;
• Droit de rectification : Faire corriger tout renseignement inexact;
• Droit de retrait du consentement : Retirer votre consentement à tout moment. Pour les communications électroniques (courriels, infolettres, communications marketing), le retrait peut s'effectuer en tout temps via notre page de désabonnement : https://felixdigennaro.com/desabonnement . Pour les témoins de connexion (cookies), consultez la section 18;
• Droit à l'effacement : Demander la suppression de vos renseignements;
• Droit à la portabilité : Obtenir vos renseignements dans un format structuré;
• Droit au déréférencement : Exiger la désindexation de tout hyperlien rattaché à votre nom.

13. Gérer les incidents de confidentialité et plan de réponse aux incidents

Dès qu'une personne a des motifs de croire qu'il s'est produit un incident de confidentialité impliquant un renseignement personnel qu'elle détient, elle doit immédiatement prendre les mesures raisonnables pour diminuer les risques qu'un préjudice soit causé.

Un incident de confidentialité comprend : l'accès, la communication et l'utilisation non autorisée par la loi d'un renseignement personnel; la perte d'un renseignement personnel; ou toute autre atteinte à la protection d'un tel renseignement.

13.1. Mesures prises en cas d'incident à risque de préjudice sérieux

En cas d'incident de confidentialité présentant un risque de préjudice sérieux, le responsable de la protection des renseignements personnels prend les mesures suivantes :

• Aviser avec diligence la Commission d'accès à l'information du Québec (CAI) ;
• Aviser sans délai chaque personne dont un renseignement personnel est concerné par l'incident;
• Consigner l'incident au registre des incidents de confidentialité maintenu par le cabinet, lequel est conservé pendant une période minimale de cinq (5) ans suivant la date de l'incident;
• Mettre en œuvre les mesures correctives nécessaires pour prévenir la récurrence de tels incidents.

14. Vol d'identité

Si un client signale une possibilité de vol d'identité, la personne responsable de la protection des renseignements personnels doit activer un indicateur de vol d'identité dans le système informatique ainsi que dans le dossier physique.

15. Dispositions générales

La présente politique doit être révisée annuellement par la personne responsable de la protection des renseignements personnels.

La présente politique de conformité est en vigueur depuis le 12 janvier 2024 et mise à jour le 3 juillet 2026.

16. Localisation et hébergement des données informatiques

Dans le cadre de ses activités, 9499-6345 Québec Inc. utilise plusieurs systèmes informatiques pour le stockage et la gestion des renseignements personnels de ses clients.

Évaluation des facteurs relatifs à la vie privée (EFVP)

Conformément à la Loi 25, une évaluation des facteurs relatifs à la vie privée a été réalisée pour chaque plateforme impliquant un transfert de renseignements personnels à l'extérieur du Québec.

Voici les principales plateformes utilisées :

Clustdoc

• Type de données hébergées : Documents personnels (collecte transitoire)
• Lieu d'hébergement : États-Unis
• Garanties de sécurité : Fournisseur français conforme au RGPD, évaluation sécurité basée sur ISO 27000, DPA signé

OneDrive Microsoft

• Type de données hébergées : Dossiers clients complets (archivage)
• Lieu d'hébergement : Serveurs Microsoft situés au Canada
• Garanties de sécurité : Certifications ISO 27001/27018, SOC 1/2/3, chiffrement AES 256 bits, DPA signé

GoHighLevel

• Type de données hébergées : Informations de contact de base (nom, courriel, téléphone)
• Lieu d'hébergement : États-Unis (infrastructure AWS et Google Cloud)
• Garanties de sécurité : Certification ISO 27001, EU Data Privacy Framework, chiffrement en transit et au repos, DPA signé

BOSS (M3-Tech)

• Type de données hébergées : Documents et informations liés à la demande hypothécaire
• Lieu d'hébergement : Serveurs sécurisés au Canada (Montréal)
• Garanties de sécurité : Certification SOC 2 Type II

OneSpan Sign

• Type de données hébergées : Documents hypothécaires soumis à la signature électronique (consentements, mandats, formulaires)
• Lieu d'hébergement : Serveurs AWS situés au Canada
• Garanties de sécurité : Chiffrement en transit et au repos, pistes d'audit complètes, conformité aux normes de signature électronique (LCCJTI), DPA signé

Manni (NordAI Technologie Inc.)

• Type de données hébergées : Transcriptions et analyses des communications téléphoniques
• Lieu d'hébergement : Serveurs situés exclusivement au Québec (Micrologic Québec et Google Cloud Montréal)
• Garanties de sécurité : Modèles de transcription propriétaires (aucun sous-traitant externe), chiffrement, authentification multifacteur, isolation multi-locataire, DPA signé

Microsoft Clarity (analytique web)

• Type de données hébergées : Données de navigation sur le site web (statistiques de fréquentation, enregistrements de session et cartes de chaleur) — aucun document ni dossier client
• Lieu d'hébergement : États-Unis (Microsoft Corporation)
• Garanties de sécurité : Activé uniquement après consentement (témoins analytiques, voir section 18); certifications Microsoft (ISO 27001, SOC), chiffrement en transit; aucune vente de données

Pixel Meta (Facebook / Instagram)

• Type de données hébergées : Données de navigation et d'interaction utilisées pour la mesure publicitaire — aucun document ni dossier client
• Lieu d'hébergement : États-Unis (Meta Platforms, Inc.)
• Garanties de sécurité : Activé uniquement après consentement (témoins publicitaires, voir section 18); chiffrement en transit

17. Transmission sécurisée des documents et renseignements

Afin d'assurer la protection optimale de vos renseignements personnels et financiers, nous exigeons que tous les documents sensibles soient transmis exclusivement via notre portail client sécurisé Clustdoc .

IMPORTANT : Ne transmettez jamais par texto, courriel ou messagerie :

• Relevés bancaires ou de cartes de crédit
• Talons de paie ou lettres d'emploi
• Avis de cotisation ou déclarations de revenus
• Numéro d'assurance sociale
• Pièces d'identité

18. Témoins de connexion (cookies) et technologies de suivi

Lorsque vous naviguez sur le site web felixdigennaro.com (et les pages qui y sont reliées, incluant nos pages de campagne publicitaire), nous utilisons des témoins de connexion (« cookies ») et des technologies similaires. Certains sont strictement nécessaires au fonctionnement du site; les autres ne sont déposés qu' après avoir obtenu votre consentement .

18.1. Bannière de consentement

Lors de votre première visite, une bannière de consentement s'affiche. Les témoins non essentiels (analytiques et publicitaires) ne sont activés qu'une fois que vous y avez consenti . Tant que vous n'avez pas fait de choix, aucun témoin analytique ou publicitaire n'est déposé. Votre choix est mémorisé pour une durée de 6 mois , après quoi la bannière réapparaîtra afin de vous permettre de le confirmer ou de le modifier.

18.2. Catégories de témoins utilisés

Témoins essentiels (toujours actifs)

Nécessaires au bon fonctionnement du site et à la mémorisation de vos préférences de consentement. Ils ne requièrent pas votre consentement et ne peuvent être désactivés. Aucune donnée n'est vendue.

Témoins analytiques — Microsoft Clarity

Ils nous aident à comprendre comment le site est utilisé (statistiques de fréquentation, enregistrements de session et cartes de chaleur) afin de l'améliorer. Fournisseur : Microsoft Corporation (données traitées aux États-Unis). Ces témoins ne sont activés qu'avec votre consentement. Aucune vente de données.

Témoins publicitaires — Pixel Meta (Facebook / Instagram)

Ils servent à mesurer l'efficacité de nos publicités et à éviter de vous présenter des annonces non pertinentes. Fournisseur : Meta Platforms, Inc. (données traitées aux États-Unis). Ces témoins ne sont activés qu'avec votre consentement.

Gérer ou retirer votre consentement — « Gérer mes témoins »

Vous pouvez modifier ou retirer votre consentement en tout temps en cliquant sur le lien « Gérer mes témoins » présent dans le bas de page (pied de page) de chaque page du site. Ce lien rouvre le panneau de consentement, où vous pouvez tout accepter, tout refuser ou personnaliser vos choix par catégorie. Vous pouvez également configurer votre navigateur pour refuser ou supprimer les témoins.

Le refus des témoins non essentiels n'affecte pas le fonctionnement du site. Les renseignements que vous nous transmettez volontairement (par exemple au moyen d'un formulaire) sont traités sur la base du consentement que vous donnez à ce moment, conformément aux autres sections de la présente politique.

19. Communications par message texte (SMS)

Si vous nous fournissez votre numéro de téléphone mobile, nous pourrions communiquer avec vous par message texte (SMS) dans le cadre du suivi de votre demande, par exemple pour une prise de rendez-vous ou un rappel relatif à votre dossier. Ce mode de communication est facultatif et n'est pas une condition pour obtenir nos services : vous pouvez nous demander en tout temps de ne plus être joint par message texte, sans que cela n'affecte le traitement de votre dossier ni les autres modes de communication (courriel, téléphone). Des frais de messagerie et de données de votre fournisseur peuvent s'appliquer. Votre numéro de téléphone n'est ni vendu ni communiqué à des tiers à des fins de marketing.