Mesure de sécurité

Chaque organisme qui désire accéder aux services SAAQclic Partenaires doit respecter des mesures de sécurité, de contrôle et de conservation.

Généralités

• Les parties assurent le caractère confidentiel des renseignements personnels et, à cette fin, respectent les mesures qui suivent.

• Les parties s’assurent que l’information est transmise de façon à en garantir l’intégrité.

Mesures de contrôle

• L’accès physique et numérique à un renseignement personnel doit être contrôlé et limité aux personnes-ressources formellement identifiables, pour qui la connaissance de ce renseignement est nécessaire à l’exécution de leurs fonctions et qui sont dûment autorisées à consulter ce renseignement.

• Une partie peut vérifier de temps à autre auprès de l’autre partie si les obligations en matière de confidentialité et d’usage de renseignements personnels sont respectées. À cet égard, elle peut prendre toute mesure appropriée à cette fin et l’autre partie s’engage à collaborer au besoin. 

• Les parties doivent conjointement disposer d’un processus formalisé et opérationnel de gestion des incidents de sécurité. Celui-ci doit intégrer les phases de détection, d’analyse, de traitement et d’alerte de l’autre partie.

• Lorsque tout incident de sécurité lié à un renseignement personnel est détecté, il doit être signalé dans les plus brefs délais par courriel et par un appel téléphonique aux représentants de l’autre partie.

• Un incident de sécurité est un événement potentiel ou avéré, une perturbation non prévue ou une anomalie constatée présageant un autre événement, ayant une incidence sur la sécurité d’un renseignement personnel.

• Ce document peut inclure l’identification des directions responsables, les renseignements échangés, les mécanismes de communication et les délais de prise en charge.

Mesures de sécurité

• Les parties s’engagent à diffuser des directives strictes à l’intention des personnes-ressources ayant accès à des renseignements personnels, concernant notamment l’exclusivité des codes d’accès informatique, le caractère confidentiel de tels renseignements, l’utilisation qui peut en être faite et l’importance d’assurer l’intégrité et la disponibilité des renseignements. De même, les parties s’engagent à informer leur personnel de toute autre mesure de sécurité élaborée par l’autre partie.

• Les responsables de la sécurité de chacune des parties s’engagent à s’aviser mutuellement de tout manquement aux mesures de sécurité et de tout événement pouvant porter atteinte ou portant atteinte à la disponibilité, à l’intégrité ou à la confidentialité des renseignements personnels, de toute perte réelle ou présumée ou de toute divulgation non autorisée des renseignements personnels.

Conservation et destruction

• Les parties s’engagent à garder, le cas échéant, les renseignements dans des endroits sécuritaires auxquels l’accès n’est permis qu’aux personnes dûment autorisées.

• Sous réserve de ce que prévoit la Loi sur les archives (RLRQ, chapitre A-21.1), les parties détruisent de façon sécuritaire les renseignements personnels lorsque l’objet pour lequel ils ont été recueillis a été accompli ou à l’expiration des délais de conservation applicables.