Politique de confidentialité

Date d'entrée en vigueur : [DATE DE PUBLICATION — à fixer à la validation ROBIC] Dernière mise à jour : [DATE DE PUBLICATION] Statut : VERSION FINALE soumise à la validation juridique (ROBIC). Retirer cette ligne et inscrire les deux dates au moment de la publication.

La présente Politique de confidentialité explique comment Wize Athletics Inc. (« Wize Athletics », « nous », « notre » ou « nos ») recueille, utilise, communique et protège les renseignements personnels lorsque vous accédez à la plateforme Wize Athletics (le « Service ») ou que vous l'utilisez. Elle est rédigée afin de satisfaire à nos obligations en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (RLRQ, c. P-39.1), telle que modifiée par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (la « Loi 25 ») (la « Loi québécoise »), et de la Loi sur la protection des renseignements personnels et les documents électroniques du Canada (« LPRPDE »).

1. Qui nous sommes

Wize Athletics Inc. est une société constituée en vertu de la Loi canadienne sur les sociétés par actions (numéro de société 1760310-0) et immatriculée au Québec sous le numéro d'entreprise du Québec (NEQ) 1181679268. Le Service est une plateforme multi-organisations qui aide les organisations sportives, les équipes, les entraîneurs et les athlètes à gérer l'entraînement, l'assiduité, la performance et le bien-être des athlètes.

Adresse d'affaires. Wize Athletics Inc. 176, rue Pierre-Couture Saint-Augustin-de-Desmaures (Québec) G3A 0A4 Canada

Responsable de la protection des renseignements personnels. Conformément à l'article 3.1 de la Loi québécoise, nous avons désigné un responsable de la protection des renseignements personnels, chargé d'assurer notre conformité aux lois applicables en matière de protection des renseignements personnels et de répondre à vos demandes et à vos plaintes :

Nom : Alexandre Paré
Courriel : privacy@wizeathletics.ca

Vous pouvez joindre le responsable au moyen des coordonnées indiquées à la fin de la présente Politique ou par l'entremise de notre Processus de plaintes relatives à la vie privée.

2. Notre rôle : responsable du traitement, fournisseur de services, ou les deux

Le Service compte deux types distincts de clients, et notre rôle au sens des lois sur la protection des renseignements personnels diffère selon le cas.

Les organisations sportives (nos clients directs). Lorsqu'un club sportif, une école, une fédération ou une autre organisation (une « Organisation ») s'abonne au Service pour gérer ses propres équipes et athlètes, l'Organisation est responsable des renseignements personnels concernant ses athlètes, entraîneurs, parents/tuteurs, membres du personnel et autres membres. Wize Athletics agit alors comme fournisseur de services de l'Organisation (le « mandataire », au sens de la Loi québécoise) et traite ces renseignements personnels selon les instructions documentées de l'Organisation, sous réserve de notre entente avec elle. L'Organisation est principalement responsable de :

déterminer quelles données recueillir au sujet de ses membres;
obtenir les consentements requis par la loi (y compris le consentement du titulaire de l'autorité parentale ou du tuteur pour les mineurs de moins de 14 ans au Québec — voir l'article 13 pour la façon dont le Service applique cette exigence);
répondre en première ligne aux demandes de ses membres visant l'accès, la rectification ou la suppression de renseignements;
définir les règles de conservation à l'intérieur des limites que nous offrons; et
communiquer ses propres pratiques de confidentialité à ses membres.

Wize Athletics est responsable de traiter ces renseignements personnels de façon sécuritaire, uniquement aux fins autorisées par l'Organisation, conformément à la présente Politique et à notre entente avec l'Organisation.

Les comptes directs et la plateforme elle-même. Wize Athletics est responsable des renseignements personnels que nous recueillons directement auprès de vous pour nos propres fins, notamment :

les identifiants de compte et les données de profil que vous créez lors de votre inscription;
les coordonnées de facturation et de contact des administrateurs d'Organisation (le cas échéant);
les journaux de sécurité, pistes de vérification et données d'utilisation du Service;
les communications que vous échangez avec notre équipe (demandes de soutien, plaintes, commentaires);
les renseignements que vous fournissez lorsque vous exercez un droit directement auprès de nous.

Pour le reste, la présente Politique décrit nos pratiques comme si nous étions le responsable du traitement. Si vous êtes un athlète, un parent, un entraîneur ou un membre du personnel ajouté au Service par une Organisation, vous devriez également consulter l'avis de confidentialité de votre Organisation et lui adresser vos demandes en première ligne.

3. Renseignements personnels que nous recueillons

Wize Athletics ne recueille que les renseignements personnels nécessaires aux fins énoncées à l'article 4. Les catégories ci-dessous sont décrites de façon plus granulaire, table par table, dans notre inventaire interne des données personnelles, que nous tenons à jour dans le cadre de nos obligations de responsabilité prévues à l'article 3.2 de la Loi québécoise.

3.1 Identité et coordonnées

Prénom et nom.
Adresse courriel.
Image d'avatar de profil (si vous choisissez d'en téléverser une).
Langue et paramètres régionaux préférés.

3.2 Identifiants de compte

Mot de passe chiffré (Supabase Auth, haché avec bcrypt — nous ne voyons jamais votre mot de passe en clair).
Jetons à usage unique servant à la vérification du courriel, à la récupération de mot de passe, aux invitations d'organisation et d'équipe, à la validation du consentement parental et à la confirmation des demandes de suppression de compte. Ces jetons ne sont conservés que sous forme hachée une fois émis; le jeton en clair n'existe que dans le courriel que nous vous envoyons.
Pour les bornes partagées (kiosques) : un NIP numérique par athlète, conservé sous forme de hachage salé. Le NIP permet à un athlète de s'identifier sur une borne sans saisir de courriel.

3.3 Organisation, équipe et rôles

Votre appartenance à une Organisation, votre rôle au sein de celle-ci (athlète, entraîneur, administrateur, parent/tuteur, etc.) ainsi que les dates de début et de fin de cette appartenance.
Vos affectations d'équipe.
Les permissions qui vous ont été accordées dans le Service.

3.4 Profil d'athlète et données anthropométriques

Date de naissance et genre, lorsque l'Organisation choisit de les consigner. Ces données servent à délimiter les fonctionnalités selon l'âge (y compris l'exigence de consentement parental pour les athlètes de moins de 14 ans) et à calculer des indicateurs de charge et de récupération. Les dates de naissance sont chiffrées au niveau applicatif.
Les mesures anthropométriques comme la taille et le poids corporel, lorsque l'Organisation les consigne. Il s'agit de renseignements personnels sensibles, chiffrés au niveau applicatif au moyen d'une clé détenue dans notre service de gestion de clés.

3.5 Données de santé, de bien-être et de performance

Réponses aux questionnaires subjectifs de bien-être (par exemple : qualité du sommeil, courbatures, humeur, fatigue).
Données d'entraînement par séance, comme la perception de l'effort (« sRPE »), le poids corporel à l'arrivée et le statut de présence.
Lignes de base de tendance et alertes d'entraînement calculées automatiquement à partir de ce qui précède.

Ces données constituent des renseignements personnels sensibles au sens de la Loi québécoise et de la LPRPDE. Les colonnes qui les contiennent sont chiffrées au niveau applicatif avec des clés propres à chaque catégorie, en plus du chiffrement au repos assuré par notre hébergeur de base de données. L'accès est en outre restreint par des politiques de sécurité au niveau des lignes (RLS) qui limitent chaque utilisateur aux enregistrements auxquels il a droit.

3.6 Consentements et attestations

Les consentements que vous avez donnés relativement à la confidentialité et aux conditions d'utilisation, le moment où vous les avez donnés et la version des documents acceptés.
Lorsqu'un parent ou tuteur a consenti au nom d'un mineur de moins de 14 ans : l'identité et les coordonnées du parent ou tuteur, ainsi que la trace de son consentement (voir l'article 13).
Toute modification subséquente (retraits, ajouts).

3.7 Données techniques et d'utilisation

Entrées du journal d'audit décrivant les actions significatives effectuées dans votre compte (connexions, changements de rôle, lectures de données sensibles), l'horodatage ainsi que l'adresse IP et l'agent utilisateur associés à l'action.
Journaux serveur contenant les chemins de requête, les codes d'état, les temps de réponse et des identifiants d'utilisateur (UUID).
Renseignements sur l'appareil et la session lors d'une connexion sur une borne partagée.

Nous n'exécutons aucun traceur publicitaire tiers dans le Service. Nous n'utilisons pas, à l'heure actuelle, de fournisseur d'analyse comportementale; si nous en ajoutons un, la présente Politique sera mise à jour et une entrée sera ajoutée à notre registre public de sous-traitants avant l'entrée en vigueur du changement.

3.8 Communications

Le contenu de tout message que vous envoyez à notre équipe de soutien ou de protection des renseignements personnels, y compris les pièces jointes, ainsi que notre réponse.

4. Comment nous utilisons les renseignements personnels

Nous utilisons les renseignements personnels uniquement aux fins nécessaires à la prestation du Service, au respect de nos obligations légales, ou pour lesquelles vous (ou l'Organisation concernée, lorsqu'elle est responsable) avez consenti. Plus précisément :

Fournir le Service. Créer et gérer les comptes; organiser les Organisations, les équipes et les alignements; opérer le flux d'arrivée/borne; consigner et afficher les données d'entraînement, d'assiduité, de questionnaires et de performance; soutenir les flux de travail des entraîneurs.
Calculer les alertes d'entraînement et un score d'habitudes quotidien. Chaque nuit, un traitement automatisé des données de santé et de performance des athlètes produit des alertes destinées aux entraîneurs et un score d'habitudes quotidien. Voir l'article 10 (Décisions automatisées).
Envoyer des communications de service. Vérification de compte, récupération de mot de passe, invitations d'organisation et d'équipe, demandes de consentement parental, alertes de sécurité et changements à la présente Politique ou à nos conditions d'utilisation.
Assurer la sécurité du Service. Détecter, prévenir et traiter la fraude, les abus, les incidents de sécurité et les violations de nos conditions d'utilisation; tenir les journaux d'audit et les registres d'incidents.
Vous soutenir. Répondre à vos demandes de soutien et à vos questions.
Respecter la loi. Répondre aux demandes légitimes des autorités, exercer ou défendre des droits en justice, satisfaire à nos obligations de responsabilité et de tenue de registres en vertu de la Loi québécoise et de la LPRPDE.
Améliorer le Service. Diagnostiquer et corriger les bogues, mesurer la fiabilité et faire évoluer le produit. Lorsque des renseignements personnels sont en cause, nous les minimisons (par exemple par agrégation ou pseudonymisation) dans la mesure du possible.

Nous ne vendons pas de renseignements personnels. Nous n'utilisons pas vos renseignements personnels à des fins de publicité comportementale. Nous n'utilisons pas les renseignements personnels à des fins substantiellement différentes de celles pour lesquelles ils ont été recueillis sans obtenir au préalable votre consentement ou celui de l'Organisation concernée.

5. Fondements du traitement

En vertu de la Loi québécoise et de la LPRPDE, notre traitement des renseignements personnels repose, selon l'activité, sur un ou plusieurs des fondements suivants :

L'exécution d'un contrat avec vous (ou avec l'Organisation qui vous a invité) — pour tout ce qui est nécessaire à la prestation du Service à cette Organisation et à ses membres.
Le respect d'une obligation légale — pour les registres de responsabilité, les journaux d'audit, les registres fiscaux (le cas échéant), les réponses aux autorités et les activités de notification d'incident.
L'intérêt légitime de Wize Athletics ou de l'Organisation (selon le cas) — pour la sécurité, la prévention de la fraude et l'amélioration du Service — pourvu que cet intérêt ne l'emporte pas sur vos droits.
Le consentement — pour tout traitement qui excède ce qui est nécessaire à la prestation du Service, pour les renseignements sensibles exigeant un consentement exprès en vertu de la Loi québécoise, et pour toute communication non strictement nécessaire. Le consentement d'un athlète de moins de 14 ans est donné par le titulaire de l'autorité parentale ou le tuteur (voir l'article 13). Vous pouvez retirer votre consentement en tout temps, comme décrit à l'article 11.

Pour les Organisations clientes, le fondement juridique de leur propre traitement des données de leurs membres relève d'elles; nous traitons ces données selon leurs instructions documentées.

6. Communication et partage

Nous ne communiquons les renseignements personnels que de la manière décrite dans la présente Politique.

6.1 Au sein d'une Organisation

Les membres d'une Organisation peuvent voir des renseignements personnels d'autres membres de la même Organisation dans la mesure permise par leur rôle. Par exemple, un entraîneur peut voir les questionnaires de santé des athlètes d'une équipe qu'il entraîne; un administrateur peut voir l'alignement et les rôles de son Organisation. L'accès est appliqué dans la base de données par des politiques de sécurité au niveau des lignes et par des contrôles applicatifs additionnels.

6.2 Fournisseurs de services (sous-traitants)

Nous faisons appel à un nombre limité de fournisseurs tiers pour exploiter le Service. Chacun est contractuellement tenu de ne traiter les renseignements personnels que selon nos instructions et de les protéger. La liste à jour de ces fournisseurs, des catégories de données qu'ils voient, du lieu d'hébergement et du fondement contractuel du traitement est tenue dans notre Registre des sous-traitants. À ce jour, nos sous-traitants importants sont :

Supabase Inc. — base de données PostgreSQL gérée, authentification, stockage de fichiers et diffusion en temps réel. Les données sont hébergées sur AWS dans la région ca-central-1 (Montréal, Québec).
Google Cloud Platform (Google LLC) — calcul applicatif (Cloud Run), file de tâches asynchrones (Cloud Tasks), tâches planifiées (Cloud Scheduler), chaîne de compilation et de déploiement (Cloud Build), registre de conteneurs (Artifact Registry) et journalisation opérationnelle (Cloud Logging). Tous les services d'exécution tournent dans la région northamerica-northeast1 (Montréal, Québec).
Amazon Web Services (Amazon SES) — courriels transactionnels sortants (invitations, demandes de consentement parental, récupération de mot de passe, confirmations de suppression de compte et avis similaires), envoyés par Amazon SES dans la région ca-central-1 (Montréal, Québec).
GitHub, Inc. — hébergement du code source uniquement. Notre code source ne contient aucun renseignement personnel ni aucun identifiant donnant accès à des renseignements personnels; les déploiements sont construits et livrés par Google Cloud Build à Montréal.

Nous mettrons à jour le registre public des sous-traitants avant qu'un nouveau sous-traitant ne commence à traiter vos renseignements personnels.

6.3 À la demande de l'Organisation

Lorsqu'une Organisation est responsable de vos renseignements personnels, nous pouvons communiquer ces renseignements à l'Organisation (ou aux personnes qu'elle a désignées dans la plateforme, comme les administrateurs ou les entraîneurs). Nous ne sommes généralement pas en mesure de passer outre aux décisions d'accès de l'Organisation pour ses propres données.

6.4 Communications légales et successeurs

Nous pouvons communiquer des renseignements personnels lorsque la loi, un règlement, une procédure judiciaire ou une demande gouvernementale exécutoire l'exige; lorsque nous croyons de bonne foi que la communication est nécessaire pour protéger les droits, les biens ou la sécurité de Wize Athletics, de nos utilisateurs ou du public; ou dans le cadre d'une fusion, d'une acquisition, d'un financement ou de la vente de tout ou partie de notre entreprise, auquel cas le destinataire sera lié par des engagements de confidentialité au moins aussi protecteurs que ceux de la présente Politique.

6.5 Communications que nous ne faisons pas

Nous ne vendons pas de renseignements personnels. Nous ne louons pas, n'échangeons pas et ne commercialisons pas autrement les renseignements personnels. Nous ne permettons pas aux annonceurs d'accéder aux renseignements personnels.

7. Communication de renseignements personnels à l'extérieur du Québec

Les articles 17 et 17.1 de la Loi québécoise nous obligent à évaluer, avant de communiquer des renseignements personnels à l'extérieur du Québec, si ces renseignements bénéficieront d'une protection adéquate.

Supabase, Google Cloud Platform et Amazon SES. Notre base de données, notre calcul applicatif et nos courriels sortants sont tous hébergés dans les régions montréalaises (Québec) de ces fournisseurs. Dans le cours normal des activités, les renseignements personnels conservés ou traités dans le Service ne quittent pas le Québec pour ces services. Le personnel de soutien des fournisseurs peut accéder à des outils de soutien depuis l'extérieur du Québec, dans le cadre de l'addenda de traitement des données de chaque fournisseur.
GitHub. GitHub héberge notre code source sur des serveurs situés aux États-Unis. Le code source ne contient aucun renseignement personnel ni aucun identifiant donnant accès à des renseignements personnels; aucun renseignement personnel n'est donc transféré à l'extérieur du Québec par l'entremise de GitHub dans le cours normal des activités.

Pour toute question sur les transferts hors Québec, communiquez avec le responsable de la protection des renseignements personnels.

8. Conservation

Nous ne conservons les renseignements personnels que le temps nécessaire aux fins énoncées dans la présente Politique ou le temps exigé par la loi. Nos principales règles de conservation sont les suivantes :

Comptes actifs. Tant que votre compte est actif et que votre Organisation utilise le Service, nous conservons les renseignements personnels associés à votre compte.
Réponses aux questionnaires de bien-être. Les réponses brutes sont conservées au maximum vingt-quatre (24) mois après leur soumission, puis supprimées automatiquement.
Alertes d'entraînement. Les alertes sont conservées douze (12) mois après leur prise en compte (accusé de réception), puis supprimées automatiquement.
Historique des mesures anthropométriques. Les mesures (par exemple la taille et le poids corporel) sont conservées au maximum vingt-quatre (24) mois, puis supprimées automatiquement.
Invitations et identifiants de courte durée. Les invitations expirées (y compris leurs jetons à usage unique) et les sessions de borne sont supprimées dans les sept (7) jours suivant leur expiration.
Communications et consentements. Nous conservons les traces de consentement (y compris les consentements parentaux) aussi longtemps que nécessaire pour démontrer notre conformité à la loi; le registre des consentements est conservé en permanence, sous forme pseudonymisée après la suppression du compte.
Journaux d'audit et de sécurité. Les entrées du journal d'audit sont conservées sept (7) ans afin de satisfaire à nos obligations de responsabilité.
Registre des suppressions de compte. Lorsque vous (ou une Organisation en votre nom) demandez la suppression d'un compte, nous conservons en permanence une trace de la demande, à des fins de responsabilité en vertu des articles 8 et 14 de la Loi québécoise. Après la purge du compte, cette trace ne conserve qu'un pseudonyme HMAC irréversible de l'identifiant d'origine; aucun identifiant en clair ne subsiste.
Copies de sauvegarde. Nous nous appuyons sur la fenêtre de restauration ponctuelle de notre hébergeur de base de données pour les sauvegardes courantes. Des renseignements personnels peuvent subsister dans les sauvegardes pendant au plus la durée de cette fenêtre après une suppression, après quoi ils disparaissent automatiquement.
Résidus chez les fournisseurs. Certains sous-traitants conservent des données opérationnelles limitées (par exemple des événements de livraison de courriels ou des journaux d'infrastructure) pendant leurs propres périodes fixes de conservation; voir notre Registre des sous-traitants. Notre fournisseur de courriels ne conserve pas le corps des messages après leur livraison. Lorsqu'un sous-traitant offre un mécanisme de suppression ou de blocage pour les renseignements personnels qu'il détient, nous l'appliquons dans le cadre de notre cascade de suppression.

À l'expiration d'une période de conservation, nous supprimons les renseignements personnels ou les anonymisons de sorte qu'ils ne puissent plus être associés à vous.

9. Sécurité

Nous utilisons une combinaison de mesures organisationnelles, techniques et physiques pour protéger les renseignements personnels, notamment :

Chiffrement en transit. Toutes les connexions entre votre appareil, le Service et nos sous-traitants utilisent TLS 1.2 ou plus.
Chiffrement au repos. Le stockage sous-jacent de notre hébergeur de base de données applique un chiffrement AES-256 à chaque table, index, journal d'écriture anticipée et objet de stockage de fichiers.
Chiffrement applicatif des colonnes sensibles. Les colonnes contenant les renseignements particulièrement sensibles — réponses aux questionnaires de bien-être, mesures anthropométriques, données d'assiduité et de charge, certaines charges utiles d'invitation, lignes de base de tendance, alertes d'entraînement et dates de naissance — sont chiffrées au niveau applicatif au moyen de clés symétriques propres à chaque catégorie, détenues dans notre service de gestion de clés. L'accès en clair passe par des fonctions de base de données contrôlées.
Sécurité au niveau des lignes. Chaque table de données personnelles de notre base de données applique des politiques de sécurité au niveau des lignes qui limitent chaque utilisateur aux enregistrements auxquels il a droit.
Clés à privilège minimal. La clé de rôle de service à privilèges élevés est réservée aux processus dorsaux; la clé livrée aux navigateurs ne peut agir qu'à l'intérieur des limites de la sécurité au niveau des lignes.
Audit. Les actions significatives (connexions, changements de rôle, lectures sensibles, exportations, suppressions) sont consignées dans un journal d'audit.
Gestion des secrets. Les clés de chiffrement et les identifiants des sous-traitants sont détenus dans des coffres dédiés et font l'objet d'une rotation selon une cadence documentée.
Gestion des vulnérabilités et des correctifs. Nous surveillons nos dépendances et appliquons rapidement les mises à jour de sécurité.
Personnel. Les employés et sous-traitants ayant accès à des renseignements personnels sont liés par des obligations de confidentialité, et l'accès est accordé selon le besoin de savoir.
Réponse aux incidents. Nous maintenons un plan de réponse aux incidents couvrant la détection, le confinement, la notification et la revue post-incident, et nous tenons un registre des incidents de confidentialité comme l'exige la Loi québécoise.

Aucune mesure de sécurité n'est parfaite. Nous nous engageons à appliquer des mesures proportionnées à la sensibilité des données, à leur volume et au risque de préjudice, comme l'exige l'article 10 de la Loi québécoise.

10. Décisions automatisées et profilage

L'article 12.1 de la Loi québécoise nous oblige à vous informer lorsqu'une décision fondée exclusivement sur un traitement automatisé de renseignements personnels est prise à votre sujet, et à vous donner le droit de présenter vos observations et de demander qu'une personne révise la décision.

Le Service effectue les traitements automatisés suivants sur les données de santé et de performance des athlètes :

Alertes d'entraînement. Chaque nuit, nous calculons des alertes à partir des tendances d'assiduité, des réponses aux questionnaires, du sRPE, du poids corporel et des lignes de base. Ces alertes sont présentées aux entraîneurs concernés et à l'athlète.
Score d'habitudes quotidien. Chaque nuit, nous calculons un score d'habitudes quotidien à partir des mêmes données, conçu comme un indicateur simple de constance dans l'entraînement et la récupération.

Ces résultats sont des outils d'aide à la décision. Ils sont conçus pour éclairer le jugement de l'entraîneur, et non pour prendre seuls des décisions importantes à votre sujet. Nous ne les utilisons pas pour déterminer l'admissibilité à une équipe, à une bourse, à un contrat, à une assurance, à un emploi ou à toute autre conséquence importante.

Vous avez le droit :

D'être informé des principaux facteurs ayant mené à une alerte vous concernant. Le Service présente les facteurs contributifs dans le tableau de bord de l'athlète.
De présenter vos observations au sujet d'un résultat et de demander qu'une personne (un membre désigné de votre Organisation ou, à défaut, notre responsable de la protection des renseignements personnels) le révise.
De retirer votre consentement au traitement automatisé de vos données de santé et de performance en tout temps dans les paramètres de votre compte, avec pour conséquence que les fonctionnalités visées ne seront plus offertes.
De faire rectifier les renseignements sous-jacents dans vos paramètres ou en communiquant avec l'administrateur de votre Organisation ou notre responsable.

Si nous introduisons une nouvelle forme de décision automatisée susceptible de vous affecter de façon importante, nous mettrons à jour la présente Politique et obtiendrons votre consentement lorsque la loi l'exige.

11. Vos droits

Sous réserve des limites fixées par la Loi québécoise, la LPRPDE et toute autre loi applicable, vous disposez des droits suivants à l'égard de vos renseignements personnels :

Accès. Vous pouvez demander si nous détenons des renseignements personnels à votre sujet et en obtenir copie.
Rectification. Vous pouvez nous demander de corriger des renseignements inexacts, incomplets ou périmés.
Suppression (effacement). Vous pouvez nous demander de supprimer votre compte et les renseignements personnels que nous détenons à votre sujet. Nous honorons les demandes de suppression au moyen du processus intégré décrit à l'article 12.
Désindexation / cessation de diffusion. Le cas échéant, vous pouvez nous demander de cesser de diffuser vos renseignements personnels ou de désindexer un hyperlien qui y mène.
Retrait du consentement. Lorsque notre traitement repose sur votre consentement, vous pouvez le retirer en tout temps. Pour les athlètes de moins de 14 ans, le parent ou tuteur qui a donné le consentement peut le retirer (voir l'article 13). Le retrait n'affecte pas la licéité du traitement effectué avant celui-ci.
Portabilité. Vous pouvez demander une copie des renseignements personnels informatisés que vous nous avez fournis, dans un format technologique structuré et couramment utilisé, lorsque la Loi québécoise s'applique et que la demande est techniquement réalisable.
Opposition au traitement fondé sur l'intérêt légitime, pour des motifs liés à votre situation particulière.
Présenter vos observations au sujet des décisions fondées exclusivement sur un traitement automatisé (voir l'article 10).
Porter plainte auprès de notre responsable de la protection des renseignements personnels et, si vous n'êtes pas satisfait, auprès de la Commission d'accès à l'information du Québec (la « CAI »). Voir notre Processus de plaintes relatives à la vie privée.

Comment exercer vos droits. Utilisez les contrôles intégrés au produit lorsqu'ils existent (par exemple, le processus de suppression de compte dans les paramètres). Pour tout le reste, écrivez au responsable à privacy@wizeathletics.ca. Nous accuserons réception de votre demande rapidement et répondrons dans le délai prescrit par la loi — trente (30) jours en vertu de la Loi québécoise, sauf prolongation dont nous vous aviserons si la demande est complexe. Nous pourrions devoir vérifier votre identité avant de répondre, en particulier pour les demandes d'accès, de rectification et de suppression.

Si une Organisation détient vos données à titre de responsable. Si vous êtes membre d'une Organisation, celle-ci est le premier point de contact pour l'accès, la rectification et la suppression des renseignements personnels qu'elle a fait recueillir à votre sujet. Nous aiderons l'Organisation à répondre et, dans les cas appropriés, nous donnerons suite directement à votre demande.

12. Suppression de compte

Vous pouvez demander la suppression de votre compte en tout temps à partir des paramètres de votre compte. Le processus fonctionne comme suit :

Vous confirmez votre intention dans le produit et recevez un courriel de confirmation à l'adresse au dossier.
Vous cliquez sur le lien dans le courriel dans les trente (30) minutes. Le lien est à usage unique.
Un délai de grâce de trente (30) jours commence. Votre compte est marqué pour suppression mais n'est pas encore purgé. Vous pouvez annuler la suppression pendant cette période en vous connectant.
À la fin du délai de grâce, nous purgeons vos renseignements personnels de notre base de données principale, supprimons les fichiers associés à votre compte de nos espaces de stockage et demandons à chaque sous-traitant détenant vos données de les supprimer ou de les bloquer dans la mesure techniquement possible.
Nous conservons en permanence une trace de la demande de suppression ne contenant qu'un pseudonyme HMAC irréversible de votre identifiant d'origine et les horodatages du cycle de vie de la demande, afin de pouvoir démontrer le respect de notre obligation de suppression.

Des renseignements personnels résiduels peuvent subsister pendant une période limitée dans les sauvegardes, dans les journaux opérationnels des fournisseurs (généralement effacés dans un délai de trente (30) à quatre-vingt-dix (90) jours) et dans nos propres journaux d'audit, dans la mesure limitée nécessaire pour démontrer que nous avons honoré la suppression. Nous n'utilisons ces renseignements résiduels à aucune autre fin que la conformité légale et l'enquête sur des incidents.

13. Enfants et mineurs

Le Service est vendu à des organisations sportives, des écoles, des fédérations et d'autres Organisations, et il est utilisé par des athlètes de tous âges, y compris des mineurs. Au Québec, les renseignements personnels d'un mineur de moins de 14 ans ne peuvent être recueillis qu'avec le consentement du titulaire de l'autorité parentale ou du tuteur, sauf lorsque la collecte est manifestement au bénéfice du mineur, comme le prévoit la loi.

Comment le Service applique le consentement parental pour les athlètes de moins de 14 ans :

Lorsqu'une Organisation invite un athlète, elle doit indiquer si l'athlète est un mineur de moins de 14 ans et fournir l'adresse courriel d'un parent ou tuteur. Cette exigence s'applique aux invitations individuelles comme aux importations de listes (fichiers Excel).
Le parent ou tuteur reçoit la demande de consentement en premier, par un lien sécurisé à usage unique. Il prend connaissance des mêmes fins de consentement que celles présentées aux athlètes adultes et accorde (ou refuse) le consentement au nom de l'athlète. Chaque consentement est consigné dans notre registre avec le libellé exact, la version, la langue et l'identité du parent ou tuteur qui l'a donné.
Ce n'est qu'après le consentement du parent ou tuteur que l'athlète reçoit sa propre invitation pour compléter son inscription. Aucun renseignement personnel sensible concernant l'athlète n'est recueilli par le Service avant ce consentement.
Si une invitation n'est pas identifiée comme visant un mineur alors que la date de naissance de l'athlète révèle qu'il a moins de 14 ans, l'inscription est bloquée et l'Organisation doit émettre une nouvelle invitation par le processus de consentement parental.
Le parent ou tuteur peut retirer son consentement en tout temps au moyen d'un lien sécurisé, ce qui déclenche la suppression du compte de l'athlète par notre processus de suppression standard. Les athlètes de moins de 18 ans ne peuvent pas supprimer eux-mêmes leur compte en libre-service; ces demandes sont acheminées au responsable de la protection des renseignements personnels.

Lorsqu'une Organisation est responsable des renseignements personnels de ses membres, elle demeure responsable de :

déterminer l'âge minimal auquel une personne peut utiliser le Service au sein de l'Organisation;
fournir des renseignements exacts sur les athlètes mineurs et sur les titulaires de l'autorité parentale;
fournir aux mineurs et à leurs parents/tuteurs une information adaptée à leur âge sur l'utilisation de leurs données;
répondre en première ligne aux demandes d'accès, de rectification et de suppression visant des mineurs.

Wize Athletics traite les renseignements personnels des mineurs selon les instructions de l'Organisation, applique les mêmes mesures de sécurité et de confidentialité que celles décrites à l'article 9 (avec un soin accru pour les catégories sensibles) et n'utilise sciemment les renseignements personnels des mineurs à aucune autre fin que la prestation du Service à l'Organisation.

Si vous croyez que les renseignements personnels d'un mineur sont traités dans notre Service sans le consentement requis, communiquez avec le responsable et nous travaillerons avec l'Organisation concernée pour corriger la situation.

14. Témoins (cookies) et technologies similaires

Le Service n'utilise des témoins et technologies similaires qu'aux fins strictement nécessaires à son fonctionnement — par exemple, pour maintenir votre session, mémoriser votre langue préférée et vous protéger contre la falsification de requêtes intersites. Nous n'utilisons pas de témoins à des fins publicitaires. Nous n'utilisons pas de traceurs d'analyse ou de publicité tiers à la date d'entrée en vigueur de la présente Politique. Si cela change, nous mettrons à jour la présente Politique et notre Registre des sous-traitants avant l'entrée en vigueur du changement, et nous offrirons une interface de gestion des témoins dans le produit lorsque requis.

15. Notification des incidents de confidentialité

Si nous déterminons qu'un incident de confidentialité impliquant vos renseignements personnels présente un risque de préjudice sérieux, nous :

aviserons la CAI comme l'exige l'article 3.5 de la Loi québécoise;
vous aviserons (ou aviserons l'Organisation responsable de vos données, selon le cas) comme l'exigent la Loi québécoise et la LPRPDE;
consignerons l'incident dans notre registre interne des incidents, conservé au moins cinq (5) ans; et
prendrons des mesures raisonnables pour réduire le risque de préjudice et prévenir la répétition d'incidents semblables.

Chacun de nos sous-traitants est contractuellement tenu de nous aviser des incidents de confidentialité touchant les renseignements personnels que nous lui avons confiés. Les délais de notification sont fixés dans l'addenda de traitement des données conclu avec chaque sous-traitant.

16. Modifications de la présente Politique

Nous pouvons mettre à jour la présente Politique de temps à autre. En cas de changement important, nous vous donnerons un préavis raisonnable — par exemple par courriel, par un avis dans le produit ou par une bannière sur le Service — avant l'entrée en vigueur du changement. La date de « Dernière mise à jour » en tête de la présente Politique reflétera toujours la modification la plus récente. Nous conservons les versions antérieures à des fins de responsabilité.

Si un changement réduit la protection de vos renseignements personnels, nous obtiendrons (lorsque la loi l'exige) votre consentement avant de l'appliquer aux renseignements que nous détenons déjà.

17. Nous joindre

Pour toute question au sujet de la présente Politique, pour exercer un droit ou pour porter plainte, communiquez avec notre responsable de la protection des renseignements personnels :

Alexandre Paré Responsable de la protection des renseignements personnels, Wize Athletics Inc. Courriel : privacy@wizeathletics.ca Par la poste : Responsable de la protection des renseignements personnels, Wize Athletics Inc., 176, rue Pierre-Couture, Saint-Augustin-de-Desmaures (Québec) G3A 0A4, Canada

Si vous n'êtes pas satisfait de notre réponse, vous pouvez porter plainte auprès de la Commission d'accès à l'information du Québec (https://www.cai.gouv.qc.ca/ · 1 888 528-7741) ou du Commissariat à la protection de la vie privée du Canada (https://www.priv.gc.ca/ · 1-800-282-1376), selon le régime qui s'applique à vous. Consultez notre Processus de plaintes relatives à la vie privée pour les détails.

La présente Politique est publiée en français et en anglais.