Politique de confidentialité

[ÉBAUCHE — non révisée par un conseiller juridique] La présente politique s’applique aux renseignements personnels recueillis par Hastacar (dénomination sociale et adresse de l’exploitant à insérer) par le site Web, l’application, les courriels et les canaux de soutien Hastacar.

Hastacar est une plateforme interentreprises. La plupart des renseignements que nous détenons concernent des concessions, qui sont des personnes morales; la présente politique vise les renseignements personnels des personnes physiques concernées : propriétaires, employés et personnes-ressources des concessions, et visiteurs des pages publiques.

Nous nous conformons à la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (modifiée par la Loi 25) et à la Loi fédérale sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Lorsqu’un commerçant est établi dans une autre province ou aux États-Unis, des lois locales peuvent aussi s’appliquer.

La personne responsable de la protection des renseignements personnels chez Hastacar est : (nom et titre à insérer), joignable à (adresse courriel à insérer) ou à l’adresse postale de l’exploitant. Les demandes concernant la présente politique, l’accès aux renseignements personnels ou leur rectification, ainsi que les plaintes, peuvent lui être adressées. Vous pouvez aussi utiliser le formulaire de contact en choisissant l’objet « Renseignements personnels ».

Note pour le conseiller juridique : La Loi 25 exige la publication, sur le site Web, du titre et des coordonnées de la personne responsable.

Nous recueillons seulement les renseignements nécessaires à l’exploitation de la plateforme :

• Renseignements de compte : nom, adresse courriel professionnelle, mot de passe (haché), langue, fuseau horaire, numéro de téléphone s’il est fourni, réglages d’authentification à deux facteurs et rôle attribué par la concession.
• Renseignements sur la concession : dénomination sociale, numéro d’entreprise et NEQ, numéros d’inscription aux taxes, adresses, numéro, classe et date d’expiration du permis, documents à l’appui, ainsi que le nom et les coordonnées des personnes-ressources autorisées. Les documents de permis peuvent contenir des renseignements personnels sur le titulaire.
• Renseignements sur les transactions : inscriptions, mises, mises maximales, offres, commandes de vente, factures, références et confirmations de paiement, libérations, litiges et messages connexes.
• Renseignements techniques et de sécurité : adresse IP, renseignements sur le navigateur et l’appareil, historique des connexions, événements de sécurité et journaux nécessaires à l’exploitation et à la protection du service.
• Communications : messages transmis par le formulaire de contact ou au soutien, et préférences de notification.
• Renseignements provenant de tiers : résultats des vérifications de permis et de registres d’entreprises, rapports d’historique de véhicules et état des paiements provenant des fournisseurs que nous utilisons, comme décrit ci-dessous.

Nous ne recueillons ni numéros de carte de paiement ni identifiants bancaires : les paiements sont traités par les fournisseurs activés sur la plateforme, qui détiennent ces renseignements selon leurs propres politiques.

• Pour créer et sécuriser les comptes et authentifier les utilisateurs.
• Pour vérifier que les concessions détiennent un permis valide et tenir cette vérification à jour, notamment en consultant l’autorité qui l’a délivré ou un registre d’entreprises.
• Pour tenir les enchères, les négociations et les ventes, afficher des historiques de mises anonymisés, et détecter et prévenir la fraude, les mises de complaisance et les autres conduites interdites.
• Pour émettre les factures, consigner les paiements, calculer les taxes et préparer les relevés de règlement, et respecter nos obligations comptables et fiscales.
• Pour envoyer des notifications transactionnelles (mise surenchérie, lot qui se termine, offre reçue, facture émise) et, avec votre consentement ou lorsque la loi le permet, des mises à jour sur le service. Les courriels promotionnels ne sont envoyés qu’aux personnes qui y ont consenti et peuvent être arrêtés en tout temps.
• Pour répondre aux demandes, régler les litiges et offrir du soutien.
• Pour respecter nos obligations légales et établir, exercer ou défendre des droits en justice.

Nous ne vendons pas de renseignements personnels et nous ne les utilisons pas pour des décisions automatisées produisant des effets juridiques sans révision humaine. Les décisions de vérification des permis sont prises par une personne.

En créant un compte et en utilisant la plateforme, vous consentez à la collecte, à l’utilisation et à la communication de vos renseignements personnels aux fins décrites ci-dessus. Lorsqu’une finalité n’est pas nécessaire à la prestation du service (par exemple les courriels promotionnels facultatifs), nous demandons un consentement distinct et explicite, que vous pouvez retirer en tout temps.

Une concession qui fournit les renseignements personnels de ses employés ou de ses personnes-ressources confirme qu’elle est autorisée à le faire et qu’elle les a informés de la présente politique.

• Autres concessions : avant une vente, les autres commerçants ne voient qu’une étiquette d’enchérisseur anonyme; après une vente, l’acheteur et le vendeur reçoivent leurs coordonnées d’affaires respectives pour conclure la transaction. Les prix de réserve et les mises maximales ne sont jamais divulgués.
• Fournisseurs de services agissant pour notre compte : hébergement et stockage, envoi de courriels, SMS, traitement des paiements, analyse antivirus, services d’historique de véhicules et de vérification des permis, et infrastructure temps réel de la plateforme. Ils ne peuvent utiliser les renseignements que pour nous fournir leur service.
• Autorités : autorités de délivrance et registres pour la vérification des permis; autorités fiscales et organismes de réglementation lorsque la loi l’exige; forces de l’ordre sur demande valide.
• Conseillers professionnels (avocats, comptables, auditeurs) tenus à la confidentialité.
• Un successeur en cas de fusion, d’acquisition ou de vente de l’entreprise, avec les mêmes protections.

La plateforme est hébergée à (lieu d’hébergement à insérer — un centre de données canadien est prévu). Certains fournisseurs de services peuvent traiter des renseignements à l’extérieur du Québec ou du Canada, notamment lorsqu’une concession est établie aux États-Unis ou lorsqu’un fournisseur exerce ses activités depuis les États-Unis. Avant de communiquer des renseignements personnels à l’extérieur du Québec, nous évaluons la sensibilité des renseignements, les finalités, les mesures de protection et le régime juridique du lieu de destination, et nous nous appuyons sur des garanties contractuelles.

Les renseignements sur les concessions américaines sont communiqués aux autorités et aux fournisseurs de leur territoire dans la mesure nécessaire à la vérification et au paiement.

Note pour le conseiller juridique : Réaliser l’évaluation des facteurs relatifs à la vie privée exigée par la Loi 25 pour les communications hors Québec et insérer le lieu d’hébergement réel.

• Comptes et dossiers de concession : pendant la durée de la relation et jusqu’à 7 ans après la dernière transaction, en raison des obligations fiscales et commerciales de tenue de registres.
• Registres financiers (commandes, factures, paiements, grand livre) : 7 ans après la fin de l’exercice financier concerné.
• Journaux d’audit des actions sensibles : 7 ans.
• Événements de sécurité (connexions, tentatives échouées) : 2 ans.
• Journaux d’envoi de courriels : 90 jours. Enregistrements des tâches d’arrière-plan : 14 jours après leur exécution.
• Messages du formulaire de contact : jusqu’à la fermeture de la demande, puis jusqu’à 2 ans.
• Copies de sauvegarde : chiffrées, conservées pendant la période de rétention publiée dans notre documentation d’exploitation (14 jours par défaut), puis détruites.

Lorsque les renseignements ne sont plus nécessaires, ils sont détruits ou anonymisés. Des statistiques anonymisées (par exemple les prix de vente par catégorie de véhicule) peuvent être conservées.

Nous appliquons des mesures techniques et organisationnelles proportionnées à la sensibilité des renseignements : connexions chiffrées, mots de passe hachés, authentification à deux facteurs (obligatoire pour le personnel d’Hastacar), chiffrement des champs sensibles au repos, accès fondé sur les rôles, journaux d’audit, stockage privé des documents avec liens signés de courte durée, analyse antivirus des téléversements et copies de sauvegarde chiffrées régulières.

Aucun système n’est parfaitement sûr. Les utilisateurs doivent protéger leurs identifiants et signaler immédiatement tout incident soupçonné.

• Accès : obtenir la confirmation que nous détenons des renseignements personnels à votre sujet et en recevoir une copie.
• Rectification : faire corriger les renseignements inexacts, incomplets ou équivoques. La plupart des renseignements de compte peuvent être modifiés dans votre profil.
• Retrait du consentement : retirer en tout temps votre consentement aux utilisations facultatives (comme les communications promotionnelles); le retrait du consentement aux utilisations nécessaires peut nous empêcher de fournir le service.
• Portabilité : recevoir les renseignements personnels informatisés que vous nous avez fournis dans un format technologique structuré et couramment utilisé, ou les faire transférer à une autre organisation lorsque c’est techniquement possible.
• Désindexation et cessation de la diffusion, lorsque les conditions prévues par la loi sont réunies.
• Plainte : déposer une plainte auprès de la personne responsable, ainsi qu’auprès de la Commission d’accès à l’information du Québec ou du Commissariat à la protection de la vie privée du Canada.

Nous répondons dans les 30 jours suivant la réception d’une demande écrite. Nous pourrions devoir vérifier votre identité. Certains renseignements ne peuvent pas être supprimés sur demande parce que la loi nous oblige à les conserver (par exemple les factures).

Hastacar n’utilise que les témoins (cookies) et le stockage du navigateur strictement nécessaires au fonctionnement du service : authentification de session, protection contre la falsification de requêtes, votre langue et votre thème d’affichage. Nous n’utilisons ni témoins publicitaires ni outils d’analyse de tiers qui vous suivent d’un site à l’autre. Le tableau à la fin de cette page énumère chaque élément.

Si un incident de confidentialité impliquant des renseignements personnels présente un risque de préjudice sérieux, nous en avisons la Commission d’accès à l’information et les personnes concernées comme l’exige la loi, et nous prenons les mesures raisonnables pour diminuer le risque et éviter qu’il ne se reproduise. Nous tenons un registre des incidents de confidentialité.

La plateforme s’adresse aux entreprises et à leur personnel adulte. Nous ne recueillons pas sciemment de renseignements personnels auprès de personnes de moins de 18 ans.

Nous pouvons mettre à jour la présente politique. La version courante et sa date d’entrée en vigueur sont publiées sur cette page; les changements importants sont notifiés aux titulaires de compte par courriel ou dans l’application.

Pour toute question sur la présente politique ou pour exercer vos droits, communiquez avec la personne responsable de la protection des renseignements personnels (article 2) ou utilisez le formulaire de contact.