Politique de confidentialité

La présente politique explique quels renseignements personnels csr eco solutions recueille lorsque vous utilisez recovery, pourquoi, où ils sont conservés, combien de temps nous les conservons et ce que vous pouvez nous demander d'en faire. recovery est notre portail de production de rapports pour les projets de démantèlement de bureaux, à l'adresse recovery.csrecosolutions.com.

Nous avons rédigé une seule politique pour toutes les personnes qui utilisent recovery, au Canada et aux États-Unis.

En bref

• Nous recueillons ce dont nous avons besoin pour vous fournir un compte, en assurer la sécurité et présenter à votre organisation les résultats de ses projets. Nous ne vendons pas de renseignements personnels et nous ne les utilisons pas à des fins publicitaires.
• recovery utilise uniquement les témoins dont il a besoin pour fonctionner : l'un vous garde connecté, et d'autres, de courte durée, transmettent un lien d'inscription, d'invitation, de réinitialisation du mot de passe ou de changement d'adresse courriel. Il n'y a aucun témoin publicitaire ou analytique.
• Votre organisation décide de ce qui est versé dans ses projets. Nous traitons ces renseignements pour votre organisation, selon ses instructions.
• Nos principaux systèmes se trouvent à Toronto, au Canada. Certains de nos fournisseurs de services se trouvent aux États-Unis.
• Vous pouvez demander à consulter ou à faire corriger vos renseignements, ou formuler une préoccupation, à dpo@csrecosolutions.com. Nous répondons dans un délai de 30 jours.

1. Qui nous sommes et comment nous joindre

recovery est exploité par CSR ECO SOLUTIONS INC., qui fait affaire sous le nom de csr eco solutions, au 2 Island 130, Port Severn (Ontario) L0K 1S0, Canada (« csr eco solutions », « nous », « notre »).

La personne responsable de la protection des renseignements personnels chez csr eco solutions est Blake Leal, associé directeur. Vous pouvez le joindre pour toute question, demande ou préoccupation relative à la protection des renseignements personnels :

• par courriel : dpo@csrecosolutions.com
• par la poste : CSR ECO SOLUTIONS INC., à l'attention de : Protection des renseignements personnels, 545, rue King Ouest, bureau 338, Toronto (Ontario) M5V 1K4

2. Personnes visées par la présente politique

• Les personnes qui ont un compte recovery (les « Utilisateurs autorisés ») : les personnes qu'une organisation qui utilise recovery (le « Client ») a autorisées à se connecter.
• Les personnes qui communiquent avec nous ou qui demandent un accès au moyen d'un formulaire dans recovery ou par courriel.
• Les personnes nommées dans les dossiers de projet d'un Client (les « Données client »), par exemple un nom inscrit sur un billet de pesée. L'article 9 explique qui est responsable de ces renseignements.

La présente politique vise recovery. Elle ne vise pas le site Web corporatif de csr eco solutions.

3. Ce que nous recueillons

Renseignements de compte. Votre nom tel que vous souhaitez qu'il soit affiché, un nom d'utilisateur, votre adresse courriel professionnelle, votre organisation et votre rôle au sein de celle-ci (propriétaire, administrateur, contributeur ou lecteur). Nous ne conservons votre mot de passe que sous forme de hachage à sens unique; nous ne pouvons pas le lire.

Connexion en deux étapes. Si vous configurez la connexion en deux étapes, nous conservons le secret qui relie votre application d'authentification à votre compte, ainsi que vos codes de secours sous forme hachée. Ni l'un ni les autres ne vous sont jamais réaffichés, à vous ou à notre personnel. Si vous nous fournissez un numéro de téléphone, nous ne l'utilisons que pour vous rappeler afin de confirmer qu'il s'agit bien de vous lorsque vous nous demandez de réinitialiser votre connexion en deux étapes.

Registres de connexion et de sécurité. Chaque fois qu'une personne se connecte ou tente de le faire, nous enregistrons l'adresse courriel utilisée, le succès ou l'échec de la tentative, la date et l'heure, l'adresse réseau (adresse IP) et le type de navigateur que votre navigateur déclare. Nous enregistrons l'adresse IP lorsque vous modifiez les renseignements de votre compte ou votre mot de passe, ou demandez la réinitialisation de votre mot de passe. Nous utilisons les adresses IP pour ralentir les tentatives de connexion erronées répétées.

Registres de ce que vous faites dans recovery. Nous enregistrons qui a créé, modifié ou supprimé un enregistrement de projet et à quel moment, ainsi que les chiffres avant et après la modification. Nous enregistrons les invitations : qui a invité qui, avec quel rôle et à quel moment. Nous enregistrons le fait que vous avez accepté un avis ou des conditions, avec la date et la version acceptée. Nous enregistrons le moment où une suggestion intégrée à l'application vous a été présentée, et si vous l'avez ouverte ou écartée.

Ce que vous nous envoyez. Lorsque vous utilisez le formulaire Contact Us ou le formulaire de demande d'accès, ou que vous nous écrivez par courriel, nous conservons ce que vous avez écrit, votre nom, votre adresse courriel, le nom de votre entreprise et la date. Pour le formulaire de demande d'accès, nous enregistrons aussi l'adresse IP d'où provient la demande, afin d'empêcher l'utilisation abusive du formulaire.

Formulaire Contact Us (membres connectés). Lorsqu'un membre connecté envoie une demande au moyen du formulaire Contact Us dans recovery, nous conservons : votre nom; votre adresse courriel (remplie à partir de votre compte, et que vous pouvez modifier); un sujet que vous choisissez dans une liste (un forfait payant, plus de projets, des rapports antérieurs, la vérification, la réalisation d'un projet avec csr eco solutions, Enterprise ou autre); votre message, jusqu'à 2 000 caractères; la page à partir de laquelle vous l'avez envoyée; facultativement, une tranche correspondant au nombre de projets que votre organisation prévoit chaque année; facultativement, le partenaire qui vous a recommandé (aucun, l'un des partenaires de distribution figurant sur une courte liste de csr eco solutions, ou autre); et le forfait de votre organisation à ce moment, que nous lisons dans nos propres registres, et non à partir de ce que vous fournissez. Nous transmettons la demande par courriel au soutien de csr eco solutions avec votre adresse comme adresse de réponse. Ce courriel indique aussi le nom de votre organisation, son forfait, le nombre de projets qu'elle compte et votre rôle au sein de celle-ci. Nous enregistrons si le courriel a été envoyé.

Projets que nous avons réalisés pour vous. Lorsque le personnel de csr eco solutions publie dans votre organisation un projet que nous avons réalisé pour vous, nous copions dans recovery les chiffres et les détails de ce projet : poids, quantités, valeurs et pourcentages de récupération, la référence et le titre du projet, l'adresse du site, la date, le nom du gestionnaire de projet de csr eco solutions qui l'a dirigé et le programme auquel il appartient. Nous utilisons aussi le nom de votre organisation tiré de nos dossiers clients pour relier votre organisation recovery à notre dossier vous concernant (un nom seulement, sans coordonnées). Nous ne copions pas les factures, ce que nous avons payé à nos partenaires logistiques, vos personnes-ressources, nos notes, les fichiers, les prix des soumissions ni les coordonnées cartographiques. Les renseignements personnels contenus dans un projet publié sont le nom du gestionnaire de projet (un membre de notre personnel) et l'adresse du site, qui peut identifier une personne lorsque le site est un domicile ou l'établissement d'un entrepreneur individuel.

L'invitation au propriétaire de votre organisation. Lorsque nous configurons votre organisation recovery pour vous, nous envoyons l'invitation du propriétaire à l'adresse courriel que nous détenons pour votre personne-ressource principale dans nos dossiers clients. Nous utilisons le nom et l'adresse tirés de ce dossier pour cette invitation et pour rien d'autre dans recovery.

Emplacement des projets. Lorsqu'un projet est créé avec une adresse de site, nous conservons l'adresse et en déterminons une seule fois la position sur la carte, à l'aide de notre fournisseur de cartographie (article 8).

Renseignements personnels contenus dans les Données client. Les dossiers de projet portent sur des matériaux, des poids et des destinations, et non sur des personnes. Ils peuvent néanmoins contenir des renseignements personnels : un nom sur un billet de pesée, une personne-ressource sur le site, le nom d'un chauffeur, le nom d'une personne qui a reçu un don, ou un nom saisi dans une note. Il en va de même des dossiers historiques qu'un Client nous remet pour chargement. Voir l'article 9.

Ce que nous ne recueillons pas. Nous ne recueillons pas de numéros de carte de paiement. Nous n'utilisons pas de traceurs publicitaires, de services d'analyse exploités par d'autres entreprises ni d'enregistrement de session. Nous n'exécutons aucun script de prise d'empreinte numérique d'appareil.

4. Pourquoi nous les utilisons

Nous utilisons les renseignements personnels uniquement aux fins suivantes :

1. Pour fournir recovery : créer votre compte, vous connecter, vous présenter, à vous et à votre organisation, vos projets et vos rapports, et envoyer les courriels dont le service a besoin (article 12).
2. Pour la sécurité et la prévention de la fraude et des abus : protéger les comptes, enquêter sur les incidents et garder les renseignements d'une organisation séparés de ceux d'une autre.
3. Pour le soutien : vous répondre lorsque vous demandez de l'aide ou un accès.
4. Pour la facturation : facturer le Client et tenir les registres financiers exigés par la loi.
5. Pour respecter nos obligations légales, et pour établir ou défendre des droits en justice.

Pour les fonctions décrites à l'article 3 en particulier : nous utilisons une demande Contact Us pour vous répondre, pour déterminer qui, chez csr eco solutions, doit y répondre, et pour préparer une soumission ou un changement de forfait que vous avez demandé; nous utilisons les détails d'un projet publié pour présenter à votre organisation son propre rapport; et nous utilisons le nom et l'adresse courriel de votre personne-ressource principale uniquement pour envoyer l'invitation du propriétaire.

Nous n'utilisons pas les renseignements personnels à des fins publicitaires. Nous ne les vendons pas. Nous n'utilisons pas les Données client pour faire la promotion de nos services auprès des propres clients d'un Client. Nous n'utilisons pas les Données client pour présenter, recommander ou classer un fournisseur, ni pour lui acheminer du travail, à moins que le Client ne nous le demande pour un projet nommé. Nous envoyons des courriels de marketing uniquement aux personnes qui en ont fait la demande (article 12).

Nous nous appuyons sur votre consentement, donné lorsque vous ou votre organisation avez choisi d'utiliser recovery après que la présente politique vous a été présentée, et sur les exceptions que la loi prévoit pour la sécurité, la prévention de la fraude et les obligations légales.

5. Prévention des inscriptions abusives

Pour empêcher les inscriptions automatisées et répétées, nous utilisons, lors de votre inscription : votre adresse courriel et son domaine; votre adresse réseau (adresse IP); et une vérification par Cloudflare Turnstile, qui lit, dans votre navigateur, des détails sur votre navigateur et votre appareil (article 8). Nous refusons les inscriptions provenant de services de courriel jetable connus, et notre serveur refuse les connexions provenant de plages d'adresses réseau répertoriées par Spamhaus comme servant à des abus. Nous limitons le nombre de courriels d'inscription qu'une adresse peut recevoir en une journée. Notre serveur journalise l'adresse IP de chaque étape de l'inscription, pendant la période prévue à l'article 7. Nous n'utilisons aucun de ces renseignements à des fins de marketing.

6. Décisions automatisées

Une décision est prise automatiquement : une inscription faite avec une adresse courriel d'un service de courriel jetable connu est refusée. Si vous croyez que c'est une erreur, écrivez à dpo@csrecosolutions.com et une personne réexaminera la décision. Sur demande, nous vous indiquerons quels renseignements ont été utilisés et la principale raison de la décision, et vous pourrez présenter vos observations.

7. Durée de conservation

Nous conservons les renseignements personnels uniquement aussi longtemps que nous en avons besoin aux fins énoncées à l'article 4, puis nous les détruisons ou les rendons anonymes. Le Calendrier de conservation et de suppression des données en donne la liste complète, et nous vous le transmettrons sur demande. Les principales périodes sont les suivantes :

8. Lieu de conservation et destinataires

Lieu. recovery et sa base de données sont exploités chez Vultr, à Toronto, au Canada. Les dossiers des projets que csr eco solutions a réalisés pour un Client sont conservés dans notre propre système d'exploitation. Lorsque notre personnel publie l'un de ces projets dans votre organisation, une copie est transmise à recovery au moyen d'un réseau privé reliant deux systèmes de csr eco solutions, jamais par l'Internet public, et la copie est conservée dans la base de données de recovery.

Fournisseurs de services. Nous faisons appel aux entreprises ci-dessous pour exploiter recovery. Chacune ne reçoit que ce dont elle a besoin pour sa tâche et est tenue par contrat de le protéger. La page Sous-traitants, à https://recovery.csrecosolutions.com/legal/fr/subprocessors, contient la liste à jour, et nous mettons le présent article à jour lorsque la liste change.

Hors de votre province ou de votre pays. Certains de ces fournisseurs se trouvent hors du Canada, et tous peuvent se trouver hors de votre province ou de votre État. Pendant que des renseignements se trouvent dans un autre territoire, ils sont assujettis au droit de ce territoire, et les tribunaux, les forces de l'ordre et les autorités chargées de la sécurité nationale de ce territoire peuvent être en mesure de les obtenir. Nous exigeons par contrat de chaque fournisseur qu'il les protège selon une norme comparable à la nôtre.

Autres personnes qui voient vos renseignements.

• Votre organisation. Ses propriétaires et ses administrateurs voient le nom, l'adresse courriel, le rôle et l'activité des membres dans recovery.
• Notre personnel, lorsqu'il en a besoin pour exploiter le service ou vous aider.
• Les organisations avec lesquelles votre organisation choisit de partager. Les Données client sont partagées avec un partenaire de distribution, un fournisseur ou toute autre personne hors de votre organisation uniquement lorsque votre organisation établit un lien avec eux ou les leur transmet, et votre organisation peut mettre fin à un lien en tout temps.
• Les autorités, lorsque la loi l'exige ou le permet, par exemple en vertu d'une ordonnance judiciaire.
• Une entreprise remplaçante. Si csr eco solutions est vendue ou fusionnée, les renseignements passent au nouveau propriétaire, qui doit respecter la présente politique.

Nous ne communiquons de renseignements personnels à personne d'autre.

9. Données client : qui est responsable de quoi

Un Client décide de ce qui est versé dans ses projets dans recovery, y compris les renseignements personnels contenus dans ses dossiers et ses notes, et décide qui, au sein de son organisation, peut les voir. Le Client est responsable de s'assurer qu'il a le droit de verser ces renseignements dans recovery.

csr eco solutions traite les Données client pour le compte du Client, afin de fournir le service que le Client a demandé, conformément aux Conditions d'utilisation et à l'Addenda relatif au traitement des données. Nous ne les utilisons pas à nos propres fins au-delà de ce que ces documents permettent.

Pour détecter l'utilisation d'un même billet de pesée dans plus d'un compte, nous pouvons comparer, d'un compte à l'autre, une valeur codée à sens unique créée à partir d'identifiants d'enregistrement (par exemple l'installation de réception et le numéro du billet). Nous seuls effectuons cette comparaison, et les données d'aucun Client ne sont montrées à un autre.

Si votre nom ou d'autres renseignements personnels vous concernant figurent dans les dossiers de projet d'un Client et que vous souhaitez les consulter, les faire corriger ou les faire supprimer, veuillez d'abord vous adresser à ce Client. Si vous vous adressez à nous, nous transmettrons votre demande au Client et l'aiderons à y répondre.

Pour les renseignements de compte, les registres de connexion et de sécurité et ce que vous nous envoyez directement, csr eco solutions est responsable, et vous pouvez vous adresser directement à nous.

Les projets que csr eco solutions a réalisés pour un Client sont différents, car nous avons nous-mêmes créé ces dossiers en réalisant le projet, et nous conservons notre propre dossier source. Une copie publiée est en lecture seule pour le Client. Si votre nom (par exemple en tant que gestionnaire de projet de csr eco solutions) ou votre adresse figure dans l'une d'elles, vous pouvez vous adresser directement à nous.

10. Partage avec d'autres organisations

Votre organisation peut partager des projets choisis avec une autre organisation en envoyant une invitation par courriel. Les personnes de l'autre organisation ont besoin d'un compte recovery pour les voir, et ne voient que les projets partagés avec elles. L'organisation qui a partagé peut mettre fin à l'accès en tout temps; lorsqu'elle le fait, nous en informons l'autre organisation par courriel.

11. Témoins et technologies similaires

Les témoins que nous déposons. recovery dépose uniquement les témoins dont il a besoin pour fonctionner. Aucun ne contient de renseignements personnels sous une forme lisible, aucun ne peut être lu par les scripts de la page, et chacun n'est transmis que par une connexion chiffrée et uniquement à recovery.csrecosolutions.com :

Ces témoins sont strictement nécessaires : sans eux, recovery ne peut pas vous connecter ni donner suite à un lien que nous vous avons envoyé par courriel. Nous ne déposons aucun témoin publicitaire, analytique ou de préférences. Comme il n'y a rien de facultatif à accepter ou à refuser, recovery n'affiche aucune bannière relative aux témoins.

Le stockage local de votre navigateur. recovery conserve deux éléments dans le stockage propre de votre navigateur, sur votre appareil seulement : les dernières recherches que vous avez saisies dans la recherche de projets, afin de pouvoir vous les suggérer de nouveau, et l'heure de votre dernière activité, afin que tous les onglets ouverts vous déconnectent en même temps. Aucun des deux ne nous est transmis. L'effacement des données de site de votre navigateur les supprime. La page d'inscription exécute aussi la vérification Turnstile de Cloudflare (article 8).

Cartes et recherche d'adresse. Deux fonctions communiquent directement avec notre fournisseur de cartographie, Mapbox, à partir de votre navigateur :

• Recherche d'adresse. Lorsque vous tapez dans « Find the address » en ajoutant un projet, ce que vous tapez est transmis à Mapbox afin qu'il puisse suggérer des adresses correspondantes. Vous pouvez sauter la recherche et taper vous-même les champs de l'adresse.
• Carte interactive. La page des projets affiche une carte sous forme d'image fixe que nos serveurs récupèrent, de sorte que votre navigateur ne communique pas avec Mapbox. Si vous appuyez sur « View interactive map », votre navigateur charge le logiciel cartographique de Mapbox à partir de Mapbox. Ce logiciel stocke un identifiant généré aléatoirement dans le stockage local de votre navigateur et transmet à Mapbox des renseignements d'utilisation, comme le fait qu'une carte a été chargée. Mapbox déclare qu'il ne les utilise pas pour suivre ou profiler des personnes.

Dans les deux cas, Mapbox reçoit votre adresse IP et les renseignements sur votre navigateur, comme le fait tout site Web avec lequel vous communiquez.

12. Courriel

recovery envoie des courriels uniquement au sujet de votre compte et de l'utilisation du service par votre organisation : messages de connexion et de sécurité, invitations et avis relatifs au service. Ils sont envoyés à partir de noreply@csrecosolutions.com, sous le nom « recovery by csr eco solutions ». Nous n'ajoutons aucun traçage aux liens contenus dans ces messages.

Si une personne d'une organisation vous invite à vous y joindre, nous utilisons l'adresse courriel qu'elle nous fournit pour vous envoyer l'invitation. Si vous ne l'acceptez pas, l'invitation expire après 7 jours.

Nous envoyons des courriels de marketing, comme des nouvelles sur nos produits, uniquement si vous en avez fait la demande en cochant une case qui n'est jamais cochée à votre place. Chaque message de marketing indique qui l'a envoyé et comment se désabonner, et nous donnons suite à une demande de désabonnement dans un délai de 10 jours ouvrables. Le désabonnement du marketing n'interrompt pas les messages relatifs au compte et à la sécurité mentionnés ci-dessus.

Lorsque vous utilisez le formulaire Contact Us, nous utilisons les renseignements que vous nous transmettez pour répondre à votre demande et pour préparer une soumission. Nous ne les communiquons pas aux partenaires de distribution, sauf si vous nous indiquez que l'un d'eux vous a recommandé.

13. Comment nous les protégeons

Nous protégeons les renseignements personnels au moyen de mesures de sécurité adaptées à leur degré de sensibilité : accès limité aux personnes qui en ont besoin, renseignements de chaque organisation séparés de ceux de toutes les autres, connexions chiffrées et registres des événements de sécurité. L'Aperçu de la sécurité et du stockage des données, que nous transmettons sur demande, décrit ces mesures et précise lesquelles sont en place aujourd'hui. Aucun système n'est parfaitement sûr. Si une atteinte à nos mesures de sécurité crée un risque réel de préjudice grave pour vous, nous vous en aviserons, ainsi que les organismes de réglementation que la loi nous oblige à aviser.

14. Vos droits et comment les exercer

Vous pouvez nous demander :

• de consulter les renseignements personnels que nous détenons à votre sujet, ainsi que la façon dont nous les avons utilisés et les personnes à qui nous les avons communiqués;
• de les corriger s'ils sont inexacts ou incomplets;
• de retirer votre consentement à leur utilisation. Si nous avons besoin des renseignements pour vous fournir un compte, le retrait du consentement entraîne la fermeture du compte, et nous vous en aviserons avant d'agir;
• une copie des renseignements que vous nous avez fournis, dans un format structuré et couramment utilisé, lorsque la loi vous confère ce droit;
• des précisions sur une décision automatisée (article 6) : quels renseignements ont été utilisés et les principales raisons, et qu'une personne la réexamine.

Comment. Écrivez à dpo@csrecosolutions.com. Vous pouvez modifier vous-même votre nom affiché, votre nom d'utilisateur et votre mot de passe dans Settings. Pour vous protéger, nous pouvons vous demander suffisamment de renseignements pour confirmer votre identité avant d'agir. Aucuns frais ne sont exigés.

Délai. Nous répondons dans les 30 jours suivant la réception de votre demande. Si nous avons besoin de plus de temps, ou si nous ne pouvons pas faire ce que vous demandez, nous vous en expliquerons les raisons par écrit dans ce délai de 30 jours, et vous indiquerons comment porter plainte.

Plaintes. Si vous n'êtes pas satisfait de notre réponse, vous pouvez porter plainte auprès :

• du Commissariat à la protection de la vie privée du Canada, priv.gc.ca;
• si vous résidez au Québec, de la Commission d'accès à l'information du Québec, cai.gouv.qc.ca.

15. Si vous êtes aux États-Unis

recovery est exploité à partir du Canada, et vos renseignements sont conservés au Canada et chez les fournisseurs mentionnés à l'article 8. Nous ne vendons pas de renseignements personnels. Nous ne les communiquons pas à des fins de publicité fondée sur votre activité sur d'autres sites Web, et nous ne les utilisons pas à des fins de publicité ciblée.

Certains États américains confèrent par la loi des droits en matière de protection de la vie privée à leurs résidents. Quel que soit l'État où vous résidez, vous pouvez présenter l'une ou l'autre des demandes prévues à l'article 14 de la même façon, et nous ne vous traiterons pas différemment parce que vous l'avez présentée.

16. Enfants

recovery est un outil destiné aux entreprises. Il ne s'adresse pas aux enfants, et nous ne recueillons pas sciemment de renseignements personnels auprès de personnes âgées de moins de 18 ans. Si vous croyez qu'un enfant nous a fourni des renseignements personnels, écrivez à dpo@csrecosolutions.com et nous les supprimerons.

17. Modifications de la présente politique

Le numéro de version et la date figurent en haut du document. Lorsque nous apportons une modification qui a une incidence sur la façon dont nous traitons vos renseignements, nous en informerons les Utilisateurs autorisés dans recovery et par courriel au moins 30 jours avant son entrée en vigueur, et nous garderons les versions antérieures accessibles à https://recovery.csrecosolutions.com/legal/privacy. Les modifications mineures, comme une nouvelle adresse ou une formulation plus claire, entrent en vigueur dès leur publication.

La version anglaise de la présente politique est accessible à https://recovery.csrecosolutions.com/legal/privacy.