Politique de confidentialité

1. Notre rôle

1.1 Données liées au recrutement (plateforme)

Lorsque des clients téléversent des CV, notes candidats ou autres informations dans NordiQ Intelligence :

• Le client (cabinet de recrutement, firme de recherche de cadres, employeur, organisme, etc.) agit à titre de responsable du traitement.
• Wisteria Inc. agit à titre de sous-traitant et de prestataire de services (mandataire).
• Nous traitons les renseignements personnels uniquement pour le compte de nos clients et conformément à leurs instructions et à nos Conditions d'utilisation.
• Nous ne déterminons pas les finalités du recrutement et ne prenons aucune décision d'embauche.

1.2 Visiteurs du site web

Lorsque vous consultez notre site web, Wisteria Inc. agit à titre de responsable du traitement pour les données collectées dans ce contexte, décrites à la section 10.

1.3 Utilisateurs de la plateforme

Pour les comptes du personnel de nos clients, Wisteria est responsable des renseignements que nous utilisons pour sécuriser et exploiter les Services. Lors de la connexion, nous enregistrons votre adresse IP et un identifiant d'appareil calculé à partir des caractéristiques de votre navigateur (comme les paramètres d'affichage et les fonctions de rendu), afin de reconnaître les appareils de confiance et de détecter les connexions suspectes. Nous conservons les historiques de connexion pendant 12 mois et supprimons les appareils de confiance 30 jours après leur expiration. Nous enregistrons aussi un identifiant d'utilisateur et le rôle dans PostHog à des fins d'analyse du produit (section 8).

2. Renseignements personnels traités

Dans le cadre des Services, nous pouvons traiter :

• Nom et prénom
• Coordonnées (courriel, téléphone)
• Expérience professionnelle
• Formation académique
• Compétences et qualifications
• Notes de recruteurs
• Comptes rendus d'entrevue et transcriptions de réunions
• CV et documents téléversés
• Communications envoyées et reçues via la plateforme

Étant donné la nature des CV, certains renseignements peuvent inclure des renseignements sensibles, tels que :

• Sexe ou genre
• Date de naissance
• Origine nationale
• Photographies
• Informations volontairement divulguées dans un CV

Nous traitons ces renseignements uniquement sur instruction de nos clients.

3. Extensions de navigateur

Nous offrons deux extensions Chrome facultatives. Les sections 3.1 à 3.4 portent sur Nordiq LinkedIn Capture. La section 3.5 porte sur Mini NordiQ App.

Nordiq LinkedIn Capture permet à un recruteur authentifié d'enregistrer un profil LinkedIn dans son propre espace NordiQ plutôt que de le ressaisir. L'extension est inutilisable sans un compte NordiQ.

3.1 Ce qu'elle lit, et à quel moment

• Uniquement la page de profil LinkedIn que le recruteur a ouverte, et uniquement lorsqu'il lance une capture. Elle ne s'exécute pas d'elle-même.
• De cette page, elle lit le profil tel qu'affiché : nom, titre, lieu, expérience professionnelle, formation, compétences, ainsi que les coordonnées que LinkedIn présente au recruteur.
• Elle ne lit ni les autres onglets, ni l'historique de navigation, ni aucun site autre que le profil LinkedIn capturé et l'espace NordiQ du recruteur. Sur LinkedIn, elle ne s'exécute que sur les pages de profil, et ne lit une page que lorsque le recruteur lance une capture.

3.2 Où vont les données

Un profil capturé est transmis directement à l'espace NordiQ du client, sur son propre sous-domaine, où il devient une donnée de recrutement régie par la section 1.1 : le client est responsable du traitement et Wisteria agit comme sous-traitant. Wisteria ne reçoit pas les profils capturés à une destination distincte, et l'extension ne contient aucun traceur publicitaire ni outil d'analyse.

3.3 Ce qui est conservé sur l'appareil

Pendant une capture, l'extension conserve son état de travail dans le stockage local du navigateur, afin que la fermeture de la fenêtre ne fasse pas perdre le travail du recruteur. Ces données demeurent sur l'appareil et sont effacées à la fin de la capture.

3.4 Autorisations

L'extension ne demande que les autorisations qu'elle utilise : l'accès à la page de profil LinkedIn capturée, l'accès à l'espace NordiQ du client pour y enregistrer le résultat, la capacité d'identifier l'onglet à partir duquel le recruteur effectue la capture, la capacité d'insérer le lecteur dans cet onglet lorsque celui-ci était déjà ouvert avant l'installation ou la mise à jour de l'extension, et le stockage local décrit ci-dessus.

3.5 Mini NordiQ App

Mini NordiQ App est un panneau latéral qui permet à un recruteur authentifié de chercher dans son propre espace NordiQ à partir de n'importe quel onglet, de lire le résumé d'un candidat et de l'ajouter à une liste cible. Il est inutilisable sans un compte NordiQ.

• Il ne lit, ne modifie et ne s'exécute sur aucune page Web. Il n'a accès ni aux autres onglets ni à l'historique de navigation.
• Il transmet uniquement ce que le recruteur y saisit ou y colle, par exemple des mots-clés, un titre de poste ou un code postal, et uniquement à l'espace NordiQ du client, sur son propre sous-domaine. Les résultats sont régis par la section 1.1.
• Lorsqu'un recruteur ajoute un candidat à une liste cible liée au système de suivi des candidatures du client, NordiQ met à jour cette liste dans le système du client, comme le fait déjà l'intégration du client.
• Sur l'appareil, il conserve uniquement le nom de l'espace, le nom et la langue du recruteur, ainsi que le dernier mode de recherche. Il ne conserve aucune donnée de candidat ni aucune recherche.
• Il ne demande que l'accès à l'espace NordiQ du client, au panneau latéral du navigateur et au stockage local pour les réglages ci-dessus. Il ne contient aucun traceur publicitaire ni outil d'analyse.

4. Communications avec les candidats

La plateforme permet aux clients d'envoyer des communications (par exemple des courriels) aux candidats.

À cet égard :

• Le contenu des messages est rédigé et validé par le client.
• Aucun courriel ne peut être envoyé sans intervention humaine.
• Les fonctionnalités d'IA peuvent rédiger ou reformuler un message; une personne doit le réviser et l'envoyer. Nous n'envoyons aucune communication de notre propre initiative.
• Le client est responsable du respect des lois applicables (par exemple les lois anti-pourriel et les exigences de consentement).
• Nous agissons uniquement comme fournisseur technique facilitant l'envoi de communications pour le compte du client.

5. Finalités du traitement

Nous traitons les renseignements personnels afin de :

• Structurer et organiser les profils candidats
• Fournir des outils d'analyse et de classement
• Générer des résumés assistés par intelligence artificielle
• Permettre la recherche et la redécouverte de talents
• Assurer le stockage sécurisé des documents
• Faciliter les communications des recruteurs
• Maintenir la performance et la sécurité des systèmes

Nous ne :

• Vendons pas les renseignements personnels
• Louons pas les données candidats
• Utilisons pas les données à des fins publicitaires
• Utilisons pas les données clients pour entraîner des modèles publics d'intelligence artificielle

Les données appartiennent aux clients et demeurent sous leur contrôle.

6. Utilisation de l'intelligence artificielle

Certaines fonctionnalités reposent sur des services fournis par OpenAI.

• Les notes, CV et documents des candidats, les transcriptions de réunions, les messages de la boîte de réception et les requêtes de recherche peuvent être transmis à OpenAI à des fins de traitement.
• Les CV et documents sont transmis en entier, y compris toute adresse qu'ils contiennent. Par ailleurs, lorsqu'une adresse est normalisée avant le géocodage, elle est transmise sans numéro civique ni numéro d'appartement.
• OpenAI ne conserve pas d'état applicatif pour nos requêtes et conserve des journaux de surveillance des abus pendant au plus 30 jours.
• Les vecteurs de recherche sont normalement générés sur nos propres serveurs au Québec. Si ce service est indisponible, leur génération est confiée à OpenAI.
• Ce traitement peut avoir lieu aux États-Unis.
• Les ententes relatives aux API interdisent l'utilisation des données clients pour l'entraînement de modèles.
• Les fonctionnalités d'IA constituent des outils d'aide à la décision uniquement.

NordiQ Intelligence :

• Ne prend pas de décisions automatisées d'embauche
• Ne remplace pas l'évaluation humaine
• Ne garantit aucun résultat

Les clients demeurent responsables de leurs décisions.

7. Infrastructure et sous-traitants

Nous faisons appel aux fournisseurs suivants :

• Amazon Web Services - hébergement, stockage de fichiers, sauvegardes et courriel sortant (Montréal, Québec, avec des copies de reprise après sinistre à Calgary, Alberta)
• OpenAI - traitement par intelligence artificielle (États-Unis)
• Google Cloud - reconnaissance optique de caractères (Montréal, Canada)
• Cloudflare - protection réseau et diffusion de contenu (réseau mondial)
• Twilio - envoi de messages texte, y compris les codes de vérification (États-Unis)
• Datadog - surveillance et journalisation des systèmes (États-Unis)
• PostHog - analyse de l'utilisation du produit (États-Unis)
• Pusher - mises à jour en temps réel (États-Unis)

Google Maps (géocodage et suggestions d'adresses) est utilisé selon les conditions de Google à titre de responsable indépendant, et non comme notre sous-traitant.

L'indexation de la recherche s'effectue sur notre propre infrastructure à Montréal.

Les bases de données principales, le stockage de fichiers et les sauvegardes sont hébergés au Canada, à Montréal, au Québec, avec des copies de reprise après sinistre à Calgary, en Alberta.

Chaque sous-traitant fait l'objet d'une entente écrite avec nous. Les services cartographiques de Google sont régis par les conditions de Google à titre de responsable indépendant, tel que décrit à la section 8.

8. Transferts internationaux

La loi québécoise encadre la communication de renseignements personnels à l'extérieur du Québec. Nos bases de données, notre stockage de fichiers et nos sauvegardes sont situés au Canada, à Montréal, au Québec, avec des copies de reprise après sinistre à Calgary, en Alberta. Les fournisseurs suivants reçoivent des renseignements personnels à l'extérieur du Québec :

• OpenAI (États-Unis) - notes, CV et documents des candidats, transcriptions de réunions, messages de la boîte de réception et requêtes de recherche, aux fins de traitement par intelligence artificielle, ainsi que la génération des vecteurs de recherche lorsque notre propre service est indisponible. Les CV et documents sont transmis en entier, y compris toute adresse qu'ils contiennent. Par ailleurs, lorsqu'une adresse est normalisée avant le géocodage, elle est transmise sans numéro civique ni numéro d'appartement.
• Google (États-Unis) - adresses aux fins de géocodage, transmises par nos serveurs sans numéro civique ni numéro d'appartement. Lorsqu'un utilisateur saisit une adresse dans un champ d'adresse de la plateforme, le service de suggestions d'adresses de Google reçoit le texte tel que saisi, qui peut comprendre le numéro civique, ainsi que l'adresse IP de l'utilisateur. Google agit à titre de responsable indépendant pour ces services Maps.
• Twilio (États-Unis) - numéros de téléphone et contenu des messages, pour l'envoi de messages texte, y compris les codes de vérification.
• Datadog (États-Unis) - journaux système, qui contiennent des identifiants d'enregistrements, mais aucun nom, aucune coordonnée ni aucun contenu de document.
• PostHog (États-Unis) - analyse de l'utilisation du produit, limitée à un identifiant d'utilisateur et au rôle, pour le personnel de nos clients, ainsi qu'à l'adresse IP et au navigateur de la requête.
• Pusher (États-Unis) - identifiants d'enregistrements, pour mettre à jour les écrans en temps réel.
• Cloudflare (réseau mondial) - tout le trafic à destination et en provenance des Services transite par ce réseau. Cloudflare le déchiffre et le rechiffre au point de son réseau le plus proche, qui peut se trouver hors du Canada, afin de protéger les Services. Il n'en conserve pas le contenu.
• Vercel (Canada) - hébergement du site web, y compris le formulaire de demande de démonstration (section 10).
• Google Workspace (peut conserver les données à l'extérieur du Québec) - pour notre site web et notre courriel d'affaires seulement, y compris les demandes de démonstration que nous recevons (section 10).

9. Conservation des renseignements

Nous conservons les renseignements personnels :

• Aussi longtemps que le compte client demeure actif, et
• Selon les instructions ou politiques de conservation du client.

En cas de résiliation :

• Les données peuvent être conservées jusqu'à 30 jours afin de permettre leur exportation.
• Elles sont ensuite supprimées des systèmes actifs.
• Les copies de sauvegarde, y compris les copies de reprise après sinistre à Calgary, en Alberta, sont supprimées dans les 30 jours suivant la suppression des données des systèmes actifs.

Nous ne conservons pas les données de recrutement pour des fins indépendantes.

Pour les renseignements que nous détenons à titre de responsable (sections 1.2 et 1.3), nous conservons :

• Les demandes de démonstration : 24 mois après notre dernier échange, puis elles sont supprimées
• Les historiques de connexion : 12 mois
• Les appareils de confiance : supprimés 30 jours après leur expiration
• Les journaux système dans Datadog : 15 jours
• Les autres journaux des serveurs : 7 jours
• Les traces des requêtes bloquées par notre pare-feu web, y compris l'adresse IP : 30 jours
• Les données d'analyse de l'utilisation du produit dans PostHog : 1 an

10. Site web et témoins

Notre site web utilise un seul témoin, pour mémoriser votre langue. Nous n'utilisons aucun témoin d'analyse ni de publicité, et nous n'effectuons aucune analyse d'audience sur notre site web. Lorsque vous fermez l'avis relatif aux témoins, votre navigateur en garde une note sur votre appareil pour ne plus l'afficher.

Notre hébergeur web, Vercel, reçoit votre adresse IP et les renseignements sur votre navigateur à chaque requête afin d'afficher les pages.

Lorsque vous demandez une démonstration, nous recueillons les renseignements que vous soumettez (nom, courriel professionnel, entreprise, taille de l'entreprise, domaine d'intérêt et message) ainsi que votre adresse IP. Nous utilisons les renseignements pour répondre à votre demande. L'adresse IP sert uniquement à bloquer les envois automatisés et n'est pas conservée. Le formulaire est traité par notre hébergeur web, Vercel, au Canada (Montréal), et la demande est acheminée à notre boîte de courriel hébergée par Google Workspace, qui peut la conserver à l'extérieur du Québec. Nous conservons les demandes de démonstration pendant 24 mois après notre dernier échange, puis les supprimons. Nous ne déterminons pas votre emplacement à partir de votre adresse IP. Vous pouvez demander à notre responsable de la protection des renseignements personnels (section 13) d'y accéder, de les rectifier ou de retirer votre consentement à leur utilisation.

Si nous ajoutons des témoins d'analyse ou de publicité, nous vous demanderons d'abord votre consentement.

Les données de la plateforme de recrutement ne sont pas utilisées à des fins de suivi publicitaire.

11. Mesures de sécurité

Nous mettons en œuvre des mesures administratives, techniques et physiques raisonnables, notamment :

• Chiffrement des données en transit et au repos
• Contrôles d'accès
• Isolation des comptes clients
• Surveillance des systèmes
• Journaux applicatifs qui excluent les renseignements personnels
• Chiffrement des identifiants que nous détenons pour les intégrations tierces

Aucun système ne peut garantir une sécurité absolue.

12. Droits des personnes concernées

Étant donné que nos clients agissent à titre de responsables du traitement, toute personne souhaitant :

• Accéder à ses renseignements
• Demander une correction
• Exercer un droit de suppression
• Exercer tout autre droit applicable

doit contacter directement l'organisation de recrutement concernée.

Un candidat peut obtenir une copie de ses renseignements auprès de l'organisation de recrutement, qui peut les exporter à partir de la plateforme, ou les télécharger au moyen du portail candidat lorsque l'organisation en offre un.

Si nous recevons une demande directement, nous la redirigerons vers le client concerné, sauf obligation légale contraire.

Pour les renseignements que nous détenons à titre de responsable (sections 1.2 et 1.3), écrivez à notre responsable de la protection des renseignements personnels (section 13). Nous répondons dans un délai de 30 jours.

13. Responsable de la protection des renseignements personnels (Loi 25)

Conformément à la législation applicable au Québec, la responsabilité des renseignements personnels au sein de Wisteria Inc. incombe à :

14. Incidents de confidentialité

Lorsque nous avons des motifs de croire qu'un incident de confidentialité impliquant des renseignements personnels est survenu, nous prenons les mesures raisonnables pour diminuer le risque de préjudice et pour éviter que de nouveaux incidents de même nature ne se produisent, et nous consignons l'incident à notre registre des incidents de confidentialité. Nous :

• Aviserons les clients concernés dans les meilleurs délais raisonnables, et au plus tard dans les 72 heures
• Fournirons les informations nécessaires pour leur permettre de respecter leurs obligations légales

Pour les données de recrutement, nous avisons le client comme indiqué ci-dessus, et le client avise la Commission et les personnes concernées. Pour les renseignements que nous détenons à titre de responsable (sections 1.2 et 1.3), nous avisons promptement la Commission d'accès à l'information et les personnes concernées lorsqu'un incident présente un risque de préjudice sérieux.

15. Gouvernance, rôles et plaintes

15.1 Conservation et destruction des renseignements

Les clients déterminent quels renseignements sur les candidats ils détiennent et pendant combien de temps. Nous conservons les renseignements personnels tant que le client maintient un compte actif, conformément aux paramètres de conservation qu'il configure. Lorsque les fins auxquelles les renseignements ont été recueillis sont accomplies, ou lorsqu'un client nous demande de les retirer, les renseignements sont détruits. La section 9 précise les délais applicables après la fermeture d'un compte.

15.2 Rôles et responsabilités de notre personnel

Notre responsable de la protection des renseignements personnels répond de la protection de ces renseignements tout au long de leur cycle de vie, de la collecte jusqu'à la destruction, et approuve nos politiques et pratiques internes de gouvernance.

L'accès aux données des clients par notre personnel est limité aux personnes qui en ont besoin dans l'exercice de leurs fonctions, et uniquement à des fins de soutien, de maintenance et de sécurité. Le personnel technique qui doit accéder aux systèmes de production le fait au moyen de comptes nominatifs. Notre personnel est tenu à des obligations de confidentialité. Toute personne qui prend connaissance d'un incident de confidentialité possible doit en aviser sans délai le responsable de la protection des renseignements personnels.

15.3 Plaintes

Si vous estimez que nous n'avons pas respecté nos obligations à l'égard des renseignements personnels, vous pouvez porter plainte auprès de notre responsable de la protection des renseignements personnels, aux coordonnées indiquées à la section 13. Veuillez décrire la situation et le résultat recherché. Nous accuserons réception de votre plainte, l'examinerons et vous répondrons par écrit en vous faisant part de nos constats et des mesures correctrices, normalement dans les 30 jours.

Si notre réponse ne vous satisfait pas, vous pouvez vous adresser à la Commission d'accès à l'information du Québec.

16. Modifications

Nous pouvons modifier la présente Politique de confidentialité de temps à autre.

Les modifications importantes seront communiquées par courriel ou via la plateforme.

17. Nous joindre

Pour toute question relative à la confidentialité :