Politique de
confidentialité

1.1 — Définitions

« Renseignement personnel »

toute information qui concerne une personne physique et qui permet de l'identifier directement ou indirectement.

« Renseignement personnel sensible »

tout renseignement personnel qui, de par sa nature (notamment médical, biométrique ou autrement intime) ou en raison du contexte de son utilisation, suscite un haut degré d'attente raisonnable en matière de vie privée. Dans le contexte de Nexus, les renseignements d'athlètes mineurs (évaluations sportives, données physiques, résultats scolaires) sont considérés comme sensibles en raison de l'âge des personnes concernées.

« Incident de confidentialité »

tout accès, utilisation ou communication non autorisé par la loi d'un renseignement personnel, ainsi que toute perte ou autre atteinte à la protection de ce renseignement.

« Évaluation des facteurs relatifs à la vie privée » ou « ÉFVP »

démarche préventive visant à mieux protéger les renseignements personnels et à respecter la vie privée des individus.

« Cycle de vie »

l'ensemble des étapes de traitement d'un renseignement personnel : collecte, utilisation, communication, conservation et destruction.

« Profilage »

collecte et utilisation de renseignements personnels afin d'évaluer certaines caractéristiques d'une personne physique. Dans le contexte de Nexus, les évaluations sportives (11 critères) et le pipeline de recrutement (8 statuts) constituent des formes de profilage assisté par des personnes humaines, et non des décisions automatisées.

« RPRP »

Responsable de la Protection des Renseignements Personnels.

« CAI »

Commission d'accès à l'information du Québec.

3.1 — Saisie au nom d'autrui

Les entraîneurs et directeurs qui saisissent des renseignements personnels d'athlètes agissent au nom de leur école secondaire. En saisissant ces renseignements, ils confirment que : (a) le consentement parental valide a été obtenu; (b) les renseignements fournis sont exacts et proviennent de sources fiables (registres scolaires); (c) ils sont autorisés par leur établissement à effectuer cette saisie. L'entraîneur ne peut activer un profil d'athlète mineur sans avoir préalablement confirmé l'obtention du consentement parental dans la Plateforme.

3.2 — Chaîne de responsabilité

La responsabilité en matière de protection des renseignements personnels est partagée :

L'école secondaire est responsable de la collecte initiale, de l'obtention du consentement parental et de l'exactitude des données saisies. Elle demeure le responsable du traitement au sens de la loi.

Nexus agit à titre de sous-traitant. Nexus est responsable de la sécurité de l'hébergement, de l'intégrité des données, de l'application des contrôles d'accès (isolation par établissement, chiffrement, journalisation) et de la mise à disposition des outils de conformité.

Le CÉGEP accède aux renseignements des athlètes aux fins de recrutement sportif. Il est responsable de l'encadrement de ses recruteurs, du respect des limites d'accès et de la confidentialité des informations consultées.

En cas d'incident de confidentialité, la responsabilité est déterminée selon l'origine de l'incident : si l'incident résulte d'une faille de la Plateforme, Nexus en assume la responsabilité; si l'incident résulte d'une action d'un utilisateur, l'établissement d'attache de cet utilisateur en est responsable.

3.3 — Finalité unique et déclarée

La communication des renseignements personnels des athlètes aux recruteurs des CÉGEPs constitue la finalité principale et déclarée de la Plateforme, et non une utilisation secondaire ou dérivée. Cette finalité est explicitement indiquée dans le formulaire de consentement parental et dans l'entente de sous-traitance. Aucun renseignement personnel n'est utilisé à des fins incompatibles avec cette finalité sans l'obtention d'un nouveau consentement.

4.1 — Athlètes (mineurs 14-17 ans)

4.2 — Entraîneurs

Nom et prénom, courriel professionnel, école d'attache, sport(s) entraîné(s), évaluations de réputation reçues (anonymisées).

4.3 — Recruteurs

Nom et prénom, courriel professionnel, CÉGEP d'attache, activité sur la Plateforme (consultations, favoris, pipeline de recrutement).

4.4 — Directeurs

Nom et prénom, courriel professionnel, établissement d'attache, activité de supervision.

4.5 — Données techniques

• Adresse IP
• Type de navigateur et système d'exploitation
• Pages visitées et durée des visites
• Données de cookies (voir section 12)

7.1 — Tiers ayant accès

Les renseignements personnels des athlètes sont accessibles uniquement aux recruteurs vérifiés rattachés à un CÉGEP ayant signé une entente de sous-traitance avec Nexus, aux entraîneurs et directeurs de l'école secondaire d'attache de l'athlète, ainsi qu'au personnel autorisé de Nexus aux seules fins de support technique et de conformité.

7.2 — Aucune vente de données

Nexus ne vend, ne loue, ni ne monnaie d'aucune façon les renseignements personnels des utilisateurs. Aucune publicité ciblée n'est diffusée sur la Plateforme à partir des renseignements collectés.

7.3 — Fournisseurs de services

Nexus a recours au fournisseur de services suivant pour le fonctionnement de la Plateforme :

• OVHcloud (Beauharnois, Québec) : Hébergement de l'infrastructure (serveurs, base de données, stockage de fichiers).

Ce fournisseur est lié à Nexus par une entente écrite l'obligeant à respecter des standards de sécurité équivalents à ceux de Nexus et à n'utiliser les données qu'aux seules fins de la prestation de services.

7.4 — Communication requise par la loi

Nexus peut être tenu de communiquer des renseignements personnels en réponse à une ordonnance judiciaire, une assignation, une demande d'une autorité compétente ou pour se conformer à une obligation légale. Dans la mesure permise par la loi, la personne concernée sera informée d'une telle communication.

8.1 — Localisation des données

8.2 — Mesures de sécurité

Nexus met en place des mesures techniques et organisationnelles appropriées pour protéger les renseignements personnels :

• Chiffrement des données en transit (HTTPS/TLS 1.3) et au repos
• Authentification sécurisée avec hachage des mots de passe (bcrypt)
• Contrôle d'accès basé sur les rôles (RBAC) et isolation des données par établissement
• Journaux d'audit horodatés pour chaque accès aux profils d'athlètes
• Surveillance continue, sauvegardes régulières et plan de reprise après incident
• Mises à jour de sécurité appliquées en continu

Aucune méthode de transmission ou de stockage électronique n'est totalement sécurisée. Bien que nous nous efforcions de protéger vos données, nous ne pouvons garantir une sécurité absolue.

8.3 — Confidentialité par défaut

Conformément au principe de confidentialité par défaut prévu à la Loi 25, les paramètres les plus restrictifs sont appliqués au moment de la création d'un compte. L'utilisateur doit explicitement choisir d'élargir la visibilité de ses renseignements.

9.1 — Durées de conservation

9.2 — Destruction

À l'expiration de la durée de conservation, les renseignements personnels sont détruits de façon sécurisée et irréversible (suppression cryptographique des sauvegardes incluses).

9.3 — Anonymisation

Certaines données peuvent être conservées au-delà des durées prévues à des fins statistiques ou de recherche, à condition d'être anonymisées de manière irréversible. Une fois anonymisées, ces données ne constituent plus des renseignements personnels au sens de la loi.

10.1 — Droit d'accès

Vous pouvez demander une copie de tous les renseignements personnels que Nexus détient à votre sujet.

10.2 — Droit de rectification

Vous pouvez demander la correction de renseignements inexacts, incomplets ou périmés.

10.3 — Droit à la portabilité

Vous pouvez obtenir une copie des renseignements que vous avez fournis dans un format structuré, couramment utilisé et lisible par machine, ou en demander la transmission directe à un tiers de votre choix.

10.4 — Droit à la désindexation

Vous pouvez exiger que cesse la diffusion d'un renseignement personnel vous concernant ou demander la désindexation de tout lien permettant d'y accéder lorsque sa diffusion vous cause préjudice.

10.5 — Droit de retrait du consentement

Vous pouvez retirer votre consentement à tout moment, sans motif et sans pénalité. Le retrait du consentement parental entraîne la désactivation immédiate du profil de l'athlète mineur.

10.6 — Droit relatif aux décisions automatisées

Nexus n'utilise pas de prise de décision exclusivement automatisée produisant un effet juridique ou vous affectant de manière similaire. Les évaluations sportives et le pipeline de recrutement sont effectués par des personnes humaines (entraîneurs, recruteurs). Vous pouvez néanmoins demander de l'information sur les facteurs ayant mené à une décision vous concernant.

10.7 — Comment exercer vos droits

Pour exercer un de vos droits, écrivez au RPRP de Nexus à confidentialite@nexussports.ca en précisant la nature de votre demande. Une preuve d'identité pourra être demandée afin de protéger vos renseignements. Nexus répond à toute demande dans un délai de 30 jours.

12.1 — Types de témoins utilisés

12.2 — Gestion de vos préférences

Vous pouvez configurer votre navigateur pour refuser les témoins. Certaines fonctionnalités de la Plateforme pourraient toutefois ne plus fonctionner correctement.

13.1 — Mandat opérationnel du RPRP

Le RPRP de Nexus est désigné par écrit par la personne exerçant la plus haute autorité au sein de Nexus. Il est chargé de :

• Être consulté dès le début de tout projet impliquant des renseignements personnels
• Superviser la réalisation des ÉFVP
• Superviser la tenue du registre des incidents et du registre des communications
• Participer à l'évaluation du risque de préjudice sérieux lié à un incident
• Vérifier la conformité des fournisseurs et sous-traitants
• Recevoir et traiter les demandes d'exercice de droits dans les délais prescrits
• Produire un rapport annuel sur la conformité de Nexus

13.2 — Obligations des utilisateurs de la Plateforme

Toute personne qui traite des renseignements personnels via Nexus s'engage à :

• N'accéder qu'aux renseignements nécessaires à l'exercice de ses fonctions
• Ne pas communiquer de renseignements personnels à des personnes non autorisées, y compris par capture d'écran
• Protéger l'accès à son compte par un mot de passe sécurisé et ne jamais partager ses identifiants
• Signaler immédiatement tout incident ou faille de sécurité
• S'assurer que le consentement parental a été obtenu avant de saisir ou d'activer le profil d'un athlète mineur (entraîneurs et directeurs)
• Ne pas télécharger ou exporter en masse les données d'athlètes à des fins non autorisées (recruteurs)
• Ne pas conserver de renseignements personnels après la cessation de ses fonctions ou la désactivation de son compte
• Participer aux activités de formation et de sensibilisation

Tout manquement peut entraîner la désactivation du compte et le signalement à l'établissement d'attache. L'activité de chaque utilisateur est journalisée à des fins de traçabilité.