Politique de confidentialité et de protection des renseignements personnels

Student Affairs Group est le nom commercial sous lequel SAG International Inc. (« la Société ») exerce ses activités publiques. SAG International Inc. est l’entité juridique constituée en société qui assume l’entière responsabilité légale à l’égard de tous les renseignements personnels collectés, utilisés, conservés, communiqués et détruits dans le cadre des activités de la Société. Dans la présente politique, les termes « Student Affairs Group », « SAG » et « la Société » désignent SAG International Inc., exerçant ses activités sous le nom commercial Student Affairs Group.

SAG International Inc. offre des services de consultation en politique institutionnelle et d’analyse de données à des établissements d’enseignement postsecondaire, des organismes gouvernementaux et des associations étudiantes partout au Canada, y compris au Québec. La Société s’engage à respecter intégralement la Loi fédérale sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et, le cas échéant, la Loi québécoise sur la protection des renseignements personnels dans le secteur privé (Loi 25 / Projet de loi 64), y compris toutes les modifications en vigueur depuis septembre 2023. Lorsque la loi québécoise impose une norme plus stricte, SAG International Inc. se conforme à cette norme plus élevée.

1. Engagement envers la protection de la vie privée

1. SAG International Inc., exerçant ses activités sous le nom commercial Student Affairs Group, s’engage à protéger la vie privée et la confidentialité de tous les renseignements personnels qui lui sont confiés par ses clients, les participants à ses recherches et toute autre personne dont elle traite les renseignements.
2. La présente politique s’applique à l’ensemble des employés et sous-traitants de SAG, ainsi qu’à tout tiers agissant au nom de la Société.
3. Dans les cas où la Loi 25 du Québec impose des obligations plus strictes ou supplémentaires par rapport aux exigences fédérales de la LPRPDE, SAG International Inc. se conformera à la norme la plus élevée.

2. Responsable de la protection des renseignements personnels et gouvernance

4. SAG International Inc. a désigné un responsable de la protection des renseignements personnels chargé de superviser la conformité à la présente politique et aux lois applicables en matière de protection de la vie privée. Les coordonnées du responsable sont publiées sur le site Web de Student Affairs Group et communiquées à tous les clients au début de chaque projet.
5. La responsabilité ultime de la gestion de la vie privée au sein de la Société incombe au signataire autorisé de SAG International Inc.
6. Conformément aux exigences du gouvernement du Canada, le signataire autorisé doit désigner un agent de sécurité suppléant de la société.
7. En application de la Loi 25 du Québec, le responsable désigné de la protection des renseignements personnels assume le rôle légal de « responsable de la protection des renseignements personnels ». SAG International Inc. est inscrite auprès de la Commission d’accès à l’information (CAI) sous sa dénomination juridique, conformément aux exigences applicables.

3. Définition des renseignements personnels

8. Les renseignements personnels désignent tout renseignement concernant une personne physique identifiable. Cela comprend, sans s’y limiter, les noms, les coordonnées, les opinions, les dossiers scolaires et toute donnée pouvant être utilisée, seule ou en combinaison, pour identifier une personne précise.
9. Les renseignements personnels n’incluent pas : les coordonnées professionnelles utilisées à titre professionnel (nom, titre, adresse professionnelle ou numéro de téléphone d’un employé) ; les renseignements accessibles au public dans une source publique reconnue ; ni les données agrégées ou déidentifiées qui ne peuvent raisonnablement être associées à une personne précise.

4. Finalités de la collecte de renseignements personnels

10. SAG International Inc. ne collecte des renseignements personnels que pour des finalités spécifiques, explicites et légitimes, notamment :

• La réalisation de mandats de consultation en politique institutionnelle et d’analyse stratégique pour le compte d’établissements d’enseignement postsecondaire, d’organismes gouvernementaux et d’associations étudiantes ;
• L’exécution de travaux d’analyse de données et de production de rapports, y compris le traitement de données institutionnelles ou de population susceptibles de contenir des dossiers individuels ;
• La communication avec les clients, les parties prenantes et les participants dans le cadre des projets en cours ;
• Le respect des obligations légales, réglementaires ou contractuelles ;
• La vérification de l’identité des personnes présentant des demandes d’accès ou de rectification en vertu de la présente politique.

11. La Société ne collectera pas de renseignements personnels au-delà de ce qui est nécessaire aux finalités déclarées. Lorsque les objectifs de recherche ou d’analyse peuvent être atteints à l’aide de données anonymisées ou agrégées, SAG International Inc. s’abstiendra de collecter des renseignements permettant d’identifier les personnes.

5. Consentement

12. SAG International Inc. obtiendra le consentement éclairé des personnes avant de collecter, d’utiliser ou de communiquer leurs renseignements personnels, sauf dans les cas où la loi applicable autorise la collecte sans consentement.
13. Le consentement peut être explicite ou implicite, et peut être donné par écrit, par voie électronique, oralement ou par l’intermédiaire d’un représentant autorisé. La Société documentera la forme et le moment de l’obtention du consentement.
14. Au moment d’obtenir le consentement, SAG International Inc. communiquera clairement : les finalités pour lesquelles les renseignements sont collectés ; les modalités et le lieu de conservation ; la durée de conservation prévue ; les échéances de destruction ou d’anonymisation ; et les coordonnées du responsable de la protection des renseignements personnels.
15. La participation à toute activité de collecte de données ou de recherche de la Société est toujours volontaire. Les personnes peuvent retirer leur consentement à tout moment, sous réserve de restrictions légales ou contractuelles, en avisant le responsable par écrit ou oralement. La Société informera la personne des conséquences éventuelles du retrait et donnera suite à celui-ci sans délai indu.
16. Conformément à la Loi 25 du Québec, le consentement doit être manifeste, libre et éclairé, et donné à des fins spécifiques. SAG International Inc. ne regroupera pas le consentement pour plusieurs finalités non liées entre elles. Lorsque des renseignements personnels sont collectés auprès d’un mineur de moins de 14 ans au Québec, le consentement parental ou d’un tuteur est requis.

6. Limites à la collecte, à l’utilisation et à la communication

17. SAG International Inc. ne collectera des renseignements personnels que par des moyens justes et licites et en limitera l’utilisation aux finalités communiquées au moment de la collecte ou qui ressortent clairement du contexte.
18. La Société ne vendra pas, n’échangera pas et ne communiquera pas de renseignements personnels à des organisations externes, sauf : aux entités affiliées ou aux clients dans la mesure nécessaire à la réalisation des objectifs du projet ; aux fournisseurs de services tiers liés par des ententes de confidentialité exécutoires (voir la section 8) ; ou lorsque la loi l’exige.
19. SAG International Inc. ne communiquera des renseignements personnels que lorsqu’une procédure judiciaire valide l’exige (p. ex., assignation à comparaître, ordonnance d’un tribunal), ou lorsque le refus de communiquer pourrait exposer une personne à un risque pour sa sécurité. La Société avisera les personnes concernées de telles communications là où la loi le permet.
20. La Société peut collecter, utiliser ou communiquer des renseignements personnels sans consentement lorsque : les renseignements sont accessibles au public dans une source reconnue ; un avis juridique est demandé ou obtenu ; ou l’obtention du consentement compromettrait une enquête ou une procédure légitime.
21. Conformément à la Loi 25, SAG International Inc. réalisera et documentera une évaluation des facteurs relatifs à la vie privée (EFVP) avant d’entreprendre tout nouveau projet impliquant des renseignements personnels qui présente un risque important pour la vie privée, et avant de communiquer des renseignements personnels à l’extérieur du Québec.

7. Communication de renseignements aux clients

22. SAG International Inc. ne communiquera des renseignements personnels aux clients que sous forme agrégée ou anonymisée, de sorte qu’il soit impossible d’identifier un répondant à titre individuel.
23. Dans les circonstances exceptionnelles où des renseignements au niveau individuel doivent être communiqués, la Société supprimera au préalable tout renseignement permettant d’identifier directement la personne et documentera la justification de cette communication. L’autorisation du client seule est insuffisante ; le fondement juridique applicable ou le consentement de la personne concernée doit également exister.

8. Fournisseurs de services tiers

24. SAG International Inc. fait occasionnellement appel à des fournisseurs de services tiers — tels que des fournisseurs de stockage en nuage, des fournisseurs de plateformes d’analyse de données, des services de transcription ou des analystes indépendants — susceptibles de traiter des renseignements personnels au nom de la Société.
25. La Société ne communiquera aux tiers que les renseignements strictement nécessaires aux fins du projet concerné, et s’assurera que tous les tiers sont liés par des ententes de confidentialité écrites imposant des normes de protection de la vie privée au moins aussi rigoureuses que celles énoncées dans la présente politique.
26. Les tiers doivent restituer ou détruire de manière sécurisée tous les renseignements personnels à la fin du mandat. SAG International Inc. vérifiera le respect de cette obligation.
27. Avant de communiquer des renseignements personnels à un tiers situé à l’extérieur du Québec, SAG International Inc. réalisera une évaluation des facteurs relatifs à la vie privée et s’assurera, par contrat, qu’un niveau de protection équivalent est garanti, conformément à la Loi 25.

9. Sécurité et conservation des données

28. SAG International Inc. mettra en œuvre des mesures de protection physiques, organisationnelles et techniques raisonnables pour protéger les renseignements personnels contre la perte, le vol, l’accès non autorisé, la communication, la copie, la modification ou la destruction.
29. Les données numériques non anonymisées seront conservées dans des systèmes à accès contrôlé, accessibles uniquement aux gestionnaires de systèmes et au personnel directement impliqué dans le projet concerné. Un logiciel de gestion des mots de passe sera utilisé et tous les fichiers sensibles seront protégés par mot de passe.
30. Lorsque des renseignements personnels doivent être transmis par voie électronique, la Société les transmettra sous forme chiffrée et fournira les identifiants de déchiffrement par un canal distinct (p. ex., par téléphone ou message texte).
31. Les renseignements personnels conservés sur support physique seront sécurisés dans un espace ou compartiment verrouillé, dont l’accès est réservé aux personnes autorisées par le signataire autorisé et l’agent de sécurité suppléant.
32. Tel que l’exige la Loi 25, SAG International Inc. tient un registre de tous les actifs informationnels contenant des renseignements personnels, incluant les catégories de renseignements détenus, leur emplacement et les calendriers de conservation applicables.

10. Réponse aux atteintes à la protection des renseignements personnels

33. Une atteinte à la protection des renseignements personnels survient lorsque des renseignements personnels sont collectés, utilisés, communiqués ou conservés de manière non autorisée par la présente politique ou la loi applicable, y compris l’accès non autorisé, la perte ou le vol.
34. En cas d’atteinte, SAG International Inc. devra : contenir l’atteinte et évaluer son étendue ; déterminer si les personnes touchées sont exposées à un risque de préjudice grave ; aviser rapidement les personnes touchées ; et, lorsque la LPRPDE ou la Loi 25 l’exige, aviser l’autorité réglementaire compétente — le Commissariat à la protection de la vie privée du Canada et/ou la Commission d’accès à l’information (CAI) — sans délai indu.
35. La Société tiendra un registre des atteintes consignant tous les incidents liés à la vie privée, qu’une notification soit requise ou non, conformément à la Loi 25.

11. Conservation et destruction des renseignements

36. SAG International Inc. ne conservera les renseignements personnels que le temps nécessaire pour atteindre les finalités pour lesquelles ils ont été collectés, ou tel que l’exige la loi ou le contrat.
37. La Société détruira, effacera ou anonymisera de manière irréversible toutes les données privées liées à un projet dans les six (6) mois suivant la fin du projet, confirmée par la remise du livrable final ou la réception du paiement final du client — selon l’événement qui survient en dernier.
38. Les dossiers physiques seront déchiquetés ; les dossiers numériques seront supprimés de manière sécurisée selon des méthodes reconnues dans l’industrie. SAG International Inc. documentera la destruction des renseignements personnels.

12. Exactitude des renseignements personnels

39. SAG International Inc. fera tous les efforts raisonnables pour s’assurer que les renseignements personnels qu’elle collecte et utilise sont exacts, complets et à jour eu égard aux finalités pour lesquelles ils sont utilisés.
40. Lorsque la Société constate qu’un renseignement personnel est inexact ou incomplet, elle le corrigera et avisera tout tiers à qui ce renseignement a été précédemment communiqué. Lorsqu’une demande de rectification n’est pas approuvée, SAG International Inc. annotera les données concernées pour indiquer qu’une correction a été demandée mais non effectuée, et informera le demandeur des motifs et des recours disponibles.

13. Droits des personnes : accès, rectification et portabilité

41. Les personnes ont le droit de demander l’accès aux renseignements personnels que SAG International Inc. détient à leur sujet. Sur demande écrite et vérification de l’identité, la Société fournira : un sommaire des renseignements détenus ; une description de leur utilisation actuelle ou passée ; et la liste des organisations ou personnes à qui ils ont été communiqués.
42. Les demandes seront traitées dans les 30 jours suivant leur réception, ou la Société fournira un avis écrit lorsqu’un délai supplémentaire est requis.
43. SAG International Inc. peut exiger des frais raisonnables pour répondre aux demandes d’accès et fournira une estimation des coûts avant de procéder. Un dépôt pourra être exigé avant la communication des renseignements.
44. Conformément à la Loi 25, les personnes ont le droit de : demander à la Société de cesser d’utiliser leurs renseignements personnels ; retirer leur consentement à leur collecte ; et demander la suppression ou la désinscription des renseignements qui ne sont plus nécessaires aux fins initiales. Depuis septembre 2023, les personnes ont également le droit à la portabilité des données — soit de recevoir leurs renseignements personnels dans un format structuré et couramment utilisé sur le plan technologique, et d’en demander le transfert à un tiers lorsque cela est techniquement faisable.
45. SAG International Inc. peut refuser l’accès dans des circonstances limitées, notamment lorsque la divulgation révélerait des renseignements commerciaux confidentiels ou des renseignements personnels concernant un tiers, ou lorsque la loi restreint l’accès. La Société avisera la personne par écrit de tout refus, en précisera les motifs et indiquera les recours disponibles.

14. Langue de communication

46. Student Affairs Group communique avec ses clients et les participants à ses recherches en français et en anglais. Tous les avis de confidentialité, les formulaires de consentement et les réponses aux demandes d’accès à l’information sont disponibles dans les deux langues officielles. Les personnes peuvent interagir avec la Société dans la langue officielle de leur choix.
47. Conformément à la Charte de la langue française du Québec, toutes les communications adressées aux résidents du Québec ou aux organisations québécoises seront fournies en français, l’anglais étant disponible sur demande.

15. Transparence et responsabilité

48. SAG International Inc. rendra la présente politique accessible sur le site Web de Student Affairs Group et en remettra un exemplaire à tous les clients au début de chaque projet.
49. Le responsable de la protection des renseignements personnels répondra à toutes les demandes de renseignements concernant les pratiques de la Société en matière de vie privée. SAG International Inc. se réserve le droit de refuser de divulguer des informations susceptibles de compromettre l’intégrité de ses procédures de sécurité.
50. Le signataire autorisé et/ou le responsable de la protection des renseignements personnels de SAG International Inc. mènera une enquête dès lors qu’il existe des motifs raisonnables de croire que des renseignements personnels sont collectés, utilisés ou communiqués de manière inappropriée, que ce soit par des employés, des sous-traitants ou des fournisseurs de services tiers de la Société.
51. L’ensemble des employés et sous-traitants de SAG International Inc. recevra une formation régulière sur leurs obligations en vertu de la présente politique et des lois applicables en matière de protection de la vie privée.

16. Surveillance réglementaire

52. Les personnes qui estiment que leurs droits en matière de vie privée ont été violés peuvent déposer une plainte auprès de :

• Le Commissariat à la protection de la vie privée du Canada (CPVP), pour les plaintes relevant de la LPRPDE ;
• La Commission d’accès à l’information (CAI), pour les plaintes relevant de la législation provinciale québécoise sur la protection de la vie privée.

53. SAG International Inc. coopérera pleinement avec toute enquête menée par ces autorités réglementaires.

17. Révision de la politique

54. La présente politique sera révisée au moins une fois par année et mise à jour au besoin pour tenir compte des modifications législatives, des évolutions des activités ou des meilleures pratiques. Tout changement important sera communiqué à l’ensemble des clients actifs.

Coordonnées du responsable de la protection des renseignements personnels

Pour toute question, demande d’accès ou plainte concernant les pratiques de SAG en matière de protection de la vie privée, veuillez communiquer par écrit avec le responsable à l’adresse suivante : contact@studentaffairsgroup.com

La présente politique entre en vigueur le 1er avril 2026.