Politique de gouvernance des renseignements personnels

Adoptée le 28 octobre 2026 · Dernière mise à jour : 4 novembre 2026

La présente politique énonce les règles qui encadrent la gouvernance des renseignements personnels chez 9577-1002 Québec inc., qui exploite KalooK, KalooK-RDV et KalooK-Salles (les « Services »), conformément à l'article 3.2 de la Loi sur la protection des renseignements personnels dans le secteur privé (la « Loi 25 »). Elle s'applique à tout renseignement personnel que nous recueillons, utilisons, communiquons, conservons ou détruisons, ainsi qu'à toute personne qui y a accès en notre nom. Elle complète notre politique de confidentialité (https://kalook.ca/confidentialite), qui décrit les renseignements recueillis, leurs fins et vos droits.

1. Responsable de la protection des renseignements personnels

Le président de 9577-1002 Québec inc. est la personne responsable de la protection des renseignements personnels (article 3.1 de la Loi 25). Elle veille à l'application de la présente politique, approuve les évaluations des facteurs relatifs à la vie privée, tient le registre des incidents de confidentialité et répond aux demandes et aux plaintes. On la joint à info@kalook.ca, en indiquant « Responsable de la protection des renseignements personnels » dans l'objet. Elle peut déléguer tout ou partie de ces fonctions par écrit; la présente politique est alors mise à jour.

2. Rôles et responsabilités

Seules les personnes autorisées par la personne responsable ont accès aux renseignements personnels, et seulement à ceux dont elles ont besoin dans l'exercice de leurs fonctions. Les accès administratifs (base de données, paiements, envoi de courriels, hébergement, suivi des erreurs) sont nominatifs, protégés par une authentification à deux facteurs et retirés dès qu'ils ne sont plus nécessaires. Les actions administratives sur les comptes sont consignées dans un journal. Les sous-traitants qui traitent des renseignements pour nous le font en vertu d'une entente écrite qui limite leur usage au mandat confié et exige des mesures de sécurité appropriées; leur liste figure dans la politique de confidentialité.

3. Collecte, utilisation et communication

Nous ne recueillons que les renseignements nécessaires aux fins déterminées avant la collecte, et nous informons les personnes de ces fins au moment de la collecte. Nous n'utilisons et ne communiquons ces renseignements qu'à ces fins, sauf avec le consentement de la personne ou dans les cas prévus par la loi. Nous ne vendons aucun renseignement personnel et n'en faisons aucun usage publicitaire. Lorsqu'un Service offre des paramètres de confidentialité, ceux qui assurent le plus haut niveau de confidentialité s'appliquent par défaut, sans intervention de la personne.

4. Organisations clientes

Lorsqu'une organisation utilise les Services pour ses membres, ses clients ou ses réservations (organisations KalooK, KalooK-RDV, KalooK-Salles), elle demeure responsable des renseignements qu'elle y verse ou y fait recueillir. Nous agissons alors pour son compte, uniquement aux fins du service et selon ses instructions. Nous l'aidons à répondre aux demandes des personnes concernées et l'avisons sans délai de tout incident de confidentialité touchant ses renseignements. Les modalités de ce mandat sont précisées à la section 5 des conditions d'utilisation (https://kalook.ca/conditions).

5. Conservation et destruction

Les renseignements personnels ne sont conservés que le temps nécessaire aux fins pour lesquelles ils ont été recueillis, ou pendant la durée exigée par la loi. Une fois ces fins accomplies, ils sont détruits, ou anonymisés conformément au Règlement sur l'anonymisation des renseignements personnels. Le calendrier de conservation, qui fixe une durée pour chaque catégorie de renseignements, est publié à la section 10 de notre politique de confidentialité (https://kalook.ca/confidentialite). Il est appliqué par une tâche automatique qui s'exécute toutes les heures; lorsqu'une suppression touche un compte inutilisé ou un sondage terminé, la personne concernée en est avisée par courriel 30 jours à l'avance. La suppression d'un compte, offerte en tout temps dans l'application, détruit ce qu'il contient et dépersonnalise ses réponses aux sondages d'autres personnes. Dans KalooK-RDV, les inscriptions et les rendez-vous d'un horaire sont détruits automatiquement après le délai fixé par l'organisation, compté à partir de la fermeture de l'horaire; dans KalooK-Salles, les réservations sont détruites automatiquement après la durée de conservation fixée par l'organisation (13 mois par défaut). Les renseignements d'une organisation sont détruits au plus tard 90 jours après la fin de son abonnement (section 5 des conditions d'utilisation), sauf les registres de facturation, conservés six ans comme l'exigent les lois fiscales. Toute modification du calendrier est approuvée par la personne responsable et publiée.

6. Sécurité

Nous protégeons les renseignements personnels par des mesures raisonnables compte tenu de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support : chiffrement en transit (HTTPS) et au repos, hachage des mots de passe, permissions qui limitent chaque enregistrement à son propriétaire et aux personnes qu'il autorise, authentification à deux facteurs pour les accès administratifs et suivi des vulnérabilités. Ces mesures sont revues au moins une fois par année.

7. Évaluation des facteurs relatifs à la vie privée

Nous réalisons une évaluation des facteurs relatifs à la vie privée avant tout projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services impliquant des renseignements personnels (par exemple un nouveau Service, ou une fonctionnalité qui recueille de nouveaux renseignements), et avant toute communication de renseignements personnels à l'extérieur du Québec, y compris le recours à un nouveau sous-traitant situé hors du Québec. L'évaluation tient compte de la sensibilité des renseignements, de la finalité de leur utilisation, des mesures de protection, y compris contractuelles, et, pour une communication hors du Québec, du régime juridique applicable dans l'État visé. Elle est proportionnée à l'ampleur du projet, approuvée par la personne responsable et conservée.

8. Incidents de confidentialité

Toute personne qui constate ou soupçonne un incident de confidentialité (accès, utilisation ou communication non autorisés par la loi, perte ou toute autre atteinte à la protection d'un renseignement personnel) en avise sans délai la personne responsable. Celle-ci prend les mesures raisonnables pour diminuer les risques de préjudice et éviter que de nouveaux incidents de même nature se produisent, évalue le risque de préjudice sérieux et, si un tel risque existe, avise avec diligence la Commission d'accès à l'information ainsi que les personnes concernées. Tout incident, même sans risque de préjudice sérieux, est inscrit au registre des incidents de confidentialité, conservé au moins cinq ans après la date ou la période où nous en avons pris connaissance.

9. Demandes d'accès, de rectification et de portabilité

Toute personne peut demander l'accès à ses renseignements personnels, leur rectification, ou leur communication dans un format technologique structuré et couramment utilisé, à elle-même ou à une personne qu'elle désigne. La demande s'adresse par écrit à la personne responsable, à info@kalook.ca. Nous vérifions l'identité de la personne avant d'y répondre, sans recueillir plus de renseignements que nécessaire, et lui prêtons assistance au besoin. Nous répondons au plus tard dans les 30 jours suivant la réception de la demande. L'accès est gratuit, sauf des frais raisonnables de transcription, de reproduction ou de transmission, dont la personne est informée à l'avance. Un refus est motivé et indique le recours possible devant la Commission d'accès à l'information. Plusieurs de ces droits s'exercent aussi directement dans l'application, par exemple modifier son nom ou supprimer son compte.

10. Traitement des plaintes

Toute personne qui estime que ses renseignements personnels n'ont pas été traités conformément à la loi ou à la présente politique peut porter plainte par écrit à la personne responsable, à info@kalook.ca, en décrivant la situation. Nous accusons réception de la plainte, l'examinons avec impartialité et transmettons une réponse écrite et motivée dans les 30 jours. Si cette réponse ne la satisfait pas, la personne peut s'adresser à la Commission d'accès à l'information du Québec (https://www.cai.gouv.qc.ca).

11. Formation et sensibilisation

Toute personne qui a accès à des renseignements personnels en notre nom prend connaissance de la présente politique et de la politique de confidentialité avant d'y avoir accès, s'engage à en respecter la confidentialité et reçoit une sensibilisation à la protection des renseignements personnels au moins une fois par année.

12. Approbation et révision

La présente politique est approuvée par la personne responsable. Elle est révisée au moins une fois par année et à chaque changement important dans nos pratiques. La version en vigueur est publiée sur https://kalook.ca/gouvernance et dans l'application.

Version française

Personal information governance policy

Adopted October 28, 2026 · Last updated: November 4, 2026

This policy sets out the rules governing personal information at 9577-1002 Québec inc., which operates KalooK, KalooK-RDV and KalooK-Salles (the "Services"), in accordance with section 3.2 of Québec's Act respecting the protection of personal information in the private sector ("Law 25"). It applies to all personal information we collect, use, disclose, retain or destroy, and to everyone who has access to it on our behalf. It complements our privacy policy (https://kalook.ca/confidentialite#en), which describes the information collected, its purposes and your rights.

1. Person in charge of the protection of personal information

The president of 9577-1002 Québec inc. is the person in charge of the protection of personal information (section 3.1 of Law 25). This person oversees the application of this policy, approves privacy impact assessments, keeps the register of confidentiality incidents, and answers requests and complaints. They can be reached at info@kalook.ca with "Person in charge of the protection of personal information" in the subject line. All or part of these duties may be delegated in writing; this policy is then updated.

2. Roles and responsibilities

Only people authorized by the person in charge have access to personal information, and only to the information they need to perform their duties. Administrative access (database, payments, email delivery, hosting, error monitoring) is personal to each user, protected by two-factor authentication, and removed as soon as it is no longer needed. Administrative actions on accounts are recorded in a log. Service providers that process information for us do so under a written agreement that limits its use to the mandate given and requires appropriate security measures; they are listed in the privacy policy.

3. Collection, use and disclosure

We collect only the information needed for purposes determined before collection, and we inform people of those purposes when we collect it. We use and disclose this information only for those purposes, unless the person consents or the law allows it. We do not sell any personal information or use it for advertising. When a Service offers privacy settings, those providing the highest level of confidentiality apply by default, without any action by the person.

4. Client organizations

When an organization uses the Services for its members, clients or bookings (KalooK organizations, KalooK-RDV, KalooK-Salles), it remains responsible for the information it enters or has collected there. We then act on its behalf, only for the purposes of the service and according to its instructions. We help it answer requests from the people concerned and notify it without delay of any confidentiality incident affecting its information. The terms of this mandate are set out in section 5 of the terms of use (https://kalook.ca/conditions#en).

5. Retention and destruction

Personal information is kept only as long as needed for the purposes for which it was collected, or for the period required by law. Once those purposes are achieved, it is destroyed, or anonymized in accordance with the Regulation respecting the anonymization of personal information. The retention schedule, which sets a period for each category of information, is published in section 10 of our privacy policy (https://kalook.ca/confidentialite). It is applied by an automatic task that runs every hour; when a deletion concerns an unused account or an ended poll, the person concerned is notified by email 30 days in advance. Deleting an account, available at any time in the app, destroys what it contains and anonymizes its answers to other people's polls. In KalooK-RDV, a schedule's sign-ups and appointments are destroyed automatically after the period set by the organization, counted from the schedule's closing; in KalooK-Salles, bookings are destroyed automatically after the retention period set by the organization (13 months by default). An organization's information is destroyed no later than 90 days after its subscription ends (section 5 of the terms of use), except billing records, kept six years as tax laws require. Any change to the schedule is approved by the person in charge and published.

6. Security

We protect personal information with reasonable measures given its sensitivity, the purposes of its use, its quantity, its distribution and its medium: encryption in transit (HTTPS) and at rest, password hashing, permissions limiting each record to its owner and the people they authorize, two-factor authentication for administrative access, and vulnerability monitoring. These measures are reviewed at least once a year.

7. Privacy impact assessments

We carry out a privacy impact assessment before any project to acquire, develop or overhaul an information system or electronic service delivery involving personal information (for example a new Service, or a feature that collects new information), and before any disclosure of personal information outside Québec, including the use of a new service provider located outside Québec. The assessment considers the sensitivity of the information, the purposes of its use, the protection measures, including contractual ones, and, for a disclosure outside Québec, the legal framework applicable in the state concerned. It is proportionate to the scale of the project, approved by the person in charge, and kept on file.

8. Confidentiality incidents

Anyone who finds or suspects a confidentiality incident (access, use or disclosure not authorized by law, loss, or any other breach of the protection of personal information) reports it without delay to the person in charge. The person in charge takes reasonable measures to reduce the risk of harm and to prevent new incidents of the same nature, assesses the risk of serious harm and, if there is such a risk, promptly notifies the Commission d'accès à l'information and the people concerned. Every incident, even one with no risk of serious harm, is entered in the register of confidentiality incidents, kept for at least five years after the date or period when we became aware of it.

9. Access, correction and portability requests

Anyone may ask for access to their personal information, for its correction, or for it to be communicated in a structured, commonly used technological format, to themselves or to a person they designate. Requests are made in writing to the person in charge, at info@kalook.ca. We verify the person's identity before answering, without collecting more information than needed, and assist them if necessary. We answer within 30 days of receiving the request. Access is free, except for reasonable transcription, reproduction or transmission fees, which the person is told about in advance. A refusal states its reasons and the recourse available before the Commission d'accès à l'information. Several of these rights can also be exercised directly in the app, for example changing your name or deleting your account.

10. Complaints

Anyone who believes their personal information has not been handled in accordance with the law or this policy may file a written complaint with the person in charge, at info@kalook.ca, describing the situation. We acknowledge the complaint, review it impartially, and send a written, reasoned answer within 30 days. If that answer is not satisfactory, the person may turn to Québec's Commission d'accès à l'information (https://www.cai.gouv.qc.ca).

11. Training and awareness

Everyone who has access to personal information on our behalf reads this policy and the privacy policy before getting access, undertakes to keep the information confidential, and receives privacy awareness training at least once a year.

12. Approval and review

This policy is approved by the person in charge. It is reviewed at least once a year and whenever our practices change significantly. The current version is published at https://kalook.ca/gouvernance and in the app.