1. Objet et portée

La présente politique explique comment Kéo CPA inc. (« Kéo CPA », « le cabinet », « nous ») recueille, utilise, communique, conserve, protège et détruit les renseignements personnels dans le cadre de ses activités professionnelles, notamment en fiscalité, comptabilité, préparation d’états financiers, missions de compilation, procédures convenues et services-conseils connexes.

Elle s’applique aux renseignements personnels concernant nos clients, clients potentiels, représentants, administrateurs, actionnaires, bénéficiaires effectifs, personnes à charge, fournisseurs, employés, partenaires et autres personnes avec lesquelles nous interagissons.
 

2. Responsable de la protection des renseignements personnels

La personne qui exerce la plus haute autorité au sein de Kéo CPA assume la fonction de responsable de la protection des renseignements personnels. Elle veille au respect de la présente politique et des exigences applicables.

Président — Responsable de la protection des renseignements personnels

Courriel contact@keocpa.ca

Les demandes d’accès, de rectification, de retrait du consentement, de portabilité, les questions et les plaintes relatives à la protection des renseignements personnels peuvent être transmises à cette adresse courriel.
 

3. Renseignements personnels que nous pouvons recueillir

Nous recueillons uniquement les renseignements raisonnablement nécessaires aux fins déterminées avant la collecte. Selon la nature du mandat, ces renseignements peuvent comprendre :

• Renseignements d’identité et de contact : nom, adresse, courriel, téléphone, date de naissance, signature et, lorsque nécessaire, copie d’une pièce d’identité.

• Identifiants gouvernementaux et fiscaux : numéro d’assurance sociale, numéros de compte auprès des autorités fiscales, numéros d’entreprise et autres identifiants requis pour le mandat.

• Renseignements fiscaux, comptables et financiers : revenus, dépenses, relevés fiscaux, déclarations, avis de cotisation, informations bancaires, actifs, dettes, placements, transactions, livres et registres, états financiers et pièces justificatives.

• Renseignements familiaux ou relatifs à des tiers, lorsque nécessaire : état civil, renseignements sur le conjoint ou les personnes à charge, succession, fiducie ou autres renseignements requis pour l’application des règles fiscales ou l’exécution du mandat.

• Renseignements d’entreprise ou d’organisation : administrateurs, dirigeants, actionnaires, bénéficiaires effectifs, employés, fournisseurs, syndicats de copropriété, immeubles et documents corporatifs.

• Renseignements professionnels et communications : correspondance, instructions, notes au dossier, autorisations, procurations, contrats, lettres de mission et documents transmis dans le cadre du mandat.

• Renseignements techniques et de sécurité : adresse IP, journaux de connexion, données d’authentification, métadonnées, informations sur l’appareil et événements de sécurité lorsque générés par nos systèmes ou fournisseurs.

Certains de ces renseignements peuvent être sensibles en raison de leur nature ou du contexte de leur utilisation, notamment les numéros d’identification gouvernementaux, les renseignements financiers, les renseignements médicaux pertinents à une déclaration fiscale et les renseignements d’authentification. Ils font l’objet de mesures de protection adaptées.

4. Moyens et sources de collecte

Les renseignements peuvent être recueillis par courriel, par téléphone, lors d’une rencontre, au moyen d’un formulaire, d’un portail ou d’un espace de partage sécurisé, par signature électronique, au moyen d’un logiciel comptable ou fiscal, par le site Web ou par tout autre moyen approprié au mandat.

Ils sont principalement recueillis directement auprès de la personne concernée. Lorsque permis, ils peuvent aussi provenir d’un représentant autorisé, d’un conjoint ou d’une personne liée, d’un ancien professionnel, d’une institution financière, d’une autorité fiscale ou gouvernementale, d’un fournisseur de services, d’un registre public ou d’un autre tiers autorisé. Lorsque la loi exige un consentement pour une collecte auprès d’un tiers, celui-ci est obtenu avant la collecte, sauf exception légale.

5. Fins de la collecte et de l’utilisation

Nous utilisons les renseignements personnels seulement pour les fins déterminées, compatibles ou autrement permises par la loi, notamment pour :

• évaluer une demande de services, accepter et administrer une relation client et vérifier l’identité des personnes concernées;

• exécuter les services professionnels convenus, préparer les déclarations fiscales, dossiers comptables, états financiers, rapports et autres livrables;

• obtenir ou gérer les autorisations auprès de l’Agence du revenu du Canada, de Revenu Québec ou d’autres organismes;

• communiquer avec le client et les personnes autorisées, recueillir les documents requis et assurer le suivi du mandat;

• facturer les services, recevoir et rapprocher les paiements et tenir les registres administratifs du cabinet;

• respecter les obligations légales, fiscales, réglementaires, professionnelles, déontologiques et de gestion de la qualité applicables au cabinet;

• prévenir ou détecter la fraude, gérer les risques, protéger les systèmes, contrôler les accès et enquêter sur les incidents de sécurité;

• établir, exercer ou défendre des droits, répondre à une ordonnance, une demande légalement autorisée ou une exigence d’un organisme de réglementation.

Nous n’utilisons pas un renseignement personnel sensible à une nouvelle fin exigeant un consentement sans obtenir le consentement exprès requis, sauf lorsque la loi autorise autrement cette utilisation.
 

6. Consentement et refus de fournir des renseignements

Lorsque le consentement est requis pour une collecte, une utilisation ou une communication, nous cherchons à obtenir un consentement manifeste, libre, éclairé, spécifique et valable pour la durée nécessaire. Un consentement exprès est obtenu lorsque la loi l’exige, notamment pour certains renseignements personnels sensibles.

Une personne peut refuser de fournir un renseignement qui n’est pas nécessaire. Toutefois, le refus de fournir un renseignement nécessaire à un service, à une obligation professionnelle ou à une exigence légale peut empêcher Kéo CPA d’accepter, de poursuivre ou de compléter le mandat.

Le consentement peut être retiré, lorsque permis, en communiquant avec le responsable. Le retrait ne remet pas en cause les traitements déjà effectués légalement et demeure assujetti aux obligations de conservation et autres obligations légales ou professionnelles du cabinet.
 

7. Accès interne et communication à des tiers

L’accès aux renseignements personnels est limité aux personnes qui doivent y avoir accès pour exercer leurs fonctions ou fournir les services. Dans un cabinet de petite taille, cet accès peut notamment être accordé au CPA responsable du mandat et, au besoin, à des ressources administratives, professionnelles ou technologiques dûment autorisées.

Selon le mandat, nous pouvons communiquer les renseignements nécessaires aux catégories de tiers suivantes :

• Agence du revenu du Canada, Revenu Québec et autres autorités gouvernementales ou réglementaires;

• institutions financières, assureurs, notaires, avocats, autres CPA ou professionnels lorsque la communication est requise ou autorisée dans le cadre du mandat;

• fournisseurs de logiciels comptables et fiscaux, services infonuagiques, hébergement, sauvegarde, cybersécurité, communications, signature électronique, paiement et soutien technologique;

• organismes professionnels, inspecteurs, responsables de la gestion de la qualité ou autres personnes lorsque requis par les normes professionnelles ou la loi;

• autres destinataires expressément autorisés par la personne concernée ou auxquels la loi permet ou exige la communication.

Nos fournisseurs reçoivent uniquement les renseignements nécessaires à la prestation de leurs services et sont assujettis.

8. Fournisseurs technologiques et infonuagiques

Kéo CPA inc. fait appel à des fournisseurs de services technologiques dans le cadre de ses activités, notamment pour l’hébergement et le stockage sécurisé de documents, les communications électroniques, le partage de documents, la préparation de déclarations fiscales, la comptabilité, la signature électronique, la facturation, les sauvegardes et la sécurité informatique. Ces fournisseurs peuvent avoir accès à certains renseignements personnels uniquement dans la mesure nécessaire à la prestation de leurs services.

9. Hébergement et communication à l’extérieur du Québec

Certains fournisseurs technologiques peuvent traiter, héberger, sauvegarder ou rendre accessibles des renseignements à l’extérieur du Québec, notamment ailleurs au Canada ou dans d’autres territoires où ils ou leurs sous-traitants exercent leurs activités.

10. Site Web, témoins et technologies similaires

Le site Web de Kéo CPA peut utiliser des témoins de connexion (« cookies ») et technologies similaires nécessaires à son fonctionnement, à sa sécurité et à la gestion des préférences. Si des témoins non essentiels, des outils de mesure d’audience, de publicité ou d’autres fonctions d’identification, de localisation ou de profilage sont utilisés, l’information et les choix requis sont présentés à l’utilisateur conformément aux exigences applicables.

Lorsqu’une technologie permet l’identification, la localisation ou le profilage au sens de la loi, les fonctions concernées ne sont pas activées par défaut lorsque la loi exige qu’elles soient activées par la personne concernée.

Kéo CPA n’a pas pour pratique de vendre des renseignements personnels.

11. Décisions fondées exclusivement sur un traitement automatisé

Kéo CPA ne prévoit pas, dans le cours normal de ses services professionnels, rendre à l’égard d’une personne une décision fondée exclusivement sur un traitement automatisé de ses renseignements personnels. Si une telle pratique était mise en place, la personne concernée serait informée conformément à la loi, notamment des renseignements utilisés et des principaux facteurs ayant mené à la décision, et pourrait présenter ses observations à une personne en mesure de réviser la décision.

12. Mesures de sécurité

Kéo CPA applique des mesures administratives, techniques et physiques raisonnables et adaptées à la sensibilité, à la finalité, à la quantité, à la répartition et au support des renseignements. Ces mesures peuvent notamment comprendre :

• contrôle des accès selon le principe du besoin de savoir et gestion des droits;

• authentification multifacteur et méthodes d’authentification renforcées;

• chiffrement et mécanismes de protection des appareils et des communications lorsque disponibles et appropriés;

• journalisation, surveillance, sauvegardes et mesures de continuité;

• mises à jour, protection contre les logiciels malveillants et configurations de sécurité;

• procédures internes de confidentialité, de gestion des accès, d’incidents, de conservation et de destruction;

• encadrement des fournisseurs et limitation des communications aux renseignements nécessaires.

Aucune mesure de sécurité ne permet toutefois d’éliminer complètement tous les risques.

13. Conservation, destruction et anonymisation

Kéo CPA conserve les renseignements personnels contenus dans les dossiers clients sont conservés pendant une période de sept (7) ans suivant la fin du mandat. Certains renseignements peuvent être conservés pour une période différente ou plus longue lorsque la nature du renseignement, les lois fiscales ou autres exigences légales, nos obligations professionnelles, un litige ou toute autre circonstance applicable le requiert. À l'expiration de la période de conservation applicable, les renseignements sont détruits de façon sécuritaire ou anonymisés conformément aux exigences légales applicables.

14. Incidents de confidentialité

Kéo CPA maintient un processus de gestion des incidents de confidentialité et un registre des incidents conformément à la loi. Lorsqu’un incident survient, le cabinet prend les mesures raisonnables pour diminuer les risques de préjudice et éviter qu’un incident de même nature se reproduise.

Lorsqu’un incident présente un risque qu’un préjudice sérieux soit causé, Kéo CPA avise la Commission d’accès à l’information et les personnes concernées conformément aux exigences applicables, sauf exception prévue par la loi.

15. Droits des personnes concernées

Sous réserve des conditions et exceptions prévues par la loi, une personne concernée peut notamment :

• demander confirmation de l’existence d’un dossier et obtenir accès aux renseignements personnels qui la concernent;

• demander la rectification d’un renseignement inexact, incomplet ou équivoque;

• demander des renseignements sur la collecte, l’utilisation, la communication, les catégories de personnes ayant accès aux renseignements au sein du cabinet et la durée de conservation;

• retirer son consentement lorsque celui-ci peut légalement être retiré;

• demander, dans les cas prévus par la loi, la cessation de la diffusion d’un renseignement personnel ou la désindexation d’un hyperlien qui y est rattaché;

• demander la communication, dans un format technologique structuré et couramment utilisé, d’un renseignement personnel informatisé recueilli auprès d’elle, lorsque le droit à la portabilité s’applique.

Une demande doit être suffisamment précise pour permettre son traitement. Une vérification raisonnable de l’identité peut être exigée. Kéo CPA répond dans les délais prévus par la loi. Un refus, total ou partiel, est motivé lorsque la loi l’exige.

16. Plaintes

Toute plainte concernant la protection des renseignements personnels peut être transmise par écrit au responsable de la protection des renseignements personnels à contact@keocpa.ca. La plainte est traitée de façon confidentielle, et une réponse est fournie dans un délai raisonnable, sous réserve des recours et des délais prévus par la loi.

Une personne peut également s’adresser à la Commission d’accès à l’information du Québec si elle estime que ses droits n’ont pas été respectés.

17. Gouvernance et évaluations des facteurs relatifs à la vie privée

Kéo CPA maintien des pratiques internes encadrant la gouvernance des renseignements personnels, notamment la conservation et la destruction, les rôles et responsabilités, la gestion des accès, les plaintes et les incidents. Ces mesures sont proportionnées à la nature et à l’importance des activités du cabinet.

Lorsque la loi le requiert, notamment pour certains projets d’acquisition, de développement ou de refonte d’un système d’information ou d’une prestation électronique de services impliquant des renseignements personnels, ainsi qu’avant certaines communications à l’extérieur du Québec, Kéo CPA réalise une évaluation des facteurs relatifs à la vie privée.

18. Modifications à la politique

Kéo CPA peut modifier la présente politique afin de refléter l’évolution de ses pratiques, de ses services, de ses technologies ou des exigences légales et professionnelles. La version à jour est publiée sur le site Web du cabinet. Lorsque requis, les personnes concernées sont avisées des modifications de la manière appropriée.

La date de la dernière mise à jour apparaît au début de la politique.

Questions ou demandes relatives à vos renseignements personnels : contact@keocpa.ca