Traitement des données

Sécurité et conformité municipale en cours de validation

NORA procède actuellement à la validation de son cadre de traitement des données, de sécurité et de conformité afin de répondre aux exigences applicables aux organisations municipales.

Pendant cette démarche, NORA s'appuie sur une infrastructure technologique qui intègre déjà plusieurs mécanismes de protection et de sécurité des données. Les pratiques propres à NORA en matière de gouvernance, de conservation, de suppression, de résidence des données et de conformité municipale sont actuellement en cours de validation.

1. Données traitées

NORA permet aux organisations et aux utilisateurs de saisir, consulter et traiter des informations dans le cadre des différentes fonctionnalités de la plateforme.

Selon les fonctionnalités utilisées, ces données peuvent notamment comprendre :

• des renseignements liés aux comptes utilisateurs;
• des coordonnées;
• une municipalité ou une organisation associée;
• des données fournies par une organisation municipale;
• des réponses à des consultations;
• des données générées dans le cadre de l'utilisation de la plateforme.

Les catégories précises de données traitées peuvent varier selon les fonctionnalités activées.

2. Données municipales

NORA peut traiter des données fournies ou générées par les organisations municipales dans le cadre de leur utilisation de la plateforme.

Le cadre définitif concernant la propriété, l'accès, l'utilisation, l'exportation, la conservation et la suppression de ces données est actuellement en cours de validation afin de répondre aux exigences applicables aux organisations municipales.

3. Renseignements citoyens

Selon les fonctionnalités utilisées, NORA peut recueillir certains renseignements fournis par les citoyens, notamment leurs coordonnées, leur municipalité et leurs réponses à des consultations.

Les règles encadrant la collecte, l'utilisation, l'accès, la conservation, l'anonymisation et la suppression de ces renseignements font actuellement partie de la démarche de conformité municipale de NORA.

4. Réponses aux consultations

NORA permet de recueillir, structurer et analyser les réponses fournies dans le cadre de consultations ou d'autres activités de participation citoyenne.

Les règles concernant la durée de conservation, l'archivage, l'exportation, l'agrégation, l'anonymisation et la suppression de ces données sont actuellement en cours de validation.

5. Protection des données

L'infrastructure technologique utilisée par NORA intègre notamment :

• le chiffrement des données au repos selon la norme AES-256;
• le chiffrement des données en transit au moyen de TLS 1.2 ou d'une version supérieure;
• le chiffrement des sauvegardes;
• la gestion sécurisée des clés et secrets;
• des mécanismes de contrôle d'accès;
• des mécanismes de sécurité au niveau des données;
• des analyses et mécanismes de surveillance de sécurité;
• des tests de sécurité et d'intrusion.

La configuration de ces mécanismes dans NORA ainsi que leur adéquation avec les exigences particulières des organisations municipales font actuellement l'objet d'une validation complémentaire.

6. Infrastructure et certifications

NORA s'appuie sur une infrastructure technologique fournie par un prestataire dont le système de gestion de la sécurité de l'information est certifié ISO/IEC 27001 et dont les contrôles de sécurité font l'objet d'un rapport SOC 2 Type II.

Ces certifications concernent le fournisseur de l'infrastructure technologique utilisée par NORA et ne constituent pas des certifications propres à NORA.

La conformité de la configuration de NORA aux exigences particulières des organisations municipales est actuellement en cours de validation.

7. Accès et permissions

La plateforme permet de mettre en place des mécanismes d'authentification, de permissions et de contrôle d'accès aux données.

La configuration de ces mécanismes dans NORA, notamment la séparation des accès entre les différentes organisations et catégories d'utilisateurs, fait actuellement partie de la validation de sécurité et de conformité municipale.

8. Hébergement et localisation des données

NORA utilise actuellement une infrastructure infonuagique pour l'hébergement et le traitement des données.

Les données peuvent actuellement être hébergées ou traitées à l'extérieur du Québec et du Canada.

NORA ne présente donc pas actuellement ses données comme étant exclusivement hébergées au Québec ou au Canada.

La résidence des données et les options d'hébergement permettant de répondre aux exigences particulières des organisations municipales québécoises et canadiennes font actuellement partie de la démarche de conformité.

9. Fournisseurs technologiques

NORA utilise des services technologiques externes pouvant intervenir dans certaines fonctions nécessaires au fonctionnement de la plateforme, notamment l'hébergement, le stockage, l'authentification, les communications, la sécurité ou l'analyse.

L'identification de ces traitements, des données concernées et des exigences applicables à chaque fournisseur fait actuellement partie de la démarche de conformité municipale.

10. Intelligence artificielle

Certaines fonctionnalités de NORA peuvent faire appel à des systèmes automatisés ou assistés par intelligence artificielle pour organiser, classifier, résumer ou analyser de l'information.

Les conditions applicables à la transmission et au traitement des données par ces systèmes, particulièrement lorsqu'il s'agit de renseignements municipaux ou personnels, sont actuellement en cours de validation.

NORA ne formule actuellement aucun engagement général concernant l'utilisation des données par des systèmes d'intelligence artificielle tant que l'ensemble de ces flux de données n'a pas été vérifié.

11. Conservation des données

Les politiques propres à NORA concernant les périodes de conservation des différentes catégories de données sont actuellement en cours de validation.

Ces périodes devront notamment tenir compte de la nature des données, de leur utilisation, des besoins des organisations municipales et des obligations légales ou administratives applicables.

12. Demande de suppression

Une personne peut demander la suppression des renseignements personnels qui la concernent.

L'infrastructure utilisée par NORA permet la suppression des données associées aux utilisateurs.

Les procédures précises de traitement de ces demandes, notamment la vérification de l'identité, les délais de traitement, les données devant être conservées en raison d'une obligation applicable et le traitement des copies de sauvegarde, sont actuellement en cours de validation.

Certaines informations peuvent devoir être conservées lorsqu'une obligation légale, réglementaire ou administrative l'exige. Les données temporairement présentes dans les systèmes de sauvegarde sont assujetties aux cycles de conservation et de suppression applicables à ces systèmes.

Pour demander l'accès, la rectification ou la suppression de renseignements personnels, veuillez communiquer avec NORA à data@avecnora.com.

13. Exportation des données

La plateforme permet l'exportation de certaines données.

Les modalités d'exportation, de récupération et de transfert des données municipales, notamment lors de la fin d'une relation avec une organisation, sont actuellement en cours de validation dans le cadre de la démarche de conformité municipale.

14. Conformité municipale en cours

NORA procède actuellement à une validation de son architecture, de ses pratiques et de ses procédures afin d'établir un cadre adapté aux exigences des organisations municipales.

Cette démarche porte notamment sur :

• la résidence et la localisation des données;
• la protection des renseignements personnels;
• les rôles et responsabilités liés au traitement des données;
• les contrôles d'accès et la séparation des organisations;
• la conservation, l'exportation et la suppression des données;
• les demandes d'accès, de rectification et de suppression;
• l'utilisation de systèmes d'intelligence artificielle;
• les fournisseurs et sous-traitants technologiques;
• la gestion et la réponse aux incidents;
• les exigences contractuelles, légales et administratives applicables.

Les politiques, procédures et fonctionnalités de NORA seront ajustées lorsque nécessaire en fonction des résultats de cette démarche.

La présente page sera mise à jour à mesure que ces éléments seront validés.