Politique de confidentialité

Technologies Aquilix inc. (« Aquilix ») conçoit et exploite un système d’analyse vidéo par intelligence artificielle destiné à la prévention en santé et sécurité du travail (SST) sur les chantiers de construction. Ces activités impliquent le traitement d’images de personnes, donc de renseignements personnels au sens de la Loi 25.

Cette politique s’adresse :

• aux travailleuses et travailleurs, sous-traitants et visiteurs filmés sur un chantier où Aquilix est déployé;
• aux entreprises clientes qui utilisent la plateforme;
• aux personnes qui visitent notre site Web ou utilisent le portail client.

Il s’agit de la version publique de notre politique interne de gouvernance des renseignements personnels, qui encadre l’ensemble de nos pratiques et lie notre personnel, nos dirigeants, nos consultants et nos sous-traitants.

Nous ne captons et ne conservons que les images et les métadonnées nécessaires à la détection des événements de santé et sécurité définis avec le client :

• les images des caméras du chantier, cadrées sur les zones à risque; les aires de repos, vestiaires et espaces privés en sont exclus;
• les métadonnées techniques nécessaires au fonctionnement (identifiant de caméra, horodatage, adresse IP, données de session);
• la configuration définie avec le client (zones de détection, types d’événements à détecter);
• pour le site Web et le portail client : les données de compte, les journaux de connexion, les témoins et les outils d’analytique. Les outils non essentiels peuvent être refusés.

Les caméras ne captent pas de son. Toute captation audio est interdite sans décision écrite du responsable de la protection des renseignements personnels.

Avant chaque déploiement, nous documentons par écrit avec le client un test de nécessité et de proportionnalité : le risque concret propre au chantier visé, l’étendue et la durée minimales de la collecte, ainsi que les solutions moins intrusives envisagées et les motifs de leur rejet.

Une seule finalité justifie la collecte : la santé et la sécurité du travail.

• prévenir les accidents, les blessures et les maladies professionnelles;
• enquêter à la suite d’un événement accidentel;
• soutenir la formation en santé et sécurité du travail.

L’évaluation du rendement, le suivi de la productivité et la discipline générale d’un travailleur sont exclus de cette finalité. Cette exclusion est inscrite au contrat client.

• Aucune reconnaissance faciale. Nous ne créons ni ne conservons de gabarit biométrique, c’est-à-dire une mesure du visage, de la démarche ou de la morphologie convertie en données permettant de reconnaître une personne.
• Aucun enregistrement sonore.
• Aucune vente, location ou communication de renseignements personnels à des fins publicitaires.
• Aucun usage des images pour évaluer le rendement, la productivité ou la discipline d’un travailleur.

Aucune fonctionnalité reposant, ou pouvant raisonnablement reposer, sur des mesures biométriques n’est développée en conditions réelles, activée ou offerte à l’essai tant que quatre conditions ne sont pas toutes remplies : une décision écrite et motivée du responsable de la protection des renseignements personnels, une évaluation des facteurs relatifs à la vie privée, le consentement exprès des personnes concernées et une déclaration écrite à la Commission d’accès à l’information transmise au moins 60 jours avant la mise en service.

Lorsque le système doit reconnaître qu’une personne vue par une caméra est la même que celle vue par une autre — sans quoi il compterait deux travailleurs là où il n’y en a qu’un —, il s’appuie uniquement sur des attributs non biométriques : vêtements, casque, dossard, silhouette, position, trajectoire et horodatage. L’identifiant de suivi est temporaire et ne peut être rapproché d’un nom, d’un numéro d’employé ou de tout autre identifiant. Cette fonction est livrée désactivée par défaut et son activation exige une décision documentée ainsi que l’information préalable des personnes concernées.

La détection s’effectue sur l’image en mémoire. Seule une version ayant fait l’objet des mesures suivantes est conservée, affichée ou communiquée :

• floutage irréversible des visages;
• masquage dynamique de la silhouette lorsque la détection ne requiert pas la visibilité du corps;
• anonymisation des horodatages des extraits.

Ces mesures s’appliquent aux extraits conservés, aux images utilisées à des fins d’entraînement, de formation ou de démonstration, ainsi qu’à tout contenu communiqué à un tiers. La détection des équipements de protection individuelle et de la présence dans une zone à risque n’exige pas la visibilité des traits du visage.

Le client ne peut exiger la désactivation de ces mesures. Seule une décision écrite, motivée et limitée dans le temps du responsable de la protection des renseignements personnels peut les lever, et cette décision est consignée.

État de déploiement : le floutage des visages est appliqué aux extraits conservés et aux images d’entraînement. Son activation par défaut sur l’ensemble du parc de caméras, sans intervention du client, ainsi que l’anonymisation en temps réel dès la captation, seront déployées au plus tard le 1er décembre 2026.

L’accès aux images et aux extraits est fermé par défaut et ouvert individuellement. Aquilix tient une liste contrôlée des personnes autorisées et exige de chaque client qu’il en tienne une. Chaque personne autorisée signe au préalable un engagement de confidentialité qui survit à la fin de son emploi ou de son mandat.

Seules peuvent y être inscrites les personnes qui exercent une fonction de santé et sécurité du travail et qui agissent comme observateurs neutres :

• les coordonnateurs, conseillers et agents de santé et sécurité du chantier ou de l’entreprise cliente;
• les membres du comité de santé et sécurité, lorsque le mandat du comité le justifie;
• les enquêteurs désignés à la suite d’un événement accidentel, pour la durée de l’enquête et pour les seuls extraits pertinents;
• le personnel d’Aquilix strictement nécessaire à l’exploitation, au soutien technique et à l’annotation;
• la centrale de surveillance, uniquement pour les alertes d’intrusion et selon une entente écrite.

Les personnes qui exercent une autorité sur l’organisation, la supervision ou l’évaluation du travail — gérants et surintendants de chantier, contremaîtres, chefs d’équipe, responsables de la production et gestionnaires des ressources humaines — ne peuvent pas visionner les images. Cette exclusion est structurelle et n’est pas un jugement sur les personnes : elle empêche la finalité de prévention de glisser vers l’appréciation du rendement. Si un client réclame un tel accès, nous le refusons et documentons le refus par écrit.

Lorsqu’un gestionnaire doit être informé d’un événement, il reçoit un signalement écrit décrivant la situation dangereuse et la mesure corrective requise, sans image et sans identification du travailleur, sauf lorsque la loi ou une enquête d’accident l’exige.

Les analyses sont produites automatiquement, mais des personnes autorisées visionnent des images dans trois situations : le soutien et la maintenance technique, l’annotation des images servant à entraîner nos modèles, et l’enquête à la suite d’un événement accidentel.

Toute personne qui visionne des images est inscrite à la liste contrôlée décrite à l’article 6 et liée par un engagement de confidentialité qui l’oblige à ne consulter les images que pour la finalité de santé et sécurité, à n’en divulguer le contenu à personne et à n’en conserver ni copie ni capture d’écran.

L’utilisation d’images provenant des chantiers pour entraîner ou améliorer nos modèles constitue une finalité distincte de la prestation du service. Nous la déclarons comme telle, ici et dans nos contrats clients.

• aucune image brute identifiable n’est versée au jeu d’entraînement : les visages sont floutés et les horodatages anonymisés avant toute annotation;
• un journal des jeux de données consigne la provenance, le contenu et la durée de conservation de chaque ensemble;
• les images d’entraînement constituées avant l’adoption de notre politique font l’objet d’un plan de tri, d’anonymisation ou de destruction approuvé par le responsable de la protection des renseignements personnels;
• toute personne participant à l’annotation est inscrite à la liste contrôlée et signe un engagement de confidentialité.

Les durées ci-dessous sont des maximums fixés par notre calendrier de conservation :

• flux vidéo continus : 30 jours par défaut à compter de la captation, puis suppression automatique; la durée peut être ajustée au contrat client;
• extraits d’événements de santé et sécurité : durée prévue au contrat client et, à défaut, trois ans à compter de l’événement;
• extraits d’intrusion transmis à la centrale de surveillance ou aux corps de police : jusqu’à la clôture du dossier; le journal des transmissions est conservé trois ans;
• images d’entraînement floutées : tant qu’elles demeurent utiles à l’amélioration des modèles, avec revue annuelle;
• journaux d’accès aux systèmes : 24 mois. Registre des incidents de confidentialité : au moins cinq ans.

Un renseignement est détruit ou anonymisé dès que les fins de sa collecte sont accomplies, même avant l’échéance. La destruction est suspendue à l’égard des renseignements visés par un litige, une enquête, un incident de confidentialité ou une demande d’accès en cours, et reprend à la clôture du dossier.

Nous ne vendons aucun renseignement personnel. Trois cas de communication existent, tous encadrés par écrit :

• Centrale de surveillance : lorsqu’une anomalie est détectée, un court extrait de l’événement lui est transmis pour validation. Le visionnement du flux de la caméra n’a lieu que lorsqu’une intrusion est validée, aux fins de la répartition des secours. Une entente écrite limite l’usage à ces deux fins et chaque transmission est consignée.
• Corps de police : dans le cadre des exceptions prévues par la loi. Chaque transmission est consignée.
• Fournisseurs : uniquement lorsque leur intervention est nécessaire à la prestation du service, et sous contrat écrit prévoyant la limitation des fins, la confidentialité, la notification sans délai des incidents, un droit de vérification et la destruction certifiée des données au terme du contrat.

Les extraits transmis dans un contexte d’intrusion peuvent, dans la mesure strictement nécessaire à l’identification d’un intrus, ne pas être anonymisés. Cette exception est prévue à l’entente écrite avec la centrale, limitée aux séquences visées et consignée au journal des transmissions.

Toute autre communication exige le consentement de la personne concernée ou une obligation légale.

Nos mesures de sécurité sont proportionnées à la sensibilité des images :

• chiffrement des données en transit et au repos;
• environnements cloisonnés par client;
• authentification multifacteur et accès selon le principe du moindre privilège;
• accès aux images limité aux personnes inscrites à la liste contrôlée décrite à l’article 6.

Nous ne détenons à ce jour aucune certification SOC 2 ni ISO/IEC 27001. Ces attestations, de même que la journalisation systématique des consultations d’images et les tests périodiques de restauration des sauvegardes, font partie de notre feuille de route de gouvernance et ne sont pas encore en vigueur.

Les images qui nous sont confiées sont hébergées au Québec, dans des environnements cloisonnés par client. Aucune communication de renseignements personnels à l’extérieur du Québec n’a cours.

Avant toute communication future hors Québec, nous réaliserions une évaluation des facteurs relatifs à la vie privée tenant compte du régime juridique de l’État de destination et conclurions une entente écrite. Nous tenons compte du fait qu’un fournisseur constitué aux États-Unis, ou dont la société mère y est constituée, peut être contraint par le droit américain de communiquer des renseignements même stockés au Canada : le facteur déterminant est le rattachement juridique du fournisseur, et non l’emplacement du serveur.

Les alertes produites par le système sont des signalements destinés à être validés par une personne. Aucune décision défavorable à un travailleur n’est fondée exclusivement sur un traitement automatisé.

Si une telle décision devait être prise, la personne visée en serait informée et pourrait présenter ses observations.

Toute personne concernée peut demander :

• l’accès aux renseignements personnels qui la concernent;
• leur rectification;
• leur communication dans un format technologique structuré (portabilité);
• le retrait de son consentement.

Les demandes sont adressées au responsable de la protection des renseignements personnels, qui répond par écrit dans un délai maximal de 30 jours et consigne le traitement de chaque demande.

Lorsqu’une séquence montre d’autres personnes, nous masquons ces tiers plutôt que de refuser la demande. Une demande peut être refusée en tout ou en partie lorsqu’elle se heurte à un obstacle légitime, notamment la sécurité d’une personne ou des renseignements commerciaux confidentiels. Tout refus est motivé par écrit et peut être contesté devant la Commission d’accès à l’information.

Tout accès, utilisation, communication ou perte non autorisés est consigné à notre registre des incidents. Le responsable de la protection des renseignements personnels évalue le risque de préjudice sérieux et, le cas échéant, avise avec diligence la Commission d’accès à l’information et les personnes concernées, puis documente les mesures correctives.

La consultation d’images par une personne non inscrite à la liste contrôlée, ou par une personne autorisée à une autre fin que la santé et la sécurité du travail, constitue un incident de confidentialité.

Pour exercer vos droits, signaler un incident ou poser une question sur cette politique, écrivez au responsable de la protection des renseignements personnels :

• Simon Roy, chef de la technologie
• info@aquilix.ca
• Technologies Aquilix inc.

Vous pouvez également nous écrire à partir de la section Nous contacter.

Cette politique est revue au moins une fois par année, ainsi qu’à chaque changement significatif : nouvelle fonctionnalité, nouveau marché ou modification législative. La date de la dernière mise à jour figure en tête de page.

Toute modification est publiée sur cette page. En continuant d’utiliser nos services, vous acceptez la version en vigueur.