01 — Medidas según el riesgo
La protección depende de la sensibilidad y del uso.
Tomamos en cuenta la cantidad, la sensibilidad, el propósito y el formato de la información, y cuántas personas pueden acceder a ella. Los datos de ubicación, remuneración, firmas y archivos privados de trabajos necesitan un manejo más restringido que el contenido publicitario público.
Ninguna medida elimina todos los riesgos. Buscamos reducir la posibilidad de acceso, uso, divulgación, pérdida o modificación sin autorización, y detectar y resolver rápidamente cualquier anomalía.
02 — Medidas del servicio
Varias capas de protección adecuadas al servicio.
- Gestión del acceso
- Los controles de autenticación y de sesión protegen las cuentas y las funciones.
- Separación entre empresas
- Los controles lógicos restringen el acceso a la información de la empresa autorizada.
- Permisos
- El acceso depende del rol, la tarea y la necesidad de conocer la información. Se puede revisar o retirar.
- Archivos privados
- El contenido que no es público se limita a las personas y funciones autorizadas.
- Operaciones sensibles
- El acceso con mayores privilegios y las acciones administrativas tienen restricciones adicionales.
- Supervisión
- Se pueden conservar eventos relevantes para mantener la integridad del servicio, brindar ayuda y analizar incidentes.
- Datos mínimos necesarios
- Solo se recopila y muestra lo que resulta útil para la función y el nivel de acceso.
- Pruebas e integridad
- Las aprobaciones importantes pueden conservar el contexto razonablemente necesario para establecer lo que ocurrió.
03 — Responsabilidad del Cliente
La mejor protección empieza con cuentas individuales.
- Da a cada persona su propia cuenta y usa una autenticación más segura para los roles sensibles.
- Retira rápidamente el acceso de exempleados, dispositivos y conexiones que ya no se usan.
- Asigna el rol mínimo necesario y revisa con frecuencia a los supervisores y administradores.
- Evita incluir información sensible innecesaria en notas, fotos o mensajes.
- Protege los dispositivos con un código, actualizaciones compatibles y bloqueo automático.
- Revisa los destinatarios antes de enviar un mensaje, presupuesto o archivo exportado.
- Informa de inmediato sobre un inicio de sesión sospechoso, una divulgación incorrecta o la pérdida de un dispositivo.
04 — Incidentes de privacidad
Contener, evaluar, documentar y avisar.
Un incidente puede incluir acceso, uso o divulgación sin autorización, pérdida u otra falla en la protección de la información. Nuestro proceso busca confirmar el alcance, limitar el acceso, conservar pruebas útiles, corregir la causa y reducir la posibilidad de que vuelva a ocurrir.
La evaluación toma en cuenta la sensibilidad, las posibles consecuencias y la probabilidad de un uso perjudicial. Cuando existe un riesgo de perjuicio grave, Fondation Flow y el Cliente coordinan los avisos obligatorios a la Commission d’accès à l’information y a las personas afectadas, según la función de cada uno.
Los incidentes relacionados con información personal se registran durante el plazo que exige la ley aplicable, incluido un mínimo de cinco años cuando lo exige la ley de Quebec.
05 — Informar un problema
Los detalles precisos ayudan a proteger a todos.
Si informas una vulnerabilidad o un incidente, indica la página o función afectada, la fecha, los pasos que observaste y una forma segura de contactarte. No descargues datos de otra empresa, no amplíes tu acceso ni hagas pruebas que interrumpan el servicio. No incluyas contraseñas, claves secretas, documentos de identidad completos ni información sensible innecesaria en el primer mensaje.
Solicitudes de privacidad
¿Tienes una pregunta, una queja o una solicitud de acceso?
Escribe a Fondation Flow si tienes una pregunta o solicitud de privacidad. Es posible que debamos confirmar tu identidad antes de compartir o corregir información.
9572-9026 QUÉBEC INC.
Domicilio social
555 Rue Chabanel O, Suite 1541
Montréal, QC H2N 2J2
Canadá