Version 1.0
Date d’entrée en vigueur : 1er avril 2026
innclod inc. — Fournisseur du service
Québec, Canada — Juridiction applicable

Avis important

Lisez attentivement ce document
En accédant à l’application VigieRPS ou en utilisant l’un de ses services, vous acceptez sans réserve les présentes Conditions Générales d’Utilisation. Si vous n’acceptez pas ces conditions, vous devez cesser immédiatement d’utiliser l’application.
Ces CGU constituent un contrat juridiquement contraignant entre votre organisation et innclod inc.

Article 1 — Définitions

Dans les présentes Conditions Générales d’Utilisation, les termes suivants ont la signification indiquée :

• « VigieRPS » : l’application web et mobile développée et exploitée par innclod inc., permettant l’identification, l’évaluation et la gestion des risques psychosociaux (RPS) en milieu de travail, conformément à la Loi 27 (LMRSST).

• « innclod » : innclod inc., entreprise constituée selon les lois de la province de Québec, fournisseur du service VigieRPS.

• « Utilisateur » ou « Employeur » : toute personne morale ou physique qui souscrit à un plan VigieRPS (Gratuit, Bronce, Plata ou Oro) pour le compte de son organisation.

• « Employé répondant » : tout travailleur invité à répondre à l’enquête RPS dans le cadre de l’utilisation de VigieRPS par l’Employeur.

• « Données personnelles » : tout renseignement qui permet d’identifier directement ou indirectement une personne physique, au sens de la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25, L.R.Q., c. P-39.1).

• « Données anonymisées » : données traitées de manière à ce qu’il soit impossible d’identifier une personne physique, même en croisant plusieurs sources.

• « Rapport RPS » : document généré automatiquement par VigieRPS à partir des résultats agrégés et anonymisés de l’enquête, présentant les scores par dimension, le niveau de risque global et, selon le plan, des recommandations et un plan d’action.

• « Loi 27 » : la Loi modernisant le régime de santé et de sécurité du travail (LMRSST), en vigueur depuis le 6 octobre 2021, avec obligations en matière de RPS applicables depuis le 1er octobre 2025.

• « Loi 25 » : la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (PL-64), pleinement en vigueur depuis le 22 septembre 2023.

• « CNESST » : la Commission des normes, de l’équité, de la santé et de la sécurité du travail, organisme de contrôle et d’application de la Loi 27.

• « CAI » : la Commission d’accès à l’information du Québec, organisme de contrôle et d’application de la Loi 25.

Article 2 — Acceptation et portée des CGU

• L’utilisation de VigieRPS implique l’acceptation pleine et entière des présentes CGU. Cette acceptation est matérialisée par la case à cocher lors de la création du compte ou lors du renouvellement annuel du plan.
• Les présentes CGU s’appliquent à tous les plans (Gratuit, Bronce, Plata et Oro) et à toutes les fonctionnalités de l’application, incluant l’enquête RPS, les rapports générés, le plan d’action, le buzén de suggestions, les modules de formation e-learning et les tableaux de bord analytiques.
• L’Employeur garantit avoir l’autorité légale pour accepter les présentes CGU au nom de son organisation et pour engager celle-ci dans les obligations qui en découlent.

Article 3 — Description du service

VigieRPS est un outil numérique d’aide à la conformité en matière de santé et sécurité au travail (SST), conçu pour faciliter l’identification, l’évaluation et la documentation des risques psychosociaux (RPS) conformément aux exigences de la Loi 27 (LMRSST).

Le service comprend notamment :

• Une enquête diagnostique RPS en 45 questions couvrant 10 dimensions (6 FRPS reconnus par l’INSPQ et 4 risques psychosociaux prioritaires selon la LMRSST)

• La génération automatique de rapports de résultats agrégés et anonymisés

• Des recommandations d’action à titre indicatif, selon le plan souscrit

• Des modèles de plans d’action et de programmes de prévention conformes à la Loi 27

• Des outils de suivi, d’alerte et de documentation aux fins de traçabilité CNESST

Avis de nature du service : VigieRPS est un outil d’aide à la décision. Il ne constitue pas un service de consultation professionnelle en ressources humaines, en droit du travail, en psychologie organisationnelle ou en santé et sécurité du travail. Les résultats, recommandations et documents générés par l’application doivent être validés, adaptés et mis en œuvre par un responsable qualifié au sein de l’organisation de l’Employeur.

Article 4 — Obligations de l’Utilisateur (Employeur)

En souscrivant à VigieRPS, l’Employeur s’engage à :

• Fournir des informations exactes et à jour lors de la création et de la gestion de son compte

• Utiliser l’application exclusivement à des fins légitimes de prévention et de gestion des RPS en milieu de travail

• Informer ses employés de l’existence de l’enquête RPS, de son caractère anonyme, de la finalité de la collecte et des droits qui leur sont reconnus, conformément à la Loi 25

• Ne pas tenter d’identifier des répondants individuels à partir des résultats agrégés

• Ne pas partager les accès administrateurs avec des tiers non autorisés

• Respecter les lois applicables en matière de droit du travail, de SST et de protection des renseignements personnels

• Conserver le Rapport RPS et le Plan d’Action pendant une période minimale de 5 ans, conformément aux obligations de documentation de la CNESST

Article 5 — Responsabilité de l’Employeur (Loi 27)

La Loi 27 (LMRSST) établit que l’employeur est le premier responsable de la santé et de la sécurité de ses travailleurs, incluant la prévention des risques psychosociaux. VigieRPS est un outil de soutien à cette obligation légale ; il ne s’y substitue pas.

Avis de responsabilité (Recommandations automatiques) : Les recommandations générées par VigieRPS (y compris celles produites par intelligence artificielle) sont fournies à titre indicatif uniquement. Elles sont basées sur des données agrégées et des meilleures pratiques générales issues de l’INSPQ, de la CNESST et de l’IRSST. Il appartient au responsable RH, SST ou tout professionnel qualifié désigné par l’Employeur de les valider, les adapter et les prioriser selon le contexte réel de l’organisation. innclod inc. décline toute responsabilité pour les conséquences découlant de la mise en œuvre ou de la non-mise en œuvre de ces recommandations.

Article 6 — Consentement des employés répondants

Avant de déployer toute enquête VigieRPS auprès de ses employés, l’Employeur est tenu de :

• Informer les employés que leur participation à l’enquête est volontaire et anonyme

• Leur communiquer la finalité de la collecte (diagnostic RPS, conformité Loi 27, amélioration du milieu de travail)

• Leur garantir qu’aucune réponse individuelle ne pourra être associée à leur identité

• Leur indiquer les droits qui leur sont reconnus en vertu de la Loi 25 (accès, rectification, retrait)

• Obtenir leur consentement explicite avant le début de l’enquête, via le mécanisme intégré à la plateforme VigieRPS

VigieRPS intègre un avis de consentement conforme à la Loi 25 affiché à la première page de chaque enquête. L’Employeur ne doit pas le supprimer, le modifier ni le contourner.

Article 7 — Anonymisation et confidentialité des réponses

VigieRPS applique les principes de confidentialité par conception (privacy by design) conformément à la Loi 25 :

• Aucune réponse individuelle n’est accessible à l’Employeur ; seuls les résultats agrégés par groupe d’au moins 5 répondants sont affichés

• Les données d’identification (nom, courriel) des répondants sont dissociées de leurs réponses dès la soumission

• Les résultats ne sont jamais présentés par employé, par groupe de moins de 5 personnes, ni par combinaison de filtres permettant une identification indirecte

• innclod n’a pas accès au contenu des réponses individuelles des employés

Seuil d’anonymat : Les résultats d’une dimension ou d’un sous-groupe ne sont affichés que si le nombre de répondants est ≥ 5. En dessous de ce seuil, les données sont masquées pour protéger l’identité des répondants.

Article 8 — Collecte et protection des données personnelles

innclod inc. collecte et traite les données personnelles dans le strict respect de la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25, L.R.Q., c. P-39.1) et de ses modifications en vigueur depuis le 22 septembre 2023.

Données collectées — Compte Employeur :

• Nom et prénom du représentant de l’organisation

• Adresse courriel professionnelle

• Nom et adresse de l’organisation

• Nombre d’employés et secteur d’activité (à fins de segmentation de rapports)

• Informations de paiement (traitées par un processeur tiers certifié PCI-DSS ; innclod ne conserve pas les données de carte)

Données collectées — Employés répondants :

• Adresse courriel (utilisée uniquement pour envoyer le lien d’enquête ; supprimée après envoi)

• Réponses à l’enquête RPS (anonymisées immédiatement à la soumission)

• Données démographiques facultatives (département, ancienneté) si l’Employeur les active (affichées uniquement de façon agrégée)

Finalités de la collecte :

• Fournir le service de diagnostic RPS et générer les rapports

• Permettre à l’Employeur de remplir ses obligations légales (Loi 27, CNESST)

• Améliorer la plateforme VigieRPS (données anonymisées et agrégées uniquement)

• Respecter les obligations légales d’innclod (fiscales, contractuelles)

Durée de conservation : Les données des comptes Employeurs sont conservées pendant la durée du contrat et 5 ans après sa résiliation, conformément aux obligations de documentation de la CNESST. Les données des répondants anonymisées sont conservées 5 ans. Les adresses courriel des répondants sont supprimées dans les 30 jours suivant l’envoi de l’enquête.

Responsable de la protection des renseignements personnels chez innclod : Le dirigeant principal d’innclod inc. est désigné responsable de la protection des renseignements personnels, conformément à l’article 3.1 de la Loi 25. Coordonnées : [email protected]

Article 9 — Hébergement et sécurité des données

Toutes les données collectées par VigieRPS sont hébergées exclusivement au Québec, Canada, sur des serveurs conformes aux exigences de la Loi 25 concernant la communication de renseignements personnels à l’extérieur du Québec.

innclod met en œuvre les mesures de sécurité suivantes :

• Chiffrement des données en transit (TLS 1.3) et au repos (AES-256)

• Authentification à deux facteurs (2FA) pour les comptes administrateurs

• Accès aux données restreint au personnel autorisé d’innclod, selon le principe du moindre privilège

• Sauvegardes automatiques quotidiennes avec rétention de 30 jours

• Tests de pénétration annuels réalisés par un tiers indépendant

• Registre des accès et des incidents de confidentialité tenu à jour

En cas de transfert de données à un sous-traitant (ex. : processeur de paiement, service de courriel transactionnel), innclod s’assure que ce sous-traitant offre des garanties de protection au moins équivalentes à celles exigées par la