Politique de confidentialité

Sur cette page

on Carousel Inc. (« Carousel », « nous », « notre », « nos ») fournit une infrastructure de demande et de vérification utilisée par des entreprises de divers secteurs — location et gestion immobilière, prêt et crédit privé, financement automobile, location d’équipement, intégration de commerçants et de places de marché, et assurance — pour recueillir des demandes et effectuer, par l’intermédiaire de fournisseurs tiers titulaires de permis, des vérifications d’identité, de crédit, d’antécédents, de dossiers judiciaires, de revenus et de comptes bancaires. La présente Politique de confidentialité explique comment nous recueillons, utilisons, communiquons et protégeons les renseignements personnels dans l’ensemble de nos sites web, portails de demande hébergés, formulaires, parcours de vérification et communications, y compris par texto et par courriel (la « Plateforme »).

Les termes clés qui ne sont pas définis aux présentes ont le sens qui leur est donné dans nos Conditions générales, notamment « Demande », « Partie requérante », « Étape de vérification », « Demande appartenant au candidat », « Demande parrainée par le client » et « Carousel Verified ».

#1. Notre rôle dépend de qui est propriétaire de la Demande

La Plateforme prend en charge deux modèles d’engagement, et nos responsabilités au titre des lois sur la protection des renseignements personnels diffèrent de l’un à l’autre. Le modèle qui s’applique à votre Demande vous est indiqué dans le parcours de demande.

	Demande appartenant au candidat (vous payez, vous en êtes propriétaire)	Demande parrainée par le client (la Partie requérante paie et en est propriétaire)
Rôle de Carousel	Carousel détermine la manière dont les données de votre Demande sont traitées pour vous fournir le service — nous agissons à titre d’organisation responsable de vos renseignements (« responsable du traitement »).	La Partie requérante contrôle le dossier de la Demande; Carousel le traite selon les instructions documentées de la Partie requérante, à titre de fournisseur de services de celle-ci (« sous-traitant »).
Qui joindre au sujet de vos données	Carousel, à l’adresse privacy@oncarousel.com.	La Partie requérante en premier lieu. Nous l’aiderons, et si vous communiquez avec nous, nous redirigerons votre demande et l’en aviserons.
Suppression	Vous pouvez demander à Carousel de supprimer votre Demande, sous réserve des obligations légales de conservation.	La Partie requérante décide de la suppression du dossier de la Demande; Carousel procède à la suppression sur ses instructions, sous réserve des dossiers que nous devons conserver (facturation, audit, règlement des différends, obligations légales).

Quel que soit le modèle, Carousel est toujours l’organisation responsable (« responsable du traitement ») de ce qui suit : votre dossier Carousel Verified (créé uniquement avec votre consentement et tenu dans le cadre de notre relation directe avec vous), nos propres sites web et pages marketing, les données de sécurité de la plateforme et de prévention de la fraude, ainsi que les dossiers de facturation.

#2. Renseignements que nous recueillons

a. Renseignements d’identité

• Nom, date de naissance, adresses actuelle et antérieures, adresse courriel, numéro de téléphone;
• Pièces d’identité délivrées par un gouvernement et données qui en sont extraites;
• Renseignements biométriques, lorsqu’une Étape de vérification d’identité ou Carousel Verified est utilisé : géométrie faciale tirée de la photo de votre pièce d’identité et de votre égoportrait aux fins de la correspondance faciale et de la détection du caractère vivant (voir la section 6).

b. Renseignements relatifs à la demande et renseignements financiers

• Renseignements que vous saisissez dans les parcours de demande : emploi, revenus, historique de résidence, références, réponses aux questionnaires et documents que vous téléversez;
• Rapports de consommateur et renseignements sur les antécédents obtenus avec votre autorisation auprès de fournisseurs titulaires de permis : rapports de crédit, dossiers judiciaires et dossiers liés aux expulsions;
• Données sur les comptes bancaires, les soldes, les transactions, les revenus et l’emploi récupérées par l’intermédiaire d’un agrégateur de données avec votre autorisation (vos identifiants bancaires sont transmis à l’agrégateur, et non à Carousel);
• Renseignements de paiement lorsque vous payez Carousel (traités par notre processeur de paiement; nous ne stockons pas les numéros de carte complets).

c. Données techniques et d’utilisation

• Adresse IP, renseignements sur l’appareil et le navigateur, comportement de session, données de journalisation et signaux de prévention de la fraude, ainsi que, avec votre consentement lorsque la loi l’exige, identifiants de témoins et identifiants publicitaires (voir la Politique relative aux témoins).

d. Communications

• Textos, courriels et autres correspondances avec Carousel.

#3. Comment nous utilisons les renseignements

• Exploiter la Plateforme et traiter, constituer et transmettre votre Demande aux destinataires que vous ou la Partie requérante désignez;
• Effectuer les Étapes de vérification configurées pour votre Demande, par l’intermédiaire de fournisseurs tiers, avec votre consentement;
• Créer et tenir votre dossier Carousel Verified, si vous y êtes inscrit, et vous reconnaître lors de demandes ultérieures;
• Communiquer avec vous au sujet de votre Demande et de son statut, y compris par textos transactionnels (codes à usage unique, mises à jour de vérification et de statut);
• Traiter les paiements, facturer et tenir les dossiers de facturation et d’audit;
• Assurer la sécurité de la Plateforme, prévenir la fraude et l’utilisation abusive et enquêter à ce sujet;
• Mesurer notre propre marketing : comment les visiteurs trouvent Carousel et lesquelles de nos publicités mènent à des inscriptions et à des achats de jetons. Cette mesure utilise uniquement les données des titulaires de compte et du site web, jamais les données des Demandes. Nous utilisons Google Analytics, avec votre consentement lorsque la loi l’exige, pour comprendre comment les visiteurs utilisent nos sites web et notre application.
• Respecter nos obligations légales et réglementaires et établir, exercer ou défendre des droits en justice.

Nous n’utilisons pas les données de votre Demande pour constituer des profils marketing, et nous n’avons pas recours à la prise de décision automatisée pour statuer sur votre Demande — les décisions sont prises par les Parties requérantes.

#4. Rapports de consommateur et renseignements sur le crédit

Lorsqu’une Étape de vérification comporte un rapport de consommateur (par exemple, des dossiers de crédit ou d’expulsion), le rapport est produit par une agence d’évaluation du crédit titulaire de permis ou par un fournisseur réglementé comparable, et n’est obtenu qu’avec l’autorisation que vous donnez dans le parcours, aux fins légitimes qui y sont indiquées. Carousel n’est pas une agence d’évaluation du crédit et ne prend aucune décision à votre égard. Si vous contestez l’exactitude ou l’exhaustivité d’un rapport, vous pouvez le faire directement auprès de l’agence qui l’a produit; nous indiquerons sur demande la source de tout Résultat de vérification. Si une Partie requérante prend une mesure défavorable sur la base d’un rapport, il lui incombe de transmettre les avis exigés par la loi, lesquels indiqueront l’agence d’évaluation et vos droits de contestation.

#5. Communication des renseignements

Carousel ne vend ni ne loue de renseignements personnels. Avec votre consentement lorsque la loi l’exige, nous communiquons des renseignements limités à des partenaires publicitaires (Google, Meta et LinkedIn) afin de mesurer nos propres publicités. Il s’agit des identifiants de témoins, des pages de nos sites web que vous visitez et, lorsque vous créez un compte ou achetez des jetons, de cet événement accompagné de votre adresse courriel sous forme hachée. En vertu de certaines lois d’États américains, cela constitue un « partage »; vous pouvez vous y opposer en tout temps (section 11). Les données des Demandes, les résultats de vérification et les rapports ne sont jamais communiqués à des fins publicitaires.

Analytique. Avec votre consentement lorsque la loi l’exige, nous utilisons Google Analytics, un service fourni par Google, pour comprendre comment les visiteurs utilisent oncarousel.com et app.oncarousel.com. Google Analytics reçoit les identifiants de témoins, les pages que vous visitez, des renseignements sur votre appareil et votre navigateur, une localisation approximative que Google déduit de votre adresse IP, ainsi que les événements de création de compte et d’achat de jetons. Dans l’application, il reçoit uniquement le type de page que vous consultez, jamais son contenu. Les données des Demandes, les résultats de vérification et les rapports ne sont jamais transmis à Google Analytics.

Nous ne communiquons des renseignements personnels qu’aux destinataires suivants :

• La ou les Parties requérantes auxquelles votre Demande est adressée — selon la configuration de la Partie requérante qui la parraine (Demande parrainée par le client) ou selon vos instructions (Demande appartenant au candidat);
• Fournisseurs de vérification et d’infrastructure (nos sous-traitants) énumérés ci-dessous;
• Partenaires publicitaires (Google, Meta, LinkedIn), uniquement de la manière décrite ci-dessus ;
• Notre fournisseur d’analytique (Google Analytics), uniquement de la manière décrite ci-dessus ;
• Conseillers professionnels (auditeurs, assureurs, avocats), sous réserve d’obligations de confidentialité;
• Autorités, lorsque la loi, une assignation (subpoena) ou une ordonnance judiciaire l’exige, ou pour protéger des droits, la sécurité ou l’intégrité de la Plateforme;
• Une entité remplaçante dans le cadre d’une fusion, d’une acquisition, d’un financement ou d’une vente d’actifs, avec avis lorsque la loi l’exige.

Tous les fournisseurs de services sont tenus par contrat de protéger vos données et de ne les utiliser que pour fournir leurs services.

Nos fournisseurs de vérification et d’infrastructure comprennent des fournisseurs de vérification d’identité, d’évaluation du crédit, de vérification des antécédents et des dossiers judiciaires, de données bancaires, de traitement des paiements, de textos et d’hébergement infonuagique. Une liste à jour de nos fournisseurs est disponible sur demande à l’adresse privacy@oncarousel.com.

Applications connectées et assistants d’IA. Vous pouvez connecter Carousel à des logiciels de votre choix — vos propres systèmes au moyen de l’API Carousel, ou un assistant d’IA comme Claude, ChatGPT ou Meta Muse au moyen de « Sign in with Carousel ». Une connexion agit uniquement pour le compte qui l’a approuvée et ne fait que ce que ce compte a autorisé à l’écran de consentement : envoyer et suivre des vérifications et, uniquement si vous cochez cette option, lire les résultats des candidats. Les numéros de pièces d’identité ne sont jamais transmis à un assistant d’IA. Ce qu’une application connectée fait des renseignements qu’elle reçoit est régi par les conditions et la politique de confidentialité propres à cette application. Carousel ne conserve aucune copie de vos conversations avec un assistant. Vous pouvez voir et déconnecter chaque connexion dans Carousel sous Développeurs → Clés; la déconnexion met immédiatement fin à son accès.

#6. Renseignements biométriques et Carousel Verified

• Ce qui est recueilli et pourquoi. Lorsqu’une Étape de vérification d’identité est effectuée, notre fournisseur de vérification d’identité tire la géométrie faciale de la photo de votre pièce d’identité et de votre égoportrait uniquement pour confirmer que la pièce d’identité est bien la vôtre et que vous êtes une personne vivante. Si vous vous inscrivez à Carousel Verified avec votre consentement distinct et explicite, donné par écrit ou par voie électronique, une référence biométrique est conservée afin que vous puissiez vous vérifier par simple balayage du visage lors de demandes ultérieures. Les identifiants biométriques sont traités et stockés par notre fournisseur de vérification d’identité pour le compte de Carousel; Carousel ne stocke pas d’identifiants biométriques bruts dans ses propres systèmes.
• Consentement. Nous ne recueillons des identifiants biométriques qu’après vous avoir informé par écrit de ce qui est recueilli, de la finalité et de la durée de conservation, et après avoir obtenu votre autorisation écrite ou électronique, comme l’exigent les lois applicables en matière de protection des renseignements biométriques (notamment la BIPA de l’Illinois, la CUBI du Texas, la HB 1493 de l’État de Washington et la Loi 25 du Québec, laquelle exige également que la Commission d’accès à l’information soit informée avant la mise en service d’une banque de caractéristiques biométriques, exigence à laquelle Carousel se conforme).
• Aucune vente; aucun profit. Nous ne vendons, ne louons, n’échangeons jamais les renseignements biométriques et n’en tirons jamais profit de quelque autre manière, et nous ne les communiquons qu’au fournisseur de vérification qui les traite pour notre compte ou avec votre consentement.
• Calendrier de conservation et de destruction. (a) Si vous ne vous inscrivez pas à Carousel Verified : les données biométriques sont utilisées pour la vérification et détruites de façon permanente au plus tard trente (30) jours après la fin de l’Étape de vérification. (b) Si vous vous inscrivez : votre référence biométrique est conservée tant que votre inscription est active et détruite de façon permanente à la première des dates suivantes : (i) votre demande de retrait ou de suppression, (ii) l’expiration de la pièce d’identité délivrée par un gouvernement sur laquelle repose votre dossier vérifié, (iii) lorsque la loi de votre territoire l’exige (notamment en Illinois), trois (3) ans après votre dernière interaction avec Carousel, ou (iv) lorsque la finalité de la collecte a été accomplie. La destruction vise les systèmes de Carousel et ceux de notre fournisseur, au moyen de méthodes de suppression sécuritaires.
• Retrait. Retirez votre consentement et supprimez votre dossier Carousel Verified en tout temps en écrivant à privacy@oncarousel.com ou dans la Plateforme. Votre dossier est indépendant de toute Partie requérante et survit aux suppressions effectuées par celle-ci — mais ne survit jamais à votre propre demande de suppression, sauf les dossiers que la loi nous oblige à conserver.

#7. Communications par texto (consentement et conformité)

a. Comment vous donnez votre consentement

Vous consentez à recevoir des textos dans notre portail de demande : vous saisissez votre numéro de téléphone, un bouton d’appel à l’action « Obtenir le code de vérification » apparaît, et nous affichons sous celui-ci : « En fournissant votre numéro, vous acceptez de recevoir des textos transactionnels de Carousel (p. ex., mises à jour de statut, codes). Des frais de messagerie et de données peuvent s’appliquer. Répondez STOP pour vous désabonner. » Nos Conditions générales et la présente Politique de confidentialité sont accessibles par des liens dans le pied de page.

b. Objet des messages

Tous les messages sont strictement transactionnels : codes à usage unique, mises à jour du statut de la demande, et rappels ou suivis que vous déclenchez. Nous n’envoyons aucun texto de marketing et n’utilisons aucune liste de numéros achetée.

c. Fréquence et désabonnement

La fréquence dépend de votre activité; des frais de messagerie et de données peuvent s’appliquer. Répondez STOP pour vous désabonner, HELP pour obtenir de l’aide, ou écrivez à privacy@oncarousel.com.

d. Fournisseur

Les textos sont transmis par Twilio, conformément aux exigences applicables des opérateurs et à celles relatives à la messagerie A2P. Les renseignements mobiles ne sont pas communiqués à des tiers à des fins de marketing; les données d’adhésion et les consentements ne sont ni vendus ni partagés.

#8. Lieu de stockage des données; transferts hors frontières

Notre principale région d’hébergement est AWS Canada (ca-central-1). Pour les déploiements établis aux États-Unis, les données peuvent être hébergées dans une région AWS américaine. Certains fournisseurs (par exemple, pour le traitement des paiements et l’envoi de textos) traitent des données aux États-Unis. Lorsque des renseignements personnels sont transférés à l’extérieur de votre territoire, nous recourons à des mesures de protection contractuelles et techniques et, lorsque la loi l’exige (notamment la Loi 25 du Québec), nous effectuons une évaluation des facteurs relatifs à la vie privée avant le transfert. Google (y compris Google Analytics), Meta et LinkedIn traitent ces données d’analytique et de publicité aux États-Unis.

#9. Sécurité

Nous maintenons des mesures de protection conformes aux normes de l’industrie, notamment le chiffrement en transit et au repos, le contrôle d’accès fondé sur les rôles, l’isolement du réseau, une infrastructure infonuagique sécurisée, la journalisation ainsi que des audits et examens de conformité réguliers. Aucun système n’est parfaitement sûr; si un incident de confidentialité présente un risque de préjudice sérieux, nous vous en aviserons, ainsi que les organismes de réglementation concernés, comme l’exige la loi (notamment la Commission d’accès à l’information du Québec et les autres autorités compétentes).

#10. Conservation

Nous ne conservons les renseignements personnels que le temps nécessaire pour fournir les services, satisfaire aux exigences légales et réglementaires, régler les différends et faire respecter les ententes. Les données des Demandes parrainées par le client sont conservées selon les instructions de la Partie requérante et l’entente que nous avons conclue avec elle; nous pouvons conserver, après la suppression de la Demande sous-jacente, des dossiers limités nécessaires à la facturation, à l’audit de facturation et au règlement des différends. Les données biométriques suivent le calendrier de la section 6, qui prévaut sur la présente section générale. Lorsque les données ne sont plus nécessaires, nous les supprimons ou les anonymisons de manière irréversible, de façon sécuritaire.

#11. Vos droits

Selon l’endroit où vous résidez, vous pourriez avoir le droit : d’accéder à une copie de vos renseignements personnels; de faire rectifier des données inexactes ou incomplètes; de faire supprimer vos données; de retirer votre consentement (y compris votre consentement aux textos et votre inscription à Carousel Verified) en tout temps; de recevoir les renseignements personnels informatisés dans un format structuré et portable; et de porter plainte auprès de votre autorité de protection des renseignements personnels (au Québec, la Commission d’accès à l’information; au fédéral au Canada, le Commissariat à la protection de la vie privée du Canada; dans les États américains, votre procureur général ou votre organisme de protection de la vie privée).

• Comment exercer vos droits. Courriel privacy@oncarousel.com. Nous vérifions votre identité, répondons dans le délai prévu par la loi de votre territoire (30 jours au Québec) et ne faisons preuve d’aucune discrimination à votre égard parce que vous exercez vos droits.
• Demandes parrainées par le client. Lorsque la Partie requérante contrôle votre dossier, nous lui transmettrons votre demande et l’aiderons à y répondre.
• Résidents des États américains (notamment la Californie, le Colorado, le Connecticut, le Texas et la Virginie) : vous disposez des droits d’accès, de rectification, de suppression et de portabilité décrits ci-dessus; nous ne vendons pas de renseignements personnels. La communication de données limitées sur les titulaires de compte à des partenaires publicitaires aux fins de mesure publicitaire peut constituer un « partage » au sens de la CCPA/CPRA. Pour vous y opposer, utilisez les Préférences relatives aux témoins dans le pied de page, ou activez Global Privacy Control dans votre navigateur; nous le respectons en tant que demande d’opposition. Les données des Demandes ne sont jamais communiquées à des fins publicitaires. Nous traitons les demandes présentées par des mandataires autorisés comme la loi l’exige. Les renseignements personnels sensibles (numéros d’identification, données biométriques, données financières) ne sont utilisés qu’aux fins décrites aux présentes, conformément aux limites prévues par la CPRA.
• Données des rapports de consommateur. Les droits de contester le contenu d’un rapport s’exercent auprès de l’agence qui l’a produit, conformément à la section 4.

#12. Protection des renseignements personnels des enfants

La Plateforme est destinée aux adultes. Nous ne recueillons ni ne traitons sciemment de données concernant des personnes de moins de 18 ans. Si nous apprenons que nous détenons des renseignements personnels concernant un enfant, nous les supprimerons promptement.

#13. Modifications de la présente politique

Nous pouvons mettre à jour la présente Politique de confidentialité périodiquement. Les mises à jour sont publiées ici avec une date d’entrée en vigueur révisée; en cas de modifications importantes, nous vous en aviserons directement (par courriel ou dans la Plateforme) et, lorsque la loi l’exige, nous solliciterons de nouveau votre consentement.

#14. Nous joindre; responsable de la protection des renseignements personnels

Notre responsable de la protection des renseignements personnels désigné (au sens de la Loi 25 du Québec) est Charles Papazian.

on Carousel Inc.
5101, rue Buchan, bureau 210, Montréal (Québec) H4P 1S4, Canada
Courriel : privacy@oncarousel.com