Chiffrement en transit et au repos
Les données sont chiffrées lors de leur transmission entre le demandeur, RentKey et nos partenaires de vérification, puis chiffrées de nouveau au repos dans le stockage.
Sécurité & conformité
Traité comme une banque le ferait.
La vérification ne fonctionne que si les demandeurs lui font confiance et que les organismes de réglementation l’acceptent. Voici exactement ce qu’il advient des données d’un demandeur — ce qui circule, ce qui est conservé, ce qui est éliminé, et quelle loi régit chaque étape — au Canada et aux États-Unis.
Flux de données
Comment circulent les données du demandeur.
Six étapes, du début à la fin. Chacune précise ce qui est conservé et ce qui est éliminé avant que l’étape suivante ne commence.
1. Invitation
Le propriétaire ou le gestionnaire immobilier envoie un lien de vérification par courriel ou par texto, et choisit qui paie et quel forfait exécuter.
Conservé : la fiche d’invitation — à qui elle a été envoyée, quand, et pour quel forfait. Éliminé : rien pour l’instant — aucune donnée du demandeur n’a encore été recueillie.
2. Consentement & divulgations
Le demandeur voit qui fait la demande, exactement ce qui sera vérifié et pourquoi — et donne son consentement avant que quoi que ce soit ne soit lancé.
Conservé : la fiche de consentement et ses horodatages, jointes au rapport. Éliminé : rien — il s’agit de la preuve juridique de ce qui a été accepté.
3. Identité sur l’appareil
Sur son propre téléphone, le demandeur numérise un passeport, un permis de conduire ou une carte de résident permanent/Green Card, puis effectue un balayage facial en direct avec détection du vivant et contrôles anti-falsification — environ trois minutes.
Conservé : le résultat de la correspondance et un hachage de vérification signé. Supprimé : l’image de la pièce d’identité et chaque image de la numérisation faciale, dès que la reconnaissance optique de caractères (OCR) et la correspondance sont terminées.
4. Vérifications effectuées à partir de l’identité vérifiée
Les vérifications de crédit, de sanctions, auprès des forces de l’ordre et judiciaires sont effectuées en parallèle, en fonction de l’identité tout juste vérifiée, et non d’un nom saisi.
Conservé : ce que chaque source a renvoyé et l’heure de la recherche. Supprimé : le NAS ou le SSN, s’il a été fourni. Il sert uniquement à la demande auprès de l’agence d’évaluation du crédit et n’est pas conservé.
5. Rapport assemblé & signé
Le rapport en langage clair est produit à partir des résultats ci-dessus. Chaque source est nommée avec l’heure de sa recherche, et le PDF final reçoit un hachage signé.
Conservé : le rapport final et son hachage signé, pendant sept ans. Supprimé : rien de nouveau. Cette étape regroupe ce qui était déjà conservé.
6. Partage par lien à durée limitée : début du délai de conservation
Le propriétaire ouvre le rapport au moyen d’un lien qui expire, jamais par pièce jointe à un courriel. Chaque ouverture est consignée, et le compte à rebours de la période de conservation de sept ans commence.
Conservé : les entrées du registre d’activité pour chaque ouverture, et le rapport jusqu’à la fin de la période. Supprimé : le rapport et son dossier de consentement, automatiquement, à la fin de la période.
Traitement des données
Conservation des données biométriques : ce que nous gardons, ce que nous ne gardons pas.
La liste de conservation est courte à dessein : moins nous détenons de données brutes, moins il y a à protéger ou à perdre.
Conservé
Résultat de vérification & empreinte signée Rapport PDF, pendant sept ans Registre de consentement Entrées du journal d’activité
Non conservé
Images de balayage facial Images des pièces d’identité, après la ROC Gabarits biométriques NAS / SSN, au-delà de la demande à l’agence d’évaluation du crédit
Contrôles
Les mécanismes qui assurent la sécurité des données.
Accès selon le rôle & 2FA
Les comptes du personnel et des clients ne voient que ce que leur rôle exige. L’authentification à deux facteurs est offerte sur chaque compte.
Liens de partage à expiration
Les rapports sont partagés au moyen d’un lien qui expire, jamais en pièce jointe à un courriel qui dort indéfiniment dans une boîte de réception.
Registre d’activité
Un registre en ajout seulement indiquant qui a ouvert un rapport et à quel moment. Rien ne peut y être modifié ni supprimé après coup.
Voir le fonctionnement du registreOrigine & analyse forensique des appareils
Les détails techniques sur l’endroit d’où un rapport a été consulté et la façon dont il l’a été sont conservés séparément du rapport lui-même et ne sont communiqués que sur demande — cette communication étant elle aussi consignée.
Conservation & suppression
Les rapports sont conservés pendant sept ans. À la fin de cette période, ils sont supprimés des systèmes de RentKey, et la suppression est vérifiée, pas présumée.
Carte de conformité
Où chaque règle se retrouve dans le produit.
Pas un résumé de politique — une correspondance ligne par ligne entre chaque principe ou exigence et ce que RentKey fait réellement.
Principes relatifs à l’équité dans le traitement de l’information de la LPRPDE
| Principe | Comment RentKey l’applique |
|---|---|
| Responsabilité | RentKey et Crown Stack Systems sont responsables des renseignements personnels, de leur collecte jusqu’à leur suppression. |
| Détermination des fins | Le demandeur est informé exactement de ce qui sera vérifié et pourquoi, avant que quoi que ce soit ne soit lancé. |
| Consentement | Rien n’est vérifié tant que le demandeur n’a pas donné son consentement dans le parcours, et la demande est consignée. |
| Limitation de la collecte | Seuls les champs nécessaires à chaque vérification sont recueillis ; aucun NAS ni numéro de sécurité sociale américain n’est requis pour produire le rapport. |
| Limitation de l’utilisation, de la communication & de la conservation | Les données servent uniquement à produire le rapport, ne sont communiquées que par lien à durée limitée et sont supprimées à la fin de la période de conservation de sept ans. |
| Exactitude | L’identité est vérifiée à l’aide de pièces d’identité émises par le gouvernement et d’un balayage en direct ; les résultats de crédit, de sanctions et judiciaires proviennent directement de la source. |
| Mesures de sécurité | Chiffrement en transit et au repos, accès selon les rôles, 2FA et registre d’activités en ajout seulement. |
| Transparence | Cette page et l’exemple de rapport décrivent exactement, en langage clair, ce qu’il advient des renseignements d’un demandeur. |
| Accès individuel | Les demandeurs peuvent demander les renseignements recueillis à leur sujet au propriétaire ou au gestionnaire immobilier qui a commandé le rapport. |
| Contestation de la conformité | Les demandeurs peuvent contester une constatation directement auprès de RentKey, ou auprès de l’agence d’évaluation du crédit pour les renseignements déclarés par celle-ci. |
La FCRA américaine : qui fait quoi
| Exigence | RentKey | Propriétaire |
|---|---|---|
| Fin admissible | Confirme que le rapport est demandé pour une décision de location | Déclare et conserve le motif autorisé justifiant son obtention |
| Consentement du demandeur | Recueille le consentement dans le parcours du demandeur avant l’exécution des vérifications | N’a pas à recueillir de consentement distinct en dehors du parcours |
| Avis de décision défavorable | Fournit le texte de l’avis et les divulgations dans le rapport | Envoie l’avis au demandeur en cas de refus fondé sur le rapport |
| Contestations | Examine manuellement les correspondances contestées liées aux sanctions, aux tribunaux ou aux forces de l’ordre | Oriente les demandeurs vers l’agence d’évaluation du crédit pour les contestations portant sur des données déclarées par celle-ci |
| Transmission de données | Ne transmet pas les données des demandeurs aux agences d’évaluation du crédit ni à d’autres organismes | Utilisateur de rapports, et non fournisseur de données, selon ce modèle |
Droits de la personne & logement équitable
Un rapport n’est équitable que dans la mesure où on l’utilise équitablement.
RentKey peut vous fournir des faits vérifiables. Ce que vous en faites demeure votre responsabilité — voici comment rester équitable.
Ce que ce rapport exclut.
Aucune notation fondée sur les médias sociaux, aucune caractéristique protégée, rien au-delà de l’identité vérifiable, du crédit, des sanctions et des dossiers policiers et judiciaires. Si ce n’est pas un fait sur lequel vous pouvez légalement vous appuyer, il ne figure pas au rapport.
Appliquez toujours le même critère.
Déterminez ce qui disqualifie un demandeur avant de vérifier qui que ce soit, et appliquez-le de la même façon à chaque demande pour un logement ou un immeuble. Un rapport n’est équitable que s’il est utilisé de façon uniforme.
Documentez la décision, pas seulement le résultat.
Notez sur quoi reposait un refus et quel avis vous avez envoyé. Si une décision est un jour remise en question, le rapport et le journal des activités montrent exactement ce qui a été consulté, et à quel moment.
Utilisez l’avis, chaque fois.
Si un rapport a contribué au refus d’un demandeur, envoyez l’avis de mesure défavorable qui l’accompagne — exigé en vertu de la FCRA américaine, et une bonne pratique partout où RentKey exerce ses activités.
Divulgation responsable
Signaler une vulnérabilité.
Si vous avez découvert un problème de sécurité dans RentKey, informez-nous avant d’en parler à quiconque. Écrivez à info@rentkey.ca en indiquant « Sécurité » dans l’objet — une adresse dédiée à la sécurité sera offerte lors de la disponibilité générale.
À inclure
- Ce que vous avez découvert, et à quel endroit
- Les étapes pour reproduire le problème
- L’incidence que vous estimez
Nous nous engageons à
- Accuser réception de votre signalement
- Enquêter sur les problèmes confirmés et les corriger
- Vous en attribuer le mérite, si vous le souhaitez
Nous n’offrons pas de programme de primes aux bogues rémunéré pour le moment.
Questions
Des réponses claires.
Où les données sont-elles stockées ?
Au Canada et aux États-Unis. Nous précisons la région exacte de votre compte lors de l’intégration, selon l’endroit où vous exercez vos activités.
Vendez-vous des données ?
Jamais. RentKey ne vend les données des demandeurs ou des clients à personne, à aucune fin.
Le personnel peut-il lire les rapports ?
Seuls les membres du personnel dont le rôle l’exige y ont accès, et chaque accès est consigné, comme les consultations effectuées par votre propre équipe dans le journal d’activité.
Que se passe-t-il en cas d’atteinte à la sécurité des données ?
Nous avisons les clients touchés et les organismes de réglementation concernés, conformément à la loi, et nous vous expliquons clairement ce qui s’est passé et ce que nous faisons pour y remédier.
Puis-je obtenir une entente de traitement des données ?
Oui, pour les gestionnaires immobiliers et les partenaires de plateforme. Demandez-en une au moyen de la page de contact.
Accès anticipé
Cessez de deviner à la porte. Vérifiez le portrait complet.
Dites-nous où vous exercez vos activités et combien de logements vous gérez. Nous vous répondrons dans un jour ouvrable.
