Politique de confidentialité

1Portée

La présente Politique de confidentialité explique comment Physicare.ai recueille, utilise, communique, transfère, conserve et protège les renseignements personnels et les données personnelles dans le cadre des Services.

La présente Politique de confidentialité s’applique :

aux visiteurs du site Web;
aux utilisateurs professionnels, administrateurs de clinique et clients organisationnels;
aux patients invités à utiliser certaines fonctionnalités activées par un client;
aux clients potentiels, partenaires et contacts d’affaires.

La présente Politique de confidentialité ne remplace pas une Entente sur le traitement des données distincte, une entente-cadre, un bon de commande ou un avis propre à un client lorsqu’un tel document s’applique.

2Rôles en matière de confidentialité

Pour les Données du Client traitées pour le compte d’une clinique, d’un cabinet, d’un employeur ou d’un professionnel de la santé réglementé dans le cadre de la prestation de soins ou d’opérations connexes, le client concerné agit généralement à titre de responsable du traitement, dépositaire, fiduciaire ou décideur principal équivalent au sens de la loi applicable.

À l’égard de ces Données du Client, Physicare.ai agit à titre de sous-traitant, fournisseur de services, mandataire, affilié, gestionnaire d’information ou rôle de service équivalent, selon la loi applicable et l’entente contractuelle en place.

Physicare.ai agit à titre de responsable autonome du traitement uniquement pour les Données d’affaires qu’elle traite pour ses propres fins légitimes, notamment l’administration des comptes, la facturation, l’authentification, la sécurité, la prévention de la fraude, la conformité légale, le soutien et les communications de service.

Si vous êtes un patient dont le professionnel de la santé utilise Physicare.ai, ce professionnel ou cette clinique demeure le principal point de contact pour toute demande relative à votre dossier clinique, sauf lorsque la loi applicable exige que Physicare.ai réponde directement.

La présente politique ne limite d’aucune façon les obligations déontologiques du professionnel de la santé, notamment celles relatives au secret professionnel et à l’information de sa clientèle quant aux circonstances pouvant mener à sa levée, lesquelles demeurent entièrement à la charge du professionnel et de la clinique.

3Catégories de renseignements traités

Physicare.ai peut traiter les catégories de renseignements suivantes :

Renseignements de compte et d’affaires

nom; adresse courriel professionnelle; numéro de téléphone; nom de l’organisation; rôle professionnel; identifiants de compte; renseignements d’abonnement et de facturation; dossiers de soutien et de communication.

Données cliniques du Client

noms et identifiants de patients lorsque soumis par le client; renseignements sur les rendez-vous; notes cliniques; transcriptions; contenu d’évaluation; contenu de programmes d’exercices ou de traitement; questionnaires; communications et contenu de flux de travail saisis dans les Services; autres renseignements liés à la santé traités selon les instructions du client.

Données d’utilisation et techniques

adresse IP; type de navigateur; renseignements sur l’appareil; système d’exploitation; données de session; journaux système; événements d’authentification; événements d’audit; données de performance et d’erreur.

Données de paiement

renseignements limités de facturation et de transaction provenant des fournisseurs de paiement. Physicare.ai ne conserve pas les numéros complets de carte de paiement.

Données liées aux témoins et à l’analytique Web

renseignements recueillis au moyen de témoins, d’outils analytiques et de technologies similaires, sous réserve des exigences de consentement applicables.

4Sources des renseignements

Physicare.ai recueille des renseignements :

directement auprès des utilisateurs et des clients;
auprès des clients qui soumettent des renseignements concernant des patients, des membres du personnel ou d’autres utilisateurs autorisés;
automatiquement à partir des appareils, navigateurs et systèmes qui interagissent avec les Services;
auprès de fournisseurs de services comme les processeurs de paiement, fournisseurs d’hébergement, fournisseurs analytiques et outils de soutien;
auprès de contacts d’affaires et de clients potentiels dans le cadre d’échanges commerciaux.

5Fins du traitement

Physicare.ai traite les renseignements aux fins suivantes :

fournir, héberger, exploiter, maintenir et soutenir les Services;
authentifier les utilisateurs et gérer les comptes;
offrir des fonctionnalités de transcription, de documentation, de flux de travail et d’assistance par IA selon les instructions du client;
gérer les abonnements, la facturation, les paiements et le recouvrement;
surveiller la sécurité, détecter la fraude, prévenir les abus et enquêter sur les incidents;
maintenir les journaux, les sauvegardes et la fiabilité des services;
communiquer avec les clients et utilisateurs à propos du service, du soutien, des mises à jour produit ou des avis légaux;
respecter les obligations légales, réglementaires, contractuelles et de gouvernance;
réaliser des analyses limitées et des activités d’amélioration du produit;
effectuer des usages optionnels lorsque le consentement est requis et a été obtenu.

6Fondement légal et nature des renseignements traités

Lorsque Physicare.ai traite des renseignements personnels assujettis au droit québécois, elle le fait conformément à la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP), telle que modifiée par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (communément appelée « Loi 25 »), ainsi que, le cas échéant, à la Loi sur les renseignements de santé et de services sociaux (LRSSS).

Les renseignements de santé traités par l’entremise des Services sont des renseignements sensibles au sens de ces lois. Lorsque Physicare.ai en est responsable, leur traitement repose sur un consentement manifeste, libre, éclairé et exprès, ou sur une exception prévue par la loi. Lorsque Physicare.ai agit comme sous-traitant pour le compte d’un client, ce client demeure responsable d’obtenir le consentement requis ou de s’appuyer sur un fondement légal applicable.

Physicare.ai réalise, pour ses projets technologiques impliquant des renseignements personnels, des évaluations des facteurs relatifs à la vie privée (EFVP) conformément à ses obligations légales. La mise sur pied d’une telle évaluation est en voie de réalisation à la date de la présente politique.

Lorsque le RGPD s’applique et que Physicare.ai agit à titre de responsable autonome du traitement, Physicare.ai s’appuie également sur une ou plusieurs des bases légales suivantes :

l’exécution d’un contrat;
le respect d’une obligation légale;
les intérêts légitimes, notamment la sécurité du service, la prévention de la fraude, le soutien, l’administration interne et l’amélioration proportionnée du service;
le consentement, lorsqu’il est requis, notamment pour les témoins optionnels ou certaines initiatives optionnelles d’amélioration du produit.

Lorsque des données de catégorie particulière au sens du RGPD sont traitées par les Services pour le compte d’un client du secteur de la santé, le client concerné demeure responsable d’établir une condition applicable en vertu de l’article 9. Physicare.ai traite ces données uniquement selon des instructions documentées, sauf lorsque la loi exige autrement.

7Fonctionnalités assistées par IA

Les Services peuvent inclure des fonctionnalités assistées par IA qui génèrent des transcriptions, des résumés, des notes préliminaires, des sorties structurées, des suggestions de documentation, des suggestions administratives ou d’autres contenus d’assistance.

Les résultats générés par l’IA servent uniquement d’aide. Ils peuvent être incomplets, inexacts, périmés, biaisés ou inadaptés à un patient, un contexte ou un territoire donné.

Physicare.ai ne prend pas, au moyen des Services, de décision fondée exclusivement sur un traitement automatisé de renseignements personnels, au sens de la Loi 25 et de toute loi équivalente applicable, y compris une décision produisant des effets juridiques ou des effets similaires importants au sens du RGPD, le cas échéant.

Sauf indication contraire expresse dans une entente écrite distincte ou dans le cadre d’un programme licite, Physicare.ai n’utilise pas les Données du Client identifiables pour entraîner des modèles généralisés d’IA de tiers.

Lorsque Physicare.ai utilise des données dépersonnalisées ou anonymisées à des fins d’analyse, d’amélioration du produit ou de recherche, elle le fait uniquement lorsque cela est permis par la loi applicable et assorti de garanties appropriées.

8Données des utilisateurs GoogleGoogle Calendar

Si vous connectez un compte Google à Physicare.ai par l’intégration Google Calendar, Physicare.ai accède à certaines données d’utilisateur Google uniquement pour fournir cette intégration. La présente section s’applique à ces données et prévaut sur toute autre section de la présente Politique de confidentialité qui serait incompatible.

Données Google auxquelles nous accédons

l’adresse courriel et l’identifiant de votre compte Google (openid, email), pour identifier le compte connecté;
la liste de vos calendriers Google et votre niveau d’accès à chacun (calendar.calendarlist.readonly), pour vous permettre de choisir les calendriers qui bloquent vos disponibilités;
les informations de disponibilité ainsi que les heures et les titres des événements des calendriers que vous choisissez (calendar.freebusy, calendar.events.readonly), pour marquer ces plages comme non disponibles; les titres des événements ne sont visibles que par vous;
un calendrier secondaire nommé « Physicare » que Physicare.ai crée dans votre compte Google, et les événements que Physicare.ai y inscrit (calendar.app.created), pour afficher vos rendez-vous Physicare.ai dans Google Calendar; cette autorisation ne permet pas à Physicare.ai de lire ni de modifier les calendriers qu’il n’a pas créés;
les jetons d’accès et d’actualisation émis par Google pour maintenir l’intégration connectée.

Utilisation des données Google

Les données d’utilisateur Google servent uniquement à fournir les fonctionnalités de calendrier que vous activez : empêcher la réservation en ligne et signaler la saisie manuelle pendant vos plages occupées, et afficher vos rendez-vous dans le calendrier « Physicare ».

Les titres et descriptions des événements de vos calendriers Google ne sont jamais montrés aux autres utilisateurs. Les autres membres de votre espace de travail peuvent voir vos plages occupées, sans aucun détail, sauf si vous choisissez de les garder privées.

Par défaut, aucune information patient n’est envoyée à Google. Les initiales du patient ne sont ajoutées aux événements exportés que si vous activez cette option.

Communication des données Google

Physicare.ai ne vend pas les données d’utilisateur Google et ne les communique, ne les transfère ni ne les divulgue à des tiers, sauf aux fournisseurs d’hébergement et d’infrastructure strictement nécessaires au fonctionnement de l’intégration et tenus à la confidentialité, lorsque la loi applicable l’exige, ou dans le cadre d’une fusion, d’une acquisition ou d’une vente d’actifs avec votre consentement préalable. Les données d’utilisateur Google ne sont pas transmises à des fournisseurs d’IA et ne sont pas utilisées par les fonctionnalités assistées par IA décrites à la section 7.

Utilisation limitée (Limited Use)

L’utilisation et le transfert par Physicare.ai des informations reçues des API Google respectent la Politique relative aux données utilisateur des services d’API Google (Google API Services User Data Policy), y compris les exigences d’utilisation limitée (Limited Use).

En particulier, Physicare.ai n’utilise pas les données d’utilisateur Google pour diffuser de la publicité, y compris de la publicité personnalisée, de reciblage ou basée sur les centres d’intérêt; ne les vend pas et ne les transfère pas à des courtiers en données ou revendeurs d’information; ne les utilise pas pour évaluer la solvabilité ni à des fins de prêt; et ne les utilise pas pour développer, améliorer ou entraîner des modèles d’IA ou d’apprentissage automatique généralisés ou non personnalisés. Les usages d’analytique, d’amélioration du produit et de recherche décrits aux sections 5 et 7 ne s’appliquent pas aux données d’utilisateur Google.

Le personnel de Physicare.ai ne consulte pas les données d’utilisateur Google, sauf avec votre consentement explicite, lorsque c’est nécessaire à des fins de sécurité, comme une enquête sur un abus, ou lorsque la loi applicable l’exige.

Protection des données Google

Les données d’utilisateur Google sont transmises par des connexions chiffrées et stockées chiffrées au repos, avec les mesures décrites à la section 11. L’accès aux jetons Google est limité aux systèmes qui effectuent la synchronisation.

Conservation et suppression

Physicare.ai conserve les données d’utilisateur Google jusqu’à ce que vous déconnectiez Google Calendar dans Physicare.ai. Seules les plages occupées des 90 prochains jours sont stockées; elles sont remplacées à chaque synchronisation, de sorte que les plages passées ne sont pas conservées.

Lorsque vous déconnectez Google Calendar dans Physicare.ai, le calendrier « Physicare » et les événements qui y ont été exportés sont supprimés de votre compte Google, l’accès de Physicare.ai est révoqué et les données d’utilisateur Google stockées par Physicare.ai sont supprimées, sauf si la loi exige leur conservation.

Si vous retirez l’accès de Physicare.ai depuis la page des autorisations de votre compte Google (myaccount.google.com/permissions), la synchronisation s’arrête et les plages occupées sont supprimées. L’adresse courriel de votre compte Google et vos réglages sont conservés pour permettre la reconnexion, jusqu’à ce que vous déconnectiez Google Calendar dans Physicare.ai ou que vous en demandiez la suppression en écrivant à privacy@physicare.ai.

9Communication des renseignements

Physicare.ai peut communiquer des renseignements :

à des sous-traitants et fournisseurs de services qui soutiennent l’hébergement, l’infrastructure, les paiements, l’analytique, l’authentification, la sécurité, le soutien et les fonctionnalités activées par IA;
à l’organisation cliente concernée et à ses utilisateurs autorisés;
lorsque la loi, un règlement, une ordonnance judiciaire, une procédure légale ou une autorité compétente l’exige;
lorsque cela est nécessaire pour protéger les droits, la sécurité, l’intégrité ou les intérêts de Physicare.ai, de ses utilisateurs, de ses clients ou de tiers;
dans le cadre d’une fusion, d’un financement, d’une acquisition, d’une restructuration, d’une vente d’actifs ou d’une opération corporative similaire, sous réserve de garanties de confidentialité appropriées.

Physicare.ai ne vend pas de renseignements personnels.

10Sous-traitants et transferts internationaux

Physicare.ai peut avoir recours à des sous-traitants et à des fournisseurs de services tiers, y compris un ou plusieurs fournisseurs de modèles d’intelligence artificielle, pour soutenir la prestation des Services. Ces fournisseurs peuvent changer de temps à autre, notamment en raison de l’évolution rapide des technologies d’intelligence artificielle.

Physicare.ai héberge principalement les données de production au Canada. Certains fournisseurs de services, incluant potentiellement des fournisseurs de modèles d’intelligence artificielle, peuvent traiter des catégories limitées de renseignements à l’extérieur du Québec ou du Canada, notamment aux États-Unis.

Lorsque requis, Physicare.ai met en place des garanties appropriées pour de tels transferts, pouvant inclure :

des protections contractuelles;
des évaluations des risques liés au transfert;
des clauses contractuelles types;
des mesures techniques et organisationnelles supplémentaires.

Les renseignements traités dans une autre juridiction peuvent être assujettis à des demandes d’accès licites par des tribunaux, des organismes de réglementation, des autorités policières ou des autorités de sécurité nationale de cette juridiction.

Physicare.ai tient à jour une liste de ses sous-traitants importants, incluant le ou les fournisseurs de modèles d’intelligence artificielle utilisés et leur juridiction de traitement. Cette liste est disponible sur demande à privacy@physicare.ai et peut être fournie à ses clients pour appuyer leur propre évaluation des facteurs relatifs à la vie privée ou leur registre des produits et services technologiques, le cas échéant requis par la Loi sur les renseignements de santé et de services sociaux (LRSSS).

Compte tenu de l’évolution rapide des fournisseurs de technologies d’intelligence artificielle, cette liste peut être mise à jour plus fréquemment que la présente politique.

11Mesures de sécurité

Physicare.ai maintient des mesures administratives, techniques et physiques conçues pour protéger les renseignements de manière proportionnelle à leur sensibilité et à la nature des Services.

Ces mesures peuvent inclure :

le chiffrement en transit et au repos;
des contrôles d’accès fondés sur les rôles;
une gestion des accès selon le principe du moindre privilège;
des contrôles d’authentification;
la surveillance et la journalisation des systèmes;
des pratiques d’hébergement sécurisées;
des processus de sauvegarde et de reprise;
des obligations de confidentialité pour les employés;
des restrictions d’accès internes;
des procédures de révision de sécurité et de réponse aux incidents.

Aucun système ou mode de transmission ne peut être garanti comme étant entièrement sécurisé.

12Conservation des données

Physicare.ai conserve les renseignements uniquement pendant la durée nécessaire aux fins décrites dans la présente Politique de confidentialité, selon les exigences contractuelles et selon ce qui est requis ou permis par la loi applicable.

Les Données du Client sont conservées conformément à l’entente client applicable, aux instructions du client, aux obligations légales ainsi qu’aux calendriers de sauvegarde ou de suppression.

Les dossiers de compte, de facturation, d’audit, de sécurité et de conformité légale peuvent être conservés plus longtemps lorsqu’il est raisonnablement nécessaire de le faire à des fins fiscales, comptables, de résolution de différends, d’exécution, de prévention de la fraude, d’enquête de sécurité ou de conformité légale.

Lorsque Physicare.ai agit uniquement comme sous-traitant ou fournisseur de services relativement aux Données du Client, la restitution, l’exportation, la conservation, la suppression et la destruction de ces données sont principalement régies par l’entente client applicable et par les instructions légitimes du client.

13Vos droits

Selon la loi applicable, vous pouvez disposer de droits relatifs à vos renseignements personnels, notamment :

l’accès et la rectification;
le retrait du consentement, lorsque le traitement repose sur le consentement;
la suppression ou l’effacement, dans les cas prévus par la loi;
la portabilité de vos renseignements informatisés;
l’opposition à certains traitements ou la limitation du traitement, lorsque ces droits sont prévus par la loi applicable (notamment le RGPD);
au Québec, le droit de restriction — soit le droit de demander qu’un intervenant nommé ou qu’une catégorie d’intervenants n’ait pas accès à un ou plusieurs renseignements précis de votre dossier — et le droit de refus — soit le droit de refuser que certaines personnes (par exemple des proches ou des chercheurs) aient accès à votre dossier ou à certains renseignements qu’il contient, conformément à la Loi sur les renseignements de santé et de services sociaux (LRSSS);
le droit de déposer une plainte auprès d’une autorité compétente, notamment, au Québec, la Commission d’accès à l’information (CAI).

Lorsque vos renseignements sont contrôlés par une clinique, un cabinet, un employeur ou un autre client de Physicare.ai, ces droits — y compris le droit de restriction et le droit de refus — s’exercent généralement auprès de ce client, qui demeure responsable de votre dossier.

Lorsque Physicare.ai traite des renseignements pour le compte d’une clinique, d’un cabinet, d’un employeur ou d’un autre client, Physicare.ai peut rediriger la demande vers ce client ou exiger qu’elle lui soit d’abord soumise.

Physicare.ai assistera ses clients pour répondre aux demandes légitimes dans la mesure requise par la loi ou par contrat.

Pour soumettre une demande relative à des renseignements pour lesquels Physicare.ai agit à titre de responsable du traitement, veuillez écrire à privacy@physicare.ai. Physicare.ai peut exiger une vérification raisonnable de l’identité avant de répondre.

14Réponse aux incidents et atteintes

Physicare.ai maintient des processus pour identifier, enquêter, documenter et traiter les incidents de sécurité et de confidentialité.

Lorsque Physicare.ai agit pour le compte d’un client et prend connaissance d’une atteinte touchant les Données du Client, Physicare.ai avisera le client dans les plus brefs délais et lui fournira les renseignements raisonnablement nécessaires pour soutenir ses obligations légales et réglementaires.

Lorsque Physicare.ai est elle-même tenue, en vertu de la loi applicable, d’aviser des personnes, des organismes de réglementation ou d’autres autorités, elle le fera conformément à cette loi.

15Témoins et analytique Web

Physicare.ai utilise des témoins strictement nécessaires au fonctionnement et à la sécurité du site Web et des Services.

Physicare.ai peut aussi utiliser des témoins analytiques optionnels ou des technologies similaires lorsque la loi le permet et, lorsque requis, uniquement avec consentement préalable.

Les utilisateurs peuvent gérer leurs préférences en matière de témoins à l’aide des outils de consentement du site Web lorsqu’ils sont disponibles.

16Enfants et mineurs

Les Services ne sont pas destinés aux enfants en tant qu’utilisateurs autonomes, sauf lorsqu’un client du secteur de la santé utilise les Services dans le cadre des soins à des mineurs.

Dans un tel cas, le client concerné demeure responsable d’obtenir toute autorité, tout avis ou tout consentement requis par la loi applicable.

17Addenda EEE et Royaume-Uni

Lorsque le RGPD ou le UK GDPR s’applique :

Physicare.ai traite les données personnelles uniquement sur la base d’un fondement légal valide;
lorsque Physicare.ai agit comme sous-traitant, le client demeure responsable des bases légales prévues aux articles 6 et 9 ainsi que des obligations de transparence qui s’y rattachent;
les transferts de données personnelles à l’extérieur de l’EEE ou du Royaume-Uni sont assujettis à un mécanisme de transfert approprié, pouvant inclure les Clauses contractuelles types de la Commission européenne ou le UK International Data Transfer Addendum, accompagnés de mesures supplémentaires lorsque requis;
lorsque l’article 27 du RGPD l’exige, Physicare.ai désignera un représentant dans l’Union européenne ou documentera la raison pour laquelle cette exigence ne s’applique pas.

18Modifications à la présente Politique de confidentialité

Physicare.ai peut modifier la présente Politique de confidentialité de temps à autre.

Si une modification touche de manière importante les droits ou obligations applicables, Physicare.ai fournira un avis raisonnable par courriel, au moyen des Services ou par tout autre moyen approprié.

La date indiquée au haut de la présente Politique de confidentialité correspond à la date de la dernière révision.

19Coordonnées et plaintes

Contact confidentialité: privacy@physicare.ai
Contact soutien: support@physicare.ai
Adresse postale: #300 - 307 Rue Notre-Dame
Repentigny, Quebec J6A 2R9

Les personnes concernées peuvent également déposer une plainte auprès de l’autorité compétente en matière de protection des renseignements personnels ou des données dans leur territoire, notamment, au Québec, la Commission d’accès à l’information (CAI — cai.gouv.qc.ca).