Accord sur le traitement des données

Date d'entrée en vigueur : 25 septembre 2026

Cet accord complète les Conditions d'utilisation pour les cabinets. Le Cabinet détermine les fins de ses dossiers cliniques et donne à CareCircle des instructions documentées pour les traiter afin de fournir le service. Le Cabinet demeure le dépositaire des renseignements sur la santé lorsque la loi le prévoit; CareCircle agit comme fournisseur de services et, si la PHIPA s'applique, comme mandataire dans la mesure où il traite des renseignements personnels sur la santé pour son compte. Chaque partie reste responsable de ses propres obligations légales.

Portée et instructions

CareCircle peut traiter les identifiants et coordonnées des clients et professionnels, les données d'accueil, les rendez-vous, messages, notes, fichiers, métadonnées d'appel, factures et données de soutien uniquement pour fournir, sécuriser, maintenir et soutenir le service, pour suivre une instruction documentée du Cabinet ou lorsque la loi l'exige. CareCircle n'utilisera pas de données cliniques identifiables pour la publicité, l'entraînement de modèles ou des analyses de produit sans rapport avec le service. Une demande légale sera communiquée au Cabinet, sauf interdiction légale.

Personnel et sécurité

CareCircle limitera l'accès au personnel qui en a besoin pour ses fonctions, l'assujettira à la confidentialité, lui offrira une formation appropriée et retirera l'accès lorsqu'il ne sera plus nécessaire. CareCircle maintiendra des mesures techniques et organisationnelles raisonnables adaptées aux renseignements sensibles de santé, notamment des contrôles d'identité et d'accès, la sécurité du transport, la gestion des incidents et des procédures de reprise. La page Pratiques de sécurité présente les mesures et lacunes actuelles. Cet accord établit des obligations; il ne prouve pas que chaque mesure est déjà vérifiée.

Sous-traitants et transferts

Le Cabinet autorise les sous-traitants énumérés pour leurs fonctions indiquées, sous réserve de l'achèvement des évaluations de transfert et garanties écrites applicables avant l'entrée de véritables données de clients. CareCircle utilisera des ententes écrites prévoyant des obligations appropriées de confidentialité, de sécurité, d'assistance et de remise ou d'effacement des données. Il reste responsable des instructions données à ces fournisseurs et donnera, dans la mesure du possible, un préavis d'au moins 30 jours avant d'ajouter un sous-traitant ayant accès aux données du Cabinet. Le Cabinet peut s'y opposer pour des motifs raisonnables de protection de la vie privée; les parties chercheront une solution ou mettront fin au service concerné avec exportation. Le traitement actuel aux États-Unis est indiqué dans la Politique de confidentialité. Avant une communication hors du Québec, les parties effectueront l'évaluation et concluront l'entente écrite exigées par la loi québécoise, s'il y a lieu. Cet accord vise à appuyer les exigences contractuelles de l'article 18.3 de la loi québécoise sur le secteur privé; le Cabinet demeure responsable de ses propres évaluations et avis.

Incidents

CareCircle avisera le Cabinet sans délai injustifié et au plus tard 24 heures après avoir pris connaissance d'un incident présumé ou confirmé touchant ses données, au moyen de la personne-ressource désignée par le Cabinet. Le Cabinet devrait signaler les incidents présumés à nicholas@ponari.ca, avec « Incident de sécurité — urgent » dans l'objet et sans renseignements sur les patients dans le premier courriel ordinaire. Le premier avis peut être préliminaire; il indiquera la portée connue, les données en cause, les effets probables, les mesures de confinement et une personne-ressource. CareCircle fournira des mises à jour, préservera les éléments de preuve pertinents et collaborera aux décisions de notification légale du Cabinet. Lorsque la PHIPA s'applique, le mandataire doit aviser le dépositaire d'un vol, d'une perte ou d'une utilisation ou communication non autorisée à la première occasion raisonnable; la limite de 24 heures ne retarde pas cette obligation antérieure. Le Cabinet décide des avis aux personnes et aux organismes de réglementation et les envoie, sauf obligation légale directe de CareCircle.

Demandes de droits et surveillance

CareCircle transmettra rapidement au Cabinet les demandes d'accès, de rectification et d'effacement visant les dossiers cliniques, aidera à trouver et exporter les données pertinentes et collaborera aux vérifications, évaluations des facteurs relatifs à la vie privée et demandes des organismes de réglementation raisonnables. CareCircle ne modifiera ni n'effacera indépendamment un dossier clinique contrairement aux instructions légitimes de conservation du Cabinet. Le Cabinet fournira les renseignements nécessaires pour distinguer ses clients et autoriser un transfert.

Fin du service, conservation et effacement

À la demande du Cabinet ou à la fin du contrat, CareCircle offrira une exportation manuelle raisonnable ou un transfert sécurisé, vérifiera le destinataire, puis effacera ou remettra les données du Cabinet selon l'échéancier convenu, sauf obligation légale de conservation. CareCircle confirmera l'opération et indiquera les copies conservées pour des raisons légales ainsi que l'expiration des sauvegardes. L'effacement peut exiger une intervention manuelle pendant la période bêta; il n'est pas instantané et ne peut effacer les dossiers indépendants du Cabinet ou les copies détenues par des fournisseurs avant le délai contractuel applicable. Voir la Politique de conservation et la page Sécurité des données. Ces obligations survivent à la fin du contrat tant que CareCircle détient les données du Cabinet.