Entente de traitement des renseignements personnels
Version 2.1 · en vigueur le 2026-11-06
La présente entente (l'« Entente ») fait partie intégrante des Conditions d'utilisation conclues entre Studio KaFe S.E.N.C. (« Synchro ») et la Clinique. Elle constitue le contrat écrit exigé par l'article 18.3 de la Loi sur la protection des renseignements personnels dans le secteur privé (la « Loi ») et, pour une Clinique qui est un organisme public, par l'article 67.2 de la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels. Les termes définis dans les Conditions ont le même sens ici.
1. Rôles
Pour les Données client, la Clinique est l'entreprise ou l'organisme responsable des renseignements personnels, et Synchro est son fournisseur de services. Synchro traite les Données client pour le compte de la Clinique, selon ses instructions documentées, qui sont les Conditions, la présente Entente et la configuration que la Clinique fait du Service.
2. Finalités
Synchro traite les Données client uniquement pour fournir le Service (construire, publier et modifier l'horaire de l'équipe de la Clinique, informer l'équipe, permettre l'exportation), pour soutenir la Clinique et pour assurer la sécurité du Service. Synchro peut produire des statistiques à partir de données dépersonnalisées et agrégées qui ne permettent d'identifier ni une personne ni la Clinique. Synchro n'utilise les Données client à aucune autre fin, ne les vend pas et ne les utilise pas pour entraîner des modèles d'intelligence artificielle.
Si Synchro estime qu'une instruction de la Clinique contrevient à la loi, elle l'en avise.
3. Personnes et renseignements visés
| Personnes | Renseignements |
|---|---|
| Utilisateurs (médecins, infirmières, professionnels, gestionnaires, personnel) | Nom, courriel, rôle, type de professionnel, équipe, lieu de travail, horaire, disponibilités, absences et motifs d'absence, préférences, contraintes écrites en langage naturel, réponses aux sondages, échanges avec l'assistant, notifications, journaux d'administration |
| Membres de l'équipe sans compte | Nom, rôle et horaire saisis par la Clinique |
Un motif d'absence peut révéler un renseignement de santé ou familial, ce qui en fait un renseignement sensible. La Clinique obtient le consentement exprès de la personne avant de le saisir, en limite la visibilité aux rôles qui en ont besoin et privilégie le type d'absence plutôt que sa cause. Le Service ne doit contenir aucun renseignement sur un patient (article 13 des Conditions).
4. Mesures de sécurité
Synchro maintient des mesures de sécurité proportionnées à la sensibilité des Données client, notamment :
- chiffrement des communications (TLS) et chiffrement des données au repos ;
- authentification déléguée à un fournisseur spécialisé, avec authentification à deux facteurs offerte à chaque Utilisateur ;
- isolation des Données client de chaque Clinique et rôles qui limitent ce que chaque Utilisateur voit et modifie ;
- journalisation des actions administratives (génération, publication, modification d'un horaire) ;
- sauvegardes quotidiennes conservées 30 jours et tests de restauration périodiques ;
- accès de l'équipe Synchro aux Données client limité au soutien, à la sécurité et à la correction d'erreurs.
5. Confidentialité
Les membres de l'équipe Synchro et ses sous-traitants qui ont accès aux Données client sont tenus à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire à leurs fonctions.
6. Sous-traitants ultérieurs
La Clinique autorise Synchro à faire appel aux sous-traitants énumérés sur la page Sous-traitants et hébergement. Synchro conclut avec chacun une entente écrite qui lui impose des obligations de protection au moins équivalentes à celles de la présente Entente, et demeure responsable envers la Clinique de leur exécution.
Synchro avise l'Administrateur par courriel au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant qui traite des Données client. Si la Clinique s'y oppose pour un motif raisonnable lié à la protection des renseignements, les parties cherchent une solution de bonne foi. À défaut, la Clinique peut résilier avant l'entrée en fonction du sous-traitant, et les frais prépayés pour la période non écoulée lui sont remboursés.
7. Communication à l'extérieur du Québec
Les Données client sont hébergées et traitées aux États-Unis par les sous-traitants énumérés sur la page Sous-traitants et hébergement, à l'exception des données de connexion, conservées au Canada par le fournisseur d'authentification. Synchro a évalué les facteurs relatifs à la vie privée de ces communications (article 17 de la Loi) et conclu une entente écrite avec chaque sous-traitant. La Clinique tient compte de cette communication dans sa propre évaluation. Un hébergement dans une région canadienne peut être discuté avec une Clinique dont le cadre l'exige.
8. Incidents de confidentialité
Synchro avise la personne désignée par la Clinique de tout incident de confidentialité touchant des Données client sans délai, et au plus tard 72 heures après l'avoir confirmé. L'avis décrit, dans la mesure où Synchro les connaît : la nature de l'incident, les renseignements et le nombre approximatif de personnes touchés, les mesures prises ou prévues pour diminuer le risque de préjudice, et une personne-ressource. Synchro complète l'avis à mesure que l'information devient disponible, inscrit l'incident à son registre et collabore avec la Clinique.
La Clinique, à titre de responsable, évalue le risque de préjudice sérieux et décide des avis à transmettre à la Commission d'accès à l'information et aux personnes concernées. Synchro lui fournit l'information nécessaire pour le faire.
9. Demandes des personnes concernées
Si Synchro reçoit directement une demande d'accès, de rectification, de portabilité, de retrait du consentement ou de cessation de diffusion portant sur des Données client, elle la transmet à la Clinique dans les 5 jours ouvrables, sans y répondre elle-même sauf instruction de la Clinique. Les exportations CSV et iCal du Service permettent à la Clinique de répondre elle-même à la plupart des demandes. Synchro l'assiste au besoin.
10. Vérification
Synchro répond une fois par année, sur demande, à un questionnaire de sécurité raisonnable de la Clinique et fournit un rapport écrit sur les mesures de la section 4. La Clinique peut aussi, une fois par année et avec un préavis de 30 jours, faire vérifier le respect de la présente Entente, à ses frais, pendant les heures ouvrables, par une personne tenue à la confidentialité et sans accès aux données d'autres clients. Une vérification supplémentaire est permise à la suite d'un incident de confidentialité ou à la demande d'une autorité.
11. Durée, restitution et suppression
La présente Entente s'applique tant que Synchro traite des Données client. La Clinique peut exporter ses Données client en tout temps pendant l'abonnement et pendant 30 jours après sa fin. Synchro supprime ensuite les Données client, et les sauvegardes sont purgées dans les 30 jours suivants. Synchro confirme la suppression par écrit sur demande. Synchro ne conserve aucune Donnée client au-delà de ces délais, sauf si la loi l'exige.
12. Organismes publics
Lorsque la Clinique est un organisme public au sens de la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels, Synchro s'engage en outre à :
- n'utiliser les renseignements que pour l'exécution du mandat confié ;
- ne pas conserver les renseignements après la fin du mandat, sous réserve de la section 11 ;
- prendre les mesures de la section 4 pour assurer leur confidentialité et faire signer un engagement de confidentialité à toute personne de son équipe qui y a accès ;
- aviser sans délai l'organisme et la personne responsable de la protection des renseignements de l'organisme de toute violation ou tentative de violation des obligations de confidentialité ;
- permettre à l'organisme et à la Commission d'accès à l'information d'effectuer toute vérification relative à cette confidentialité.
L'organisme confirme qu'il détient les autorisations que son cadre exige, y compris pour l'hébergement des renseignements à l'extérieur du Québec, et qu'il a réalisé l'évaluation prévue par la loi qui le régit.
13. Responsabilité
La responsabilité de chaque partie au titre de la présente Entente est soumise à l'article 22 des Conditions d'utilisation.
14. Préséance
Pour tout ce qui concerne les renseignements personnels, la présente Entente prévaut sur les Conditions d'utilisation.
15. Nous joindre
Questions sur la présente Entente : [email protected]. Signalement d'une vulnérabilité : [email protected]. Une version signée peut être fournie sur demande.
Historique des versions
- 2.1 (2026-11-06) : numéro de version aligné sur celui des Conditions d'utilisation. Le contenu de la présente entente est inchangé.
- 2.0 (2026-10-18) : première publication, en même temps que la version 2.0 des Conditions d'utilisation et de la Politique de confidentialité.