Politique de confidentialité

1. Responsable de la protection des renseignements personnels

Conformément à l'article 3.1 de la Loi 25, lapin.ia a désigné un responsable de la protection des renseignements personnels :

• Nom et titre : Pascal Girard, CEO
• Courriel : support@lapinia.ca
• Téléphone : 418 254-2544
• Adresse postale : 1170, chemin Dion, Lévis (Québec) G7A 2B7

Pour toute question relative à cette politique ou à l'exercice de vos droits, communiquez avec cette personne.

2. Champ d'application

Cette politique couvre :

• le site lapinia.ca et ses sous-domaines;
• la plateforme lapin.ia utilisée par les cliniques clientes;
• les messages envoyés aux patients au nom des cliniques (courriel, SMS);
• nos communications marketing, démos et formulaires en ligne.

Elle vise trois groupes de personnes : les visiteurs du site, les utilisateurs des cliniques clientes (gestionnaires, secrétaires, professionnels) et les patients inscrits sur la liste d'attente d'une clinique.

3. Rôles et responsabilités

Pour les renseignements des patients, la clinique est responsable; lapin.ia agit comme prestataire de services. La clinique cliente décide quels patients figurent sur sa liste d'attente et pour quelles fins ils sont contactés. lapin.ia traite ces renseignements uniquement selon ses instructions, en vertu d'une entente écrite conforme à l'article 18.3 de la Loi 25 (contrat de services et entente de traitement des données).

La clinique demeure responsable d'avoir obtenu le consentement de ses patients pour être contactés au sujet d'une plage disponible.

Pour les visiteurs du site et les comptes des utilisateurs des cliniques, lapin.ia est responsable du traitement, conformément à la présente politique.

4. Renseignements personnels que nous traitons

Renseignements de santé. Le type de soin attendu et la priorité d'un patient peuvent révéler des renseignements de santé, considérés comme sensibles par la Loi 25. Nous limitons ces données au strict nécessaire pour associer un patient à une plage compatible. Nous ne recevons ni dossier clinique, ni diagnostic, ni plan de traitement.

Mineurs. Une clinique peut inscrire un patient mineur sur sa liste d'attente. Elle doit alors fournir les coordonnées du parent ou tuteur, à qui les messages sont adressés. Le site lapinia.ca ne s'adresse pas aux personnes de moins de 14 ans.

5. Finalités du traitement

Les renseignements des patients ne servent jamais à faire du marketing pour lapin.ia ni pour un tiers. Nous ne vendons aucun renseignement personnel.

6. Messages envoyés aux patients

Les messages de lapin.ia sont envoyés au nom de la clinique et l'identifient clairement. Ils servent uniquement à offrir une plage de rendez-vous ou à confirmer une réservation.

• Un message contient le minimum de renseignements : nom de la clinique, date, heure et durée de la plage. Il ne décrit pas le soin.
• Le patient peut cesser de recevoir ces offres en répondant ARRÊT (ou STOP) par SMS, ou par le lien de désabonnement d'un courriel. La clinique en est avisée.
• Les offres sont envoyées entre 8 h et 20 h, heure de la clinique.
• Une plage est attribuée au premier patient qui l'accepte. Les autres sont avisés qu'elle n'est plus disponible.

7. Décisions automatisées et intelligence artificielle

lapin.ia choisit automatiquement quels patients reçoivent une offre de plage, et dans quel ordre. Conformément à l'article 12.1 de la Loi 25, nous en informons les personnes concernées.

Les principaux facteurs utilisés sont : la compatibilité entre la durée de la plage et le soin attendu, le professionnel traitant, le niveau de priorité fixé par la clinique, les disponibilités indiquées et l'ancienneté sur la liste. Les offres partent par vagues : quelques patients d'abord, puis d'autres si personne n'accepte.

Cette décision ne prive personne d'un soin : le patient garde sa place sur la liste et peut toujours prendre rendez-vous directement avec la clinique. Vous pouvez demander à la clinique les renseignements et les facteurs utilisés, les faire corriger, et demander qu'un membre du personnel révise la décision.

Des modèles d'IA peuvent servir à rédiger les messages ou à interpréter les réponses des patients (ex. : « Oui, je prends la plage »). Les fournisseurs d'IA ne peuvent pas utiliser ces renseignements pour entraîner leurs modèles.

8. Sous-traitants et communication à des tiers

Nous faisons appel à des sous-traitants liés par contrat à des obligations de confidentialité et de sécurité (Loi 25, art. 18.3). La liste complète est disponible sur demande.

Nous pouvons aussi communiquer des renseignements :

• lorsque la loi l'exige ou à la demande légitime d'une autorité compétente;
• pour prévenir la fraude ou protéger nos droits;
• lors d'une fusion, acquisition ou vente d'actifs, avec avis aux personnes concernées;
• dans tout autre cas, avec votre consentement.

9. Hébergement et transferts hors du Québec

Les données de production sont hébergées au Canada. Certains traitements, notamment l'envoi de SMS ou l'appel à un modèle d'IA, peuvent impliquer un transfert hors du Québec, par exemple aux États-Unis.

Avant tout transfert, nous réalisons une évaluation des facteurs relatifs à la vie privée (Loi 25, art. 17). Elle tient compte de la sensibilité des renseignements, de la finalité, des protections contractuelles et techniques, et du régime juridique de destination. Le transfert n'a lieu que si la protection est adéquate. Pour réduire les risques, nous transmettons à ces fournisseurs le minimum de renseignements requis et évitons d'y envoyer des renseignements de santé lorsque c'est possible.

10. Durées de conservation

Nous ne conservons les renseignements que le temps nécessaire aux fins prévues.

Nous pouvons conserver certains renseignements plus longtemps si la loi l'exige ou s'ils sont utiles à une procédure judiciaire.

11. Vos droits

Sous réserve de la loi, vous pouvez :

• accéder à vos renseignements et en obtenir copie;
• les faire rectifier s'ils sont inexacts ou incomplets;
• en demander la suppression;
• les recevoir dans un format technologique structuré (portabilité, Loi 25, art. 27);
• retirer votre consentement en tout temps;
• demander la cessation de diffusion ou la désindexation;
• obtenir des explications sur une décision automatisée et en demander la révision;
• porter plainte auprès de la Commission d'accès à l'information (section 15).

Patients : adressez d'abord votre demande à votre clinique, responsable de vos renseignements. lapin.ia l'aidera à y répondre. Vous pouvez aussi nous écrire; nous transmettrons votre demande à la clinique.

Utilisateurs et visiteurs : écrivez à support@lapinia.ca en précisant votre identité, la nature de la demande et les renseignements visés. Nous répondons dans un délai de 30 jours, gratuitement, sauf demande manifestement abusive.

12. Incidents de confidentialité

Conformément aux articles 3.5 à 3.8 de la Loi 25 :

• nous tenons un registre des incidents de confidentialité;
• en cas d'incident touchant des renseignements de patients, nous avisons la clinique concernée sans délai, au plus tard dans les 48 heures suivant sa détection;
• si l'incident présente un risque de préjudice sérieux, la Commission d'accès à l'information et les personnes concernées sont avisées;
• nous prenons les mesures raisonnables pour réduire le préjudice et éviter qu'un incident semblable se reproduise.

13. Témoins (cookies)

Le site lapinia.ca utilise des témoins et technologies similaires. Les témoins non essentiels sont désactivés par défaut et ne sont déposés qu'avec votre consentement, donné via la bannière lors de votre première visite.

Vous pouvez modifier vos choix en tout temps via le lien « Préférences cookies » en bas de page, ou configurer votre navigateur pour bloquer les témoins. Les messages envoyés aux patients ne contiennent aucun pixel de suivi publicitaire.

14. Sécurité

Nous appliquons des mesures techniques et organisationnelles raisonnables, adaptées à la sensibilité des renseignements :

• chiffrement en transit (TLS) et au repos;
• isolation logique des données entre cliniques (multi-locataire);
• accès selon le principe du moindre privilège et authentification multifacteur;
• journalisation et surveillance des accès;
• minimisation des renseignements transmis aux fournisseurs;
• plan de réponse aux incidents et évaluations périodiques.

Aucune mesure n'est infaillible; la transmission par Internet comporte un risque résiduel.

15. Liens, modifications et plaintes

Liens vers des sites tiers. Cette politique ne s'applique pas aux sites tiers vers lesquels nous renvoyons, y compris le portail de votre clinique.

Modifications. La version en vigueur est celle publiée sur cette page. En cas de changement important, nous aviserons les cliniques clientes par courriel et publierons un avis sur le site avant l'entrée en vigueur. Toute nouvelle finalité fera l'objet d'un consentement lorsque la loi l'exige.

Nous joindre. 9398-⁠0829 Québec inc. (lapin.ia), Responsable de la protection des renseignements personnels, 1170, chemin Dion, Lévis (Québec) G7A 2B7, support@lapinia.ca, 418 254-2544.

Plainte. Si vous estimez que vos droits ne sont pas respectés, vous pouvez porter plainte auprès de la Commission d'accès à l'information du Québec (cai.gouv.qc.ca) ou, lorsque la LPRPDE s'applique, du Commissariat à la protection de la vie privée du Canada (priv.gc.ca).