Visée

VITR.AI développe des logiciels d’orientation, de visualisation de données et des interfaces de programmation d’application (API), tels que des outils d’orientation patient et de filtre de pertinence clinique.

En accédant à ses logiciels (notamment NAVIG), vous êtes lié par le contrat de licence d’utilisation que votre employeur a conclu auprès de VITR.AI ou par le contrat d’emploi auprès de VITR.AI, le cas échéant, et/ou par les conditions d’utilisation du site web et des logiciels de VITR.AI, ainsi que par la présente politique de confidentialité.

La présente politique de confidentialité a pour objectif d’informer les utilisateurs, les patients, les clients, les employés et les consultants de VITR.AI sur les pratiques mises en place par cette dernière pour protéger les renseignements personnels obtenus dans le cadre de la prestation de services, l’utilisation de ses sites web et logiciels, et de sa gestion d’entreprise.

Si vous ne consentez pas à la présente politique de confidentialité et à l’obtention par VITR.AI de vos renseignements personnels, veuillez ne pas nous communiquer vos renseignements personnels.

Application de la présente politique de confidentialité

La présente politique de confidentialité s’applique aux situations suivantes :

• L’utilisation de NAVIG et des interfaces de programmation d’application (API) de VITR.AI peut entraîner le traitement de renseignements personnels, y compris de renseignements sensibles de nature médicale, lorsque ceux-ci sont nécessaires à la prestation de ses services. Lorsqu’ils sont traités dans NAVIG, ces renseignements font l’objet de mesures de dépersonnalisation, conformément à la Loi sur la protection des renseignements personnels dans le secteur privé, afin de ne plus permettre l’identification directe des personnes concernées. VITR.AI applique également un principe de minimisation afin de limiter la collecte, l’utilisation et la conservation de ces renseignements à ce qui est nécessaire aux fins déterminées et à la prestation de ses services;

• La collecte des renseignements personnels des employés et consultants;

Les sections suivantes détaillent nos pratiques de gestion des renseignements personnels pour chacune de ces situations.

Renseignements personnels recueillis

Un renseignement personnel est toute information qui concerne une personne et qui permet de l’identifier, directement ou indirectement. À noter que les renseignements liés à l’exercice d’un emploi ou d’une fonction, comme le nom, le titre du poste et les coordonnées professionnelles, sont toutefois soumis à des règles particulières prévues par la loi.

Aux fins de la présente politique, l’expression « renseignements dépersonnalisés » désigne les renseignements personnels qui, à l’étape du traitement concernée, sont traités sous une forme ne permettant plus d’identifier directement la personne concernée. Ces renseignements demeurent des renseignements personnels au sens des lois applicables.

1. NAVIG et API

Dans le cadre de la prestation des services offerts au moyen de NAVIG et des API de VITR.AI, les renseignements personnels traités peuvent notamment comprendre les réponses aux questions relatives à la santé du patient, afin de mieux comprendre ses besoins.

Ces renseignements sont nécessaires afin de permettre à VITR.AI d’offrir des services adaptés aux besoins des patients, notamment à des fins d’orientation, de planification de rendez-vous et de gestion des soins.

L’utilisation d’une API de VITR.AI requiert votre consentement pour la collecte et le traitement des renseignements personnels nécessaires à son fonctionnement. Vous devez également donner votre consentement explicite pour que les renseignements, une fois dépersonnalisés puis anonymisés lorsque applicable, puissent être utilisés aux fins d’entraînement et d’amélioration des modèles d’intelligence artificielle.

Les renseignements dépersonnalisés sont conservés pour une période limitée avant, lorsque applicable, d’être anonymisés conformément aux exigences légales applicables. Une description du processus d’anonymisation est présentée ci-dessous.

2. Employés et consultants

Au sein de VITR.AI, nous collectons les renseignements personnels suivants concernant nos employés et consultants :

• Nom;

• Coordonnées;

• Numéro de téléphone;

• Numéro d’assurance sociale (pour les employés seulement);

• Spécimen chèque (informations bancaires);

• Taux horaire/salaire;

• Informations sur le rendement professionnel;

• Contact en cas d’urgence;

Confidentialité des enfants

Au sein de VITR.AI, nous ne collectons ni ne sollicitons sciemment de renseignements personnels auprès de personnes âgées de moins de 14 ans sans le consentement préalable d’un parent ou d’un tuteur légal, sous réserve des exceptions prévues par la loi. Si vous êtes un parent ou un tuteur et que vous savez que votre enfant nous a fourni des renseignements personnels, veuillez communiquer avec notre responsable de la protection des renseignements personnels, dont les coordonnées se trouvent dans la section suivante de la présente politique.

Tout renseignement personnel recueilli directement auprès d’une personne de moins de 14 ans sans le consentement requis sera retiré de nos systèmes dans les meilleurs délais, sous réserve des obligations légales applicables.

Fins pour lesquelles les renseignements personnels sont recueillis

Les renseignements personnels traités dans le cadre de NAVIG et des API de VITR.AI, ainsi que les renseignements personnels de nos employés et consultants, sont traités uniquement aux fins applicables suivantes :

• Exploitation de nos activités commerciales;

• Saine gestion des ressources humaines;

• Service de paie et de comptabilité;

• Obligations légales;

• Prestation des services offerts au moyen de NAVIG et des API de VITR.AI, notamment aux fins d’orientation, de planification de rendez-vous et de gestion des soins;

Consentement et base légale

Afin de limiter tout risque de préjudice causé par un incident de confidentialité, nous ne recueillons et ne conservons que les renseignements personnels qui sont nécessaires aux fins déterminées ci-haut.

Si vous nous transmettez des renseignements personnels concernant d’autres personnes, il vous revient de les avoir informées et d’avoir obtenu leur consentement avant de nous communiquer leurs renseignements personnels.

Si nous souhaitons utiliser vos renseignements personnels à d’autres fins, nous demanderons votre consentement au préalable, lorsque celui-ci est requis, sauf dans les cas prévus par la loi ou lorsque la nouvelle utilisation est compatible avec les fins initialement déterminées.

Communication de vos renseignements personnels

Seules les personnes suivantes peuvent recevoir des communications de notre personnel dans lesquelles peuvent se trouver vos renseignements personnels:

• Vous;

• Le personnel de VITR.AI en ayant besoin dans le cadre de leur emploi et ayant signé une entente de confidentialité en matière de renseignements personnels (par exemple en matière de gestion et comptabilité);

• Un fournisseur de services de VITR.AI ayant besoin de vos renseignements personnels dans le cadre de la prestation de services et ayant signé une entente de confidentialité en matière de renseignements personnels ou ayant des obligations déontologiques équivalentes;

• La police ou une autre autorité compétente, si la loi le requiert;

Non-divulgation à des tiers

VITR.AI ne loue, ne vend ni n’échange les renseignements personnels qu’elle traite, y compris ceux de ses employés et consultants, tels que leur nom, leur adresse, leur numéro de téléphone ou leur adresse courriel, ainsi que leurs renseignements financiers, notamment leur taux horaire ou leur salaire.

VITR.AI s’engage à ne pas divulguer les renseignements personnels, sauf si la loi l’exige, sur demande d’un tribunal, ou dans le cadre de l’exécution d’un contrat confié à un prestataire externe. Lorsque nous faisons appel à un fournisseur externe, nous prenons toutes les mesures nécessaires pour nous assurer que les renseignements personnels sont protégés conformément aux exigences légales applicables et traités conformément à la présente politique.

Hébergement des renseignements personnels

VITR.AI héberge les renseignements personnels qu’elle détient, y compris les renseignements dépersonnalisés lorsque applicable, sur des serveurs situés au Québec.

Mesures de sécurité

Au sein de VITR.AI, nous appliquons des normes élevées et utilisons des systèmes de sécurité performants pour la conception, la mise en œuvre et le fonctionnement quotidien de nos plateformes (sites web et applications) ainsi que de nos serveurs et réseaux sous-jacents. Nous nous efforçons également de détecter et de bloquer toute intrusion sur nos plateformes.

Nous avons mis en place diverses mesures pour protéger vos renseignements personnels, y compris ceux traités sous une forme dépersonnalisée, contre la perte, le vol, ainsi que contre tout accès, divulgation, reproduction, utilisation, modification ou destruction non autorisés. Ces mesures incluent des dispositifs de sécurité physiques, administratifs et technologiques, que nous jugeons appropriés en fonction de la sensibilité, de la quantité et du format des renseignements personnels collectés.

Pour compléter ces mesures de sécurité, nos employés, consultants et fournisseurs signent des accords de confidentialité assurant la protection de tous les renseignements personnels recueillis, ainsi que des informations commerciales de nos clients.

Contrôle d’accès à vos renseignements personnels

L’accès aux renseignements est restreint aux employés et consultants autorisés, dûment formés et liés par des obligations contractuelles de confidentialité. Tous les accès aux renseignements personnels sont journalisés afin d’assurer une traçabilité complète et de détecter toute tentative d’accès non autorisé. Les renseignements sont chiffrés en transit et au repos, et hébergés exclusivement sur des serveurs situés au Québec.

Droit à l’égard de vos renseignements personnels

La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (désignée ci-après par « Loi 25 ») et la Loi sur les renseignements de santé et de services sociaux (LRSSS) (désignée ci-après par « Loi 5 ») confèrent différents droits à l’égard de vos renseignements personnels. Vous disposez notamment des droits suivants :

• Accès : le droit de demander si nous détenons des renseignements personnels sur vous et, le cas échéant, de demander d’avoir accès à ces renseignements personnels;

• Rectification : le droit de demander de faire rectifier tout renseignement personnel incomplet ou inexact que nous détenons;

• Retrait du consentement : le droit de retirer votre consentement à la communication ou à l’utilisation des renseignements personnels détenus;

• Restriction ou refus d’accès : le droit de demander qu’un intervenant particulier ou qui appartient à une catégorie d’intervenants indiquée ne puisse avoir accès à un ou à plusieurs renseignements que vous aurez identifiés;

• Portabilité : Vous avez le droit de demander que vos renseignements personnels vous soient communiqués ou qu’ils soient transférés à une autre organisation dans un format technologique structuré et couramment utilisé;

• Plainte : vous pouvez adresser une plainte à notre Responsable de la protection des renseignements personnels ou, si vous croyez à une infraction à la Loi sur la protection des renseignements personnels;

Pour exercer l’un ou l’autre de ces droits, veuillez communiquer avec notre Responsable de la protection des renseignements personnels, dont les coordonnées se trouvent dans la section suivante de la présente politique.

Il est à noter que VITR.AI peut refuser toute demande de rectification, de portabilité ou de cessation du consentement si elle contrevient aux lois et règlements applicables en la matière, ou dans le cas de la portabilité, si elle entraîne des difficultés pratiques sérieuses. Nous vous fournirons alors le justificatif complet menant à ce refus.

Lorsqu’une demande concerne des renseignements dépersonnalisés traités dans NAVIG ou par l’intermédiaire des API de VITR.AI, VITR.AI peut ne pas disposer des éléments permettant d’associer ou d’isoler de manière suffisamment fiable un renseignement à une personne précise. Dans un tel cas, les vérifications appropriées sont effectuées et VITR.AI communique à la personne concernée les conclusions de son analyse ainsi que les limites rencontrées.

Toute plainte ou demande fait l’objet d’une prise en charge et d’un suivi conformément au processus applicable de VITR.AI.

Risques

Consciente de l’importance de protéger vos renseignements personnels, VITR.AI a mis en place les mesures requises afin de se conformer à la loi et aux obligations professionnelles et déontologiques applicables. Nous respectons ainsi les standards de sécurité propres à notre secteur d’activités afin d’assurer la protection des renseignements que nous recueillons et traitons, y compris lorsqu’ils sont sous une forme dépersonnalisée.

Nonobstant ce qui précède, la gestion de la collecte, la conservation, la consultation et la communication des renseignements personnels via les technologies comporte un lot de risques qui ne peut être attribuable et imputable à VITR.AI. Si vous avez des raisons de croire que des renseignements personnels ont été compromis, veuillez communiquer avec notre responsable de la protection des renseignements personnels, dont les coordonnées se trouvent dans la section suivante de la présente politique.

Gestion des incidents liés à la confidentialité, à la cybersécurité et aux anomalies techniques

En cas d’accès accidentel ou non autorisé à des renseignements personnels, y compris à des renseignements dépersonnalisés, qu’il s’agisse de ceux de patients provenant de nos clients (cliniques médicales et centres d’appels), d’employés ou tout autre utilisateur d’une API, nous procédons comme suit :

• Le patient, l’employé, le client ou tout utilisateur concerné est immédiatement informé ;

• Les renseignements personnels obtenus par erreur sont supprimés sans délai et de manière irréversible, conformément aux procédures internes en vigueur;

• l’incident est documenté afin d’assurer la traçabilité et de prévenir toute récurrence;

En cas d’incidents de cybersécurité ou d’anomalies techniques pouvant compromettre les renseignements personnels, VITR.AI dispose d’un plan d’action qui sera mis en œuvre par notre responsable de la protection des renseignements personnels en cas d’incident de sécurité ou de confidentialité. Ce dernier inclut notamment:

• La notification immédiate à toutes les parties concernées;

• L’évaluation de la nature et de l’impact de l’incident;

• Les mesures correctives pour limiter les conséquences;

• La documentation complète de l’incident et des actions prises;

De ce fait, dès qu’un incident survient, vous devez aviser notre responsable de la protection des renseignements personnels dans les meilleurs délais via les coordonnées fournies au bas de la présente politique.

Anonymisation, durée de conservation et destruction

Tel qu’indiqué précédemment, certains renseignements personnels traités au moyen de NAVIG et des API de VITR.AI font l’objet de mesures de dépersonnalisation. Ces renseignements demeurent assujettis aux mesures de protection prévues à la présente politique.

L’anonymisation constitue un processus distinct de la dépersonnalisation. Lorsque applicable, certains renseignements dépersonnalisés peuvent ensuite être anonymisés aux fins prévues à la présente politique.

L’anonymisation consiste à traiter les renseignements de manière à ce qu’il soit raisonnable de prévoir, dans les circonstances, qu’ils ne permettent plus, de façon irréversible, d’identifier directement ou indirectement une personne. Au sein de VITR.AI, ce processus suit une méthode rigoureuse conforme aux exigences légales applicables, incluant notamment :

• La suppression des identifiants directs (nom, numéro de téléphone, adresse, etc.);

• La modification ou généralisation des informations indirectes permettant de retracer une identité (date de naissance, lieu, codes uniques, etc.);

Seules les données ainsi anonymisées sont utilisées pour entraîner les modèles d’intelligence artificielle, assurant alors la protection de la vie privée des utilisateurs tout en permettant l’amélioration continue de nos technologies.

Vous pouvez retirer votre consentement à tout moment. Dans ce cas, les renseignements visés qui n’ont pas encore été anonymisés seront détruits dans un délai de 125 jours suivant la collecte.

Aucun renseignement personnel non requis ne doit être transmis de votre part à moins d’être nécessaire dans le cadre de la prestation de service ou d’emploi.

VITR.AI s’engage également à ce que les renseignements personnels traités au moyen de NAVIG et des API, y compris les renseignements dépersonnalisés, soient détruits au plus tard cent vingt-cinq (125) jours après l’orientation. Pour les employés et consultants, les données sont conservées six (6) ans après la fin de l’emploi ou de la prestation de service, conformément aux obligations légales de l’Agence du revenu du Canada.

Notre engagement à préserver votre confidentialité

Au sein de VITR.AI, la protection de vos renseignements personnels constitue une priorité. Nous veillons à ce que nos politiques et pratiques en matière de confidentialité et de sécurité soient clairement communiquées à l’ensemble de nos employés et consultants, et nous mettons en place des mesures rigoureuses pour assurer leur application. Nous nous engageons à maintenir des standards élevés de sécurité de l’information et à promouvoir une culture organisationnelle axée sur la protection des renseignements personnels.

Formation et sensibilisation

Au sein de VITR.AI, nous formons régulièrement nos employés et consultants pour qu’ils comprennent bien comment protéger les renseignements personnels et sécuriser nos systèmes. Cela leur permet de savoir quoi faire, de repérer les risques et de suivre nos règles de sécurité au quotidien. En agissant ainsi, nous faisons en sorte que vos renseignements personnels soient mieux protégés et que nos pratiques respectent les standards de sécurité de l’information.

Révision et mise à jour de la politique

Nous nous réservons le droit de réviser et de mettre à jour la présente politique de confidentialité en tout temps afin de l’adapter à l’évolution de nos pratiques, de nos activités ou des exigences légales et réglementaires applicables. Lorsqu’une mise à jour est effectuée, nous actualisons la date de la dernière modification au début de la présente politique et publions la version révisée sur notre site web ou sur toute autre plateforme pertinente. Si les changements sont importants, nous diffuserons un avis clair et visible afin de vous en informer adéquatement.

Nous vous encourageons à consulter régulièrement la présente politique afin de demeurer informés de la manière dont nous traitons vos renseignements personnels. En continuant d’utiliser notre site web, nos logiciels ou nos services après la publication d’une version révisée, vous êtes réputé accepter les modifications apportées. Si vous n'adhère pas aux conditions mises à jour, nous vous invitons à cesser l’utilisation de nos services.

Nomination du Responsable de la protection des renseignements personnels

VITR.AI a nommé Me Arianne Patenaude à titre de Responsable de la protection des renseignements personnels.

Coordonnées:
Me Arianne Patenaude, Conseillère juridique et conformité
VITR.AI 126, rue Principale (suite 100) Granby (Québec) J2G 2V2
[email protected]

N’hésitez pas à communiquer avec notre responsable pour toute question sur la présente politique de confidentialité.