Canada — Québec — ANX-CA-QC : Conditions du mandat et du contrat de service, et communication à l'extérieur du Québec
Identifiant du document : ANX-CA-QC · Version : 1.0 · Date d'entrée en vigueur : [[TO CONFIRM: date de publication]]
Langue : la présente version française fait foi. La version anglaise (../annex-ca-qc.md) est une traduction de commodité. La version française de l'Entente-cadre et de la présente Annexe est présentée en premier à la Clinique (Charte de la langue française, art. 55). La Clinique n'est liée par une version anglaise que si, après que la version française lui a été remise, elle a expressément choisi de l'être (clause 22 de l'Entente-cadre).
S'applique : aux Cliniques du Québec. Fait partie de l'Entente-cadre sur le traitement des données (l'« Entente-cadre »). Les termes définis dans l'Entente-cadre ont le même sens dans la présente Annexe.
1. Parties et rôles
1.1 Rôles. À l'égard des renseignements personnels des patients de la Clinique contenus dans DentalX :
- la Clinique est la personne qui exploite une entreprise (et, lorsque la Loi sur les renseignements de santé et de services sociaux (RLRQ, c. R-22.1) s'applique à elle, l'organisme) qui détient les renseignements; et
- VstreamX est son mandataire ou prestataire de services au sens de l'article 18.3 de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1, la « Loi sur le privé »).
1.2 Professionnels. Lorsque les dentistes de la Clinique détiennent les dossiers de leurs propres patients à titre de professionnels en vertu du Code des professions et des règlements de l'Ordre des dentistes du Québec, chacun d'eux est partie à la présente Annexe par l'entremise du certificat d'acceptation (clause 21 de l'Entente-cadre).
2. Mandat confié par écrit (Loi sur le privé, art. 18.3)
2.1 Le mandat écrit. La Clinique confie par écrit à VstreamX, au moyen de l'Entente-cadre et de la présente Annexe, l'hébergement et le traitement des renseignements personnels décrits à l'Appendice 1 de l'Entente-cadre.
2.2 Mesures que VstreamX doit prendre. Comme l'exige l'article 18.3, VstreamX prend les mesures suivantes :
- (a) Confidentialité. Elle assure la protection du caractère confidentiel des renseignements qui lui sont communiqués, au moyen des mesures de l'Appendice 2 et des obligations de confidentialité et de secret de la clause 5 de l'Entente-cadre.
- (b) Utilisation aux seules fins du mandat. Elle n'utilise les renseignements que dans l'exercice du mandat (clauses 3 et 4 de l'Entente-cadre).
- (c) Aucune conservation après la fin. Elle ne conserve pas les renseignements après l'expiration du mandat. La seule exception vise les sauvegardes de la base de données, qui expirent dans les 7 jours suivant la suppression et ne servent qu'à la reprise après une défaillance (clause 14.5(a) de l'Entente-cadre). Les versions antérieures des fichiers, la piste de vérification et les choix de désabonnement WhatsApp sont supprimés à la date de suppression (clause 14.5(b) à (d) de l'Entente-cadre), et rien n'est conservé en vertu de la clause 14.5(e) de l'Entente-cadre.
- (d) Avis des violations. Elle avise sans délai le responsable de la protection des renseignements personnels de la Clinique de toute violation, ou tentative de violation, par quiconque, de toute obligation relative à la confidentialité des renseignements communiqués. L'avis est en tout état de cause donné dans les 24 heures prévues à la clause 9 de l'Entente-cadre, et vise également les tentatives que VstreamX détecte et qui auraient pu compromettre les renseignements.
- (e) Vérifications. Elle permet au responsable de la protection des renseignements personnels d'effectuer toute vérification relative à ces exigences de confidentialité (clause 12 de l'Entente-cadre).
3. Communication à l'extérieur du Québec (Loi sur le privé, art. 17)
3.1 Où vont les renseignements. Les renseignements sont communiqués à l'extérieur du Québec :
- à VstreamX, au Manitoba; et
- à ses Sous-traitants aux États-Unis et dans d'autres pays (clause 13.1 et Appendice 3 de l'Entente-cadre).
3.2 L'évaluation de la Clinique. Avant de communiquer les renseignements, la Clinique procède à une évaluation des facteurs relatifs à la vie privée (« EFVP »). L'EFVP tient compte notamment :
- de la sensibilité des renseignements;
- de la finalité de leur utilisation;
- des mesures de protection, y compris celles qui sont contractuelles, dont les renseignements bénéficieraient; et
- du régime juridique applicable dans l'État où les renseignements seraient communiqués, y compris les principes de protection des renseignements personnels qui y sont applicables.
3.3 La présente entente écrite. La communication fait l'objet de la présente entente écrite. L'entente tient compte des résultats de l'EFVP au moyen des mesures de l'Appendice 2, des clauses 4, 5, 7, 13 et 16 de l'Entente-cadre et de la présente Annexe. Lorsque l'EFVP de la Clinique relève des mesures d'atténuation supplémentaires qu'elle exige, la Clinique les inscrit dans le Service. VstreamX, selon le cas :
- confirme par écrit qu'elle les appliquera, auquel cas elles font partie de la présente entente; ou
- indique à la Clinique pourquoi elle ne peut pas les appliquer.
3.4 Trousse d'EFVP. VstreamX fournit à la Clinique, sans frais et en français, une trousse d'EFVP comprenant :
- (a) la description du traitement et des flux de données;
- (b) les Appendices 1, 2 et 3 de l'Entente-cadre;
- (c) une description du régime juridique du Manitoba, du Canada et des États-Unis applicable aux renseignements, y compris l'accès par les autorités publiques, et l'évaluation des transferts effectuée par VstreamX;
- (d) les mesures qui atténuent les risques; et
- (e) un modèle d'EFVP prérempli, qui suit le guide de la Commission d'accès à l'information (« CAI »).
[[TO CONFIRM: trousse et modèle d'EFVP en français achevés avant l'ouverture du Québec]]
3.5 Condition préalable aux données des patients. La Clinique ne peut ajouter de dossiers de patients dans DentalX qu'après que son responsable de la protection des renseignements personnels a attesté dans le Service que l'EFVP a été réalisée et qu'elle conclut que les renseignements bénéficieront d'une protection adéquate. La Clinique conserve l'EFVP et peut la téléverser dans le Service.
4. Projet de système d'information (Loi sur le privé, art. 3.3)
L'adoption de DentalX par la Clinique constitue un projet d'acquisition d'un système d'information impliquant des renseignements personnels. L'EFVP visée à la clause 3 peut aussi tenir lieu de l'évaluation qu'exige l'article 3.3. VstreamX fournit, sur demande, les renseignements nécessaires pour satisfaire à l'article 3.3 :
- le fait que le système permet de communiquer les renseignements dans un format technologique structuré et couramment utilisé; et
- les mesures qui protègent les renseignements.
5. Incidents de confidentialité
5.1 Avis. VstreamX avise la Clinique de tout incident de confidentialité (accès, utilisation ou communication non autorisés par la loi, perte ou toute autre atteinte à la protection) conformément à la clause 2.2(d).
5.2 Ce que fournit VstreamX. Elle fournit les renseignements dont la Clinique a besoin pour :
- (a) évaluer le risque de préjudice sérieux;
- (b) aviser avec diligence la CAI et les personnes concernées lorsqu'il existe un risque de préjudice sérieux; et
- (c) inscrire l'incident dans son registre des incidents de confidentialité, que la Clinique doit tenir pour tous les incidents.
6. Loi sur les renseignements de santé et de services sociaux (R-22.1)
Dans la mesure où la Loi R-22.1 s'applique à la Clinique, VstreamX s'engage en outre à :
- (a) faire signer à chaque membre de son personnel susceptible d'avoir accès aux renseignements un engagement de confidentialité avant cet accès;
- (b) n'utiliser que des produits et services technologiques qui satisfont aux exigences applicables en vertu de la Loi R-22.1, et informer la Clinique à l'avance de tout changement de Sous-traitant, afin que la Clinique puisse vérifier ces exigences avant le changement (la clause 7.5 de l'Entente-cadre s'applique);
- (c) fournir à la Clinique, sur demande, tout renseignement sur les mesures de sécurité et le traitement;
- (d) permettre les vérifications de la Clinique et des autorités compétentes;
- (e) aviser immédiatement la Clinique de tout incident de confidentialité; et
- (f) ne pas conserver les renseignements après la fin du contrat (clause 2.2(c)).
[[TO CONFIRM: avis des conseillers sur l'application de la Loi R-22.1 aux cabinets dentaires privés, et dispositions exactes à citer]]
7. Droits des personnes concernées
7.1 Assistance. VstreamX aide la Clinique dans les 5 jours ouvrables suivant sa demande (clause 8 de l'Entente-cadre) à répondre aux demandes d'accès, de rectification et de portabilité dans le délai de 30 jours.
7.2 Portabilité. Le Service exporte le dossier d'un patient, et l'ensemble des données de la Clinique, dans un format technologique structuré et couramment utilisé.
8. Identification, localisation et profilage
DentalX ne comporte aucune fonction permettant d'identifier, de localiser ou d'effectuer un profilage d'une personne au moyen d'une technologie. Si VstreamX en introduisait une, elle serait désactivée par défaut, et la Clinique en serait informée au préalable (Loi sur le privé, art. 8.1).
9. Langue française
- Les versions françaises. VstreamX fournit les Conditions d'utilisation, la Politique de confidentialité, l'Entente-cadre, la présente Annexe, la trousse d'EFVP et l'Exemplaire signé en français, sans frais supplémentaires. Les versions françaises font foi, sauf si la Clinique, après qu'elles lui ont été remises, a expressément choisi d'être liée par les versions anglaises (Charte de la langue française, art. 55).
- L'interface. L'interface utilisateur de DentalX est offerte en français. [[TO CONFIRM: interface française achevée avant l'ouverture du Québec]]
10. Clauses portées à l'attention de la Clinique
L'Entente-cadre et les Conditions sont présentées intégralement dans la zone de défilement avant l'acceptation, et les termes clés y sont mis en évidence. Les clauses suivantes sont expressément portées à la connaissance de la Clinique, afin qu'elles la lient au sens des articles 1435 et 1436 du Code civil du Québec :
- la limitation de responsabilité (section 18 des Conditions; clause 17 de l'Entente-cadre);
- le choix du droit et des tribunaux du Manitoba (section 23 des Conditions; clause 23 de l'Entente-cadre); et
- la liste des sous-traitants (Appendice 3 de l'Entente-cadre).
11. Conservation
- L'obligation de la Clinique. La Clinique conserve ses dossiers pendant la durée qu'exige le règlement de l'Ordre des dentistes du Québec sur la tenue des dossiers : au moins 5 ans à compter de la dernière inscription. [[TO CONFIRM: référence et durée du règlement de l'ODQ en vigueur]]
- Aucune suppression automatique. DentalX ne supprime pas automatiquement les dossiers cliniques.
12. Droit applicable
- Le droit québécois s'applique. La Loi sur le privé et, lorsqu'elle s'applique, la Loi R-22.1 s'appliquent aux renseignements, quel que soit le droit qui régit la relation commerciale. Il en va de même des articles 1435 à 1437 du Code civil du Québec, qui s'appliquent au contrat d'adhésion.
- Aucune renonciation. Rien dans les Conditions ni dans l'Entente-cadre n'emporte renonciation à ces dispositions.
Points à confirmer avant la publication (Québec)
- La date de publication.
- La trousse et le modèle d'EFVP en français, achevés avant l'ouverture du Québec (§3.4).
- L'avis des conseillers sur l'application de la Loi R-22.1 aux cabinets dentaires privés, et les dispositions à citer (§6).
- L'interface française, achevée avant l'ouverture du Québec (§9).
- La référence et la durée du règlement de l'ODQ sur la tenue des dossiers (§11).