Entente-cadre sur le traitement des données

Entente-cadre sur le traitement des données de DentalX

Identifiant du document : MDPA · Version : 1.0 · Langue : français · Date d'entrée en vigueur : [[TO CONFIRM: date de publication de la v1.0]] Statut : version finale soumise à la révision des conseillers juridiques. Pas encore publiée.

Texte faisant foi. La présente version française fait foi pour les Cliniques du Québec, sauf si la Clinique a expressément choisi, après que la version française lui a été remise, d'être liée par la version anglaise (clause 22).

Conventions de rédaction. Le texte entre «chevrons» est un champ de fusion : le serveur de DentalX le remplit à partir des données d'inscription ou d'acceptation avant l'affichage du document, et c'est le texte rempli qui est condensé (hachage) et consigné. Le texte entre [[TO CONFIRM: …]] est un fait encore inconnu; tous sont énumérés à la fin. Ni l'un ni l'autre ne figure dans une version publiée.

Parties

1. «Clinic legal name», «Clinic tax identifier type» «Clinic tax identifier», dont l'adresse est «Clinic address», «Country» (la « Clinique »); et
2. VstreamX Studio inc., société constituée sous le régime des lois de la province du Manitoba (Canada), dont le siège est situé au Office B – 1043 Rosser Ave, Brandon (Manitoba) R7A 0L5, Canada (« VstreamX »).

Chacune, une « Partie ».

Préambule

A. VstreamX fournit DentalX, un service logiciel infonuagique de gestion de cliniques dentaires, aux termes des Conditions d'utilisation de DentalX (les « Conditions »).

B. En fournissant DentalX, VstreamX traite, pour le compte de la Clinique, des renseignements personnels concernant les patients de la Clinique et d'autres personnes, y compris des renseignements de santé.

C. Les lois applicables à la Clinique exigent une entente écrite avec le prestataire qui traite des renseignements personnels, et en particulier des renseignements personnels sur la santé, pour le compte de la Clinique. La présente Entente est cette entente. Lorsqu'une loi prescrit un contenu que la présente Entente ne comporte pas, l'Annexe nationale ou l'Instrument de transfert propre au pays de la Clinique le fournit.

D. En conséquence, les Parties conviennent de ce qui suit.

1. Définitions et interprétation

1.1 Définitions. Dans la présente Entente :

• « Entente » désigne la présente Entente-cadre sur le traitement des données, ses Appendices ainsi que les Annexes nationales et Instruments de transfert qui s'appliquent à la Clinique en vertu de la clause 2.3.
• « Législation applicable en matière de protection des données » désigne toute loi et tout règlement relatifs à la vie privée, à la protection des renseignements personnels, aux renseignements de santé ou au secret professionnel qui s'appliquent au traitement des Données de la Clinique en vertu de la présente Entente, notamment, dans la mesure où ils s'appliquent : la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1); la Loi sur les renseignements de santé et de services sociaux (RLRQ, c. R-22.1); la Loi sur la protection des renseignements personnels et les documents électroniques (« LPRPDE ») et les lois provinciales mentionnées dans les Annexes canadiennes; le Règlement général sur la protection des données de l'UE 2016/679 (« RGPD »); et les lois mentionnées dans les Annexes nationales.
• « Données de la Clinique » désigne tous les Renseignements personnels que VstreamX traite pour le compte de la Clinique en fournissant le Service. Elles comprennent les Données des patients et les renseignements personnels du personnel de la Clinique que celle-ci conserve dans DentalX. Elles ne comprennent pas les Données de compte.
• « Données de compte » désigne les renseignements personnels que VstreamX traite à titre de responsable indépendant pour gérer sa relation avec la Clinique : noms, adresses de courriel, rôles et journaux de connexion et de sécurité des Utilisateurs; contacts de facturation; et correspondance de soutien. La Politique de confidentialité de VstreamX régit les Données de compte.
• « Données des patients » a le sens que lui donnent les Conditions. Elles comprennent les renseignements de santé, les rendez-vous, les traitements, les odontogrammes, les radiographies, les photographies, les documents, les formulaires de consentement et leurs éléments de preuve de signature, les ordonnances, les factures et les messages échangés avec la Clinique.
• « Annexe nationale » désigne une annexe à la présente Entente propre à un pays ou à une province canadienne, énumérée à la Partie B de l'Index des annexes.
• « Instrument de transfert » désigne un ensemble de clauses contractuelles types, ou un contrat type adopté par une autorité publique, que les Parties concluent au moyen de la présente Entente : les clauses contractuelles types de l'UE (TM-EEA), l'Addendum britannique sur les transferts internationaux de données (TM-UK), les clauses contractuelles types de l'ANPD (TM-BR) et le contrat type argentin (TM-AR).
• « Personne concernée » désigne la personne physique identifiée ou identifiable que concernent les Données de la Clinique.
• « Instructions » a le sens que lui donne la clause 3.1.
• « Renseignements personnels » désigne tout renseignement qui concerne une Personne concernée, y compris les « renseignements personnels », les « renseignements personnels sur la santé », les « données à caractère personnel », les « datos personales » et les « dados pessoais » au sens de la Législation applicable en matière de protection des données.
• « Incident de confidentialité » désigne toute atteinte à la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte ou l'altération de Données de la Clinique traitées par VstreamX ou un Sous-traitant, ou leur communication ou l'accès à celles-ci sans autorisation. Il comprend l'« incident de confidentialité » au sens de la Loi sur le privé, la « violation de données à caractère personnel » au sens du RGPD et toute notion équivalente de la Législation applicable en matière de protection des données.
• « Incident de sécurité » désigne un Incident de confidentialité, ou une tentative ou un soupçon d'incident que VstreamX estime raisonnablement susceptible de compromettre les Données de la Clinique.
• « Service » désigne DentalX au sens des Conditions.
• « Sous-traitant » désigne le tiers auquel VstreamX confie le traitement de Données de la Clinique. Les Sous-traitants à la date d'entrée en vigueur sont énumérés à l'Appendice 3.
• « Autorité de surveillance » désigne l'autorité publique compétente en matière de protection des renseignements personnels ou de surveillance des renseignements de santé à l'égard de la Clinique ou de VstreamX, notamment la Commission d'accès à l'information du Québec.
• « Utilisateurs » a le sens que lui donnent les Conditions.

1.2 Désignation des rôles. La Législation applicable en matière de protection des données emploie des termes différents pour les mêmes rôles. Dans la présente Entente, « responsable » et « sous-traitant » désignent les rôles du tableau suivant, quel que soit le terme employé par la loi de la Clinique.

1.3 Interprétation. « Notamment » et « y compris » n'ont pas de caractère limitatif. Les intertitres n'ont pas d'incidence sur le sens. Le renvoi à une loi vise cette loi telle que modifiée ou remplacée. « Jour ouvrable » désigne tout jour autre qu'un samedi, un dimanche ou un jour férié au Manitoba. « Par écrit » comprend le courriel et les avis donnés dans le Service.

2. Portée, structure et formation

2.1 Portée. La présente Entente s'applique à tout traitement de Données de la Clinique par VstreamX et ses Sous-traitants dans le cadre de la fourniture du Service à la Clinique. Elle complète la section 8 des Conditions. En cas de conflit, la clause 19 détermine laquelle prévaut.

2.2 États-Unis. La présente Entente ne s'applique pas à une Clinique dont le pays inscrit dans le Service est les États-Unis. Le Business Associate Agreement de DentalX régit les Données de la Clinique de ces Cliniques.

2.3 Annexes applicables. Les Annexes nationales et Instruments de transfert qui font partie de la présente Entente pour la Clinique sont ceux qu'énumère l'Index des annexes pour le pays de la Clinique (et, au Canada, sa province), tels que les consigne le certificat d'acceptation de l'Exemplaire signé. L'annexe d'un autre pays ne s'applique pas à la Clinique.

2.4 Formation. La présente Entente est formée lorsque le signataire autorisé de la Clinique l'accepte électroniquement dans le Service. VstreamX l'accepte à l'avance : sa signature électronique, apposée par un dirigeant autorisé, figure au certificat d'acceptation. L'acceptation électronique a le même effet qu'une signature manuscrite, conformément à la clause 25.2.

2.5 Exemplaire signé. Au moment de l'acceptation, VstreamX produit un PDF du texte intégral accepté, comportant les champs de fusion remplis et un certificat d'acceptation (l'« Exemplaire signé »). VstreamX le transmet par courriel au signataire et à l'adresse du propriétaire de la Clinique, et le garde accessible sous Paramètres › Juridique dans le Service tant que la Clinique a un compte, puis sur demande.

3. Instructions

3.1 Instructions documentées. VstreamX ne traite les Données de la Clinique que selon les instructions documentées de la Clinique (les « Instructions »). Les Instructions sont :

• (a) la présente Entente et les Conditions;
• (b) la configuration et l'utilisation du Service par la Clinique par l'entremise de ses Utilisateurs, notamment les fonctions qu'elle active, les messages qu'elle envoie, les patients qu'elle crée ainsi que les exportations et suppressions qu'elle effectue; et
• (c) toute autre instruction écrite du propriétaire de la Clinique qui est compatible avec les Conditions et que VstreamX accepte par écrit.

3.2 Traitement exigé par la loi. VstreamX ne traite autrement les Données de la Clinique que si une loi à laquelle elle est assujettie l'exige. Le cas échéant, elle informe la Clinique de cette exigence légale avant le traitement, sauf si cette loi l'interdit pour des motifs importants d'intérêt public.

3.3 Instructions illicites. VstreamX informe immédiatement la Clinique si, à son avis, une Instruction contrevient à la Législation applicable en matière de protection des données. VstreamX peut suspendre le traitement visé jusqu'à ce que la Clinique confirme ou modifie l'Instruction. Ce faisant, VstreamX ne fournit aucun avis juridique à la Clinique.

3.4 Responsabilités de la Clinique. La Clinique est responsable de la licéité des Instructions et de son traitement. En particulier, la Clinique :

• (a) dispose du fondement juridique, et de tout consentement exigé par la loi, pour les Données de la Clinique qu'elle saisit et pour le traitement que le Service effectue pour son compte, y compris la conservation aux États-Unis décrite à la clause 13;
• (b) donne à ses patients les avis qu'exige la Législation applicable en matière de protection des données, y compris tout avis portant que leurs renseignements sont traités par un prestataire de services et conservés à l'extérieur du Québec;
• (c) décide de la durée de conservation des Données de la Clinique, conformément à la clause 15; et
• (d) accomplit les démarches que sa loi lui impose et qu'aucune entente avec VstreamX ne peut accomplir à sa place, telles que les énumère l'Annexe nationale (par exemple, une évaluation des facteurs relatifs à la vie privée, une inscription ou un avis à une autorité).

4. Limitation des finalités et interdiction d'utilisation aux fins propres de VstreamX

4.1 VstreamX ne traite les Données de la Clinique que pour fournir, protéger et soutenir le Service pour la Clinique, et dans la mesure permise par la clause 3.2.

4.2 VstreamX ne fait pas, et s'assure que ses Sous-traitants ne font pas, ce qui suit :

• (a) vendre, louer ou concéder sous licence des Données de la Clinique, ou les communiquer à quiconque pour les fins propres de cette personne;
• (b) utiliser des Données de la Clinique à des fins de publicité, de marketing, de profilage ou d'analyse qui lui sont propres;
• (c) utiliser des Données de la Clinique, ou tout résultat qui en est dérivé, pour entraîner, affiner, évaluer ou autrement améliorer un modèle d'intelligence artificielle, qu'il s'agisse du sien ou de celui d'un tiers;
• (d) créer, à partir des Données de la Clinique, des données dépersonnalisées, anonymisées ou agrégées pour son propre usage. Cela n'empêche pas le traitement que la Clinique effectue elle-même dans le Service, comme l'anonymisation d'un patient sur instruction de la Clinique; ni
• (e) combiner des Données de la Clinique avec des renseignements personnels d'autres cliniques ou d'autres sources, sauf dans la mesure où l'utilisation du Service par la Clinique elle-même l'exige.

4.3 Si VstreamX déterminait les finalités ou les moyens d'un traitement de Données de la Clinique en contravention de la présente Entente, elle serait responsable de ce traitement, avec la responsabilité qui en découle (clause 17.2(c)).

4.4 Données de fonctionnement du Service. VstreamX peut traiter les mesures techniques et d'utilisation, les rapports d'erreurs et les journaux de serveur que génère le Service, uniquement pour exploiter et protéger le Service pour la Clinique et en corriger les défaillances. Elle ne les utilise à aucune autre fin qui lui soit propre, notamment le développement de produits, l'analytique ou l'étalonnage. Ils ne sont pas conservés plus longtemps que ne l'indique l'Appendice 2. VstreamX en exclut les Données de la Clinique dans la mesure raisonnablement possible et ne les utilise pas pour identifier ou profiler une Personne concernée.

5. Confidentialité et secret professionnel

5.1 VstreamX préserve la confidentialité des Données de la Clinique.

5.2 VstreamX ne permet l'accès aux Données de la Clinique qu'aux membres de son personnel qui en ont besoin pour exploiter, protéger ou soutenir le Service, ou pour répondre à une demande de la Clinique, et uniquement dans la mesure de ce besoin.

5.3 Chacune de ces personnes est liée, avant d'obtenir l'accès, par un engagement écrit de confidentialité. Cet engagement équivaut au secret professionnel qui lie les professionnels de la santé de la Clinique. Il vise tous les renseignements de santé et subsiste après la fin du travail de la personne pour VstreamX.

5.4 Chaque Sous-traitant est lié, par son contrat avec VstreamX, par les obligations de confidentialité que l'Appendice 3 indique à son égard, et les Données de la Clinique sont protégées entre ses mains par le chiffrement décrit à l'Appendice 2. VstreamX ne déclare pas qu'un Sous-traitant est tenu au secret professionnel, ou à une obligation de secret équivalente, sauf si l'Appendice 3 l'indique. VstreamX demeure responsable de chaque Sous-traitant en vertu de la clause 7.6.

5.5 La console d'administration de DentalX n'affiche pas les dossiers des patients au personnel de soutien de VstreamX. Les personnes qui administrent le projet Google Cloud de VstreamX peuvent techniquement accéder aux données stockées. Elles ne le font que pour maintenir le Service en fonction ou en sécurité, à la demande de la Clinique ou lorsque la loi l'exige, et chacun de ces accès est journalisé conformément à l'Appendice 2.

5.6 La présente clause 5 survit sans limite de temps à la fin de la présente Entente.

6. Sécurité

6.1 VstreamX met en œuvre et maintient les mesures techniques et organisationnelles de l'Appendice 2. Compte tenu de l'état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les Personnes concernées, ces mesures assurent un niveau de sécurité adapté au risque, y compris pour les renseignements de santé.

6.2 VstreamX peut mettre à jour les mesures. Aucune mise à jour ne doit réduire le niveau global de protection des Données de la Clinique pendant la durée de l'Entente. VstreamX publie les modifications importantes avec l'Appendice 2 en vigueur.

6.3 Chiffrement et garde des clés. L'Appendice 2 indique quelles Données de la Clinique sont chiffrées par champ, au moyen de quel algorithme et où les clés sont conservées. Il indique aussi contre quoi ce chiffrement protège et contre quoi il ne protège pas. VstreamX ne présente pas le chiffrement comme une protection contre l'accès de son fournisseur d'hébergement, sauf si les clés sont hors du contrôle de ce fournisseur.

6.4 Authentification multifacteur. VstreamX met l'authentification multifacteur à la disposition de tous les Utilisateurs. Lorsqu'une Annexe nationale ou la Législation applicable en matière de protection des données l'exige, VstreamX la rend obligatoire pour les Utilisateurs de cette Clinique.

6.5 La part de la sécurité qui incombe à la Clinique. La Clinique est responsable :

• (a) de la sécurité de ses propres appareils et réseaux;
• (b) d'attribuer à chaque Utilisateur le rôle minimal dont il a besoin, et de retirer l'accès promptement lorsqu'il doit prendre fin;
• (c) d'exiger l'authentification multifacteur lorsque sa loi ou son niveau de risque le requiert;
• (d) de la confidentialité des identifiants de ses Utilisateurs; et
• (e) de la sécurité de tout compte qui lui est propre et qu'elle connecte au Service (par exemple, son propre Google Agenda ou son propre compte WhatsApp Business), lequel n'est pas un Sous-traitant.

7. Sous-traitants

7.1 Autorisation générale. La Clinique accorde à VstreamX une autorisation écrite générale de recourir à des Sous-traitants. La Clinique autorise expressément les Sous-traitants énumérés à l'Appendice 3 à la date d'entrée en vigueur.

7.2 Transmission contractuelle des obligations. VstreamX ne retient un Sous-traitant qu'au moyen d'un contrat écrit qui lui impose les mêmes obligations de protection des données que celles que la présente Entente impose à VstreamX, pour ce qui est du traitement qu'il effectue. Ce contrat lie au minimum le Sous-traitant sur chacun des points de l'article 28(3)(a) à (h) du RGPD : instructions, confidentialité, sécurité, conditions du recours à d'autres sous-traitants, assistance relative aux demandes des personnes concernées, à la sécurité, aux incidents et aux évaluations, suppression ou restitution à la fin, et information et vérification. Pour le Brésil, ce contrat lie aussi le Sous-traitant aux garanties des clauses contractuelles types de l'ANPD, comme l'exige le TM-BR. L'Appendice 3 indique, pour chaque Sous-traitant, les conditions contractuelles qui le prévoient. VstreamX n'achemine pas les données d'une Clinique vers un Sous-traitant dont le contrat ne respecte pas la présente clause. [[TO CONFIRM: correspondance du Data Processing Addendum de Google Cloud, des conditions de traitement de Google Workspace et des conditions de traitement de WhatsApp Business de Meta avec l'article 28(3)(a) à (h) du RGPD et les clauses de l'ANPD, consignée à l'Appendice 3]]

7.3 Avis de changement. VstreamX publie tout Sous-traitant nouveau ou remplaçant appelé à traiter des Données de la Clinique sur la page des sous-traitants de DentalX au moins 30 jours avant qu'il ne commence à les traiter. Elle en avise aussi le propriétaire de la Clinique par courriel et dans le Service. L'avis indique le nom du Sous-traitant, son service, son emplacement et le mécanisme de transfert.

7.4 Opposition. La Clinique peut s'opposer au changement pour des motifs raisonnables liés à la protection des données, par écrit, avant que le changement ne prenne effet. Les Parties examineront l'opposition de bonne foi. Si elles ne parviennent pas à la régler, la Clinique peut résilier le Service visé avant que le changement ne prenne effet. Elle conserve alors son droit d'exporter ses données conformément à la clause 14, et VstreamX rembourse les frais payés d'avance pour la période postérieure à la résiliation.

7.5 Consentement exprès lorsque la loi l'exige. Lorsqu'une Annexe nationale ou un Instrument de transfert exige le consentement préalable, particulier ou écrit de la Clinique à l'égard d'un nouveau Sous-traitant, VstreamX demande ce consentement dans le Service avant d'acheminer les données de la Clinique au nouveau Sous-traitant. Si la Clinique ne consent pas, VstreamX ne lui achemine pas ses données. Si cela n'est pas techniquement possible, VstreamX offre à la Clinique, avant que le changement ne prenne effet, la résiliation avec exportation et le remboursement prévu à la clause 7.4.

7.6 Responsabilité à l'égard des Sous-traitants. VstreamX demeure pleinement responsable envers la Clinique de l'exécution des obligations de chaque Sous-traitant, comme s'il s'agissait des siennes.

7.7 Suspension d'urgence. Si le traitement effectué par un Sous-traitant met en danger la sécurité des Données de la Clinique, VstreamX peut suspendre immédiatement l'acheminement des Données de la Clinique vers ce Sous-traitant, et en avise la Clinique dès que possible. La suspension n'ajoute aucun nouveau destinataire des Données de la Clinique. Tout Sous-traitant nouveau ou remplaçant n'est retenu que conformément à la clause 7.3, ou à la clause 7.5 lorsqu'elle s'applique, avec le préavis complet et le droit d'opposition ou de consentement que ces clauses accordent.

8. Assistance relative aux demandes des Personnes concernées

8.1 Libre-service. Le Service permet au propriétaire et aux gestionnaires de la Clinique d'exporter, de rectifier, de supprimer et d'anonymiser le dossier d'un patient, et d'exporter l'ensemble des données de la Clinique, dans des formats structurés, couramment utilisés et lisibles par machine. La plupart des demandes des Personnes concernées peuvent donc être traitées par la Clinique sans VstreamX.

8.2 Assistance supplémentaire. Lorsque la Clinique a besoin d'un renseignement ou d'une intervention que seule VstreamX peut fournir pour répondre à la demande d'une Personne concernée (accès, rectification, effacement, limitation ou blocage, portabilité, opposition, retrait du consentement ou tout droit équivalent prévu par la Législation applicable en matière de protection des données, y compris les droits ARCO et d'habeas data et les droits prévus à l'article 18 de la LGPD du Brésil), VstreamX le fournit dans les 5 jours ouvrables suivant la demande écrite de la Clinique, ou plus tôt si l'Annexe nationale l'exige.

8.3 Demandes reçues par VstreamX. Si VstreamX reçoit directement d'une Personne concernée une demande portant sur des Données de la Clinique, elle la transmet à la Clinique dans les 2 jours ouvrables et n'y répond pas, sauf pour confirmer sa transmission ou lorsque la loi exige que VstreamX y réponde.

8.4 L'assistance prévue à la présente clause est fournie sans frais supplémentaires.

9. Incidents de confidentialité

9.1 Avis à la Clinique. VstreamX avise la Clinique de tout Incident de confidentialité touchant des Données de la Clinique sans délai indu après en avoir pris connaissance. En tout état de cause, VstreamX donne un avis initial dans les 24 heures après avoir établi, avec un degré raisonnable de certitude, qu'un Incident de confidentialité s'est produit et qu'il touche des Données de la Clinique. Lorsqu'une Annexe nationale fixe un délai plus court ou un point de départ antérieur, cette Annexe s'applique.

9.2 Contenu. L'avis décrit, dans la mesure où ils sont alors connus :

• (a) la nature de l'incident, y compris, si possible, les catégories et le nombre approximatif de Personnes concernées et d'enregistrements visés;
• (b) le nom et les coordonnées du point de contact de VstreamX auprès duquel des renseignements supplémentaires peuvent être obtenus;
• (c) les conséquences probables de l'incident; et
• (d) les mesures prises ou proposées pour remédier à l'incident et en atténuer les éventuelles conséquences négatives.

Lorsque les renseignements ne peuvent être fournis en même temps, VstreamX les fournit de manière échelonnée, sans autre délai indu, à mesure qu'ils deviennent disponibles.

9.3 Assistance. VstreamX :

• (a) prend des mesures raisonnables pour contenir l'incident, enquêter et y remédier;
• (b) aide la Clinique à aviser les Autorités de surveillance et les Personnes concernées lorsque la Clinique doit le faire, notamment en fournissant les renseignements qu'elle détient et, à la demande de la Clinique, une ébauche des sections factuelles de ces avis; et
• (c) n'avise pas les patients de la Clinique ni l'Autorité de surveillance de la Clinique au nom de celle-ci sans instruction de la Clinique, sauf si la loi oblige VstreamX à le faire.

9.4 Obligations propres de VstreamX. Rien dans la présente clause ne limite une obligation que la loi impose à VstreamX elle-même, comme ses obligations à titre d'organisation en vertu de la LPRPDE ou l'obligation propre de déclaration d'un sous-traitant en vertu de la Législation applicable en matière de protection des données. Lorsque VstreamX doit faire une déclaration en son propre nom, elle en informe d'abord la Clinique, si la loi le permet.

9.5 Registre. VstreamX tient un registre de tout Incident de confidentialité touchant des Données de la Clinique : les faits, leurs effets et les mesures correctives prises. Elle conserve chaque inscription pendant au moins 24 mois, ou plus longtemps si la loi l'exige. Sur demande, elle remet à la Clinique les inscriptions qui la concernent.

9.6 Destinataires. Les avis prévus à la présente clause sont transmis à l'adresse courriel du propriétaire de la Clinique et au contact en matière de protection des renseignements personnels que la Clinique inscrit dans le Service, et s'affichent dans le Service. Une Annexe nationale peut exiger une adresse supplémentaire.

9.7 Absence de reconnaissance. Un avis donné en vertu de la présente clause ne constitue pas une reconnaissance de faute ou de responsabilité.

10. Évaluations des facteurs relatifs à la vie privée et consultation préalable

10.1 VstreamX fournit à la Clinique une assistance raisonnable à l'égard de toute évaluation des facteurs relatifs à la vie privée, analyse d'impact relative à la protection des données ou évaluation des incidences des transferts, et de toute consultation préalable d'une Autorité de surveillance, que la Législation applicable en matière de protection des données exige de la Clinique pour le traitement visé par la présente Entente. L'obligation se limite aux renseignements que VstreamX détient.

10.2 VstreamX met à disposition dans le Service, sans frais, une trousse d'évaluation comprenant :

• (a) une description du traitement et des flux de données;
• (b) les Appendices 1 à 3;
• (c) un résumé de l'évaluation des incidences des transferts effectuée par VstreamX à l'égard des transferts visés à la clause 13; et
• (d) pour les provinces et les pays qui l'exigent, un modèle prérempli dans le format qu'utilise l'autorité locale.

11. Registres et soutien aux inscriptions

11.1 VstreamX tient un registre des catégories de traitement qu'elle effectue pour le compte de la Clinique, comportant le contenu qu'exigent l'article 30(2) du RGPD, l'article 37 de la LGPD du Brésil et toute Législation applicable en matière de protection des données équivalente. VstreamX le met à la disposition de toute Autorité de surveillance qui le demande.

11.2 Lorsque la Clinique doit inscrire une banque de données ou un fichier, ou décrire ses sous-traitants ou ses transferts auprès d'une autorité, VstreamX fournit sur demande les renseignements sur VstreamX et ses Sous-traitants qu'exige l'inscription : identité, emplacement, traitement, transferts et sécurité.

12. Vérifications et renseignements de conformité

12.1 Renseignements. VstreamX met à la disposition de la Clinique tous les renseignements nécessaires pour démontrer le respect de la présente Entente. Elle le fait d'abord au moyen :

• (a) des Appendices 1 à 3 et de la trousse d'évaluation;
• (b) de réponses écrites aux questionnaires raisonnables de sécurité et de confidentialité de la Clinique, une fois par année ou après un Incident de confidentialité; et
• (c) de résumés des certifications indépendantes et des rapports d'audit de son Sous-traitant d'hébergement, et de copies lorsque les conditions de ce Sous-traitant le permettent.

12.2 Vérifications. Lorsque ces renseignements ne suffisent pas à démontrer la conformité, ou lorsqu'une Autorité de surveillance l'exige, VstreamX permet les vérifications, y compris les inspections, effectuées par la Clinique ou par un vérificateur indépendant mandaté par elle, et y contribue, aux conditions suivantes :

• (a) Préavis : au moins 30 jours de préavis écrit, sauf après un Incident de confidentialité ou à la demande d'une Autorité de surveillance.
• (b) Fréquence : au plus une fois par période de 12 mois, sauf après un Incident de confidentialité ou à la demande d'une Autorité de surveillance.
• (c) Déroulement : pendant les heures d'ouverture et sans compromettre la sécurité du Service ni la confidentialité des données d'autres cliniques. Le vérificateur est tenu à la confidentialité et n'est pas un concurrent de VstreamX.
• (d) Sous-traitants : la vérification d'un Sous-traitant s'effectue au moyen des droits de vérification et des rapports que le Sous-traitant met à la disposition de VstreamX.
• (e) Coûts : chaque Partie assume ses propres coûts. Si la vérification révèle un manquement important de VstreamX à la présente Entente, VstreamX assume les coûts raisonnables de la vérification.

12.3 Autorités. VstreamX collabore avec toute Autorité de surveillance compétente à l'égard de la Clinique dans l'exercice de ses fonctions, et se soumet à une vérification par cette autorité lorsque la Législation applicable en matière de protection des données l'exige.

12.4 Correctifs. VstreamX corrige promptement tout manquement à la présente Entente révélé par une vérification, et informe la Clinique des mesures prises.

13. Communications à l'extérieur du Québec et transferts internationaux

13.1 Lieux de traitement des Données de la Clinique. À la date d'entrée en vigueur :

• la base de données est hébergée dans la multirégion des États-Unis de Google Cloud;
• les fichiers, les fonctions de serveur et les sauvegardes se trouvent dans la région us-central1 de Google Cloud (Iowa, États-Unis);
• les requêtes adressées aux fonctions d'IA sont traitées par Google Vertex AI dans la région Google Cloud indiquée à la ligne 2 de l'Appendice 3;
• les courriels sont traités par Google selon les conditions de Google Workspace indiquées à la ligne 3 de l'Appendice 3, et les messages WhatsApp par Meta, dans les pays qu'indique l'Appendice 3; et
• le personnel de VstreamX accède au Service depuis le Canada.

L'Appendice 3 indique l'emplacement de chaque Sous-traitant.

13.2 Instruction de transférer. En acceptant la présente Entente, la Clinique donne à VstreamX l'instruction de communiquer les Données de la Clinique aux emplacements visés à la clause 13.1 et à l'Appendice 3, et de les y traiter.

13.3 Mécanisme de transfert. Chaque transfert de Données de la Clinique restreint par la Législation applicable en matière de protection des données s'effectue selon le mécanisme que prévoit l'Annexe nationale ou l'Instrument de transfert de la Clinique. Pour le Québec, la communication à l'extérieur du Québec s'effectue conformément à l'Annexe ANX-CA-QC. VstreamX s'assure que chaque transfert ultérieur à un Sous-traitant s'effectue selon un mécanisme reconnu par la loi de la Clinique, et le consigne à l'Appendice 3.

13.4 Changement de mécanisme. Si un mécanisme de transfert est invalidé, suspendu ou cesse de couvrir un transfert, VstreamX, promptement :

• en informe la Clinique;
• met en place un mécanisme de rechange reconnu par la loi de la Clinique, qui peut être un Instrument de transfert faisant déjà partie de la présente Entente; et
• à défaut de solution de rechange dans un délai raisonnable, offre à la Clinique la résiliation avec exportation et le remboursement prévu à la clause 7.4.

13.5 Incidences des transferts. VstreamX tient à jour une évaluation des incidences des transferts portant sur les lois des États-Unis applicables à ses Sous-traitants et aux Données de la Clinique, ainsi que sur les mesures complémentaires de l'Appendice 2. Elle en remet un résumé à la Clinique dans la trousse d'évaluation et la met à jour en cas de changement important.

14. Restitution et suppression

La présente clause reprend et met en œuvre les sections 8.11 et 13 des Conditions. Lorsqu'une Annexe nationale en dispose autrement, cette Annexe s'applique.

14.1 Exportation en tout temps. Le propriétaire et les gestionnaires de la Clinique peuvent exporter les données de la Clinique en tout temps, y compris après une annulation et pendant une suspension. L'exportation comprend les dossiers des patients, les dossiers cliniques, financiers et de messagerie, les paramètres et les modèles, ainsi qu'une liste des fichiers stockés (radiographies, photographies, documents et formulaires de consentement signés). Chaque fichier peut être ouvert et téléchargé depuis le Service jusqu'à la suppression des données de la Clinique, sauf pendant une suspension de la Clinique. Le fichier d'exportation que crée la Clinique est supprimé des serveurs de VstreamX sept jours après sa création.

14.2 Après la fin de l'abonnement.

• (a) Pendant les 60 jours qui suivent la fin de l'abonnement, VstreamX conserve toutes les Données de la Clinique, et la Clinique peut les exporter.
• (b) Après ces 60 jours, VstreamX prépare une exportation complète des données de la Clinique et la met à la disposition du propriétaire de la Clinique.
• (c) Lorsque 90 jours se sont écoulés depuis la fin de l'abonnement sans nouvel abonnement, VstreamX supprime les Données des patients de la Clinique dans les 30 jours.
• (d) VstreamX informe le propriétaire de la Clinique par courriel, au moins 30 jours à l'avance, de la date à laquelle la suppression aura lieu.
• (e) La suppression des données de la Clinique supprime aussi l'exportation complète; la Clinique doit donc la télécharger avant cette date.

14.3 Suppression sur instruction. Lorsque le propriétaire de la Clinique donne par écrit à VstreamX l'instruction de supprimer les Données des patients de la Clinique, VstreamX met l'exportation complète à disposition et supprime les données 30 jours après avoir reçu l'instruction, sauf si celle-ci indique une date ultérieure.

14.4 Restitution plutôt que suppression. Au choix de la Clinique, l'exportation complète visée aux clauses 14.2(b) ou 14.3 constitue la restitution des Données de la Clinique. VstreamX ne conserve aucune copie après la suppression, sauf dans la mesure permise par la clause 14.5.

14.5 Ce qui subsiste après la suppression.

• (a) Sauvegardes. Les données supprimées demeurent dans les sauvegardes de la base de données de VstreamX jusqu'à leur expiration, dans les sept jours suivant la suppression. D'ici là, les sauvegardes demeurent assujetties aux protections de la présente Entente et ne servent qu'à la reprise après une défaillance.
• (b) Historique des versions de fichiers. Les versions antérieures des fichiers supprimés sont retirées de l'historique des versions du service de stockage dans le cadre de la suppression, à la date de suppression. [[TO CONFIRM: le retrait automatique des versions non courantes à la date de suppression est en fonction; d'ici là, VstreamX les retire manuellement lors de chaque suppression, et la présente phrase doit être exacte avant la publication]]
• (c) Piste de vérification. La piste de vérification de la Clinique fait partie des Données de la Clinique. Elle est incluse dans l'exportation complète, de sorte que la Clinique la conserve comme son propre dossier. À la date de suppression, VstreamX supprime sa copie, ou ne conserve que des décomptes agrégés qui ne permettent d'identifier aucun patient, Utilisateur ou autre personne. [[TO CONFIRM: mise en œuvre dans le produit de la suppression ou de l'anonymisation de la piste de vérification à la date de suppression]]
• (d) Registres de désabonnement WhatsApp. Lorsqu'un patient a répondu STOP ou START à des messages envoyés pour le compte de la Clinique depuis le numéro WhatsApp partagé de DentalX, ce choix fait partie des Données de la Clinique. Il est respecté tant que la Clinique utilise le Service et est supprimé avec les autres Données de la Clinique à la date de suppression. Il n'est jamais utilisé pour une autre clinique ni à une autre fin. [[TO CONFIRM: mise en œuvre dans le produit d'une liste d'exclusion propre à chaque clinique, supprimée à la date de suppression]]
• (e) Données que la loi oblige VstreamX à conserver. VstreamX ne conserve des Données de la Clinique après la date de suppression que lorsqu'une loi l'y oblige, uniquement pendant la durée qu'exige cette loi, et les protège conformément à la présente Entente jusqu'à leur suppression. Pour une Clinique de l'EEE, cette loi doit être le droit de l'Union ou d'un État membre; pour une Clinique du Royaume-Uni, le droit du Royaume-Uni; pour une Clinique du Québec, rien n'est conservé en vertu du présent paragraphe. Les registres contractuels propres à VstreamX (le registre d'acceptation et l'Exemplaire signé) ne sont pas des Données de la Clinique et sont conservés comme le prévoient la clause 2.5 et la Politique de confidentialité.

14.6 Conservation exigée de la Clinique. Les Données de la Clinique que la loi oblige la Clinique à conserver (par exemple, les dossiers cliniques) sont restituées à la Clinique au moyen de l'exportation. VstreamX ne les conserve pas pour le compte de la Clinique après la date de suppression, sauf si les Parties conviennent par écrit d'un service d'archivage distinct.

14.7 Attestation. Sur demande, VstreamX confirme par écrit à la Clinique la suppression, en précisant ce qui a été supprimé, à quel moment et ce qui subsiste en vertu de la clause 14.5.

15. Conservation pendant que le compte est actif

15.1 La Clinique décide de la durée de conservation des Données de la Clinique, et elle est responsable de conserver ses dossiers pendant la durée qu'exigent sa loi et ses règles professionnelles.

15.2 Tant que le compte de la Clinique est actif, DentalX ne supprime pas les dossiers cliniques selon un calendrier. Lorsque DentalX propose des durées de conservation par défaut selon le pays, il s'agit de valeurs que la Clinique peut modifier dans les limites de sa loi. Lorsque DentalX bloque la suppression avant l'expiration d'une durée minimale légale, la Clinique ne peut lever le blocage qu'en confirmant que la loi permet la suppression dans ce cas.

16. Demandes des autorités publiques

16.1 Si VstreamX reçoit d'une autorité publique, y compris un tribunal ou une autorité policière ou de sécurité nationale, une demande ou une ordonnance de communication de Données de la Clinique, VstreamX :

• (a) renvoie l'autorité à la Clinique lorsque c'est possible;
• (b) en avise promptement la Clinique, avec une copie de la demande, sauf si la loi interdit cet avis. Si l'avis est interdit, VstreamX déploie des efforts raisonnables pour obtenir la levée de l'interdiction;
• (c) évalue la légalité de la demande et la conteste lorsque, après une évaluation attentive, elle conclut qu'il existe des motifs raisonnables de la considérer illégale ou excessive; et
• (d) communique la quantité minimale de Données de la Clinique admissible dans sa réponse.

16.2 VstreamX tient un registre de ces demandes et, lorsque la loi le permet, fournit à la Clinique, sur demande, des renseignements agrégés à leur sujet au moins une fois par année.

16.3 VstreamX ne communique pas volontairement de Données de la Clinique à une autorité publique.

17. Responsabilité

17.1 Application des Conditions. La responsabilité de chaque Partie découlant de la présente Entente ou s'y rapportant est assujettie aux exclusions et à la limitation de la section 18 des Conditions. Cette limitation constitue un plafond global pour les Conditions et la présente Entente.

17.2 Ce que la limitation ne limite pas. En plus de ce qu'énumère la section 18.3 des Conditions, rien dans les Conditions ni dans la présente Entente ne limite ni n'exclut :

• (a) les droits des Personnes concernées à titre de tiers bénéficiaires en vertu d'un Instrument de transfert, ni la responsabilité d'une Partie envers les Personnes concernées en vertu de celui-ci;
• (b) toute responsabilité que la loi applicable à la Clinique ne permet pas de limiter ou d'exclure, y compris la responsabilité solidaire envers les Personnes concernées qu'impose la Législation applicable en matière de protection des données; ni
• (c) la responsabilité de VstreamX pour le traitement de Données de la Clinique en dehors des Instructions ou contrairement à celles-ci, ou à ses propres fins en contravention de la clause 4.

17.3 Sanctions. Chaque Partie assume les sanctions administratives pécuniaires que lui impose une Autorité de surveillance. Rien dans la présente Entente ne fait supporter à une Partie une sanction imposée à l'autre, sauf lorsque la loi permet un recours récursoire et dans la mesure où l'autre Partie en est la cause.

17.4 Indemnisation. Les obligations d'indemnisation de la section 19 des Conditions s'appliquent à la présente Entente.

18. Modifications de la présente Entente

18.1 Versions. Chaque document de la présente Entente porte son propre numéro de version selon le format MAJEURE.MINEURE.

18.2 Modifications mineures. VstreamX peut apporter une modification MINEURE, c'est-à-dire une précision, une correction ou une mise à jour des coordonnées qui ne réduit pas les droits de la Clinique ni n'augmente ses obligations. Elle prend effet dès sa publication. VstreamX consigne chaque modification MINEURE et l'affiche dans le Service.

18.3 Modifications majeures. Une modification MAJEURE est toute autre modification, y compris quant à la portée, à la responsabilité, aux transferts ou aux droits relatifs aux Sous-traitants, ou une nouvelle obligation propre au pays de la Clinique.

• (a) VstreamX en avise le propriétaire de la Clinique par courriel et dans le Service au moins 30 jours avant qu'une modification MAJEURE ne prenne effet, sauf si la loi exige qu'elle prenne effet plus tôt.
• (b) La Clinique l'accepte dans le Service.
• (c) Si la Clinique ne l'a pas acceptée à sa date de prise d'effet, l'accès de la Clinique aux fonctions qui traitent des Données des patients est restreint jusqu'à ce qu'elle l'accepte. L'exportation prévue à la clause 14.1 demeure disponible en tout temps.
• (d) Si la Clinique n'accepte pas une modification MAJEURE, elle peut résilier en vertu de la clause 7.4, avec le même remboursement.

18.4 Changement législatif. Si une modification de la Législation applicable en matière de protection des données, ou une décision d'une Autorité de surveillance, exige des conditions supplémentaires ou différentes, les Parties les adopteront à titre de modification ou de nouvelle Annexe nationale conformément à la clause 18.3. VstreamX peut aussi remplacer un Instrument de transfert par une version plus récente adoptée par l'autorité compétente.

18.5 Indépendance des annexes. Une Annexe nationale ou un Instrument de transfert peut être modifié sans nouvelle acceptation de la présente Entente-cadre, et la présente Entente-cadre sans nouvelle acceptation d'une annexe. Le registre d'acceptation indique la version de chaque document en vigueur pour la Clinique.

19. Préséance

19.1 En cas de conflit entre des documents, l'ordre de préséance suivant s'applique, du rang le plus élevé au plus bas :

1. les dispositions impératives de la Législation applicable en matière de protection des données;
2. les Instruments de transfert, qu'aucune autre stipulation de la présente Entente ou des Conditions ne peut exclure, modifier ou contredire;
3. l'Annexe nationale;
4. la présente Entente-cadre et ses Appendices; et
5. les Conditions.

19.2 Rien dans la présente Entente ni dans les Conditions ne doit être interprété comme limitant un Instrument de transfert ou y dérogeant, ni comme portant atteinte aux droits ou libertés fondamentaux des Personnes concernées en vertu de celui-ci.

20. Durée et résiliation

20.1 La présente Entente commence lorsqu'elle est formée conformément à la clause 2.4. Elle demeure en vigueur tant que VstreamX traite des Données de la Clinique pour le compte de la Clinique, y compris pendant les périodes visées à la clause 14.

20.2 Elle prend fin automatiquement lorsque VstreamX a supprimé les Données de la Clinique conformément à la clause 14, sous réserve des données que la clause 14.5 lui permet de conserver.

20.3 Les clauses 5, 14, 16, 17, 19, 23 et 24, ainsi que toute autre clause qui, par sa nature, doit survivre, survivent à la fin de la présente Entente. La présente Entente continue de s'appliquer à toute Donnée de la Clinique que VstreamX conserve en vertu de la clause 14.5.

20.4 La résiliation des Conditions constitue une résiliation du Service aux fins de la clause 14.

21. Pouvoir de lier et dépositaires

21.1 La personne qui accepte la présente Entente au nom de la Clinique déclare et garantit qu'elle est la propriétaire de la Clinique, sa représentante légale ou une personne ayant le pouvoir réel de la lier.

21.2 Lorsque la Législation applicable en matière de protection des données fait de professionnels individuels les dépositaires ou fiduciaires des renseignements de santé (comme dans plusieurs provinces canadiennes), cette personne déclare en outre qu'elle accepte la présente Entente au nom de chaque dépositaire ou fiduciaire inscrit au certificat d'acceptation, avec son autorisation. Subsidiairement, chaque dépositaire l'accepte individuellement.

21.3 Le dépositaire ou fiduciaire qui se joint ultérieurement à la Clinique doit accepter la présente Entente, ou y être ajouté conformément à la clause 21.2, avant de créer des dossiers de patients dans le Service.

21.4 VstreamX peut se fier à ces déclarations. La Clinique est responsable envers VstreamX si elles sont inexactes.

22. Langues

22.1 La présente Entente est rédigée en anglais. VstreamX la publie aussi en espagnol, en portugais et en français.

22.2 La langue qui fait foi est :

• l'espagnol pour les Cliniques du Mexique, de la Colombie, du Pérou, du Chili, de l'Argentine, de l'Équateur, du Guatemala, du Costa Rica, du Panama, de la République dominicaine et de l'Espagne;
• le portugais pour les Cliniques du Brésil;
• le français pour les Cliniques du Québec, sauf si la Clinique a expressément choisi, après que la version française lui a été remise, d'être liée par la version anglaise; et
• l'anglais pour toutes les autres Cliniques.

22.3 Les traductions des Instruments de transfert sont régies par les règles linguistiques de l'Instrument de transfert lui-même.

22.4 La version française de la présente Entente, de ses Appendices et de l'Annexe ANX-CA-QC est fournie sans frais.

23. Droit applicable et différends

23.1 La présente Entente-cadre est régie par le droit qui régit les Conditions (les lois de la province du Manitoba et les lois fédérales du Canada qui s'y appliquent), et les différends qui s'y rapportent relèvent des tribunaux désignés par les Conditions, sous réserve de ce qui suit :

• (a) chaque Instrument de transfert est régi par le droit qu'il désigne, et les différends qui en découlent relèvent des tribunaux qu'il désigne;
• (b) l'Annexe nationale qui désigne un droit applicable ou un for pour les questions de protection des données prévaut quant à ces questions;
• (c) les dispositions impératives de la Législation applicable en matière de protection des données s'appliquent, quel que soit le droit qui régit la présente Entente, y compris, pour une Clinique du Québec, la Loi sur le privé et les articles 1435 à 1437 du Code civil du Québec; et
• (d) rien dans la présente clause ne prive une Personne concernée du droit de s'adresser à l'Autorité de surveillance ou aux tribunaux du lieu de sa résidence, ni de tout autre droit que lui confère la Législation applicable en matière de protection des données.

24. Personnes-ressources et avis

24.1 Contact de VstreamX en matière de protection des renseignements personnels. Protection des renseignements personnels, VstreamX Studio inc., Office B – 1043 Rosser Ave, Brandon (Manitoba) R7A 0L5, Canada · admin@vstreamx.com. La personne responsable de la conformité de VstreamX est Ricardo Javier Sandoval Sandoval, directeur financier (Chief Financial Officer). [[TO CONFIRM: désignation, à la publication, d'une adresse privacy@ dédiée et d'un bureau externe de protection des renseignements personnels (DPO UE / encarregado Brésil / Oficial Panama / Oficial Pérou)]]

24.2 Représentants.

• Représentant de VstreamX dans l'Union européenne au sens de l'article 27 du RGPD : [[TO CONFIRM: nom et adresse du représentant dans l'UE au titre de l'art. 27]].
• Représentant de VstreamX au Royaume-Uni au sens de l'article 27 du UK GDPR : [[TO CONFIRM: nom et adresse du représentant au Royaume-Uni au titre de l'art. 27]].

24.3 Personnes-ressources de la Clinique. La Clinique inscrit dans le Service son responsable de la protection des renseignements personnels (ou l'équivalent) et tient cette information à jour. À défaut, les avis sont adressés au propriétaire de la Clinique.

24.4 Avis. Les avis prévus à la présente Entente sont donnés conformément à la section 22 des Conditions, et aussi dans le Service.

25. Dispositions générales

25.1 Intégralité de l'entente. La présente Entente et les Conditions constituent l'intégralité de l'entente entre les Parties concernant le traitement des Données de la Clinique. Elles remplacent toute déclaration antérieure des Conditions selon laquelle la section 8 des Conditions tient lieu d'entente écrite de traitement ou de gestion de l'information pour la Clinique.

25.2 Acceptation électronique. Les Parties conviennent que la présente Entente peut être acceptée et signée par voie électronique (notamment, pour le Québec, conformément à la Loi concernant le cadre juridique des technologies de l'information, RLRQ, c. C-1.1, et, pour le Brésil, conformément au paragraphe 2 de l'article 10 de la Mesure provisoire n° 2.200-2/2001), et que le registre électronique d'acceptation et l'Exemplaire signé constituent un écrit signé par chaque Partie.

25.3 Divisibilité. Si une disposition est jugée invalide ou inapplicable, le reste de la présente Entente demeure en vigueur. La disposition s'applique dans toute la mesure permise, de la manière qui assure le mieux la protection des Données de la Clinique.

25.4 Absence de renonciation. Le défaut ou le retard d'exercer un droit ne constitue pas une renonciation à ce droit.

25.5 Cession. Aucune Partie ne peut céder la présente Entente, si ce n'est avec les Conditions et dans les cas que celles-ci permettent.

25.6 Droits des tiers. Les Personnes concernées ont les droits que leur confère expressément un Instrument de transfert ou la Législation applicable en matière de protection des données. Pour le reste, nul autre que les Parties n'a de droits en vertu de la présente Entente.