Politique de confidentialité

Date d’entrée en vigueur : 26 octobre 2026

​

Dernière mise à jour : 26 octobre 2026

1. Qui nous sommes

Richard Xiao exploite une entreprise individuelle sous le nom commercial enregistré Physio Soleil (la « Clinique »).

La Clinique offre des services d’évaluation et de traitement en physiothérapie au Québec, dans les limites du champ d’exercice, des compétences et des autorisations légales du physiothérapeute qui fournit les services.

Adresse principale : 3744, rue Ontario Est, Montréal (Québec) H1W 1S2

Numéro d’entreprise du Québec (NEQ) : 2280857410

Site Web : [www.physiosoleil.com]

Courriel général : [physiosoleil@gmail.com]

Téléphone : 438-493-2998

Le terme « Clinique » désigne l’entreprise individuelle exploitée par Richard Xiao sous le nom Physio Soleil. Il ne désigne pas une société distincte ni une autre personne morale.

Les services sont fournis au lieu de traitement de la Clinique et au domicile du client. Le dossier clinique est constitué et détenu par la Clinique.

2. Régime de protection des renseignements personnels applicable

Les renseignements personnels recueillis ou détenus par la Clinique dans le cadre de ses activités, y compris les renseignements de santé concernant ses clients, sont assujettis à la Loi sur la protection des renseignements personnels dans le secteur privé.

Les renseignements de santé constituent des renseignements personnels sensibles. Le consentement à leur utilisation au sein de la Clinique et à leur communication à l’extérieur de celle-ci doit être exprès.

Le physiothérapeute qui fournit les services est également assujetti au secret professionnel ainsi qu’aux obligations déontologiques, professionnelles et de tenue de dossiers applicables aux membres de l’Ordre professionnel de la physiothérapie du Québec.

3. Objet et portée de la présente politique

La présente politique explique comment la Clinique recueille, utilise, communique, protège, conserve, détruit et, lorsque cela est permis, anonymise les renseignements personnels.

Elle s’applique aux renseignements recueillis ou détenus dans le cadre des activités suivantes :

- les visites du site Web de la Clinique;
- les demandes de renseignements et d’information;
- les prises de rendez-vous et les demandes de services;
- les évaluations et traitements en physiothérapie, au lieu de traitement ou au domicile du client;
- les appels téléphoniques et les communications électroniques;
- les formulaires d’admission, de consentement et d’autorisation;
- les dossiers professionnels des clients;
- la facturation, les paiements, les reçus et les demandes de remboursement;
- les demandes d’accès, de rectification et autres demandes relatives à la protection des renseignements personnels;
- les plaintes et les incidents de confidentialité;
- l’administration et le fonctionnement de la Clinique.

4. Renseignements que nous pouvons recueillir

La Clinique ne recueille que les renseignements raisonnablement nécessaires à une fin déterminée.

Selon l’interaction et le service demandé, la Clinique peut recueillir les catégories de renseignements suivantes.

​

4.1 Renseignements d’identité et de coordonnées

Il peut s’agir du nom, de la date de naissance, de l’adresse résidentielle, de facturation ou de prestation du service, du numéro de téléphone, de l’adresse courriel, de la langue préférée, des coordonnées d’une personne à contacter en cas d’urgence et des renseignements raisonnablement nécessaires pour vérifier l’identité.

​

4.2 Renseignements sur les rendez-vous et les services

Il peut s’agir du service demandé, des dates et heures de rendez-vous, du lieu de prestation du service, des disponibilités, de la présence aux rendez-vous, de l’historique des modifications et annulations, des communications concernant la planification ainsi que des renseignements nécessaires pour déterminer si un service peut être fourni de manière sûre et appropriée, notamment les renseignements concernant l’accès au domicile du client et la sécurité des lieux lorsqu’une visite à domicile est demandée.

​

4.3 Renseignements de santé

Il peut s’agir de renseignements concernant :

- le motif de consultation et l’historique de la condition;
- les symptômes, la douleur, les limitations fonctionnelles et leur évolution;
- les antécédents médicaux et chirurgicaux pertinents, y compris les blessures et interventions antérieures;
- les médicaments, les allergies et les traitements pertinents;
- les résultats de l’évaluation physique et fonctionnelle, notamment le mouvement, la force, la mobilité, la souplesse, l’équilibre et la posture;
- le plan de traitement, les interventions effectuées et la réponse au traitement;
- les exercices à domicile, les consignes et les recommandations;
- les autres professionnels de la santé participant aux soins du client;
- les références et le suivi;
- les documents, rapports, résultats d’imagerie ou mesures fournis par le client ou un autre professionnel aux fins des soins;
- les programmes d’exercices à domicile prescrits au client, les exercices qu’ils comprennent et les consignes données;
- les renseignements consignés par le client au sujet de la réalisation d’un programme d’exercices à domicile, notamment l’adhésion au programme, le nombre de répétitions, la difficulté, la douleur et d’autres renseignements sur les progrès;
- tout document, photographie ou vidéo téléversé par le client ou le physiothérapeute relativement à un programme d’exercices à domicile.

​

4.4 Renseignements concernant un enfant ou une personne représentée

Lorsque les services concernent un enfant ou une personne qui ne peut consentir personnellement, la Clinique peut recueillir l’identité et les renseignements de santé de la personne concernée, l’identité et les coordonnées d’un parent, tuteur, mandataire ou autre représentant autorisé, les renseignements raisonnablement nécessaires pour vérifier le pouvoir de consentir, de communiquer ou de recevoir des renseignements, ainsi que les renseignements concernant toute restriction touchant l’autorité parentale, la tutelle, la garde, l’accès, la communication ou la prise de décision.

​

4.5 Communications, consentement et preuve d’autorité

Il peut s’agir des formulaires d’admission et de consentement, des directives et préférences communiquées à la Clinique, des consentements, refus, restrictions et retraits, des preuves d’autorité parentale, de tutelle, de représentation ou de tout autre pouvoir légal, des courriels et notes d’appels téléphoniques, des renseignements transmis par le site Web ou une plateforme de réservation, des communications avec un autre professionnel de la santé lorsque celles-ci sont autorisées ou permises par la loi, des plaintes, commentaires et demandes relatives à la protection des renseignements personnels, ainsi que de toute preuve de consentement ou d’autorisation sur laquelle la Clinique s’appuie.

​

4.6 Renseignements de facturation et de transaction

Il peut s’agir des services rendus, des honoraires et de tout autre montant communiqué, des factures et reçus, de l’état du paiement, des demandes de reçus pour remboursement ou assurance et des renseignements concernant une annulation tardive ou un rendez-vous manqué.

Les paiements sont acceptés en espèces ou par virement électronique. La Clinique ne conserve aucune carte de paiement au dossier, n’utilise aucun processeur de paiement par carte et ne détient ni numéro complet de carte de paiement, ni jeton de carte, ni autre renseignement relatif à une carte de paiement.

​

4.7 Renseignements sur le site Web et renseignements techniques

Dans la mesure où les technologies pertinentes sont effectivement utilisées, la Clinique peut recueillir par l’intermédiaire de son site Web l’adresse de protocole Internet, des renseignements sur le navigateur et l’appareil, la date et l’heure d’accès, les pages consultées, le site Web référent, les identifiants de témoins de connexion (cookies), les renseignements analytiques ainsi que les renseignements concernant les erreurs, les événements de sécurité ou les tentatives d’utilisation abusive du site Web.

La Clinique ne recueille pas de renseignements de santé par l’intermédiaire de son site Web. Une demande de rendez-vous soumise sur le site Web se limite au nom du client, à ses coordonnées et à l’heure demandée. Les renseignements concernant l’état de santé du client sont recueillis dans le système de dossiers de la Clinique ou en personne.

La liste définitive des renseignements techniques recueillis dépendra des technologies effectivement mises en place sur le site Web de la Clinique.

5. Façons dont les renseignements sont recueillis

Les renseignements peuvent être recueillis :

- directement auprès de la personne concernée;
- verbalement, au cours d’un appel téléphonique ou d’un rendez-vous;
- au moyen d’un formulaire papier ou électronique d’admission, de réservation, de consentement ou de suivi;
- par l’intermédiaire du site Web ou du système de dossiers de la Clinique;
- auprès d’un parent, tuteur, mandataire ou autre personne légalement autorisée à agir au nom de la personne concernée;
- auprès d’un autre professionnel ou organisme de la santé, avec une autorisation valide ou lorsque la loi le permet autrement;
- auprès d’un assureur ou d’un autre payeur, à la demande du client;
- automatiquement par l’intermédiaire du site Web, mais uniquement dans la mesure où la technologie pertinente est effectivement utilisée;
- par l’intermédiaire de la plateforme d’exercices à domicile utilisée par la Clinique, lorsque le client y consigne des renseignements sur la réalisation d’un programme.

6. Fins pour lesquelles les renseignements sont recueillis et utilisés

La Clinique peut recueillir et utiliser des renseignements uniquement dans la mesure raisonnablement nécessaire à une ou plusieurs des fins suivantes :

- répondre à une demande de renseignements ou d’information;
- identifier la personne concernée et vérifier l’autorité d’un représentant;
- déterminer si le service demandé relève du champ d’exercice, des compétences, des autorisations légales et des disponibilités du physiothérapeute;
- planifier, confirmer, modifier ou annuler un rendez-vous;
- déterminer si un service peut être fourni de manière sécuritaire au domicile du client;
- préparer, fournir, documenter et assurer le suivi des évaluations et traitements en physiothérapie;
- déterminer si une référence, une investigation supplémentaire ou des soins urgents sont nécessaires;
- communiquer des consignes, de l’information, des recommandations et des références;
- constituer et tenir à jour les dossiers professionnels des clients;
- coordonner les soins avec un autre professionnel de la santé lorsque cela est autorisé ou permis par la loi;
- émettre des factures et des reçus et percevoir les paiements;
- administrer les modalités préalablement communiquées concernant les annulations et les rendez-vous manqués;
- préparer les documents demandés par un client pour un assureur, la CNESST ou la SAAQ;
- protéger la santé et la sécurité des clients et du physiothérapeute;
- répondre aux demandes d’accès, de rectification, de retrait du consentement et aux autres demandes relatives à la protection des renseignements personnels;
- recevoir et résoudre les plaintes;
- prévenir, détecter, examiner et traiter les incidents de confidentialité, la fraude, l’utilisation abusive ou les menaces à la sécurité;
- gérer les questions de responsabilité professionnelle, les affaires juridiques, réglementaires ou disciplinaires;
- respecter les obligations légales, fiscales, comptables, d’assurance, professionnelles et de tenue de dossiers;
- exploiter, entretenir et sécuriser le site Web et les systèmes technologiques de la Clinique;
- préparer, transmettre et assurer le suivi d’un programme d’exercices à domicile, et examiner les renseignements consignés par le client à ce sujet.

La Clinique ne vend, ne loue ni n’échange de renseignements personnels, ne les utilise pas à des fins publicitaires, de mise en correspondance d’audiences ou de publicité ciblée et n’autorise aucun fournisseur de publicité à les utiliser à ces fins.

7. Nécessité, consentement et choix du client

La Clinique limite la collecte aux renseignements raisonnablement nécessaires à une fin déterminée.

La nécessité de renseignements particuliers est évaluée au cas par cas, compte tenu du service demandé, de l’état du client, des risques cliniques connexes et des obligations professionnelles du physiothérapeute.

Lorsque des renseignements sont raisonnablement nécessaires pour évaluer une condition, déterminer si un service peut être fourni de manière sûre et appropriée, ou fournir ou assurer le suivi du service demandé, la Clinique explique pourquoi ils sont requis et les fins auxquelles ils seront utilisés. Si le client refuse de les fournir, le physiothérapeute pourrait ne pas être en mesure d’évaluer la condition ni de fournir ou de poursuivre le service de façon sécuritaire. Il pourrait recommander une consultation auprès d’un autre professionnel de la santé ou le recours à des services de soins urgents ou d’urgence.

Les renseignements qui ne sont pas raisonnablement nécessaires dans les circonstances sont facultatifs et seront identifiés comme tels lorsque cela est raisonnablement possible. Le refus de fournir des renseignements facultatifs ou de consentir à une utilisation facultative n’a pas, à lui seul, d’incidence sur l’accès aux services de physiothérapie.

Lorsque le consentement est requis, il doit être manifeste, libre et éclairé, être donné à des fins spécifiques et être demandé pour chacune de ces fins dans un langage clair et simple. Lorsqu’il est demandé par écrit, la demande est présentée séparément de toute autre information.

Le consentement au nom d’une personne de moins de 14 ans est donné par la personne titulaire de l’autorité parentale. Une personne âgée de 14 ans ou plus peut consentir elle-même.

Un consentement distinct ou une autorisation écrite est obtenu lorsque la loi ou les obligations professionnelles l’exigent. La Clinique conserve le formulaire rempli et signé, ainsi que toute preuve disponible de la soumission électronique, comme preuve du consentement ou de l’autorisation sur lequel elle s’appuie.

Le consentement peut être retiré pour l’avenir, sous réserve des restrictions légales et professionnelles applicables. Le retrait n’exige pas la destruction d’un dossier professionnel ou d’autres renseignements que la Clinique est légalement ou professionnellement tenue de conserver.

La Clinique ne peut utiliser ou communiquer des renseignements sans consentement que lorsque la loi applicable l’autorise ou l’exige.

8. Accès au sein de la Clinique

L’accès aux renseignements personnels détenus par la Clinique est limité :

- au physiothérapeute qui fournit les services au client;
- à toute autre personne qui exerce des fonctions au sein de la Clinique, dans la mesure où ses tâches le nécessitent;
- au comptable de la Clinique, dont l’accès est limité aux noms des clients, aux montants payés, aux factures, aux reçus et aux autres renseignements de facturation raisonnablement nécessaires à des fins comptables et fiscales;
- à un fournisseur de services technologiques ou opérationnels autorisé, uniquement dans la mesure où l’accès est raisonnablement nécessaire à l’exécution d’un service déterminé pour la Clinique.

La Clinique occupe des locaux au sein de la clinique d’un tiers. Le personnel de cette clinique n’est pas autorisé à accéder aux dossiers des clients de la Clinique.

Nul n’obtient un accès simplement parce qu’il est le conjoint, le partenaire, un membre de la famille, une personne à contacter en cas d’urgence ou la personne responsable du paiement.

Les droits d’accès sont limités selon le rôle de la personne, la finalité de l’accès et la sensibilité des renseignements. Toute personne autorisée à accéder aux renseignements est assujettie à des exigences de confidentialité, de sécurité, de formation et à des obligations contractuelles écrites adaptées à son rôle et à son niveau d’accès. L’accès est limité aux renseignements strictement nécessaires à la fonction déterminée et est retiré lorsqu’il n’est plus nécessaire.

9. Vérification de l’identité et de l’autorité

Avant de communiquer des renseignements sensibles, la Clinique peut exiger une vérification raisonnable de l’identité de la personne qui présente la demande, de l’identité de la personne concernée, de l’autorité parentale, de la tutelle, du mandat ou de toute autre autorité légale, de l’authenticité d’un consentement ou d’une autorisation et de toute restriction touchant l’accès, la communication ou la prise de décision.

Selon la sensibilité des renseignements et les circonstances, l’identité peut être vérifiée au cours d’un appel téléphonique en confirmant des renseignements déjà inscrits au dossier du client, comme son nom complet, sa date de naissance, son adresse, ses coordonnées ou les détails d’un rendez-vous récent. L’identification de l’appelant ou la seule reconnaissance de sa voix ne suffit pas.

Une vérification supplémentaire est requise lorsqu’une demande est inhabituelle ou particulièrement sensible, implique la communication de dossiers, concerne une autre personne, modifie les coordonnées ou les renseignements d’accès, ou semble avoir été soumise par un conjoint, un membre de la famille ou un autre tiers.

La Clinique peut suspendre ou refuser une communication jusqu’à ce qu’elle soit raisonnablement convaincue de l’identité et de l’autorité du demandeur.

10. Situations dans lesquelles des renseignements peuvent être communiqués

Sous réserve des exigences de consentement et des restrictions légales applicables, des renseignements peuvent être communiqués :

- à la personne concernée ou à une personne légalement autorisée à agir en son nom;
- à un autre professionnel ou organisme de la santé participant aux soins de la personne, avec une autorisation valide ou lorsque la loi le permet autrement;
- à un fournisseur de services agissant pour le compte de la Clinique dans le cadre d’une fonction opérationnelle ou technologique déterminée;
- à un assureur privé, à la CNESST ou à la SAAQ, à la demande du client ou avec son autorisation;
- à un employeur, uniquement avec l’autorisation spécifique du client;
- à des conseillers professionnels, à un conseiller juridique ou à un assureur en responsabilité professionnelle, lorsque cela est raisonnablement nécessaire et légalement permis;
- à l’Ordre professionnel de la physiothérapie du Québec, à la Commission d’accès à l’information ou à une autre autorité compétente lorsque la loi l’exige ou l’autorise;
- en réponse à une assignation, à un mandat, à une ordonnance judiciaire ou à une autre demande juridiquement contraignante;
- lorsqu’il existe des motifs raisonnables de croire qu’un risque sérieux de mort ou de blessures graves menace une personne ou un groupe de personnes identifiable et que la nature de la menace crée un sentiment d’urgence;
- dans toute autre situation expressément autorisée ou exigée par la loi.

Seuls les renseignements raisonnablement nécessaires à la fin autorisée sont communiqués.

Les autorisations spécifiques accordées par un client pour les communications à un médecin de famille, à un professionnel qui l’a dirigé vers la Clinique, à un assureur privé, à la CNESST, à la SAAQ ou à un employeur sont consignées dans le formulaire de consentement et de services signé par le client et peuvent être retirées en tout temps.

11. Fournisseurs de services et services technologiques

La Clinique fait appel à certains fournisseurs de services pour des fonctions telles que l’hébergement et l’entretien du site Web, la réservation en ligne, les dossiers professionnels électroniques et la tenue de dossiers, les rappels de rendez-vous, le courriel et les communications, le stockage infonuagique et les sauvegardes, la sécurité de l’information et la gestion documentaire.

La Clinique demeure responsable des renseignements sous son contrôle lorsqu’un fournisseur exécute une fonction en son nom. Le fournisseur agit selon les instructions de la Clinique et ne peut utiliser les renseignements à ses propres fins.

Avant de confier des renseignements à un fournisseur de services, la Clinique évalue, selon le cas, la fonction du fournisseur et son niveau d’accès, les renseignements concernés, les mesures de sécurité, les pratiques de conservation et de destruction, les lieux de traitement et de soutien, les sous-traitants, les engagements de confidentialité, les obligations de signalement des incidents, le retour ou la suppression des renseignements à la fin de la relation ainsi que les modalités contractuelles et de protection des renseignements personnels du fournisseur.

La Clinique conclut les ententes écrites exigées par la loi.

Le registre public des produits et services technologiques de la Clinique est accessible à l’adresse suivante :

[INSÉRER LE LIEN VERS LE REGISTRE DES PRODUITS ET SERVICES TECHNOLOGIQUES]

Jane

Jane est utilisé pour la gestion des rendez-vous, des renseignements des clients, des dossiers cliniques et des fonctions connexes de gestion de la pratique. Le compte de la Clinique est hébergé dans le centre de données canadien de Jane, qui comprend des serveurs situés dans la région de Montréal et en Alberta. Jane indique que les données des clients sont chiffrées en transit et au repos.

Selon les modalités de Jane, la Clinique contrôle les renseignements contenus dans le dossier d’un client et Jane agit comme fournisseur de services. Jane n’accède à ces renseignements que sur les instructions de la Clinique, pour résoudre un problème technique, répondre à une demande de soutien ou lorsque la loi l’exige. Jane indique que les renseignements sont protégés par des pare-feu, le chiffrement en transit et des procédures d’authentification, que l’accès est limité au personnel qui doit en prendre connaissance pour des raisons professionnelles, que ses centres de données détiennent des certifications de sécurité telles qu’ISO 27001 et SOC 2, et que son personnel signe des ententes de confidentialité et reçoit périodiquement de la formation. Jane publie la liste de ses fournisseurs et la Clinique l’examine.

La fonction de documentation par intelligence artificielle de Jane n’est pas activée dans le compte de la Clinique. La Clinique n’utilise pas le traitement des paiements de Jane.

Wibbi

Wibbi est utilisé pour préparer, transmettre et assurer le suivi des programmes d’exercices à domicile. Il fonctionne parallèlement à Jane : le physiothérapeute ouvre Wibbi à partir du dossier du client, y crée le programme, puis le programme terminé est renvoyé à Jane et versé au dossier du client.

Wibbi indique agir comme sous-traitant et que le titulaire de la licence — en l’occurrence la Clinique — est responsable des renseignements des clients qu’il détient. Pour un titulaire de licence au Canada, Wibbi indique que les renseignements des clients et ceux du titulaire de licence sont stockés sur l’infrastructure d’Amazon Web Services à Montréal et que son personnel de soutien au Canada peut accéder aux renseignements des clients à des fins d’assistance et de dépannage.

Les renseignements détenus par Wibbi au sujet d’un client peuvent comprendre son nom, son adresse courriel et son numéro de téléphone, le nom et l’adresse courriel du physiothérapeute, le programme d’exercices, les renseignements que le client consigne sur sa réalisation ainsi que tout document, photographie ou vidéo téléversé relativement au programme. Wibbi indique utiliser notamment Amazon Web Services et Google Cloud, et conserver les renseignements des clients selon les instructions de la Clinique, puis les supprimer à la demande de celle-ci.

Wibbi permet au titulaire de la licence de limiter les renseignements sur les clients qui lui sont transmis. La Clinique ne transmet que les renseignements nécessaires à la prestation et au suivi d’un programme d’exercices à domicile.

Wix

Wix exploite le site Web de la Clinique, y compris ses formulaires en ligne et ses fonctions de réservation. Pour les renseignements soumis par les visiteurs du site Web, la Clinique est la partie responsable et Wix agit comme sous-traitant selon ses instructions, conformément à l’addenda relatif au traitement des données faisant partie de ses modalités.

Wix indique détenir la certification PCI DSS, que l’accès à ses services s’effectue par HTTPS, que les renseignements soumis au moyen de ses formulaires sont protégés par le chiffrement en transit et que ses systèmes sont régulièrement examinés afin de détecter les vulnérabilités. Wix ne fixe pas de périodes de conservation pour les renseignements des visiteurs; la Clinique lui demande de supprimer les renseignements qui ne sont plus nécessaires.

12. Évaluations des facteurs relatifs à la vie privée

Avant d’acquérir, de développer ou de remanier de façon importante un produit technologique, un service technologique, un système d’information ou un système de prestation électronique de services impliquant des renseignements personnels détenus par la Clinique, celle-ci réalise l’évaluation des facteurs relatifs à la vie privée exigée par la loi et consulte dès le début du projet la personne responsable de la protection des renseignements personnels.

L’évaluation est proportionnée à la sensibilité des renseignements, aux fins de leur utilisation, à leur quantité et à leur répartition, aux personnes susceptibles d’y accéder, à la technologie et aux mesures de sécurité en cause, aux modalités de conservation et de destruction, aux lieux de traitement et aux risques pour les personnes concernées.

Une évaluation distincte ou complémentaire est réalisée avant que des renseignements soient confiés ou communiqués à l’extérieur du Québec. La Clinique documente l’évaluation ainsi que les mesures d’atténuation des risques qui doivent être mises en place avant la mise en service de la technologie.

13. Traitement ou communication à l’extérieur du Québec

Les flux suivants impliquent un traitement ou un stockage à l’extérieur du Québec :

- le stockage des dossiers clients dans le centre de données canadien de Jane, qui comprend des serveurs situés en Alberta ainsi que dans la région de Montréal;
- l’exploitation du site Web de la Clinique par Wix, qui indique pouvoir stocker et traiter des renseignements personnels aux États-Unis, en Europe et en Israël, et que les renseignements concernant les visiteurs d’un site construit sur sa plateforme sont traités dans l’Union européenne, en Israël ou dans un autre pays reconnu comme offrant un niveau de protection adéquat;
- lorsqu’ils sont utilisés, les rappels de rendez-vous et les messages envoyés par texto, qui sont acheminés par l’intermédiaire de fournisseurs situés aux États-Unis, où le contenu du message peut être stocké temporairement;
- lorsqu’il est utilisé, le service de télésanté, dans le cadre duquel des renseignements techniques limités, comme une adresse de protocole Internet, peuvent être traités à l’extérieur de la région sélectionnée; le contenu vidéo et les conversations textuelles d’une séance ne sont pas stockés;
- lorsqu’ils sont utilisés, la connexion à l’aide d’un compte Google et la synchronisation de l’horaire avec un calendrier Google;
- le cas échéant, le stockage des renseignements des clients par la plateforme d’exercices à domicile. [À confirmer ou à supprimer lorsque la région d’hébergement sera connue.]

Avant que des renseignements soient confiés ou communiqués à l’extérieur du Québec, la Clinique réalise l’évaluation exigée par la loi et détermine si les renseignements bénéficieraient d’une protection adéquate. Elle tient compte de la sensibilité des renseignements, de la finalité du traitement ou de la communication, des mesures de sécurité du fournisseur, des lieux de traitement et de soutien du fournisseur, des lois applicables dans le territoire de destination, de la possibilité d’accès par une autorité gouvernementale ou policière étrangère, du recours du fournisseur à des sous-traitants et des mesures contractuelles permettant d’atténuer les risques relevés.

14. Témoins de connexion, analyses et technologies de suivi

Le site Web de la Clinique utilise des témoins de connexion (cookies) et des technologies similaires. Wix indique que lui-même et les fournisseurs auxquels il fait appel installent des témoins pour assurer la stabilité, la sécurité, le fonctionnement et la performance d’un site, ainsi qu’à des fins d’analyse et de publicité, et qu’il ne modifie pas ses pratiques en réponse à un signal « Do Not Track » transmis par un navigateur.

La Clinique n’utilise pas sur son site Web de technologies publicitaires, de mise en correspondance d’audiences ou de profilage comportemental. Si une telle technologie est envisagée ultérieurement, elle ne sera pas activée avant que son fonctionnement ait été évalué et que les exigences applicables en matière d’avis, de consentement et de configuration aient été mises en œuvre.

L’interface de gestion des témoins du site Web indique les technologies effectivement utilisées, le fournisseur de chaque technologie, les fins auxquelles elle est utilisée, sa durée et les choix offerts au visiteur.

La Clinique n’autorise aucun fournisseur tiers de publicité ou de suivi à utiliser des renseignements de santé identifiables.

15. Communications avec les clients

Le client choisit, dans le formulaire d’admission et à tout moment par la suite, les moyens de communication que la Clinique peut utiliser et le contenu que ces communications peuvent comporter. À moins que le client n’indique le contraire, le courriel et les textos sont utilisés uniquement à des fins administratives.

Les courriels ordinaires et les textos peuvent présenter des risques, notamment l’envoi à une mauvaise adresse ou à un mauvais numéro, l’accès non autorisé à un appareil ou à un compte partagé, l’interception ou le stockage non sécurisé, la suppression incomplète et l’accès par un fournisseur de télécommunications ou de plateforme.

Il est demandé aux clients de ne pas transmettre de questions cliniques ni de renseignements cliniques par courriel ordinaire ou par texto. Si un client le fait, la Clinique peut rediriger les communications ultérieures vers un autre canal, limiter sa réponse, vérifier l’identité du client avant de répondre, documenter la communication et la préférence exprimée par le client, ou refuser de communiquer des renseignements sensibles par ce canal.

La Clinique ne peut contrôler la sécurité d’un appareil, d’un compte ou d’un canal de communication appartenant au client avant qu’un message atteigne un système sous le contrôle de la Clinique. Cela ne diminue pas les obligations de la Clinique une fois que les renseignements sont sous son contrôle.

Les communications pertinentes sur le plan clinique ou administratif peuvent être copiées, résumées ou consignées dans le dossier professionnel.

Les communications électroniques ne sont pas surveillées en continu et ne doivent pas être utilisées en cas d’urgence ou de préoccupation urgente.

16. Technologies automatisées et intelligence artificielle

La Clinique n’utilise pas de renseignements personnels pour prendre une décision concernant un client fondée exclusivement sur un traitement automatisé et n’utilise aucun outil d’intelligence artificielle pour produire ou rédiger des notes cliniques.

Si la Clinique met en place ultérieurement un outil de documentation utilisant l’intelligence artificielle, celui-ci servira uniquement à aider le physiothérapeute à préparer une ébauche de note ou à organiser les renseignements à consigner. Il ne remplacera ni l’évaluation, ni la communication directe avec le client, ni le jugement professionnel, ni la révision du dossier, ni les références, ni les consignes, ni la responsabilité du physiothérapeute de réviser, corriger et approuver le dossier professionnel définitif.

Avant de mettre en place un tel outil, la Clinique évaluera s’il traite du texte saisi, s’il capte ou traite temporairement de l’audio, s’il produit ou conserve une transcription, s’il conserve le matériel source, si le personnel du fournisseur peut accéder aux renseignements, si les renseignements sont utilisés pour l’entraînement de modèles, où les renseignements sont traités, les mécanismes applicables de suppression et de restitution, et si une autorisation distincte est nécessaire.

La Clinique n’autorisera pas l’utilisation de renseignements identifiables sur les clients à des fins publicitaires, de profilage sans rapport avec les services ou d’entraînement indépendant d’un modèle à usage général.

17. Mesures de protection et continuité

La Clinique utilise des mesures de protection physiques, administratives et technologiques raisonnables compte tenu de la sensibilité, de la finalité, de la quantité, de la répartition et du format des renseignements.

Selon le système et les circonstances, ces mesures peuvent comprendre des contrôles d’accès fondés sur les rôles, des mots de passe robustes et l’authentification multifacteur, des plateformes professionnelles sécurisées, le chiffrement lorsque cela est approprié, la sécurité des appareils et leur verrouillage automatique, le stockage sécurisé des dossiers papier, des sauvegardes et des mesures de récupération, des obligations de confidentialité, la surveillance des fournisseurs de services, la formation en matière de protection des renseignements personnels et de sécurité, des procédures de réponse aux incidents et des examens périodiques des produits et services technologiques.

La Clinique prend des mesures raisonnables pour assurer la disponibilité et l’utilisabilité des renseignements à la suite d’un incident touchant leur support ou leur système technologique.

Aucune méthode de transmission ou de stockage n’est entièrement sans risque. La présente politique ne garantit pas qu’un incident de confidentialité ou de sécurité ne puisse jamais survenir.

18. Gouvernance de l’information et examens périodiques

En tant que propriétaire et personne exerçant la plus haute autorité au sein de l’entreprise individuelle, Richard Xiao est responsable de la protection des renseignements personnels détenus par la Clinique, approuve ses politiques et pratiques et est responsable de leur application pendant tout le cycle de vie des renseignements, de leur collecte à leur destruction.

Le cadre de gouvernance de l’information de la Clinique porte notamment sur les rôles et responsabilités, les catégories d’accès autorisées, la confidentialité et la sécurité, les preuves de consentement, les communications permises, la conservation, la destruction et l’anonymisation, les incidents de confidentialité, les plaintes relatives à la protection des renseignements personnels, la formation, les évaluations des facteurs relatifs à la vie privée, la surveillance des fournisseurs de services, le suivi des services technologiques et la continuité des activités.

Au moins une fois par année, la Clinique vérifie si les catégories d’accès autorisées demeurent appropriées, évalue l’efficacité de ses mesures de protection, examine les journaux de vérification disponibles de son système de dossiers et met à jour ses mesures au besoin.

Au moins une fois tous les deux ans, et plus souvent lorsqu’un changement important l’exige, la Clinique évalue les produits et services technologiques qu’elle utilise, y compris les modalités de confidentialité publiées par ses fournisseurs.

19. Formation et sensibilisation

Toute personne qui exerce des fonctions au sein de la Clinique, y compris un employé, un étudiant ou un stagiaire, reçoit une formation sur la protection des renseignements personnels au début de ses fonctions. Ses connaissances sont mises à jour au moins une fois par année concernant ses rôles et responsabilités, la conservation, la destruction et l’anonymisation, les mesures de protection, les incidents de confidentialité, l’utilisation sécuritaire des produits et services technologiques ainsi que tout changement important aux systèmes ou procédures de la Clinique.

La Clinique conserve une preuve raisonnable de la formation requise et des mises à jour annuelles. Aucune personne n’a accès aux renseignements avant d’avoir reçu les consignes de confidentialité applicables et suivi la formation initiale requise.

20. Périodes de conservation

La Clinique ne conserve les renseignements que pendant la durée raisonnablement nécessaire aux fins déterminées et au respect des obligations légales, fiscales, comptables, d’assurance et professionnelles applicables.

À moins qu’une période plus longue ne soit nécessaire en raison d’une plainte, d’une enquête, d’une réclamation, d’une vérification, d’une ordonnance de conservation liée à un litige ou d’une procédure, les périodes de conservation prévues sont les suivantes :

- Dossiers professionnels des clients : au moins 5 ans, conformément au règlement applicable aux membres de l’Ordre professionnel de la physiothérapie du Québec.
- Dossiers de facturation, de transactions et fiscaux : sept ans après la fin de l’année d’imposition à laquelle ils se rapportent, ou plus longtemps si la loi l’exige ou en raison d’une vérification, d’une opposition, d’un appel, d’une réclamation ou d’une ordonnance de conservation liée à un litige.
- Demandes de renseignements qui ne donnent pas lieu à la création d’un dossier professionnel : trois ans après la réponse finale de la Clinique. Si l’échange comporte une évaluation clinique ou des conseils professionnels individualisés, les renseignements font partie du dossier professionnel et sont conservés en conséquence.
- Journaux de sécurité et journaux techniques du site Web : douze mois après leur création, à moins que le fournisseur de services n’applique une période plus courte ou qu’une période plus longue soit nécessaire pour enquêter sur un événement de sécurité ou un incident de confidentialité, ou pour respecter une ordonnance de conservation juridique.
- Renseignements sur les témoins de connexion et les analyses : selon la durée indiquée dans l’interface de gestion des témoins.
- Demandes relatives à la protection des renseignements personnels et plaintes : trois ans après leur résolution définitive, sauf si une période plus longue est nécessaire en raison d’une enquête, d’une procédure, d’une réclamation ou d’une ordonnance de conservation liée à un litige.
- Dossiers d’incidents de confidentialité : pendant la période exigée par la loi et la procédure de réponse aux incidents.
- Dossiers de consentement et d’autorisation : aussi longtemps que nécessaire pour établir le consentement ou l’autorité sur lesquels la Clinique s’est appuyée.
- Preuves de destruction : pendant la période prévue au calendrier de conservation de la Clinique.

Une copie de sauvegarde peut subsister pendant une période limitée, conformément au calendrier applicable de rotation sécurisée des sauvegardes.

21. Destruction et anonymisation

À la fin de la période de conservation applicable, les renseignements sont détruits de façon sécurisée et irréversible ou, lorsque la loi le permet, anonymisés conformément aux critères et procédures établis par la loi et aux pratiques exemplaires généralement reconnues.

Les dossiers électroniques des clients conservés dans le système de dossiers de la Clinique sont supprimés après la période de conservation applicable. La Clinique consigne la date à laquelle la suppression est amorcée et conserve toute confirmation de suppression ou entrée de journal de vérification disponible. Elle vérifie périodiquement, au moyen des modalités écrites du fournisseur ou d’une confirmation écrite, que les dossiers supprimés ainsi que toutes les copies et sauvegardes connexes sont purgés de façon irréversible dans le délai de suppression documenté du fournisseur.

Les dossiers papier contenant des renseignements personnels sont détruits au moyen d’une déchiqueteuse à coupe croisée ou d’une méthode sécurisée équivalente avant leur élimination. La Clinique tient un registre de destruction indiquant la date de destruction, la catégorie générale ou la période des dossiers détruits, la méthode utilisée et la personne ayant effectué ou supervisé la destruction, sans reproduire le contenu des dossiers détruits.

Si la destruction est confiée à un tiers, la Clinique conclut l’entente écrite requise encadrant le processus de destruction, la responsabilité, la confidentialité et toute sous-traitance.

Un document original appartenant à un client n’est pas détruit sans l’autorisation de celui-ci ou sans lui avoir donné une possibilité raisonnable de le récupérer.

Les renseignements anonymisés ne sont utilisés qu’à des fins sérieuses et légitimes et uniquement lorsque le risque de réidentification est très faible dans les circonstances.

22. Droits individuels

Sous réserve des conditions et exceptions applicables, une personne peut :

- demander confirmation que la Clinique détient ou non des renseignements la concernant;
- demander l’accès à ces renseignements et en obtenir une copie;
- demander la rectification de renseignements inexacts, incomplets ou équivoques;
- demander qu’un commentaire ou une précision écrite soit ajouté à un dossier professionnel;
- demander les renseignements informatisés qu’elle a fournis dans un format technologique structuré et couramment utilisé;
- demander à la Clinique de cesser de diffuser des renseignements personnels la concernant ou de désindexer un lien associé à son nom, dans les circonstances prévues par la loi;
- retirer prospectivement un consentement facultatif;
- modifier ses préférences de communication;
- déposer une plainte relative à la protection des renseignements personnels.

Ces droits ne permettent pas de modifier ou de détruire un dossier professionnel que la Clinique doit conserver et n’exigent pas le retrait d’une opinion professionnelle ou d’une observation clinique exacte. Un commentaire ou une précision écrite peut plutôt être ajouté au dossier, le cas échéant.

23. Demandes d’accès, de rectification et demandes relatives à la protection des renseignements personnels

Une demande devrait être présentée par écrit et fournir suffisamment de renseignements pour identifier la personne concernée, les renseignements demandés et la nature de la demande.

La Clinique peut exiger une preuve raisonnable d’identité et, lorsque la demande est présentée pour une autre personne, une preuve de l’autorité légale.

La Clinique répond par écrit, avec diligence et au plus tard 30 jours après la réception de la demande. L’absence de réponse dans ce délai est considérée comme un refus.

L’accès est généralement fourni gratuitement. Des frais raisonnables de transcription, de reproduction ou de transmission peuvent être exigés lorsque la loi le permet et après en avoir avisé la personne à l’avance.

Tout refus est communiqué par écrit, indique les motifs applicables et le fondement juridique, et précise les recours disponibles. Une personne qui n’est pas satisfaite de la réponse de la Clinique, ou qui ne reçoit aucune réponse dans un délai de 30 jours, peut demander à la Commission d’accès à l’information de procéder à un examen.

24. Plaintes

Une personne qui souhaite porter plainte au sujet de la façon dont la Clinique traite les renseignements personnels peut transmettre sa plainte à la personne responsable de la protection des renseignements personnels, en utilisant les coordonnées indiquées à la section suivante.

La Clinique accuse réception de la plainte, l’examine et informe la personne par écrit du résultat et des motifs de sa décision. Une personne insatisfaite du résultat peut communiquer avec la Commission d’accès à l’information.

La Clinique consigne les plaintes relatives à la protection des renseignements personnels et les mesures prises en réponse, puis les examine périodiquement afin de déterminer si des modifications à ses politiques et pratiques sont nécessaires.

25. Personne responsable de la protection des renseignements personnels

Richard Xiao

Physio Soleil

Courriel : [physiosoleil@gmail.com]

Adresse postale : 3744, rue Ontario Est, Montréal (Québec) H1W 1S2

Téléphone : 438-493-2998

Les demandes d’accès, de rectification, de retrait du consentement, de modification des préférences de communication et les plaintes relatives à la protection des renseignements personnels peuvent être transmises à l’aide de ces coordonnées.

Une personne insatisfaite du traitement d’une demande ou d’une plainte relative à la protection des renseignements personnels peut exercer tout recours disponible auprès de la Commission d’accès à l’information du Québec ou d’une autre autorité compétente.

26. Incidents de confidentialité

Un incident de confidentialité consiste en un accès non autorisé à des renseignements personnels, une utilisation ou une communication non autorisée, la perte de renseignements personnels ou toute autre atteinte à leur protection.

La Clinique maintient une procédure visant à détecter, contenir, évaluer, documenter et traiter les incidents de confidentialité. Lorsqu’un incident survient ou est raisonnablement soupçonné, la Clinique prend des mesures raisonnables pour réduire le risque de préjudice, prévenir les incidents similaires, évaluer la nature et la gravité du préjudice potentiel, consigner l’incident dans le registre, aviser les personnes et autorités requises par la loi et collaborer avec ses conseillers juridiques, professionnels, en assurance et en technologie.

La Clinique tient un registre des incidents de confidentialité dans lequel chaque incident est consigné, quelle que soit sa gravité, et en fournit une copie à la Commission d’accès à l’information sur demande.

27. Modifications à la présente politique

La Clinique peut mettre à jour la présente politique afin de refléter les changements apportés à ses services, à ses systèmes technologiques, à ses fournisseurs de services, à ses obligations légales ou professionnelles, ou à ses pratiques de protection des renseignements personnels et de gouvernance de l’information.

La version en vigueur et sa date d’entrée en vigueur sont publiées sur le site Web. Les changements importants sont portés à l’attention des personnes concernées par un moyen approprié et l’avis de modification est publié de la même manière que la politique elle-même.

28. Langue

Une version anglaise complète de la présente politique est disponible à l’adresse suivante : [INSÉRER LE LIEN VERS LA VERSION FRANÇAISE]

La version anglaise est publiée avant ou en même temps que la version française et est au moins aussi accessible et mise en évidence. La version anglaise est mise à la disposition des personnes qui choisissent de la consulter.

Les consommateurs de biens et de services ont le droit d’être informés et servis en français. Le choix d’un client d’être lié par la version anglaise d’un document ne porte pas atteinte à ce droit.

Les exigences linguistiques applicables aux contrats de service, aux formulaires de consentement et aux autres documents sont traitées séparément et ne sont pas remplacées par la présente politique.

29. Relation avec les autres documents de la Clinique

La présente politique est un avis relatif à la protection des renseignements personnels et à la gouvernance de l’information. Elle ne constitue pas et ne remplace pas les formulaires de consentement et de services, le formulaire d’admission, les conditions générales, les tarifs applicables ni la description des services offerts.

Les références dans la présente politique à la facturation, à la gestion des rendez-vous ou aux renseignements sur les annulations indiquent les fins auxquelles les renseignements peuvent être utilisés. Elles n’établissent pas, à elles seules, les tarifs ou les conditions contractuelles applicables.

Aucune disposition de la présente politique ne limite un droit impératif en matière de protection des renseignements personnels ou de déontologie, n’exclut une responsabilité qui ne peut légalement être exclue, ne limite le secret professionnel ni ne dispense la Clinique de se conformer aux lois applicables.