Politique de confidentialité

1. Qui nous sommes

ExoFlex inc. (« ExoFlex », « nous ») est une entreprise établie au Québec, au Canada. Nous concevons et fabriquons des appareils de réadaptation connectés pour les personnes à mobilité réduite, utilisés à domicile et en clinique, ainsi que le logiciel qui soutient le suivi thérapeutique.

Personne responsable de la protection des renseignements personnels : Olivier Jackson — olivier.jackson@exoflex.ca. Cette fonction est exigée par la Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25.

Adresse du siège : 1672, rue de l'Islet, Québec (Québec) Canada G2K 2G6

2. Portée de la politique

La présente politique s'applique aux renseignements personnels que nous recueillons par nos appareils, nos applications et ce site Web. Elle ne s'applique pas aux pratiques distinctes des cliniques, des hôpitaux et des autres établissements de santé qui utilisent nos produits : ces organisations traitent les renseignements de leurs patients selon leurs propres politiques et obligations.

3. Renseignements que nous recueillons

Compte du clinicien et de l'établissement. Nom, adresse de courriel professionnelle, fonction, nom de la clinique ou de l'établissement, identifiants d'authentification et journaux d'activité liés au compte.

Identification du patient. Nom, âge ou date de naissance, et numéro de patient ou de dossier attribué par l'établissement traitant. Ces renseignements sont saisis par le clinicien ou, en usage à domicile, par le patient ou la personne qui l'accompagne.

Données de séance de réadaptation. Angles articulaires, force appliquée, amplitude de mouvement, nombre et durée des répétitions, horodatage des séances et progression d'une séance à l'autre. Lorsqu'elles sont rattachées à une personne identifiée, ces données constituent des renseignements de santé et sont traitées comme des renseignements personnels sensibles.

Renseignements techniques. Numéro de série de l'appareil, versions du logiciel et du micrologiciel, journaux d'erreurs et de diagnostic, et métadonnées de connexion nécessaires au fonctionnement et au soutien de l'appareil.

Renseignements liés au site Web. Ce site n'utilise aucun outil de statistiques, aucun traceur publicitaire ni témoin non essentiel. Si vous remplissez le formulaire de contact, le prénom, le nom, l'adresse de courriel et le message que vous fournissez sont transmis à HubSpot, notre fournisseur de gestion de la relation client, afin que nous puissions vous répondre.

Nous ne recueillons pas sciemment de renseignements au-delà de ce qui est décrit ci-dessus. Nous ne recueillons aucun renseignement de carte de paiement par nos appareils ou notre logiciel.

4. Fins auxquelles nous les utilisons

• Assurer la fonction première de l'appareil : guider, enregistrer et restituer les séances de réadaptation.
• Rendre l'historique et la progression accessibles au clinicien traitant pour le suivi thérapeutique.
• Fournir le soutien technique, diagnostiquer les défaillances et déployer les mises à jour du logiciel et du micrologiciel.
• Respecter nos obligations de fabricant d'instruments médicaux, notamment la surveillance de la sécurité et la déclaration d'incidents lorsqu'elle s'applique.
• Améliorer la sécurité et la performance de l'appareil, en utilisant des données agrégées ou dépersonnalisées chaque fois qu'elles suffisent à la fin visée.

Nous n'utilisons aucun renseignement de santé à des fins publicitaires et nous ne vendons aucun renseignement personnel.

5. Notre rôle à l'égard des renseignements de santé

Lorsqu'une clinique, un hôpital ou un autre établissement de santé des États-Unis utilise nos produits, cet établissement est généralement l'entité visée (covered entity) au sens de la loi HIPAA, et ExoFlex agit pour son compte à titre de partenaire commercial (business associate). À ce titre :

• nous traitons les renseignements de santé protégés uniquement dans la mesure nécessaire à la fourniture du produit et du soutien, ou lorsque la loi l'exige;
• nous concluons une entente de partenaire commercial avec l'établissement avant de traiter de tels renseignements pour son compte;
• nous n'utilisons pas ces renseignements à nos propres fins indépendantes.

Les établissements de santé peuvent demander une entente de partenaire commercial à olivier.jackson@exoflex.ca.

6. Consentement

Lorsqu'un clinicien saisit des renseignements sur un patient dans notre système, il lui incombe d'avoir obtenu le consentement éclairé du patient, ou de disposer d'un autre fondement légal, avant de le faire. En usage à domicile, nous demandons le consentement du patient ou de la personne qui l'accompagne à la création du compte. Le consentement peut être retiré en tout temps; son retrait peut empêcher l'appareil d'assurer le suivi thérapeutique.

7. Communication à des tiers

Nous ne communiquons des renseignements personnels que dans les cas suivants :

• HubSpot. Les envois du formulaire de contact sont traités par HubSpot, Inc., qui fournit notre service de gestion de la relation client.
• Fournisseurs d'hébergement et d'infrastructure. Lorsqu'un service hébergé est utilisé, les fournisseurs agissent selon nos instructions et sont liés par des obligations de confidentialité et de sécurité. ExoFlex n'a pas encore arrêté son choix d'hébergement pour le déploiement commercial. La présente politique sera mise à jour pour nommer le fournisseur et les pays de conservation avant la distribution commerciale de l'appareil.
• Établissement traitant. Les données de séance sont rendues accessibles à la clinique ou au clinicien responsable du patient.
• Obligations légales. Lorsque la communication est exigée par la loi, un règlement, une assignation ou une ordonnance valide d'une autorité compétente.
• Transactions d'entreprise. Dans le cadre d'une fusion, d'une acquisition ou d'une vente d'actifs, sous réserve d'une protection équivalente des renseignements.

Nous ne vendons ni ne partageons de renseignements personnels à des fins de publicité comportementale intercontextuelle, au sens de la loi californienne.

8. Lieu de conservation et communication hors Québec

Les envois du formulaire de contact sont traités par HubSpot, Inc. sur une infrastructure située aux États-Unis.

Le mode d'hébergement des données de séance et des renseignements de patients n'est pas encore arrêté. Avant que de tels renseignements soient communiqués à l'extérieur du Québec, nous réaliserons une évaluation des facteurs relatifs à la vie privée comme l'exige la Loi 25, et nous mettrons la présente politique à jour pour nommer le fournisseur et les pays concernés.

9. Conservation

Nous ne conservons les renseignements personnels que le temps nécessaire aux fins décrites dans la présente politique, et pendant les périodes exigées par la réglementation applicable aux dossiers médicaux et aux instruments médicaux. Les durées de conservation des données de séance et des renseignements d'identification du patient sont établies par entente avec l'établissement traitant, qui détient le dossier clinique. Les renseignements de compte sont conservés pendant la durée du compte et supprimés sur demande. Les envois du formulaire de contact sont conservés le temps nécessaire pour répondre et faire le suivi, et supprimés sur demande. Lorsque les renseignements ne sont plus nécessaires, nous les détruisons ou les anonymisons.

10. Sécurité

Nous appliquons des mesures techniques et organisationnelles proportionnées à la sensibilité des renseignements, dont le chiffrement des données en transit, le chiffrement au repos assuré par défaut par nos fournisseurs d'infrastructure, des contrôles d'accès limitant l'accès au personnel autorisé selon le principe du besoin de savoir, et la journalisation des accès aux renseignements de santé.

Aucun système n'est parfaitement sûr. Si un incident de confidentialité présente un risque de préjudice sérieux, nous en aviserons les personnes concernées ainsi que la Commission d'accès à l'information du Québec, et toute autre autorité que la loi applicable exige d'informer.

11. Vos droits

Québec et Canada. Vous pouvez demander l'accès aux renseignements personnels que nous détenons à votre sujet, demander leur rectification, demander qu'ils vous soient communiqués dans un format technologique structuré et couramment utilisé, et retirer votre consentement. Vous pouvez aussi porter plainte auprès de la Commission d'accès à l'information du Québec ou du Commissariat à la protection de la vie privée du Canada.

Californie. Les résidents de la Californie peuvent demander à connaître les renseignements personnels que nous avons recueillis, en demander la suppression ou la correction, et ont le droit de ne subir aucun traitement discriminatoire pour avoir exercé ces droits. Comme nous ne vendons ni ne partageons de renseignements personnels à des fins de publicité comportementale, aucun mécanisme de retrait n'est requis à cet égard. Une demande peut être présentée par un mandataire autorisé.

Comment exercer vos droits. Écrivez à olivier.jackson@exoflex.ca. Nous répondons dans un délai de 30 jours. Nous pourrions devoir vérifier votre identité avant de donner suite à une demande. Si vos renseignements ont été saisis par une clinique, nous pourrions rediriger votre demande vers cet établissement, qui détient le dossier clinique.

12. Mineurs

Nos appareils peuvent être prescrits à des personnes mineures. Le cas échéant, les renseignements sont fournis et gérés par un parent, un tuteur ou le clinicien traitant. Nous ne recueillons pas sciemment de renseignements directement auprès d'un enfant sans cette intervention.

13. Décisions automatisées

Nous n'utilisons pas les renseignements personnels pour rendre une décision fondée exclusivement sur un traitement automatisé. Les données de séance alimentent le jugement du clinicien; elles ne le remplacent pas.

14. Modifications

Nous pouvons modifier la présente politique. La date affichée au haut de cette page indique la révision la plus récente. Lorsqu'une modification touche de façon importante notre traitement des renseignements personnels, nous en donnons avis par le produit ou par courriel.

15. Nous joindre

Questions, demandes d'accès et plaintes : olivier.jackson@exoflex.ca.