Politique de confidentialité

Introduction

VERO SCRIBE INC. (« Vero », « nous », « notre » ou « nos ») s’engage à protéger la confidentialité et la sécurité des renseignements qu’elle recueille et traite. La présente politique décrit la collecte, l’utilisation, la communication et la protection des renseignements obtenus par notre site Web (www.veroscribe.com), la Plateforme Vero et les services connexes (collectivement, les « Services »).

La présente politique explique nos pratiques; elle ne constitue pas, à elle seule, le consentement d’un Patient à l’enregistrement ou au traitement de ses renseignements de santé. Nous traitons les renseignements de Patients pour le compte du Professionnel ou de l’organisation de soins responsable, conformément à ses instructions licites et aux ententes applicables de services et de protection des données. Nous demeurons responsables de nos propres obligations légales. Pour les renseignements de compte, d’abonnement, de recrutement et du site Web, nous déterminons les fins décrites dans la politique.

La politique s’applique à nos pratiques au Canada, aux États-Unis et dans les autres territoires où les Services sont offerts, sous réserve des lois locales et des avis ou ententes propres au déploiement. Elle ne signifie pas que toutes les fonctionnalités sont disponibles ou autorisées partout dans le monde. La présente version française et la version anglaise sont accessibles sans frais.

1. Définitions

Professionnel : Un médecin qualifié, sa clinique associée ou un autre professionnel de la santé titulaire d’un permis qui utilise les Services.
Patient : Une personne dont les renseignements sont traités par un Professionnel au moyen de la Plateforme.
Renseignements personnels : Tout renseignement concernant une personne physique identifiée ou identifiable, notamment son nom, ses coordonnées et ses titres professionnels.
Renseignements de santé sensibles ou Données cliniques : Les renseignements de Patients traités par les Services, notamment les consultations, notes cliniques, fichiers audio, transcriptions, dossiers téléversés, diagnostics, renseignements thérapeutiques et contenus cliniques générés, tels que les suggestions de codes. Ils demeurent des Données cliniques même lorsqu’ils figurent dans une demande de soutien, un journal de diagnostic technique ou un autre document technique. Selon le territoire, ils peuvent être appelés renseignements personnels sur la santé ou renseignements de santé protégés (« PHI »).
Plateforme : Le logiciel et le service propriétaires de Vero fournis aux Professionnels et à leurs utilisateurs autorisés.
Lois sur la protection des renseignements : Les lois internationales, fédérales, provinciales et étatiques applicables à notre traitement des Renseignements personnels et de santé sensibles.

2. Renseignements recueillis et traités

Dans le cadre des Services, nous recueillons et traitons les catégories suivantes :

Identifiants personnels et professionnels Les renseignements qui vous identifient, notamment votre nom, votre adresse courriel, votre numéro de téléphone, votre adresse et votre date de naissance. Pour les Professionnels, ils peuvent aussi comprendre les qualifications, les numéros d’inscription professionnelle et la formation.
Renseignements de paiement et de transaction Les renseignements d’abonnement, de facture et de transaction nécessaires pour facturer les Services. Les fournisseurs de paiement traitent les identifiants de paiement selon leurs propres modalités. Les diagnostics de Patients, les codes proposés et les documents cliniques utilisés pour la facturation de soins sont des Données cliniques, et non de simples renseignements de paiement d’abonnement.
Renseignements de santé sensibles Nous traitons les renseignements de santé que les Professionnels fournissent au sujet des Patients au moyen de la Plateforme. Ce traitement est nécessaire aux fonctionnalités principales. Il peut comprendre les antécédents médicaux, notes, résultats de laboratoire, diagnostics, médicaments prescrits et autres renseignements thérapeutiques.

Nous traitons aussi les transcriptions, les documents et les fichiers audio téléversés, ainsi que les notes, résumés, formulaires et suggestions de codes de diagnostic générés. Un renseignement généré sur un Patient identifiable est traité comme un Renseignement de santé sensible. La dépersonnalisation ou la pseudonymisation peut être utilisée lorsque cela convient; cela ne signifie pas que tous les dossiers sont anonymes ni que tous les identifiants directs ont été retirés. La conservation est décrite à l’article 9.

Les données de Patients et les Renseignements de santé sensibles ne sont en aucun cas utilisés pour entraîner, développer ou améliorer nos modèles propriétaires d’intelligence artificielle (IA).

Nous ne permettons pas aux fournisseurs d’IA tiers d’utiliser les données de Patients transmises par les Services pour entraîner leurs modèles publics ou à usage général. Le traitement pour produire du contenu destiné à un Professionnel est distinct de l’entraînement d’un modèle. Le traitement, la conservation et l’accès par les fournisseurs sont assujettis aux modalités applicables de protection des données et aux engagements de localisation de l’article 6.
Données d’appareil et d’utilisation Les renseignements techniques recueillis automatiquement lors de l’utilisation des Services, notamment l’identifiant et le type d’appareil, l’adresse IP, la géolocalisation, les renseignements de connexion, les statistiques de consultation et les journaux Web usuels.
Contenu fourni par l’utilisateur Les renseignements supplémentaires que vous fournissez volontairement dans les canaux de soutien, les sondages ou la correspondance directe.
Données agrégées et dépersonnalisées Nous pouvons utiliser des renseignements non cliniques de compte et d’utilisation, agrégés ou dépersonnalisés, pour analyser et améliorer les Services à l’interne lorsque la loi le permet. Cela n’autorise aucune utilisation distincte de données de Patients pour la recherche, la publicité ou l’entraînement de modèles. Les renseignements pseudonymisés qui peuvent être rattachés à une personne continuent de recevoir les protections applicables aux Renseignements personnels.
Renseignements de recrutement Si vous postulez chez Vero, nous recueillons les renseignements pertinents à votre candidature, notamment votre curriculum vitæ, vos antécédents professionnels, vos coordonnées et les références professionnelles.

3. Méthodes de collecte

Nous recueillons les renseignements aux sources suivantes :

Renseignements fournis directement : Lors de l’inscription, des communications avec notre équipe ou d’autres interactions directes avec les Services.
Utilisation des Services : Nous recueillons automatiquement des renseignements techniques et d’utilisation lors de l’accès à la Plateforme et au site Web et de leur consultation.
Sources tierces : Nous pouvons recueillir des renseignements auprès de tiers, tels que des agences de recrutement ou des registres professionnels publics, conformément à la loi.

4. Fins d’utilisation

Nous utilisons les renseignements aux fins suivantes :

Fournir et maintenir les Services : Permettre l’accès à la Plateforme, gérer les comptes et fournir les fonctionnalités principales.
Soutenir la documentation clinique et la vérification de la codification : Traiter les Renseignements de santé sensibles pour le compte des Professionnels afin de produire des transcriptions, notes, résumés, formulaires et suggestions de codes de diagnostic. Un clinicien ou un professionnel qualifié en codification doit examiner ces contenus avant leur utilisation. Vero ne détermine pas indépendamment le diagnostic, la couverture ou le droit au remboursement d’un Patient et ne soumet pas automatiquement de demandes de paiement de soins.
Analyser et améliorer les Services : Analyser les renseignements non cliniques de compte et d’utilisation, améliorer l’expérience et développer les fonctionnalités lorsque la loi le permet. Cela n’autorise aucune utilisation distincte de données de Patients pour la recherche, la publicité ou l’entraînement de modèles. Les Données cliniques utilisées pour fournir, dépanner ou sécuriser les Services demeurent assujetties aux instructions licites du Professionnel et aux ententes de protection des données.
Communiquer : Envoyer des messages administratifs, avis techniques, alertes de sécurité et réponses de soutien.
Respecter les obligations légales : Respecter les lois, les règlements et les procédures judiciaires et répondre aux demandes licites d’autorités publiques.
Assurer la sécurité et prévenir la fraude : Protéger la sécurité et l’intégrité de la Plateforme, de nos utilisateurs et de notre entreprise.
Recruter : Évaluer et traiter les candidatures à un emploi chez Vero.

5. Communications promotionnelles

Vero peut envoyer des communications concernant ses produits, ses services et des mises à jour importantes. Nous distinguons :

Communications relatives aux Services : Les messages transactionnels essentiels au compte, à la sécurité et à l’utilisation des Services, tels que les réinitialisations de mot de passe et les alertes de sécurité. Vous ne pouvez pas vous désabonner de ces messages.
Communications promotionnelles : Les messages sur les nouvelles fonctionnalités ou les nouveaux services. Vous pouvez vous désabonner en tout temps au moyen des instructions dans le message ou en nous contactant.

Nous ne vendons pas vos Renseignements personnels à des tiers pour leurs propres fins promotionnelles.

6. Stockage et transferts internationaux

Données cliniques canadiennes : Pour les clients canadiens, Vero stocke et traite les Données cliniques exclusivement au Canada. Cet engagement comprend les renseignements de Patients, consultations, notes, fichiers téléversés, traitement audio, transcriptions et contenus générés, y compris les suggestions de codes de diagnostic. Il s’applique à la transcription, au traitement par l’IA et aux sous-traitants qui traitent ces Données cliniques. Le stockage, les sauvegardes, les documents de diagnostic technique contenant des Données cliniques et l’accès à ces données par le personnel de Vero ou ses sous-traitants sont assujettis à la même exigence de localisation au Canada.

Renseignements non cliniques : L’administration des comptes, la facturation des abonnements, le recrutement, l’analyse du site Web et les renseignements de soutien sans Données cliniques peuvent être traités par des fournisseurs hors du Canada. Ces modalités ne permettent pas d’acheminer des Données cliniques canadiennes hors du Canada. Les pièces jointes de soutien, les journaux et les autres documents contenant des renseignements de Patients ne bénéficient pas de cette exception non clinique. Utilisez un canal de soutien approuvé lorsque des renseignements cliniques sont nécessaires.

Déploiements aux États-Unis : Les données des clients américains sont stockées dans le déploiement régional américain. Les lieux de traitement et les fournisseurs doivent être évalués séparément selon les ententes et la configuration; l’engagement canadien de traitement intégral ne promet pas que tout traitement américain a lieu aux États-Unis. Lorsque la HIPAA s’applique, l’entente de partenaire commercial pertinente régit le traitement des renseignements de santé protégés. Les lois étatiques de protection de la vie privée et des renseignements de santé peuvent ajouter des exigences ou couvrir des renseignements hors du champ de la HIPAA.

Autres déploiements internationaux : Avant d’introduire des Données cliniques provenant d’un autre territoire, le déploiement pris en charge, les lieux de traitement, les destinataires et les modalités juridiques requises doivent être confirmés par écrit avec Vero. Les règles locales d’hébergement, de secret professionnel, de renseignements de santé et de transferts internationaux peuvent différer. Une localisation canadienne ou américaine n’autorise pas, à elle seule, un transfert et ne satisfait pas nécessairement ces règles. Toute entente de traitement, tout mécanisme légal de transfert et toute mesure de protection requis doivent être établis avant le traitement. Aucun engagement général de stockage ou de traitement dans un autre pays n’est pris sans entente expresse applicable. Contactez-nous pour connaître les lieux et les mesures pertinents à un déploiement envisagé.

Transferts et examen des fournisseurs : Pour le traitement autorisé hors de la province, de l’État ou du pays d’un client, nous utilisons les protections contractuelles applicables et évaluons les exigences légales pertinentes. Des renseignements traités à l’étranger peuvent être accessibles légalement aux autorités locales; un contrat ne peut écarter la loi locale. L’hébergement canadien ne suffit pas à établir le respect de toutes les exigences provinciales. Par exemple, les exigences québécoises applicables peuvent imposer une évaluation des facteurs relatifs à la vie privée et une entente écrite pour le traitement hors du Québec, même ailleurs au Canada. Vos exportations ou communications vers des systèmes externes à Vero sont assujetties à vos obligations légales et aux modalités du destinataire.

Lorsque le RGPD de l’Union européenne ou du Royaume-Uni s’applique, le traitement pour une organisation de soins exige les ententes applicables entre responsable du traitement et sous-traitant. L’organisation doit déterminer une base juridique et toute condition requise pour le traitement de renseignements de santé; Vero demeure responsable des obligations propres à son rôle. Tout transfert restreint doit reposer sur un mécanisme juridique valide et les mesures requises. La présente politique ne tient lieu ni de consentement ni de clauses contractuelles types et ne démontre pas qu’une décision d’adéquation s’applique à un transfert donné.

Le Centre de confiance de Vero donne accès à des ressources sur les sous-traitants et la sécurité. Contactez-nous pour clarifier les fournisseurs, les catégories de données, les lieux et les protections contractuelles propres à votre déploiement.

7. Communication de renseignements

Nous ne vendons pas vos Renseignements personnels. Nous pouvons les communiquer aux catégories suivantes à des fins commerciales légitimes :

Fournisseurs de services : Les fournisseurs qui agissent pour notre compte, notamment pour l’hébergement, la transcription, le traitement par l’IA, les paiements et l’analyse non clinique. L’accès est limité aux renseignements nécessaires au service concerné. Ces fournisseurs doivent contractuellement protéger les renseignements et les traiter aux fins autorisées, sous réserve de l’article 6. Tous les fournisseurs ne reçoivent pas de Données cliniques.
Sociétés affiliées : Nos filiales et entités apparentées, aux fins compatibles avec la politique.
Exigences légales : Les autorités publiques, autorités chargées de l’application de la loi et autres tiers lorsqu’une assignation, une ordonnance ou une autre procédure nous oblige à communiquer les renseignements.
Protection de nos droits : Lorsque la communication est licite et nécessaire pour répondre à un incident de sécurité, à une fraude, à une menace pour la sécurité des personnes ou à une violation d’entente. Cela n’autorise pas une utilisation ou une communication indépendante de renseignements de Patients au-delà de la loi et de l’entente de protection des données applicable.

8. Témoins et technologies de suivi

Notre site Web utilise des témoins et des technologies similaires pour améliorer l’expérience, mesurer l’utilisation et mémoriser les préférences. Vous pouvez les gérer dans votre navigateur, mais leur désactivation peut limiter certaines fonctionnalités. Nous utilisons aussi des outils d’analyse tiers pour comprendre l’utilisation des Services; aucun Renseignement de santé sensible n’est communiqué à ces outils ni traité par ceux-ci.

9. Sécurité et conservation

Nous maintenons un programme de sécurité destiné à protéger les renseignements contre l’accès, la communication, la modification et la destruction non autorisés. Nos mesures comprennent notamment :

Chiffrement : Toutes les données sont chiffrées au repos et en transit au moyen de protocoles cryptographiques reconnus dans le secteur.
Contrôles d’accès : Des contrôles stricts fondés sur les rôles limitent l’accès du personnel aux renseignements nécessaires à ses fonctions.
Dépersonnalisation et pseudonymisation : Nous utilisons ces outils lorsque cela convient pour réduire les risques pour la vie privée.
Audits de sécurité réguliers : Nous effectuons des évaluations internes et externes pour relever et atténuer les vulnérabilités.
Traitement sécurisé : Nous maintenons des politiques et des procédures de traitement et de destruction sécurisés durant le cycle de vie des renseignements.

Conservation de l’audio et des consultations : L’audio enregistré en direct est transmis en continu pour la transcription et n’est pas conservé après son traitement. L’audio téléversé suit un processus distinct : il reste associé à la consultation jusqu’à son retrait ou sa suppression. Les notes, transcriptions, suggestions de codes et autres renseignements de consultation suivent les paramètres et les ententes applicables. La suppression automatique configurable des consultations permet des périodes de 1 à 365 jours calculées depuis la création de la consultation, y compris pour les consultations actives et archivées et les notes associées. L’archivage ne supprime pas une consultation.

La suppression du stockage actif ne signifie pas un retrait instantané de toutes les sauvegardes et de tous les systèmes techniques. Les copies de sauvegarde et les éléments résiduels suivent les procédures applicables de conservation et de suppression et les exigences légales. Certains renseignements limités peuvent devoir être conservés pour respecter la loi, assurer la sécurité ou régler un différend; les Données cliniques conservées restent protégées par la politique et les ententes applicables. La politique ne promet pas un délai universel d’effacement des sauvegardes. Les Professionnels doivent conserver les dossiers médicaux légalement requis et exporter ceux qui sont nécessaires avant une suppression ou la fermeture d’un compte. La suppression dans Vero ne supprime pas les copies déjà exportées vers un dossier médical électronique ou un autre destinataire.

Incidents : Nous enquêtons sur les accès, utilisations et communications non autorisés soupçonnés et fournissons les avis et la collaboration exigés par la loi et les ententes applicables. La politique ne remplace ni ne réduit une obligation convenue de notification d’incident.

10. Vos droits et contrôles

Selon votre territoire, vous pouvez avoir les droits suivants :

Accès : Demander une copie des Renseignements personnels que nous détenons à votre sujet.
Rectification : Demander la correction des renseignements inexacts ou incomplets.
Effacement : Demander la suppression des renseignements, sous réserve des obligations légales et contractuelles de conservation.
Autres droits applicables : Retirer un consentement, s’opposer à un traitement ou le restreindre, ou recevoir des renseignements dans un format permettant leur transfert lorsque la loi le prévoit. Le retrait n’annule pas un traitement antérieur licite et peut influer sur la disponibilité d’un service.

Présentez une demande vérifiable aux coordonnées ci-dessous. Nous répondrons dans le délai légal applicable et pouvons vous demander des renseignements pour vérifier votre identité.

Pour accéder au dossier clinique d’un Patient, le faire rectifier ou poser une question à son sujet, contactez d’abord le Professionnel ou l’organisation responsable. Nous aidons cette organisation conformément à la loi et aux ententes et traitons les demandes qui nous sont adressées selon nos propres obligations légales. Les codes ou les notes générés doivent être corrigés dans le cadre du processus clinique relevant de l’organisation responsable. Vous pouvez aussi soumettre une préoccupation à l’autorité de protection des renseignements compétente dans votre territoire.

Droits locaux et contenus générés par l’IA : Les lois canadiennes, québécoises, étatiques américaines et internationales applicables peuvent prévoir des droits supplémentaires, notamment la portabilité, la restriction ou l’opposition au traitement, un recours ou de l’information et un réexamen par une personne concernant certaines décisions automatisées. Nous traitons ces demandes selon la loi applicable et notre rôle. Les contenus cliniques et les suggestions de codes sont destinés à une vérification professionnelle, et non à des décisions cliniques, de couverture ou de remboursement entièrement automatisées. La politique n’écarte pas les avis ni les droits de révision légalement requis pour les décisions automatisées. Lorsque le RGPD de l’Union européenne ou du Royaume-Uni s’applique, vous pouvez porter plainte auprès de l’autorité de protection des données compétente et nous contacter pour exercer vos droits applicables.

Lorsque la législation québécoise sur les renseignements de santé et de services sociaux s’applique, des restrictions supplémentaires d’accès et de communication peuvent viser les dossiers cliniques. Contactez l’organisation de santé responsable pour exercer ces droits; nous l’aidons conformément à la loi et à nos ententes.

11. Mise à jour de la politique

Nous publions la politique révisée et modifions sa date de dernière mise à jour. Nous donnerons les avis supplémentaires et obtiendrons les consentements légalement requis avant de mettre en œuvre une nouvelle utilisation qui exige un consentement. La poursuite de l’utilisation des Services ne remplace pas ce consentement. Les exigences contractuelles de préavis continuent de s’appliquer.

12. Nous joindre

Pour toute question, préoccupation ou demande concernant la politique ou nos pratiques, contactez le responsable de la protection des renseignements personnels, VERO SCRIBE INC., à hello@veroscribe.com. Évitez d’inclure des renseignements de Patients dans un premier courriel; nous pouvons organiser un canal approprié au besoin.