Perceo › Entente de traitement

Entente de traitement

AuraScribe Inc. (NEQ 1182350810) · 70, cour Villeneuve, Charlemagne (Québec) J5Z 4Y3

Version

2.1

En vigueur le

6 octobre 2026

Dernière mise à jour

6 octobre 2026

Questions

confidentialite@perceo.ca

1. Objet et parties

Cette entente encadre le traitement des renseignements personnels, y compris les renseignements de santé, que AuraScribe Inc. (NEQ 1182350810, qui exploite Perceo) fait pour le compte de la clinique cliente.

Elle fait partie des conditions d'utilisation et du bon de commande. Pour tout ce qui touche les renseignements des patients, elle l'emporte sur eux.

Elle constitue l'entente écrite requise par la loi lorsqu'un organisme ou une entreprise confie des renseignements personnels à un prestataire de services.

2. Mots utilisés

• Nous : AuraScribe Inc.
• Clinique : le médecin, la clinique, le GMF ou l'organisation cliente.
• Renseignements confiés : les renseignements personnels que la clinique ou ses utilisateurs saisissent, captent ou reçoivent dans Perceo au sujet des patients, et le journal d'audit qui les concerne.
• Traitement : toute opération sur les renseignements confiés : collecte, transcription, utilisation, conservation, communication, destruction.
• Sous-traitant ultérieur : une entreprise à qui nous confions une partie du traitement.
• Incident : un accès, une utilisation ou une communication non autorisés d'un renseignement confié, sa perte, ou toute autre atteinte à sa protection.
• Lois applicables : la Loi sur la protection des renseignements personnels dans le secteur privé, la Loi sur les renseignements de santé et de services sociaux, et toute autre loi qui s'applique au traitement.

3. Rôles des parties

• La clinique est responsable des renseignements confiés. Elle décide pourquoi ils sont recueillis et à quoi ils servent. Elle détient le dossier du patient.
• Nous sommes son prestataire de services. Nous traitons les renseignements confiés seulement pour lui fournir Perceo.
• La RAMQ reçoit les demandes et les vérifications sur instruction du médecin. Elle n'est pas notre sous-traitant. La relation entre le médecin et la RAMQ ne passe pas par nous.

Le détail du traitement est à l'annexe A.

4. Instructions de la clinique

• Nous traitons les renseignements confiés seulement selon les instructions documentées de la clinique. Ces conditions, le bon de commande, les réglages choisis dans Perceo et les demandes écrites de l'administrateur sont des instructions.
• Nous ne les traitons à aucune autre fin, sauf si la loi nous y oblige. Dans ce cas, nous avisons la clinique avant, sauf si la loi l'interdit.
• Si une instruction nous semble contraire à la loi, nous le disons à la clinique et nous pouvons suspendre son exécution.

5. Obligations de la clinique

• Obtenir le consentement explicite des patients avant d'utiliser le scribe, et les informer que la transcription clinique est effectuée par Azure Speech dans la région Canada East.
• Obtenir les consentements requis pour les messages texte, les télécopies, les courriels et les appels.
• Recueillir seulement les renseignements nécessaires.
• Gérer les accès de ses utilisateurs et les retirer quand ils ne sont plus nécessaires.
• Verser les notes signées dans son DME avant la fin du délai de conservation choisi.
• Réaliser son ÉFVP et tenir ses propres registres, selon la loi.
• Nous aviser sans délai si elle constate un incident dans Perceo.

6. Personnel et confidentialité

• Seules les personnes qui en ont besoin pour fournir Perceo ont accès aux renseignements confiés, et seulement dans cette mesure.
• Chacune signe un engagement de confidentialité avant tout accès, reçoit une formation sur la protection des renseignements et la renouvelle chaque année.
• Les accès de soutien sont limités aux personnes autorisées; les consultations et actions sur les données sont journalisées. En cas d'incident de sécurité urgent, l'accès nécessaire à son traitement est limité et consigné.
• Les accès de notre personnel sont revus tous les trois mois et retirés le jour d'un départ.

7. Mesures de sécurité

Nous prenons des mesures de sécurité propres à assurer la protection des renseignements confiés, raisonnables compte tenu de leur sensibilité, de leur quantité, de leur répartition et de leur support. Elles sont décrites à l'annexe B, avec leur état réel.

Nous pouvons améliorer ces mesures. Nous ne les réduisons pas de façon importante pendant le contrat.

8. Sous-traitants ultérieurs

• La clinique autorise les sous-traitants ultérieurs listés à l'annexe C.
• Chacun est lié par un contrat écrit qui lui impose des obligations de protection au moins équivalentes à celles de cette entente, et lui interdit d'utiliser les renseignements à d'autres fins.
• Avant d'ajouter ou de remplacer un sous-traitant ultérieur qui traite des renseignements confiés, nous avisons la clinique par courriel au moins 30 jours à l'avance.
• La clinique peut s'opposer pour un motif raisonnable lié à la protection des renseignements. Nous cherchons alors une solution avec elle. À défaut, elle peut résilier le service touché sans pénalité, et nous remboursons la part payée d'avance pour la période non utilisée.
• Nous restons responsables envers la clinique du travail de nos sous-traitants ultérieurs.

9. Communication hors du Québec

• L'hébergement de Perceo et le modèle d'IA sont au Québec.
• La transcription clinique utilise Azure Speech dans la région Canada East. La téléphonie Léa n’est pas activée dans la livraison de qualification.
• Pour les cliniques qui utilisent les appels et les messages texte, Twilio Inc. traite ces communications aux États-Unis.
• Avant toute communication hors du Québec, nous faisons une ÉFVP et nous vérifions que les renseignements recevront une protection adéquate. Nous remettons à la clinique un résumé de ces évaluations sur demande.
• Un renseignement traité aux États-Unis peut être visé par les lois de ce pays, y compris des demandes d'accès d'autorités. La clinique en tient compte dans son ÉFVP.

10. Intelligence artificielle

• Les modèles d'IA utilisés sont indiqués à l'annexe C : Gemini de Google par Vertex AI (Montréal) et Azure Speech (Canada East) pour la transcription clinique.
• Aucun renseignement confié ne sert à entraîner, ajuster ou évaluer un modèle d'IA, chez nous ou chez nos fournisseurs. Nous configurons nos fournisseurs en conséquence.
• Les données de santé ne sont envoyées à aucun autre modèle que ceux de l'annexe C. Si le service prévu n'est pas joignable, la demande échoue plutôt que d'être envoyée ailleurs.
• Tout contenu produit par l'IA est un brouillon que le médecin révise. Aucune décision n'est prise uniquement par un traitement automatisé.
• Avant de changer de modèle ou de fournisseur d'IA, nous faisons une revue écrite et nous avisons la clinique 30 jours à l'avance si le changement est important.

11. Ce que nous ne faisons jamais

• Vendre, louer ou échanger des renseignements confiés.
• Les utiliser pour la publicité, la prospection ou la recherche.
• Les combiner avec d'autres données pour établir un profil.
• Tenter de réidentifier des données anonymisées.
• Les communiquer à un tiers sans instruction de la clinique, sauf obligation légale (section 16).
• Conserver l'audio de la consultation.

12. Aide pour les droits des personnes

• Si un patient nous adresse une demande (accès, rectification, retrait du consentement, portabilité), nous la transmettons à la clinique dans les 5 jours ouvrables. Nous n'y répondons pas nous-mêmes, sauf instruction de la clinique.
• Nous aidons la clinique à répondre dans les délais de la loi : export des renseignements, correction, suppression, dans un format structuré et couramment utilisé.
• Cette aide est comprise dans l'abonnement, sauf demande exceptionnelle convenue par écrit.

13. Journalisation et registres

• Perceo journalise les accès aux renseignements confiés et les actions faites sur eux : qui, quoi, quand, depuis quel appareil.
• La clinique peut obtenir l'extrait du journal qui la concerne, pour ses propres obligations, dont la tenue de registres prévue par la loi. export du journal disponible
• Nous tenons un registre des communications que nous faisons à des tiers pour la clinique, et un registre des incidents.

14. Aide pour les ÉFVP

Sur demande, nous remettons à la clinique un dossier d'appui à son ÉFVP : description du traitement, parcours des données, mesures de sécurité avec leur état réel, liste des sous-traitants ultérieurs et leur lieu, résumé de nos propres ÉFVP, réponses à un questionnaire de sécurité.

15. Incidents de confidentialité

• Nous avisons la clinique sans délai, et au plus tard 72 heures après avoir constaté un incident qui touche des renseignements confiés.
• L'avis indique, dans la mesure connue : ce qui s'est passé et quand, les renseignements et le nombre de personnes touchés, les mesures prises, les risques évalués, et une personne-ressource. Nous le complétons au fur et à mesure.
• Nous prenons sans délai les mesures pour réduire le risque de préjudice et éviter que l'incident se reproduise.
• Nous aidons la clinique à évaluer le risque de préjudice sérieux et à faire les avis requis à la Commission d'accès à l'information et aux personnes concernées. Nous ne faisons pas ces avis à sa place sans son accord, sauf si la loi nous l'impose.
• Nous inscrivons l'incident à notre registre des incidents, conservé au moins 5 ans.

16. Demandes d'autorités

Si une autorité nous demande des renseignements confiés, nous avisons la clinique sans délai, sauf si la loi l'interdit. Nous vérifions que la demande est valide. Nous communiquons seulement ce qui est strictement exigé.

17. Conservation, restitution et destruction

• Les durées et modalités de purge applicables sont indiquées à l'annexe D. Elles varient selon le service et la configuration.
• Perceo n'est pas un DME. La clinique est responsable de verser les notes signées dans son DME avant leur suppression.
• À la fin du contrat, les parties conviennent des modalités d'export des renseignements confiés encore présents. Après l'export, nous les détruisons de façon sécuritaire et nous confirmons la destruction par écrit.
• Les copies de sauvegarde sont détruites à la fin de leur propre délai. D'ici là, elles restent chiffrées et ne sont jamais restaurées pour être utilisées.
• Nous gardons seulement ce que la loi nous oblige à garder, et seulement pour cette fin.

18. Vérification

• Une fois par année, sur demande, nous répondons au questionnaire de sécurité de la clinique et nous lui remettons la documentation à jour.
• Nous lui remettons le sommaire du plus récent test d'intrusion, quand il existe.
• La clinique peut faire faire une vérification par une personne indépendante tenue à la confidentialité, avec un préavis de 30 jours, à ses frais, pendant les heures d'affaires, sans accès aux données d'autres clients.
• Nous corrigeons dans un délai raisonnable tout manquement constaté.

19. Responsabilité

La responsabilité de chaque partie est régie par les conditions d'utilisation, sous réserve des limites qui ne peuvent être exclues en vertu de la loi.

20. Durée

Cette entente s'applique tant que nous traitons des renseignements confiés, même après la fin du contrat, jusqu'à leur destruction. Les sections sur la confidentialité, les incidents et la destruction survivent.

21. Dispositions générales

• Cette entente est rédigée en français. La version française fait foi.
• Elle est régie par les lois du Québec et les lois du Canada qui s'y appliquent.
• Une modification importante est annoncée à la clinique au moins 30 jours avant son entrée en vigueur. Si la clinique la refuse, elle peut résilier sans pénalité avant cette date.
• Si une clause est jugée invalide, les autres restent en vigueur.

Annexe A — Description du traitement

Annexe B — Mesures de sécurité

Chaque mesure indique son état réel : en place (dans le code actuel), testée, certifiée (par un tiers, portée indiquée) ou prévue (décidée, pas encore faite).

Nous ne détenons pas les certifications SOC 2, ISO 27001 ni HIPAA et ne les revendiquons pas.

Annexe C — Sous-traitants ultérieurs

La liste à jour est aussi dans la politique de confidentialité.

Annexe D — Conservation