Politique de confidentialité.

Source des renseignements. Les renseignements concernant un patient sont transmis par son médecin dans l'exercice de sa profession, par dictée, saisie ou photographie d'un document. AtomicMD ne recueille pas de renseignements directement auprès du patient et ne dispose pas de ses coordonnées.

La voix du médecin. La dictée repose sur l'enregistrement de la voix du médecin. Le médecin peut également choisir d'enregistrer une rencontre après avoir informé la personne concernée, obtenu son accord et attesté cet accord dans l'application. L'enregistrement exige toujours une action du médecin.

Le texte clinique du cas. Ce que le médecin dicte ou écrit est transcrit, puis analysé par AtomicMD, au Québec. Avant tout traitement de ce texte par un modèle, qu'il s'agisse de mettre en note, d'analyser le cas, de rédiger une entrée de suivi, de répondre à une question ou de préparer la facturation, les identifiants directs (nom, numéro d'assurance maladie, date de naissance, numéros de téléphone et d'assurance sociale, civière) sont retirés du texte et remplacés par des jetons neutres. Les valeurs cliniques sont conservées.

L'image d'un document, lorsque le médecin en demande la lecture. Elle est transmise telle quelle au modèle de lecture, à Montréal, traitée en mémoire, puis supprimée ; seul le texte retenu est conservé.

L'identité de la visite : une étiquette, l'âge, le sexe, la civière ou le lit, le motif de consultation, le numéro d'assurance maladie quand il sert à facturer, et, lorsqu'une carte a été lue, le nom et la date de naissance qui y figurent.

Ce qui est transmis aux modèles d'intelligence artificielle. Trois objets : l'audio de la dictée ou de la rencontre enregistrée, tel quel, au service de transcription ; la photographie d'un document, telle quelle, au modèle de lecture ; et le texte clinique, dépouillé de ses identifiants directs, accompagné de l'âge, du sexe et du motif de consultation, qui font partie du contexte clinique nécessaire à l'analyse du cas. Le nom, le numéro d'assurance maladie, la date de naissance et la civière connus de la visite, ainsi que les numéros d'assurance maladie, de téléphone et d'assurance sociale reconnaissables à leur format, sont remplacés par des jetons neutres dans le texte transmis. Tous ces traitements s'exécutent au Québec, dans la région de Montréal.

Votre compte : le courriel, le nom, le numéro de permis si vous choisissez de le fournir, et vos consentements.

L'écoute ambiante d'une rencontre exige l'accord du patient. Avant d'ouvrir le micro, l'application demande au médecin d'informer le patient et d'obtenir son accord ; le médecin l'atteste d'un clic, et l'écoute reste fermée tant que l'attestation n'est pas posée. La version du texte attesté et la date sont conservées sur la visite, et l'attestation laisse une trace au journal, sans contenu clinique. Le patient peut refuser sans aucune conséquence sur ses soins, et retirer son accord en tout temps.

Les consentements du médecin sont séparés et gérés un par un, depuis ses réglages : chacun porte son état, la date de la décision et la version du texte accepté, et se retire en un clic au même endroit.

Consentement explicite. Tout consentement facultatif est décoché par défaut. Les courriels de service, codes de vérification et avis de sécurité sont traités indépendamment de ces consentements.

Nous travaillons avec un nombre limité de sous-traitants d'infrastructure, chacun chargé d'un rôle précis, tous dans la région de Montréal :

Le site public, qui ne traite aucune donnée clinique ni de compte, est diffusé par un réseau mondial.

La facturation d'exercice est destinée à la Régie de l'assurance maladie du Québec, comme la loi le prévoit. Sa transmission par la solution n'est pas activée : son homologation se déroule dans l'environnement d'essai de la Régie, avec des identités substituées, et aucune réclamation portant des renseignements réels n'est transmise avant l'homologation. Cette politique sera mise à jour avant l'activation.

Chaque sous-traitant est lié par contrat et traite vos données uniquement pour rendre le service, à l'exclusion de ses propres fins et de l'entraînement d'un modèle. Le document Gestion des fournisseurs et son registre décrivent les exigences qui leur sont imposées et les preuves obtenues.

Le médecin exerce l'essentiel de ses droits directement à l'écran : consulter et exporter son dossier, corriger sa note, supprimer un dossier ou son compte. L'export du compte remet, dans des formats ouverts et courants, lisibles sans logiciel particulier, les données structurées de votre compte et de chaque visite (JSON), les documents (HTML) et le journal des accès vous concernant (CSV) ; l'export d'une visite remet ses documents. Il est accessible directement, sans demande préalable ni dépendance envers Technologies AtomicMD inc. L'audio et le texte brut d'une feuille de triage n'y figurent pas : ils s'obtiennent par une demande écrite au responsable, tant qu'ils sont conservés (l'audio pendant quarante-huit heures, la feuille de triage avec la visite). Les renseignements d'identité lus sur la carte figurent en en-tête des documents exportés.

Pour tout le reste, accès, rectification, retrait d'un consentement, suppression, désindexation, plainte ou simple question : écrivez au responsable, à confidentialite@atomicmd.ca.

Traitement de la demande. Nous accusons réception, nous vérifions votre identité par un moyen proportionné à ce qui est demandé, et nous répondons au plus tard trente jours après la demande, comme la loi l'exige. Un refus est motivé par écrit, avec la disposition qui le fonde et le recours qui vous reste. Chaque demande et son traitement sont consignés.

Pour un patient : la personne en mesure de réviser ce qui a été écrit à son sujet est son médecin, et les documents versés au dossier de l'établissement suivent les règles de cet établissement.

Cessation de diffusion et désindexation. Le contenu clinique est conservé dans l'application et n'est ni publié, ni diffusé, ni indexé sur le site public. Une demande de désindexation est donc traitée comme une demande de destruction, sous réserve des obligations légales de conservation. Toute restriction est expliquée au demandeur.

Après un décès. Le conjoint et les proches parents d'une personne décédée peuvent recevoir les renseignements la concernant lorsque la loi le permet, et la personne peut de son vivant s'y opposer par écrit. La solution ne tient pas le dossier du patient : une telle demande se traite auprès de l'établissement, et nous y prêtons assistance pour ce qui vit chez nous.

Si notre réponse ne vous satisfait pas, vous pouvez porter plainte à la Commission d'accès à l'information du Québec.

Tout incident de confidentialité est consigné à un registre. Si un incident présente un risque de préjudice sérieux, la Commission d'accès à l'information et les personnes concernées sont avisées, comme la loi le prévoit.

Le compte du médecin porte le courriel, le nom, le numéro de permis s'il choisit de le fournir, et ses consentements, consignés avec la date et la version du texte accepté.

Notre site compte les pages vues de façon anonyme, sans témoin, outil de mesure tiers ou création de profil.

L'application pose le témoin de votre session (soixante minutes d'inactivité au navigateur, sept jours dans l'application mobile) ; des témoins temporaires d'authentification de quelques minutes (attente du code, enrôlement du second facteur, clé d'accès, avis de connexion), qui n'ouvrent aucune donnée ; et, si vous le demandez en cochant « ne plus demander sur cet appareil », un témoin d'appareil de confiance de trente jours que vous révoquez depuis l'écran de votre compte. L'adresse de provenance de vos requêtes est conservée au journal de sécurité pendant trois ans. Aucun témoin de mesure d'audience, publicitaire ou tiers n'est utilisé.

Les témoins de session et d'authentification sont nécessaires au service : ils servent uniquement à vous reconnaître d'une page à l'autre et à protéger votre connexion, et la loi n'exige pas de consentement pour eux ; la présente politique vous en informe. Le témoin d'appareil de confiance n'est posé que si vous le demandez. Aucun de ces témoins ne sert à vous suivre ni à établir un profil.

Toute modification de cette politique porte sa date en tête, et la version en vigueur est publiée ici.