Politique de confidentialité

1. Portée

Cette politique décrit comment NK Therisia (« nous ») recueille, utilise, conserve et protège les renseignements personnels des patients et des professionnels qui utilisent la Plateforme. Elle est rédigée conformément à la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25) et, pour les échanges interprovinciaux, à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE/PIPEDA).

2. Renseignements recueillis

Tous les comptes : nom, courriel, téléphone, mot de passe (jamais stocké en clair — haché avec bcrypt), historique de connexion.

Comptes patients : à votre discrétion, date de naissance, adresse, contact d'urgence et notes médicales que vous choisissez de renseigner. Ces trois derniers champs sont chiffrés individuellement (AES-256) dans notre base de données — ils ne sont déchiffrés qu'au moment strictement nécessaire (par exemple pour les afficher au professionnel avec lequel un rendez-vous est confirmé).

Comptes professionnels : profession, numéro de permis et organisme émetteur (le cas échéant), pièce d'identité et preuve de permis téléversées pour vérification, zone de service, tarifs, spécialités, et les notes cliniques privées qu'un professionnel choisit de rédiger après un rendez-vous — ces notes sont chiffrées et ne sont jamais accessibles au patient ni à un autre professionnel.

Données de paiement : les numéros de carte ne transitent jamais par nos serveurs — ils sont traités directement par Stripe, notre partenaire de paiement certifié PCI-DSS.

3. Finalités de la collecte

Nous utilisons ces renseignements uniquement pour : créer et gérer votre compte, faciliter la mise en relation et la réservation de rendez-vous, traiter les paiements et versements, vérifier l'identité et les permis des professionnels, vous envoyer les communications liées au service (confirmations, rappels, rapports), et assurer la sécurité de la Plateforme (prévention de la fraude, traitement des signalements).

4. Partage avec des tiers

Nous ne vendons jamais vos renseignements personnels. Nous les partageons uniquement avec les fournisseurs suivants, strictement pour opérer la Plateforme :

• Stripe — traitement des paiements et versements aux professionnels.
• Resend — envoi des courriels transactionnels (confirmations, rappels, réinitialisation de mot de passe).
• Cloudflare (R2) — stockage sécurisé des photos de profil et documents de vérification.
• Neon / Vercel — hébergement de la base de données et de l'application.

Un professionnel avec qui vous avez un rendez-vous confirmé peut voir les renseignements nécessaires à la prestation (nom, notes médicales que vous avez choisi de renseigner). Aucun professionnel ne peut voir les données d'un autre professionnel ni les dossiers d'un patient qui ne lui est pas rattaché.

5. Conservation des renseignements

Vos renseignements sont conservés le temps nécessaire aux finalités décrites ci-dessus et pour respecter nos obligations légales (notamment fiscales et comptables liées aux transactions). Vous pouvez demander la suspension de votre compte en tout temps en nous écrivant.

6. Vos droits

En vertu de la Loi 25, vous avez le droit de :

• accéder aux renseignements personnels que nous détenons à votre sujet;
• faire rectifier tout renseignement inexact, incomplet ou équivoque;
• retirer votre consentement à certains traitements, sous réserve de nos obligations légales;
• demander la désindexation ou la cessation de diffusion de certains renseignements, dans les cas prévus par la loi;
• porter plainte auprès de la Commission d'accès à l'information du Québec (CAI) si vous estimez que vos droits n'ont pas été respectés.

Pour exercer l'un de ces droits, écrivez-nous à l'adresse indiquée ci-dessous — nous répondrons dans les délais prévus par la loi.

7. Sécurité

Les mots de passe sont hachés, jamais stockés en clair. Les données de santé sensibles (date de naissance, contact d'urgence, notes médicales, notes cliniques professionnelles) sont chiffrées individuellement en base de données. Toutes les communications avec la Plateforme sont chiffrées (HTTPS). L'accès aux données est cloisonné par rôle : un patient ne voit jamais les données d'un autre patient, un professionnel ne voit jamais les données d'un autre professionnel.

8. Témoins (cookies)

Nous utilisons uniquement un témoin de session strictement nécessaire à l'authentification (gestion de votre connexion). Nous n'utilisons pas de témoins publicitaires ou de suivi tiers.

9. Modifications

Nous pouvons modifier cette politique en tout temps; la version en vigueur est celle publiée sur cette page, avec sa date de dernière mise à jour.

10. Nous joindre

Pour toute question ou pour exercer vos droits, écrivez-nous à cliniqueprimacare@gmail.com.