P01 - Politique de protection des renseignements personnels

Document : P01 Titre : Politique de protection des renseignements personnels Version : 1.0 Date d'entrée en vigueur : 2026-07-16 Propriétaire : Groupe PivotDME inc. Responsable : Responsable de la protection des renseignements personnels (RPRP)

Criteres couverts

P01.01 P01.02 P01.03 P01.04 P01.05

1. Objet

La présente politique établit les principes, responsabilités et mesures applicables à la protection des renseignements personnels traités par Pivot DME.

Elle vise à assurer la conformité avec :

• la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25);
• les exigences du Collège des médecins du Québec;
• les exigences de la certification TGV;
• les politiques internes de l'organisation.

2. Portée

Cette politique s'applique :

• à tous les employés;
• aux médecins;
• aux professionnels de la santé;
• au personnel administratif;
• aux administrateurs;
• aux fournisseurs autorisés ayant accès aux infrastructures;
• à toute personne utilisant Pivot DME.

Elle couvre tous les renseignements personnels et renseignements de santé traités par Pivot DME.

3. Principes directeurs

L'organisation applique les principes suivants :

• responsabilité;
• transparence;
• minimisation des renseignements recueillis;
• exactitude des renseignements;
• confidentialité;
• intégrité;
• disponibilité;
• traçabilité;
• sécurité dès la conception (Privacy by Design);
• moindre privilège;
• besoin de connaître.

4. Responsable de la protection des renseignements personnels

Le Responsable de la protection des renseignements personnels (RPRP) est responsable de :

• superviser l'application de la présente politique;
• conseiller la direction;
• réaliser ou superviser les ÉFVP;
• approuver les communications nécessitant une validation;
• traiter les incidents de confidentialité;
• traiter les demandes d'accès, de rectification et de destruction;
• tenir les registres requis;
• assurer la sensibilisation du personnel;
• réviser périodiquement les politiques applicables.

Ses coordonnées sont publiées conformément aux exigences de la Loi 25.

5. Renseignements personnels

Pivot DME traite notamment :

• renseignements d'identification;
• coordonnées;
• renseignements administratifs;
• renseignements médicaux;
• diagnostics;
• traitements;
• prescriptions;
• examens;
• photographies cliniques;
• documents numérisés;
• consentements;
• journaux d'audit.

Seuls les renseignements nécessaires sont recueillis.

6. Collecte

Les renseignements sont recueillis :

• directement auprès du patient lorsque possible;
• auprès d'une source autorisée lorsque la loi le permet.

Avant la collecte, le patient reçoit l'information prévue par la Loi 25 concernant :

• la finalité;
• les usages;
• les personnes pouvant y avoir accès;
• la durée de conservation;
• ses droits;
• les coordonnées du RPRP.

7. Consentement

Les consentements sont recueillis avant la première consultation lorsque requis.

Pivot DME permet notamment la gestion distincte :

• du consentement Loi 25;
• du consentement aux photographies;
• des consentements propres à chaque traitement;
• des consentements de communication de renseignements.

Tous les consentements sont conservés au dossier du patient.

8. Utilisation

Les renseignements personnels sont utilisés uniquement :

• pour la prestation des soins;
• pour les activités administratives autorisées;
• pour satisfaire aux obligations légales;
• pour les autres finalités autorisées par la loi.

Toute utilisation secondaire est interdite sans autorisation légale ou consentement.

9. Communication

Les renseignements personnels sont communiqués uniquement :

• avec le consentement requis;
• lorsqu'une disposition légale l'autorise;
• après les validations prévues par les politiques internes.

Lorsque nécessaire, le RPRP doit approuver la communication.

10. Contrôle des accès

Pivot DME applique :

• authentification forte;
• authentification multifacteur;
• contrôle d'accès basé sur les rôles;
• principe du moindre privilège;
• restrictions particulières lorsque nécessaires;
• journalisation complète.

Chaque utilisateur possède un compte nominatif.

11. Sécurité

Les renseignements personnels sont protégés par des mesures :

Administratives

• politiques internes;
• procédures;
• formation;
• sensibilisation;
• gestion des incidents.

Physiques

• hébergement local;
• serveurs installés dans des armoires verrouillées;
• accès physique limité aux personnes autorisées.

Technologiques

• HTTPS/TLS;
• MFA;
• contrôle des accès;
• journalisation;
• sauvegardes;
• réplication;
• PITR;
• surveillance de sécurité;
• stockage privé DATA_ROOT;
• séparation des environnements.

12. Journalisation

Pivot DME journalise notamment :

• les authentifications;
• les consultations;
• les modifications;
• les signatures;
• les impressions;
• les exportations;
• les communications;
• les opérations administratives.

Les journaux sont protégés contre toute modification non autorisée.

13. Conservation

Les renseignements personnels sont conservés conformément :

• aux exigences légales;
• aux règlements du Collège des médecins;
• à la Politique de conservation et de destruction.

14. Droits des personnes concernées

Toute personne peut notamment demander :

• l'accès à ses renseignements;
• leur rectification;
• le retrait d'un consentement lorsque permis;
• la destruction lorsque légalement possible;
• la portabilité lorsque applicable.

Toutes les demandes sont traitées par le RPRP.

Le patient ne dispose pas d'un accès direct à son dossier par Pivot DME.

15. Incidents de confidentialité

Tout incident est immédiatement signalé au RPRP.

Le processus comprend notamment :

• l'analyse de l'incident;
• les mesures de mitigation;
• les notifications requises;
• la tenue du registre des incidents;
• les mesures correctives.

16. Fournisseurs

Groupe PivotDME inc. ne confie ni le développement ni l'exploitation clinique de Pivot DME à des tiers.

Les fournisseurs externes sont limités aux commodités techniques (matériel, réseau, certificats, accès Internet, etc.) et n'ont pas accès aux renseignements personnels dans le cadre normal de leurs activités.

17. Formation

Tous les utilisateurs reçoivent une formation portant notamment sur :

• la protection des renseignements personnels;
• la cybersécurité;
• la confidentialité;
• les incidents;
• les responsabilités professionnelles.

Une mise à jour périodique est exigée.

18. Vérification

Le respect de la présente politique fait l'objet :

• d'audits internes;
• de révisions périodiques des accès;
• de contrôles de conformité;
• d'analyses des journaux;
• d'amélioration continue.

19. Révision

La présente politique est révisée :

• lors de toute modification législative importante;
• lors d'un changement majeur de Pivot DME;
• à la suite d'un incident majeur;
• au minimum tous les trois ans.

20. Documents associés

• Politique de conservation et de destruction des renseignements personnels.
• Politique de confidentialité.
• Conditions d'utilisation.
• Politique de cybersécurité.
• Politique de gestion des accès.
• Politique de gestion des incidents de confidentialité.
• Procédure de réalisation des ÉFVP.
• Procédure de traitement des demandes d'accès et de rectification.