Politique de confidentialité

Quand une agence de soins à domicile tient ses dossiers clients dans CareKindle, c’est l’agence qui est le dépositaire de renseignements sur la santé (le terme de la LPRPS en Ontario) ou l’organisation responsable au sens des lois comparables des autres provinces. CareKindle agit comme fournisseur de services de l’agence : nous traitons les renseignements personnels sur la santé uniquement selon les directives de l’agence, et uniquement pour fournir le service auquel elle s’est abonnée.

Nous ne vendons pas de renseignements personnels, et nous n’utilisons pas les dossiers de santé des clients à des fins publicitaires. Les dossiers qu’une agence tient dans CareKindle appartiennent à cette agence et à ses clients, pas à nous.

Pour les renseignements que nous recueillons directement (les coordonnées de compte du personnel d’agence qui s’inscrit, les registres de facturation d’abonnement et les messages que vous nous envoyez), CareKindle est responsable en son propre nom.

• Dossiers clients : profils, renseignements d’admission, plans de soins, évaluations, notes de visite et documents.
• Registres de vérification des visites : heures et positions GPS d’arrivée et de départ pour les visites à l’horaire.
• Dossiers d’emploi des intervenants : attestations et dates d’expiration, disponibilités et périodes bloquées, et feuilles de temps établies à partir des visites vérifiées.
• Facturation des clients : factures avec leurs lignes de taxe, paiements consignés et réclamations aux assureurs.
• Activité du portail famille : quels proches autorisés ont consulté les dossiers qui leur sont partagés.
• Messages entre le personnel de bureau et les intervenants.

Nous traitons ces dossiers pour faire fonctionner les fonctions que l’agence utilise, rien d’autre.

• Renseignements de compte : nom, adresse courriel, rôle et historique de connexion du personnel d’agence et des intervenants titulaires d’un compte CareKindle.
• Détails d’abonnement et de facturation de l’abonnement CareKindle de l’agence, traités par Stripe. CareKindle ne facture jamais les clients d’une agence ni leurs familles.
• Correspondance de soutien : ce que vous envoyez à hello@carekindle.com.
• Témoins (cookies) : un témoin pour maintenir votre session, et un autre qui retient votre préférence de langue (français ou anglais). Nous n’utilisons aucun témoin publicitaire ni de pistage intersites.
• Analyse activée par défaut, avec un vrai refus possible : notre site public utilise Google Analytics, qui nous aide à comprendre quelles pages sont utiles. Il ne s’exécute que sur ce site public, jamais dans l’application CareKindle, et nous retirons les adresses courriel et autres identifiants des adresses de pages avant tout envoi. Un avis lors de votre première visite offre un bouton Refuser; choisissez-le et plus rien ne se charge, et le site fonctionne exactement pareil. La page de connexion à app.carekindle.com fonctionne autrement : elle charge un seul conteneur Google Tag Manager, et uniquement après votre accord. Refusez l’avis ou ignorez-le et rien ne se charge. Ce choix est distinct de celui-ci, car le témoin ck-consent est conservé par site. Votre choix est retenu 180 jours dans le témoin ck-consent, et vous pouvez le changer à tout moment en supprimant ce témoin.
• Un outil de rediffusion de session, Lucky Orange, est configuré dans notre gestionnaire de balises, mais il ne fonctionne pas : notre site en bloque le chargement, donc aucune rediffusion de votre visite n’est enregistrée et rien n’est transmis à cette entreprise. Nous vous le disons maintenant plutôt que le jour où cela commencerait. Si nous l’activions, il n’enregistrerait que la façon dont les visiteurs parcourent le site public, sous le même refus possible, et nous l’indiquerions ici et dans le registre des sous-traitants avant toute collecte.
• Contexte de campagne : lorsque vous arrivez par un lien portant des balises de campagne (comme utm_source), nous conservons ces balises, le domaine du site référent et la première page visitée dans un témoin de première partie pendant 90 jours, afin de savoir quel canal vous a amené si vous nous contactez ou créez un compte par la suite. Il ne contient ni nom, ni courriel, ni historique de navigation.

Les mesures ci-dessous sont en vigueur aujourd’hui et décrites en détail sur notre page Sécurité :

• Les données de chaque agence sont isolées au niveau de la base de données, de sorte qu’une agence ne peut jamais accéder à celles d’une autre.
• Les actions sensibles sont consignées dans un journal d’audit immuable, en ajout seulement.
• Chaque consultation de dossier est journalisée, montrant qui a regardé quel dossier, et quand.
• Les mots de passe sont hachés et salés, et ne sont jamais stockés en clair.
• Les renseignements personnels sur la santé sont caviardés de nos journaux applicatifs.
• Contrôle d’accès fondé sur les rôles : six rôles d’exploitation, avec des espaces distincts pour les intervenants et les familles.
• Tout le trafic est chiffré en transit (TLS).

Nous publions aussi ce que nous n’avons pas encore obtenu ou vérifié. Notre feuille de route de certification se trouve sur la même page.

Lire la page Sécurité au complet

Un petit nombre de tiers nous aident à faire fonctionner CareKindle. Nous publions le registre complet (qui ils sont, ce qu’ils font et où ils traitent les données) sur notre page Sécurité, et nous le tenons à jour. Quand une région n’est pas encore confirmée pour notre déploiement en production, le registre indique « Région à confirmer » plutôt que de deviner.

À ce jour, le registre comprend Amazon Web Services, qui héberge l’application, la base de données et le stockage chiffré des documents au Canada; Amazon SES (les courriels transactionnels qui portent les invitations et les avis d’horaire, également au Canada); Stripe (facturation des abonnements d’agence uniquement); Mapbox (cartes et géocodage pour les horaires et la vérification des visites); et Google (Tag Manager et Analytics), la mesure du site public décrite plus haut. Lucky Orange, QuickBooks en ligne et Google reCAPTCHA Enterprise (protection contre les accès automatisés pour les formulaires de connexion) y figurent comme « à venir », et aucun d’eux ne reçoit quoi que ce soit aujourd’hui. Le transfert comptable d’aujourd’hui est une exportation CSV, ce qui veut dire que vos données comptables vont où vous les apportez.

Consulter le registre des sous-traitants

L’application, la base de données et le stockage chiffré des documents fonctionnent tous au Canada, dans la région de Montréal d’Amazon Web Services. Les courriels transactionnels qui portent les invitations et les avis d’horaire sont envoyés par Amazon SES, également au Canada. Les dossiers de soins demeurent au Canada.

Trois des services sur lesquels nous nous appuyons se trouvent aux États-Unis, et chacun ne reçoit qu’une chose précise. Stripe traite la facturation des abonnements d’agence et reçoit les coordonnées de facturation de l’agence elle-même, jamais un dossier de client. Mapbox convertit l’adresse municipale d’une visite en coordonnées cartographiques pour les horaires et la vérification des visites; il reçoit donc des adresses de clients, mais aucun contenu clinique : aucun diagnostic, aucun médicament, aucune note de visite, aucun plan de soins. Tag Manager et Analytics de Google mesurent le site public et la page de connexion, et ne reçoivent aucune information sur les clients.

Nous le disons clairement parce que le droit américain peut contraindre la divulgation aux autorités de ce pays d’une manière que le droit canadien ne permet pas. C’est pourquoi la liste est courte, pourquoi chaque entrée précise exactement ce qu’elle reçoit, et pourquoi rien de clinique ne franchit la frontière.

QuickBooks en ligne est facultatif, et il est désactivé. Le logiciel peut transmettre des renseignements de facturation à Intuit, aux États-Unis, lorsqu’une agence choisit de connecter sa propre entreprise QuickBooks, mais cette intégration n’est pas activée sur notre service aujourd’hui : aucune agence ne peut en connecter une, et rien n’a été transmis. Lorsque nous l’activerons, elle ne portera que des données comptables — les coordonnées de facturation des clients (nom, adresse de facturation, courriel, téléphone et une note de payeur), les coordonnées des soignants en tant que fournisseurs ou, pour les employés, leur fiche d’employé avec la date d’embauche, les lignes de factures (service, date, quantité, taux et montant; des frais d’annulation sont transmis sous le libellé fixe « Late cancellation », jamais leur motif; une dépense ou un kilométrage facturé est transmis sous le libellé fixe « Out-of-pocket expense » ou « Mileage », jamais la description de la réclamation; toute autre ligne porte le nom du service, sauf si l’agence a saisi ou modifié une description — frais manuels, frais de retard ou ligne modifiée —, auquel cas celle-ci est transmise telle quelle) et les lignes de factures de sous-traitance — et jamais de dossiers cliniques. Nous inscrirons Intuit au registre comme actif avant que la moindre donnée circule, et non après.

Consulter le registre des sous-traitants

Si vous recevez des soins d’une agence qui utilise CareKindle, votre dossier relève de votre relation de soins avec cette agence. C’est elle, le dépositaire, et les demandes pour consulter, corriger ou supprimer vos renseignements lui sont adressées. Ce n’est pas une façon de nous défiler : c’est ainsi que le droit canadien de la protection des renseignements sur la santé répartit les responsabilités, et cela confie la décision aux personnes qui connaissent vos soins.

CareKindle fournit aux agences les outils pour traiter ces demandes : un centre de conformité qui consigne les demandes relatives à la vie privée, les consentements, les incidents et les paramètres de conservation, ainsi qu’un journal de chaque consultation de dossier. Si votre demande nous parvient directement, nous la transmettrons à votre agence et nous vous en aviserons.

Si vous détenez un compte CareKindle (personnel d’agence ou intervenant), écrivez à hello@carekindle.com au sujet de vos renseignements de compte et nous nous en occuperons nous-mêmes.

La conservation des dossiers clients est dirigée par l’agence, qui porte les obligations de tenue de dossiers d’un dépositaire en vertu du droit provincial. CareKindle fournit des paramètres de conservation que l’agence administre depuis son centre de conformité.

Nous conservons nos propres registres (comptes, historique d’abonnement et de facturation, correspondance de soutien) aussi longtemps que nécessaire pour exploiter le service et respecter nos obligations légales et comptables.

Quand cette politique change, la date en haut de page change aussi. Pour les changements importants, nous aviserons les propriétaires de compte des agences. Chaque révision est datée, et rien ne se réécrit en douce.