Politique de confidentialité

En bref

Ce site ne vous demande pas de créer un compte, ne vend rien en ligne, n'a pas d'infolettre et n'installe aujourd'hui aucun témoin publicitaire. Le gros de vos renseignements ne vient pas d'ici : il vient de votre dossier à la clinique et de notre logiciel de rendez-vous. Cette page dit ce que nous avons vraiment, pas ce qui ferait bonne impression.

Qui nous sommes

Cette politique s'applique au site https://shayesthetique.ca, exploité par SHAY Esthétique, 111 Rue Chabanel Ouest #604, Montréal (QC) H2N 1C8. Elle couvre aussi les renseignements que la clinique détient à votre sujet dans ses propres systèmes.

• ResponsableLa direction de SHAY Esthétique — Responsable de la protection des renseignements personnels
• Courrielinfo@shaymedico.ca
• Téléphone+1 438 796-3111
• Adresse111 Rue Chabanel Ouest #604, Montréal (QC) H2N 1C8

C'est à cette adresse courriel que vous écrivez pour toute question sur cette politique, pour consulter votre dossier, le faire corriger, retirer un consentement ou porter plainte. C'est une vraie boîte, lue par la clinique.

Ce que nous recueillons, et quand

Nous préférons vous le dire moment par moment plutôt qu'en une liste vague.

Quand vous naviguez sur le site

Rien ne vous est demandé et vous n'avez pas de compte à créer. Notre serveur web garde toutefois un journal technique de chaque page servie : votre adresse IP, la date et l'heure, la page demandée, la page d'où vous veniez et le type de navigateur. Ce journal sert à faire fonctionner le site et à repérer les abus. Nous limitons aussi le nombre d'envois de formulaires par adresse IP : ce compteur vit quelques minutes dans la mémoire du serveur, n'est jamais écrit sur disque et disparaît à chaque redémarrage.

Quand vous vous inscrivez au parrainage

Le formulaire d'ambassadrice recueille votre nom et au moins un moyen de vous joindre : courriel, téléphone, ou les deux. Nous en tirons un code de parrainage. Le téléphone est conservé sous forme de 10 chiffres, sans mise en forme. Il n'y a ni compte ni mot de passe : votre page de suivi s'ouvre avec votre code. Ne le partagez donc qu'aux personnes que vous invitez.

Le formulaire d'invitation demande aussi le nom et les coordonnées de la personne que vous invitez, afin que le crédit de 25 $ soit attribué. Ce formulaire fonctionne : ce que la personne y inscrit est enregistré dans notre base. Aucune invitation n'a été enregistrée à ce jour. Ces coordonnées sont comparées à celles des autres invitations liées au même code, uniquement pour éviter les doublons.

Quand un lien de parrainage est ouvert, notre serveur en garde une trace technique, comme pour n'importe quelle page : l'heure, le code du lien, l'adresse IP et le navigateur. Nous n'y associons pas votre nom.

Quand vous signez un consentement de soin

Avant certains soins, la clinique vous envoie un lien personnel vers un formulaire à signer. Ce formulaire est le seul endroit du site où nous recueillons des renseignements de santé, et ce sont des renseignements sensibles. Selon le soin, il peut demander : grossesse ou allaitement, médicaments en cours (dont isotrétinoïne, photosensibilisants, anticoagulants), herpès labial, chéloïdes, maladie auto-immune, diabète, épilepsie, cancer, implants métalliques, allergies, phototype, bronzage récent, soins et produits récents, tatouages sur la zone traitée.

Au moment où vous signez, nous enregistrons aussi trois choses que vous ne tapez pas vous-même : votre signature manuscrite telle que vous la tracez à l'écran (conservée comme image), votre adresse IP et le type de navigateur utilisé. Ces trois éléments servent uniquement à prouver que c'est bien vous qui avez signé, et quand. Nous vous le disons ici plutôt que de vous le laisser découvrir.

Le formulaire distingue deux consentements aux photos, et ils ne sont pas pareils. Le premier autorise les photos avant/après à votre dossier, à usage interne : il fait partie du suivi du soin. Le second autorise leur publication sur notre site, nos réseaux sociaux ou nos publicités : il est facultatif, il précise si votre visage peut être reconnaissable, et vous pouvez le retirer. Refuser la publication ne change ni votre soin, ni son prix, ni l'accueil qu'on vous fait.

Un lien de signature cesse de fonctionner 14 jours après son envoi.

Quand vous êtes déjà cliente de la clinique

C'est le point que notre ancienne politique passait sous silence, et c'est le plus important. Si vous avez déjà pris rendez-vous chez nous, vos coordonnées et l'historique de vos rendez-vous ne viennent pas de ce site : ils nous viennent de Fresha, le logiciel de réservation que la clinique utilise. La clinique en a importé une copie dans sa propre base de données pour gérer les dossiers, les rappels et la comptabilité. Cette copie contient, selon les cas : nom, courriel, téléphone, date de naissance, historique et notes de rendez-vous.

S'y ajoutent, pour les clientes suivies à la clinique, les éléments du dossier clinique : notes de soin, photos et consentements signés.

Quand vous utilisez la boutique

Votre panier reste dans votre navigateur. Il n'est pas envoyé chez nous et nous ne pouvons pas le voir. Il n'y a pas de paiement en ligne sur ce site : le bouton « Réserver pour ramassage » ouvre votre logiciel de courriel avec le détail de votre panier déjà écrit, et c'est vous qui décidez d'envoyer le message. Votre fournisseur de messagerie voit donc ce courriel, comme n'importe quel autre.

Ce que ce site ne fait pas

Le dire est aussi utile que de dire ce qu'il fait.

Une précision honnête : si vous êtes cliente de la clinique, nous pouvons vous écrire ou vous texter au sujet de vos rendez-vous, de votre suivi ou de nos offres. Cela ne passe pas par ce site. Vous pouvez nous demander d'arrêter en tout temps, en répondant STOP à un texto ou en écrivant à info@shaymedico.ca.

Témoins, stockage local et mesure d'audience

Aujourd'hui, ce site ne dépose aucun témoin dans votre navigateur lors d'une visite normale. Le seul témoin que l'application pose est celui de la session d'administration de la clinique : il ne concerne que le personnel, dure 12 heures et n'est jamais envoyé à une cliente.

Deux choses sont en revanche enregistrées dans votre navigateur, en « stockage local ». Elles ne sont jamais envoyées à nos serveurs :

• shay_cart — le contenu de votre panier, sous forme de nom de produit et de quantité. Aucune donnée personnelle.
• shay-consent-v1 — votre choix sur les témoins de mesure et de publicité, avec la date de ce choix.

Nous prévoyons d'ajouter deux outils de mesure : Google Analytics, pour savoir quelles pages sont consultées, et le pixel Meta, pour mesurer les réservations et les achats venant de nos publicités sur Facebook et Instagram. Ni l'un ni l'autre n'est actif aujourd'hui : aucun script de Google ou de Meta n'est chargé sur ce site. Le jour où ils le seront, ils ne se chargeront qu'après votre accord, donné case par case, et refuser sera aussi simple qu'accepter. Ces outils recueilleraient, eux, ce que vous ne nous fournissez pas : adresse IP, identifiant de témoin, navigateur, pages vues et clics — et ces renseignements partiraient aux États-Unis.

Vous pouvez ouvrir le panneau de choix à tout moment : Gérer mes témoins. Le même lien se trouve en bas de chaque page. Retirer votre accord efface les témoins concernés et recharge la page.

Un point où nous ne sommes pas encore au niveau : la carte Google affichée sur notre page d'accueil et sur la page de la clinique se charge dès l'ouverture de la page, sans attendre votre accord. Elle transmet à Google votre adresse IP, votre navigateur et la page où vous vous trouvez. C'est aujourd'hui le seul tiers que votre navigateur contacte sur ce site, et c'est un point que nous devons corriger.

À qui vos renseignements sont transmis

Nous ne vendons rien à personne. Voici la liste complète des entreprises qui touchent aujourd'hui à vos renseignements, nommées plutôt que résumées en « nos partenaires » :

• Supabase — héberge notre base de données. Le projet est dédié à la clinique et ses serveurs sont à Montréal (région ca-central-1). C'est là que vivent votre dossier, vos consentements et vos rendez-vous.
• Google — uniquement par la carte affichée sur deux pages, décrite plus haut.
• Fresha — notre logiciel de rendez-vous. Ce site ne lui envoie rien : c'est vous qui y allez en cliquant « Réserver ». À partir de ce moment, c'est la politique de confidentialité de Fresha qui s'applique à ce que vous y saisissez.
• Telnyx — notre fournisseur de télécommunications. Lorsque la clinique vous envoie un message texte de rappel ou de suivi, votre prénom et votre numéro de téléphone passent par lui pour que le message parte. Il ne reçoit rien d'autre, et rien si vous ne recevez pas de message texte de notre part.

Et ce qui n'est pas encore branché

Trois choses sont envisagées et ne fonctionnent pas aujourd'hui. Nous les écrivons quand même, pour que vous sachiez ce qui s'en vient : un prestataire de paiement, si la boutique ouvre vraiment ; un service d'envoi de courriels, pour les confirmations de commande ; et Shopify, si la boutique y était déplacée. Shopify hébergerait alors le catalogue, le panier, le paiement et l'historique de commandes, avec ses propres sous-traitants, hors du Québec. Aucun de ces trois n'est en service : rien ne leur est transmis à cette date. Cette page sera mise à jour, et la date en haut changera, avant que l'un d'eux ne reçoive quoi que ce soit.

Hors du Québec

Vos renseignements de dossier sont stockés à Montréal. Nos fournisseurs sont toutefois des entreprises étrangères : leur personnel technique peut avoir accès aux serveurs depuis l'extérieur du Québec dans le cadre du soutien et des copies de sauvegarde. Et les outils décrits plus haut — mesure d'audience, publicité, paiement, envoi de courriels, Shopify — impliqueraient une transmission aux États-Unis. La loi nous oblige à évaluer cette sortie du Québec avant qu'elle ait lieu, et à l'encadrer par une entente écrite. Tant que ce n'est pas fait, ces outils restent débranchés.

Combien de temps nous les gardons

Soyons francs plutôt que rassurants : notre système ne supprime rien tout seul. Il n'existe pas, à ce jour, de purge automatique. Vos renseignements restent dans notre base jusqu'à ce que nous les effacions à la main — à votre demande, ou de notre propre initiative quand ils ne servent plus. C'est une limite réelle, et nous préférons l'écrire que promettre une suppression qui n'aurait pas lieu.

• Dossier clinique (notes, photos, consentements) : conservé pour la durée exigée par nos obligations professionnelles et légales, et pour assurer la sécurité de vos soins futurs.
• Coordonnées et historique de rendez-vous : conservés tant que vous êtes cliente, puis pour la durée de nos obligations comptables.
• Parrainage : conservé le temps du programme et de l'attribution des crédits.
• Journaux techniques du serveur : ils ne sont pas encore soumis à une durée de conservation définie. C'est un chantier ouvert de notre côté.
• Lien de signature : il cesse de fonctionner après 14 jours.

Un formulaire de consentement signé est un cas à part. Notre base en interdit techniquement la suppression, parce que c'est une pièce de preuve : elle atteste de ce qui vous a été expliqué avant un soin. Si vous retirez votre consentement, le retrait est enregistré avec sa date et le consentement cesse d'être valable pour la suite — mais la pièce signée, elle, reste. L'effacer complètement demande une intervention manuelle dans la base de données. Nous le ferons si vous le demandez et si la loi nous le permet ; nous vous répondrons dans tous les cas.

Autre chose que vous avez le droit de savoir : quand une note, une photo ou un consentement est modifié ou supprimé, notre base en garde une copie dans un journal interne, pour que l'historique d'un dossier de santé ne puisse pas être réécrit en silence. Une demande d'effacement doit donc aussi viser cette copie, et c'est ce que nous traitons quand une demande nous arrive.

Vos droits, et comment les exercer

Tout se fait au même endroit : écrivez à info@shaymedico.ca. Dites-nous ce que vous voulez et donnez-nous de quoi vous reconnaître dans nos dossiers (le nom et le numéro de téléphone utilisés à la clinique suffisent). La loi nous accorde 30 jours pour répondre.

• Accès — obtenir la liste de ce que nous détenons à votre sujet et en recevoir une copie.
• Rectification — faire corriger ce qui est inexact, incomplet ou périmé.
• Retrait du consentement — retirer un consentement de soin, l'autorisation de publier vos photos, ou votre accord aux témoins de mesure et de publicité. Retirer l'un n'oblige à retirer aucun autre.
• Suppression — demander l'effacement de vos renseignements. Nous vous dirons honnêtement ce que nous pouvons effacer et ce que nous devons garder, avec le motif : un dossier de santé et un consentement signé ne s'effacent pas comme une adresse courriel.
• Portabilité — recevoir, dans un format informatique courant, les renseignements que vous nous avez vous-même fournis. Ce droit ne couvre pas ce que la clinique a écrit à votre sujet, comme les notes de soin ; celles-ci relèvent du droit d'accès.
• Cessation de diffusion et désindexation — exiger que nous retirions une photo ou un contenu vous concernant que nous avons publié, et que nous demandions aux moteurs de recherche de ne plus le référencer.

Aucune décision vous concernant n'est prise uniquement par un ordinateur. Le questionnaire de santé peut signaler une contre-indication à partir de vos réponses, mais il ne décide pas à votre place : une praticienne revoit le dossier, vous en parle, et c'est elle qui tranche.

Comment c'est protégé

Notre base de données n'est jamais accessible depuis votre navigateur : toute lecture ou écriture passe par notre serveur, et une requête faite de l'extérieur est refusée. Les échanges avec le site sont chiffrés. L'espace d'administration est protégé par un mot de passe et la session se termine automatiquement après 12 heures.

Nous ne vous raconterons pas que tout est parfait. Aujourd'hui, l'accès à l'administration se fait sans compte nominatif : nous ne sommes donc pas en mesure de retracer laquelle des personnes de la clinique a consulté un dossier. C'est une amélioration à faire, et nous l'écrivons ici plutôt que de laisser croire le contraire.

Si un incident de confidentialité survenait — une perte, un accès non autorisé, une communication non voulue — la loi nous oblige à le consigner dans un registre, à prendre les mesures pour en limiter les conséquences, et à vous aviser ainsi que la Commission d'accès à l'information lorsque l'incident présente un risque de préjudice sérieux. C'est ce que nous ferions.

Modifications de cette politique

Chaque fois que nos pratiques changent — un outil de mesure branché, une caisse ouverte, un fournisseur ajouté — cette page est réécrite et la date en haut est changée. Cette date est la seule promesse que nous vous faisons ici : si elle n'a pas bougé, c'est que rien n'a bougé.

Questions, plaintes et recours

Pour toute question sur cette politique, pour exercer vos droits ou pour vous plaindre de la façon dont nous traitons vos renseignements, écrivez au responsable à info@shaymedico.ca. Nous vous répondrons et nous vous dirons ce que nous faisons de votre demande.

Si notre réponse ne vous satisfait pas, vous pouvez vous adresser à la Commission d'accès à l'information du Québec, qui surveille l'application de la loi et reçoit les plaintes.

Si vous achetez un produit chez nous, nos conditions de vente s'appliquent en plus de cette politique.

Cette politique applique la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), dite « Loi 25 ». En cas de divergence, c'est le texte de loi qui prévaut : https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1