Politique de confidentialité

Allô Clinique (le « Service ») est une réceptionniste vocale par intelligence artificielle destinée aux cliniques de santé du Canada (toutes disciplines), exploitée par Lotfi Hichem Boutalbi (le « Fournisseur »), basé au Québec, Canada.

Pour toute question concernant cette politique ou pour exercer vos droits, contactez-nous à contact@allo-clinique.com.

Une seule personne répond de la protection des renseignements personnels chez nous : le responsable nommé à la section 10. C'est à elle qu'on écrit, et c'est elle qui tranche.

• Nos règles sont écrites. Politique de sécurité, gestion des accès, gestion des incidents, conservation et destruction : chacune existe sous forme de document daté, revu au moins une fois par an.
• Nous évaluons avant de lancer. Toute fonctionnalité qui touche à des renseignements sur des personnes fait l'objet d'une évaluation des facteurs relatifs à la vie privée (EFVP) avant sa mise en service, et cette évaluation est relue quand la fonctionnalité change.
• Les accès sont limités et tracés. Chaque personne de votre clinique a un profil, et chaque consultation d'un dossier patient laisse une trace nominative que vous pouvez consulter.
• Nous détruisons ce qui a expiré. Les durées de la section 6 sont appliquées par un ménage automatique quotidien, pas à la main.
• Un incident se traite selon une marche à suivre écrite, avec un registre, une évaluation du risque et les avis prévus par la loi (section 6 ter).
• Une plainte a un chemin, décrit à la section 10.

Pour fournir le Service, nous traitons trois catégories de données :

• Données des cliniques clientes : nom de la clinique, adresse, fuseau horaire, horaires d'ouverture, valeur moyenne d'une visite, courriel et numéro de téléphone du responsable, nom, courriel et téléphone de la personne à aviser en cas d'incident, si la clinique en désigne une, jeton d'accès au logiciel de gestion si une synchronisation optionnelle est activée.
• Données des patients qui appellent (collectées au nom de la clinique cliente) : numéro de téléphone, prénom, nom, motif d'appel, transcription textuelle de l'appel, rendez-vous demandés ou modifiés. La clinique cliente est le responsable de ces données ; nous agissons en tant que sous-traitant.
• Données techniques : adresse IP, type de navigateur, journaux d'erreurs (via Sentry), métadonnées d'appel téléphonique (durée, horodatage, statut, coût).

• Faire fonctionner l'agent vocal et la prise de rendez-vous (base : exécution du contrat).
• Envoyer les confirmations et rappels par SMS aux patients (base : exécution du contrat avec la clinique).
• Diagnostiquer un défaut du service, ce qui peut demander de lire une transcription individuelle — à aucune autre fin.
• Respecter nos obligations légales (facturation, comptabilité).

Nous n'utilisons jamais les transcriptions de patients pour entraîner des modèles d'IA tiers. Le contenu reste confidentiel.

Le stockage principal de vos données (dossiers, rendez-vous, transcriptions) est situé au Canada, sur l'infrastructure Supabase (région AWS ca-central-1, « Canada (Central) »). Pendant l'appel, certains sous-traitants techniques traitent toutefois des données hors du Canada, surtout aux États-Unis :

• la voix passe par Twilio et Vapi le temps de l'appel ; il n'y a plus d'enregistrement audio des appels faits à une clinique depuis le 3 août 2026, seuls les appels de démonstration sont enregistrés (section 6) ;
• Deepgram transcrit la voix en mémoire vive, sans l'écrire sur un support persistant ;
• Anthropic reçoit le texte de la conversation pour produire les réponses de l'agent, et l'efface dans un délai de 30 jours ;
• Vapi garde la transcription le temps de nous la transmettre : nous la faisons effacer chez lui dès qu'elle est écrite chez nous, sauf pour les appels de démonstration (section 6). Ses documents décrivent toutefois des sauvegardes quotidiennes gardées 30 jours, que son entente ne l'oblige pas à purger : une copie peut y subsister pendant ce délai.

Nos sous-traitants principaux et les juridictions concernées :

• Supabase — base de données (Canada)
• Vercel — hébergement applicatif (États-Unis, données en transit)
• Twilio — passerelle téléphonique et SMS (États-Unis)
• Vapi — moteur vocal IA (États-Unis)
• Anthropic — modèle linguistique Claude (États-Unis)
• ElevenLabs — synthèse vocale (voix de l'assistante) (États-Unis)
• Microsoft Azure — synthèse vocale de repli fr-CA (États-Unis ou Union européenne)
• Deepgram — transcription en temps réel (États-Unis)
• Stripe — paiements (États-Unis)
• Sentry — journalisation d'erreurs (États-Unis)
• Hostinger — envoi de nos courriels (hors du Canada : entreprise établie à Chypre ; lieu des serveurs non précisé par son entente)
• GitHub — dépôt du code et copies de sauvegarde chiffrées (États-Unis)

Les deux derniers ont été ajoutés à cette liste le 3 septembre 2026 : ils y manquaient. Hostinger achemine les courriels d'alerte que nous envoyons à votre clinique — depuis cette date, ces courriels ne contiennent plus le numéro de téléphone de vos patients, seulement ses quatre derniers chiffres et un lien vers votre tableau de bord. GitHub héberge nos copies de sauvegarde, qui sont chiffrées avant d'y être déposées : leur contenu ne lui est pas lisible.

Les transferts vers ces juridictions hors Québec s'appuient sur l'entente de traitement des données de chaque fournisseur, le plus souvent incorporée à ses conditions publiées. La forme exacte, fournisseur par fournisseur, figure dans notre entente de sous-traitance. Ces transferts font l'objet d'une évaluation des facteurs relatifs à la vie privée (EFVP).

En tant que personne dont les données sont traitées, vous avez le droit de :

• Accès : obtenir une copie des données vous concernant.
• Rectification : corriger des données inexactes.
• Suppression : demander l'effacement de vos données (droit à l'oubli).
• Portabilité : recevoir vos données dans un format structuré et lisible.
• Opposition : vous opposer au traitement de vos données.
• Désindexation : retirer vos données des résultats de recherche.

Pour exercer ces droits, écrivez à contact@allo-clinique.com. Nous répondons sous 30 jours.

Comment ça se passe concrètement. Nous vérifions d'abord que vous êtes bien la personne concernée — nous vous rappelons au numéro déjà présent au dossier, ou nous passons par votre clinique. Nous ne demandons jamais de pièce d'identité par courriel. Nous vous répondons ensuite par écrit, en disant ce que nous avons fait ; si nous refusons, nous disons pourquoi et sur quelle base légale, et nous vous indiquons votre recours.

• Copie de votre dossier et portabilité : nous vous remettons tout ce que nous détenons sur vous — rendez-vous, appels, textos, appels manqués — sous forme de fichier lisible par une machine, que vous pouvez confier à quelqu'un d'autre.
• Désindexation : si un renseignement vous concernant est diffusé de façon à vous causer un préjudice sérieux, nous cessons la diffusion ou faisons retirer le lien. Nous examinons d'abord si une obligation légale ou comptable nous impose de conserver ce renseignement — dans ce cas nous vous le disons, et nous cessons quand même toute diffusion qui n'est pas obligatoire.
• Restriction d'accès : vous pouvez demander que certains renseignements ne soient plus visibles par une partie du personnel de votre clinique, pour une durée que vous fixez. Nous appliquons la restriction dans le produit, et chaque tentative de consultation reste tracée.
• Après un décès : le conjoint, un proche parent ou le liquidateur de la succession peut demander les renseignements nécessaires au règlement de la succession, ou ceux qui aident à vivre le deuil, en fournissant l'acte de décès et une preuve du lien. Nous ne communiquons alors que ce qui sert à cette demande — jamais le dossier entier — et seulement si la personne décédée ne s'y était pas opposée de son vivant.

• Données de compte clinique : durée du contrat + 7 ans (obligations comptables).
• Transcriptions d'appel : 12 mois, puis effacement automatique quotidien. Le contenu des messages texte suit la même durée.
• Messages du clavardage du site public, demandes de rappel de démonstration et candidatures au programme design partner : 90 jours, puis suppression automatique. Lorsqu'une candidature a donné lieu à l'ouverture d'un compte, nous conservons uniquement la trace du rattachement au programme (statut et date), sans coordonnées.
• Données patients (nom, téléphone, rendez-vous) : conservées pendant la durée du contrat avec la clinique cliente, qui en est responsable. Aucune suppression automatique par ancienneté ne leur est appliquée à ce jour. Elles sont effacées sur demande de la clinique ou de la personne concernée (section 5), demande que nous traitons sous 30 jours. La fin du contrat n'entraîne pas à elle seule cet effacement : les données demeurent en place jusqu'à une demande en ce sens, que la clinique peut nous adresser au moment de son départ.
• Enregistrements audio : il n'y a plus d'enregistrement des appels faits à une clinique. Depuis le 3 août 2026, aucun enregistrement de votre appel n'est créé, ni chez nous ni chez la plateforme vocale qui traite l'appel (section 4) : de votre conversation, seule la transcription textuelle existe, conservée selon les durées ci-dessus. Les appels antérieurs à cette date peuvent encore avoir un enregistrement chez ce fournisseur, sous sa propre politique de conservation, que nous ne maîtrisons pas — écrivez-nous pour en demander la suppression, nous la réclamons auprès de lui.
• Appels de démonstration : les appels au numéro de démonstration d'Allô Clinique, au bouton « Essayer l'agent maintenant » et au rappel demandé sur notre site ne sont reliés à aucune clinique cliente. Ils sont enregistrés, pour que nous puissions réécouter l'agent et l'améliorer. L'enregistrement reste chez la plateforme vocale Vapi (section 4), sous sa propre politique de conservation, que nous ne maîtrisons pas. Nous pouvons en télécharger une copie pour évaluer la qualité de l'agent ; écrivez-nous pour en demander la suppression.
• Journaux techniques (Sentry) : 90 jours.

Les appels téléphoniques aux cliniques utilisant le Service sont répondus par un agent vocal automatisé (intelligence artificielle) et font l'objet d'une transcription textuelle, conservée selon les durées de la section 6. L'agent s'identifie comme assistante virtuelle. Si vous préférez parler à un humain, dites-le simplement pendant l'appel : l'agent transférera votre appel à la réception ou prendra un message pour qu'on vous rappelle.

Un rendez-vous pris pendant cet appel est fixé par un système automatisé. Il n'est pas définitif : une personne de la clinique peut le revoir, le corriger ou le refuser, et vous pouvez demander qu'une personne réexamine ce que l'agent a décidé. Pour savoir ce qui a servi à vous proposer telle heure plutôt qu'une autre, demandez-le à votre clinique : elle a la transcription de l'appel et le détail des étapes suivies par l'agent.

En cas d'incident de confidentialité impliquant des renseignements personnels, nous nous engageons à : tenir un registre des incidents ; évaluer le risque de préjudice sérieux ; aviser la Commission d'accès à l'information (CAI) et les personnes concernées lorsque la loi l'exige ; et assister les cliniques clientes (responsables du traitement au sens de la Loi 25) dans leurs propres obligations de notification.

Quand l'incident touche les renseignements d'une clinique cliente, nous nous engageons aussi envers elle à :

• l'aviser sans retard indu, et au plus tard 72 heures après en avoir eu connaissance, avec ce que nous savons : nature de l'incident, renseignements touchés, personnes concernées si elles sont identifiables, mesures prises. Un premier avis incomplet est suivi de compléments dès qu'ils sont connus ;
• collaborer avec elle pour évaluer le risque de préjudice sérieux et, lorsque la loi l'exige, pour aviser la CAI et les personnes concernées ;
• lui remettre, à elle seule, un rapport écrit (chronologie, renseignements touchés, mesures prises), les extraits de journaux nécessaires à sa propre déclaration et la liste des personnes touchées ;
• lui proposer un texte type d'avis aux personnes concernées ;
• lui donner un point de contact unique : support@allo-clinique.com.

Notre site utilise un petit nombre de témoins (cookies). Les voici, tous :

• Témoins de session Supabase : vous garder connectée au tableau de bord. Nécessaires au fonctionnement du Service.
• Témoins Stripe : uniquement si vous démarrez un paiement. Nécessaires au paiement.
• allo_pending_checkout : posé lorsque vous cliquez sur « Commencer » depuis la page des tarifs. Il met votre commande de côté (forfait, nombre de numéros, options) le temps que vous vous connectiez, pour ne pas vous faire tout resaisir au retour. Durée : 30 minutes.
• allo_last_seen : posé pendant que vous êtes connectée au tableau de bord. Il ne contient qu'un horodatage — l'instant de votre dernière action — et sert à vous déconnecter automatiquement après une période d'inactivité fixée par votre clinique. Il ne dit rien de qui vous êtes et ne vous suit sur aucun autre site. Nécessaire à la sécurité du Service.
• allo_ref : posé uniquement si vous arrivez par un lien de parrainage (adresse de la forme allo-clinique.com/r/CODE). Il ne contient que le code de la clinique qui vous a recommandé le Service, afin de lui créditer le parrainage si vous vous inscrivez — aucun identifiant vous concernant. Durée : 30 jours. C'est le seul de nos témoins qui n'est pas strictement nécessaire : si vous le refusez ou le supprimez, le site fonctionne normalement, seule l'attribution du parrainage est perdue.
• _fbp et _fbc (pixel Meta) : uniquement si vous avez cliqué « Accepter » dans la bannière. Ils servent à mesurer nos campagnes publicitaires sur Facebook et Instagram : votre visite et, le cas échéant, votre clic sur notre numéro de téléphone sont transmis à Meta Platforms, qui peut les rapprocher de votre compte. C'est un témoin publicitaire, il permet un profilage et un suivi entre sites, et il est déposé par un tiers situé hors du Québec. Tant que vous n'avez pas accepté, ce pixel n'est pas chargé : aucune requête n'est envoyée à Meta et aucun de ces témoins n'est déposé. Si vous refusez, le site fonctionne normalement. Vous pouvez revenir sur votre décision en effaçant les données du site dans votre navigateur : la bannière réapparaîtra.

allo_pending_checkout, allo_ref et allo_last_seen sont déposés par allo-clinique.com, inaccessibles aux scripts de la page (indicateur httpOnly) et transmis uniquement par connexion chiffrée ; ni l'un ni l'autre ne sert à la publicité et aucun des deux ne vous suit sur d'autres sites. Notre mesure d'audience (Vercel Web Analytics) est anonyme et sans témoin : pages vues et événements agrégés, sans identifiant individuel. Le pixel Meta, lui, est le seul dispositif de cette page qui relève de la publicité — et il est conditionné à votre consentement.

Toutes les données en transit sont chiffrées en TLS 1.2+. Les données au repos sont chiffrées par défaut côté Supabase. L'accès aux données patients est restreint au compte clinique propriétaire via Row-Level Security PostgreSQL. Les jetons d'accès aux logiciels tiers (synchronisations optionnelles) sont chiffrés et accessibles uniquement par notre service backend.

Nous publierons toute modification importante de cette politique sur cette page avec une nouvelle date de mise à jour. Pour les modifications substantielles, nous notifierons les cliniques clientes par courriel au moins 30 jours à l'avance.

Responsable de la protection des renseignements personnels : Lotfi Hichem Boutalbi — contact@allo-clinique.com.

Pour porter plainte chez nous. Écrivez à l'adresse ci-dessus, en mettant « plainte » dans l'objet. Dites ce qui s'est passé, quand, et ce que vous attendez de nous ; joignez ce que vous avez (date de l'appel, capture d'écran, courriel reçu). Nous accusons réception, nous examinons, puis nous vous répondons par écrit sous 30 jours en vous disant ce que nous avons conclu et ce que nous changeons. Chaque plainte est inscrite à un registre. Si notre réponse ne vous satisfait pas, ou si nous ne répondons pas dans ce délai, vous pouvez vous adresser à la Commission d'accès à l'information.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec : cai.gouv.qc.ca.