Entente de sous-traitance — renseignements personnels (Loi 25)

RÉDIGÉ SANS VALIDATION JURIDIQUE. Le Fournisseur assume ce texte tel quel ; il s'applique dans la mesure permise par la loi. Il n'y a pas d'avocat au dossier et il n'y en aura pas. Ce texte décrit de bonne foi ce que le Fournisseur fait réellement, tel que le documentent son évaluation des facteurs relatifs à la vie privée (EFVP) et son registre des sous-traitants. Il ne promet rien que ces documents ne disent pas. Version anglaise : https://allo-clinique.com/en/legal/dpa (traduction ; le français fait foi).

Version 1.2 — 2026-09-14 (v1.1 : 2026-09-02 ; v1.0 : 2026-08-27). Publiée sur https://allo-clinique.com/legal/entente et acceptée par chaque clinique dans son tableau de bord (écran « Conditions », par le propriétaire ou un administrateur du compte) à partir de la mise en ligne de la version 1.2 du produit qui la porte (chantier TGV de septembre 2026 ; avant cette mise en ligne, l'adresse rend 404 et aucune acceptation n'existe) ; l'acceptation est alors consignée avec la version, la date et l'adresse IP. Ajouts de la v1.1, sans réécriture du reste : délai chiffré de l'avis d'incident (section 8), préavis avant tout changement de modèle ou de type d'intelligence artificielle (section 7), délais connus de conservation résiduelle chez les sous-traitants après un effacement (section 10), et une annexe « Engagements IA ». Ajouts de la v1.2 (2026-09-14), sans réécriture du reste : bandeau sans promesse d'avocat ; fondement de la question sur la date d'expiration de la carte d'assurance maladie (sections 3 et 4, même clause que la section 4 des conditions d'utilisation) ; ce que le Fournisseur remet à la Clinique après un incident (section 8, mêmes mots que la section 6 ter de la politique de confidentialité) ; tableau des sous-traitants ultérieurs remis à jour ; copie possible dans les sauvegardes de Vapi (section 10, même délai que la section 4 de la politique de confidentialité) ; acceptation dans le tableau de bord (sections 1 et 13). Révision du 2026-09-15, avant publication (même version 1.2, jamais acceptée à ce jour) : lieux et contenu reçus par ElevenLabs et Microsoft Azure précisés, ligne Google remise au réel (tableau) ; cas où le contenu d'un appel n'est pas effacé chez Vapi (sections 6 et 10) ; document des engagements IA nommé à l'Annexe A et ajouté aux pièces de la section 11. Révision du 2026-09-17, avant publication (même version 1.2) : la phrase « aucun enregistrement audio n'est créé depuis le 3 août 2026 » est précisée (sections 3, 6 et 10, ligne Cloudflare du tableau) : elle vaut pour les appels de patients reçus par les assistants de la Clinique ; deux exceptions sont nommées.

⚠️ Portée : régime du Québec. Les sections 1 (Parties) et 8 (Incidents de confidentialité) sont écrites pour la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25) et la Commission d'accès à l'information ; la section 12 retient le droit du Québec. Le site anglais (/en) s'adresse aux cliniques de tout le Canada : pour une clinique située hors Québec, la loi provinciale ou fédérale qui s'applique à ses renseignements de patients n'a pas été établie et ce texte ne la couvre pas. Ce point est à trancher avant de conclure avec une clinique hors Québec.

Sous-traitants ultérieurs autorisés (à jour au 2026-09-17)

Ce tableau reprend le registre des sous-traitants du Fournisseur. La colonne « Juridiction » dit ce que les documents du fournisseur établissent, et ce qu'ils ne précisent pas. La colonne « Entente » dit sous quelle forme le fournisseur est lié.

Fournisseur	Rôle	Renseignements reçus	Juridiction	Entente
Supabase	Base de données et authentification	Tout le dossier structuré : cliniques, patients (nom, téléphone, motif), rendez-vous, transcriptions, messages texte	Canada (région ca-central-1) ; entité désignée pour les clauses contractuelles types : Supabase Pte. Ltd (Singapour)	Entente de traitement incorporée à ses conditions (version du 1er août 2026), copie conservée
Vercel	Hébergement applicatif	Données en transit (rapports d'appel, formulaires), journaux de fonctions d'environ un jour	États-Unis (fonctions exécutées dans la région iad1, Washington)	Entente de traitement incorporée à ses conditions, copie conservée
Twilio	Téléphonie et messages texte	Numéros appelant et appelé, voix en transit (aucun enregistrement), contenu des messages texte, statuts d'appel (journal de 13 mois)	États-Unis	Entente de traitement incorporée à ses conditions, copie conservée
Vapi	Orchestrateur vocal	Voix en transit pendant l'appel, transcription (effacée chez Vapi dès qu'elle est écrite chez le Fournisseur ; une copie peut subsister jusqu'à 30 jours dans ses sauvegardes, voir la section 10), métadonnées d'appel	Hors Québec. États-Unis selon l'évaluation des transferts de Vapi ; ses documents mentionnent aussi un déploiement dans l'Union européenne, non établi pour le compte du Fournisseur	Entente de traitement incorporée à ses conditions ; texte de l'entente et liste de ses sous-traitants conservés depuis le 2026-09-13
Cloudflare (sous-traitant de Vapi)	Entrée réseau de Vapi ; a hébergé l'audio d'appels	Audio d'appels antérieurs au 3 août 2026 ; depuis, aucun audio d'appel de patient (exceptions à la section 3 : essais internes avec un patient fictif, pause du service)	États-Unis ou Union européenne (liste des sous-traitants de Vapi)	Aucun contrat direct ; couvert par l'entente Vapi, qui répond de ses sous-traitants
Deepgram	Transcription de la voix du patient	Flux audio de la voix du patient, transcrit en mémoire vive, jamais écrit sur support persistant (requêtes marquées pour sortir du programme d'amélioration des modèles)	États-Unis (aucune région au Canada)	Entente signée le 2026-09-06
Anthropic	Modèle de langage (Claude)	Texte de la conversation (nom, téléphone, motif ; champs de campagne) et des messages texte traités par l'assistant ; effacé sous 30 jours ; aucun entraînement	États-Unis	Entente de traitement incorporée à ses conditions commerciales (en vigueur le 24 février 2025), copie conservée
ElevenLabs	Synthèse vocale (voix de l'agent)	Texte des réponses de l'agent seulement — jamais la voix du patient ; ce texte contient le nom du patient et le jour, l'heure et le praticien de son rendez-vous	États-Unis, Pays-Bas ou Singapour (lieux d'hébergement nommés par sa politique de confidentialité)	Entente de traitement incorporée à ses conditions, copie conservée
Microsoft Azure (par Vapi)	Voix de repli ; serveurs de Vapi	Texte des réponses de l'agent (nom du patient et rendez-vous compris), seulement si ElevenLabs tombe ou pendant une pause du service ; la liste de Vapi le nomme aussi pour ses serveurs, sans préciser les renseignements qui y passent	États-Unis ou Union européenne (liste des sous-traitants de Vapi) ; région exacte non établie	Aucun contrat direct ; couvert par l'entente Vapi
Stripe	Paiements	Facturation des cliniques — aucune donnée de patient	États-Unis	Entente de traitement de Stripe (version du 18 novembre 2025), copie conservée
Sentry	Journal d'erreurs	Erreurs techniques, adresse IP ; des fragments (téléphone, nom) peuvent subsister malgré le filtre ; 90 jours annoncés	États-Unis	Entente acceptée dans le compte le 2026-09-05
Hostinger	Courriel (envoi, boîtes)	Courriels des responsables de cliniques ; alertes à la clinique, qui ne portent plus que les quatre derniers chiffres du numéro d'un patient	Hors du Canada : entreprise établie à Chypre ; lieu des serveurs de courriel non précisé par son entente	Clauses contractuelles types incorporées à ses conditions, copie conservée
GitHub	Code source, intégration continue, sauvegarde quotidienne de la base	Sauvegardes chiffrées avant l'envoi (la clé de déchiffrement reste chez le Fournisseur), conservées 30 jours	États-Unis	Conditions de service (contenu des dépôts privés confidentiel) ; application de son entente de traitement à un compte personnel non établie
Google (Gmail)	Boîte du Fournisseur, démarchage auprès de cliniques	Courriels de prospects — aucune donnée de patient	États-Unis	Conditions d'utilisation de Google (compte grand public), copie conservée ; elles ne contiennent aucun engagement de protection des renseignements et aucune entente de traitement n'est offerte pour ce type de compte ; hors de la chaîne des patients

---

1. Parties

Le Responsable : la clinique cliente qui accepte la présente entente (la « Clinique »), responsable des renseignements personnels de ses patients au sens de la Loi sur la protection des renseignements personnels dans le secteur privé (Québec), telle que modifiée par la Loi 25.

Le Sous-traitant : Allô Clinique, exploité par Lotfi Hichem Boutalbi, responsable de la protection des renseignements personnels, joignable à contact@allo-clinique.com (le « Fournisseur »).

2. Objet et durée

La présente entente encadre le traitement, par le Fournisseur pour le compte de la Clinique, des renseignements personnels nécessaires au service décrit dans les conditions d'utilisation : réception téléphonique par agent vocal, prise, déplacement et annulation de rendez-vous, confirmations et rappels par message texte, et, si la Clinique l'active, campagnes d'appels sortants.

Elle prend effet à l'ouverture du compte et dure tant que le contrat de service dure, puis jusqu'à la restitution ou l'effacement prévu à la section 10.

3. Nature des renseignements et personnes concernées

Personnes concernées : les patients et toute personne qui appelle la Clinique ou que l'agent appelle pour elle.

Renseignements traités :

• numéro de téléphone de l'appelant, prénom, nom de famille (facultatif) ;
• motif d'appel, tel que la personne l'énonce ;
• plage horaire demandée, rendez-vous pris, déplacés ou annulés ;
• transcription textuelle de la conversation ;
• contenu des messages texte envoyés et reçus ;
• en campagne d'appels sortants seulement, et seulement si la Clinique coche le champ : pharmacie, date d'expiration de la carte d'assurance maladie (aux conditions de la section 4), courriel, date de naissance, adresse (liste fermée).

Aucun numéro d'assurance maladie ni d'assurance sociale n'est jamais demandé : le service n'a aucun champ pour les recueillir (liste fermée ci-dessus), l'agent a pour consigne de ne jamais les demander, et la Clinique ne les fait pas demander dans une question libre de campagne.

Aucune note clinique, aucune anamnèse, aucun dossier médical. L'agent ne pose aucun diagnostic. Aucun enregistrement audio d'un appel de patient n'est créé par les assistants de la Clinique depuis le 3 août 2026 : de la conversation, seule la transcription textuelle existe. Deux exceptions, dites telles quelles : un appel reçu pendant une pause du service (message d'absence) est enregistré par l'orchestrateur vocal et n'est pas effacé, tant que le Fournisseur n'a pas mis en ligne le réglage qui le corrige ; les essais internes du Fournisseur, où un patient fictif parle à l'agent, peuvent aussi être enregistrés — ils ne portent aucun renseignement d'un patient réel.

4. Finalités et instructions

Le Fournisseur traite ces renseignements uniquement pour fournir le service à la Clinique, selon les instructions que la Clinique donne par la configuration de son compte (horaires, services, praticiens, consignes de campagne) et par écrit. Il ne les utilise pour aucune autre fin, ne les vend pas, et n'utilise jamais les transcriptions pour entraîner des modèles d'intelligence artificielle, ni les siens ni ceux d'un tiers. Le Fournisseur peut consulter des transcriptions individuelles pour diagnostiquer un défaut du service, à aucune autre fin.

Date d'expiration de la carte d'assurance maladie (v1.2). La Clinique n'active la question sur la date d'expiration de la carte d'assurance maladie que si elle fournit des services assurés au sens de la Loi sur l'assurance maladie (RLRQ, c. A-29, art. 9.0.0.1 et 22) ; elle est responsable de ce fondement. L'agent dit au patient pourquoi la date est demandée et qu'il peut refuser ; la Clinique informe ses patients de cette collecte. Aucun numéro d'assurance maladie ni d'assurance sociale n'est jamais demandé. Source de la loi : LégisQuébec, texte « à jour au 7 avril 2026 », lu le 2026-09-13. Art. 9.0.0.1 : la carte ne peut être exigée qu'à des fins liées à des services dont le coût est assumé par le gouvernement. Art. 22 : rémunération d'un service assuré fourni à une personne qui a présenté sa carte.

5. Confidentialité

Le Fournisseur garde ces renseignements confidentiels. Seules les personnes qui en ont besoin pour faire fonctionner le service y accèdent. Le Fournisseur ne les communique à aucun tiers, sauf aux sous-traitants ultérieurs de la section 7 et lorsque la loi l'exige — auquel cas il en avise la Clinique, sauf interdiction légale.

6. Mesures de sécurité

Mesures en place, telles que documentées dans l'EFVP et la politique de confidentialité :

• Chiffrement en transit (TLS 1.2+) et au repos (AES-256 côté base de données) ;
• Base de données au Canada (Supabase, région ca-central-1) ; le traitement en temps réel pendant l'appel passe par des fournisseurs hors Québec, listés à la section 7 ;
• Isolation par clinique : accès en refus total pour les rôles anonyme et authentifié, l'application filtre chaque requête par identifiant de clinique ;
• Rétention : transcriptions et contenu des messages texte effacés automatiquement après 12 mois ; les données de rendez-vous (nom, téléphone, rendez-vous) sont conservées pendant le contrat et effacées sur demande (section 10) ; le contenu de chaque appel est effacé chez l'orchestrateur vocal dès qu'il est écrit chez nous, sauf dans les cas nommés à la section 10 ;
• Aucun enregistrement audio des appels de patients (exceptions nommées à la section 3) ;
• Sauvegardes quotidiennes chiffrées, clé de déchiffrement hors du nuage, chez le Fournisseur ;
• Journal des erreurs, secrets masqués.

7. Sous-traitants ultérieurs

La Clinique autorise les sous-traitants ultérieurs du tableau en tête de ce document, qui reprend la liste de l'EFVP et du registre des sous-traitants. Le Fournisseur avise la Clinique par courriel au moins 30 jours avant d'en ajouter ou d'en remplacer un pour le traitement de renseignements de patients ; la Clinique peut alors résilier le service sans frais si elle s'y oppose. Le Fournisseur reste responsable envers la Clinique du travail de ses sous-traitants ultérieurs.

Changement de modèle ou de type d'intelligence artificielle (v1.1). Le Fournisseur avise aussi la Clinique par courriel au moins 30 jours avant tout changement du modèle de langage utilisé pour comprendre et répondre pendant l'appel, ou avant l'ajout d'un type d'intelligence artificielle nouveau dans le service (par exemple un modèle qui déciderait seul, sans étape de confirmation humaine, d'une action irréversible). La Clinique peut alors résilier le service sans frais si elle s'y oppose. Le détail des engagements pris envers l'acquéreur sur l'usage de l'IA fait l'objet de l'Annexe A.

8. Incidents de confidentialité

En cas d'incident de confidentialité touchant des renseignements de la Clinique (accès, utilisation, communication ou perte non autorisés), le Fournisseur :

• avise la Clinique dans un délai raisonnable, sans retard indu, et au plus tard dans les 72 heures après en avoir eu connaissance (délai chiffré ajouté en v1.1), avec ce qu'il sait : nature de l'incident, renseignements touchés, personnes concernées si elles sont identifiables, mesures prises ; un avis initial incomplet est suivi de compléments dès qu'ils sont connus, sans attendre d'avoir toute l'information ;
• tient un registre des incidents ;
• collabore avec la Clinique pour évaluer le risque de préjudice sérieux et, lorsque la loi l'exige, pour aviser la Commission d'accès à l'information et les personnes concernées ;
• assiste la Clinique dans ses propres obligations de notification ;
• remet à la Clinique, à elle seule, un rapport écrit (chronologie, renseignements touchés, mesures prises), les extraits de journaux nécessaires à sa propre déclaration et la liste des personnes touchées ; la liste ne va jamais à la Commission, dont le formulaire de déclaration interdit tout renseignement permettant d'identifier une personne (v1.2) ;
• propose à la Clinique un texte type d'avis aux personnes concernées (v1.2) ;
• donne à la Clinique un point de contact unique : support@allo-clinique.com (v1.2).

Le même engagement figure à la section 6 ter de la politique de confidentialité, qui fait partie des conditions d'utilisation (section 5) acceptées par chaque clinique.

9. Assistance aux demandes des personnes concernées

Lorsqu'un patient exerce un droit d'accès, de rectification, d'effacement, de portabilité, d'opposition ou de désindexation auprès de la Clinique, le Fournisseur fournit à la Clinique, sous 30 jours, les renseignements ou l'action demandés (copie, correction, effacement). Une demande reçue directement par le Fournisseur est transmise à la Clinique, sauf si elle porte sur des renseignements que le Fournisseur détient pour son propre compte.

10. Fin du contrat : restitution et effacement

À la fin du contrat, rien n'est effacé sans demande : les renseignements demeurent en place jusqu'à ce que la Clinique demande leur export (format structuré et lisible) ou leur effacement, demande traitée sous 30 jours. Les transcriptions et messages texte suivent en tout état de cause la purge automatique de 12 mois. Après effacement, le Fournisseur ne conserve que ce que la loi l'oblige à garder (facturation, comptabilité : données de compte de la Clinique, sans renseignement de patient) et les copies de sauvegarde chiffrées, qui expirent selon leur cycle.

Propagation aux sous-traitants ultérieurs (v1.1). Un effacement demandé au Fournisseur ne retire pas nécessairement, le jour même, une copie déjà transmise à un sous-traitant ultérieur pendant le traitement. Délais connus, au 2026-09-17 :

• Anthropic (modèle de langage) : jusqu'à 30 jours après le traitement ;
• Twilio (téléphonie et SMS) : jusqu'à 13 mois pour le journal d'appel ;
• Sentry (journal d'erreurs) : jusqu'à 90 jours (durée annoncée par le fournisseur) ;
• Vapi : le contenu de l'appel y est effacé en quelques secondes, dès l'écriture du rapport de fin d'appel chez le Fournisseur, avant même une demande de la Clinique ou d'un patient. Ses documents décrivent toutefois des sauvegardes quotidiennes gardées 30 jours ; son entente ne fixe aucun délai pour effacer une donnée en cours de contrat et, à la fin du contrat, ne l'oblige pas à purger ses sauvegardes : une copie peut y subsister jusqu'à 30 jours (non confirmé par Vapi). Le contenu n'est pas effacé du tout, et reste chez Vapi selon sa conservation ordinaire, si l'effacement échoue, si l'appel ne peut être rattaché à aucune clinique, si le rapport de fin d'appel n'arrive pas, pour un appel reçu pendant une pause du service, ou pour un essai interne avec un patient fictif (section 3).

Le Fournisseur communique ces délais à la Clinique qui les demande pour répondre elle-même à un patient, et les tient à jour dans son inventaire des renseignements personnels.

11. Vérification

Sur demande raisonnable et écrite, au plus une fois par année sauf incident, le Fournisseur met à la disposition de la Clinique les informations nécessaires pour démontrer le respect de la présente entente : la politique de confidentialité, l'EFVP, le registre des sous-traitants, la description des mesures de sécurité, le document « Engagements de la SARIA envers l'acquéreur » (Annexe A), et il répond par écrit aux questions de la Clinique. Une vérification sur place se fait à une date convenue, sans accès aux données des autres cliniques.

12. Droit applicable

La présente entente est régie par les lois du Québec. Tout litige est porté devant les tribunaux du district judiciaire de Montréal. En cas de conflit avec les conditions d'utilisation, la présente entente prévaut pour ce qui concerne les renseignements personnels.

Annexe A — Engagements IA (v1.1)

Le service décrit à la section 2 utilise l'intelligence artificielle pour comprendre la parole, décider d'une réponse, et proposer ou effectuer une prise de rendez-vous. Les engagements pris par le Fournisseur envers la Clinique et ses patients sur cet usage — préavis de changement (section 7), révision humaine possible, limites déclarées, mesures d'amélioration continue — sont détaillés dans le document du Fournisseur intitulé « Engagements de la SARIA envers l'acquéreur » (la SARIA étant ici le service d'agent vocal décrit à la section 2), que la section 11 nomme parmi les pièces mises à la disposition de la Clinique (mis à jour séparément de la présente entente ; en cas de divergence sur un engagement CONTRACTUEL, la présente entente prévaut). Ce document couvre notamment : le comité d'utilisateurs et d'usagers proposé, le registre des risques propres à l'IA, et la durée de conservation du journal des décisions de l'agent.

13. Signatures

L'acceptation de la présente entente dans le tableau de bord de la Clinique, par son propriétaire ou un administrateur du compte, consignée avec la version, la date et l'adresse IP, tient lieu de signature. Une Clinique qui souhaite aussi une signature manuscrite remplit le tableau ci-dessous.

	Pour la Clinique (Responsable)	Pour Allô Clinique (Sous-traitant)
Nom		Lotfi Hichem Boutalbi
Fonction		Responsable de la protection des renseignements personnels
Date
Signature