Vos données,vraiment protégées.

Chez Épidou, la protection de vos données est au cœur de notre mission — pas une case à cocher. Cette politique explique comment nous collectons, utilisons et protégeons vos renseignements personnels, conformément à la Loi 25 du Québec (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels).

Si vous utilisez Épidou, vous êtes soit une clinique cliente (le « Responsable »), soit une patiente contactée via la plateforme (la « Personne concernée »). Cette politique s'applique aux deux.

Pour les cliniques clientes. Nom, courriel, numéro de téléphone, nom d'entreprise, identifiants de connexion (chiffrés), informations de facturation, historique d'utilisation de la plateforme.

Pour les patientes contactées. Coordonnées fournies par la clinique (nom, numéro de téléphone, courriel), historique de consentement (horodaté), interactions avec les messages (ouverture, clic, réponse), avis Google laissés lorsque applicable.

Données techniques. Adresse IP, type de navigateur, système d'exploitation, pages visitées sur notre site marketing, à des fins de sécurité et d'amélioration du service.

Nous ne collectons aucune donnée médicale. Épidou ne transmet jamais, ne reçoit jamais et ne stocke jamais de notes cliniques ou de diagnostics.

Nous utilisons vos renseignements uniquement pour :

• Fournir et améliorer le service Épidou
• Envoyer les séquences SMS et courriel que vous avez configurées (dans le cas des cliniques)
• Maintenir le registre de consentement Loi 25
• Répondre à vos demandes, vous facturer, et vous contacter au sujet de changements importants
• Prévenir la fraude, la sécurité et le respect des obligations légales

Nous ne vendons jamais vos données à des tiers. Jamais. Point final.

Toutes vos données sont hébergées et traitées au Canada, principalement à Montréal (Québec). Nous utilisons Supabase (hébergé sur AWS Canada Central) comme infrastructure principale et Cloudflare pour la distribution sécurisée.

Aucune donnée n'est transférée hors du Canada, sauf pour certains services techniques (envoi de SMS via Twilio, envoi courriel via Resend) qui respectent nos clauses contractuelles types et les exigences de la Loi 25.

Conformément à l'article 7.1 de la Loi 25, aucun message automatisé n'est envoyé à une patiente sans son consentement libre, éclairé et spécifique. Les cliniques utilisant Épidou sont tenues d'obtenir ce consentement avant tout envoi, et Épidou fournit les outils pour le documenter (SMS de double opt-in horodaté).

Vous pouvez retirer votre consentement à tout moment en répondant STOP à un SMS, en cliquant sur Se désabonner dans un courriel, ou en écrivant à dpo@epidou.com. Le retrait est traité en moins de 10 minutes.

En vertu de la Loi 25, vous disposez des droits suivants sur vos renseignements :

• Droit d'accès (§ 27) — Obtenir une copie des données que nous détenons sur vous.
• Droit de rectification — Corriger des données inexactes, incomplètes ou équivoques.
• Droit à l'effacement (§ 28) — Exiger la suppression de vos données. Épidou garantit un traitement en moins de 24 heures.
• Droit de retrait du consentement — À tout moment, sans justification.
• Droit à la portabilité — Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit de plainte — Auprès de la Commission d'accès à l'information du Québec.

Pour exercer un droit, écrivez à dpo@epidou.com. Nous répondons dans les 30 jours (généralement beaucoup plus vite).

Nous conservons vos données aussi longtemps que nécessaire pour fournir le service, respecter nos obligations légales, résoudre des litiges et faire respecter nos ententes.

• Coordonnées patientes : jusqu'à l'effacement demandé ou la fin de la relation avec la clinique.
• Registre de consentement : 3 ans après le dernier événement (exigence Loi 25).
• Données de facturation : 7 ans (exigence fiscale canadienne).
• Logs techniques : 90 jours.

Nous appliquons les mesures suivantes pour protéger vos données :

• Chiffrement TLS 1.3 en transit et AES-256 au repos
• Accès restreint par rôle (RBAC) et authentification à deux facteurs obligatoire pour notre équipe
• Registre d'audit immuable de tout accès aux données personnelles
• Tests de pénétration annuels
• Surveillance 24/7 et alertes automatiques sur activité anormale
• Plan de réponse à incident conforme aux exigences Loi 25

Notre site marketing utilise un nombre minimal de témoins :

• Essentiels : session, préférences linguistiques (obligatoire, pas de consentement requis)
• Analytiques : Plausible Analytics (hébergé UE, aucune donnée personnelle, pas de consentement requis)

Nous n'utilisons aucun pixel publicitaire (pas de Meta Pixel, pas de Google Ads) sur ce site.

En cas d'incident de confidentialité présentant un risque sérieux de préjudice, nous notifierons les personnes concernées et la Commission d'accès à l'information sans délai, conformément à l'article 3.5 de la Loi 25.

Nous tenons à jour un registre d'incidents interne, accessible à notre DPO et aux autorités sur demande.

Épidou n'est pas destiné aux personnes de moins de 18 ans. Les cliniques clientes sont responsables de s'assurer qu'elles n'envoient pas de communications automatisées à des mineurs sans le consentement parental requis.

Notre DPO (Data Protection Officer / Responsable de la protection des renseignements personnels) est disponible pour toute question liée à vos données :

Courriel : dpo@epidou.com
Adresse : Épidou Inc., Montréal, Québec, Canada

Nous pouvons mettre à jour cette politique pour refléter des changements légaux ou opérationnels. En cas de modification importante, nous vous avertirons par courriel au moins 30 jours avant l'entrée en vigueur.

La date de dernière mise à jour est indiquée en haut de cette page.