Déclaration de confidentialité (CA)

1. Responsable du traitement

La présente politique de confidentialité est publiée par La Clinique du Sommeil (ci-après « la Clinique »), une entreprise québécoise assujettie à la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (L.Q. 2021, c. 25), communément appelée « Loi 25 ».

En accédant à notre site Web ou en utilisant nos services, vous reconnaissez avoir pris connaissance de la présente politique et des pratiques qui y sont décrites. Cette politique s'applique à tous les renseignements personnels que nous collectons, utilisons, communiquons ou conservons dans le cadre de nos activités, y compris via notre boutique en ligne et nos formulaires de consultation.

À titre de clinique œuvrant dans le secteur de la santé, nous traitons des renseignements personnels de nature sensible, notamment des renseignements relatifs à la santé. Nous nous engageons à les traiter avec le plus haut niveau de soin et de confidentialité, conformément aux exigences de la Loi 25 et aux obligations déontologiques applicables à notre secteur.

2. Renseignements personnels collectés

Nous collectons les renseignements personnels suivants, regroupés par catégorie :

2.1 Renseignements d'identification et de contact

• Nom et prénom
• Adresse courriel
• Numéro de téléphone
• Adresse postale

2.2 Renseignements de santé (catégorie sensible — traitement avec consentement explicite)

En raison de la nature de nos activités cliniques, nous pouvons être amenés à collecter des renseignements relatifs à votre santé, notamment :

• Symptômes liés aux troubles du sommeil (apnée, insomnie, ronflement, etc.)
• Antécédents médicaux pertinents à votre prise en charge
• Résultats d'évaluations ou de tests du sommeil
• Prescriptions médicales et traitements en cours
• Informations communiquées lors de consultations ou via nos formulaires cliniques

Ces renseignements de santé ne sont collectés qu'avec votre consentement explicite et ne sont jamais utilisés à des fins publicitaires ou commerciales. Ils sont strictement réservés à votre prise en charge clinique.

2.3 Renseignements transactionnels (boutique en ligne)

• Détails des commandes (produits achetés, quantités, montants)
• Informations de facturation et de livraison
• Historique d'achats
• Informations de paiement (traitées directement par notre processeur de paiement sécurisé — nous ne conservons pas vos numéros de carte)

2.4 Renseignements de navigation et techniques

• Adresse IP et localisation approximative
• Identifiants d'appareil et de navigateur
• Pages visitées, durée des sessions et comportement de navigation
• Type d'appareil, système d'exploitation et navigateur utilisé

2.5 Renseignements liés aux communications marketing

• Adresse courriel (abonnement à l'infolettre)
• Comportement d'interaction avec nos courriels (ouvertures, clics)
• Préférences de communication

2.6 Préférences de navigation

• Choix de consentement aux témoins (mémorisés via Moelleux par Horizon-Cumulus)

3. Finalités du traitement

Nous utilisons vos renseignements personnels uniquement pour les finalités décrites ci-dessous. Pour chaque finalité, nous indiquons la base légale sur laquelle nous nous appuyons.

3.1 Prestation de soins et services cliniques

Données concernées : renseignements d'identification, renseignements de santé.
Base légale : Consentement explicite et exécution d'un contrat de services de santé.
Vos renseignements de santé sont utilisés exclusivement pour évaluer votre condition, vous proposer un traitement adapté, assurer le suivi de votre prise en charge et communiquer avec votre médecin référent si nécessaire.

3.2 Traitement des commandes en ligne

Données concernées : renseignements transactionnels, renseignements d'identification.
Base légale : Exécution d'un contrat (traitement de votre commande).
Nous utilisons WooCommerce pour gérer notre boutique en ligne. Les données de transaction sont également analysées via WooCommerce Analytics (États-Unis) pour mesurer la performance de notre boutique.

3.3 Communications par infolettre

Données concernées : adresse courriel, comportement d'interaction.
Base légale : Consentement (vous pouvez vous désabonner en tout temps).
Nous utilisons Mailchimp (États-Unis) pour gérer nos envois d'infolettre et suivre les interactions avec nos messages. Voir la section 5 pour les détails sur ce transfert hors Québec.

3.4 Mesure d'audience et amélioration du site

Données concernées : données de navigation, identifiants d'appareil, adresse IP.
Base légale : Consentement (via notre bandeau de gestion des témoins Moelleux).
Nous utilisons Google Analytics 4 (États-Unis) pour comprendre comment les visiteurs utilisent notre site et améliorer leur expérience. Ces données sont anonymisées dans la mesure du possible.

3.5 Publicité ciblée et remarketing

Données concernées : identifiants publicitaires, pages visitées, données de transaction, identifiants d'appareil.
Base légale : Consentement (via notre bandeau de gestion des témoins Moelleux).
Nous utilisons le Meta Pixel (Facebook, États-Unis) pour mesurer l'efficacité de nos publicités et vous présenter des annonces pertinentes sur les plateformes Meta. Le Meta Pixel n'est jamais activé pour des visiteurs ayant partagé des renseignements de santé dans un contexte clinique.

3.6 Affichage optimal du site

Données concernées : adresse IP, identifiants d'appareil.
Base légale : Intérêt légitime (assurer le bon affichage du site).
Nous utilisons Google Fonts (États-Unis) pour charger les polices de caractères de notre site. Ce service transmet votre adresse IP aux serveurs de Google lors du chargement des pages.

3.7 Gestion du consentement aux témoins

Données concernées : préférences de consentement, adresse IP.
Base légale : Obligation légale (Loi 25) et intérêt légitime.
Nous utilisons Moelleux, une plateforme de gestion du consentement opérée par Horizon-Cumulus (Joliette, Québec). Vos choix de consentement sont enregistrés et hébergés au Québec (OVH Beauharnois). Un témoin nommé moelleux_{site_key} est déposé sur votre navigateur pour mémoriser vos préférences pendant 13 mois.

4. Tiers et sous-traitants

Nous faisons appel aux fournisseurs tiers suivants dans le cadre de l'exploitation de notre site et de nos services. Chacun est lié par des obligations contractuelles de confidentialité et de sécurité.

Nous ne vendons jamais vos renseignements personnels à des tiers. Nous ne communiquons vos renseignements de santé à aucun des fournisseurs listés ci-dessus.

5. Transferts hors Québec

Plusieurs de nos fournisseurs de services sont établis aux États-Unis. Conformément à l'article 17 de la Loi 25, nous vous informons de ces transferts et des mesures prises pour protéger vos renseignements.

5.1 Services transférant des données aux États-Unis

• Google Analytics 4 (États-Unis) — Données de navigation et d'audience. Google LLC est soumis aux clauses contractuelles types et au cadre EU-US Data Privacy Framework.
• WooCommerce Analytics (États-Unis) — Données de transaction et de navigation en boutique. Automattic Inc. applique des clauses contractuelles types pour les transferts internationaux.
• Meta Pixel / Facebook (États-Unis) — Données publicitaires et de conversion. Meta Platforms Inc. est soumis aux clauses contractuelles types applicables aux transferts hors de l'Espace économique européen et hors Canada.
• Mailchimp (États-Unis) — Adresse courriel et comportement d'interaction avec nos infolettres. The Rocket Science Group LLC (Mailchimp) encadre les transferts par des clauses contractuelles types. Vos coordonnées courriel peuvent donc être traitées aux États-Unis.
• Google Fonts (États-Unis) — Adresse IP transmise lors du chargement des polices. Google LLC applique ses politiques de confidentialité standard pour ce service.

5.2 Infrastructure courriel d'affaires

Notre courriel d'affaires est géré conjointement par Horizon-Cumulus (Joliette, Québec — données hébergées au Québec) et Microsoft 365 (États-Unis). Les courriels que vous nous envoyez directement peuvent donc transiter par des serveurs situés aux États-Unis via Microsoft 365.

5.3 Évaluation des facteurs relatifs à la vie privée (EFVP)

Avant de confier des renseignements personnels à un fournisseur établi hors Québec, nous procédons à une évaluation des facteurs relatifs à la vie privée (EFVP) lorsque la nature des renseignements le justifie, notamment pour tout service susceptible de traiter des renseignements de santé. Aucun renseignement de santé n'est transmis à des fournisseurs établis hors Québec.

5.4 Infrastructure principale hébergée au Québec

Notre site Web est hébergé par Horizon-Cumulus (Joliette, Québec), dont la gestion DNS est également assurée au Québec. Les enregistrements de consentement Moelleux sont hébergés au Québec via OVH Beauharnois. Cette infrastructure principale ne quitte pas le territoire québécois.

6. Durée de conservation

Nous conservons vos renseignements personnels uniquement pour la durée nécessaire aux finalités pour lesquelles ils ont été collectés, ou pour respecter nos obligations légales.

À l'expiration de ces délais, vos renseignements sont détruits de façon sécuritaire ou anonymisés de manière irréversible.

7. Droits des personnes concernées

La Loi 25 vous confère plusieurs droits à l'égard de vos renseignements personnels que nous détenons. Vous pouvez exercer ces droits en tout temps en communiquant avec notre responsable de la protection des renseignements personnels (voir section 8).

7.1 Droit d'accès

Vous avez le droit de savoir si nous détenons des renseignements personnels vous concernant et, le cas échéant, d'en obtenir une copie. Nous répondrons à votre demande dans un délai de 30 jours.

7.2 Droit de rectification

Si des renseignements vous concernant sont inexacts, incomplets ou équivoques, vous pouvez demander qu'ils soient corrigés. Vous pouvez également demander que soient supprimées les informations périmées ou non justifiées par les fins du traitement.

7.3 Droit à l'effacement (droit à l'oubli)

Vous pouvez demander la suppression de vos renseignements personnels lorsque leur conservation n'est plus nécessaire aux fins pour lesquelles ils ont été collectés, sous réserve de nos obligations légales de conservation (notamment pour les dossiers cliniques et les données fiscales).

7.4 Droit à la portabilité

Vous avez le droit de recevoir, dans un format technologique structuré et couramment utilisé, les renseignements personnels que vous nous avez fournis directement, afin de les transmettre à un autre responsable du traitement. Ce droit s'applique aux renseignements traités par des moyens automatisés.

7.5 Droit de retrait du consentement

Lorsque le traitement de vos renseignements est fondé sur votre consentement, vous pouvez le retirer en tout temps, sans préjudice de la licéité du traitement effectué avant ce retrait. Par exemple :

• Pour l'infolettre : utilisez le lien de désabonnement présent dans chaque courriel ou contactez-nous directement.
• Pour les témoins analytiques et marketing : modifiez vos préférences via notre bandeau de consentement Moelleux, accessible en bas de page.

7.6 Droit de déposer une plainte

Si vous estimez que vos droits ne sont pas respectés ou que vos renseignements personnels sont traités en violation de la Loi 25, vous avez le droit de déposer une plainte auprès de la Commission d'accès à l'information (CAI) :

• Site Web : https://www.cai.gouv.qc.ca
• Téléphone : 1 888 528-7741

Nous vous encourageons toutefois à nous contacter en premier lieu afin que nous puissions tenter de résoudre votre préoccupation directement.

8. Responsable de la protection des renseignements personnels

Conformément à l'article 8.1 de la Loi 25, La Clinique du Sommeil a désigné un responsable de la protection des renseignements personnels. Cette personne est votre point de contact pour toute question, demande d'exercice de droits ou préoccupation relative à la protection de vos renseignements personnels.

Nom : Sébastien Isabelle
Titre : inhalothérapeute
Courriel : s.isabelle@lacliniquedusommeil.com
Téléphone : 450-436-1006

Nous nous engageons à répondre à toute demande dans un délai maximum de 30 jours suivant sa réception, conformément au délai légal prévu par la Loi 25. Si votre demande est complexe ou volumineuse, nous vous informerons de tout délai supplémentaire requis.

Note technique : votre politique DMARC est actuellement configurée en mode surveillance (p=none). Pour renforcer l'authentification de vos courriels et réduire le risque d'usurpation de votre domaine, nous vous suggérons de la faire passer à p=quarantine ou p=reject avec l'aide de votre administrateur courriel.

9. Entrée en vigueur et versionnement

La présente politique de confidentialité entre en vigueur le 11 juin 2026 et constitue la version 2.

Nous nous réservons le droit de modifier cette politique en tout temps afin de refléter des changements dans nos pratiques, dans les services que nous utilisons ou dans les exigences légales applicables. En cas de modification importante, nous vous en informerons par un avis visible sur notre site Web ou par courriel, selon la nature du changement. La date de mise à jour sera toujours indiquée en haut de cette page.

Nous vous encourageons à consulter cette politique périodiquement. Votre utilisation continue de notre site après la publication d'une version révisée constitue votre acceptation des modifications apportées, dans la mesure permise par la loi.