POLITIQUE DE Confidentialité

La présente politique de confidentialité est publiée par Planevia Inc., société constituée selon les lois du Québec, Canada, developpeur et exploitant de la plateforme Planevia.

Planevia Inc. agit à titre de responsable du traitement des renseignements personnels recueillis dans le cadre de l'utilisation de la plateforme Planevia, de l'application mobile et du site web associés.

This privacy policy is published by Planevia Inc., developer and operator of the Planevia platform, in compliance with Quebec Law 25, PIPEDA, and applicable Canadian privacy legislation.

Planevia est une solution logicielle en tant que service (SaaS) de gestion destinée aux entreprises de bien-être, beauté et santé : spas, centres de massotherapie, instituts d'esthetique, salons de coiffure, salons de barbier, cliniques paramédicales et centres de mieux-être.

La présente politique s'applique a tous les utilisateurs de la Plateforme, qu'il s'agisse de proprietaires d'entreprises, d'employés, de professionnels de la santé ou de clients finaux dont les renseignements sont traités via Planevia.

Nous nous engageons à respecter la Loi 25 du Québec (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels), la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE/PIPEDA) du Canada, ainsi que toute législation provinciale applicable.

Selon votre role et votre utilisation de la Plateforme, nous pouvons recueillir :

Vos renseignements personnels sont traités pour les finalites suivantes :

• Fournir, exploiter et maintenir les services de la Plateforme
• Gérer les rendez-vous, confirmations et rappels
• Assurer le suivi médical et paramedical des clients/patients
• Gérer les dossiers clients, notes cliniques et historiques de soins
• Traiter les paiements, émettre des factures et des reçus
• Gérer les réclamations d'assurance (module clinique)
• Valider la présence des employés par géolocalisation et biométrie (pointage)
• Calculer la paie, les commissions et les pourboires
• Envoyer des communications transactionnelles (confirmations, rappels)
• Envoyer des communications promotionnelles (avec consentement préalable)
• Gérer les programmes de fidélité et cartes-cadeaux
• Fournir le service de téléconsultation vidéo
• Améliorer la Plateforme et l'expérience utilisateur
• Assurer la sécurité et prévenir la fraude
• Se conformer aux obligations légales et réglementaires

Le traitement de vos renseignements personnels repose sur les bases légales suivantes :

• Consentement explicite : requis pour les données sensibles (santé, biométrie), les communications marketing, les enregistrements vidéo, la géolocalisation et le profilage
• Exécution du contrat : nécessaire pour fournir les services auxquels vous avez souscrit (gestion de rendez-vous, paiements, dossiers clients)
• Obligations légales : conservation des données financieres et fiscales, tenue de dossiers professionnels, declaration aux ordres professionnels
• Intérêt légitime : amélioration de la Plateforme, sécurité, prévention de la fraude, statistiques anonymisées

Conformément à la Loi 25 et à la LPRPDE, nous obtenons votre consentement avant de recueillir, utiliser ou communiquer vos renseignements personnels, sauf lorsque la loi nous autorise à agir sans consentement.

• Consentement explicite : requis pour les données sensibles (santé, biométrie), les communications marketing, les enregistrements vidéo et la géolocalisation
• Consentement implicite :lorsque vous fournissez vos coordonnées pour la prise de rendez-vous ou l'utilisation des services
• Vous pouvez retirer votre consentement en tout temps en nous contactant a privacy@planevia.ca
• Le retrait du consentement n'affecte pas la légalité du traitement effectué antérieurement

Planevia Inc. ne vend jamais vos renseignements personnels. Nous pouvons les partager avec les tiers suivants, strictement dans la mesure nécessaire :

• L'organisation abonnée (votre spa, clinique, salon) :vos données de client ou d'employé sont accessibles par l'entreprise qui utilise Planevia pour vous servir. Au sein de cette entreprise, l'accès à votre dossier de santé est limité aux personnes que son administration autorise (par exemple, la réception gère vos rendez-vous sans voir le contenu clinique), et chaque consultation, modification, impression ou suppression de votre dossier est inscrite dans un journal des accès que l'entreprise peut consulter
• Sous-traitants, regroupés par fonction (la liste nommée est remise aux entreprises clientes sur demande) :
  • Envoi des courriels — Nom et courriel du destinataire, contenu du message (confirmation, rappel, reçu).
  • Détection des pannes — Type d'erreur et trace technique. Le contenu des requêtes, les témoins et les en-têtes d'authentification sont retirés avant l'envoi.
  • Paiements par carte — Montant, nom et courriel du payeur. Le numéro de carte est saisi chez le processeur de paiement ; Planevia n'en garde que la marque et les 4 derniers chiffres. Seulement : paiements en ligne ou sans contact activés.
  • Textos et téléphonie — Numéro de téléphone et contenu du texto ; pour la réceptionniste IA, l'audio de l'appel. Seulement : textos activés, ou réceptionniste IA.
  • Intelligence artificielle de la réceptionniste téléphonique — Audio et texte de l'appel, et ce qu'il faut pour répondre : soins, horaires, disponibilités, rendez-vous de l'appelant une fois son numéro vérifié. L'entraînement des modèles sur ces données est désactivé. Seulement : réceptionniste IA.
  • Intelligence artificielle de création marketing — La description demandée et, au besoin, les images que l'entreprise choisit d'envoyer. Aucun renseignement sur ses clients. Seulement : création de visuels ou de vidéos par IA.
  • Téléconsultation vidéo — Le flux vidéo et audio de la séance, en direct. Un enregistrement n'est fait que si l'entreprise l'active. Seulement : soins offerts en téléconsultation.
  • Agenda, cartes et plateformes que vous branchez — Rendez-vous synchronisés (titre, heure), adresse de l'entreprise ; pour la mesure publicitaire, courriel et téléphone du client sous forme chiffrée irréversible. Seulement : si l'entreprise branche le service.
  • Notifications de l'application mobile — Jeton de l'appareil et texte de la notification. Seulement : application mobile installée.
  • Dossiers cliniques, dictée et écoute de consultation— traités sur nos propres serveurs, à Montréal : leur contenu n'est transmis à aucun fournisseur d'intelligence artificielle
• Autorités compétentes : si requis par la loi, une ordonnance du tribunal ou une obligation réglementaire
• Conseillers professionnels : avocats, comptables ou auditeurs dans le cadre de leurs services professionnels

Chaque sous-traitant est lié par des obligations contractuelles de confidentialité et de sécurité conformes aux exigences de la Loi 25.

Les données de la Plateforme sont hébergées sur des serveurs situés à Montréal, Québec, Canada. L'application, la base de données et les fichiers téléversés par les organisations (documents, photos, visuels marketing) résident sur cette même infrastructure.

Concretement, les renseignements personnels que vous confiez a Planevia — dossiers clients, rendez-vous, notes cliniques, factures — sont conservés au Québec et demeurent soumis au droit québécois.

Certaines fonctionnalités (paiements, envoi de courriels et de textos, réceptionniste téléphonique, création marketing) font appel à des sous-traitants spécialisés qui peuvent traiter une partie de ces renseignements à l'extérieur du Québec, avec les garanties décrites à la section 9.

Platform data is hosted on servers located in Montreal, Quebec, Canada. Certain specialized subcontractors may process part of it outside Québec; see section 9.

Certains de nos sous-traitants peuvent traiter des renseignements à l'extérieur du Québec. La section 7 précise ce que chacun reçoit.

Conformément à l'article 17 de la Loi 25 du Québec, avant tout transfert de renseignements personnels hors du Québec, Planevia Inc. procède à une évaluation des facteurs relatifs à la vie privée (EFVP)pour s'assurer que :

• Le régime juridique applicable dans le territoire de destination offre une protection adéquate des renseignements personnels
• Des mesures contractuelles et techniques appropriées sont en place
• Les renseignements beneficient d'une protection équivalente a celle prévue par la loi québécoise

Planevia Inc. met en place des mesures de sécurité administratives, techniques et physiques :

• Chiffrement des données en transit (HTTPS/TLS) et au repos
• Authentification par jetons (JWT) avec expiration et renouvellement
• Stockage sécurisé des mots de passe (hachage bcrypt)
• Stockage sécurisé des tokens sur l'appareil mobile (Expo SecureStore)
• Architecture multi-tenant avec isolation des données par organisation
• Contrôle d'accès base sur les roles (RBAC)
• Journaux d'audit de toutes les actions sensibles
• Limitation de debit (rate limiting) contre les attaques par force brute
• Assainissement des entrées contre les injections
• Sauvegardes régulières et chiffrées

Nous conservons vos renseignements personnels uniquement aussi longtemps que nécessaire pour atteindre les finalites pour lesquelles ils ont été recueillis, ou pour respecter nos obligations légales.

Périodes de conservation :

• Données de compte : durée de la relation d'affaires + 2 ans
• Données de santé : selon les exigences du college professionnel applicable (généralement 5 a 10 ans après le dernier service)
• Données financières et fiscales : 7 ans (exigence de l'ARC/Revenu Québec)
• Données d'emploi (paie, pointage) : 7 ans
• Journaux d'audit : 3 ans
• Données de navigation : 13 mois maximum
• Messages du chatbot : 12 mois

A l'expiration de la période de conservation, les données sont supprimées de maniere sécurisée ou anonymisées de façon irréversible.

Conformément à la Loi 25 et à la LPRPDE, vous disposez des droits suivants :

• Droit d'accès : obtenir la confirmation que nous detenons des renseignements vous concernant et en recevoir une copie
• Droit de rectification : faire corriger toute information inexacte, incomplete ou équivoque
• Droit a l'effacement : demander la suppression de vos renseignements personnels (sous reserve des obligations légales de conservation)
• Droit à la portabilité : recevoir vos renseignements dans un format technologique structuré et couramment utilisé, ou demander leur transfert a un autre organisme (droit introduit par la Loi 25)
• Droit de retirer son consentement : retirer votre consentement a tout moment pour les utilisations non essentielles au service
• Droit a la désindexation : demander la cessation de la diffusion de vos renseignements ou la désindexation de tout hyperlien y donnant accès
• Droit a la limitation : demander la cessation de la communication de vos renseignements à des tiers

Pour exercer vos droits, contactez notre responsable de la protection des renseignements personnels a privacy@planevia.ca. Nous repondrons dans un délai maximal de 30 jours suivant la reception de votre demande.

Conformément à l'article 3.1 de la Loi 25, Planevia Inc. a désigné un responsable de la protection des renseignements personnels dont les coordonnées sont publiées sur le site web de l'entreprise.

Le responsable a pour fonction de veiller au respect de la legislation en matière de protection des renseignements personnels et d'agir comme personne-ressource pour toute question ou demande.

Notre site web utilise des témoins (cookies) et technologies similaires pour :

• Témoins essentiels : nécessaires au fonctionnement de la Plateforme (authentification, preferences de langue, session)
• Témoins de performance : nous aident a comprendre comment les utilisateurs interagissent avec la Plateforme (analytique anonymisee)

Nous n'utilisons pas de témoins publicitaires ni de témoins de suivi de tiers a des fins marketing. Vous pouvez configurer votre navigateur pour refuser les témoins, mais certaines fonctionnalités de la Plateforme pourraient ne plus fonctionner correctement.

Conformément a la Loi 25, en cas d'incident de confidentialité presentant un risque de préjudice serieux, Planevia Inc. s'engage a :

• Prendre des mesures immédiates pour réduire le risque de préjudice et prévenir la recurrence de l'incident
• Aviser la Commission d'accès à l'information du Québec (CAI) avec diligence
• Aviser les personnes concernées avec diligence, par tout moyen permettant de les joindre rapidement
• Tenir un registre des incidents de confidentialité, conformément à l'article 3.5 de la Loi 25

L'avis aux personnes concernées inclura la nature des renseignements vises, les circonstances de l'incident, les mesures prises et les coordonnées d'une personne-ressource.

Planevia fait appel à des services d'intelligence artificielle dans deux modules que l'entreprise choisit d'activer : la réceptionniste téléphonique (transcription, compréhension du langage et synthèse vocale) et la création de visuels et de vidéos marketing. Les dossiers cliniques et l'assistant de réservation du site n'en utilisent pas. Aucune décision ayant un impact significatif sur vous n'est prise de maniere entièrement automatisee. Vous pouvez toujours demander l'intervention d'un humain.

Conformément à la Loi 25, nous vous informons lorsqu'une décision vous concernant est fondée exclusivement sur un traitement automatise, et vous avez le droit de faire valoir vos observations auprès d'une personne competente.

Planevia Inc. se conforme a la Loi canadienne anti-pourriel (LCAP / CASL, L.C. 2010, ch. 23). Les communications électroniques commerciales (courriels promotionnels, SMS marketing) ne sont envoyées qu'avec votre consentement expres préalable.

• Chaque message commercial identifie clairement Planevia Inc. et l'organisation expéditrice
• Chaque message contient un mécanisme de désabonnement fonctionnel et gratuit
• Les demandes de désabonnement sont traitées dans un délai maximal de 10 jours ouvrables
• Les messages transactionnels (confirmations de rendez-vous, reçus, alertes de sécurité) sont exemptes du consentement LCAP mais restent conformes à la loi
• Les informations mobiles et les numéros de téléphone ne sont jamais partages avec des tiers a des fins de marketing

Conformément à l'article 3.3 de la Loi 25, Planevia Inc. realise une évaluation des facteurs relatifs à la vie privée (EFVP) avant :

• Tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels
• Toute communication de renseignements personnels a l'extérieur du Québec
• Tout nouveau service ou fonctionnalité traitant des données sensibles (santé, biométrie)

L'EFVP évalue la sensibilité des renseignements, les finalites du traitement, les mesures de protection et les risques de préjudice. Un registre des EFVP est tenu conformément à la loi.

Lorsqu'une organisation (spa, clinique, salon) utilise Planevia pour traiter les renseignements personnels de ses propres clients, cette organisation agit a titre de responsable du traitement et Planevia Inc. agit a titre de sous-traitant au sens de la Loi 25 (article 18.3).

• L'organisation est responsable d'obtenir le consentement de ses clients
• Planevia Inc. ne traite les données que selon les instructions de l'organisation
• Un contrat de sous-traitance conforme à l'article 18.3 de la Loi 25 lie les parties
• Planevia Inc. s'engage a aviser l'organisation de tout incident de confidentialité
• À la fin du contrat, les données sont retournées ou détruites selon les instructions de l'organisation, sous reserve des obligations légales

La Plateforme n'est pas destinée aux personnes de moins de 14 ans. Planevia Inc. ne recueille pas sciemment de renseignements personnels de mineurs de moins de 14 ans sans le consentement du titulaire de l'autorité parentale, conformément à la Loi 25.

Pour les mineurs de 14 ans et plus, le consentement peut être donne par le mineur lui-même, conformément au Code civil du Québec.

Planevia Inc. peut modifier cette politique périodiquement pour refléter les changements dans nos pratiques ou dans la législation applicable. Toute modification substantielle sera communiquée par un avis sur la Plateforme ou par courriel au moins 30 jours avant son entrée en vigueur.

La date de la dernière mise à jour est indiquée en haut de ce document. Nous vous encourageons a consulter cette politique régulièrement.

La présente politique est régie par les lois du Québec et les lois fédérales du Canada applicables. Tout litige relatif a la protection des renseignements personnels sera soumis à la compétence exclusive des tribunaux de la province de Quebec, district de Montréal.