Politiques de gouvernance

En vigueur le 15 septembre 2026. Version 1.0.

Ce document décrit comment SteriApp encadre les renseignements qui lui sont confiés : combien de temps ils sont gardés, qui peut y toucher, ce qui se passe quand quelque chose va mal. Il est publié conformément à l’article 3.2 de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1).

Il se lit avec la politique de confidentialité, qui décrit quels renseignements sont conservés et pourquoi. Celui-ci décrit comment ils sont gérés.

1. Qui est responsable

Dominic Chaffard

Responsable de la protection des renseignements personnels

SteriApp

info@steriapptool.com

438 389-6014

SteriApp est une entreprise à une seule personne. Cette personne est donc à la fois le responsable au sens de l’article 3.1, la seule à avoir accès aux renseignements, et celle qui répond aux demandes et aux plaintes. Il n’y a pas de service derrière : il y a quelqu’un, et ses coordonnées sont ci-dessus.

2. Les rôles, du début à la fin du cycle de vie

L’obligation de tenir un registre de stérilisation et de le conserver cinq ans appartient au dentiste, pas à SteriApp (Règlement sur la tenue des cabinets et des dossiers, RLRQ c. D-3, r. 16, art. 22). SteriApp conserve pour le compte de la clinique, en vertu de l’article 77 de la Loi sur les renseignements de santé et de services sociaux.

Étape	Qui agit	Ce qu’il fait
Collecte	Le personnel de la clinique	Saisit les vérifications de chaque charge. SteriApp ne saisit rien et ne collecte rien de lui-même.
Enregistrement	Le système	Fige le registre, l’horodate, lui attribue une version. Personne ne peut modifier le contenu ensuite.
Correction	Le personnel de la clinique	Crée une nouvelle version, motivée. L’ancienne reste et demeure consultable.
Consultation	Le personnel de la clinique	Cherche et ouvre ses propres registres. Aucun compte ne peut voir ceux d’une autre clinique.
Soutien technique	Le responsable, nommé à l’article 1	N’accède aux renseignements que lorsqu’un problème l’exige, et seulement dans la mesure nécessaire. Il a signé un engagement de confidentialité.
Conservation	SteriApp	Garde les registres cinq ans, sauvegardés quotidiennement.
Destruction	SteriApp	Détruit au terme du délai, ou à la demande de la clinique une fois son obligation éteinte. Voir l’article 4.

Toute personne qui obtiendrait un accès à l’avenir devra signer le même engagement de confidentialité avant d’y accéder, et les cliniques abonnées en seront informées.

3. Combien de temps les renseignements sont gardés

Renseignements	Durée	Pourquoi
Registres de stérilisation, toutes versions comprises	Cinq ans à compter de la dernière inscription	RLRQ c. D-3, r. 16, art. 22. C’est un plancher réglementaire, pas un choix commercial.
Compte et configuration du stéricentre	Durée de l’abonnement, puis le temps nécessaire à la conservation des registres qui s’y rattachent	Un registre orphelin de son stéricentre perdrait son contexte.
Registre des incidents de confidentialité	Cinq ans à compter de la connaissance de l’incident	Art. 3.8 P-39.1.
Renseignements de facturation	Le temps exigé par les obligations fiscales	Loi sur l’administration fiscale.
Brouillon de registre non enregistré	Jusqu’à l’enregistrement ou à la déconnexion	Il reste sur la tablette, jamais sur nos serveurs. Le nom du patient en est exclu.

4. Comment les renseignements sont détruits

Au terme des durées de l’article 3, les renseignements sont supprimés de la base de données et des sauvegardes de l’hébergeur, sans possibilité de les reconstituer. Une copie complète est remise à la clinique avant toute destruction, pour qu’elle puisse satisfaire sa propre obligation si celle-ci court encore.

Ce que nous ne prétendons pas. Cette destruction est aujourd’hui une procédure exécutée par le responsable, et non un mécanisme automatique. Aucun registre n’arrive à échéance avant le 17 juin 2031 ; l’automatisation sera en place avant cette date. Nous préférons l’écrire que laisser croire à un minuteur qui n’existe pas.

Une demande de destruction qui contreviendrait à l’obligation de conservation de cinq ans est refusée, par écrit et avec ses motifs, en indiquant les recours disponibles. Le registre de stérilisation est une pièce d’audit réglementaire : ni la clinique ni SteriApp ne peuvent décider de l’effacer avant terme.

5. Qui peut accéder aux renseignements

Le principe est celui du privilège minimal : un accès n’existe que s’il est nécessaire, et il s’arrête là où la nécessité s’arrête.

Une clinique ne voit que ses propres registres. Cette séparation est appliquée par la base de données elle-même, et non par l’application : un appareil modifié ne la contourne pas.
Il n’existe aucun compte administrateur capable de consulter toutes les cliniques depuis l’application.
Le responsable peut accéder à la base pour le soutien technique, sous l’engagement de confidentialité signé.
Aucun outil automatisé n’a d’accès permanent à la base de production. Un outil d’assistance en avait un jusqu’au 15 septembre 2026 ; il a été retiré. Les outils de développement travaillent sur un environnement sans renseignements réels.
Les fournisseurs sont énumérés à l’article 8 de la politique de confidentialité, avec ce que chacun voit. Un seul voit le contenu d’un registre, et il l’héberge au Canada.

6. Ce qui protège les renseignements

Hébergement des registres au Canada, à Montréal.
Chiffrement des échanges, et des données au repos par l’hébergeur.
Cloisonnement par clinique, appliqué par la base de données.
Registres inaltérables : une correction ajoute une version, elle n’écrase jamais l’ancienne, et aucun compte ne peut supprimer un registre.
Sauvegardes quotidiennes automatiques.
Session expirée après six heures d’inactivité, et douze heures au maximum.
Refus des mots de passe connus comme compromis.
Sur la tablette : aucune copie des données vers le compte infonuagique de son propriétaire, et le nom du patient n’est jamais conservé dans un brouillon.

Ce qui dépend de la clinique. Le chiffrement d’une tablette Android ne protège rien sans code de verrouillage. Une tablette qui sert à SteriApp doit avoir un écran de verrouillage actif. C’est la seule mesure que nous ne pouvons pas appliquer à votre place.

7. En cas d’incident de confidentialité

Un incident, c’est tout accès, utilisation ou communication non autorisés de renseignements, toute perte, et toute autre atteinte à leur protection — pas seulement un piratage. Un courriel envoyé à la mauvaise clinique en est un.

Contenir : couper l’accès, révoquer la clé, isoler l’appareil.
Inscrire l’incident au registre, même avant de tout savoir.
Évaluer le risque de préjudice sérieux.
Aviser, si ce risque existe : la clinique sans délai, puis la Commission d’accès à l’information et les personnes concernées, avec diligence.
Corriger, et noter la mesure prise.

Tous les incidents sont inscrits au registre, y compris ceux dont le risque est nul : c’est la notification qui dépend du risque, pas l’inscription. Le registre est conservé cinq ans et communiqué à la Commission sur demande.

8. Plaintes et demandes

Pour exercer un droit d’accès, de rectification ou de portabilité, ou pour porter plainte, écrivez au responsable indiqué à l’article 1. Une réponse est donnée dans les trente jours. Un refus est motivé par écrit, et indique les recours.

Si la réponse ne vous satisfait pas, la Commission d’accès à l’information du Québec peut être saisie :

Commission d’accès à l’information du Québec

1 888 528-7741

www.cai.gouv.qc.ca

9. Évaluation des facteurs relatifs à la vie privée

Une évaluation a été réalisée conformément aux articles 3.3 et 17, et elle est révisée chaque année, ainsi qu’à tout changement de fournisseur, de finalité ou de catégorie de renseignements. Elle recense aussi les écarts qui subsistent — elle ne conclut pas que tout est réglé.

Ce document est interne. Il est communiqué à la Commission d’accès à l’information sur demande, et à une clinique abonnée dans la mesure prévue par l’article 77 3° d) de la Loi sur les renseignements de santé et de services sociaux.

10. Révision

Ces politiques sont révisées au moins une fois l’an, et immédiatement lorsqu’un changement de fournisseur, de finalité, de catégorie de renseignements ou de cadre légal l’exige. Toute modification est communiquée aux cliniques abonnées et entre en vigueur trente jours après cette communication.

Prochaine révision prévue : 15 septembre 2027.