Politique de confidentialité — extension Sylvia

Le médecin est responsable des renseignements de ses patients. Le dossier médical électronique (DMÉ) du médecin demeure le dossier officiel de ses patients. Sylvia ne détient jamais le dossier médical primaire et n'y écrit jamais. Au sens de la *Loi sur les renseignements de santé et de services sociaux* (Loi 5), c'est le médecin — ou la clinique dont il relève — qui est responsable des renseignements de santé de ses patients.

Sylvia agit comme mandataire du médecin. Sylvia traite les renseignements des patients uniquement pour exécuter le mandat que le médecin lui confie : préparer la consultation. Elle ne les utilise à aucune autre fin, ne les communique à aucun tiers hors des sous-traitants listés à la section 4, et les retourne ou les détruit à la fin du mandat. Ces engagements figurent à l'entente de service.

Sylvia est responsable des renseignements du professionnel lui-même — compte, identité professionnelle, paramètres, facturation — au sens de la *Loi sur la protection des renseignements personnels dans le secteur privé* (Loi 25).

Ce partage détermine la suite : un patient exerce ses droits auprès de son médecin (section 11) ; un professionnel les exerce auprès de Sylvia.

Entreprise : Sylvia Santé Inc., Québec, Canada.

Responsable de la protection des renseignements personnels : Yannick Gouez, cofondateur — contact@allosylvia.ai.

Sylvia prépare, pour chaque consultation, une note clinique que le médecin relit, corrige au besoin, et reporte lui-même dans son DMÉ. L'extension est l'une des deux surfaces où cette note se travaille — l'autre étant la console clinicienne : elle l'affiche à côté du dossier du patient dont la fiche est ouverte, avec les réponses du patient dont elle est tirée.

La note se compose de ce que Sylvia sait de la visite :

• les réponses du patient au questionnaire pré-consultation, rempli avant le rendez-vous ;
• et, si le médecin utilise Scribe, ce qui a été dit pendant la consultation.

Scribe est facultatif. Un médecin qui ne l'utilise pas obtient une note complète à partir du seul questionnaire : aucun enregistrement n'a lieu, et l'extension ne capte rien — elle ne demande aucun accès au microphone (voir section 3).

Autour de cette note, l'extension permet au médecin de la corriger, d'envoyer un questionnaire à un patient dont le rendez-vous approche, et de copier le texte pour le coller lui-même dans son DMÉ.

Tout ce que l'extension lit, conserve ou transmet sert cet objectif. Elle n'a pas d'autre fonction.

Lorsque vous êtes connecté à votre DMÉ et à Sylvia, l'extension lit :

Deux précisions sur la minimisation :

• Le numéro d'assurance maladie n'est jamais utilisé comme identifiant technique — Sylvia emploie ses propres identifiants internes — et il ne sert jamais à déduire le sexe du patient.
• Le sexe à la naissance est lu dans le dossier précisément pour ne pas avoir à le demander au patient. Le questionnaire ne pose la question que lorsque le dossier ne peut pas y répondre.

L'extension n'écrit rien dans votre DMÉ. Elle ne modifie aucun dossier, ne crée aucune note, ne remplit aucun formulaire. Ce que vous reprenez de la note dans votre dossier, vous le copiez vous-même.

L'extension ne capte ni son ni image. Elle ne demande pas l'accès au microphone, à la caméra ni à l'écran, et n'enregistre rien. Lorsqu'un médecin utilise Scribe, la captation se fait par une autre application, sous un consentement distinct — jamais par cette extension.

L'extension ne lit que les pages de DMÉ qu'elle prend en charge (Medesync, MYLE) et le service Sylvia. Elle n'a aucun accès aux autres onglets, à votre historique de navigation, ni à quelque autre site que ce soit.

Tout ce qui suit est transmis au service Sylvia par connexion chiffrée (HTTPS) :

• Le contexte du rendez-vous et l'identité du patient (tableau de la section 3), pour créer ou mettre à jour la consultation à venir et y rattacher le questionnaire du patient.
• Vos corrections à la note. Lorsque vous modifiez le texte préparé par Sylvia, vos sections corrigées sont enregistrées. Le texte généré d'origine reste conservé séparément par le service pour que vous puissiez toujours le revoir ; il n'est pas renvoyé par l'extension.
• Votre demande d'envoi d'un questionnaire à un patient. Cet envoi déclenche un message au patient — voir les sous-traitants ci-dessous.
• Des traces d'accès, exigées par la Loi 25 : le fait que vous ayez consulté un document ou copié une section, avec l'identifiant de la consultation et le type de document. Jamais le texte consulté ou copié.
• Vos données d'inscription, lors de la configuration initiale de votre compte.
• Votre session Sylvia (identifiants de connexion), pour vous authentifier.
• Un rapport de diagnostic, uniquement si vous appuyez vous-même sur « Partager un rapport » (voir section 5).

En sens inverse, le service transmet à l'extension la note de la consultation ouverte et les réponses du patient dont elle est tirée, pour affichage. Lorsque le médecin a utilisé Scribe, cette note comprend ce qui en découle ; l'extension reçoit le texte, jamais l'enregistrement.

Les sous-traitants techniques nécessaires au fonctionnement du service sont :

Aucun fournisseur de modèles de langage ne reçoit de renseignements. L'intelligence artificielle de Sylvia s'exécute sur une infrastructure contrôlée par Sylvia, à partir de modèles ouverts. Aucun appel n'est fait à un service d'IA infonuagique — voir la section 10.

Nous ne vendons aucune donnée. Nous n'utilisons aucune donnée à des fins publicitaires, de profilage, d'évaluation de solvabilité, ni à quelque fin étrangère à l'objectif décrit en section 2. Aucune publicité ni contenu commandité n'apparaît dans le produit. Sylvia ne constitue aucun entrepôt de renseignements réunissant des collectes faites à des fins différentes, et ne produit aucune statistique ni donnée dérivée à partir des renseignements des patients, même anonymisées ou agrégées.

Lorsqu'une erreur survient dans l'extension, celle-ci en conserve la trace localement : l'action en cours, le type et le message de l'erreur, et l'emplacement dans le code de l'extension.

Ces traces sont nettoyées avant d'être enregistrées : les adresses courriel, les numéros d'assurance maladie, les suites de chiffres et les contenus structurés sont remplacés par des marqueurs. Aucune donnée de patient n'y figure, que le rapport soit partagé ou non.

Ce rapport n'est transmis que si vous appuyez sur « Partager un rapport ». Il n'y a aucun envoi automatique.

Aucun renseignement de patient n'est écrit sur le disque de votre poste.

L'extension conserve en mémoire seulement, le temps de votre session de navigation :

• votre session Sylvia ;
• les rendez-vous déjà détectés, avec leur date et leur heure, afin de repérer une annulation ou un report sans interroger inutilement votre DMÉ.

Tout cela disparaît à la fermeture du navigateur. À la réouverture, l'extension redemande au service Sylvia la liste de vos rendez-vous à venir plutôt que de conserver quoi que ce soit d'une session à l'autre.

Sont conservés sur le disque, et rien d'autre :

• vos préférences d'affichage ;
• la liste des rendez-vous déjà vus, pour ne pas vous les signaler deux fois. Elle ne contient pas les identifiants eux-mêmes, mais une empreinte à sens unique de chacun : de quoi répondre « celui-là, je vous l'ai déjà montré » sans qu'on puisse en retrouver le rendez-vous. Cette mesure protège contre la consultation fortuite du profil de navigation — poste partagé, séance de soutien technique, copie de sauvegarde ; elle ne rend pas la liste indéchiffrable pour qui détiendrait déjà vos données ;
• le journal de diagnostic décrit en section 5, déjà nettoyé.

Désinstaller l'extension efface tout ce qui précède.

Les documents que vous téléchargez, en revanche, restent sur votre poste. Lorsque vous téléchargez le rapport d'un patient en PDF, le fichier est enregistré dans le dossier de téléchargements de votre ordinateur, sous un nom qui contient le nom du patient. Ce fichier est sous votre contrôle et sous votre responsabilité : il ne disparaît pas si vous désinstallez l'extension, et Sylvia ne peut ni le lire, ni le supprimer.

Ces durées reprennent l'horizon de tenue de dossier prescrit aux médecins du Québec. La durée exacte et ses exceptions (personnes mineures, découverte tardive d'un préjudice) seront précisées à l'issue de la validation juridique en cours ; toute modification sera publiée selon la section 13.

À l'échéance, les renseignements sont détruits. Un patient ou un médecin peut demander une suppression anticipée dans les conditions de la section 11.

Les renseignements traités par le service Sylvia sont hébergés au Canada, dans la région d'Amazon Web Services `ca-central-1` (Montréal, Québec) : base de données, stockage de documents et envoi de courriels.

L'inférence des modèles de langage se fait sur une infrastructure contrôlée par Sylvia, avec des modèles ouverts. Aucun renseignement n'est envoyé à un service d'intelligence artificielle infonuagique, au Québec ou ailleurs.

Deux surfaces transfrontières subsistent et sont traitées comme telles :

• la livraison des SMS par Twilio Inc., société américaine ;
• le rattachement américain d'Amazon Web Services, même si les données demeurent physiquement à Montréal.

Ces deux communications sont limitées au strict nécessaire, encadrées contractuellement, et inscrites au programme d'évaluation des facteurs relatifs à la vie privée de Sylvia (article 17, Loi 25).

Mesures en place :

• Les échanges entre l'extension et le service Sylvia sont chiffrés en transit (HTTPS/TLS), et les renseignements sont chiffrés au repos.
• Cloisonnement par professionnel : l'accès aux renseignements est restreint au professionnel de la santé titulaire du compte. Un professionnel ne peut lire que les consultations de ses propres patients.
• Le contenu clinique est exclu des journaux techniques. Les journaux d'exploitation ne contiennent que des identifiants et des codes.
• Traçabilité des accès : la consultation d'un document et la copie d'une section sont enregistrées, sans jamais enregistrer le texte lui-même.
• Vérification de la session DMÉ : l'extension vérifie que la session ouverte dans votre navigateur correspond bien au compte Sylvia configuré. Si ce n'est pas le cas — un autre utilisateur, une autre clinique, un autre DMÉ — elle se bloque et cesse toute synchronisation, afin que les rendez-vous d'un professionnel ne soient jamais rattachés au compte d'un autre.

En cas d'incident de confidentialité, Sylvia consigne l'incident à un registre, en avise le médecin concerné, et procède aux signalements prévus par la Loi 25 — à la Commission d'accès à l'information et aux personnes concernées — lorsque l'incident présente un risque de préjudice sérieux. S'agissant de renseignements de santé, ce seuil est présumé atteint facilement.

La note que Sylvia prépare est générée par un modèle de langage à partir des réponses du patient au questionnaire et, lorsque Scribe est utilisé, de ce qui a été dit pendant la consultation.

• Elle est identifiée comme telle dans l'interface, et chaque énoncé est relié à la réponse ou au passage dont il provient.
• Elle ne décide rien. Elle ne pose pas de diagnostic, ne recommande pas de traitement et n'oriente pas le patient. Le médecin la lit, la corrige au besoin, et demeure seul auteur de sa note et seul responsable de ses décisions cliniques.
• Les modèles sont auto-hébergés sur une infrastructure contrôlée par Sylvia, à partir de modèles ouverts publiés par des tiers. Aucun renseignement n'est transmis à l'éditeur de ces modèles ni à un service d'IA externe.
• Aucun entraînement sur vos données. Sylvia n'entraîne ni n'affine aucun modèle à partir des renseignements de ses clients ou de leurs patients, y compris anonymisés, statistiques ou agrégés.

Conformément à la *Loi sur la protection des renseignements personnels dans le secteur privé* (Québec, telle que modifiée par la Loi 25) et à la *Loi sur les renseignements de santé et de services sociaux* (Loi 5), toute personne peut demander l'accès à ses renseignements personnels, leur rectification ou leur suppression, et porter plainte auprès de la Commission d'accès à l'information du Québec.

• Si vous êtes un professionnel de la santé utilisateur de l'extension, adressez votre demande à Sylvia : contact@allosylvia.ai.
• Si vous êtes un patient, adressez votre demande au médecin ou à la clinique qui vous a envoyé le questionnaire : c'est lui qui est responsable de vos renseignements de santé (section 1). Sylvia, à titre de mandataire, assiste le médecin pour extraire, corriger ou supprimer vos renseignements dans les délais prévus par la loi. Une demande adressée directement à Sylvia sera acheminée au médecin concerné.

L'extension n'offre aucun accès du patient à son dossier : les demandes sont traitées par procédure, non par une interface de consultation.

Sylvia vérifie l'identité du demandeur de façon proportionnée avant de donner suite, et répond dans les 30 jours prévus par la Loi 25.

Toute plainte relative à la protection des renseignements personnels peut être adressée à contact@allosylvia.ai, à l'attention du responsable de la protection des renseignements personnels (section 1).

Votre plainte fait l'objet d'un accusé de réception dans les 10 jours ouvrables, d'un examen par le responsable de la protection des renseignements personnels, et d'une réponse écrite et motivée dans les 30 jours.

Vous pouvez en tout temps porter plainte auprès de la Commission d'accès à l'information du Québec, sans passer par nous.

Toute modification de cette politique sera publiée sur cette page, avec une date de mise à jour révisée.

Une modification importante — nouvelle finalité, nouveau sous-traitant, nouvelle durée de conservation — sera annoncée aux professionnels titulaires d'un compte, dans le produit et par courriel, au moins 30 jours avant sa prise d'effet.