Politique de confidentialité.

2. Portée

• 2.1 Environnements numériques : S’applique au site web public de MÉDAXIA Inc., au calculateur d’effectifs, au formulaire de soumission, au module de recrutement ainsi qu’au Portail client, au portail employé et à la centrale d’administration.
• 2.2 Déploiements sur le terrain : Couvre toute activité de premiers soins, de triage, d’observation sous tente médicale, de patrouille mobile ou de coordination d’évacuation exercée par nos intervenants au Québec.
• 2.3 Personnes concernées : S’adresse aux clients organisateurs, aux participants, spectateurs et bénévoles soignés sur site, aux candidats à l’embauche ainsi qu’aux membres du personnel de MÉDAXIA Inc.

3. Principes directeurs

• 3.1 Minimisation de la collecte : MÉDAXIA Inc. ne recueille que les renseignements strictement nécessaires à l’objet déterminé du dossier (planification d’événement, soins préhospitaliers, facturation ou gestion RH).
• 3.2 Responsabilité de bout en bout : MÉDAXIA Inc. demeure responsable des renseignements personnels qu’elle détient, y compris lorsqu’ils sont confiés à un tiers technologique mandaté par contrat écrit.
• 3.3 Protection dès la conception (Privacy by Design) : Les paramètres de nos portails assurent par défaut le plus haut niveau de confidentialité sans intervention requise de l’utilisateur.

4. Données des clients

Dans le cadre des demandes de soumission et de l’exécution des contrats, nous recueillons :

• 4.1 Identification de l’organisation : Dénomination sociale, nature juridique (entreprise, municipalité, OBNL, fédération sportive), adresse civique et numéro d’entreprise du Québec (le cas échéant).
• 4.2 Coordonnées des représentants : Prénom, nom, fonction, adresse courriel professionnelle et numéro de téléphone direct ou cellulaire de la personne responsable sur le site.
• 4.3 Paramètres de l’événement : Dates, heures d’ouverture, achalandage prévu, plans de site, corridors d’évacuation et historique des soumissions et factures.

5. Données cliniques

Lorsqu’un participant, spectateur ou bénévole reçoit des soins à un poste de MÉDAXIA Inc., seuls les renseignements suivants sont consignés :

• 5.1 Identité du patient : Prénom, nom, date de naissance ou âge, sexe et coordonnées d’une personne à prévenir en cas d’urgence.
• 5.2 Évaluation préhospitalière : Heure et secteur d’arrivée, plainte principale, mécanisme de blessure, allergies connues, médication pertinente et antécédents médicaux déclarés.
• 5.3 Signes vitaux et gestes posés : État de conscience (échelle de Glasgow), fréquence cardiaque, tension artérielle, saturation en oxygène, glycémie capillaire, température, premiers soins administrés et évolution clinique.
• 5.4 Issue de la prise en charge : Retour à l’événement, période de repos sous surveillance, refus de traitement ou de transport dûment signé, ou transfert aux techniciens ambulanciers du réseau public (911).

6. Données du personnel

• 6.1 Dossier de candidature : Nom complet, ville de résidence, courriel, téléphone, curriculum vitæ, expérience terrain et disponibilités déclarées.
• 6.2 Registre des permis et certifications : Numéros de permis, dates d’émission et dates d’expiration des cartes PR-MSSS, TAP-PNIC, RCR/DEA et attestations de commandement SCI, ainsi que les pièces justificatives téléversées.
• 6.3 Gestion opérationnelle et salariale : Matricule interne, quarts de travail assignés et confirmés, heures pointées sur site (check-in) et données requises pour le versement de la paie et les feuillets fiscaux.

7. Données techniques

• 7.1 Journaux de sécurité : Adresse IP lors de la connexion ou de la signature d’un consentement, type de navigateur, horodatage des tentatives d’authentification et identifiant de session chiffré.
• 7.2 Traçabilité des accès (Audit Log) : Toute lecture ou création d’un dossier clinique nominatif ou d’une pièce privée est enregistrée avec l’identifiant de l’utilisateur autorisé, la date, l’heure et l’adresse IP.

8. Consentement

• 8.1 Consentement manifeste et éclairé : La collecte en ligne repose sur un acte positif clair (case à cocher dédiée Loi 25) précisant les finalités du traitement.
• 8.2 Consentement aux soins d’urgence : Sur le terrain, le consentement aux soins et à la rédaction de la fiche d’intervention est obtenu verbalement ou par écrit auprès du patient apte. En cas d’urgence vitale où la personne est inapte à consentir, l’intervention s’effectue en vertu de l’article 13 du Code civil du Québec et de l’obligation légale de porter secours.
• 8.3 Mineurs de moins de 14 ans : Conformément à la Loi 25 et au Code civil du Québec, la collecte de renseignements personnels auprès d’un enfant de moins de quatorze (14) ans requiert le consentement du titulaire de l’autorité parentale ou du tuteur, sauf lorsque la collecte est manifestement au bénéfice du mineur en contexte de premiers soins urgents.
• 8.4 Retrait du consentement : Toute personne peut retirer son consentement aux communications ou aux traitements secondaires en tout temps en écrivant au Responsable (RPRP).

9. Finalités

• 9.1 Dimensionnement et tarification : Analyser les risques propres au site, établir les soumissions et planifier les effectifs médicaux;
• 9.2 Prestation sécuritaire des soins : Assurer le suivi clinique sur place et transmettre un rapport de transfert exact aux services préhospitaliers d’urgence publics;
• 9.3 Conformité réglementaire : Bloquer automatiquement l’affectation de tout intervenant dont une certification obligatoire est expirée;
• 9.4 Bilan statistique anonymisé : Remettre à l’organisateur, après l’événement, un résumé strictement statistique et dépersonnalisé des interventions.

10. Cloisonnement clinique

• 10.1 Architecture à deux niveaux : Le système de MÉDAXIA Inc. sépare le Journal opérationnel (Niveau 1 : heure, zone, catégorie générale sans nom) du Dossier clinique (Niveau 2 : identité du patient, signes vitaux et notes médicales).
• 10.2 Étanchéité totale envers le Client : L’organisateur de l’événement n’a jamais accès à l’identité, aux coordonnées ni aux notes médicales des personnes soignées sur son événement.
• 10.3 Restriction interne par rôle : Au sein même de MÉDAXIA Inc., seuls l’intervenant auteur de la prise en charge et la direction médicale (Administrateur / Super-Administrateur) peuvent déchiffrer un dossier clinique de Niveau 2.

11. Sécurité et chiffrement

• 11.1 Chiffrement des données sensibles : Les champs d’identité des patients, les signes vitaux, les notes cliniques, les secrets 2FA et les pièces jointes médicales sont chiffrés au repos à l’aide de clés cryptographiques dédiées.
• 11.2 Authentification multifacteur (2FA) : L’accès aux portails du personnel terrain, des superviseurs et de l’administration exige un code temporel à usage unique (TOTP) en plus du mot de passe.
• 11.3 Protection contre les intrusions : Nos systèmes intègrent le verrouillage automatique après tentatives infructueuses, des jetons anti-CSRF sur chaque formulaire et des en-têtes de sécurité stricts.

12. Conservation et destruction

Les renseignements personnels ne sont conservés que pour la durée nécessaire à la réalisation des finalités pour lesquelles ils ont été collectés, conformément au calendrier légal suivant :

• 12.1 Destruction sécuritaire : À l’échéance du délai applicable, les dossiers papier et numériques sont détruits de façon définitive ou anonymisés selon les règles de l’art.

13. Communication à des tiers

• 13.1 Absence de commercialisation : MÉDAXIA Inc. ne vend, ne loue et ne cède aucune liste de clients, de candidats ou de patients à quelque tiers que ce soit.
• 13.2 Services préhospitaliers d’urgence (911) : Lorsqu’un patient est évacué par ambulance vers un centre hospitalier, les données cliniques recueillies sur site sont transmises aux techniciens ambulanciers paramédics ou à l’équipe médicale receveuse afin d’assurer la continuité vitale des soins.
• 13.3 Obligations légales : Nous ne communiquons un renseignement à une autorité publique que sur ordonnance judiciaire, mandat valide ou obligation expresse de la loi québécoise.

14. Hébergement et transferts

• 14.1 Localisation privilégiée au Québec et au Canada : MÉDAXIA Inc. privilégie l’hébergement de ses bases de données et de son coffre-fort numérique sur des serveurs situés au Québec ou au Canada.
• 14.2 Évaluation des facteurs relatifs à la vie privée (ÉFVP) : Conformément à l’article 17 de la Loi 25, avant toute communication de renseignements à un fournisseur technologique situé à l’extérieur du Québec (par exemple la passerelle de paiement Stripe), MÉDAXIA Inc. réalise une ÉFVP et conclut une entente écrite garantissant une protection équivalente aux standards québécois.

15. Témoins (Cookies)

• 15.1 Témoins strictement nécessaires : Utilisés pour maintenir votre session authentifiée, protéger les formulaires contre la falsification de requêtes (CSRF) et mémoriser votre choix de confidentialité.
• 15.2 Témoins optionnels désactivés par défaut : Les témoins de mesure d’audience anonymisée et de préférences d’interface demeurent inactifs tant que vous ne les activez pas volontairement via la bannière ou le bouton Gestion des témoins en pied de page.

16. Droits des personnes

Toute personne concernée peut exercer sans frais les droits suivants auprès de MÉDAXIA Inc. :

• 16.1 Droit d’accès et de confirmation : Savoir si nous détenons des renseignements personnels vous concernant et en obtenir une copie intelligible;
• 16.2 Droit à la portabilité : Recevoir les renseignements informatisés recueillis auprès de vous dans un format technologique structuré et couramment utilisé;
• 16.3 Droit de rectification : Faire corriger tout renseignement inexact, incomplet ou périmé;
• 16.4 Droit à l’effacement et à la désindexation : Demander la suppression d’un renseignement lorsque sa conservation n’est plus justifiée par une obligation légale fiscale (7 ans) ou clinique préhospitalière (5 ans);
• 16.5 Délai de traitement : Le Responsable (RPRP) accuse réception de votre demande et rend une décision motivée par écrit dans un délai maximal de trente (30) jours civils.

17. Incidents de confidentialité

• 17.1 Registre officiel des incidents : Conformément à la Loi 25 et au Règlement sur les incidents de confidentialité, MÉDAXIA Inc. tient un registre permanent de tout accès, utilisation, communication ou perte non autorisés de renseignements personnels.
• 17.2 Notification à la CAI et aux personnes visées : Si un incident présente un risque qu’un préjudice sérieux soit causé, MÉDAXIA Inc. avise avec diligence la Commission d’accès à l’information du Québec (CAI) ainsi que toute personne concernée, et déploie immédiatement des mesures correctives pour empêcher toute récurrence.