Travailler avec des fournisseurs : les ententes dont vous avez besoin

Ce que vous devez faire

1. Sachez de quelle entente vous avez besoin.

   La loi nomme l’entente, et le fournisseur devrait la connaître aussi.

   États-Unis : un business associate agreement avec tout fournisseur qui crée, reçoit, conserve ou transmet des PHI pour vous. HHS, Business Associates (en anglais) Ontario : vos fournisseurs agissent comme vos mandataires au sens de la PHIPA, et vous demeurez responsable. PHIPA En vertu de la LPRPDE, vous demeurez responsable de l’information que vous confiez à un fournisseur pour traitement. Principes de la LPRPDE

2. Limitez la fin.

   Le fournisseur doit utiliser les renseignements de vos patients pour votre travail et rien d’autre.

   L’entente précise ce que le fournisseur peut faire avec l’information, et interdit tout le reste, y compris l’entraînement de l’IA.

3. Exigez des mesures de protection.

   La sécurité du fournisseur devient votre sécurité.

   Chiffrement, contrôles d’accès, connexion, journalisation, et lieu de stockage de l’information. HHS, exemples de clauses de BAA (en anglais)

4. Exigez qu’on vous avise des atteintes.

   Vous ne pouvez pas respecter vos délais si le fournisseur garde la nouvelle pour lui.

   Le fournisseur vous avise avec diligence, avec les faits dont vous avez besoin pour aviser les patients et les autorités.

5. Encadrez les sous-traitants.

   L’information voyage souvent plus loin que le premier fournisseur.

   Chaque sous-traitant qui touche l’information accepte les mêmes conditions.

6. Prévoyez la fin.

   L’information ne doit pas survivre à la relation.

   À la fin, le fournisseur remet ou détruit l’information et le confirme par écrit.

Questions à poser à tout fournisseur

• Signerez-vous notre entente avant que l’information circule?

• Où exactement notre information est-elle stockée et traitée?

• Utiliserez-vous un jour notre information pour entraîner une IA, la vôtre ou celle de quiconque?

• Qui, dans votre entreprise, peut voir les renseignements de nos patients?

• En combien de temps nous aviserez-vous d’une atteinte?

• Quels sous-traitants touchent notre information?

• Qu’advient-il de notre information lorsque nous partons?

Nos réponses se trouvent dans le Centre de confiance et dans notre dossier de sécurité.

Pourquoi c’est important

Les fournisseurs traitent aujourd’hui une grande partie de l’information que détient une clinique. Une bonne entente répond d’avance aux questions que vous poseriez autrement en pleine crise.

Erreurs courantes

• Accepter les conditions standards d’un fournisseur sans lire les sections sur la confidentialité.
• Signer un BAA avec l’éditeur du logiciel et oublier le service de transcription ou de facturation.
• Aucune clause de sortie, de sorte que l’information reste chez un fournisseur que vous n’utilisez plus.

Comment PulseAI vous aide

• Une entente de confidentialité avec chaque clinique avant que des données soient partagées : un BAA pour les cliniques américaines, une entente conforme à la PHIPA ou au droit québécois pour les cliniques canadiennes.
• Nous ne les utilisons que pour faire le travail que votre clinique demande. Nous ne les vendons jamais, ne les partageons jamais et ne les utilisons jamais à d’autres fins.
• Les données des patients ne servent jamais de données d’entraînement, pour aucun modèle, ni les nôtres ni ceux de quiconque.

Voyez comment nous protégeons vos données dans le Centre de confiance.

Questions fréquentes