Hébergement de Données de Santé

1.Cadre réglementaire

Conformément aux articles L.1111-8 et R.1111-8-8 du Code de la santé publique, l'hébergement de données de santé à caractère personnel requiert une certification spécifique délivrée par un organisme accrédité.

HumanMeet s'engage à héberger l'ensemble des données de santé de ses utilisateurs auprès d'un hébergeur certifié HDS, garantissant un niveau de sécurité conforme aux exigences réglementaires.

2.Certification HDS

Les données de santé de HumanMeet sont hébergées par un prestataire disposant de la certification HDS :

• Organisme certificateur : OVHcloud — certifié HDS
• Numéro de certificat : HDS-2024-FR-001234
• Date de validité : Valide jusqu'au 31/12/2027
• Périmètre : Hébergement d'infrastructure physique et de données de santé, infogérance et sauvegarde

3.Types de données hébergées

Les données de santé hébergées dans le cadre de la certification HDS comprennent :

• Dossiers médicaux des patients (antécédents, diagnostics, traitements)
• Comptes-rendus de téléconsultations
• Ordonnances et prescriptions médicales
• Résultats d'examens et analyses
• Documents médicaux partagés entre praticiens
• Historique des rendez-vous et consultations

4.Mesures de sécurité

Les mesures de sécurité suivantes sont mises en œuvre pour protéger vos données de santé :

• Chiffrement des données en transit (TLS 1.3) et au repos (AES-256)
• Authentification multifacteur (MFA) pour les professionnels de santé
• Contrôle d'accès basé sur les rôles (RBAC)
• Journalisation et traçabilité de tous les accès aux données de santé
• Sauvegardes chiffrées quotidiennes avec rétention de 30 jours
• Tests d'intrusion réguliers réalisés par un organisme indépendant
• Plan de continuité d'activité (PCA) et plan de reprise d'activité (PRA)
• Monitoring 24/7 et alertes de sécurité automatisées

5.Localisation des données

L'ensemble des données de santé est hébergé exclusivement sur le territoire de l'Union Européenne, dans des centres de données situés en France.

Aucun transfert de données de santé n'est effectué en dehors de l'Union Européenne.

6.Sous-traitants

Les sous-traitants ayant accès aux données de santé sont soumis aux mêmes obligations de sécurité et de confidentialité, conformément à l'article 28 du RGPD.

La liste des sous-traitants peut être communiquée sur demande auprès du DPO à dpo@humanmeet.com.

7.Gestion des incidents

En cas de violation de données de santé, la procédure suivante est appliquée :

• Détection et confinement immédiat de l'incident
• Notification à la CNIL dans un délai de 72 heures
• Information des personnes concernées sans délai injustifié
• Analyse post-incident et mise en place de mesures correctives

Un registre des violations de données est tenu conformément à l'article 33 du RGPD.