Sécurité des données de santé : HDS et RGPD

Les professionnels qui utilisent Deneo nous confient les données de leurs patients et bénéficiaires : des données de santé, parmi les plus sensibles qui soient. Leur protection guide la conception, le développement et l’exploitation de la plateforme.

Cette page présente les garanties de Deneo et nos engagements au titre du règlement général sur la protection des données (RGPD).

Le règlement général sur la protection des données (RGPD), entré en vigueur le 25 mai 2018, crée des obligations pour les entreprises qui traitent des données personnelles et renforce les droits des personnes concernées, notamment le droit à l’effacement (« droit à l’oubli ») et le droit à la portabilité des données.

deneo SAS s’engage à respecter la loi Informatique et Libertés du 6 janvier 1978 et le RGPD (règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016). La gouvernance des données et la conformité sont des sujets que nous prenons au sérieux : ils animent chaque jour nos processus de conception et de développement.

Qui est responsable de quoi ?

• Données que les professionnels et structures enregistrent sur leurs patients : le professionnel ou la structure cliente est responsable du traitement. deneo SAS agit pour son compte, en qualité de sous-traitant au sens de l’article 28 du RGPD.
• Comptes utilisateurs, données que le patient gère dans son espace personnel, partage anonymisé pour la recherche, relation commerciale et site deneo.fr : deneo SAS est responsable du traitement.

Nos engagements de sous-traitant

Pour les données qu’elle traite pour le compte de ses clients, deneo SAS s’engage à :

• Traiter les données uniquement aux fins d’exécution du contrat conclu avec le client et selon ses instructions documentées. Si une instruction lui paraît contraire au RGPD ou à toute autre disposition du droit de l’Union ou des États membres relative à la protection des données, deneo SAS en informe immédiatement le client et ne la met pas en œuvre. Si deneo SAS est tenue, en vertu du droit de l’Union ou de l’État membre auquel elle est soumise, de transférer des données vers un pays tiers ou une organisation internationale, elle en informe le client avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d’intérêt public.
• Garantir la confidentialité des données : les personnes autorisées à les traiter s’engagent à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité, et reçoivent la formation nécessaire en matière de protection des données.
• Protéger les données dès la conception et par défaut dans ses outils, produits, applications et services.
• Mettre en œuvre des mesures de sécurité techniques et organisationnelles garantissant un niveau de sécurité adapté au risque, notamment :
  • la pseudonymisation et le chiffrement des données à caractère personnel ;
  • des moyens garantissant la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement.
• Notifier toute violation de données au client dans les 48 heures suivant sa découverte, avec les informations utiles à ses propres déclarations auprès de la CNIL et des patients concernés.
• Aider le client à répondre aux demandes d’exercice de droits de ses patients, qu’elle lui transmet dans les meilleurs délais, et à mener ses analyses d’impact.
• Encadrer ses propres sous-traitants : ils présentent des garanties suffisantes, et tout ajout ou remplacement est annoncé par écrit au client, qui dispose de 15 jours pour s’y opposer.
• Tenir un registre des traitements opérés pour le compte de ses clients.
• Supprimer les données à la fin du contrat, ou plus tôt à la demande du client. Les patients qui conservent un accès à Deneo gardent toutefois leurs données pour continuer à suivre leur histoire médicale.
• Rendre des comptes : fournir au client les informations nécessaires pour démontrer le respect de ces obligations et permettre la réalisation d’audits.

Le détail de ces engagements figure dans nos conditions générales de services (nouvel onglet), nos conditions générales d’utilisation (nouvel onglet) et notre politique d’utilisation des données personnelles (nouvel onglet).