Protection des données personnelles

1 — Introduction

2 — Définitions

• “Autorité de contrôle” désigne la Commission Nationale de l’Informatique et des Libertés (CNIL) ou toute autre autorité de contrôle compétente ;
  
• “Compte Lifen” désigne un compte permettant à un utilisateur de se connecter à Lifen de manière authentifiée et sécurisée ;
• “DPO” désigne le Délégué à la protection des données à caractère personnel, conformément à l’article 37 du RGPD ;
• “Données à caractère personnel” désigne les informations qui concernent des personnes physiques, identifiées ou identifiables, directement ou indirectement, dont l’Utilisateur est le Responsable du traitement, et qui sont traitées par Lifen pour le compte du Client ;
• “Données de santé à caractère personnel” désigne les Données à caractère personnel, relatives à la santé physique ou mentale d’une personne physique, comprenant notamment les données produites à l’occasion des activités de prévention, de diagnostic, de soin ou de dispensation de médicaments d’un Professionnel de santé et tout élément de nature à caractériser la santé d’une personne physique ;
• “Patient” désigne les personnes concernées par les documents médicaux, les questionnaires médicaux ;
• “Prestataire d’éditique” désigne le prestataire d’éditique, la société Corus, avec laquelle Honestica a conclu un contrat le 23 octobre 2018, ou tout autre prestataire assurant l’impression, la mise sous pli, et l’envoi par voie postale des comptes rendus en version papier.
• “Loi” désigne toutes les lois et réglementations applicables aux traitements des Données à caractère personnel ;
• “Professionnel de santé” désigne tout professionnel de santé exerçant au sein d’une structure libérale ou d’un établissement de santé, enregistré auprès de son ordre professionnel ou de son autorité d’enregistrement ;
• “Responsable du traitement” désigne la personne physique ou morale, qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens des traitements des données à caractère personnel ;
• “Sous-traitant” désigne la personne physique ou morale, qui traite des Données à caractère personnel pour le compte du Responsable du traitement ;
• “Sous-traitant de second rang” désigne un Sous-traitant tiers mandaté par Lifen qui, dans le cadre de la prestation de services pour le compte de Lifen, est autorisé à traiter des Données à caractère personnel ;
• “Traitements” désigne toute opération ou ensemble d’opérations, effectuées ou non à l’aide de procédés automatisés, et appliquées à des Données ou des ensembles de Données à caractère personnel ;
• “Utilisateur” désigne un professionnel de santé (exerçant au sein d’une structure libérale ou d’un établissement de santé, enregistré auprès de son ordre professionnel ou de son autorité d’enregistrement, et les structures, services ou PMSI), une secrétaire médicale, un assistant médico-administratif qui utilise Lifen.
  ‍

3 — Qui traite vos données personnelles ?

• L’Utilisateur, pour les Données personnelles de santé collectées : Nous agissons comme sous-traitant. Cela signifie que Lifen, en sa qualité de sous-traitant, ne traite ces Données personnelles que sur instruction des Utilisateurs. En tant que responsable des traitements, l’Utilisateur effectue les formalités déclaratives de conformité auprès de la CNIL pour utiliser Lifen. Si Lifen n’est pas tenue de faire ces formalités déclaratives, nous avons néanmoins mis en place les mesures de sécurité et de confidentialité propres à garantir la protection de vos Données personnelles.
  
• Lifen, y compris toute société contrôlée par elle aux termes de l’article L.233-1 du Code de commerce, pour les Données Personnelles collectées, soit dans le cadre de la création du Compte Lifen de l’Utilisateur, soit à partir des formulaires de contact, soit lors de votre navigation sur Lifen.fr, soit pour les données personnelles que les patients utilisateurs transmettent via leur compte personnel à un professionnel de santé.

• l’hébergement des Données personnelles traitées est effectué auprès d’hébergeurs certifiés Hébergeurs de Données de Santé par le Ministre de la Santé, la société AWS ;
  
• l’impression, la mise sous pli, et l’envoi par voie postale des communications médicales qui nécessitent un envoi papier est effectué par la société Corus.

4 — À quelles fins vos données sont -elles traitées ?

• permettre l’échange de documents médicaux entre les Utilisateurs ;
  
• permettre l'intégration de documents médicaux dans les DPI des établissements ou dans le DMP des patients
  
• permettre l'automatisation du contrôle des indicateurs qualité des établissements de santé
  
• suivre l'usage et le fonctionnement des services Lifen
  
• une meilleure navigation sur notre site ;

5 — Quelles sont les données traitées ?

• Des données personnelles de contact (nom, prénom, date de naissance, email, numéro de mobile, adresse postale) ;‍
  
• Des données personnelles à caractère sensible (données de santé) que sont par exemple, les comptes rendus médicaux, les questionnaires médicaux, etc ;‍
  
• Des données personnelles de traçabilité et de navigation sur le site (adresse IP, cookies, logs…).
  

6 — Que faisons-nous de vos données ?

• en priorité à ne communiquer les données demandées par l’autorité demandeuse que sur accord du Responsable de traitement ;
  
• à communiquer dans les meilleurs délais au Responsable de traitement tout élément d’information sur la portée des saisies et/ou sur les personnes concernées par les données saisies.
  

• Superviser les Traitements ;
  
• Avoir procédé aux formalités déclaratives auprès de la CNIL nécessaires aux Traitements auxquels il procède via l’utilisation de Lifen.
  

• Procéder aux Traitements qui lui sont confiés, uniquement dans le cadre des finalités faisant l’objet des Traitements ;
  
• Tenir un registre des activités de Traitements ;
  
• Mettre à la disposition du Responsable du traitement, toutes les informations nécessaires pour démontrer le respect des obligations à sa charge ;
  
• Communiquer l’extrait de son registre des activités de Traitements correspondant au traitement relevant de la responsabilité du Responsable du traitement, sur demande écrite de ce dernier ;
  
• Faire respecter le secret professionnel le plus absolu concernant les Données de santé à caractère personnel qui transitent par Lifen aux personnes placées sous sa responsabilité ou aux prestataires susceptibles d’intervenir dans l’exécution. Lifen est tenu, en application du RGPD, d’informer le Responsable de Traitement si une de ses instructions constitue une violation de la Loi.
  

Sous-traitant de second rang

7 — Protection de vos données et durée de conservation

Sécurité

• La pseudonymisation et / ou le chiffrement des connexions et des Données personnelles ;
  
• La capacité de garantir la confidentialité, l’intégrité, la disponibilité et la résilience permanentes des systèmes et services de Traitements ;
  
• La possibilité de rétablir la disponibilité et l’accès aux Données à caractère personnel dans des délais appropriés, en cas d’incident physique ou technique ;
  
• L’hébergement des Données personnelles de santé auprès d’hébergeurs de données de santé certifiés ;
  
• L’authentification forte des Utilisateurs pour accéder aux Données personnelles ;
  
• Les mesures appropriées pour protéger les Données personnelles contre toute perte, utilisation détournée, accès non autorisé, divulgation, altération ou destruction ;
  
• La traçabilité des accès ;
  
• Un processus pour tester, analyser et évaluer régulièrement l’efficacité des mesures techniques et organisationnelles, pour assurer la sécurité des Traitements ;
  

• Toutes les Données à caractère personnel traitées par Lifen sont hébergées, c’est-à-dire stockées de façon durable ou ponctuelle pour les besoins des traitements, auprès d’un hébergeur de données de santé certifié ;
  
• L’ensemble des Données à caractère personnel traitées par Lifen sont sauvegardées sur un système assurant leur redondance et dont l’hébergement est assuré par un hébergeur de données de santé certifié sur les mêmes lieux d’hébergement ;
  
• L’ensemble des connexions au serveur sont chiffrées selon le protocole HTTPS. L’ensemble des Données de santé à caractère personnel sont stockées et chiffrées dans une base de données “données de santé” ;
  
• Conformément aux dispositions de l’article L.1110-4 du Code de la santé publique, au décret n°2007-960 du 15 mai 2007 dit « décret confidentialité » et aux recommandations de l’ANS, notamment le « Référentiel d’authentification des acteurs de santé », Lifen a mis en place un système d’authentification forte des Utilisateurs ;
  
• Les accès aux traces fonctionnelles et aux Données à caractère personnel font l’objet d’une traçabilité et d’une journalisation conformément aux principes de la PGSSI-S. Lifen s’engage, sur demande, à donner accès cette traçabilité au Responsable de traitement ;
  
• Les comptes rendus médicaux transmis par voie postale sont envoyés au Prestataire d’éditique, par un serveur FTP sécurisé avec restriction d’IP ;
  
• Lifen est agréé opérateur de la messagerie MSSanté par l’ANS.
  

Zones géographiques

• la société Amazon Web Services EMEA SARL, société à responsabilité limitée immatriculée au Registre du commerce et des sociétés de Luxembourg sous le numéro de B186284, dont le siège social est situé au 38, avenue John F. Kennedy, L – 1855 Luxembourg, dont les espaces de stockage sont situés à Paris. Dans ce cadre les Données à caractère personnel transitent sur les serveurs du site AWS de Dublin sans y être stockées.
  
  

Durées de conservation

• Détruire les Données à caractère personnel ;
  
• Restituer les Données à caractère personnel au Responsable du traitement ;
  
• Archiver les données à caractère personnel après leur anonymisation.
  

8 — Quels sont vos droits et comment les exercer ?

Droit d’information

• dans la présente Charte dont les Utilisateurs peuvent prendre connaissance à tout moment sur notre Site, lors de la réception d'une notification de réception de document, ou lors de la création d’un Compte Lifen ;
  
• au sein des CGU ;
  

• leur identité en qualité de responsable de traitement ;
  
• la finalité du service de messagerie sécurisée et ses conditions de mise en œuvre y compris en cas d’hébergement des données auprès d’un hébergeur certifié à cet effet ;
  
• les données collectées ;
  
• les destinataires des données ;
  
• la durée de conservation des données ;
  
• les droits dont ils disposent et les modalités d’exercice de ces droits ;
  

• à la collecte et au traitement de Données de santé ;
  
• au partage d’informations le concernant explicitement. La délivrance d’une information, et le recueil du consentement du Patient doivent être effectués par l’Utilisateur, par la communication d’une notice d’information-consentement.
  

Droits d’accès, de rectification et de limitation :

• des précisions sur vos Données personnelles que nous traitons ;
  
• de modifier vos Données personnelles ;
  
• de limiter les traitements de vos Données personnelles.
  

Droit à la portabilité

Droits d’opposition et droit à l’effacement

9 — À qui adresser vos demandes ?

10 — Autres engagements

11 — Modification de la Charte