EN

Protection des données personnelles

1- Introduction

Honestica est la société éditrice du service Lifen COVID-19 et sera désignée par la suite « Lifen COVID-19 » pour les besoins des présentes. Lifen COVID-19 accorde une grande importance à la protection de votre vie privée et de vos données personnelles. C’est un élément fondateur de notre démarche. Cette charte de protection des données personnelles (ci-après la « Charte »), a donc pour objet de vous présenter plus en détail notre approche face à vos données personnelles, de vous expliquer les cas dans lesquels nous les collectons, les raisons justifiant cette collecte et ce que nous en faisons. Elle présente aussi les mesures de sécurité que nous appliquons pour protéger leur confidentialité, rappelle vos droits sur vos données personnelles, et les moyens pour les exercer. De manière générale, votre attention est attirée sur le fait que les données collectées via Lifen COVID-19 sont des données sensibles et confidentielles qui nécessitent une vigilance particulière.

Ces données désignent les informations qui concernent des personnes physiques, identifiées ou identifiables, directement ou indirectement, y compris les données relatives à la santé physique ou mentale (ci-après les « Données personnelles »). Notre Charte s’applique dans le respect des dispositions relatives à la protection des Données personnelles, et notamment, le Règlement européen 2016/679 du 27 avril 2016, et la loi Informatique et Liberté de 1978 modifiée, ainsi que les dispositions du Code de la santé publique (CSP), (ci-après la « Loi »). Cette Charte a vocation à s’appliquer aux utilisateurs de Lifen COVID-19.


2- Définitions

Pour les besoins des présentes, les termes et expressions définis ci-après, ont la signification suivante :

  • Autorité de contrôle” désigne la Commission Nationale de l’Informatique et des Libertés (CNIL) ou toute autre autorité de contrôle compétente ;
  • Compte” désigne un compte permettant à un utilisateur de se connecter à Lifen COVID-19 de manière authentifiée et sécurisée ;
  • DPO” désigne le Délégué à la protection des données à caractère personnel, conformément à l’article 37 du RGPD;
  • Données à caractère personnel” désigne les informations qui concernent des personnes physiques, identifiées ou identifiables, directement ou indirectement, dont l’Utilisateur est le Responsable du traitement, et qui sont traitées par Lifen COVID-19 pour le compte du Client ;
  • Données de santé à caractère personnel” désigne les Données à caractèrepersonnel, relatives à la santé physique ou mentale d’une personne physique, comprenant notamment les données produites à l’occasion des activités de prévention, de diagnostic, de soin ou de dispensation de médicaments d’un Professionnel de santé et tout élément de nature à caractériser la santé d’une personne physique ;
  • Professionnel de santé” désigne tout professionnel de santé exerçant au sein d’une structure libérale ou d’un établissement de santé, enregistré auprès de son ordre professionnel ou de son autorité d’enregistrement ;
  • Responsable du traitement” désigne la personne physique ou morale, qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens des traitements des données à caractère personnel ;
  • Sous-traitant” désigne la personne physique ou morale, qui traite des Données à caractère personnel pour le compte du Responsable du traitement ;
  • Sous-traitant de second rang” désigne un Sous-traitant tiers mandaté par Lifen COVID-19 qui, dans le cadre de la prestation de services pour le compte de Lifen COVID-19, est autorisé à traiter des Données à caractère personnel ;
  • Traitements” désigne toute opération ou ensemble d’opérations, effectuées ou non à l’aide de procédés automatisés, et appliquées à des Données ou des ensembles de Données à caractère personnel ;
  • Utilisateur” désigne un professionnel de santé (exerçant au sein d’une structure libérale ou d’un établissement de santé, enregistré auprès de son ordre professionnel ou de son autorité d’enregistrement, et les structures, services ou PMSI), une secrétaire médicale, un assistant médico-administratif qui utilise Lifen COVID-19

3- Qui traite vos données personnelles ?

Le responsable de la collecte et du traitement de vos Données personnelles est :

  • L’Utilisateur, pour les Données personnelles de santé collectées : Nous agissons comme sous-traitant. Cela signifie que Lifen, en sa qualité de sous-traitant, ne traite ces Données personnelles que sur instruction des Utilisateurs. En tant que responsable des traitements, l’Utilisateur effectue les formalités déclaratives de conformité auprès de la CNIL pour utiliser Lifen COVID-19. Si Lifen n’est pas tenue de faire ces formalités déclaratives, nous avons néanmoins mis en place les mesures de sécurité et de confidentialité propres à garantir la protection de vos Données personnelles.
  • Honestica, y compris toute société contrôlée par elle aux termes de l’article L.233-1 du Code de commerce, pour les Données Personnelles collectées, dans le cadre de la création du Compte de l’Utilisateur

Nous sous-traitons certaines de nos activités pour la réalisation de nos services. Ainsi, l’hébergement des Données personnelles traitées est effectué auprès d’hébergeurs certifiés Hébergeurs de Données de Santé par le Ministre de la Santé, les sociétés OVH ou AWS ;

Nous nous engageons à ce que nos sous-traitants garantissent le même niveau de sécurité que le nôtre. L’Utilisateur et Honestica (ci-après les « Parties ») s’engagent à respecter la Loi applicable aux Traitements de Données à caractère personnel. Les Parties s’engagent à se conformer à la Politique Générale de Sécurité des Systèmes d’Information de Santé émise par l’ASIP Santé (ci-après la "PGSSI-S").

4- À quelles fins vos données sont -elles traitées ?

Lifen COVID-19 traite vos Données personnelles uniquement pour permettre la Gestion d'une application permettant le suivi pluri-quotidien par les professionnels de santé de patients présentant une exposition au COVID-19.

Sauf avis contraire expressément donné par l’Utilisateur, Lifen COVID-19 n’utilise pas vos Données personnelles à des fins de démarchage commercial ou marketing, de publication de statistiques

5- Quelles sont les données traitées ?

Données collectées à l’occasion du suivi par les professionnels de santé:

Pour les professionnels de santé :

  • nom, prénom ;
  • adresse postale et de messagerie électronique ;
  • adresse IP

Pour les patients pris en charge :

  • nom, prénom ;
  • date de naissance ;
  • adresse email ;
  • numéro de mobile ;
  • données de santé (réponses au questionnaires envoyés par les patients)

6- Que faisons-nous de vos données

Les Données personnelles de santé sont strictement destinées aux Utilisateurs concernés par cette application (Professionnels de santé, patients). Lifen COVID-19 garantit qu’elles ne seront transmises à aucun tiers non autorisé, sous réserve des sous-traitants éventuels de Lifen COVID-19, tel que l’hébergeur de données de santé certifié.

Nous ne procédons à aucun transfert de Données personnelles vers les pays qui ne sont membres, ni de l’Union Européenne ni de l’Espace Économique Européen. Lifen COVID-19 pourrait cependant être amenée à communiquer à des tiers les Données personnelles qu’elle traite lorsqu’une telle communication est requise par la loi, une disposition réglementaire ou une décision judiciaire, ou si cette communication est nécessaire pour assurer la protection et la défense de ses droits.

Concernant les Données de santé à caractère personnel, Lifen COVID-19 s’engage, lorsque le cadre légal le permet :

  • en priorité à ne communiquer les données demandées par l’autorité demandeuse que sur accord du Responsable de traitement, ou,
  • à communiquer dans les meilleurs délais au Responsable de traitement tout élément d’information sur la portée des saisies et/ou sur les personnes concernées par les données saisies.

L’Utilisateur, en tant que Responsable de Traitement de Données de santé à caractère personnel, est responsable de :

  • Superviser les Traitements ;
  • Avoir procédé aux formalités déclaratives auprès de la CNIL nécessaires aux Traitements auxquels il procède via l’utilisation de Lifen COVID-19.

Lifen, en tant que Sous-traitant, s’engage à :

  • Procéder aux Traitements qui lui sont confiés, uniquement dans le cadre des finalités faisant l’objet des Traitements ;
  • Tenir un registre des activités de Traitements ;
  • Mettre à la disposition du Responsable du traitement, toutes les informations nécessaires pour démontrer le respect des obligations à sa charge ;
  • Communiquer l’extrait de son registre des activités de Traitements correspondant au traitement relevant de la responsabilité du Responsable du traitement, sur demande écrite de ce dernier ;
  • Faire respecter le secret professionnel le plus absolu concernant les Données de santé à caractère personnel qui transitent par Lifen COVID-19 aux personnes placées sous sa responsabilité ou aux prestataires susceptibles d’intervenir dans l’exécution. Lifen COVID-19 est tenu, en application du RGPD, d’informer le Responsable de Traitement si une de ses instructions constitue une violation de la Loi.

Sous-traitant de second rang

Conformément à l’article 28 du RGPD, le Responsable du traitement autorise de manière générale Lifen COVID-19 à avoir recours à des sous-traitants (ci-après “Sous-traitant de second rang”), pour mener des activités de traitement spécifiques.

Lifen COVID-19 s’assure que le Sous-traitant de second rang présente les mêmes garanties quant à la mise en oeuvre des Mesures de sécurité pour les missions qui lui ont été confiées. Lifen COVID-19 s’engage à conclure un contrat avec le Sous-traitant de second rang aux termes duquel son accès aux données du Responsable du traitement sera strictement limité à l’objet du contrat conclu avec Lifen COVID-19.

Les Sous-traitants de second rang avec lesquels Lifen COVID-19 a conclu un contrat en cours à la date de signature du Contrat sont OVH (hébergeur certifié), AWS (hébergeur certifié), Corus (éditique), MS Santé (messagerie sécurisée de santé) et Apicem (messagerie sécurisée de santé).

Le Responsable du traitement a le droit de s’opposer au recours à un Sous-traitant de second rang à compter de la date de réception de cette information.

7- Protection de vos données et durée de conservation

Sécurité :

Nous mettons en œuvre toutes les mesures de sécurité requises pour protéger vos Données personnelles. Pour garantir la sécurité de vos Données personnelles, Lifen a mis en place les procédures et processus suivants :

  • La pseudonymisation et / ou le chiffrement des connexions et des Données personnelles ;
  • La capacité de garantir la confidentialité, l’intégrité, la disponibilité et la résilience permanentes des systèmes et services de Traitements ;
  • La possibilité de rétablir la disponibilité et l’accès aux Données à caractère personnel dans des délais appropriés, en cas d’incident physique ou technique ;
  • L’hébergement des Données personnelles de santé auprès d’hébergeurs de données de santé certifiés ;
  • Les mesures appropriées pour protéger les Données personnelles contre toute perte, utilisation détournée, accès non autorisé, divulgation, altération ou destruction ;
  • La traçabilité des accès et,
  • Un processus pour tester, analyser et évaluer régulièrement l’efficacité des mesures techniques et organisationnelles, pour assurer la sécurité des Traitements ;

Les Parties s’engagent à prendre les mesures appropriées afin de garantir que tout salarié, partenaire, sous-traitant et toute personne physique agissant sous l’autorité du Responsable du traitement ou sous celle de Lifen, est dûment habilité à accéder aux Données à caractère personnel.

Les professionnels de santé qui utilisent Lifen COVID-19 sont soumis au secret professionnel par la Loi. Ainsi, chaque Utilisateur est invité à mettre en œuvre, sous sa responsabilité, l’ensemble des mesures de sécurité utiles et pertinentes pour les besoins de la protection des accès à son ordinateur ou son équipement portable ou mobile, et à l’ensemble des Données personnelles accessibles sur Lifen COVID-19, en particulier vis- à-vis des tiers.

Afin de garantir la confidentialité, l’intégrité et la sécurité des Données à caractère personnel, Lifen reconnaît avoir mis en œuvre les Mesures de sécurité ci-dessous, destinées à protéger les Données à caractère personnel :

  • Toutes les Données à caractère personnel traitées par Lifen sont hébergées, c’est-à-dire stockées de façon durable ou ponctuelle pour les besoins des traitements, auprès d’un hébergeur de données de santé certifié par le Ministre de la Santé ;
  • L’ensemble des Données à caractère personnel traitées par Lifen sont sauvegardées sur un système assurant leur redondance et dont l’hébergement est assuré par un hébergeur de données de santé certifié par le Ministre de la Santé sur les mêmes lieux d’hébergement ;
  • L’ensemble des connexions au serveur sont chiffrées selon le protocole HTTPS. L’ensemble des Données de santé à caractère personnel sont stockées et chiffrées dans une base de données “données de santé” ;
  • Les accès aux traces fonctionnelles et aux Données à caractère personnel font l’objet d’une traçabilité et d’une journalisation conformément aux principes de la PGSSI-S. Lifen s’engage, sur demande, à donner accès cette traçabilité au Responsable de traitement ;
  • Lifen est certifié Hébergeur de données de santé.

Zones géographiques :

Lifen héberge les données à caractère personnel chez des hébergeurs, qui peuvent être indifféremment ;

  • la société OVH, société par actions simplifiée immatriculée au Registre du commerce et des sociétés de Lille sous le numéro de 424 761 419, dont le siège social est situé au 2 rue Kellermann, 59100 Roubaix dont les espaces destockage sont situés dans la ville de Roubaix, ou
  • la société Amazon Web Services EMEA SARL, société à responsabilité limitée immatriculée au Registre du commerce et des sociétés de Luxembourg sous le numéro de B186284, dont le siège social est situé au 38, avenue John F. Kennedy, L – 1855 Luxembourg, dont les espaces de stockage sont situés à Paris. Dans ce cadre les Données à caractère personnel transitent sur les serveurs du site AWS de Dublin sans y être stockées.
  • Si Lifen vient à contracter avec un nouvel hébergeur hors France, il s’engage à donner le choix au Responsable de Traitement quant au pays d’hébergement de ses Données à caractère personnel.

Durées de conservation.

Données de santé :

Lifen s’engage à conserver les Données à caractère personnel collectées pendant une durée de conservation limitée. Lifen n’est en revanche pas garant des obligations incombant au Responsable de Traitement en matière de durée de conservation des Données à caractère personnel.

Les délais de conservation des données sont limitées au temps nécessaire au suivi, à l’accompagnement des patients pour le traitement de leur pathologie.

À l’issue des délais de conservation, Lifen s’engage, au choix du Responsable du traitement, à :

  • Détruire les Données à caractère personnel, ou
  • Restituer les Données à caractère personnel au Responsable du traitement, ou
  • Archiver les données à caractère personnel après leur anonymisation.

Données de navigation :

Les logs de connexion, cookies et autres traceurs mis en place sur notre Site, seront conservés conformément à la réglementation applicable pour une durée de 13 mois. Pour plus de détails, voir la rubrique cookies ci-dessus.

8- Quels sont vos droits et comment les exercer ?

Conformément à la Loi, vous disposez d’un droit d’accès, de rectification, de limitation, d’opposition, d’effacement et de portabilité sur vos Données personnelles, que vous pourrez exercer pour motifs légitimes, et sous réserve des motifs légitimes impérieux dont pourrait justifier Lifen pour conserver vos Données personnelles. Ces droits peuvent être exercés à tout moment en remplissant ce formulaire (PDF – ODT) et en le retournant :

  • par courrier électronique à l’adresse dpo@lifen.fr ;
  • par courrier postal, à l’adresse : Honestica SAS, 17, rue du Faubourg du Temple, 75010 Paris ;
  • ou directement auprès des hébergeurs de données de santé, les sociétés ‘OVH’, au 2 rue Kellermann, 59100 Roubaix et ‘AWS’ au 38, avenue John F. Kennedy, L – 1855 Luxembourg.

En cas de demande, Lifen s’engage à informer, dans les meilleurs délais, le Responsable du traitement et à lui fournir les informations nécessaires pour la transmission des données à son patient. Le Responsable de traitement reconnaît, de manière générale, être exclusivement responsable de l’information préalable et du recueil du consentement des patients dans le respect des dispositions du RGPD.

L’Utilisateur, en tant que Responsable de Traitement, doit désigner une personne dans son organisation (le « Contact Client ») qui sera en mesure de désigner à Lifen un professionnel de santé lorsque cela s’avèrera nécessaire, par exemple pour tout problème nécessitant l’accès aux données de santé ou relatif à la gestion des relations avec le patient. Le Responsable de Traitement doit s’assurer de communiquer à Lifen, par le biais de son DPO, un nouveau Contact Client lorsque cela s’avèrera nécessaire, notamment en cas de départ de celui-ci.

Droit d’information

Nous vous informons de la collecte et du traitement de vos Données personnelles et des droits dont vous disposez à ce titre :

  • dans la présente Charte dont les Utilisateurs peuvent prendre connaissance à tout moment sur notre Site ou lors de la création d’un Compte Lifen COVID-19 ;
  • au sein des CGU (lien hypertexte) ;
  • lors de la création d’un Compte Lifen COVID-19.

Nous informons nos Utilisateurs faisant partie d’une même équipe de soins, qu’il leur appartient de délivrer aux patients qu’ils prennent en charge (ci-après les « Patients »), préalablement au partage de leurs données de santé, les informations suivantes :

  • leur identité en qualité de responsable de traitement ;
  • la finalité du service de suivi médical et ses conditions de mise en œuvre y compris en cas d’hébergement des données auprès d’un hébergeur certifié à cet effet ;
  • les données collectées ;
  • les destinataires des données ;
  • la durée de conservation des données ;
  • les droits dont ils disposent et les modalités d’exercice de ces droits ;

Droits d’accès, de rectification et de limitation :

Vous pouvez nous demander à tout moment :

  • des précisions sur vos Données personnelles que nous traitons ;
  • de modifier vos Données personnelles ;
  • de limiter les traitements de vos Données personnelles.

Droit à la portabilité :

Vous avez le droit de récupérer les Données personnelles que vous nous avez fournies. Lifen s’engage à vous fournir vos Données personnelles dans un format structuré, couramment utilisé et lisible.

Droits d’opposition et à l’effacement :

Vous pouvez vous opposer au traitement ou demander l’effacement de vos Données personnelles, c’est-à-dire leur suppression par Lifen

9- À qui adresser vos demandes ?

Nous avons désigné un Délégué à la Protection des Données personnelles (ci-après le “DPO”) auprès de la CNIL, pour témoigner de notre engagement en faveur du respect de votre vie privée et de vos droits sur vos Données personnelles. Pour toute question en lien avec le traitement des Données personnelles par Lifen COVID-19, vous pouvez contacter notre DPO aux coordonnées suivantes : dpo@lifen.fr 17, rue du Faubourg du Temple, 75010 Paris.

10- Autres engagements

Analyse d’impact relative à la protection des Données à caractère personnel

Conformément à l’article 35 du RGPD, le Responsable du traitement s’engage à réaliser une analyse d’impact pour s’assurer de la conformité des Traitements à la Loi, lorsqu’ils sont susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes concernées par les Traitements.

Dans l’hypothèse où Lifen aurait connaissance d’un risque élevé pour les droits et libertés des personnes concernées par les Traitements, nous nous engageons à informer, dans les meilleurs délais, le Responsable du traitement d’un tel risque, et à lui apporter son aide pour la réalisation de l’analyse d’impact, ainsi que pour la réalisation de la consultation préalable de l’autorité de contrôle.

Certification

Nous nous engageons à fournir sur demande du Responsable de Traitement les preuves de nos certifications, et à l’informer de tout changement de bureau de certification dans un délai de 30 jours. Par ailleurs nous nous engageons à fournir sur demande du Responsable de Traitement le dernier rapport d’audit relatif à nos certifications.

Notification des violations de Données à caractère personnel

Conformément à l’article 33 du RGPD, le Responsable du traitement s’engage à notifier à l’autorité de contrôle, dans un délai maximum de soixante-douze (72) heures à compter de sa prise de connaissance, toute violation de Données à caractère personnel.

Lifen s’engage à informer le Responsable du traitement, dans les meilleurs délais après en avoir pris connaissance, de toute violation de Données à caractère personnel, portant sur les Traitements relevant de la responsabilité du Responsable de traitement, et à prendre les mesures appropriées pour limiter le risque et protéger les Données à caractère personnel.

La notification sera adressée par Lifen au Responsable du traitement par courriel, et contiendra, autant que possible, tout élément d’information utile au Responsable du traitement afin de lui permettre de notifier, si nécessaire, la violation à l’autorité de contrôle. La notification adressée au Responsable du traitement par Lifen, ne constitue pas une reconnaissance de faute ou de responsabilité de ce dernier.

Audit

Le Responsable du traitement se réserve la possibilité de réaliser des audits pour vérifier la conformité de Lifen COVID-19 aux dispositions de la Charte. Après en avoir informé Lifen par écrit, y compris par courriel à l’adresse dpo@lifen.fr, en respectant un préavis de vingt (20) jours, le Responsable du traitement peut faire réaliser, à ses frais, un audit du respect de l’ensemble des dispositifs de sécurité mis en œuvre pour assurer la sécurité des Données à caractère personnel. Un tel audit peut avoir lieu à tout moment, dans la limite d’un audit par année civile.

L’audit devra être réalisé par un expert indépendant et reconnu, dont le choix devra être validé par Lifen au minimum cinq (5) jours avant le début de l’audit. Un tel audit fera l’objet d’une convention tripartite dont les principales clauses seront conformes au référentiel d’exigences PASSI publié par l’ANSSI.

En tout état de cause, les opérations d’audit ne devront pas perturber le fonctionnement du service mis en œuvre par Lifen au-delà des contraintes inhérentes à un audit. L’audit ne pourra pas porter sur des informations non spécifiques au Responsable du Traitement, ceci afin de préserver la confidentialité des informations propres aux autres clients de Lifen COVID-19 ou des informations dont la divulgation serait susceptible de porter atteinte à la sécurité des autres clients et d’autres données à caractère personnel les concernant.

Lifen s’engage à fournir à l’Utilisateur les résultats d’un audit externe indépendant sur les dispositifs opérationnels mutualisés (dispositifs de sécurité que nous avons mis en place pour l’ensemble de nos clients).

Lifen s’engage à collaborer de bonne foi avec l’auditeur et à faciliter son audit, en lui apportant toutes les informations nécessaires et en répondant à toutes ses demandes relatives à l’audit. Un exemplaire du rapport d’audit rédigé par l’auditeur sera remis à chaque partie.

Si les conclusions de l’audit contiennent des recommandations, leurs conditions de mise en œuvre seront étudiées contradictoirement dans les meilleurs délais entre le Responsable de traitement et Lifen.

L’auditeur, personne physique désignée, sera dûment mandaté par écrit par le contractant, et sera soumis à la plus stricte confidentialité et au secret des affaires.

11- Modification de la Charte

Lifen COVID-19 se donne la possibilité de modifier sa Charte à tout moment, et procèdera à la publication de la version modifiée sur son Site.

Dernière mise à jour : 20 mars 2020