NORME HÉBERGEMENT DE DONNÉES DE SANTÉ

Annexe 2 CGA – HDS Spécifique   Date : 08/10/2024

ARTICLE 1. DOMAINE D’APPLICATION DU SMSI EN LIEN AVEC LA PROTECTION DES DONNÉES DE SANTÉ

Elionis détermine le domaine d’application du SMSI en tenant compte de l’objectif de protection des données de santé à caractère personnel en plus des enjeux et exigences déjà considérés. Le domaine d’application couvre l’ensemble des activités d’hébergement de données de santé à caractère personnel.

ARTICLE 2. DÉCLARATION D’APPLICABILITÉ DU SMSI

La déclaration d’applicabilité (DDA) du SMSI d’Elionis inclut l’ensemble des exigences du référentiel de certification HDS. Toute exclusion d’exigences, du périmètre de certification, sera formellement justifiée et la justification est soumise à l’approbation de l’organisme de certification.

ARTICLE 3. EXTERNALISATION DE DONNES DE SANTE

En cas d’externalisation des sauvegardes de données de santé, quel qu’en soit le support, Elionis garantit la sécurité.

ARTICLE 4. AUDITS DES SI

Le Client peut au cours de l’exécution du Contrat, dans la limite d’une fois par année contractuelle et pour justes motifs, faire procéder à ses frais et sous sa responsabilité à un audit dont le seul objet est de vérifier la conformité des Services fournis en exécution du Contrat.

ARTICLE 5. PLANIFICATION DE NOUVEAUX SERVICES OU DE SERVICES MODIFIES

Dans le cadre de la planification et du déploiement de nouveaux services, Elionis prend en compte l’importance de garantir la qualité, la fiabilité et la satisfaction du client. Conformément au chapitre 5.2 de la norme NF ISO 20000-1, Elionis s’engage à intégrer les exigences relatives au rôle de la direction dans le système de management des services informatiques (SMSI).

Les services nouveaux ou modifiés sont conçus et documentés de manière à inclure les activités qui doivent être effectuées par le fournisseur de services, le client et les autres parties pour la fourniture de services nouveaux ou modifiés.

Elionis définit des critères d’acceptation pour tout nouveau service ou pour toute modification de service et réaliser des tests d’acception avant leur mise en production.

ARTICLE 6. CONTINUITÉ ET DISPONIBILITÉ DES SERVICES

Elionis évalue et documente les risques pour la continuité et la disponibilité des services. Elionis crée, met en œuvre et maintient des plans de continuité et de disponibilité, incluant des procédures en cas de perte majeure de services, des objectifs de disponibilité, et des méthodes de récupération des données. La disponibilité est surveillée et enregistrée, avec des enquêtes sur les interruptions non planifiées.

ARTICLE 7. GESTION DES CAPACITES

Elionis surveille l’utilisation de la capacité, analyse les données correspondantes et ajuste les performances en conséquence. Elionis fournit une capacité adéquate pour répondre aux exigences approuvées de capacité et de performances.

ARTICLE 8. EXERCICE DES DROITS DES PERSONNES CONCERNÉES

Elionis met à disposition les procédures et moyens pour permettre à ses clients de répondre aux demandes d’exercice des droits des personnes concernées. Les droits couverts sont ceux définis par les articles 15 à 22 du règlement (UE) 2016/679 du parlement européen et du conseil du 27 avril 2016.

ARTICLE 9. FINALITÉ

Elionis traite les données à caractère personnel uniquement sur instruction documentée du client et ne déroge pas aux finalités précisées dans les instructions. Ces instructions sont documentées dans le cadre du contrat passé avec le client.

Elionis n’utilise pas les données de santé qu’elle héberge à d’autres fins que l’exécution de la prestation d’hébergement.

ARTICLE 10. COMMUNICATION DES DONNÉES

Elionis définit une période de rétention des données temporaires et respecte ce délai. Elionis documente et met en place les moyens permettant de s’assurer que les données temporaires sont effacées à expiration de ce délai.

Les saisies judiciaires incluant des données à caractère personnel sont encadrées avec une procédure définit les modalités de notification du client d’une telle transmission.

Elionis assure la journalisation de la transmission des données à caractère personnel à des tiers (autorisés par le client) avec, au minimum, les informations suivantes : la liste des données transmises, le ou les destinataires et les dates de communication.

Les données à caractère personnel transitant par un réseau de communication font l’objet de contrôles permettant de s’assurer que ces données sont bien reçues par le système cible.

ARTICLE 11. SOUS-TRAITANCE

Les clauses contractuelles entre Elionis et son client précisent le recours éventuel à un sous-traitant dans le cadre du traitement des données à caractère personnel. Ainsi, Elionis n’appelle pas à un sous-traitant sans l’information préalable du client.

ARTICLE 12. NOTIFICATION EN CAS D’ATTEINTE A LA SÉCURITÉ DES DONNÉES

Elionis notifie son client de toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.

ARTICLE 13. PÉRIODE DE CONSERVATION DES POLITIQUES DE SÉCURITÉ

Les durées de rétention des différentes versions du corpus documentaire sécurité sont définies et formalisées.

ARTICLE 14. RESTITUTION, SUPPRESSION, RÉVERSIBILITÉ DES DONNÉES PERSONNELLES

elionis s’engage au terme du présent contrat, en cas de cessation des relations entre le Client et lui-même, qui surviendrait pour quelque cause que ce soit, à restituer ou détruire les Données Personnelles du Client et toute copie existante et conformément aux conditions sur lesquelles les Parties se seront préalablement mises d’accord, notamment en ce qui concerne le format et le support de restitution des Données, sous réserve du respect de la législation contraire applicable.

Dans le cas où elionis serait tenu de conserver les Données Personnelles du Client conformément à la législation applicable, il informera le Client par écrit de l’existence d’une telle obligation.

En cas de destruction des Données Personnelles du Client, elionis enverra un courriel au Client, dans lequel il déclarera avoir détruit l’ensemble des Données Personnelles du Client ainsi que toute copie.

Le Client dispose d’un délai de 60 jours, après la résiliation du présent contrat, pour demander la restitution, la suppression de ses données à caractère personnel. Passé ce délai, les données personnelles du client seront automatiquement supprimées. Aucune copie ne sera disponible.

A la fin du présent contrat, ce pour quelque cause que ce soit, le Client est en droit de demander à elionis la communication de l’ensemble des informations nécessaires à la réversibilité pour qu’il puisse, à la fin du contrat, reprendre par lui-même et pour son propre compte, ou faire reprendre par un tiers, la maintenance des services fournis dans le cadre du contrat.

Ce droit s’exerce pendant la période de préavis de 60 jours précédant la fin du contrat ou, en cas de résiliation, pendant le délai nécessaire à la réalisation de la réversibilité, ce au plus tard à l’expiration d’un délai de 60 jours à compter de la date du prononcé de la résiliation.

Afin de mener à bien le procédé de réversibilité, elionis et le Client devront :

• Élaborer un état des documents et éléments à restituer (éléments, manuels et documentations associées au système, codes sources, bases de données, exécutables, sauvegardes, liste des profils des personnels affectés à la prestation)
• Décrire la procédure de restitution de ces éléments
• Préciser les dispositions permettant la continuité de services durant la réversibilité
• Définir un classement éventuel des éléments par ordre de priorité de transfert
• Établir le planning de transfert de compétences et de restitution des éléments
• Valider ce planning avec la maîtrise d’ouvrage

Le plan de réversibilité devra être formalisé et actualisé par elionis au fur et à mesure de la prestation, et portera notamment sur les éléments suivants :

• Ensemble des habilitations (techniques et applicatives) ;
• Ensemble des fichiers sources et de configuration des services ;
• Documentations fonctionnelles et techniques complètes.

Les frais engagés par elionis et la charge d’assistance apportée par le personnel de ce dernier et/ou de ses sous-traitants au titre de la mise en œuvre de la réversibilité, ne seront pas facturés au Client en cas de résiliation du contrat pour faute ou manquement avérés du Fournisseur.

Ces frais seront partagés par moitié en cas de survenance du terme du contrat ou d’un cas de force majeure.

Ces frais seront à la charge exclusive du Client pour toute autre cause d’interruption du présent contrat.

ARTICLE 15. CONFIDENTIALITÉ

Pour les besoins des CGA, les termes « Information(s) Confidentielle(s) » recouvrent toutes informations ou tous documents divulgués par chacune des Parties à l’autre Partie, par écrit ou oralement, et incluant sans limitation tous documents écrits ou imprimés, tous secret des affaires, savoir-faire, document d’informations et plus généralement toute information délivrée par une Partie à l’égard de l’autre Partie. Toutefois, les termes « Information(s) Confidentielle(s) » ne recouvrent pas les informations :

• Qui sont, ou seront à l’époque où elles seraient révélées, disponibles et connues du public autrement que du fait d’une divulgation faite en violation des présentes dispositions :
• Qui ont été ou seraient communiquées à l’une des Parties par un tiers qui ne serait, ni directement, ni indirectement liées à l’autre Partie ou l’un de ses représentants ;
• Qui ont été développées par l’une des Partie sur la base d’autres informations que les Informations Confidentielles ; ou divulguées ou annoncées au public d’un commun accord entre les Parties.

Pendant toute la durée des CGA et pendant un (1) an à compter de la date de l’expiration ou de sa résiliation, les Parties s’engagent à ne pas divulguer d’une quelque manière que ce soit y compris verbalement les Informations Confidentielles sans l’accord écrit préalable de l’autre Partie, elles s’engagent à :

• Protéger et garder strictement confidentielles, et traiter avec le même degré de précaution et de protection qu’elle accorde à ses propres informations confidentielles de même importance les Informations Confidentielles émanant de l’autre Partie ;
• Ne divulguer de manière interne qu’à ses seuls salariés et exclusivement lorsque cela est rendu nécessaire pour la bonne exécution des CGA ;
• Ne pas copier, ni reproduire, ni dupliquer totalement ou partiellement lorsque de telles copies, reproductions ou duplications n’ont pas été autorisées par l’autre Partie et ce, de manière spécifique, toutes les Informations Confidentielles et leurs reproductions, transmises par chacune des Parties à l’égard de l’autre Partie, devront être restituées à cette dernière sous 48h sur sa demande.

Dans le cas où les obligations légales ou réglementaires de l’une des Parties, notamment à la suite d’une requête émanant d’une autorité judiciaire ou administrative, ou dans le cadre de réglementations qui lui seraient applicables, imposeraient de communiquer à un tiers ou de rendre publiques des Informations Confidentielles, cette Partie y sera autorisée.

Les Parties, sans préjudice aux dispositions du présent article, pourront communiquer sur la seule existence de leurs relations commerciales sans porter d’aucune façon que ce soit atteinte à l’image de l’autre, ni divulguer une quelconque Information Confidentielle.

ARTICLE 16. RESTRICTION SUR L’USAGE DE COPIES PAPIER

Elionis limite l’utilisation de copies papier et assure leur destruction par des moyens appropriés.

ARTICLE 17. PROTECTION DES DONNÉES PRÉSENTES SUR UN SUPPORT DE STOCKAGE EN DEHORS DU LIEU D’HEBERGEMENT

Si des supports de stockage portables contenant des données à caractère personnel sont sortis des locaux d’Elionis, une autorisation préalable doit être obtenue. Ces données sont chiffrées et uniquement accessibles aux personnes autorisées.

ARTICLE 18. UTILISATION D’IDENTIFIANTS UNIQUES

L’accès aux données à caractère personnel ou aux systèmes utilisés pour leur traitement se réalise à l’aide de comptes nominatifs.

Des moyens de traçabilité doivent être mis en œuvre afin de contrôler les actions et les usages des identifiants génériques.

ARTICLE 19. GESTION DES HABILITATIONS

Un processus de gestion des habilitations est défini, y compris un registre actualisé des utilisateurs ou profils utilisateurs ayant accès aux données à caractère personnel ou aux systèmes utilisés pour leur traitement.

ARTICLE 20. GESTION DES TRACES

Elionis met en œuvre les moyens d’assurer la traçabilité des actions des utilisateurs, des défaillances et des événements liés à la sécurité de l’information. Les journaux contenant les traces sont conservés et revus régulièrement. Elionis assure l’intégrité des journaux et les protège des accès illicites.

ARTICLE 21. MESURES TECHNIQUES ET ORGANISATIONNELLES

Elionis spécifient les mesures techniques et organisationnelles pour répondre aux objectifs de sécurité et de protection des données à caractère personnel, ainsi que les finalités de traitement.

ARTICLE 22. SOUS-TRAITANCE

Le Client autorise elionis à faire appel à des sous-traitants ultérieurs sous réserve d’en notifier préalablement le Client et de conclure un accord écrit avec les sous-traitants.

En cas de changement de sous-traitant ultérieurs, elionis devra en informer préalablement le Client.

Le Client aura la faculté de refuser ce changement, pour motif légitime documenté, par courrier recommandé avec accusé de réception, au plus tard un (1) mois après la notification de changement effectuée par elionis.

En cas de refus du Client, elionis aura la faculté de résilier le Contrat d’Hébergement en notifiant ladite résiliation sous la forme d’un courrier recommandé avec accusé de réception, en respectant un préavis de trois (3) mois.

Le Sous-traitant ultérieur sera tenu de mettre en œuvre des Mesures Techniques et Organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque pour les droits et libertés des Personnes concernées et d’éviter que les Données du Client définies ne soient :

– Accidentellement ou illégalement détruites, perdues ou altérées,

– Divulguées ou rendues disponibles sans autorisation,

– Traitées de manière contraire à la Législation sur la protection des Données.

Les Mesures Techniques et Organisationnelles appropriées pour assurer la sécurité du Traitement doivent être déterminées en tenant dûment compte :

– De l’état actuel des connaissances,

– Des coûts de leur mise en œuvre,

– De la nature, la portée, le contexte et les finalités du Traitement ainsi que des risques dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques.

elionis s’engage à reporter dans les engagements qu’il contractera avec des sous-traitants les obligations qui lui incombent au titre des Conditions Générales d’Adhésion. Le Sous-traitant ultérieur sera tenu de respecter les obligations des présentes pour le compte et selon les instructions du Responsable de Traitement.

elionis restera seule responsable vis-à-vis du Client de l’exécution de ses obligations contractuelles issues des Conditions Générales d’Adhésion.

Le choix, la modification d’un sous-traitant ultérieur ne devra aboutir à une réduction du niveau de sécurité contractualisé.

A ce jour, elionis reconnaît contractualisé avec les sous-traitants suivants :

Aucun

ARTICLE 23 LIEUX D’HÉBERGEMENT

Les données sont hébergées à :

1 : DC OPCORE : OPCORE 29 Rue Edith Cavell, 94400 Vitry-sur-Seine, France

2 : SSO (Salle Serveur Ormesson) : elionis 19 Rue Maryse Bastié, 94490 Ormesson sur Marne, France

ARTICLE 24. PGSSI-S

Elionis s’engage à mettre en œuvre dans le cadre de la prestation un service respectant la

PGSSI-S.

Le client s’engage à mettre en œuvre dans le cadre de la prestation un système d’information de santé respectant la PGSSI-S.

L’acceptation des présentes conditions tient lieu d’engagement par le client du respect aux référentiels opposables de la PGSSI-S tels que définis dans les textes légaux et réglementaires.

ARTICLE 25. LISTE DES CONTACTS CLIENTS

Elionis maintient une liste des points de contact pour chacun des clients. Ce point de contact soit le client lui même soit un contact, transmis par le client, qui est en mesure de désigner à Elionis un professionnel de santé lorsque cela est nécessaire (exemples : accès aux données de santé, gestion des relations avec le patient, etc.).

Elionis est en capacité de transmettre sans délai cette liste à l’autorité compétente sur demande, notamment en cas de suspension ou de retrait de la certification.

ARTICLE 26. REGIONALISATION DES RELATIONS AVEC LE CLIENT

Elionis s’assure que les interfaces proposées aux clients sont disponibles au moins en langue française y compris le support de premier niveau.

– fin –