Accord de protection des données de santé

1. Parties et objet

Le présent accord de protection des données de santé (l’« Accord ») est conclu entre American MedCare Agency, LLC, société à responsabilité limitée de droit américain établie à New York (États-Unis), exploitant de la plateforme SantéFlow (le « Prestataire » ou « SantéFlow »), et l’établissement de santé identifié lors de la signature électronique (l’« Établissement »).

Il complète les conditions d’utilisation et la politique de confidentialité, et prévaut sur elles pour tout ce qui concerne les données de santé. Il s’inspire des exigences applicables aux « business associates » selon la loi américaine HIPAA (45 C.F.R. § 164.504(e)), retenues comme référence de bonnes pratiques ; il ne constitue pas une déclaration selon laquelle l’Établissement ou SantéFlow serait soumis à HIPAA, ni une certification.

La personne qui signe déclare être le propriétaire du compte de l’Établissement ou être dûment habilitée à l’engager. La signature électronique (nom saisi, case cochée, date, heure, adresse IP et version du texte enregistrées) a la même valeur qu’une signature manuscrite entre les parties.

2. Définitions

• Données de santé : toute information relative à un patient de l’Établissement, identifiée ou identifiable, saisie ou téléversée dans SantéFlow : identité, coordonnées, dossier médical, consultations, prescriptions, résultats, imagerie, vaccination, facturation des soins.
• Incident de sécurité : accès, utilisation, divulgation, modification ou destruction non autorisé de données de santé, confirmé par SantéFlow. Les tentatives sans effet (balayages de ports, tentatives de connexion refusées, attaques bloquées par le pare-feu) ne constituent pas un incident à notifier.
• Sous-traitant ultérieur : prestataire auquel SantéFlow recourt et qui peut traiter des données de santé pour fournir le service (annexe A).

3. Usages autorisés

SantéFlow traite les données de santé uniquement pour :

• fournir le service souscrit par l’Établissement et exécuter ses instructions données au moyen de l’application, de ses réglages ou par écrit ;
• assurer la sécurité, la sauvegarde, la maintenance et le support du service ;
• respecter une obligation légale qui lui est applicable, dans les conditions de l’article 4 ;
• produire des statistiques agrégées et rendues anonymes, ne permettant d’identifier ni un patient ni l’Établissement.

Tout autre usage est interdit, en particulier la vente ou la location des données, la publicité, le profilage commercial et l’entraînement de modèles d’intelligence artificielle.

4. Engagements de SantéFlow

• Mettre en œuvre et maintenir des mesures techniques, administratives et organisationnelles raisonnables et adaptées à la sensibilité des données de santé, décrites à l’annexe B ; ces mesures peuvent évoluer, sans réduire le niveau global de protection.
• Limiter l’accès de son personnel aux données de santé à ce qui est strictement nécessaire ; les personnes habilitées sont tenues à la confidentialité. L’application ne permet pas à l’équipe SantéFlow de consulter un dossier patient ; l’export complet des données n’est réalisé qu’à la demande de l’Établissement ou pour une obligation légale, et il est journalisé.
• Ne pas divulguer les données de santé à un tiers, sauf aux sous-traitants ultérieurs de l’annexe A, sur instruction de l’Établissement ou lorsque la loi l’exige. Dans ce dernier cas, SantéFlow en informe l’Établissement avant toute communication, sauf interdiction légale, conteste les demandes qu’il estime excessives et ne communique que le strict nécessaire.
• Aider l’Établissement, dans une mesure raisonnable et compte tenu des informations dont il dispose, à respecter ses propres obligations (sécurité, droits des patients, notification d’incident).

5. Engagements de l’Établissement

• Collecter et utiliser les données de santé conformément à la loi applicable, notamment en Haïti, et aux règles du secret médical et de la déontologie.
• Informer ses patients du traitement de leurs données par un prestataire informatique, de leur hébergement aux États-Unis et, le cas échéant, recueillir leur consentement (soins, téléconsultation, SMS ou courriels, transfert de dossier).
• Ne saisir que les données nécessaires, contrôler les accès de ses utilisateurs (comptes personnels, rôles adaptés, double authentification, désactivation des comptes des personnes qui partent) et protéger ses propres appareils.
• Ne pas demander à SantéFlow un traitement contraire à la loi ou au présent Accord.
• Signaler sans délai à SantéFlow tout incident ou soupçon d’incident dont il a connaissance.

6. Sous-traitants ultérieurs

L’Établissement autorise SantéFlow à recourir aux sous-traitants ultérieurs de l’annexe A. SantéFlow choisit des prestataires présentant des garanties de sécurité suffisantes, leur impose des obligations de confidentialité et de sécurité appropriées et reste responsable envers l’Établissement de leur exécution, dans les limites de l’article 11. Tout ajout ou remplacement d’un sous-traitant traitant des données de santé est annoncé au moins trente (30) jours à l’avance ; l’Établissement qui s’y oppose pour un motif raisonnable peut résilier son abonnement avant son entrée en vigueur.

7. Incidents de sécurité

• SantéFlow notifie à l’Établissement, par courriel à l’adresse du propriétaire du compte, tout incident de sécurité touchant ses données de santé sans retard injustifié et au plus tard dans un délai de cinq (5) jours ouvrables après l’avoir confirmé.
• La notification décrit, dans la mesure où ces informations sont connues : la nature de l’incident, les catégories et le nombre approximatif de patients et de données concernés, les conséquences probables et les mesures prises ou proposées. Les informations manquantes sont transmises dès que possible.
• SantéFlow prend les mesures raisonnables pour contenir l’incident et en limiter les effets, et coopère avec l’Établissement. L’Établissement reste responsable d’informer ses patients et les autorités lorsque la loi l’exige ; SantéFlow ne les informe pas directement, sauf obligation légale ou demande de l’Établissement.
• La notification d’un incident ne vaut pas reconnaissance de faute ou de responsabilité.

8. Droits des patients

Les demandes des patients (accès, copie, rectification, transfert de leur dossier) relèvent de l’Établissement. L’application lui fournit les outils pour y répondre (consultation, impression et export du dossier). Si un patient s’adresse directement à SantéFlow, sa demande est transmise à l’Établissement sans y répondre sur le fond.

9. Contrôle et documentation

Sur demande écrite raisonnable, au plus une fois par an (sauf après un incident de sécurité), SantéFlow fournit à l’Établissement les informations nécessaires pour vérifier le respect du présent Accord : description à jour des mesures de sécurité, liste des sous-traitants et réponses à un questionnaire de sécurité. Ces informations sont confidentielles. Les audits sur place, tests d’intrusion ou accès aux systèmes de SantéFlow ou de ses sous-traitants ne sont pas permis sans accord écrit préalable, qui peut prévoir une participation aux frais.

10. Durée et restitution des données

• L’Accord s’applique tant que SantéFlow traite des données de santé pour l’Établissement.
• À la fin de l’abonnement, l’Établissement peut exporter ses données pendant quatre-vingt-dix (90) jours ; SantéFlow peut fournir un export complet sur demande pendant ce délai.
• Passé ce délai, les données de santé sont supprimées de façon sécurisée des systèmes actifs, puis des sauvegardes au fil de leur rotation (au plus 35 jours pour les sauvegardes de la base). Les données que la loi oblige SantéFlow à conserver restent protégées par le présent Accord et ne sont utilisées pour aucune autre finalité.
• Les articles 4 (confidentialité), 7, 10 et 11 restent applicables après la fin de l’Accord, tant que des données de santé subsistent.

11. Responsabilité et litiges

La responsabilité de chaque partie au titre du présent Accord est soumise aux exclusions et limitations des articles 14 à 16 des conditions d’utilisation, qui s’appliquent globalement à l’ensemble des engagements de SantéFlow. Le présent Accord est régi par le droit de l’État de New York ; tout litige est réglé selon l’article 20 des conditions d’utilisation (règlement amiable préalable, puis arbitrage ICDR à New York). En cas de contradiction entre le présent Accord et les conditions d’utilisation sur le traitement des données de santé, le présent Accord prévaut. La version française fait foi.

Annexe A — Sous-traitants ultérieurs

Annexe B — Mesures de sécurité

• Chiffrement : échanges en HTTPS (TLS) de bout en bout jusqu’au serveur ; base de données Amazon RDS, disque du serveur, fichiers Amazon S3 et sauvegardes chiffrés au repos (AES-256) ; sauvegardes chiffrées une première fois sur le serveur (AES-256-GCM) avant leur envoi.
• Réseau : base de données dans un réseau privé, inaccessible depuis internet ; serveur d’application n’acceptant que le trafic passant par Cloudflare ; pare-feu applicatif et vérification anti-robots.
• Accès : cloisonnement des données par clinique et par point de service ; rôles et permissions ; mots de passe hachés (Argon2id ou bcrypt) ; double authentification ; verrouillage après échecs répétés ; sessions révocables ; console d’administration séparée avec double authentification obligatoire.
• Traçabilité : journal de la clinique en ajout seul, chaîné par empreintes cryptographiques ; journal des consultations de documents médicaux ; journal d’audit de la plateforme ; journalisation des actions d’administration de l’hébergement (AWS CloudTrail) et détection des menaces (Amazon GuardDuty).
• Continuité : sauvegarde complète quotidienne de la base, sauvegardes automatiques Amazon RDS conservées 35 jours, archivage plutôt que suppression des données médicales depuis l’application.
• Fichiers : aucun accès public ; délivrance uniquement à un utilisateur autorisé, par des liens temporaires de quelques minutes.