Politique de confidentialité

1. Qui est responsable ?

SantéFlow est édité et exploité par American MedCare Agency, LLC, société à responsabilité limitée de droit américain établie à New York (États-Unis) (« SantéFlow », « nous »), pour des établissements de santé situés principalement en Haïti.

• Données des patients saisies dans l’application : l’établissement de santé (la « clinique ») en est responsable. Il décide des données collectées et de leur usage. SantéFlow agit comme sous-traitant (« business associate » au sens de la norme américaine HIPAA, qui nous sert de référence) : nous traitons ces données uniquement pour fournir le service à la clinique et selon ses instructions. Ces engagements sont détaillés dans l’accord de protection des données de santé, signé électroniquement par chaque clinique.
• Données des comptes (identité et coordonnées des utilisateurs), facturation de l’abonnement, support, sécurité de la plateforme et ce site : SantéFlow est responsable.

2. Données traitées

3. Finalités et minimum nécessaire

• Fournir le service à la clinique : dossier patient, agenda, rappels, facturation, comptabilité, laboratoire, pharmacie, rapports, téléconsultation, transferts de dossiers décidés par la clinique.
• Sécuriser les comptes et la plateforme : authentification, double vérification, détection des connexions inhabituelles, pare-feu applicatif, traçabilité.
• Gérer l’abonnement, sa facturation et le support demandé par la clinique.
• Envoyer les communications décidées par la clinique (rappels de rendez-vous ou de vaccins par SMS ou courriel) et les messages nécessaires au compte (codes de vérification, alertes de sécurité).
• Suivre le fonctionnement du service à partir de compteurs agrégés (nombre de rendez-vous, volume de données), sans lire le contenu médical.
• Respecter nos obligations légales.

Minimum nécessaire. Nous n’utilisons, ne communiquons et ne demandons que les données strictement nécessaires à chacune de ces finalités. Dans la clinique, chaque utilisateur ne voit que ce que permettent son rôle et ses permissions, fixés par la clinique.

4. Ce que nous ne faisons jamais

• Vendre, louer ou échanger des données personnelles ou des données de santé.
• Utiliser les données des patients à des fins publicitaires, de marketing ou de prospection.
• Établir des profils des patients ou prendre des décisions automatisées à leur sujet pour notre propre compte.
• Utiliser les données de santé pour entraîner, évaluer ou améliorer des modèles d’intelligence artificielle, ou les transmettre à un fournisseur d’intelligence artificielle. SantéFlow n’envoie aucune donnée de la clinique à un tel fournisseur.
• Communiquer les données d’une clinique à un tiers autre que les sous-traitants listés ci-dessous, sauf instruction de la clinique ou obligation légale (dans ce cas, la clinique est informée, sauf interdiction légale).

5. Accès de l’équipe SantéFlow

• L’application ne comporte aucune fonction permettant à notre équipe de se connecter à la place d’un utilisateur ou de consulter un dossier patient. La console de la plateforme n’affiche, pour chaque clinique, que des informations de compte et des compteurs agrégés.
• Le seul accès prévu aux données d’une clinique est l’export complet de ses données, réservé aux super-administrateurs de la plateforme, réalisé à la demande de la clinique (portabilité, fin de contrat, support) ou pour répondre à une obligation légale. Chaque demande et chaque téléchargement d’export sont inscrits au journal de la clinique, consultable par elle, et au journal d’audit de la plateforme.
• La console de la plateforme exige une session séparée, une double authentification obligatoire, une nouvelle confirmation d’identité avant toute action sensible et, lorsqu’elle est configurée, une liste d’adresses IP autorisées.
• Les membres de l’équipe sont tenus à la confidentialité. Les administrateurs techniques ayant accès aux serveurs n’y accèdent que pour la maintenance et la sécurité. L’accès à la console d’administration de la plateforme est réservé aux membres de l’équipe expressément habilités ; chaque connexion et chaque action y sont enregistrées dans un journal d’audit.

6. Sécurité

• Cloisonnement par clinique : chaque requête est limitée à la clinique de la session, et l’appartenance de l’utilisateur à cette clinique est revérifiée régulièrement.
• Contrôle d’accès par rôle et par permission, protection contre la falsification de requêtes (CSRF), cookies de session inaccessibles aux scripts (HttpOnly, SameSite), sessions révocables depuis le Centre de sécurité.
• Authentification : mots de passe enregistrés uniquement sous forme hachée (Argon2id ou bcrypt) ; verrouillage temporaire après des échecs répétés et limitation des tentatives par adresse et par compte ; double vérification disponible (application d’authentification, code par SMS ou courriel, clé d’accès) et exigée automatiquement lors d’une connexion depuis un nouvel appareil ou un nouveau pays (réglages par défaut).
• Échanges chiffrés en HTTPS (TLS). Les pages de connexion imposent au navigateur de toujours utiliser HTTPS (en-tête HSTS).
• Fichiers (imagerie, pièces jointes, PDF) : stockés sur Amazon S3 avec chiffrement côté serveur (AES-256), sans accès public ; ils ne sont délivrés qu’à un utilisateur autorisé, par des liens temporaires valables quelques minutes au plus.
• Sauvegardes : sauvegarde complète quotidienne de la base, chiffrée (AES-256-GCM) sur le serveur avant son envoi vers Amazon S3, où elle est chiffrée une seconde fois.
• Base de données : base gérée Amazon RDS (MySQL) dans un réseau privé, inaccessible depuis internet ; stockage chiffré au repos (AES-256, clés gérées par AWS KMS) ; connexions de l’application chiffrées (TLS obligatoire) ; sauvegardes automatiques chiffrées conservées 35 jours. Le disque du serveur d’application est également chiffré.
• Traçabilité : journal de la clinique en ajout seul, chaîné par empreintes cryptographiques (toute modification ou suppression est détectable) ; journal des consultations de documents médicaux (utilisateur, adresse IP, navigateur) ; journaux de connexion et de sécurité.
• Pare-feu applicatif filtrant chaque requête, protection en amont par Cloudflare (le serveur n’accepte que le trafic passant par Cloudflare), vérification anti-robots et détection des connexions suspectes.
• Surveillance de l’infrastructure : journalisation des actions d’administration du compte d’hébergement et détection des menaces (AWS CloudTrail, Amazon GuardDuty).
• Intégrité du dossier : les données médicales ne sont pas supprimées depuis l’application ; elles sont archivées.
• Téléconsultation : aucune vidéo n’est enregistrée ; le nom de la salle est aléatoire et ne contient aucun nom de patient.

7. Hébergement et transferts hors d’Haïti

Les données ne sont pas hébergées en Haïti.

• Fichiers, sauvegardes et exports : Amazon Web Services, Amazon S3, région us-east-1 (Virginie du Nord, États-Unis).
• Application et base de données : Amazon Web Services (serveur Amazon EC2 et base Amazon RDS), région us-east-1 (Virginie du Nord, États-Unis).
• Exploitant : American MedCare Agency, LLC est établie aux États-Unis ; les données sont donc soumises au droit américain, notamment aux demandes d’autorités prévues par la loi (voir les conditions d’utilisation, article 7).
• Certains sous-traitants (envoi de courriels, paiement, connexion Google ou Microsoft, téléconsultation) traitent aussi des données hors d’Haïti, principalement aux États-Unis.

En utilisant SantéFlow, la clinique accepte ces transferts, encadrés par les engagements de sécurité et de confidentialité de nos prestataires et par l’accord de protection des données de santé. Il lui appartient d’en informer ses patients.

8. Sous-traitants

Chaque sous-traitant n’accède qu’aux données nécessaires à sa mission. Nous lui imposons des obligations de confidentialité et de sécurité au moins équivalentes à celles que nous prenons envers la clinique. Ce tableau vaut liste à jour (annexe B de l’accord de protection des données de santé) ; tout ajout ou remplacement est publié ici avant sa mise en œuvre.

Services qui ne reçoivent aucune donnée de la clinique : ElevenLabs (synthèse vocale des tutoriels de formation : seul le texte des tutoriels lui est envoyé, aucune donnée personnelle) ; YouTube (youtube-nocookie.com) et Vimeo, dont les lecteurs affichent les vidéos de formation de l’Académie (le navigateur qui lit la vidéo s’y connecte) ; cdn.jsdelivr.net, qui fournit une feuille d’icônes au portail patient et à l’espace consultant.

9. Durées de conservation

Les durées d’archivage et de suppression des journaux techniques sont appliquées par une tâche planifiée quotidienne, active en production. Aucune donnée médicale n’est concernée par cette tâche.

10. Incidents de sécurité

• Dès qu’un incident est découvert, nous prenons les mesures pour le contenir, en rechercher la cause et en limiter les effets.
• Si l’incident touche ou peut toucher les données d’une clinique, nous l’en informons sans retard injustifié et au plus tard 72 heures après sa découverte, avec les éléments connus : nature de l’incident, données et personnes concernées, conséquences probables, mesures prises ou proposées, contact. Les informations manquantes sont transmises dès qu’elles sont connues.
• Nous aidons la clinique à informer, si nécessaire, ses patients et les autorités compétentes. Cette décision lui appartient pour les données de ses patients.
• Les utilisateurs dont le compte est concerné sont prévenus directement lorsque c’est utile à leur protection (par exemple, pour changer de mot de passe).

11. Droits des patients

Tout patient peut demander l’accès à ses données, leur rectification, une copie de son dossier ou son transfert vers un autre établissement, et s’opposer à certaines communications (rappels par SMS ou courriel).

La clinique étant responsable du dossier, le patient adresse sa demande à sa clinique. SantéFlow lui fournit les outils pour y répondre (consultation, correction, impression, transfert du dossier). Si une demande nous parvient directement, nous la transmettons à la clinique concernée dans les meilleurs délais, sans y répondre nous-mêmes sur le fond. Certaines informations doivent être conservées malgré une demande d’effacement, en raison d’obligations médicales ou légales.

12. Droits des cliniques et des utilisateurs

• Accéder à leurs données de compte et les rectifier depuis leur profil.
• Consulter les sessions et appareils connectés, et fermer une session à distance.
• Relier ou délier un compte Google ou Microsoft.
• Obtenir un export complet des données de la clinique (fichiers CSV dans une archive chiffrée), sur demande au support.
• Consulter le journal de la clinique, selon les droits attribués par la clinique.
• Demander la suppression du compte à la fin du contrat.

Écrivez-nous à contact@santeflow.com. Nous répondons dans un délai d’un mois au plus, après vérification de votre identité.

13. Mineurs

SantéFlow est un outil destiné aux professionnels de santé : les comptes utilisateurs sont réservés à des adultes agissant pour un établissement. Les données de patients mineurs (pédiatrie, vaccination…) sont saisies et gérées par la clinique, sous sa responsabilité et avec l’accord du représentant légal lorsque la loi l’exige ; leurs droits s’exercent auprès de la clinique par ce représentant légal.

14. Cookies

SantéFlow n’utilise aucun cookie publicitaire ni outil de mesure d’audience. Seuls des cookies nécessaires au fonctionnement et à la sécurité sont déposés, tous inaccessibles aux scripts de la page :

• cookie de session de l’application (et, selon l’espace utilisé, du portail patient, de l’espace consultant ou de la console de la plateforme) : supprimé à la fermeture du navigateur ou à la déconnexion ;
• identifiant de l’appareil (365 jours) et appareil de confiance (30 jours, uniquement après une double vérification réussie) : sécurité de la connexion ;
• cookies techniques temporaires liés à une maintenance ou au déblocage du pare-feu.

Les préférences d’affichage (thème clair ou sombre, par exemple) sont gardées dans le navigateur, sans être envoyées à nos serveurs. Voir aussi notre politique relative aux cookies.

15. Modifications et versions

Chaque version de cette politique est datée ; les versions précédentes sont conservées. Toute modification importante (nouveau sous-traitant, nouveau lieu d’hébergement, nouvelle finalité) est annoncée aux clients par courriel ou dans l’application au moins trente (30) jours avant son entrée en vigueur, sauf urgence de sécurité ou obligation légale. Une nouvelle version de l’accord de protection des données de santé doit être signée de nouveau par chaque clinique.

16. Contact

American MedCare Agency, LLC — exploitant de SantéFlow
New York (New York), États-Unis
Confidentialité, données personnelles et signalement d’un incident : contact@santeflow.com
Centre d’aide : help.santeflow.com