Politique de Confidentialité

1. Article Préliminaire

La présente politique de confidentialité (ci-après, la « Politique de Confidentialité »), est éditée par la société YUNOHIT (ci-après, « YUNOHIT » ou la « Société »).

YUNOHIT édite et exploite le site internet https://www.yunohit.com/ et la plateforme https://app.smartdmp.fr (ci-après, la « Plateforme ») et un ensemble de noms de domaines pouvant pointer sur cette plateforme, dont https://espace-client.smartdmp.fr, disponibles sur le web afin de proposer aux Professionnels de Santé des services en mode SaaS (Software-as-a-Service), par APIs (Application Programming Interface) ou marque blanche.

Ces services sont à destination des Professionnels de Santé habilités exerçant aussi bien à titre libéral, qu’au sein d’une entité ou d’un Établissement de droit privé ou de droit public regroupant des Professionnels de Santé pour l’exercice de leur profession. Le Personnel non médical travaillant avec les Professionnels de Santé peut également être amené à utiliser les Services de YUNOHIT.

YUNOHIT propose des Services dont l’objectif est de fluidifier les échanges, la prise en charge et la coordination entre les Professionnels de Santé et leurs Patients et ainsi d’améliorer les parcours de soins.

Les Services permettent notamment l’analyse, la visualisation et le traitement ponctuel de données de santé issues du « Dossier Médical Partagé » et de « Mon Espace Santé » ainsi que de l’« Historique de Remboursement » et de « l’Affection Longue Durée », sans stockage pérenne des données de santé consultées, sauf nécessité technique, réglementaire, probatoire ou contractuelle expressément prévue, dans une démarche conforme aux principes éthiques, à la déontologie médicale et à la législation applicable en matière de protection des données personnelles.

La Politique de Confidentialité a pour objet d’informer les utilisateurs de la Plateforme et des Services des moyens mis en œuvre par YUNOHIT pour assurer la sécurité de la collecte et du traitement de leurs données à caractère personnel.

YUNOHIT accorde une attention particulière à la protection des Données à caractère personnel et s’engage à traiter celles-ci conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »), à la loi Informatique et Libertés modifiée, ainsi qu’à toute réglementation applicable en matière de données de santé.

Plus précisément, conformément aux dispositions de l'article 5 du Règlement européen 2016/679, la collecte et le traitement des données des utilisateurs du site respectent les principes suivants :

• Licéité, loyauté et transparence : les données sont collectées et traitées de manière licite, loyale et transparente, sur la base d’un fondement juridique approprié, notamment l’exécution d’un contrat, le respect d’une obligation légale, l’intérêt légitime de YUNOHIT, l’intérêt public en matière de santé ou, lorsque requis, le consentement de la personne concernée ;
• Finalités limitées : la collecte et le traitement des données sont exécutés pour répondre à un ou plusieurs objectifs déterminés dans les Conditions Générales d'Utilisation ;
• Minimisation de la collecte et du traitement des données : seules les données nécessaires à la bonne exécution des objectifs poursuivis par le site ou la Plateforme sont collectées ;
• Conservation des données réduites dans le temps : les données sont conservées pour une durée limitée, dont l'utilisateur est informé.
• Intégrité et confidentialité des données collectées et traitées : le responsable du traitement des données s'engage à garantir l'intégrité et la confidentialité des données collectées.

Afin d'être licites, et ce conformément aux exigences de l'article 6 du règlement européen 2016/679, la collecte et le traitement des données à caractère personnel ne pourront intervenir que s'ils respectent au moins l'une des conditions ci-après énumérées :

• L'utilisateur et/ou le propriétaire des données a expressément consenti au traitement ;
• Le traitement est nécessaire à la bonne exécution d'un contrat ou d’une prestation ;
• Le traitement répond à une obligation légale ;
• Le traitement s'explique par une nécessité liée à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ;
• Le traitement peut s'expliquer par une nécessité liée à l'exécution d'une mission d'intérêt public ou qui relève de l'exercice de l'autorité publique ;
• Le traitement et la collecte des données à caractère personnel sont nécessaires aux fins des intérêts légitimes et privés poursuivis par le responsable du traitement ou par un tiers.

La Politique de Confidentialité s’applique en complément des Conditions Générales d’Utilisation de la Plateforme et des Services (ci-après les « CGU »). Elle peut être modifiée à tout moment par YUNOHIT aux fins, notamment, de mise à̀ jour en fonction de l’évolution de la Règlementation. En cas de doute, ce dernier est invité à consulter la dernière version en ligne sur le lien : https://www.yunohit.com/politique-de-confidentialite/.

2. Définitions

Dans le cadre de la présente Politique, il est convenu que les termes commençant par une lettre majuscule qu’ils soient au pluriel ou au singulier, auront le sens défini dans les CGU à destination des Professionnels Utilisateurs de YUNOHIT, ou celui définit comme suit par la présente Politique de Confidentialité :

« Compte Professionnel » ou « Compte » désigne l’espace personnel créé pour un Utilisateur sur la Plateforme lui permettant de bénéficier des fonctionnalités offertes par YUNOHIT ;

« Destinataire » désigne la personne physique ou morale, l’autorité publique ou tout organisme qui reçoit des Données à caractère personnel qu’il s’agisse ou non d’un tiers.

« Données à caractère personnel » ou « Données » désigne toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « Personne concernée »). La Personne concernée est identifiable lorsqu’elle peut être identifiée directement ou indirectement, notamment par référence à un identifiant (par exemple : nom, numéro de téléphone, date de naissance, identifiant en ligne, numéro d’identification, élément spécifique propre à son identité physique etc.)

« Données de Santé » ou « Données concernant la Santé » désigne les Données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé qui révèlent des informations sur l’état de santé de cette personne.

« Responsable du Traitement » désigne la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui seul ou conjointement avec d’autres, détermine les finalités et les moyens du Traitement, sauf désignation expresse par des dispositions législatives ou réglementaires relatives à ce Traitement.

« Sous-traitant » désigne la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui traite des Données à caractère personnel pour le compte du Responsable du Traitement.

« Professionnel Utilisateur » désigne un utilisateur ayant signé un contrat de service avec YUNOHIT et ayant un abonnement valide, dont un Compte Professionnel a été créé aux fins de bénéficier des fonctionnalités proposées sur la Plateforme et dont les Données sont collectées à cet effet.

3. Un hébergement sécurisé

Lorsque les Services impliquent un hébergement de données de santé à caractère personnel au sens de l’article L.1111-8 du Code de la santé publique, YUNOHIT recourt à un prestataire certifié Hébergeur de Données de Santé (« HDS »), dans le respect de la réglementation applicable.

Les données issues du Dossier Médical Partagé (« DMP »), de Mon Espace Santé (« MES »), de l’Historique de Remboursement (« HRi ») ou de l’Affection Longue Durée (« ALDi ») sont hébergées dans les infrastructures nationales ou par les prestataires désignés par les autorités compétentes.

Dans le cadre des Services de consultation, de visualisation ou de synthèse, YUNOHIT peut traiter temporairement certaines données de santé afin de permettre leur affichage, leur analyse technique ou leur restitution au Professionnel Utilisateur. Sauf nécessité technique, réglementaire, probatoire ou contractuelle expressément prévue, ces données ne font pas l’objet d’un stockage pérenne par YUNOHIT et sont supprimées à l’issue de la session ou de l’exécution technique du Service.

Cette absence de stockage pérenne ne fait pas obstacle à la conservation de Données Techniques, de journaux de traçabilité, d’éléments de preuve, de données de compte ou de documents générés via certains Services lorsque cette conservation est nécessaire à la sécurité, à la preuve, à l’exécution du Service, au respect d’une obligation légale ou à la défense des droits de YUNOHIT.

4. L’identification des responsables de traitement

Nota Bene :

(i) Le responsable d’un traitement de données à caractère personnel, au sens du RGPD, est la personne, l’autorité publique, la société ou l’organisme qui détermine les finalités et les moyens de ce fichier, qui décide de sa création.

(ii) Le sous-traitant, au sens du RGPD est la personne, l’entreprise ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.

Selon les traitements réalisés, YUNOHIT peut intervenir en qualité de responsable de traitement ou de sous-traitant au sens du RGPD.

YUNOHIT agit en qualité de responsable de traitement pour les traitements relatifs :

• à la création, la gestion et la sécurisation des Comptes Professionnels ;
• à la gestion des abonnements, contrats, commandes et paiements ;
• à la gestion du support, des demandes d’assistance et des réclamations ;
• à la sécurité, la supervision, la journalisation et la prévention de la fraude ;
• à la gestion des demandes d’exercice de droits ;
• à la gestion du site internet, des cookies et, le cas échéant, des communications d’information ou newsletters.

Le Professionnel de Santé ou l’Établissement agit en qualité de responsable de traitement pour les traitements de données de santé réalisés dans le cadre de la prise en charge du Patient, notamment lorsqu’il consulte, utilise, transmet, dépose, interprète ou fait signer des documents médicaux ou médico-administratifs.

Dans ce cadre, YUNOHIT agit en qualité de sous-traitant du Professionnel de Santé ou de l’Établissement, lorsqu’elle traite des données à caractère personnel ou des données de santé pour le compte de celui-ci, notamment dans le cadre :

• de l’accès, de la consultation ou de l’alimentation du DMP ou de Mon Espace Santé ;
• du traitement temporaire des données issues du DMP, de MES, du HRi ou de l’ALDi ;
• du Service de synthèse ;
• du Service de Messagerie Sécurisée de Santé ;
• du Service de signature électronique ou de consentement électronique.

Le Professionnel de Santé ou l’Établissement demeure responsable de la licéité de l’accès aux données du Patient, de l’information du Patient, du recueil du consentement ou de la non-opposition lorsque requis, ainsi que du respect des règles applicables au secret professionnel, à l’identitovigilance et à la prise en charge médicale.

5. Les données du Patient

5.1. Données traitées via les Services de YUNOHIT

Dans le cadre des Services, YUNOHIT peut être amenée à traiter, pour le compte du Professionnel de Santé ou de l’Établissement, certaines données relatives aux Patients, notamment :

• données d’identification ;
• Identité Nationale de Santé (« INS ») ;
• données issues du DMP ou de Mon Espace Santé ;
• données issues du HRi ou de l’ALDi lorsque disponibles et autorisées ;
• documents médicaux ou médico-administratifs ;
• données relatives aux consentements, non-oppositions ou signatures électroniques ;
• données de messagerie sécurisée de santé ;
• données techniques et journaux de traçabilité associés.

Ces données sont traitées uniquement pour permettre la fourniture des Services au Professionnel de Santé ou à l’Établissement, dans le cadre de la prise en charge du Patient et conformément aux instructions du responsable de traitement concerné.

Dans le cadre des Services de consultation, visualisation ou synthèse, certaines données de santé peuvent être traitées temporairement dans un espace technique transitoire, pendant la durée strictement nécessaire à la session ou à l’exécution technique du Service, sans stockage pérenne par YUNOHIT.

Sauf nécessité technique, réglementaire, probatoire ou contractuelle expressément prévue, les données issues du DMP, de Mon Espace Santé, du HRi ou de l’ALDi consultées dans le cadre des Services de visualisation ou de synthèse ne font pas l’objet d’un stockage pérenne par YUNOHIT.

Lorsque le traitement repose sur le consentement du Patient, celui-ci peut le retirer à tout moment, sans que ce retrait ne porte atteinte à la licéité des traitements réalisés antérieurement ni, en principe, à sa prise en charge médicale.

Les traitements réalisés via les Services ont pour finalité de permettre l’accès, la visualisation, l’analyse technique, la synthèse, la transmission ou la signature de données ou documents nécessaires à la prise en charge du Patient, à la coordination des soins et à l’amélioration du parcours de soins.

5.2. Données partagées via les Services de YUNOHIT

Lorsque les Services permettent au Professionnel de Santé ou à l’Établissement de partager certaines données ou documents relatifs à un Patient avec un tiers autorisé, ce partage est réalisé sous la responsabilité du Professionnel de Santé ou de l’Établissement, dans le respect de la réglementation applicable, du secret professionnel et des règles relatives au consentement, à l’information ou à la non-opposition du Patient.

Lorsque le consentement du Patient est requis, celui-ci doit être libre, spécifique, éclairé et révocable. Le Service peut permettre la journalisation et l’horodatage du recueil de ce consentement à des fins de traçabilité et de preuve.

Les données de santé des Patients ne sont pas utilisées par YUNOHIT à des fins publicitaires, commerciales, de prospection, de revente, d’entraînement de systèmes d’intelligence artificielle ou de constitution de bases de données commerciales.

6. Les données d’un Utilisateur/Abonné Professionnel collectées par YUNOHIT

YUNOHIT devra conserver les données pour des durées supérieures dans le cas d’un litige aux conditions prévues par la loi.

Aucune finalité publicitaire ou de prospection commerciale n’est associée à l’utilisation des Services ou de la Plateforme.

7. Les destinataires de vos données

YUNOHIT transmet vos Données à caractère personnel :

• A YUNOHIT, ses équipes internes, pour assurer la mise à̀ disposition des Services, de la Plateforme et de ses fonctionnalités, dans le strict respect d’un accord de confidentialité ;
• A ses sous-traitants, pour la prestation d’hébergement, de développement et maintenance de la Plateforme, dans la stricte exécution des contrats qui nous lient ;
• Aux prestataires de services de paiement qui interviennent pour le règlement des Services ;

YUNOHIT peut également communiquer vos Données à caractère personnel aux autorités compétentes sur requête et notamment aux organismes publics, exclusivement pour répondre aux obligations légales, les auxiliaires de justice, les officiers ministériels et les organismes chargés d’effectuer le recouvrement de créances dans la mesure autorisée par la loi applicable.

Liste des sous-traitants susceptibles de recevoir vos données

(liste non exhaustive)

8. Lieu de stockage et transferts des Données personnelles.

Les données traitées par YUNOHIT sont hébergées en France ou au sein de l’Union européenne.

Lorsque certains prestataires techniques sont susceptibles d’effectuer des transferts de Données à caractère personnel hors de l’Union européenne, YUNOHIT veille à ce que ces transferts soient encadrés conformément à la réglementation applicable, notamment par la mise en œuvre de garanties appropriées telles que les Clauses Contractuelles Types de la Commission européenne.

9. Cookies et traceurs

Lors de la navigation sur le Site ou l’utilisation de la Plateforme, YUNOHIT peut être amenée à déposer ou lire des cookies et autres traceurs sur le terminal de l’Utilisateur, sous réserve des choix exprimés par celui-ci et conformément à la réglementation applicable.

Un cookie est un petit fichier texte susceptible d’être enregistré sur le terminal de l’Utilisateur lors de la consultation d’un site internet ou de l’utilisation d’un service en ligne. Les traceurs permettent notamment de reconnaître un terminal, de mémoriser certaines informations ou d’assurer le bon fonctionnement des Services.

Les cookies et traceurs utilisés par YUNOHIT peuvent avoir les finalités suivantes :

• assurer le fonctionnement technique et la sécurité du Site, de la Plateforme et des Services ;
• permettre l’authentification et le maintien de la session utilisateur ;
• mémoriser les préférences et paramètres de navigation ;
• mesurer l’audience et établir des statistiques anonymisées ou agrégées d’utilisation ;
• améliorer les performances, l’ergonomie et l’expérience utilisateur ;
• prévenir les usages frauduleux ou malveillants et assurer la sécurité des accès.

Certains cookies sont strictement nécessaires au fonctionnement du Site ou des Services et ne nécessitent pas le consentement préalable de l’Utilisateur conformément à la réglementation applicable. D’autres cookies ou traceurs, notamment ceux destinés à la mesure d’audience ou à certaines fonctionnalités optionnelles, peuvent nécessiter le recueil préalable du consentement de l’Utilisateur.

L’Utilisateur peut à tout moment gérer ses préférences relatives aux cookies et traceurs via les paramètres de son navigateur internet. Le refus de certains cookies peut toutefois altérer le fonctionnement de certaines fonctionnalités du Site ou des Services.

Les cookies et traceurs sont conservés pour une durée limitée conforme à la réglementation applicable. Les informations collectées via ces traceurs sont exclusivement destinées à YUNOHIT et à ses prestataires techniques autorisés agissant pour son compte, dans le respect de la réglementation applicable en matière de protection des données à caractère personnel.

10. De quels droits disposez-vous ?

En vertu de la réglementation applicable en matière de Protection des Données à caractère personnel, vous disposez :

• Du droit de retirer votre Consentement à tout moment lorsque le Traitement de vos Données à caractère personnel est basé sur le Consentement sans que ce retrait ne porte atteinte à la licéité du Traitement de vos Données effectué avant le retrait de votre Consentement ;
• Du droit d’accéder à vos Données à caractère personnel et d’en obtenir une copie gratuite (sauf pour les demandes répétitives ou excessives) et d’obtenir une description des principales caractéristiques du Traitement mis en œuvre en relation avec vos Données à caractère personnel ;
• D’un droit à l’information s’agissant de la collecte, du Traitement, et des droits dont vous disposez ;
• Du droit de rectifier dans les meilleurs délais vos Données à caractère personnel lorsqu’elles sont inexactes, incomplètes ou dépassées ;
• Du droit d’effacer dans les meilleurs délais vos Données à caractère personnel, dans les conditions prévues à l’article 17 du RGPD) ;
• Du droit de demander à YUNOHIT la limitation du Traitement de vos Données à caractère personnel dans les limites prévues par la réglementation ;
• Du droit de demander la portabilité de vos Données à caractère personnel lorsque le Traitement est fondé sur votre Consentement ou sur l’exécution d’un contrat ;
• Du droit de ne pas faire l’objet d’une décision individuelle automatisée ;
• Du droit de vous opposer, à tout moment et pour des motifs légitimes liés à votre situation particulière, au Traitement de vos Données à caractère personnel ;
• Du droit d’introduire une réclamation auprès de la CNIL ;
• Du droit de contacter YUNOHIT pour définir les directives particulières relatives au sort de vos Données à caractère personnel après votre décès.

Lorsque YUNOHIT agit en qualité de sous-traitant pour le compte d’un Professionnel de Santé ou d’un Établissement, les demandes d’exercice de droits portant sur les données Patients traitées dans le cadre de la prise en charge sont de la responsabilité du responsable de traitement concerné. YUNOHIT l’assiste, dans la limite de ses obligations contractuelles et réglementaires, afin de permettre le traitement de ces demandes.

Les droits relatifs aux données contenues dans le DMP ou Mon Espace Santé peuvent également être exercés directement par le Patient dans les conditions prévues par les services nationaux concernés.

11. Mesures techniques et organisationnelles garantissant la sécurité des données à caractère personnel traitées.

YUNOHIT s’engage à prendre toutes les précautions utiles et toutes les mesures techniques et organisationnelles appropriées afin de garantir l’intégrité et la confidentialité des Données ainsi qu’un niveau de sécurité adapté au risque présenté par le Traitement, et notamment, empêcher qu’elles soient détruites, perdues, altérées, conservées ou traitées d’une autre manière, divulguées de manière non autorisée ou que des tiers non autorisés y aient accès de manière accidentelle ou illicite.

Nous mettons en œuvre toutes les mesures de sécurité requises pour protéger vos Données à caractère personnel. Nous avons notamment mis en œuvre les mesures suivantes (liste non exhaustive) :

• L’hébergement des Données à caractère personnel de santé auprès d’un prestataire certifié Hébergeur de Données de Santé dans les conditions prévues par la réglementation applicable ;
• La traçabilité des accès ;
• Le chiffrement des connexions et des Données à caractère personnel quand cela est nécessaire ;
• La mise en place de mesures appropriées ainsi que la capacité de garantir la confidentialité, l’intégrité, la disponibilité et la résilience permanentes des systèmes et services de traitement ;
• Le chiffrement des connexions au serveur selon le protocole HTTPS ;
• La mise en place d’un système d’authentification forte de vos Professionnels de Santé Utilisateurs, conformément aux dispositions de l’article L.1110-4 du Code de la santé publique, au décret n°2007-960 du 15 mai 2007 ainsi qu’aux recommandations de l’Agence Numérique en Santé (ANS) et notamment le Référentiel d’authentification des acteurs de santé1.
• La sensibilisation permanente de nos collaborateurs à ces différents enjeux, par la présence d’un Règlement Intérieur de l’Entreprise, la mise en place d’une authentification sécurisée lorsqu’ils accèdent aux outils internes de YUNOHIT etc.
• La mise en place de traces embarquées, fonctionnelles et techniques s’agissant des accès à certaines informations ainsi que d’une journalisation, conformément aux principes de la PGSSI-S.

12. Violation de données

En cas de violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, YUNOHIT notifiera la violation à l’autorité compétente et, lorsque requis, aux personnes concernées, conformément aux obligations légales applicables.

13. Modification de la Politique de Confidentialité

La présente Politique de Confidentialité peut être modifiée à tout moment afin notamment de tenir compte des évolutions légales, réglementaires, techniques ou fonctionnelles des Services.

La version applicable est celle accessible en ligne à la date de consultation des Services.

14. Nous contacter

Pour toute question ou commentaire en lien avec la présente Politique de Confidentialité ; avec la manière dont YUNOHIT collecte ou utilise vos Données à caractère personnel ; ou encore pour toute question liée au Traitement de vos Données à caractère personnel et à l’exercice de vos droits vous pouvez nous contacter aux coordonnées suivantes :

• A l’adresse électronique : dpo [at] yunohit.com ;
• Par courrier postal à l’adresse : YUNOHIT, 406 boulevard Jean-Jacques Bosc, Cité Numérique – Bât. 2B, 33130 Bègles