SERVICE RAINBOW PAYANT HDS EN MODE UCaaS

Les présentes Conditions particulières, complétant les Conditions Générales d’utilisation du Service ont pour objet de définir les conditions techniques dans lesquelles le Fournisseur s'engage à rendre le Service au Client.

Les présentes Conditions Particulières prévaudront sur les Conditions Générales d’utilisation du Service payant Rainbow si une contradiction devait apparaître entre ces deux documents.

En sus des termes définis dans le Glossaire, les termes suivants, tant au singulier qu’au pluriel, ont la signification suivante entre les Parties :

Certification HDS : certification nécessaire à l’exercice de traitement et d’hébergement de données de santé à caractère personnel sur support numérique telle que définie par l’article L 1111-14 à L 1111-24 du Code de la Santé Publique et son décret d’application N° 2018-137 du 26 février 2018.

Conditions Particulières : les présentes conditions.

Client : Personne, physique ou morale qui souscrit à l’offre « Service Rainbow HDS ». Il appartient au Client de s’assurer de son obligation de se faire certifier HDS si nécessaire pour sa propre activité. Dans le cadre de l’hébergement de données de santé, le Client est un professionnel ou un établissement de santé qui dépose des Données de santé par le biais du Service. Il appartient au Client de s’assurer de ses obligations relatives à la PGSSI-S.

Contrat : Ensemble des présentes Conditions Particulières et des Conditions Générales de Services.

Données : Ensemble des données saisies, transmises et/ou traitées par le Client, ses propres Utilisateurs et les Personnes concernées, lors de l’utilisation du Service. Ces données pouvant inclure des Données de santé.

Données de santé à caractère personnel (ou Données de santé) : toutes données relatives à la santé physique ou mentale d’une personne physique, identifiée ou qui peut être identifiée, directement ou indirectement, recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soin ainsi que la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne.

Hébergeur de données de santé – Infogéreur (ou Hébergeur) : personne physique ou morale disposant d’une certification et pouvant, de ce fait, héberger des Données de santé.

Personnes concernées : personne physique à laquelle se rapportent les données à caractère Personnel.

Service : solution de communication, objet des Conditions particulières, par laquelle ALE ou le Revendeur de Service permet au Client de communiquer, partager et stocker des Données avec des Utilisateurs et des Personnes concernées.

UCaaS : Service de Communications Unifiées (Unified Communications As A Service).

Utilisateurs : utilisateurs finaux du Service mis à leur disposition par Vous en qualité de Client du Service ou vos propres utilisateurs, dans le cadre du Service Rainbow HDS. Il s’agit des membres du personnel du Client et des personnes que ce dernier autorise à accéder au Service.

Dans le cadre de la fourniture du Service, ALE ou un Revendeur Agrée (dans le cadre d’une souscription via un Revendeur Agrée) met à votre disposition un Service de communication pour des échanges de Données conforme à la réglementation HDS.

ALE intervient au titre du Service en qualité d’Hébergeur – infogéreur de Données de Santé au sens des articles L1111-8 et R1111-9 du Code de la Santé Publique et assure dans le cadre du Service les activités suivantes mentionnées aux points 1,2,3,4,5 et 6 de l’article R 1111-9 précité :

• mise à disposition et le maintien en condition opérationnelle des sites physiques permettant d’héberger l’infrastructure matérielle du système d’information utilisé pour le traitement des Données de santé ;
• mise à disposition et le maintien en condition opérationnelle de l’infrastructure matérielle du système d’information utilisé pour le traitement de Données de santé ;
• mise à disposition et le maintien en condition opérationnelle de la plateforme d’hébergement d’applications du système d’information ;
• mise à disposition et le maintien en condition opérationnelle de l’infrastructure virtuelle du système d’information utilisé pour le traitement des Données de santé ;
• administration et l’exploitation du système d’information contenant les Données ;
• sauvegarde des Données.

Etant entendu que pour les activités 1,2,3 et partiellement l’activité 4 sont sous – traitées à OVH en qualité d’hébergeur de données santé certifié HDS LNE-35608-0.

Activité 6 : Sauvegarde des Données

Le Service HDS Rainbow n’est pas un service d’archivage agréé par le Ministère de la culture. Le Service n’inclut pas les services d’archivage et de conservation des Données de Santé, tels que requis dans le cadre de la PGSSI-S (conservation des archives sur les Données des Personnes concernées / patients).

Cependant, ALE fournit les outils et interfaces nécessaires pour que le Client puisse réaliser ou faire réaliser ces services d’archivage auprès d’un tiers de son choix.

A cet égard, ALE fournit une extraction mensuelle/ trimestrielle ou annuelle des éléments échangés lors de l’utilisation du service (messages, fichiers) ainsi que des données d’identification du compte de l’Utilisateur (nom, prénom et profils utilisateurs,) soit à un archiveur certifié sur option de paiement supplémentaire, soit au Client si vous réalisez vous-même ledit archivage.

ALE met à disposition sur son site internet les preuves de certification HDS et de certification ISO27001. Tout changement lié à l’activité HDS réalisée par ALE ou par extension tout changement relatif aux normes associées (ISO27001) sera notifiée au Client sous 10 jours ouvrés.

Le Service est à destination des établissements et professionnels de santé conformément aux dispositions légales et réglementaires en vigueur.

Les Données à caractère personnel ne sont utilisées que pour servir la finalité du Service (Service de communication, de partage et de stockage des Données). Le traitement des Données mis en œuvre par ALE a pour objectif exclusif de permettre la délivrance du Service de communication que vous avez en qualité de Client avec vos Utilisateurs et/ou les Personnes concernées dans le cadre du domaine de la santé et de permettre le partage et le stockage des Données.

Le Service permet à vos Utilisateurs de soumettre, de partager, d'envoyer et d'afficher des contenus vers et avec d'autres Utilisateurs. À ce titre, vous reconnaissez et convenez (pour vous-même et vos Utilisateurs) que ces contenus ne peuvent être vus que par les participants à la conversation.

Dans le cadre de l’utilisation de ce Service, Vous confirmez en qualité de Client posséder l’ensemble des connaissances de la Réglementation et des référentiels de la PGSSI-S pour utiliser vous-même le Service et uniquement par le personnel habilité à administrer les Données de santé.

En qualité de Client et en qualité de responsable des traitements vous êtes responsable du respect des dispositions réglementaires en vigueur de la PGSSI-S dans le cadre de l’utilisation de ce Service.

3.1 : GESTION DES DONNEES DE SANTE

Les Données que vous stockez sur le Service peuvent comporter des données à caractère personnel ainsi que des Données de Santé. En qualité de Client et responsable des traitements, vous assurez le contrôle du traitement de ces données.

Les Parties s’engagent à traiter les Données de santé en conformité avec les dispositions légales et réglementaires en vigueur, notamment en matière de protection des données à caractère personnel et d’hébergement de données de santé. ALE, et toute personne intervenant dans le cadre du Service, n’agissent que sur instruction du Client.

En tant que sous-traitant de données, ALE s’engage à ne pas accéder aux données traitées par ALE pour le compte du Client sauf (i) dans les cas les cas prévus par la loi, (ii) ou dans les cas de maintenance correctives qui seront toutes journalisées et associées à un ticket de support.

ALE assure la sensibilisation de son personnel au respect des exigences légales et réglementaires applicables à la sécurité des Données de santé, en particulier à leur confidentialité et au respect du secret professionnel.

ALE atteste au travers de son hébergeur OVH, que les Données du Service sont exclusivement localisées en France et donc dans l’Espace Economique Européen (EEE). Cela inclut les environnements de production, de sauvegarde, de journaux et métadonnées.

ALE précise que dans la cadre du Service, il n’y a aucun transfert de Données de santé à caractère personnel vers un pays tiers à l'espace économique européen.

Dans le cadre du Service, le Client est responsable de la conformité des Données traitées aux exigences légales et réglementaires en vigueur, notamment en matière de protection des données personnelles et d’hébergement de données de santé.

À ce titre et en sa qualité de responsable des traitements, il est notamment responsable :

• de l’exactitude des Données et de leur mise à jour ;
• de la détermination d’une durée de conservation ;
• de la suppression des données ;
• de l’information préalable des personnes concernées ;
• du recueil des consentements auprès des Personnes concernées requis en application de la réglementation en vigueur ;
• de la gestion des accès des Utilisateurs finaux aux Données de santé ;
• de la sécurité de ces dernières.

Les Parties s’engagent à coopérer avec les autorités de protection des données à caractère Personnel ou de santé compétentes.

Aucun accès aux Données de santé à caractères personnels « DSCP » depuis un pays hors EEE n’est autorisé : Tout accès aux données réalisé par le client en dehors de l’Espace Economique Européen (EEE) relève de la responsabilité unique du client.

En cas de réception d’une requête provenant d’une autorité administrative ou judicaire par l’une des Parties, ALE sera tenue de transmettre lesdites Données aux autorités compétentes. ALE notifiera le Client d’une demande des autorités excepté dans le cas où la réquisition judiciaire l’interdit.

3.2 : DROIT DES PERSONNES CONCERNEES

3.2.1 : INFORMATION ET CONSENTEMENT

En qualité de Client, vous devez vous assurer de l’information préalable des Personnes concernées concernant l’utilisation du Service, conformément aux dispositions légales et réglementaires en vigueur.

Cette information doit comporter les mentions obligatoires en matière de protection des données à caractère personnel, ainsi que les mentions relatives à l’hébergement de données de santé et aux modalités d’accès et de transmission de ces données.

L’information préalable des Personnes concernées relative à l’hébergement de Données de santé ne relèvent en aucun cas de la responsabilité d’ALE.

3.2.2 : EXERCICE DES DROITS DES PERSONNES CONCERNEES

Conformément aux dispositions légales et réglementaires en vigueur, notamment en matière de gestion des droits sur les données personnelles et d’hébergement de Données de santé, tout Utilisateur du Service ou Personne Concernée dispose de droits sur ses Données pour autant que ces derniers ne soient pas contraints par d’autres disposition légales prévalentes.

Il s’agit notamment :

• des droits à la transparence sur les finalités de traitements sur les Données ;
• des droits d’accès et de rectification ou de suppression des Données ;
• des droits d’objection ou d’opposition à toutes ou partie des finalités de traitement des Données ;
• du droit de notification des événements intervenus sur ou ayant affecté les Données ;
• du droit de restriction de traitement ;
• du droit à la portabilité.

L’Utilisateur du Service responsable de traitement demeure seul responsable du traitement de ces demandes conformément à la réglementation en vigueur notamment les articles L1110-4 et L1111-7 du Code de la Santé Publique et le chapitre III du Règlement 2016/679 du Parlement européen et du Conseil en date du 27 avril 2016.

À réception d’une Demande d’exercice de droit par une Personne Concernée, le Client s’engage à :

• authentifier le demandeur ;
• valider la recevabilité de la demande ;
• répondre à la demande dans la mesure de ses possibilités et des moyens mis à sa disposition par ALE.

ALE fait suivre au Client toutes demandes des Personnes concernées qui voudraient exercer leurs droits.

ALE fournit au Client responsable de traitement l’assistance et la coopération pour le traitement de telles demandes.

3.2.4 : SECURITE

Dans le cadre de la fourniture du Service, ALE s’engage à prendre toutes précautions utiles, en regard de la nature des Données et des risques présentés par le traitement, pour préserver la sécurité des Données.

ALE s’engage notamment à mettre en place des mesures de protection ainsi que les mesures techniques et organisationnelles afin d’assurer la confidentialité, l’intégrité et la disponibilité du Service et des Données de santé conformément aux politiques de sécurité et directives du service Rainbow HDS reliées à la déclaration d’applicabilité issue des certification ISO 27001 et HDS.

La Déclaration d’Applicabilité (DDA) relative à la certification HDS d’ALE est disponible sur demande et en français au support Rainbow par email à [email protected].

Les Parties s'engagent, en particulier, à respecter les principes fondateurs de la PGSSI-S (Politique générale de sécurité des systèmes d'information de santé) et à se conformer aux référentiels techniques et aux guides associés.

Il incombe à ALE de :

• Fournir au Client un accès individuel et sécurisé, reposant sur des moyens d’authentification forte, aux Données hébergées chez ALE ;
• Formaliser une politique de sécurité dont le champ d’application couvre le Service et les Données ;
• Assurer la sécurité de l’architecture réseau et des services liés au Service ;
• Maintenir la confirmité HDS et ISO 27001:2022 ;
• Sensibiliser son personnel à la confidentialité et au respect du secret professionnel ;
• Assurer la mise en place contractuelle d’accord de non divulgation avec ses sous-traitants ;
• Assurer la traçabilité des accès et des opérations réalisées sur le Service et les Données ;
• Sauvegarder pendant une durée de douze (12) mois les journaux de connexion ;
• Gérer les Incidents de sécurité ;
• Mettre en œuvre un plan de continuité et de reprise d’activité.

Il est précisé au Client que l’ensemble des Données et des fichiers échangés dans le cadre du Service ALE sont conservées pendant la durée du Contrat.

Les obligations suivantes relèvent exclusivement de la responsabilité du Client :

• S'assurer que ses propres Utilisateurs gèrent les Données de santé dans le respect de la PGSSI-S ;
• Formaliser une politique de sécurité dont le champ d’application couvre les Données de santé ;
• Assurer la sécurité des postes de travail et des équipements ;
• Gérer finement les habilitations, l’identification, l’authentification et le contrôle d’accès ;
• Veiller à ne pas inclure de Données de santé dans les tickets ouverts vers le support du Revendeur ;
• Contrôler l’utilisation des moyens d’authentification forte ;
• Sensibiliser et former son personnel à la sécurité des systèmes d’information ;
• Sensibiliser son personnel à la confidentialité et au respect du secret professionnel ;
• Archiver et conserver les Données de Santé conformément à la réglementation PGSSI-S ;
• Transmettre et mettre à jour la Liste des Points de contacts telle qu’elle figure en Annexe 2.

3.2.5 : GESTION DES ACCES AUX DONNEES DE SANTE

Conformément aux dispositions légales et réglementaires en vigueur, l’accès aux Données de santé est réservé aux personnels de santé et aux personnes placées sous l’autorité du Client.

Le Client est responsable de la gestion des habilitations des Utilisateurs finaux du Service, de toute personne qu’il aurait individuellement autorisée à accéder aux Données de Santé et, le cas échéant, des Patients.

Il revient au Client de s’assurer que les personnels techniques accédant aux Données de santé :

• sont qualifiés pour réaliser les opérations sur les Données de santé et pour assurer la sécurité de ces données ;
• sont sensibilisés à la gestion des Données de santé et au respect de la vie privée des Personnes concernées ;
• sont sensibilisés au respect du secret professionnel ;
• disposent d’une clause de confidentialité dans leur contrat de travail ;
• maîtrisent les mesures de sécurité renforcées spécifiques aux Données de santé ;
• utilisent des comptes d’accès individuels ;
• sont dotés de moyens d’authentification conformes à l’état de l’art.

S’agissant des Utilisateurs, le Client a seul la responsabilité de veiller à ce qu’ils :

• soient juridiquement autorisés à accéder aux Données de santé et à intervenir sur les traitements de Données de santé ;
• soient soumis au respect du secret professionnel, et notamment du secret médical ;
• accèdent aux Données de santé dans le respect des dispositions légales et réglementaires en vigueur.

ALE et/ou le Revendeur Agréé ne sauraient en aucun cas être tenus pour responsables de toute conséquence d’une utilisation erronée par les Utilisateurs du Client ou par toute personne à laquelle le Client aura fourni un accès.

3.2.6 : EVOLUTION MAJEURE DU SERVICE

Toute évolution majeure du Service, étant à l’initiative d’ALE, n’entrainera pas de régression, ni de non-conformité quant aux exigences concernant la protection des Données de santé et la protection des Données à caractère personnel.

ALE s’engage à assurer la continuité de service au cours des évolutions majeures et à informer le Client de toute évolution majeure.

3.2.7 : SUPPORT DE LA LANGUE FRANCAISE

L’application est disponible dans son intégralité en langue française. Le support de premier niveau est lui aussi accessible en langue française.

3.2.8 : GESTION DES INCIDENTS

Les Parties s’engagent à coopérer dans la gestion de tout Incident. ALE s’engage à informer de tout incident dont il a eu connaissance et qui est susceptible d’affecter les Données de santé dans les meilleurs délais avec un objectif de 48 Heures le Revendeur Agréé qui en informera le Client.

La communication est assurée via le Service Client Rainbow. Une cellule de crise est organisée pour identifier les causes et les actions correctives à mettre en place.

Pendant cette période de gestion de crise, le Service peut passer en mode dégradé.

Sont exclus de ce processus tous les Incidents liés à une mauvaise utilisation du Service par le Client, un non-respect de l’état de l’art par le Client sur la sécurité des actifs de leur périmètre.

3.2.9 : POINT DE CONTACT

Les Parties (ALE, le Revendeur Agréé du Service et le Client), s’engagent à désigner chacune un interlocuteur principal et un interlocuteur secondaire, en charge de la bonne exécution du Service, et notamment des problématiques de sécurité.

Le Client s’assure de la désignation au minimum d’un interlocuteur principal et secondaire, en charge des problématiques sur le traitement des Données de santé sur le Service.

L’ensemble de ces interlocuteurs doivent permettre une prise de contact entre les Parties.

Le Client est informé qu’ALE fait appel à des sous-traitants dans le cadre de l’exécution du Service dont la liste figure en Annexe 3.

Le Service est hébergé chez un hébergeur certifié HDS.

ALE est susceptible de modifier la liste de ses sous-traitants à tout moment telle qu’elle figure en Annexe 3, sous réserve d’en informer le Client au préalable.

ALE s’engage à reporter, dans les engagements qu’il contractera avec le sous-traitant les obligations qui lui incombent au titre dispositions légales et réglementaires en vigueur, à cet égard ALE a conclu un accord sur la sous-traitance des données conformément au RGPD.

TOUTES LES DISPOSITIONS DE L’ARTICLE 9 DES CONDITIONS GENERALES D’UTILISATION DU SERVICE RAINBOW PAYANT S’APPLIQUENT DANS SON INTEGRALITE.

EN OUTRE, TOUTE RESPONSABILITÉ DU FOURNISSEUR DE SERVICE, DE SES SOCIÉTÉS AFFILIÉES, TOUT FOURNISSEUR TIERS AYANT ÉTÉ IMPLIQUÉ DANS LA FOURNITURE DU SERVICE HDS, LEURS ADMINISTRATEURS, DIRIGEANTS, SALARIÉS ET AGENTS RESPECTIFS DANS LEUR ENSEMBLE, NE PEUT ETRE ENGAGEE NOTAMMENT EN CAS DE NON-RESPECT PAR LE CLIENT DE SES PROPRES OBLIGATIONS LEGALES, DE DIVULGATION OU D’UTILISATION ILLICITE DU MOT DE PASSE, OU DE PERTE OU DETERIORATION DES DONNEES.

ALE assure des sauvegardes des Données dans le cadre du Service, mais cela ne saurait dispenser le Client d’effectuer une sauvegarde complète de ses Données à des fins d’archivage.

Des mécanismes et fonctionnalités permettent d’assurer la disponibilité et la continuité du Service. ALE rappelle que le Service établie et maintient un plan de continuité d’activité (PCA) ainsi qu’un plan de reprise d’activité (PRA).

Ces documents décrivent la nature des dispositifs, les activités de test des dispositifs réalisés par ALE ainsi que les conditions de déclenchement du PCA et du PRA.

Les valeurs de RTO (Objectif de délai de récupération) et RPO (Objectif de point de récupération) sont respectivement fixé à 48 heures et 24 heures.

ALE fournit un service continu permettant d’avoir une vue de l’état du service et des opérations en cours via le site Rainbow Health Status. Ces mesures sont prises en continu.

Le taux de disponiblité du service proposé est de 99,5%.

ALE ne propose pas de système de pénalités applicable en cas de non respect des objectifs de disponibilité.

8.1 Certification

Dans le cadre de l’organisation du Service, ALE a mis en place un système de management de la sécurité de l’information certifié HDS.

ALE s’engage à maintenir cette certification (ou toute certification équivalente) pendant la durée du Contrat, et dans ce cadre, mandate chaque année un organisme accrédité pour réaliser un audit de suivi et tous les trois ans afin de délivrer la certification HDS.

8.2 Audit par le Client

Dans le cadre du référentiel HDS, le Client peut dans les conditions prévues de la procédure d’audit du Service réaliser ou faire réaliser à leur propre charge un audit portant sur le respect du référentiel HDS.

8.3 Perte de Certification

En cas de perte de sa Certification, ALE en informe sans délai le Revendeur Agréé qui en informe le Client.

Dans une telle circonstance, le Client peut résilier de plein droit le Contrat et ce sans indemnité.

ALE s’engage à accompagner le Client pour la pleine récupération des Données de santé.

8.4 Rapport d’Audit

ALE s’engage fournir, sur demande le dernier rapport d’audit de certification HDS par email à [email protected].

8.5 Synthèse Managériale

Le client peut demander à ALE de founir une synthèse managériale d’un rapport d’audit technique portant sur les ressources mutualisées dans le cadre du service. Le rapport d’audit ne devra pas dater de plus de 3 ans.

ALE assurera la restitution des Données au Client dans les trente (30) jours suivant la réception d’un ticket demandant la restitution des données, suite à une fin du Service c’est à dire la fin de votre Contrat d’Abonnement et ce quelle que soit la cause.

Pour la demande de restitution, le Revendeur Agréé s’engage à ouvrir un ticket auprès d’ALE sur le Business Portal afin de demander la restitution des données. Ce ticket aura pour objet « Reversibility HDS ».

Les modalités de récupération de leurs Données par le Client se fera dans un format de fichier numérique défini par ALE, lisible par le Client. Les DSCP et metadonnées seront fournies dans des formats ouvert. Les documents attachés conserveront leur format d’origine.

Le Client est informé qu’ALE procédera à la suppression de l’ensemble des Données que le Client aurait déposé sur le Service soixante (60) jours suivant la fin du Service.

À l’issue de cette période de soixante (60) jours, les données seront supprimées et ni ALE, ni le Revendeur Agréé ne pourront être tenus pour responsable d’un défaut de réconciliation des Données qui n’aurait pas été dûment détecté par le Client lors de la réversibilité.

La vérification de la complète restitution des Données est sous la seule responsabilité du Client.

Sous réserve des données qu’ALE se doit de conserver conformément à la réglementation en vigueur et des données nécessaires à la défense de ses droits, ALE s’engage, à la fin des opérations de réversibilité, à ne conserver aucune copie des données concernées.

ALE ne facture pas de coûts en regard de la réversibilité dans la mesure ou les extractions et échanges ne prennent pas plus de trois (3) jours travaillés. Si la durée devait être étendue du fait des volumes de données ou des ralentissements du fait du Client, ALE pourrait demander un paiement au temps passé au-delà des 3 jours.

• ANNEXE 1 – MESURES TECHNIQUES ET ORGANISATIONNELLES
• ANNEXE 2 – FICHE POINT DE CONTACTS SERVICE RAINBOW HDS – CLIENT
• ANNEXE 3 – LISTE DES SOUS-TRAITANTS
• ANNEXE 4 – CERTIFICATS HDS

Document complet : SERVICE RAINBOW PAYANT HDS EN MODE UCaaS – Hébergement de Données Santé, Conditions particulières d'utilisation