Sécurité et données
Les questions de ton consultant, avec leurs réponses
Les règles qui s'appliquent à nous, et où nous en sommes
- Art. 28 GDPRTu es le titulaire. Accord de traitement public, sans formulaire à remplir.
- Données en ItalieInfrastructure italienne, aucun intermédiaire, aucun transfert en dehors de l’Union.
- Mesures de sécuritéFiche technique publiée intégralement.
- Photos chiffréesChaque photo clinique est chiffrée dans le navigateur avant l'envoi.
- Connexion en deux étapesMot de passe et application d'authentification sur le téléphone.
- Code de conduite européenL'hébergeur des données adhère à un code de conduite approuvé au titre de l'art. 40 du RGPD.
- Art. 50 · transparenceNous indiquons quand tu parles avec une IA. Le marquage lisible par machine n’est pas encore disponible.En cours
- Marquage CE à partir de 2029Aujourd’hui, il n’est apposable par personne. Trois des quatre exigences sont déjà respectées.En cours
Ce sont les noms des règles, pas des labels délivrés par un organisme.
Où se trouvent physiquement les données ?
Sur des serveurs de Aruba S.p.A., en Italie, donc dans l’Union européenne. Pas sur des clouds américains, et sans répliques hors de l’Union : la chaîne clinique ne quitte le territoire européen à aucune étape. Tu le vérifies avec un « whois » sur l’adresse du site.
Qui est le titulaire du traitement ?
Toi. Les patients sont les tiens, le dossier est le tien, les décisions concernant le traitement des données sont les tiennes. Nous sommes responsables du traitement et agissons sur tes instructions, avec un accord écrit conformément à l’art. 28 du GDPR que tu signes avant de commencer.
Comment sont-ils chiffrés ?
Le trafic passe en TLS. Les photos cliniques sont chiffrées dans le navigateur avant l’envoi, et la clé qui protège chaque photo reste sur le serveur ; les sauvegardes sont chiffrées avant d’être écrites. La base de données, en revanche, n’est pas encore chiffrée au repos, ni au niveau du disque ni champ par champ : elle est protégée par le contrôle d’accès à la machine et par la séparation entre cabinets.
Qui, au sein de Fibonacci, peut lire un dossier ?
Le personnel technique qui gère les serveurs a accès à l’infrastructure, comme pour tout service hébergé. Les accès aux données sont tracés dans le même registre que celui que tu consultes. Nous ne consultons pas les dossiers de notre propre initiative, et si tu nous demandes une assistance pour un cas concret, nous le faisons avec toi et cela reste consigné.
Les données des patients servent-elles à entraîner des modèles d’intelligence artificielle ?
Non. Les fournisseurs des modèles que nous utilisons se sont engagés par contrat à ne pas entraîner leurs modèles avec les données transmises via nos appels. Les contrats sont listés dans la page des sous-responsables.
Et les sauvegardes ?
Sauvegardes chiffrées et quotidiennes, avec test de restauration périodique. Le registre historique permet de rétablir le système à un instant précis, pas seulement à la dernière nuit.
Si j’arrête, que deviennent les données ?
Tu exportes tout dans un format standard lisible sans nous, à tout moment et sans demander d’autorisation. À la fin de la relation contractuelle, les données te sont restituées puis supprimées selon les délais prévus dans le contrat.
Et si c’est vous qui fermez ?
C’est la même chose : l’exportation est une fonctionnalité du produit. Le format est FHIR, un standard sanitaire international, donc un autre prestataire peut le lire sans avoir à le réinventer.
Les documents
Transmets-les à ton consultant avant d’échanger avec nous
Ils sont publics, sans formulaire à remplir.
- Accord sur le traitement des donnéesL’art. 28 entre toi, responsable de traitement, et nous, sous-traitants.
- Sous-traitantsQui accède aux données en plus de nous, et dans quel but.
- Mesures de sécuritéLa fiche technique ex art. 32, en détail.
- Notice de confidentialitéComment nous traitons les données des visiteurs du site et des utilisateurs du service.
Si tu trouves un problème
Signalements de sécurité
Se individui una vulnerabilità, scrivi a info@fibonaccimedica.it. Nous répondons et nous disons ce que nous avons corrigé. Nous te demandons seulement de ne pas toucher aux données de patients réels pendant ton investigation.