Le Centre Hospitalier Bretagne Atlantique (ci-après « CHBA » ou « l'Éditeur ») a développé une application mobile collaborative multiplateforme destinée aux professionnels de santé. Dans le cadre de la mise à disposition de son Application, le CHBA recueille et traite des données à caractère personnel de ses Utilisateurs.
L'Éditeur attache une grande importance à la protection des Données personnelles et au respect de la vie privée.
L'Éditeur s'engage à respecter la réglementation française et européenne sur la protection des données personnelles, en particulier le Règlement (UE) général sur la protection des données du 27 avril 2016 (« RGPD ») et la Loi Informatique et Libertés du 6 janvier 1978 modifiée (« LIL »).
L'Éditeur dispose d'un Délégué à la Protection des Données déclaré auprès de la CNIL et une équipe de sécurité.
La présente Politique de confidentialité s'applique à toute utilisation de l'Application, dès lors que l'Utilisateur se crée un compte et se connecte à l'Application.
1. Définitions
Les termes utilisés dans la présente Politique de protection des Données à caractère personnel avec des majuscules ont été définis de la manière suivante :
Application : désigne l'application mobile collaborative multiplateforme dénommée « DansMaBlouse » qui est éditée par le CHBA et mise à disposition de l'Utilisateur.
Destinataire(s) : la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel, qu'il s'agisse ou non d'un tiers.
Données à caractère personnel : désigne, au sens de l'article 4 (1) du Règlement général sur la protection des données (RGPD), toute information se rapportant à une personne physique identifiée ou identifiable ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
Données sensibles : désigne, au sens de l'article 9 du RGPD, toute information qui révèle une origine raciale ou ethnique, les opinons politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique. Les données médicales du patient font partie de cette catégorie.
CHBA : désigne le Centre Hospitalier Bretagne Atlantique, qui est l'Éditeur de l'Application « DansMaBlouse » et est un établissement public d'hospitalisation, dont le siège est 20 boulevard Général Maurice Guillaudot, 56017 VANNES Cedex (SIREN 265613372). Il est représenté par son directeur général.
Responsable du traitement : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement.
Sous-traitant : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.
Traitement : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de Données personnelles, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.
Professionnel de santé : désigne tous les professionnels intervenant dans le secteur de la santé et du médico-social, et qui sont éligibles à l'utilisation des services proposés par l'Application DansMaBlouse, et ce conformément aux conditions générales d'utilisation (CGU) des services DansMaBlouse.
Utilisateur : désigne le Professionnel de santé qui s'inscrit sur l'Application.
2. Objet de la politique
Toutes personnes physiques, Utilisateurs de l'Application DansMaBlouse ayant un compte, sont susceptibles de faire l'objet d'un traitement par l'Éditeur.
L'Éditeur expose dans la présente Politique la manière dont elle traite et protège les Données à caractère personnel des Professionnels de santé.
3. Responsable de traitement
Conformément à l'article 24 du RGPD, le Responsable du traitement est la personne qui détermine les moyens et les finalités du traitement. Il met en œuvre des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement. Ces mesures sont réexaminées et actualisées si nécessaire.
Le CHBA est Responsable du traitement des Données à caractère personnel collectées dans le cadre de l'administration de l'Application et de services qui en découlent et, en particulier, dans le cadre de la gestion du compte de l'Utilisateur.
En tant que Responsable de traitement, le CHBA prend les mesures propres à assurer la protection et la confidentialité des informations nominatives qu'elle détient ou qu'elle traite dans le respect des dispositions du RGPD.
4. Origine des données à caractère personnel
Les Données à caractère personnel traitées par l'Application sont collectées via différents canaux.
4-1. Données à caractère personnel fournies par l'Utilisateur
L'Éditeur est susceptible de traiter les Données à caractère personnel fournies directement par l'Utilisateur (i) lors de la création de son compte Utilisateur ou de l'utilisation des services, (ii) via le formulaire d'inscription.
4-2. Les Données à caractère personnel que l'Éditeur collecte automatiquement lors de l'utilisation de l'Application
L'Éditeur peut être amené à recueillir automatiquement des Données à caractère personnel lors de l'utilisation de l'Application (données de connexion, logs, adresse IP).
Nous ne collectons pas de Données Sensibles, y compris indirectement. À ce titre, et conformément à nos CGU, il est rappelé que les Utilisateurs ne sont pas autorisés à renseigner des Données à caractère personnel de santé dans l'Application.
5. Description des traitements des données à caractère personnel collectées
| Finalités | Données à caractère personnel traitées | Base légale de traitement | Durée de conservation |
|---|---|---|---|
| Création et gestion du compte Utilisateur |
Données d'identification : nom, prénom
Données de contact : adresse email Informations professionnelles facultatives : profession, spécialité médicale, CHU de rattachement |
Traitement nécessaire à l'exécution d'un contrat auquel la personne concernée est partie, ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci (article 6-1-b du RGPD) | Suppression après 2 ans d'inactivité (absence de connexion au compte) |
| Assurer l'administration de l'Application, sa sécurité et ses performances | Données de connexion : date, adresse IP et nom d'hôte, OS et version, type de tentative de connexion, résultat de la tentative, statistique d'utilisation de l'Application | Intérêt légitime | 12 mois |
Pour des raisons de sécurité, notamment pour assurer la continuité de ses Services, certaines Données à caractère personnel sont susceptibles d'être conservées par le CHBA dans des fichiers de sauvegardes protégés pendant 30 jours glissants. En cas de restauration de ces fichiers de sauvegarde, les durées de conservation indiquées ci-dessus seront automatiquement prises en compte.
6. Sous-traitants et destinataires des données à caractère personnel
Peuvent être Destinataires de tout ou partie des Données personnelles :
- Le personnel habilité de l'Éditeur : les Données à caractère personnel des Utilisateurs peuvent être traitées par les employés de l'Éditeur, dans la limite de leurs attributions respectives, et ce exclusivement afin de réaliser les finalités de la présente Politique.
- Les Sous-traitants : l'Éditeur recourt aux services d'OVH Cloud pour l'hébergement des Données à caractère personnel ainsi qu'à un prestataire informatique pour la maintenance et la sécurité de l'Application.
Transfert transfrontalier : l'Éditeur ne fait aucun transfert de données en dehors de l'Union européenne.
7. Exercice des droits
Conformément à la loi n° 78-17 du 6 janvier 1978, les Utilisateurs disposent des droits suivants sur ses données personnelles :
Droit d'être informé(e) : être informé(e) des Données personnelles que nous collectons et utilisons et de demander l'accès aux données concernées ou d'en exiger une copie.
Droit d'accès : accéder à toutes les Données personnelles que vous nous avez directement fournies via l'application.
Droit de rectification : exiger la correction de Données personnelles inexactes et, sous réserve de la nature de la collecte et de l'utilisation, le renseignement de données incomplètes.
Droit à l'effacement : obtenir la suppression des Données personnelles (sauf si elles nous sont nécessaires pour le respect de nos obligations légales ou la constatation, l'exercice ou la défense de droits en justice).
Droit d'opposition : s'opposer à la collecte et à l'utilisation des Données personnelles traitées sur le fondement de l'intérêt légitime.
Droit à la limitation : exercer vos droits à la limitation du Traitement des Données personnelles.
Droit post-mortem : nous communiquer des directives qui définissent la manière dont vous souhaitez que vos Données personnelles soient traitées après votre décès (en nous indiquant par exemple si vous souhaitez qu'elles soient conservées, effacées, ou communiquées à un tiers désigné).
Droit à la portabilité : exercer votre droit à la portabilité de vos Données personnelles, à savoir de demander au Responsable de traitement de fournir toutes les Données personnelles vous concernant dans le but de les transmettre à un autre responsable de traitement.
Droit de réclamation : introduire une réclamation auprès d'une autorité de contrôle relativement au Traitement de vos données personnelles (telle que la CNIL).
Pour exercer l'un de ces droits, vous pouvez contacter le CHBA et soumettre votre demande :
- Par courrier électronique à l'adresse : dpo@dansmablouse.fr
- Par courrier postal à l'adresse : Centre Hospitalier Bretagne Atlantique – DPO, 20 boulevard Général Maurice Guillaudot, BP 70555, 56017 VANNES Cedex
Ces droits peuvent être exercés :
- Par vos soins, à l'égard des Données personnelles vous concernant ;
- Par votre représentant légal, si vous faites l'objet de mesure de tutelle ;
- Par les héritiers de la personne décédée.
Si vos droits sont exercés par l'intermédiaire d'une ou plusieurs de ces personnes, ces dernières seront alors destinataires des informations qui découlent de l'exercice de ces droits.
Pour accéder à votre demande, nous aurons besoin de connaître votre identité. La demande doit être accompagnée d'un justificatif d'identité. Nous ne conserverons cette copie que le temps nécessaire au traitement de votre demande. Vous devrez également nous préciser l'adresse à laquelle la réponse doit vous être adressée.
Votre demande n'a pas besoin d'être motivée, sauf en cas d'exercice par vos soins du droit d'opposition. En effet, en cas d'exercice de votre droit d'opposition, vous devrez justifier de « raisons tenant à votre situation particulière », sauf dans le cas où vos Données personnelles sont traitées à des fins de prospection, notamment commerciale.
En cas de réclamation, l'utilisateur peut contacter la CNIL qui est l'autorité compétente en matière de protection des données personnelles, dont les coordonnées sont les suivantes :
- 3 Place de Fontenoy, 75007 PARIS ;
- 01 53 73 22 22.
8. Sécurité
S'agissant de l'Application, l'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées liées à la sécurité, ce conformément aux dispositions prévues par la Loi Informatique et Libertés et le RGPD, afin de garantir un niveau de sécurité approprié face aux risques présentés par le Traitement des Données à caractère personnel de l'Utilisateur. Pour évaluer le niveau de sécurité approprié, l'Éditeur tiendra compte des risques pouvant résulter d'une destruction accidentelle ou illicite, d'une corruption, d'une perte, d'une modification, d'une divulgation non autorisée ou de l'accès à des Données à caractère personnel susceptibles d'être transmises, stockées ou autrement traitées, eu égard aux dispositions de l'article 32 du RGPD.
9. Cookies
Un « cookie » est une suite d'informations de petite taille stockées sur votre ordinateur ou votre appareil via votre navigateur par les sites que vous visitez.
L'Éditeur recourt uniquement à des cookies strictement nécessaires (dits « Cookies fonctionnels ») au fonctionnement et à la sécurité de l'Application. Ces cookies ne sont soumis à aucun consentement préalable.
Ces cookies visent à faciliter la navigation et permettre un fonctionnement optimal de l'Application Internet (par exemple, les cookies d'authentification pour rester connecté). Ils sont destinés pour des fonctionnalités de base telles que la sécurité, la gestion du réseau et l'accessibilité.
Vous pouvez néanmoins configurer votre navigateur afin de bloquer ces cookies, mais certaines parties de l'Application pourront être affectées.
10. Conditions d'application de la politique
L'Éditeur est susceptible de modifier, compléter ou mettre à jour la présente Politique afin de prendre en compte toute évolution légale, réglementaire, jurisprudentielle et/ou technique.
En cas de modifications significatives (relatives aux finalités de traitement, aux Données à caractère personnel collectées, à l'exercice des droits, au transfert des Données à caractère personnel des Professionnels de santé) des termes de la présente Politique, l'Éditeur s'engage à en informer les Utilisateurs par email.
Tout accès et utilisation de l'Application passé cette notification seront soumis aux termes de la nouvelle Politique. En cas de désaccord de l'Utilisateur avec les termes de la nouvelle Politique de confidentialité, ce dernier pourra cesser toute utilisation de l'Application.
Tout Utilisateur est informé que l'unique version de la Politique qui fait foi est celle qui se trouve en ligne ce qu'il reconnaît et accepte sans restriction.
Les Utilisateurs sont tenus de se référer à la version en ligne de la Politique à la date de leur accès et de chaque utilisation des Services.
En utilisant l'Application, les Utilisateurs acceptent les termes et conditions mentionnés dans la présente Politique.
11. Nous contacter — coordonnées du DPO
Pour toutes questions ou réclamations concernant la présente Politique, les Utilisateurs peuvent contacter le CHBA par écrit ou par email :
Centre Hospitalier Bretagne Atlantique – DPO, 20 boulevard Général Maurice Guillaudot, BP 70555, 56017 VANNES Cedex
Annexe 1 : liste des sous-traitants
Hébergement :
| Sous-traitant | Pays d'origine du prestataire | Localisation des serveurs | Catégorie de service concerné | Type de tâche effectuée |
|---|---|---|---|---|
| OVH | France | France | Hébergement | Hébergement des données |