Hébergement de
données de santé

L’hébergement numérique de données de santé pour le compte de tiers est encadré par l’article L.1111-8 du Code de la santé publique et le référentiel HDS. La certification couvre des activités déterminées.

Google Cloud dispose d’une certification HDS v2.0 pour un périmètre défini de services et d’activités. Cette certification porte sur l’hébergeur. Les engagements applicables à Kemer dépendent des services utilisés, de leur configuration et des contrats conclus.

L’infrastructure Kemer est hébergée sur Google Cloud dans l’Union européenne. Les dossiers patients et les enregistrements audio sont stockés à Paris (europe-west9). L’application s’exécute en Belgique (europe-west1) et le traitement par intelligence artificielle via Vertex AI est configuré à Paris (europe-west9).

Les traitements comprennent la transcription audio, la génération des comptes rendus et les fonctions associées à la consultation. L’hébergement et le traitement IA reposent sur Google Cloud. Un prestataire de paiement intervient pour les abonnements.

Les enregistrements audio sont conservés pour le compte du praticien. Les conditions générales prévoient une durée de deux ans à compter de leur création ainsi qu’une possibilité de suppression anticipée sur demande du praticien. La transcription ne déclenche pas leur suppression immédiate.

Les modalités de restitution et de suppression à la fin du contrat figurent dans les CGU et l’accord de sous-traitance.

Le traitement principal par Gemini est configuré via Google Cloud Vertex AI dans la région Paris (europe-west9). Il sert à transcrire les enregistrements et à produire des comptes rendus à partir des éléments de la consultation.

Les conditions de traitement, de conservation et d’utilisation des données par le fournisseur sont celles des services effectivement utilisés et des engagements contractuels applicables à Kemer.

Les communications avec le service sont chiffrées en transit via HTTPS/TLS. La base de données Google Cloud SQL bénéficie du chiffrement au repos fourni par Google Cloud.

La configuration de Cloud SQL impose des connexions chiffrées. Le stockage des enregistrements applique une prévention des accès publics.

Les dossiers patients sont accessibles au praticien et aux collaborateurs de son cabinet disposant des habilitations nécessaires. Les accès techniques de l’équipe Kemer ne donnent pas accès au contenu des dossiers patients ni aux comptes rendus.

Les sauvegardes automatiques de la base sont activées, avec sept sauvegardes conservées. La base est configurée en disponibilité régionale.

Nos objectifs opérationnels sont une reprise du service en moins de 4 heures après un incident majeur et une disponibilité mensuelle de 99,9 %. Ces cibles guident l’amélioration du service ; elles ne constituent pas une garantie de résultat ni un engagement contractuel supplémentaire. Les engagements contractuels applicables sont ceux des CGU.

Les CGU prévoient une disponibilité de 99,5 % par mois, hors maintenance planifiée.

Lorsqu’il agit comme sous-traitant, Kemer informe le praticien responsable du traitement d’une violation de données dans les meilleurs délais après en avoir pris connaissance. Le responsable du traitement notifie l’autorité de contrôle compétente dans les meilleurs délais et, si possible, sous 72 heures, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Les personnes concernées sont informées lorsque les conditions de l’article 34 du RGPD sont réunies.

Pour signaler un incident : dpo@kemer.ai.

Les ajouts ou remplacements de sous-traitants sont notifiés aux praticiens 30 jours avant leur intervention, afin de leur permettre d’émettre une objection, selon l’accord de sous-traitance.

Kemer SAS est responsable des traitements qu’elle détermine pour la gestion de ses relations avec les utilisateurs, notamment les comptes, la facturation et les demandes de contact. Pour les données de consultation traitées sur instruction d’un praticien, celui-ci agit comme responsable du traitement et Kemer comme sous-traitant.

En tant que professionnel utilisateur de Kemer, vous pouvez exercer les droits prévus par le RGPD sur les données personnelles vous concernant en écrivant à dpo@kemer.ai, dans les conditions applicables à chaque traitement. Pour les données de vos patients, vous restez leur interlocuteur en tant que responsable du traitement ; Kemer vous assiste dans le traitement de leurs demandes. Vous pouvez également adresser une réclamation à la CNIL.

Le praticien informe ses patients des usages, données, destinataires, durées et droits applicables. Il recueille le consentement à l’enregistrement dans les conditions prévues aux CGU, puis relit et valide les documents générés avant utilisation.

Les CGU proposent une base d’information patient à adapter à la pratique du cabinet et à compléter avant remise au patient.

Contact pour la protection des données : dpo@kemer.ai.

L’accord de sous-traitance des données personnelles, également appelé DPA, encadre le traitement des données pour le compte du praticien. Il est intégré aux conditions générales.

Vous pouvez adresser une réclamation à la CNIL.