Données et sécurité
Qui décide
Le cabinet est responsable du traitement des données de ses patients. L'éditeur d'Acquito les traite pour son compte, comme sous-traitant (article 28 du RGPD), selon le contrat conclu avec lui.
Un patient qui veut exercer ses droits s'adresse à son cabinet. L'éditeur aide le cabinet à lui répondre.
Les données traitées
Le nom du patient, ses factures et attestations (numéros, dates, montants, mutualité), les virements reçus (date, montant, communication, nom et compte de l'émetteur), et les décisions prises par le cabinet.
Pour chaque membre du cabinet : identifiant, e-mail, mot de passe haché, second facteur et, s'il le veut, une photo.
Acquito ne reçoit ni numéro de registre national, ni adresse ou date de naissance du patient, ni diagnostic, ni prescription.
Seuls les virements reçus sont lus, et Acquito n'en tire que les champs ci-dessus, jamais l'adresse de l'émetteur.
L'extrait bancaire importé est gardé tel quel, pour montrer chaque preuve sur le document de la banque. Il peut donc contenir d'autres mentions de la banque, comme l'adresse de l'émetteur.
Ce sont des données de santé : savoir qu'une personne est soignée par un kinésithérapeute en est une.
Où
En Suisse, chez Infomaniak, que l'Union européenne reconnaît comme offrant une protection adéquate des données.
Aucune donnée d'un cabinet n'est envoyée à un service d'intelligence artificielle.
Sous-traitants
Silexio (Nicolas Wieckiewicz, Belgique) : développement, maintenance, administration et support, à distance et sans copie des données.
Infomaniak Network SA (Suisse) : hébergement des serveurs et stockage des sauvegardes chiffrées.
Tout nouveau sous-traitant est annoncé au moins 30 jours à l'avance. Le cabinet peut s'y opposer et résilier sans frais.
Sécurité
Connexion en deux étapes obligatoire, nombre d'essais limité, mots de passe hachés (Argon2).
Chaque cabinet ne voit que ses données. Chaque membre ne voit et ne fait que ce que son rôle permet : le comptable consulte les montants sans aucun nom de patient.
Échanges chiffrés (HTTPS). La base de données n'est jamais exposée à Internet. L'administration ne s'ouvre que depuis un réseau privé chiffré de bout en bout (Tailscale), après une connexion en deux étapes. Tailscale ne fait que relier ces appareils : il ne voit pas les données qui passent par ce réseau.
Les rapports d'erreurs et les journaux techniques ne contiennent aucune donnée personnelle.
Sauvegardes
Une sauvegarde chaque nuit et avant chaque mise à jour, chiffrée avant de quitter le serveur. La clé qui permet de la relire n'est jamais sur le serveur.
Chaque sauvegarde part vers deux emplacements distincts en Suisse. L'une des deux copies est verrouillée contre l'effacement pendant 30 jours. Les copies expirent ensuite d'elles-mêmes.
Accès de l'éditeur
L'éditeur n'ouvre les données d'un cabinet qu'à sa demande ou pour un incident, sur le serveur, sans copie.
Chaque accès dure 2 heures au plus, porte un motif, et le titulaire du cabinet le voit dans ses réglages.
En cas de violation de données, l'éditeur prévient le cabinet dans les 24 heures.
Conservation
Les durées de conservation de chaque type de donnée sont fixées dans le contrat de sous-traitance.
À la fin du contrat, le cabinet a 30 jours pour récupérer ses données, ou les reçoit sur demande. Elles sont ensuite effacées, sauvegardes comprises, au plus tard 90 jours après la fin du contrat.