Hébergement de Données de Santé (HDS)

Scaleway est titulaire de la certification Hébergeur de Données de Santé (HDS) délivrée par BSI France (British Standards Institution), organisme certificateur accrédité, conformément au Référentiel de certification HDS — Exigences et Contrôles, v.2 – Avril 2024.

La certification couvre les services cloud suivants utilisés par Thérapéo : Object Storage, Block Storage, Instances, Virtual Private Cloud (activités HDS n° 1, 2, 3 et 4), hébergés dans les datacenters Scaleway situés exclusivement en France.

La certification HDS (Hébergeur de Données de Santé) est un dispositif réglementaire français créé pour renforcer la protection des données de santé à caractère personnel. Elle est obligatoire pour tout organisme qui héberge des données de santé pour le compte de professionnels de santé, d'établissements de santé, ou de services numériques en santé.

Le référentiel HDS repose sur la norme ISO/IEC 27001 (management de la sécurité de l'information), enrichie d'exigences spécifiques à la santé. Il définit six activités certifiables :

1. Activité 1 — La mise à disposition et le maintien en condition opérationnelle des sites physiques permettant d'héberger l'infrastructure du système d'information utilisé pour le traitement des données de santé.
2. Activité 2 — La mise à disposition et le maintien en condition opérationnelle de l'infrastructure matérielle du système d'information utilisé pour le traitement des données de santé.
3. Activité 3 — La mise à disposition et le maintien en condition opérationnelle de l'infrastructure virtuelle du système d'information utilisé pour le traitement des données de santé.
4. Activité 4 — La mise à disposition et le maintien en condition opérationnelle de la plateforme d'hébergement d'applications du système d'information.
5. Activité 5 — L'administration et l'exploitation du système d'information contenant les données de santé.
6. Activité 6 — La sauvegarde externalisée des données de santé.

Dans le cadre de son contrat avec Scaleway, Thérapéo bénéficie des garanties HDS pour les activités suivantes :

En tant que service numérique en santé et responsable du traitement des données de ses utilisateurs, Thérapéo s'engage à :

• N'héberger les données de santé que sur des infrastructures certifiées HDS ou équivalentes, conformément à l'article L. 1111-8 du Code de la santé publique.
• Conclure avec tout hébergeur HDS un contrat précisant les engagements en matière de sécurité, confidentialité et disponibilité des données (voir notre DPA Scaleway).
• Informer les utilisateurs sur le lieu et les conditions d'hébergement de leurs données de santé (conformément au RGPD et à la politique de confidentialité de Thérapéo).
• Mettre en œuvre les mesures de sécurité applicatives nécessaires en complément des garanties offertes par l'hébergeur HDS (chiffrement applicatif, authentification, contrôle d'accès, journalisation).
• S'assurer du maintien en état de la certification HDS de Scaleway et adapter son infrastructure en cas de changement d'hébergeur.