Politique de protection des données
Définitions
Au sens de la présente Politique, les termes suivants seront utilisés :
« AIPD » • Analyse d’Impact relative à la Protection des Données.
« CNIL » • Commission Nationale Informatique et Libertés.
« Destinataire » • La personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel, qu’il s’agisse ou non d’un tiers.
« Donnée à caractère personnel » • Toute information se rapportant à une personne physique identifiée ou identifiable ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
« DPO » • Data Protection Officer ou Délégué à la Protection des Données.
« Personne concernée » • La personne physique à laquelle se rapportent les données à caractère personnel faisant l’objet du traitement.
« Privacy by Default » (Protection des données par défaut) • « CARDIDOM » met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées.
« Privacy by Design » (Protection des données à caractère personnel dès la conception) •
« CARDIDOM » met en œuvre, tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées qui sont destinées à mettre en œuvre les principes relatifs à la protection des données de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent règlement et de protéger les droits de la personne concernée.
« RGPD » • Règlement Européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel.
« Responsable de traitement » • La personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement.
« Sous-traitant » • La personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.
« Tiers » • Une personne physique ou morale, une autorité publique, un service ou un organisme autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous l’autorité directe du responsable du traitement ou du sous-traitant, sont autorisées à traiter les données à caractère personnel.
« Traitement » • Toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.
Préambule
« CARDIDOM » tient à placer la protection des données à caractère personnel au cœur de ses engagements.
« CARDIDOM » s’engage donc, par la présente Politique de Protection des Données, à respecter la règlementation en matière de protection des données à caractère personnel pour ses (patients, salariés, fournisseurs, prestataires, partenaires …) conformément au Règlement Européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD) et à la Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
Objectifs
Par le biais de la présente Politique de Protection des Données, « CARDIDOM » s’engage expressément à :
- Respecter les recommandations et, plus largement, la doctrine de la CNIL en matière de protection des données à caractère personnel, ou à justifier toute différence ;
- Se conformer aux préconisations de l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) ;
- Se conformer aux exigences en matière d’hébergement de données de santé ;
- Anticiper tout projet mettant en œuvre des données à caractère personnel dans le respect des principes dits de Privacy by Design et Privacy by
- Default définis à l’article 25 du RGPD ;
- Mettre en place des procédures internes permettant de contrôler le respect des obligations légales et des engagements pris par « CARDIDOM » ;
- Faciliter l’exercice des droits reconnus aux personnes concernées ;
- Assurer la plus grande transparence sur les traitements de données à caractère personnel mis en œuvre.
Délégué à la Protection des Données (DPO)
Le DPO est le « chef d’orchestre » de la mise en conformité au sein d’un organisme. Son rôle est de former et d’informer, conseiller, contrôler et sensibiliser sur toutes les questions relatives à la protection des données à caractère personnel. Il a pour mission la protection, la sécurité et la confidentialité des données à caractère personnel.
Afin de garantir le plus grand respect de la règlementation et d’assurer la plus grande transparence envers ses salariés, clients, prospects, fournisseurs, prestataires, « CARDIDOM », en sa qualité de responsable de traitement, a désigné un DPO que vous pouvez joindre à l’adresse suivante : contact@cardidom.com
Collecte et utilisation des données
« CARDIDOM » s’engage, en sa qualité de responsable de traitement, à collecter uniquement les données à caractère personnel strictement nécessaires au regard des finalités pour lesquelles elles sont traitées et ce, directement auprès des personnes concernées (patients, salariés, fournisseurs, prestataires, partenaires …).
Lorsque le consentement de la personne concernée est nécessaire à la collecte et au traitement de certaines données, « CARDIDOM » s’engage à recueillir ce consentement conformément aux exigences du RGPD.
Dans le cas où des données seraient collectées indirectement, « CARDIDOM » s’engage formellement à informer ses patients, salariés, fournisseurs, prestataires, partenaires … de celle-ci.
« CARDIDOM » s’engage également à ne pas traiter les données d’une manière incompatible avec les finalités pour lesquelles elles ont été initialement collectées.
Collecte et utilisation des données
« CARDIDOM » s’engage à conserver les données à caractère personnel de ses patients, salariés, fournisseurs, prestataires, partenaires … pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
En tout état de cause, le droit à l’information dont jouissent les personnes concernées implique que celles-ci soient expressément informées de la durée de conservation des données à caractère personnel les concernant.
Communication des données
« CARDIDOM » souhaite être transparente quant à l’utilisation qui est faite des données à caractère personnel de ses patients, salariés, fournisseurs, prestataires, partenaires …
Pour ce faire, ceux-ci sont informés que les données à caractère personnel les concernant sont susceptibles d’être communiquées :
- Aux services internes de « CARDIDOM » qui ont un besoin réel et justifié d’accéder à ces données ;
- Aux services internes du Groupe dont fait partie « CARDIDOM », le cas échéant, et qui ont un besoin réel et justifié d’accéder à ces données ;
- A tout sous-traitant ou prestataire ayant un besoin réel et justifié d’accéder à ces données ;
- A tout organisme (tiers) auquel « CARDIDOM » serait tenue, en vertu d’une obligation légale, de communiquer de telles données à caractère personnel.
Respect des droits des personnes
Dans le cadre permis par le Règlement Européen, « CARDIDOM » s’engage à respecter et à faire respecter les droits dont jouissent ses patients, salariés, fournisseurs, prestataires, partenaires … ;
à savoir :
- Droit à l’information ;
- Droit de rectification ;
- Droit à l’effacement ;
- Droit à la limitation du traitement ;
- Droit à la portabilité ;
- Droit d’opposition ;
- Droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé ;
- Droit à décider du sort de ses données personnelles après son décès.
Afin de garantir une réponse efficace et dans le délai réglementaire imparti, « CARDIDOM » a mis en place une procédure de gestion des droits.
Vous pouvez ainsi exercer vos droits en vous adressant à l’adresse suivante :
CARDIDOM • Service Qualité • 29 rue Pastorelli, Bureau 424 • 06000 Nice
Gestion des violations de données
« CARDIDOM » s’engage formellement à prendre toutes les mesures afin de minimiser les impacts d’une éventuelle violation de données à caractère personnel pour les personnes concernées.
Pour ce faire, « CARDIDOM », en sa qualité de responsable de traitement, s’engage à notifier toute violation de données à caractère personnel à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques.
« CARDIDOM » s’engage également à communiquer toute violation de données à caractère personnel à la personne concernée dans les meilleurs délais lorsque la violation en question est susceptible d’engendrer un risque élevé pour ses droits et libertés.
Afin d’assurer une gestion efficiente des violations de données à caractère personnel, « CARDIDOM » a mis en place une procédure dédiée à cet effet.
Sécurité et confidentialité
Dans le respect de la réglementation et dans la mesure où la sécurité et la confidentialité des données à caractère personnel des patients, salariés, fournisseurs, prestataires, partenaires … de « CARDIDOM » est un enjeu majeur, « CARDIDOM » s’engage à mettre en place toutes les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque.
La sécurité ne peut être optimale que si, et dans la mesure où, le sous-traitant respecte également les différentes mesures techniques et organisationnelles.
Pour ce faire, « CARDIDOM » s’engage formellement à s’assurer que l’ensemble de ses sous-traitants et partenaires présentent des garanties appropriées quant à la mise en œuvre de mesures techniques et organisationnelles, dans le respect du RGPD et des droits des personnes concernées.
« CARDIDOM » s’engage également à ce qu’un contrat soit conclu entre elle et ses sous-traitants en ce sens.
Privacy by design
Dans le respect de la réglementation, « CARDIDOM » s’engage, avant de mettre en œuvre tout traitement de données à caractère personnel, à :
- Informer le DPO de tout nouveau projet de traitement de données à caractère personnel ;
- Suivre l’avis du DPO sur les questions relatives à ce projet concernant la protection des données à caractère personnel ;
- Effectuer ou faire effectuer une AIPD lorsqu’elle est jugée nécessaire ;
- Sensibiliser le personnel sur la protection des données à caractère personnel par le biais de formations et/ou sensibilisations et la mise en place d’outils pédagogiques ;
- Plus généralement, mettre en place toutes les mesures techniques et organisationnelles appropriées de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent règlement et de protéger les droits de la personne.
Traitement des données à caractère personnel des patients
« CARDIDOM » appareille des patients sur prescription médicale. Dans le but de mieux les servir, nous mettons en œuvre plusieurs traitements de données à caractère personnel, à savoir :
- La gestion administrative de leur dossier, ce qui nous permet de :
- Mettre en place le matériel à leur domicile
- Effectuer des visites périodiques des techniciens, des infirmiers et du personnel para-médical, et d’assurer le suivi des appareils qui leur sont confiés ;
- Facturer les services liés à l’utilisation du matériel médical mis à leur disposition dans le cadre de leur prise en charge ;
- Communiquer avec eux pour la récupération de documents administratifs et d’en minimiser les délais ;
- Gérer d’éventuels différends et réclamations relatifs à nos prestations fournies dans le cadre de leur traitement ;
- Effectuer un suivi du patient conformément à la règlementation applicable (LATM, LPP, et instructions du médecin), comprenant la mise à disposition des données aux médecins prescripteurs ;
- Le suivi des réclamations et remontées d’informations relatif à la mise en place et au maintien des normes de qualité.
Dans le cadre de la gestion administrative de leur dossier (notamment vérifier l’étendue de leurs droits), « CARDIDOM », en tant que prestataire de santé, pourra être amené à contacter au besoin :
- Leur Caisse de Sécurité Sociale ;
- Leur organisme de Mutuelle le cas échéant.
Dans ce cadre, les données que nous traitons sont :
- Les données relatives à l’identité du bénéficiaire / assuré, dont le numéro de sécurité sociale ;
- Les données relatives à l’étendue de leurs droits ;
- Leur régime d’affiliation ;
- Leur Caisse de Sécurité Sociale.
La gestion administrative de leur dossier est effectuée dans le cadre de l’intérêt légitime de « CARDIDOM » aux fins de gestion et de suivi de leur prise en charge (sur la base d’une prescription médicale). La gestion administrative de leur dossier est également nécessaire aux fins de la gestion des systèmes et des services de soins de santé, conformément à l’article 9.2.h du RGPD. Les données qui y sont relatives sont destinées à un usage interne et pourront être communiquées à leur Caisse de Sécurité Sociale et à leur organisme de Mutuelle le cas échéant, ainsi qu’à nos prestataires d’hébergement (hébergeur agréé données de santé), d’archivage et à notre organisme concentrateur technique (ce qui permet notamment la transmission des feuilles de soins électroniques aux organismes de l’Assurance Maladie), pour ce qui les concerne. Elles seront conservées jusqu’à 5 ans à compter de la fin de la prestation effectuée par « CARDIDOM ». Les éléments comptables sont conservés pendant la durée légale applicable (actuellement 10 ans).
Dans le cadre de la gestion administrative de leur dossier, « CARDIDOM » est susceptible de leur envoyer des rappels nécessaires au suivi de leur dossier par tout mode de communication (SMS, appel téléphonique, mail, courrier postal) et ce afin de les accompagner au mieux dans leurs démarches administratives (prise de rendez-vous, …).
« CARDIDOM » met également en œuvre un traitement de données à caractère personnel ayant pour finalité l’évaluation de la qualité de ses services, « CARDIDOM » étant légitime à maintenir et améliorer son système de management de la qualité. Les données qui y sont relatives seront communiquées à notre prestataire d’hébergement pour ce qui le concerne, et seront conservées pendant 3 ans.
Leurs données sont traitées selon des modalités de nature à préserver une stricte confidentialité et notamment le respect absolu du secret médical, elles pourront être transmises à leur médecin de façon à permettre un meilleur suivi de traitement et une adaptation plus rapide de celui-ci à leurs besoins.
Traitement des données à caractère personnel des professionnels de santé
Traitement des données à caractère personnel des professionnels de santé
« CARDIDOM » met en œuvre un traitement informatique ayant pour finalité la gestion de la prospection à destination des professionnels de santé. Ceci est mis en œuvre dans le cadre de l’intérêt légitime de la Société à administrer et développer son activité commerciale. Les données sont destinées à un usage interne et seront conservées pendant une durée de 2 ans à compter de notre dernier contact.
Transparence des liens d’intérêt
Dans le cadre de ses obligations légales (initialement Article 2 de la Loi n° 2011-2012 du 29 décembre 2011, Décret n° 2013-414 du 21 mai 2013), « CARDIDOM » met en œuvre un traitement de données à caractère personnel ayant pour finalités :
- La tenue du registre imposé par la réglementation relative à la transparence des avantages accordés par les entreprises produisant ou commercialisant des produits à finalité sanitaire et cosmétique destinés à l’homme ;
- La publication sur le site Web unique :
https://www.transparence.sante.gouv.fr
Les données faisant l’objet d’un tel traitement sont celles définies par le Décret n° 2016-1939 du 28/12/2016 et suivants.
Les données sont destinées aux personnels habilités de « CARDIDOM », et aux services supports du groupe, à savoir les services Comptabilité, Juridique, Commercial, Administratif, Contrôle de Gestion et Marketing, et seront communiquées aux Ordres compétents ainsi qu’à l’Agence Régionale de Santé territorialement compétente le cas échéant.
Elles seront conservées conformément aux durées de conservation suivantes :
- En ligne : Cinq (5) ans à compter de la mise en ligne.
- En archive : dix (10) ans (Article R1453-7 du code de la santé publique)
Droit et modalités d’exercice
Conformément à la loi « Informatique et Libertés » du 6 janvier 1978 modifiée et au Règlement Européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, vous disposez d’un droit d’accès et de rectification aux informations qui vous concernent ainsi que d’un droit d’opposition, du droit à la limitation du traitement et à l’effacement dans le cadre permis par le Règlement Européen.
Vous pouvez exercer ces droits auprès de CARDIDOM • Service Qualité • 29 rue Pastorelli, Bureau 424 • 06000 Nice
Si vous estimez, après nous avoir contactés, que vos droits Informatique et Libertés ne sont pas respectés, vous pouvez adresser une réclamation auprès de la CNIL. Pour votre parfaite information, CARDIDOM a désigné un Délégué à la Protection des Données (DPO) que vous pouvez joindre à l’adresse contact@cardidom.com.
Droit d’auteur – Copyright
L’ensemble de ce site relève de la législation française et internationale sur le droit d’auteur et la propriété intellectuelle. Tous les droits de reproduction sont réservés, y compris pour les documents téléchargeables et les représentations iconographiques et photographiques. La reproduction de tout ou partie de ce site sur un support électronique quel qu’il soit est formellement interdite sauf autorisation expresse du directeur de la publication.
Conduite responsable
Notre Société est pleinement engagée pour mener des politiques de conduite responsable.
Elle met un point d’honneur à garantir l’exercice de ses activités, en toute légalité, de manière responsable, transparente et éthique.
« CARDIDOM » a mis œuvre un ensemble de dispositifs visant à lutter contre la corruption, notamment énoncé dans le Code de Conduite, en conformité entre autres avec la Loi Sapin II.
Des procédures internes permettent de mettre en œuvre les recommandations édictées dans ce code.
Pour toutes questions sur la réglementation ou pour alerter la société sur un acte ou une tentative de corruption, vous pouvez contacter votre supérieur hiérarchique, ou le référent anticorruption/référent alerte de « CARDIDOM. »
En aucun cas vous ne pourrez être sanctionné en cas d’alerte, même si les actes que vous suspectez ne se sont pas produits (sauf en cas de malveillance avérée). « CARDIDOM » vous garantit la confidentialité, les éléments de la procédure d’alerte n’étant communiqués qu’aux dirigeants, au service juridique, au service Ressources humaines, et au référent anticorruption/référent alerte.
Les procédures relatives aux dispositifs d’alertes sont consultables sur l’intranet de « CARDIDOM » et sur simple demande faite au supérieur hiérarchique ou au référent anticorruption/référent alerte. Elles sont également communiquées aux collaborateurs extérieurs sur demande au référent anticorruption/référent alerte ou à leur contact habituel au sein de « CARDIDOM ».