Dispositif de sécurité

Tandem Health développe des logiciels de documentation clinique fondés sur l'intelligence artificielle à destination du secteur de la santé. La protection des données de nos clients est au cœur de notre fonctionnement. La présente page explique, en langage clair, comment nous assurons la sécurité de vos données. Il s'agit d'un résumé informatif, qui ne se substitue pas à notre contrat-cadre de services, à notre accord de traitement des données (DPA) ni à nos autres stipulations contractuelles. 

Pour consulter les certificats en vigueur, les rapports d'attestation et notre liste de sous-traitants ultérieurs, rendez-vous sur notre Trust Center à l'adresse trust.tandemhealth.ai. 

Vue d'ensemble 

Hébergement et localisation des données 

Nous opérons exclusivement sur Microsoft Azure dans l'Union européenne, notre région principale étant Sweden Central, les services étant répartis sur trois zones de disponibilité afin d'assurer la résilience. 

L'ensemble des données clients et patients, sauvegardes incluses, demeure dans la frontière de données Azure UE. Les données à caractère personnel ne sont pas transférées hors de l'Union européenne, sauf accord figurant dans votre contrat ; lorsque de tels transferts ont lieu, nous nous appuyons sur les garanties du chapitre V du RGPD (Clauses Contractuelles Types et analyses d'impact des transferts, le cas échéant). 

Chiffrement 

• Les données au repos sont chiffrées en AES-256 sur l'ensemble des espaces de stockage, bases de données et sauvegardes, au moyen de modules validés FIPS 140-2. 

• Les champs de données patients bénéficient d'une couche supplémentaire de chiffrement au niveau applicatif, au moyen de clés propres à chaque cabinet (locataire), que nous gérons. 

• Les données en transit utilisent TLS 1.2 au minimum et TLS 1.3 pour les connexions externes, avec TLS mutuel pour les intégrations aux dossiers patients informatisés lorsque celui-ci est pris en charge. 

• Les clés sont générées, stockées et renouvelées dans un coffre-fort de clés managé ; les clés de locataire sont hébergées auprès d'un prestataire établi dans l'Union européenne, en dehors d'Azure, de sorte qu'Azure ne puisse en aucun cas accéder aux données patients depuis notre espace de stockage. 

Contrôle d'accès 

Nous limitons l'accès aux systèmes et aux données en fonction du rôle, du besoin opérationnel et de l'authentification : 

• Les collaborateurs utilisent des comptes personnalisés avec authentification multi facteur (MFA) pour l'ensemble des accès : bureautiques, de production, VPN et à privilèges. 

• L'environnement de production n'est accessible qu'à partir de terminaux gérés par Tandem, via un VPN sécurisé assorti d'une MFA résistante à l'hameçonnage. 

• Les accès à privilèges sont limités dans le temps (deux heures au maximum), justifiés et journalisés. 

• Les revues d'accès sont réalisées trimestriellement, les écarts étant corrigés dans un délai de 7 jours. 

• Le personnel de support ne peut accéder aux données clients ou patients que sur demande justifiée, journalisée et limitée dans le temps ; vous êtes informé dans un délai de 72 heures de tout accès excédant les stipulations contractuelles. 

• L'accès est limité aux finalités définies dans le DPA. 

Vous conservez également la maîtrise de votre périmètre : attribution des rôles utilisateurs, configuration des options SSO/MFA et d'identification électronique (eID), et retrait des accès lorsque les utilisateurs n'en ont plus besoin. 

Cloisonnement des données 

Les données clients sont isolées par locataire, ce cloisonnement étant assuré au niveau de la base de données par une sécurité au niveau des lignes (row-level security). Les environnements de production, de test et d'administration sont maintenus séparés, et l'introduction de données à caractère personnel réelles dans les environnements hors production est empêchée. 

Conservation et suppression des données 

• Les enregistrements audios sont supprimés dès l'achèvement de la transcription, normalement dans un délai de 30 secondes (24 heures au maximum lorsqu'un segment ne peut être transcrit). 

• Les données des patients font l'objet d'une minimisation au terme de 30 jours par défaut (suppression des noms, identifiants et coordonnées) ; la durée de conservation est paramétrable par contrat. 

• Les données supprimées disparaissent des sauvegardes dans un délai de 7 jours. 

• L'ensemble des données clients et patients est détruit dans les 30 jours suivant la fin du contrat. Les demandes d'effacement ponctuelles sont traitées dans le délai de 30 jours prévu par le RGPD, les éléments de preuve étant disponibles sur demande. 

Disponibilité et résilience 

• Disponibilité de 99,9 %, mesurée sur une période glissante de 3 mois. 

• Exploitation répartie sur trois zones de disponibilité, avec répartition de charge à l'échelle de l'Union européenne. 

• Sauvegardes quotidiennes chiffrées et redondées par zone, avec restauration à un instant donné (point-in-time recovery), conservées 7 jours au sein de l'Union européenne. 

• Objectifs de reprise : RTO de 1 heure, RPO de 3 minutes. 

• Plans de reprise après sinistre et de continuité d'activité testés au moins une fois par an. 

État du service en temps réel à l'adresse status.tandemhealth.ai. 

Journalisation et supervision 

Les journaux d'audit sont agrégés de manière centralisée et ne peuvent être modifiés après leur intégration. Les connexions aux systèmes, les modifications de droits d'accès, les accès aux données de santé (PHI) et les activités à privilèges sont journalisés et conservés conformément à la réglementation de votre pays. Les événements de sécurité sont supervisés 24 h/24, 7 j/7 par un prestataire externe de détection et de réponse managées. Vous pouvez demander l'accès aux journaux d'audit auprès de votre chargé de compte. 

Sécurité du produit et des applications 

Nous développons dans le cadre d'un processus réglementé de gestion des modifications, aligné sur les normes IEC 62304 et ISO 81001-5-1. Chaque modification fait l'objet d'une relecture par les pairs et d'une analyse d'impact portant sur les risques de performance, de sécurité, cliniques et de protection des données. Notre chaîne d'intégration comprend l'analyse statique, la recherche de secrets, l'analyse de composition logicielle et la production d'une nomenclature logicielle (SBOM). Des tests d'intrusion externes sont réalisés au moins une fois par an par un prestataire certifié CREST. Nous corrigeons les vulnérabilités et les faiblesses substantielles selon leur gravité : critique dans les 3 heures, élevée dans les 3 jours, moyenne dans les 30 jours, faible dans les 90 jours. 

Réponse aux incidents 

Nous maintenons des processus documentés de détection, de traitement, d'escalade et de déclaration des incidents de sécurité et de protection des données, assortis d'un modèle de gravité et d'une équipe dédiée de réponse aux incidents. Nous notifions aux clients concernés les violations de données à caractère personnel dans les meilleurs délais et dans les délais prévus par votre contrat et par la législation applicable. Les déclarations réglementaires (RGPD, vigilance MDR, règlement européen sur l'intelligence artificielle) sont effectuées parallèlement à la notification au client. 

Contacts : incidents — incident@tandemhealth.ai ; signalements de sécurité — security@tandemhealth.ai ; protection des données — privacy@tandemhealth.ai. 

Vie privée et protection des données 

Nous maintenons un dispositif de protection des données comprenant un délégué à la protection des données externe, un registre des traitements au titre de l'article 30, des processus d'analyse d'impact relative à la protection des données (AIPD) et un traitement documenté des demandes des personnes concernées. Les collaborateurs traitant des données sont tenus à des obligations de confidentialité et formés au moins une fois par an. Notre traitement des données patients est conçu pour se conformer aux règles nationales applicables en matière de santé. 

Gouvernance de l'intelligence artificielle 

Nous exploitons un système de management de l'intelligence artificielle certifié ISO 42001, assorti d'une politique d'IA applicable à l'ensemble de l'entreprise, d'un inventaire des systèmes d'IA et de tests préalables au déploiement. 

• Les données des patients ne sont jamais utilisées pour entraîner, affiner, évaluer ou améliorer des modèles d'intelligence artificielle. L'affinage (fine-tuning) repose sur des scénarios cliniques synthétiques élaborés par nos cliniciens. 

• La génération de texte repose sur Azure OpenAI dans la zone de données de l'Union européenne, avec un traitement transitoire uniquement (moins de 24 heures) et sans conservation des requêtes ni des réponses. 

• La transcription vocale repose sur des modèles auto-hébergés dans l'Union européenne et, pour les clients qui y consentent expressément, sur un prestataire établi dans l'Union européenne opérant en mode « zéro conservation » et soumis à une clause de non-entraînement. 

• L'ensemble des résultats produits par l'intelligence artificielle doit être examiné et vérifié par le professionnel de santé responsable avant toute utilisation ; une supervision humaine est maintenue en toutes circonstances. 

Nos produits Scribe AI, Module de codage et cotation, Aide à la décision clinique sont des dispositifs médicaux de classe IIa marqués CE au titre du règlement européen relatif aux dispositifs médicaux (MDR) et des systèmes d'intelligence artificielle à haut risque au titre du règlement européen sur l'intelligence artificielle, Tandem intervenant en qualité de fournisseur et les clients en qualité d'opérateurs. 

Sous-traitants ultérieurs 

Nous encadrons chaque tiers traitant des données à caractère personnel par un DPA, des obligations de confidentialité, des droits de supervision et, lorsque cela est requis, les garanties du chapitre V. Notre liste de sous-traitants ultérieurs en vigueur est publiée sur le Trust Center. Nous notifions aux clients les modifications de sous-traitants ultérieurs conformément à votre DPA (généralement 14 jours), assorties d'une procédure d'opposition. Les fournisseurs d'intelligence artificielle doivent signer une clause de non-entraînement avant tout recours à leurs services. 

Certifications et attestations 

Les certificats en vigueur, les déclarations de périmètre et les dates de validité sont disponibles sur le Trust Center (trust.tandemhealth.ai), qui constitue en toutes circonstances la source de référence. 

Des questions ? 

Pour toute revue de sécurité, tout questionnaire ou toute documentation, contactez votre chargé de compte ou écrivez à security@tandemhealth.ai. 

Pour toute revue relative à la protection des données, tout questionnaire ou toute documentation, contactez-nous à privacy@tandemhealth.ai.