Dernière mise à jour : 3 octobre 2026
Kiné Helper est une application mobile destinée aux kinésithérapeutes pour la gestion de leur cabinet. La protection de vos données et de celles de vos patients est notre priorité absolue.
Cette politique explique comment nous collectons, utilisons, stockons et protégeons vos informations personnelles et celles de vos patients, conformément au Règlement Général sur la Protection des Données (RGPD).
Gianni Vullo
Email : [email protected]
Numéro d’entreprise : be0641787533
En tant que kinésithérapeute utilisant Kiné Helper, vous êtes également responsable du traitement des données de vos patients.
Nous traitons vos données sur les bases légales suivantes :
Pour les données de santé des patients, la base légale est l’exercice de votre activité professionnelle médicale.
Nous utilisons vos données uniquement pour :
Nous ne vendons JAMAIS vos données à des tiers.
Vos données sont hébergées exclusivement dans l’Union européenne : serveur applicatif et base de données chez Railway (Amsterdam, Pays-Bas), documents sur Cloudflare R2 (bucket européen), e-mails transactionnels envoyés via Scaleway (Paris, France).
Certaines données peuvent être stockées temporairement sur votre appareil pour permettre un fonctionnement hors ligne. Ces données sont protégées par les mécanismes de sécurité de votre appareil.
Vos données ne sont partagées qu’avec :
Nous ne partageons pas vos données avec :
Vous pouvez demander la suppression anticipée de vos données, sous réserve des obligations légales de conservation.
Conformément au RGPD, vous disposez des droits suivants :
Pour exercer ces droits, contactez-nous à : [email protected]
Vous avez également le droit d’introduire une réclamation auprès de l’Autorité de Protection des Données (APD) : https://www.autoriteprotectiondonnees.be/
En tant que professionnel de santé, vous êtes tenu au secret professionnel. Kiné Helper est conçu pour respecter cette obligation :
Nous travaillons avec les sous-traitants suivants, tous conformes RGPD :
La liste détaillée, avec les données confiées à chacun, figure à l’Appendice B de l’Accord de traitement des données ci-dessous.
Tous nos sous-traitants sont liés par des accords de traitement des données conformes au RGPD.
Vos données sont stockées exclusivement dans l’Union européenne. Seul le jeton de notification de votre appareil mobile transite par Google Firebase (États-Unis, décision d’adéquation Data Privacy Framework) ; il ne contient aucune donnée de patient. Aucune notification push n’est envoyée à ce jour.
L’application n’utilise pas de cookies publicitaires. Les seules données de tracking concernent :
Kiné Helper est destiné aux professionnels de santé. Les données de patients mineurs sont traitées dans le cadre de votre activité professionnelle, sous votre responsabilité.
Nous pouvons mettre à jour cette politique de confidentialité. Vous serez informé de tout changement important par email ou notification dans l’application.
Pour toute question concernant cette politique ou vos données :
Email : [email protected]
Délégué à la Protection des Données (DPO)
Non applicable pour une structure de cette taille
Cette politique est conforme au :
Dernière mise à jour : 25 Septembre 2026
Kiné Helper eTee Requestor est une application de bureau (Windows, macOS, Linux) qui permet de demander, renouveler, compléter et révoquer un certificat eHealth et d’activer l’ETK à l’aide de la carte d’identité électronique (eID). Elle remplit la même fonction que l’outil « Gestion des certificats eHealth » de la plateforme eHealth. Elle est éditée par Gianni Vullo (numéro d’entreprise : be0641787533) et n’est pas affiliée à la plateforme eHealth ni au SPF Santé publique.
L’application ne comporte ni compte utilisateur, ni statistiques d’utilisation, ni traceur, ni publicité. Elle ne communique avec aucun serveur de Kiné Helper. L’éditeur n’a accès à aucune des données décrites ci-dessous.
Lorsque vous insérez votre carte dans un lecteur, l’application lit :
L’adresse et la photo ne sont pas lues. Le code PIN est saisi dans l’application et transmis uniquement à la carte, qui l’utilise pour signer les demandes. Il n’est jamais enregistré ni envoyé ailleurs.
Pour obtenir, renouveler ou révoquer un certificat, l’application communique exclusivement avec les services de la plateforme eHealth (services.ehealth.fgov.be, ou services-acpt.ehealth.fgov.be pour l’environnement d’acceptation, et www.ehealth.fgov.be / wwwacc.ehealth.fgov.be pour la vérification de version). Les données envoyées sont :
User-Agent).Ces données sont traitées par la plateforme eHealth selon sa propre politique de confidentialité, dans le cadre de sa mission légale de gestion des certificats : https://www.ehealth.fgov.be
Tous les fichiers restent sur votre ordinateur :
.p12 / .acc-p12) dans le dossier ehealth/keystore de votre dossier utilisateur, le même que celui de l’outil officiel eHealth. Ils contiennent votre clé privée, protégée par le mot de passe que vous choisissez, et vos certificats. Ce mot de passe n’est ni enregistré ni transmis.Ces fichiers ne sont jamais envoyés à l’éditeur. Les keystores et les fichiers de suivi restent dans votre dossier utilisateur tant que vous ne les supprimez pas, y compris après la désinstallation, car ils vous appartiennent et sont partagés avec l’outil officiel eHealth. Les journaux et la langue sont supprimés avec l’application lorsqu’elle est installée depuis le Microsoft Store.
Aucune donnée personnelle n’étant collectée par l’éditeur, les demandes relatives aux données transmises pour un certificat (accès, rectification, révocation) relèvent de la plateforme eHealth.
Pour toute question sur l’application :
Email : [email protected]
Dernière mise à jour : 6 octobre 2026
Le site kine-helper.be propose de recevoir par e-mail les nouvelles de Kiné Helper : nouveautés du logiciel et échéances MyCareNet. L’inscription est facultative et sans lien avec l’utilisation du logiciel.
Aucune autre donnée n’est demandée.
Votre adresse sert uniquement à vous envoyer la lettre d’information de Kiné Helper, au maximum une fois par mois. Ce traitement repose sur votre consentement (article 6.1.a du RGPD) : votre adresse n’est inscrite qu’après que vous avez confirmé votre demande depuis l’e-mail de confirmation qui vous est envoyé.
Votre adresse n’est ni vendue, ni louée, ni transmise à des tiers à des fins commerciales. Elle est traitée par :
Votre adresse est conservée jusqu’à votre désinscription ; elle est alors supprimée de la liste. Une demande d’inscription qui n’a pas été confirmée est supprimée après 30 jours.
Chaque e-mail contient un lien de désinscription, utilisable à tout moment. Vous disposez par ailleurs des droits d’accès, de rectification, d’effacement, de limitation et d’opposition, ainsi que du droit de retirer votre consentement, en écrivant à l’adresse ci-dessous. Vous pouvez aussi introduire une réclamation auprès de l’Autorité de protection des données (www.autoriteprotectiondonnees.be).
Gianni Vullo, responsable du traitement
Email : [email protected]
Version 2.0 — 3 octobre 2026
Le présent Accord de traitement des données personnelles (Data Processing Agreement — DPA) est conclu, conformément à l’article 28 du Règlement (UE) 2016/679 (RGPD), entre :
LE SOUS-TRAITANT :
Gianni Carlo Vullo, exerçant sous le nom commercial Kiné Helper
Siège social : Rue Saint-Jacques 142, 6032 Charleroi, Belgique
N° BCE/TVA : BE 0641.787.533
Email : [email protected]
Ci-après dénommé « le Sous-traitant » ou « le Prestataire »
ET
LE RESPONSABLE DU TRAITEMENT :
Le professionnel de santé utilisateur de Kiné Helper, identifié lors de la souscription à l’abonnement ou dans le contrat de services.
Ci-après dénommé « le Responsable du traitement » ou « le Client »
Le présent DPA constitue l’Annexe 1 du contrat de services Kiné Helper, dont il reprend la numérotation ; il comprend ses appendices A (description du traitement), B (sous-traitants ultérieurs et destinataires) et C (mesures techniques et organisationnelles). Il s’applique à tout utilisateur de Kiné Helper : son acceptation résulte de la signature du contrat de services ou, à défaut, de la souscription à un abonnement et de l’utilisation de l’application. Il remplace toute version antérieure publiée sur ce site.
1.1. Le présent DPA encadre, conformément à l’article 28 du RGPD, les traitements de données personnelles que le Prestataire (« le Sous-traitant ») effectue pour le compte du Client (« le Responsable du traitement ») dans le cadre du contrat.
1.2. Il couvre l’ensemble des services souscrits, y compris la récupération de données d’un ancien logiciel et le module de réservation en ligne. Ses appendices A, B et C en font partie intégrante.
1.3. En cas de contradiction avec le corps du contrat, le présent DPA prévaut pour les questions de protection des données. Il est signé avec le contrat et remplace toute version du DPA publiée en ligne antérieurement.
1.4. Il ne couvre pas les traitements pour lesquels le Prestataire est lui-même responsable du traitement (données du compte et du profil professionnel du Client, facturation de l’abonnement, journaux techniques), décrits dans la Politique de confidentialité publiée sur kine-helper.be.
Les termes « traitement », « données à caractère personnel », « violation de données », « personne concernée » ont le sens de l’article 4 du RGPD. « Données de santé » : art. 4(15) et art. 9 RGPD. « NISS » : numéro d’identification au registre national/à la sécurité sociale belge. « Sous-traitant ultérieur » : tout sous-traitant engagé par le Sous-traitant.
3.1. Nature : hébergement, stockage, structuration, mise à disposition, sauvegarde, transmission sur instruction, export et suppression des données saisies par le Client dans le logiciel ; stockage d’objets (documents scannés) ; envoi d’emails transactionnels ; envoi de notifications push ; génération de documents.
3.2. Finalités : la gestion du cabinet du Client — dossiers patients, agenda et rendez-vous, prescriptions, séances, attestations et facturation, échanges eHealth/MyCareNet, documents. Le détail (personnes concernées, catégories de données, durées) figure en Appendice A.
3.3. Interdiction d’usage propre. Le Sous-traitant ne traite les données que pour ces finalités, sur instruction documentée du Client, et jamais pour son propre compte — notamment : aucune vente, aucun usage commercial, publicitaire, de profilage ou d’entraînement de modèles. L’utilisation de données anonymisées (au sens strict : sans possibilité raisonnable de ré-identification) à des fins d’amélioration du service reste possible.
3.4. Échanges eHealth / MyCareNet. Les flux MDA, eAttest, eFact, eAgreement et eHealthBox sont émis depuis les appareils du Client, signés avec le certificat eHealth du Client, sous sa seule responsabilité de prestataire de soins. La plateforme eHealth, MyCareNet/CIN et les organismes assureurs (mutualités) agissent dans le cadre de leurs missions légales : ils sont des destinataires / responsables distincts, et non des sous-traitants ultérieurs du Prestataire. Le rôle du Sous-traitant se limite à : (a) fournir le logiciel qui construit, signe localement et transmet ces messages ; (b) stocker, pour le compte du Client, les enregistrements de ces échanges (traçabilité et suivi de facturation) ; (c) une exception : l’horodatage (TSA eHealth) requis par certains flux est appelé par le serveur du Sous-traitant.
3.5. Instructions. L’utilisation normale du logiciel et le présent contrat constituent les instructions documentées du Client. Toute instruction complémentaire est adressée par écrit. Si le Sous-traitant estime qu’une instruction viole le RGPD ou une autre disposition, il en informe immédiatement le Client. Si le droit de l’Union ou belge lui impose un traitement, il en informe le Client avant le traitement, sauf interdiction légale.
Le présent DPA s’applique pendant toute la durée du contrat et jusqu’à la suppression complète des données conformément à l’article 12 ci-dessous.
Le Sous-traitant garantit que toute personne physique autorisée à traiter les données (lui-même, et tout personnel ou prestataire éventuel) est soumise à une obligation de confidentialité contractuelle ou légale, illimitée dans le temps pour les données de santé, et n’accède aux données que dans la mesure strictement nécessaire (need-to-know). L’accès direct aux données de production est limité au Sous-traitant et réservé aux opérations de maintenance et de support.
6.1. Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en Appendice C, en tenant compte de l’état de la technique, des coûts, de la nature du traitement et des risques — en particulier de la sensibilité des données de santé et du NISS.
6.2. L’Appendice C distingue le périmètre sous le contrôle du Sous-traitant (serveur, stockage, transport) et le périmètre sous le contrôle du Client (appareils, certificat eHealth, chiffrement de disque) ; chaque Partie répond des mesures de son périmètre.
6.3. Le Sous-traitant revoit ces mesures régulièrement et ne peut les modifier que dans un sens qui n’en réduit pas le niveau de protection.
7.1. Le Client donne son autorisation générale au recours aux sous-traitants ultérieurs listés en Appendice B.
7.2. Modification de la liste : notification écrite (email et/ou notification in-app) au moins trente (30) jours avant l’ajout ou le remplacement d’un sous-traitant ultérieur, précisant l’identité, la finalité et la localisation.
7.3. Droit d’objection : le Client dispose de quinze (15) jours pour objecter par écrit pour motif légitime. En cas d’objection maintenue, le Client peut résilier sans pénalité avant l’entrée en vigueur du changement ; à défaut d’objection, le changement est réputé accepté.
7.4. Le Sous-traitant impose contractuellement à chaque sous-traitant ultérieur des obligations équivalentes au présent DPA (art. 28(4) RGPD) et demeure pleinement responsable envers le Client de leur exécution.
8.1. Les données sont hébergées exclusivement dans l’Union européenne : serveur applicatif et base de données chez Railway (région Union européenne — Amsterdam, Pays-Bas), stockage des documents sur Cloudflare R2 (bucket Union européenne), e-mails transactionnels via Scaleway (Paris, France).
8.2. Exception encadrée — notifications push : l’application mobile enregistre un jeton d’appareil auprès de Google Firebase Cloud Messaging (infrastructure globale ; relais Apple Push Notification service pour iOS). Ce jeton identifie l’appareil du Client (praticien) et ne contient aucune donnée de patient. À la date du présent DPA, aucune notification push n’est envoyée : les notifications de rendez-vous sont adressées au Client par e-mail. Si le canal push est activé, son contenu se limitera, pour les rendez-vous, au nom du patient, à la date et à l’heure du rendez-vous — jamais de donnée clinique, de NISS ni de pièce jointe — et le Client en sera informé selon la procédure de l’article 7. Ces transferts sont encadrés par la décision d’adéquation UE–US (Data Privacy Framework) pour les destinataires qui y sont certifiés et, à défaut, par les clauses contractuelles types (art. 46 RGPD).
8.3. Aucun autre transfert hors EEE n’est effectué. Tout changement est traité comme une modification de sous-traitant ultérieur (article 7).
9.1. Droits des personnes concernées. Compte tenu de la nature du traitement, le Sous-traitant assiste le Client par des mesures appropriées : le logiciel fournit nativement l’export (portabilité/accès), la rectification, l’archivage et la suppression des dossiers patients. Si une demande de personne concernée parvient directement au Sous-traitant, il la transmet au Client sans délai et n’y répond pas lui-même.
9.2. Art. 32 à 36 RGPD. Le Sous-traitant assiste le Client, dans la mesure du raisonnable, pour : la sécurité, la notification des violations, les analyses d’impact (AIPD) relatives au logiciel et la consultation préalable de l’autorité. Il fournit sur demande la documentation de l’Appendice C à cet effet.
9.3. L’assistance standard est incluse dans l’abonnement. Une facturation au coût réel peut s’appliquer aux demandes manifestement infondées, excessives ou requérant un développement spécifique, après devis accepté.
Le Client garantit et s’engage à :
a) disposer d’une base juridique valable — pour les données de santé, l’article 9(2)(h) RGPD (prise en charge sanitaire par un professionnel soumis au secret) ;
b) informer ses patients (art. 13/14 RGPD), y compris de l’existence du Sous-traitant et des destinataires (mutualités via MyCareNet), et configurer les mentions du module de réservation ;
c) respecter la minimisation et l’exactitude des données ;
d) n’utiliser le NISS que conformément au cadre légal belge applicable aux prestataires de soins ;
e) respecter le secret professionnel auquel il est tenu (Code pénal) et la loi du 22 août 2002 relative aux droits du patient ;
f) sécuriser son périmètre (Appendice C, partie C) ;
g) notifier sans délai au Sous-traitant toute demande d’autorité, suspicion de violation, ou demande d’exercice de droits nécessitant son assistance ;
h) tenir son registre des traitements (art. 30 RGPD) — l’Appendice A peut y être repris — et évaluer la nécessité d’une AIPD pour sa pratique.
11.1. Le Sous-traitant notifie au Client toute violation de données personnelles sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance, à l’adresse email de contact du contrat.
11.2. La notification contient au minimum (art. 33(3) RGPD) : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, le point de contact, les conséquences probables, les mesures prises ou proposées. Les informations peuvent être fournies de manière échelonnée.
11.3. Le Sous-traitant documente la violation, prend sans délai les mesures de confinement et de remédiation, et coopère pleinement avec le Client pour l’évaluation, la notification éventuelle à l’Autorité de protection des données (72 h, art. 33 — obligation du Client) et la communication aux personnes concernées (art. 34).
12.1. Restitution. À la fin du contrat, ou à tout moment sur demande, le Sous-traitant remet au Client l’intégralité de ses données dans les trente (30) jours et sans frais : les données structurées (patients, situations pathologiques, prescriptions, séances, attestations, factures, accords, notes, rendez-vous, paramètres) aux formats CSV et/ou JSON, et tous les fichiers (documents et scans) dans leur format d’origine.
12.2. Suppression. Le Sous-traitant supprime définitivement les données du Client de ses systèmes dans les soixante (60) jours suivant la restitution effective ou, si aucune restitution n’est demandée, suivant la fin du contrat — sauf obligations légales de conservation (comptabilité, défense d’un droit en justice), limitées au strict nécessaire, cloisonnées et inaccessibles au traitement courant. Les copies de sauvegarde sont purgées au rythme normal de leur rotation, au plus tard douze (12) mois après la suppression, et ne sont restaurées qu’en cas de sinistre. Une attestation écrite de suppression est fournie sur demande.
12.3. Le présent article vaut instruction documentée au sens de l’art. 28(3)(g) RGPD. La restitution ne dispense pas le Client de son obligation légale de conservation du dossier patient.
13.1. Le Sous-traitant met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l’article 28 RGPD : description des mesures (Appendice C), liste des sous-traitants (Appendice B), politiques et procédures, attestations éventuelles.
13.2. Le Client (ou un auditeur tiers mandaté, non concurrent, soumis à confidentialité) peut réaliser un audit par an, sur préavis de trente (30) jours, pendant les heures ouvrées, sans perturber le service. Les audits documentaires (1–2 demandes/an) sont gratuits ; les audits sur site sont au coût réel du Sous-traitant, sauf si l’audit révèle un manquement grave.
13.3. En cas de non-conformité constatée, le Sous-traitant établit un plan de remédiation avec délais convenus.
13.4. En cas de contrôle d’une autorité compétente visant le traitement, chaque Partie en informe l’autre sans délai (sauf interdiction légale) et coopère.
14.1. Chaque Partie répond des dommages causés par un traitement conformément à l’article 82 RGPD : le Sous-traitant n’est tenu que du dommage causé par un manquement aux obligations du RGPD qui pèsent spécifiquement sur les sous-traitants, ou par un traitement hors des instructions licites du Client.
14.2. Les limitations de responsabilité prévues au contrat s’appliquent, à l’exception des dommages résultant d’une violation de données personnelles imputable à un manquement du Sous-traitant au présent DPA, pour lesquels la responsabilité est régie par l’article 82 RGPD.
14.3. Chaque Partie supporte les amendes administratives qui lui sont infligées en propre ; aucune clause ne peut transférer une amende art. 83 RGPD à l’autre Partie.
Le Sous-traitant n’est pas tenu de désigner un DPO (art. 37 RGPD) ; le point de contact protection des données est : Gianni Carlo Vullo — [email protected]. Si le Client désigne un DPO, il en communique les coordonnées.
Établi à partir de l’audit du code du 13/07/2026, mis à jour le 03/10/2026.
Patients du Client (y compris mineurs, traités dans le cadre de l’activité professionnelle du Client) ;
Tiers liés au dossier : médecins prescripteurs et médecins généralistes (DMG), correspondants professionnels (eHealthBox) ;
Contacts de réservation : personnes prenant rendez-vous via le module en ligne ;
Collaborateurs/praticiens invités dans l’organisation du Client.
| Catégorie | Contenu | Sensibilité |
|---|---|---|
| Identification | Nom, prénom, date de naissance, sexe | — |
| NISS | Numéro de registre national du patient | Encadré (droit belge) |
| Contact | Adresse, CP, localité, téléphone, GSM, email | — |
| Assurance | Mutualité, n° d’affiliation, tiers payant, ticket modérateur, statut BIM, assurabilité (MDA) | Proxy socio-économique/santé |
| Santé (art. 9) | Motifs et pathologies, plans de traitement, scores de sévérité (GMFCS), prescriptions et scans de prescriptions, notes de séances et notes cliniques libres, documents médicaux téléversés, statuts palliatif/maladie chronique/hospitalisation (réponses MDA), accords mutuelles, historique complet des soins | Élevée |
| Financier | Codes de nomenclature facturés, montants, attestations, factures (papier, eFact), corrections (M38), moyens de paiement utilisés | Élevée |
| Réservation | Nom, email, téléphone, motif de rendez-vous | Santé-adjacente |
| Tiers | Nom, prénom, INAMI des prescripteurs ; identités des correspondants eHealthBox | — |
| Traçabilité | Enregistrements des échanges MyCareNet (requêtes/réponses), journaux de délivrance des emails/notifications | Élevée (contenu wire) |
Collecte (saisie par le Client ; widget de réservation), enregistrement, structuration, conservation, consultation, mise à disposition sur les appareils du Client (cache local), sauvegarde, transmission sur instruction (eHealth/MyCareNet depuis le poste du Client ; emails aux patients), export, effacement.
Pendant toute la durée du contrat ;
Fin de contrat : article 12 de l’Annexe 1 (restitution sous 30 j, suppression sous 60 j, sauvegardes purgées sous 12 mois, conservations légales limitées) ;
La conservation légale du dossier patient (≥ 30 ans) incombe au Client après restitution.
Liste arrêtée au 03/10/2026. Toute modification suit la procédure de l’article 7 de l’Annexe 1.
| Sous-traitant | Service | Données traitées | Localisation |
|---|---|---|---|
| Railway Corp. | Hébergement du serveur applicatif et de la base de données PostgreSQL | Toutes les données décrites en Appendice A | Union européenne (Amsterdam, Pays-Bas) |
| Cloudflare, Inc. (R2) | Stockage objet des documents (scans de prescriptions, documents médicaux) | Fichiers/documents de santé | Union européenne (bucket UE) |
| Scaleway SAS (Transactional Email) | Envoi d’e-mails transactionnels (confirmations/rappels/annulations de rendez-vous, invitations d’organisation, justificatifs eAttest) | Adresse e-mail, nom, date/heure/lieu de rendez-vous, pièces jointes de justificatifs | France (Paris) |
| Google Ireland Ltd (Firebase Cloud Messaging ; relais Apple APNs pour iOS) | Enregistrement des jetons d’appareil ; canal push inactif à ce jour (Annexe 1, art. 8.2) | Jetons d’appareil du Client — aucune donnée de patient | Infrastructure globale (États-Unis) — DPF/CCT |
Ne traitent aucune donnée personnelle pour le compte du Client : GitHub (distribution des binaires signés), le serveur de manifeste de mise à jour (admin-console.kine-helper.be, opéré par le Prestataire).
| Destinataire | Cadre | Flux |
|---|---|---|
| Plateforme eHealth (SPF) | Missions légales (STS, ETK, TSA, eHealthBox, CertRa) | Authentification, jetons, horodatage, messagerie sécurisée |
| MyCareNet / CIN et organismes assureurs (mutualités) | Missions légales d’assurance maladie | MDA (assurabilité), eAttest, eFact, eAgreement — NISS + données de soins/facturation, émis avec le certificat du Client |
| Professionnels de santé destinataires (eHealthBox) | Communication entre responsables de traitement | Messages et pièces jointes chiffrés de bout en bout (ETEE) |
| Patients | Exécution du service | E-mails de rendez-vous et de rappel de séance |
État au 03/10/2026, vérifié sur le code.
Transport
TLS/HTTPS pour tous les échanges (allowlist stricte des hôtes dans l’application ; HTTPS forcé) ; connexions PostgreSQL en SSL.
Échanges eHealth : TLS + signatures WS-Security/XAdES + scellement ETEE/CMS de bout en bout.
Authentification et contrôle d’accès
Authentification email + mot de passe (hachage bcrypt) avec limitation de débit (connexion 5/min, inscription 3/5 min, réinitialisation 3/5 min ; limite globale d’API).
Connexion forte par certificat eHealth/eID : défi à usage unique (60 s) signé localement par la clé privée du praticien ; vérification de la chaîne contre les autorités racines belges épinglées côté serveur ; la clé privée ne quitte jamais l’appareil. Déverrouillage biométrique sur mobile.
Cloisonnement multi-locataire systématique : chaque requête est filtrée par utilisateur/organisation (scoping) ; mutations réservées au propriétaire ; visibilité d’organisation réservée aux administrateurs.
Sessions à expiration, jetons révocables.
Stockage et chiffrement
Base PostgreSQL managée hébergée dans l’Union européenne (Amsterdam), accessible uniquement par le serveur applicatif et par le Sous-traitant, en connexion SSL.
Documents sur stockage objet UE, accessibles uniquement via URLs présignées à durée limitée (1 h par défaut) ; clés d’objets sans données personnelles.
Secrets serveur (certificat d’organisation, clés d’API) fournis par variables d’environnement ; rotation en cas d’exposition.
Intégrité des téléversements
Transfert de certificat entre appareils
Sauvegardes et continuité
Journalisation et supervision
Journaux applicatifs structurés (identifiants de corrélation) sans NISS ; conservation limitée à douze (12) mois au maximum.
Traçabilité des échanges MyCareNet et de la délivrance des notifications.
Cycle de vie logiciel
Mises à jour signées (signature minisign vérifiée par l’application, notarisation Apple, signature Windows) distribuées via un manifeste contrôlé par le Prestataire.
Aucune télémétrie, aucun SDK d’analytics ou de crash reporting, aucun cookie publicitaire, aucun processeur de paiement.
Accès production limité au Prestataire (entreprise unipersonnelle), sur le principe du besoin d’en connaître ; confidentialité illimitée pour les données de santé (Annexe 1, art. 5).
Procédure de gestion des violations (détection, confinement, notification ≤ 48 h, documentation).
Revue régulière des mesures ; gestion des secrets avec rotation en cas d’exposition.
Registre des traitements tenu par le Prestataire pour ses propres traitements.
Le logiciel maintient sur les appareils du Client un cache local de données patients ainsi que des artefacts d’échanges MyCareNet ; leur protection au repos repose sur : le chiffrement de disque activé par le Client (FileVault/BitLocker/chiffrement mobile natif), le verrouillage de session et le contrôle d’accès physique.
Les secrets sensibles (mot de passe du certificat .p12, PIN eID) sont stockés dans le trousseau sécurisé du système (Keychain/Credential Manager/Keystore), inaccessibles aux autres applications, et manipulés en mémoire avec effacement (zeroize) ; le certificat et ses secrets ne sont jamais transmis au Prestataire.
Le Client n’installe le logiciel que sur des appareils qu’il contrôle, tient son système à jour, ne partage pas ses identifiants et révoque les accès des collaborateurs sortants.