Alcôve serveur d'un hôpital suisse, faces métalliques et câble lové sous une lumière de couloir froide
Sécurité et chiffrement

Sécurité et chiffrement des données de santé

Les données de glycémie et de capteurs relèvent de la santé. Cette page décrit les schémas appliqués par Vitalink HealthData, les points à vérifier lors d'une revue de sécurité hospitalière, et les limites de ce que nous pouvons affirmer.

Contacter l'équipe sécurité Consulter la documentation API
Ce que couvre cette page

Trois questions techniques, et ce qu'elles impliquent

Les équipes qui intègrent des données de glucomètres ou de montres connectées dans un dossier patient informatisé posent toujours les mêmes questions. Voici comment nous y répondons, et ce que vous devez pouvoir vérifier de votre côté.

En transit

Les mesures circulent-elles en clair entre l'appareil, votre application et le dossier patient informatisé ? Non : les canaux sont chiffrés dans les deux sens, lecture comme écriture, et les jetons d'accès ne sont jamais transmis en clair.

Au repos

Où sont stockées les séries de glycémie et les métadonnées patient, et sous quelle forme ? Les données stockées sont chiffrées au repos, et les clés sont gérées séparément des données elles-mêmes.

Qui accède à quoi

Comment limiter la portée d'un accès quand plusieurs systèmes et partenaires touchent les mêmes données patient ? Les droits sont définis par rôle et par ressource, et cette clarification se fait avant le déploiement.

Chiffrement en transit et chiffrement au repos

Deux couches distinctes

Chiffrement en transit

Les échanges entre votre application et l'API passent par des canaux chiffrés. Cela vaut pour la lecture comme pour l'écriture de ressources : que vous récupériez une série de mesures ou que vous écriviez une nouvelle observation, le transport est protégé. Les jetons OAuth ne circulent pas en clair. Le chiffrement en transit protège les données pendant le transport ; il ne dit rien sur ce qui se passe une fois les données écrites.

Point de vigilance : votre côté de l'intégration doit aussi respecter ce contrat. Un client qui met en cache des mesures en clair sur un poste partagé annule une partie du bénéfice.

Chiffrement au repos

Les données stockées sont chiffrées au repos. Cela concerne les mesures d'appareil et les métadonnées patient associées : identifiants de liaison, horodatages, type de dispositif. Les clés sont gérées séparément des données, ce qui évite qu'une copie de sauvegarde expose à la fois le contenu et le moyen de le lire. Ce point est souvent demandé lors des revues de sécurité hospitalières.

Les durées de conservation et les modalités de suppression se définissent avec vous ; nous ne les fixons pas unilatéralement.

Contrôle d'accès et traçabilité

Un jeton par périmètre, un journal par accès

Authentification OAuth

L'authentification OAuth permet de déléguer l'accès sans partager de secrets entre systèmes. Chaque client obtient un jeton lié à un périmètre : un service de cardiologie n'obtient pas les mêmes droits qu'un service de diabétologie, même si les deux lisent les mêmes types de ressources. Les jetons peuvent être révoqués, ce qui remplace les échanges de mots de passe entre services — une pratique difficile à auditer et à faire tourner.

Contrôle d'accès par rôle

Les droits d'accès deviennent un point majeur d'intégration dès que plusieurs systèmes et partenaires touchent les mêmes données patient. Vitalink applique des périmètres par rôle et par ressource : un client ne peut lire ou écrire que ce que son rôle autorise. Ces périmètres doivent être pensés avec votre architecture clinique, dès la phase conceptuelle — les rattraper après la mise en production coûte cher en revue et en reconfiguration.

Traçabilité et journalisation

Chaque accès est journalisé : qui, quoi, quand. Cette traçabilité permet de répondre aux questions d'audit hospitalier — un service de conformité peut demander qui a consulté une série de mesures sur une période donnée. Elle sert aussi au diagnostic lors d'un incident : quand une donnée semble manquante côté dossier patient, le journal indique si l'écriture a été reçue, rejetée ou jamais tentée. Les journaux sont conservés selon une durée définie avec vous.

Périmètre juridique

Conformité FADP et RGPD

Le traitement s'inscrit dans le cadre de la loi suisse sur la protection des données (FADP) et du RGPD européen. Cela implique des principes de minimisation, de finalité et de droits des personnes. Cette page décrit les mesures techniques qui soutiennent ces principes ; les détails contractuels et les bases légales figurent dans la politique de confidentialité.

Lire la politique de confidentialité

Droits d'accès et partenaires

Quand plusieurs partenaires touchent les mêmes données, les droits deviennent un sujet de gouvernance. Il faut définir qui peut lire, écrire et modifier. Vitalink documente les rôles disponibles et leur portée ; la clarification se fait avant le déploiement, pas après.

Sécurité des appareils connectés

Un glucomètre ou une montre grand public n'offre pas les mêmes garanties qu'un dispositif médical certifié. Les constructeurs varient dans la précision, la fréquence de mesure et la façon dont ils exposent leurs données. L'API ne fait pas confiance aveuglément à la source : les données sont validées et normalisées avant écriture dans le dossier patient informatisé.

Ce point compte quand vous intégrez des appareils variés sur un même parc : une valeur hors plage plausible est signalée plutôt qu'écrite silencieusement, et le type de dispositif reste attaché à la mesure pour que le clinicien sache d'où elle vient.

Montre connectée posée sur une barrière de lit d'hôpital, lumière matinale rasante

Les appareils grand public sont acceptés comme source, avec validation et normalisation avant écriture.

Revue et tests de sécurité

Les intégrations hospitalières passent souvent par une revue de sécurité côté établissement. Préparez vos questions sur les clés, les jetons et les journaux : ce sont les trois sujets qui reviennent le plus. Vitalink fournit les éléments techniques nécessaires à cette revue — schémas de flux, description des périmètres de rôle, format des journaux d'accès.

Nous ne publions pas de certifications que nous ne détenons pas. Si un appel d'offres exige une attestation précise, dites-le-nous tôt : nous indiquerons clairement ce qui est disponible et ce qui ne l'est pas, plutôt que de laisser une ambiguïté dans la réponse.

  • Gestion des clés : séparation entre les données et les moyens de les lire, procédure de rotation à définir avec vos équipes.
  • Jetons : périmètres par rôle, révocation, durée de vie et conditions de renouvellement.
  • Journaux : contenu conservé, durée de rétention, accès en lecture pour votre service de conformité.
Avant la revue

Ce qu'il vaut la peine de préparer

La cartographie des flux
Quels systèmes envoient, lesquels lisent, et par quels périmètres. Une revue de sécurité commence souvent par cette carte ; l'avoir prête accélère la discussion.
Les rôles attendus par service
Qui doit pouvoir lire, qui doit pouvoir écrire, qui ne doit voir qu'un sous-ensemble. Ces décisions appartiennent à votre gouvernance clinique, pas à l'intégrateur.
Les questions de conservation
Combien de temps les journaux et les mesures doivent rester disponibles, et selon quelles règles de suppression. La réponse varie d'un établissement à l'autre.
Le périmètre de votre propre analyse de risque
Cette page décrit les mesures techniques appliquées par Vitalink. Elle ne remplace pas votre analyse de risque, qui couvre aussi vos postes, vos réseaux et vos processus internes.

Questions fréquentes

Les points que les équipes techniques et les responsables conformité nous remontent le plus souvent.

Où sont stockées les données de santé traitées par l'API ?

Les données sont stockées sur une infrastructure que nous opérons pour votre compte, avec chiffrement au repos et clés gérées séparément. Les localisations exactes et les éventuels sous-traitants figurent dans la politique de confidentialité, car ces informations relèvent de votre analyse de conformité.

Puis-je révoquer un accès sans interrompre les autres intégrations ?

Oui. Les jetons sont liés à un client et à un périmètre : révoquer un jeton n'affecte pas les autres clients ni les autres rôles. C'est l'un des intérêts du modèle OAuth par rapport à un secret partagé entre plusieurs services.

Que contient un journal d'accès, concrètement ?

Un enregistrement identifie le client et le rôle concernés, la ressource visée, le type d'opération (lecture ou écriture) et l'horodatage. Le format exact et la durée de conservation se calent sur les exigences de votre service de conformité, discutées avant la mise en production.

Comment se passe une revue de sécurité avec un établissement ?

Nous fournissons les éléments techniques demandés — description des flux, des périmètres de rôle et des journaux — et répondons aux questions du service de sécurité de l'établissement. La revue reste pilotée par l'hôpital : c'est son analyse de risque, pas la nôtre.

Parlons de votre intégration

Si vous préparez une revue de sécurité ou si vous devez répondre à un appel d'offres, l'équipe technique peut détailler les schémas de chiffrement, les périmètres de rôle et le format des journaux. Pour un premier échange sur les tarifs et le cadre contractuel, passez par la page tarifs entreprise.

Demander une démonstration technique Tarifs entreprise
Nous joindre
Vitalink HealthData AG
Seefeldstrasse 45
8008 Zürich, Schweiz +41 21 581 78 71 [email protected] Lundi – Vendredi : 09h00 – 18h00 (CET)