Protocoles de sécurité des données

Du consentement à la réalisation des données d’analyse, chaque étape est sécurisée. Les employés donnent leur consentement explicite et les employeurs communiquent des données anonymes et dépersonnalisées. En tant que responsable des traitements des données, nous appliquons un modèle strict fondé sur des principes de privilèges d’accès minimaux et d’accès précis, de sorte que seules les personnes avec habilitées accèdent aux données pertinentes et aux fins prévues. Chaque point de contact et étape de la collecte, de la transmission, de l’entreposage et de l’analyse des données sont protégées par un encryptage conforme aux normes de l’industrie, des contrôles d’accès fondés sur les rôles, des pistes de vérification et l’intégration de la protection de la vie privée et de la confidentialité. Notre environnement repose sur une surveillance et une journalisation continue des activités afin d’assurer leur traçabilité. Il comprend également des processus rigoureux de gestion des vulnérabilités, des tests d’intrusion réguliers, des mécanismes de sauvegarde et de restauration sécurisées des données, ainsi que des plans de continuité des activités et de reprise après un sinistre.

‍

Confidentialité et harmonisation réglementaire

Notre programme de confidentialité et de sécurité est conçu pour favoriser la conformité à la LPRPDE et aux exigences provinciales applicables en matière de confidentialité des renseignements sur la santé au Canada.
À titre de pratique exemplaire, nous avons également intégré certains éléments du RGPD et des nouvelles exigences en matière de gouvernance de l’IA (loi européenne sur l’IA) afin de nous préparer à l’évolution des attentes en matière de confidentialité.

‍

Cadre de gouvernance des données

Nos pratiques en matière de sécurité et de confidentialité sont conformes aux cadres reconnus tels que les normes ISO/IEC 27001/27002 et le cadre de gestion des risques du NIST Risk Management Framework (RMF).
Toutes les données de nos clients sont stockées exclusivement sur des serveurs canadiens. Nous ne permettons pas le transfert ou le stockage de données de renseignements personnels ou de renseignements personnels sur la santé à l’extérieur du Canada.
Nous examinons et améliorons continuellement nos pratiques en matière de confidentialité, de sécurité et de gouvernance afin d’assurer la sécurité de l’exploitation de l’ensemble de nos services.

‍

Assurance et tests

Nous menons des activités continues liées aux risques et à la conformité, notamment :

exercices de continuité des activités et de rétablissement après sinistre
maintenance des processus de sauvegarde et de rétablissement sécurisés, régulièrement testés pour soutenir la continuité des activités et la résilience opérationnelle, y compris des sauvegardes immuables lorsque cela est approprié
évaluations des facteurs relatifs à la vie privée
évaluations des menaces et des risques pour la sécurité
évaluations de la vulnérabilité
tests d’intrusion
activités de validation par des tiers à l’appui de notre programme de conformité

Pratiques de traitement des données

Propriété et conservation des données

L’employé est propriétaire de ses données. Il consent à ce que nous traitions ses données dès la première étape d’utilisation de nos services, que ce soit par l’intermédiaire de leur employeur ou de leur assureur. S’il retire son consentement, les données sont supprimées de la plateforme MedMonitor. HumanisRx ne conserve les données que conformément aux exigences réglementaires. À l’issue de la période de conservation, les données qui ne sont plus nécessaires aux fins pour lesquelles elles ont été recueillies seront détruites ou anonymisées.

‍

Minimisation des données et dépersonnalisation

Nos processus automatisés d’intégration de données sont conçus pour accepter des données dépersonnalisées au moment de la réception ou de la collecte.
L’accès aux données sensibles est réservé au personnel autorisé, et les renseignements permettant d’identifier une personne ne sont consultés que lorsque cela est permis et nécessaire sur le plan clinique (par exemple, par des pharmaciens autorisés fournissant des services de consultation sur les médicaments).

‍

Encryptage et transmission sécurisée

Les données sont protégées lors du repos et lors des transits.
L’encryptage en transit est assuré par TLS 1.2 au moyen de contrôles cryptographiques robustes.
Les données au repos sont chiffrées à l’aide d’AES-256.

‍

Contrôles d’accès et surveillance du réseau

Nous utilisons des contrôles d’accès fondés sur les rôles pour restreindre l’accès aux données selon les fonctions professionnelles.
L’accès est régi par la surveillance, la consignation et la vérification
Notre environnement s’appuie sur plusieurs niveaux de contrôles de sécurité, notamment la protection des terminaux et des capacités de détection et d’intervention gérées.

Planifier une démonstration

MedMonitor : Sécurité des données dès la conception