Sécurité et conformité
En tant qu’hébergeur de données de santé certifié HDS, la SAS UNIFIED SOFTWARE (YOO SOFT) publie, conformément à l’exigence n°31 du référentiel de certification HDS, la cartographie des transferts de données de santé à caractère personnel (DSCP) hors de l’Espace Économique Européen, les accès distants éventuels, ainsi que la description des risques d’accès non autorisé visés par l’exigence n°30.
Les DSCP que nous hébergeons sont stockées exclusivement au sein de l’Espace Économique Européen et chiffrées par l’application au moment de leur enregistrement en base, au moyen de clés détenues exclusivement par YOO SOFT. Nos sous-traitants d’infrastructure ne détiennent pas ces clés et n’ont donc pas accès en clair aux DSCP stockées ou sauvegardées.
Le tableau ci-dessous présente les acteurs qui participent au traitement des DSCP dans le cadre de la prestation d’hébergement.
| Raison sociale de l’acteur | Rôle dans le cadre de la prestation d’hébergement (Hébergeur / sous-traitant de l’Hébergeur) | Certifié HDS (oui / non / exempté) | Qualifié SecNumCloud 3.2 | Activités d’hébergement sur lesquelles l’acteur intervient | Accès aux données de santé à caractère personnel depuis des pays tiers à l’Espace Économique Européen, par l’Hébergeur ou l’un de ses sous-traitants (exigence n°29 du référentiel HDS) | Hébergeur ou sous-traitant soumis à un risque d’accès aux données de santé à caractère personnel depuis des pays tiers à l’Espace Économique Européen, imposé par la législation d’un pays tiers en violation du droit de l’Union (exigence n°30 du référentiel HDS) |
|---|---|---|---|---|---|---|
| SAS UNIFIED SOFTWARE | Hébergeur | Oui | Non | Déploiement, exploitation et maintenance des logiciels de santé générés par la Software Factory | Non, aucun accès aux données depuis un pays tiers à l’Espace Économique Européen | Non. Société de droit français, non soumise à une législation extra-européenne |
| MICROSOFT | Sous-traitant de l’Hébergeur | Oui | Non | Mise à disposition des environnements virtuels permettant d’exécuter les logiciels, de stocker et de sauvegarder les données de santé des logiciels générés par UNIFIED SOFTWARE | Non, aucun accès aux données depuis un pays tiers à l’Espace Économique Européen | Oui. Microsoft, société de droit américain, est susceptible d’être soumise au CLOUD Act, au FISA 702 et à l’Executive Order 12333. Les DSCP sont chiffrées par l’application au moment de leur enregistrement en base, au moyen de clés détenues exclusivement par YOO SOFT, que Microsoft ne détient pas. Voir le détail ci-dessous |
Risques d’accès imposés par une législation extra-européenne
Réglementations concernées
Microsoft, sous-traitant d’infrastructure intervenant dans la prestation d’hébergement, est une société de droit américain susceptible d’être soumise au Clarifying Lawful Overseas Use of Data Act (CLOUD Act, 2018), à l’article 702 du Foreign Intelligence Surveillance Act (FISA 702) et à l’Executive Order 12333.
Mesures d’atténuation mises en œuvre
- Stockage des données de santé exclusivement au sein de l’Espace Économique Européen.
- Chiffrement des DSCP par l’application, au moment de leur enregistrement en base, au moyen de clés cryptographiques maîtrisées exclusivement par YOO SOFT, qu’aucun sous-traitant d’infrastructure ne détient.
- Chiffrement des sauvegardes.
- Encadrement contractuel des sous-traitants : clauses contractuelles types et accord de traitement des données.
- Recours à un sous-traitant d’hébergement lui-même certifié HDS.
Risques résiduels
Microsoft demeurant soumise au droit américain, une demande d’accès fondée sur ces réglementations reste possible. Les DSCP étant chiffrées par l’application au moment de leur enregistrement en base, au moyen de clés que Microsoft ne détient pas, les données qui seraient communiquées à ce titre resteraient chiffrées et inintelligibles sans ces clés. YOO SOFT réexamine ce risque au moins une fois par an et informe ses clients de toute évolution significative.
Pour toute question, vous pouvez contacter notre délégué à la protection des données : dpo@yoo-soft.com.
Dernière mise à jour : septembre 2026.