Politique de sécurité de l’information
Tietai est la plateforme d’exécution pour la santé. Elle connecte les systèmes des hôpitaux, des cliniques et des services de santé, unifie les informations cliniques qui circulent entre eux et exécute sur ces informations des workflows gouvernés et une IA clinique.
Ces informations, et les systèmes qui les soutiennent, sont les actifs les plus critiques que nous gérons. C’est pourquoi leur sécurité n’est pas pour nous une fonction de support : elle est la condition même de la fourniture de notre service.
Cette page résume la Politique de sécurité de l’information approuvée par la direction de Tiet AI, S.L. Elle constitue le cadre de référence de notre Système de management de la sécurité de l’information, dont découlent toutes nos autres politiques, normes et procédures internes.
1. Notre engagement
La Politique vise à préserver la confidentialité, l’intégrité, la disponibilité, l’authenticité et la traçabilité des informations que nous traitons, ainsi que la vie privée des personnes auxquelles ces informations se rapportent. Elle vise le respect de la réglementation qui nous est applicable et un équilibre entre le niveau de risque accepté et l’utilisation proportionnée des ressources de l’organisation, et elle sert de cadre à la définition et à la révision de nos objectifs de sécurité.
Lorsque nous traitons des données cliniques, nous agissons pour le compte des établissements de santé qui nous confient ces informations et conformément à leurs instructions documentées. Notre modèle de service repose sur le traitement des données en transit, avec une pseudonymisation précoce chaque fois que le cas d’usage le permet et, en règle générale, sans conservation persistante des informations cliniques.
La Politique s’impose à toutes les personnes de Tiet AI, S.L. (associés, direction, salariés et personnel collaborateur) et s’étend, par le biais de nos obligations contractuelles, aux fournisseurs et aux tiers qui participent à la fourniture du service.
2. Principes
La direction s’engage en faveur de l’amélioration continue du système de management et établit les principes suivants :
- Gouvernance formelle de la sécurité. Un Comité de sécurité présidé par la direction pilote le système de management, et les rôles de responsable de l’information, de responsable du système et de responsable de la sécurité sont attribués nominativement et documentés.
- Décisions fondées sur les risques. Nous identifions et évaluons périodiquement les risques pesant sur les informations et les services, appliquons les mesures de traitement appropriées et soumettons le risque résiduel à l’approbation expresse de la direction.
- Sécurité dès la conception et par défaut. Nous intégrons les exigences de sécurité dans le cycle de vie du développement, chiffrons les informations en transit et au repos, et encadrons les accès selon les principes du moindre privilège et du besoin d’en connaître.
- Détection, réponse et rétablissement. Nous disposons de procédures et de moyens pour prévenir et détecter les incidents de sécurité, y répondre et nous en rétablir, ainsi que de plans de continuité et de reprise que nous testons.
- Signalement rapide des incidents. Toute personne de l’organisation doit signaler sans délai tout incident ou soupçon d’incident, et nous maintenons les canaux de notification vers nos clients et vers les autorités compétentes qu’exige la réglementation.
- Des personnes formées et sensibilisées. Nous menons un programme permanent de formation et de sensibilisation, avec des contenus spécifiques au traitement des données de santé, destiné à l’ensemble du personnel dès son arrivée.
- Maîtrise de la chaîne d’approvisionnement. Nous évaluons la sécurité des fournisseurs et des sous-traitants ultérieurs qui interviennent dans le service, leur imposons des obligations équivalentes à celles que nous assumons et suivons leurs performances tout au long de la relation.
- Protection des données personnelles. Nous disposons d’un délégué à la protection des données et traitons les données personnelles conformément au règlement général sur la protection des données et à la législation espagnole qui le met en œuvre, avec les garanties renforcées applicables aux données de santé.
- Vérification indépendante et amélioration continue. Nous soumettons le système de management à des audits internes et à des revues externes, et mesurons sa performance au moyen d’indicateurs que la direction examine.
3. Cadre de référence
Notre système de management repose sur la norme UNE-EN ISO/IEC 27001 et sur le Schéma national de sécurité espagnol (Esquema Nacional de Seguridad), établi par le décret royal 311/2022, dans la catégorie correspondant à la nature sanitaire des informations que nous traitons. Nous respectons également les obligations découlant de la législation sur la protection des données personnelles ainsi que les exigences sectorielles et contractuelles applicables à la fourniture de services aux établissements de santé.
4. Révision
La direction de Tiet AI, S.L. révise et approuve la présente Politique chaque année, ainsi qu’à chaque changement significatif concernant l’organisation, les services qu’elle fournit, les risques auxquels elle est exposée ou la réglementation qui lui est applicable.
5. Contact
Pour toute question, suggestion ou communication relative à la sécurité de l’information, écrivez-nous. Pour exercer vos droits ou pour toute question relative à la protection des données personnelles, utilisez l’adresse dédiée à la protection des données.
- Sécurité de l’information : security@tiet.ai
- Protection des données : privacy@tiet.ai
