DSP traite des données personnelles et des données de santé. Cette politique explique, sans jargon, quelles données sont collectées, pourquoi, où elles sont hébergées, comment elles sont protégées et comment exercer vos droits.
01Qui est responsable de vos données
Pour les données des comptes (utilisateurs, établissements, réservations), DSP est responsable du traitement.
Pour les données relatives aux patients et aux événements indésirables, chaque établissement de santé reste responsable du traitement des informations qu'il saisit. DSP agit alors comme prestataire technique : la plateforme héberge et traite ces données uniquement pour le compte de l'établissement et selon ses instructions.
02Cadre légal
Les traitements sont réalisés conformément à la loi n° 2017-20 du 20 avril 2018 portant Code du numérique en République du Bénin, et notamment à son livre consacré à la protection des données à caractère personnel, sous le contrôle de l'Autorité de Protection des Données Personnelles (APDP).
03Données collectées
La plateforme ne collecte que les données nécessaires au fonctionnement de ses modules :
| Catégorie | Données |
|---|---|
| Comptes utilisateurs | Nom, prénom, adresse email, téléphone (facultatif), rôles, rattachement à un établissement et à un service, mot de passe (stocké uniquement sous forme chiffrée irréversible). |
| Établissements | Nom, type (EH ou ESPC), numéro IFU, adresse, téléphone et email de contact. |
| Patients (module NEWS) | Nom, prénom, date de naissance, sexe, numéro de dossier, dates d'admission et de sortie, service, constantes vitales mesurées, score NEWS, alertes et interventions associées. |
| Événements indésirables | Description de l'événement, type, service, gravité, causes, actions correctives, historique des statuts et pièces jointes éventuelles. |
| Auto-évaluation | Réponses aux grilles, scores calculés, dates de démarrage et de soumission, auteur des sessions. |
| Formations | Réservations, formule choisie, tarif appliqué, identifiant de transaction KKiaPay, facture, date de session et présence. |
| Données techniques | Sessions de connexion actives et journal des actions sensibles (connexions, déconnexions, actions d'administration). |
Aucune donnée de carte bancaire ou de compte Mobile Money n'est collectée ni stockée par DSP : le paiement est saisi directement dans le module sécurisé de KKiaPay.
04Finalités du traitement
- créer et sécuriser les comptes, authentifier les utilisateurs ;
- permettre l'auto-évaluation qualité et le calcul des scores ;
- assurer la surveillance clinique des patients et déclencher les alertes NEWS ;
- déclarer, analyser et suivre les événements indésirables ;
- gérer les réservations, paiements et factures des formations ;
- envoyer les notifications liées au service (confirmation d'email, alertes, dates de formation) ;
- assurer la sécurité de la plateforme et la traçabilité des actions sensibles.
05Données de santé
Les informations relatives aux patients et aux événements indésirables sont des données de santé, particulièrement sensibles. Elles bénéficient de protections renforcées :
- elles ne sont accessibles qu'aux utilisateurs de l'établissement concerné, selon leur rôle ; le personnel soignant ne voit que les patients de son service ;
- aucun autre établissement n'y a accès, et l'administration de la plateforme ne les consulte pas : ses tableaux de bord ne présentent que des chiffres agrégés, sans identité de patient ni contenu d'incident ;
- elles ne sont jamais vendues, ni utilisées à des fins publicitaires.
06Destinataires et prestataires
Les données sont accessibles aux seuls utilisateurs habilités. Pour fonctionner, la plateforme fait appel aux prestataires techniques suivants, qui n'agissent que sur ses instructions :
| Prestataire | Rôle | Localisation |
|---|---|---|
| TiDB Cloud | Hébergement de la base de données | Centre de données AWS de Francfort (Allemagne) |
| Cloudinary | Stockage des pièces jointes des événements indésirables | Hors du Bénin |
| Brevo | Envoi des emails transactionnels (confirmation, alertes, réinitialisation) | Union européenne |
| KKiaPay | Traitement des paiements des formations | Bénin |
Certaines données sont ainsi hébergées hors du Bénin. Ces transferts sont limités à ce qui est nécessaire au service et encadrés par les garanties de sécurité décrites ci-dessous.
07Sécurité
- mots de passe jamais stockés en clair (hachage bcrypt) ;
- connexion à la base de données chiffrée (TLS) ;
- cookies de session inaccessibles aux scripts du navigateur (httpOnly) ;
- cloisonnement systématique des données par établissement ;
- contrôle des accès par rôle, vérifié par le serveur à chaque requête ;
- limitation des tentatives de connexion et de réinitialisation de mot de passe ;
- journal des actions sensibles et possibilité de fermer à distance ses sessions actives.
08Durée de conservation
Les données des comptes sont conservées tant que le compte est actif. Les données de santé sont conservées pendant la durée d'utilisation du service par l'établissement, dans le respect des durées de conservation applicables aux dossiers de soins.
Pour garantir l'intégrité du suivi des soins, la sortie d'un patient clôture sa fiche sans effacer son historique, et une mesure NEWS ou un événement indésirable ne peut pas être supprimé individuellement.
09Vos droits
Vous disposez d'un droit d'accès, de rectification, d'opposition et, dans les limites prévues par la loi, d'effacement de vos données. Vous pouvez corriger directement certaines informations depuis votre espace (coordonnées de l'établissement, sessions actives).
Pour exercer vos droits, écrivez à contact@dps.bj. Les demandes concernant les données d'un patient doivent être adressées à l'établissement de santé qui l'a pris en charge, responsable de ces données.
Vous pouvez également introduire une réclamation auprès de l'APDP.
11Évolution de cette politique
Cette politique peut être mise à jour pour refléter l'évolution de la plateforme ou de la réglementation. La date de dernière mise à jour figure en tête de page. Voir aussi les conditions générales d'utilisation.