Hébergement HDS : les preuves à demander avant de choisir un service

Le sigle HDS ne se vérifie pas avec une simple phrase dans une brochure. Avant de confier des données de santé à un service, il faut identifier le traitement envisagé, les prestataires impliqués et le périmètre des garanties apportées.

Commencer par les données et le traitement

Décrivez ce que vous souhaitez faire : stockage de documents, application métier, sauvegarde ou autre opération. Indiquez la nature des données, leur origine et les personnes pour lesquelles elles sont hébergées. Faites qualifier le besoin avec les responsables compétents de votre structure ; le nom d’un fichier ou la fonction d’un utilisateur ne suffit pas à trancher.

L’Agence du Numérique en Santé présente le dispositif de certification HDS. La vérification porte sur le service utilisé et les activités concernées, pas seulement sur la présence d’un centre de données en France.

Demander un dossier de preuves précis

1. Le nom juridique de chaque prestataire intervenant dans l’hébergement.
2. Le certificat applicable, sa période de validité et son périmètre.
3. Les activités couvertes : infrastructure, exploitation, sauvegarde selon le service.
4. La localisation des données, des copies et des opérations d’administration.
5. Les responsabilités de l’éditeur et de ses sous-traitants.
6. Les engagements de sécurité, d’incident, d’export et de fin de contrat.

Confrontez les documents à la liste officielle des hébergeurs certifiés. Un nom commercial ressemblant à celui du titulaire ne suffit pas. Si le prestataire vous renvoie vers le certificat d’un autre acteur, demandez quelles parties du service sont effectivement couvertes.

Ne pas confondre HDS, RGPD et localisation

Ces sujets répondent à des questions différentes. Une certification d’hébergement ne définit pas automatiquement la finalité de votre traitement, les accès de vos utilisateurs ou la durée de conservation. De la même façon, un hébergement en France ne démontre pas une certification HDS. Examinez l’ensemble du traitement et de ses contrats.

Une recette sans exposer de dossiers réels

Utilisez des données fictives pour examiner les droits, les journaux disponibles, la restauration et l’export. Vérifiez qu’un utilisateur sans habilitation ne voit pas les documents concernés. Demandez comment une sauvegarde serait restaurée et qui en prend la décision. Ces tests complètent les documents ; ils ne les remplacent pas.

Ce que vous pouvez demander à Inklura

Cet article n’affirme aucune certification HDS d’Inklura. Le catalogue actuel ne propose pas de dossier médical et place l’agenda patient hors offre. Avant d’envisager un usage dans une structure de santé, demandez les éléments correspondant au traitement précis et faites valider le périmètre.

Pour un premier échange, décrivez votre besoin sans transmettre de données patients. Les questions de sécurité se traitent sur un dossier de preuves et un cadre convenu, pas par un dépôt d’informations sensibles dans un formulaire commercial.

Pour approfondir

• Séparer gestion administrative et outils de soin
• Examiner les engagements d’un logiciel français