La sécurité et le RGPD d’un logiciel de transport commencent par une question que l’on se pose rarement : de quelles données a-t-on vraiment besoin pour emmener une personne de chez elle à l’établissement ? NavigoMédic a été conçu à partir de cette question. Il conserve une adresse, un mode de déplacement, un temps de trajet acceptable, un contact. Pas de dossier, pas de diagnostic, aucune donnée de santé.
Cette page décrit les choix faits dans le logiciel, les mesures de protection en place et, tout aussi important, ce que nous ne prétendons pas. Elle ne remplace pas l’analyse de votre délégué à la protection des données, qui reste la référence pour votre établissement.
Sécurité et RGPD du logiciel de transport : partir de la minimisation
Le principe de minimisation veut que l’on ne collecte que les données adéquates, pertinentes et limitées à ce qui est nécessaire à la finalité du traitement. Pour le transport, la finalité est logistique. La fiche d’un usager contient donc son identité, son adresse de ramassage, sa mobilité (marchant, fauteuil manuel, fauteuil électrique, rehausseur), son temps maximal à bord, la présence d’un accompagnateur, un contact légal et des notes d’accessibilité. Rien de plus.
- Les absences sont enregistrées avec la personne qui a prévenu et un motif non médical.
- La position du téléphone du chauffeur n’est relevée qu’au moment du pointage, pour vérifier qu’il se trouvait à proximité de l’adresse ; il n’y a pas de suivi continu des véhicules.
- Les factures importées contiennent des dates, des noms, des kilomètres et des montants, exactement ce que le transporteur vous adresse déjà.
Le cadre juridique général est présenté dans notre page sur le RGPD et les données des usagers transportés, et le contenu de chaque fiche sur celle de la fiche usager du transport adapté.
Pas de données de santé dans les fiches usagers
C’est le choix qui structure tout le reste. Le logiciel ne traite pas de données de santé : les notes d’accessibilité servent à dire qu’une personne a besoin d’être installée côté trottoir ou qu’elle est rassurée quand on lui annonce l’arrivée, pas à décrire une situation médicale. Les termes médicaux sont d’ailleurs refusés à la saisie. Si l’information n’est pas utile au chauffeur pour réaliser le trajet dans de bonnes conditions, elle n’a pas sa place dans NavigoMédic.
Ce filtre ne dispense pas vos équipes de vigilance. Une phrase maladroite reste possible ; le bon réflexe consiste à décrire le besoin pratique plutôt que sa cause. Notre article pourquoi le transport n’a pas besoin de données de santé donne des exemples de formulations.
Hébergement des données usagers
Le recours à un hébergeur certifié pour les données de santé, dit HDS, concerne les données de santé. Puisque NavigoMédic ne traite que des données logistiques, ce recours n’est pas nécessaire pour ces données. Nous ne revendiquons pas pour autant de certification : nous constatons simplement que le régime ne s’applique pas au contenu du logiciel. Les informations sur l’hébergement et les sous-traitants figurent dans la politique de confidentialité de NavigoMédic, et notre article sur l’hébergement HDS dans le transport revient sur la question en détail.
Cloisonnement par établissement et rôles
Chaque établissement dispose de son propre espace. Quand une association gère plusieurs structures, une même personne peut y travailler avec un seul e-mail et passer de l’une à l’autre par un sélecteur, mais les données de chaque établissement restent séparées. Le fonctionnement est décrit sur la page du logiciel de transport multi-établissements.
À l’intérieur d’un établissement, chacun ne voit que ce que son rôle justifie. Six rôles sont prévus :
- Super-administrateur et directeur, pour le paramétrage et le pilotage.
- Coordinateur transport, pour les tournées, et secrétariat, pour les absences.
- Responsable transporteur, qui ne voit que les tournées de sa propre société.
- Chauffeur, qui n’accède qu’à l’application et à sa tournée du jour.
Le paramétrage de ces profils et ce que chacun peut modifier sont décrits sur la page des droits d’accès au logiciel de transport.
Sécurité des accès
Un logiciel en ligne est exposé aux tentatives de connexion répétées, aux mots de passe réutilisés et aux sessions oubliées sur un poste partagé. Plusieurs mesures y répondent.
- Les tentatives de connexion sont limitées, ce qui freine les essais de mots de passe en série.
- Le lien « mot de passe oublié » ne fonctionne qu’une seule fois.
- Après un changement de mot de passe, les sessions ouvertes sont fermées : un téléphone perdu ou un ancien poste ne garde pas l’accès.
- Les jetons techniques sont conservés sous forme hachée, jamais en clair.
Les transporteurs qui utilisent leur propre application se connectent par une API à jeton porteur, dans les mêmes limites que leurs comptes : leurs tournées, leurs pointages. La page sur l’API pour application mobile de transport précise ce qu’elle permet.
Traçabilité : journal d’audit et empreintes
La sécurité, c’est aussi pouvoir répondre à la question « qui a fait quoi, et quand ? ». Le journal d’audit enregistre les créations, les modifications, les pointages, les imports et les exports. Une absence supprimée, une ligne de facture requalifiée, un export de données : tout laisse une trace.
Les fichiers de factures importés sont archivés avec leur empreinte SHA-256, une sorte de signature numérique qui permet de vérifier que le document n’a pas été modifié depuis. Le bordereau de contestation mentionne lui aussi une empreinte SHA-256. En cas de désaccord avec un transporteur, vous savez exactement sur quel fichier le contrôle a porté. Pour en savoir plus, consultez la page sur la traçabilité des pointages et le journal d’audit.
Ce que nous ne revendiquons pas, et ce qui reste de votre ressort
NavigoMédic ne se prévaut d’aucune certification ni d’aucun agrément. Nous décrivons des mesures, pas des labels. Nous ne promettons pas non plus de taux de disponibilité chiffré.
Le RGPD répartit par ailleurs les responsabilités. Dans un schéma courant, l’établissement définit la finalité du traitement et agit comme responsable de traitement, tandis que l’éditeur du logiciel agit pour son compte ; les engagements correspondants sont précisés dans les conditions générales d’utilisation du service. Il vous revient notamment d’inscrire le traitement à votre registre, de fixer des durées de conservation adaptées et d’informer les personnes concernées. Deux ressources peuvent vous aider : notre article sur la durée de conservation des données de transport et la page sur l’information des familles sur le transport. Vérifiez toujours les textes en vigueur et les recommandations de la CNIL avec votre délégué.
Si certains sigles de cette page vous sont moins familiers, minimisation, HDS ou jeton porteur, notre glossaire du transport adapté médico-social les définit en quelques lignes.
Si vous souhaitez examiner ces points avec nous sur un cas concret, une démonstration du logiciel de transport permet de parcourir les fiches, les rôles et le journal en conditions réelles.
Questions sur la sécurité et le RGPD
Où sont hébergées les données des usagers ?
Les informations sur l’hébergement et les sous-traitants figurent dans la politique de confidentialité. Comme le logiciel ne traite pas de données de santé, le recours à un hébergeur HDS n’est pas nécessaire pour ces données logistiques.
Pourquoi n'y a-t-il pas de données de santé dans NavigoMédic ?
Parce qu’elles ne sont pas nécessaires au trajet. Le chauffeur a besoin de savoir comment installer la personne et comment l’accueillir, pas de connaître sa situation médicale. Les termes médicaux sont refusés à la saisie.
Comment fonctionne le cloisonnement par établissement ?
Chaque établissement a ses propres données. Une personne rattachée à plusieurs structures change d’établissement par un sélecteur, sans jamais voir les données de l’un dans l’autre.
Quelles mesures garantissent la sécurité des accès ?
Limitation des tentatives de connexion, lien de réinitialisation à usage unique, fermeture des sessions après changement de mot de passe, jetons conservés hachés et six rôles aux droits distincts.
Des données minimales, et vérifiables
Parcourez avec nous les fiches usagers, les rôles et le journal d'audit pendant une démonstration, ou posez vos questions de conformité à notre équipe.