1. Qui traite les données, et à quel titre
L'établissement de soins décide des données enregistrées dans afia et des raisons pour lesquelles il les enregistre. Il en est le responsable.
afia agit pour son compte : nous hébergeons et sécurisons ces données, sans jamais en décider l'usage. Nous n'y accédons que sur demande d'assistance de l'établissement, et chaque accès est tracé.
Nous ne vendons aucune donnée, et nous n'exploitons aucun dossier de patient. Notre métier est l'abonnement au logiciel, pas la revente d'informations.
2. Ce qui est enregistré
Données de patients
Identité, date de naissance, téléphone, adresse, et les informations de soins saisies par les équipes : constantes, consultations, diagnostics, ordonnances, résultats d'analyses, hospitalisations, factures. Ces données sont sensibles et traitées comme telles.
Données du personnel
Identité, fonction, service, coordonnées professionnelles, compte d'accès, présences et congés lorsque l'établissement utilise le module des ressources humaines.
Traces techniques
Le journal d'activité conserve qui a fait quoi et quand : connexions, consultations de dossiers, modifications sensibles. Il protège les patients et le personnel, en permettant de constater un accès anormal.
3. Cookies et stockage dans le navigateur
afia n'utilise aucun traceur publicitaire et aucun outil de mesure d'audience. Ni Google Analytics, ni réseau social, ni régie publicitaire. C'est pourquoi aucune fenêtre de consentement ne vous est présentée : il n'y a rien à accepter.
4. Qui peut voir quoi
L'accès n'est jamais général : il suit le poste occupé. Chaque rôle ne voit que ce dont il a besoin.
- Un médecin accède aux patients de son service, pas à ceux des autres.
- Un caissier encaisse sans voir les dossiers médicaux.
- Un laborantin voit les demandes d'analyses, pas la comptabilité.
- Les allergies sont visibles par le pharmacien, le laboratoire et l'imagerie, en lecture seule, pour la sécurité du patient.
Les établissements sont cloisonnés. Un hôpital ne voit jamais les patients, les stocks ni les comptes d'un autre, même lorsque plusieurs structures partagent la même installation.
5. Comment les données sont protégées
- Connexion chiffrée (HTTPS) entre les postes et le serveur.
- Mots de passe enregistrés sous forme chiffrée, jamais en clair, illisibles même pour nous.
- Double authentification disponible pour les comptes d'administration.
- Déconnexion automatique après une période d'inactivité.
- Sauvegardes régulières, pour pouvoir rétablir le service après un incident.
- Journal d'activité conservé, afin de constater tout accès anormal.
Aucun dispositif n'écarte tout risque. En cas de violation de données susceptible de porter atteinte aux personnes, nous prévenons l'établissement sans délai, avec ce que nous savons et les mesures prises.
6. Où les données sont hébergées
Les données sont hébergées chez un prestataire professionnel, sur des serveurs qui peuvent se trouver hors de la République démocratique du Congo. L'établissement en est informé à la souscription et peut nous demander à tout moment où se trouvent ses données.
Nous ne confions ces données à aucun tiers en dehors de l'hébergeur et, le cas échéant, de l'opérateur qui achemine les SMS de rappel de rendez-vous — lequel ne reçoit que le numéro et le texte du message.
7. Combien de temps elles sont conservées
| Catégorie | Conservation |
|---|---|
| Dossiers de patients | Selon la réglementation sanitaire applicable et la politique d'archivage de l'établissement |
| Documents comptables et factures | Durée légale de conservation des pièces comptables |
| Journal d'activité | Le temps nécessaire au contrôle des accès |
| Données après la fin de l'abonnement | Restituées à l'établissement, puis supprimées de nos serveurs à sa demande |
L'établissement reste maître de ces durées : il peut nous demander la restitution ou la suppression de ses données à tout moment.
8. Les droits des personnes
Un patient ou un membre du personnel peut demander à savoir quelles informations le concernent, à les faire corriger si elles sont inexactes, et à en obtenir une copie.
Ces demandes s'adressent à l'établissement de soins, qui détient le dossier et connaît la personne. C'est lui qui vérifie l'identité du demandeur et décide de la suite. Nous l'assistons techniquement si nécessaire.
Le droit à l'effacement s'apprécie au regard des obligations de conservation du dossier médical : un établissement ne peut pas toujours supprimer un dossier sur simple demande.
9. Cadre légal
Le traitement des données personnelles en République démocratique du Congo relève notamment de l'ordonnance-loi n° 23/010 du 13 mars 2023 portant Code du numérique.
Un établissement soumis à d'autres exigences — bailleur de fonds, organisation internationale, convention particulière — nous le signale afin que nous en tenions compte.
10. Modification de ce document
Si notre fonctionnement change, ce document est mis à jour et la date en tête de page avec lui. Tout changement notable est annoncé dans l'application et par courriel à l'administrateur de l'établissement.