Transparence hébergement données de santé

Tableau de représentation des garanties HDS

Objet

Présenter les garanties de la chaîne de protection des données de santé à caractère personnel (DSCP) hébergées par Avenir Numérique, conformément au chapitre 8 du référentiel HDS v2.0. Ce tableau identifie chaque acteur, son rôle, ses certifications, les activités d'hébergement concernées (numérotation officielle v2, art. R.1111-9 CSP) et les garanties de souveraineté.

Champ d'application

L'ensemble des dépendances externes liées à l'hébergement des DSCP : Avenir Numérique (hébergeur infogéreur, réalise et vend les activités 2 à 6), l'opérateur du datacenter (activité 1, non revendue par AN) et le fournisseur d'une copie de sauvegarde externalisée consommée par AN pour la résilience de son activité 6.

Responsabilités

Rôle	Responsabilité
RSSI	Maintient le tableau à jour, vérifie les certifications des opérateurs et fournisseurs
Direction	Valide les évolutions de la chaîne de dépendances externes, relations contractuelles
RSMSI	Coordonne la mise à jour avec l'organisme certificateur

Activités d'hébergement — numérotation HDS v2.0

Conformément à l'article R.1111-9 du Code de la santé publique (version en vigueur, reprise par le référentiel HDS v2.0) :

N°	Activité	Type d'hébergeur
1	Mise à disposition et maintien en condition opérationnelle des sites physiques permettant d'héberger l'infrastructure matérielle du SI utilisé pour le traitement des DSCP	Hébergeur d'infrastructure physique
2	Mise à disposition et maintien en condition opérationnelle de l'infrastructure matérielle du SI utilisé pour le traitement des DSCP	Hébergeur d'infrastructure physique
3	Mise à disposition et maintien en condition opérationnelle de l'infrastructure virtuelle du SI utilisé pour le traitement des DSCP	Hébergeur infogéreur
4	Mise à disposition et maintien en condition opérationnelle de la plateforme d'hébergement d'applications du SI	Hébergeur infogéreur
5	Administration et exploitation du SI contenant les DSCP	Hébergeur infogéreur
6	Sauvegarde externalisée des DSCP (les sauvegardes intrinsèquement nécessaires aux activités 1 à 5 sont incluses dans ces activités)	Hébergeur infogéreur

Chaîne de protection des DSCP

Acteur	Rôle dans la chaîne	Certifications	Activités HDS v2 (art. R.1111-9 CSP)	Localisation stockage	Accès hors EEE	Législation extra-EU	Preuve
Avenir Numérique SAS — Amilly (45)	Hébergeur infogéreur Réalise et vend les activités 2 à 6	ISO 27001:2022 (30/09/2025 → 29/09/2028) HDS v2.0 (26/04/2023 → 25/04/2026, renouvellement en cours) Organisme certificateur : Bureau Veritas	2. Mise à disposition et MCO de l'infrastructure matérielle 3. Mise à disposition et MCO de l'infrastructure virtuelle 4. Mise à disposition et MCO de la plateforme d'hébergement d'applications 5. Administration et exploitation du SI contenant les DSCP 6. Sauvegarde externalisée des DSCP (stockage primaire réalisé par AN dans DC2)	France métropolitaine (OpCore DC2, Vitry-sur-Seine)	Aucun	Non — société de droit français	Certificats ISO 27001 + HDS
OpCore SAS Vitry-sur-Seine (94)	Opérateur du datacenter Hébergeur d'infrastructure physique Activité 1 non revendue par AN — hors sous-traitance HDS	ISO 27001 HDS	1. Mise à disposition et MCO des sites physiques permettant d'héberger l'infrastructure matérielle du SI utilisé pour le traitement des DSCP	France métropolitaine (OpCore DC2, Vitry-sur-Seine)	Aucun	Non — attestation du président OpCore SAS (preuve contractuelle EXI 30)	Certificats ISO 27001 + HDS Attestation EXI 30
Hosteur SAS France	Fournisseur d'une copie de sauvegarde externalisée Ressource technique consommée par AN pour la résilience de son activité 6 Ne réalise pas l'activité 6 à la place d'AN — hors sous-traitance HDS	ISO 27001 HDS	Fournisseur HDS consommé par AN — copie externalisée des sauvegardes réalisées par AN dans le cadre de son activité 6	France métropolitaine	Aucun	Non — société de droit français	Certificats ISO 27001 + HDS

Synthèse souveraineté

Aucun transfert de DSCP hors de l'Espace Économique Européen.

L'ensemble de la chaîne d'hébergement est constituée de sociétés de droit français, dont les capitaux et les infrastructures sont basés en France. Aucun acteur n'est soumis à une législation extra-européenne susceptible d'imposer un accès non autorisé aux données de santé.

Aucun transfert de données de santé à caractère personnel (DSCP) vers un pays tiers à l'Espace Économique Européen.

Références normatives

Référentiel	Exigence
HDS v2.0	Chapitre 8 — Tableau de représentation des garanties Art. R.1111-9 CSP — 6 activités d'hébergement [EXI 01] Conditions générales de certification, [EXI 06] Sous-traitance et traitement des risques, [EXI 22] Sous-traitance, [EXI 28] Stockage EEE, [EXI 29] Accès distant hors EEE, [EXI 30] Législation pays tiers, [EXI 31] Cartographie publique

Référentiel

Exigence

HDS v2.0

Chapitre 8 — Tableau de représentation des garanties

Art. R.1111-9 CSP — 6 activités d'hébergement

[EXI 01] Conditions générales de certification, [EXI 06] Sous-traitance et traitement des risques, [EXI 22] Sous-traitance, [EXI 28] Stockage EEE, [EXI 29] Accès distant hors EEE, [EXI 30] Législation pays tiers, [EXI 31] Cartographie publique