Sécurité & Conformité

Cette page décrit les mesures de sécurité en place et la trajectoire de certification de GALIMED. Les certifications marquées « en cours » ou « planifiée » ne sont pas encore obtenues et ne doivent pas être présentées comme acquises.

Mesures de sécurité en place

Chiffrement en transit (TLS 1.2+) et au repos (Azure Cosmos DB, Azure Storage).
Secrets gérés dans Azure Key Vault (identité managée, aucun secret en clair côté application).
Authentification JWT + 2FA (TOTP et clés WebAuthn/FIDO2) + SSO Microsoft Entra ID.
Contrôle d'accès par rôles (patient, médecin, hôpital, pharmacie, laboratoire, admin).
Vérification d'identité (KYC) des professionnels de santé via Stripe Identity, avec documents établissement (SIRET, autorisation d'exercer) pour les hôpitaux.
En-têtes de sécurité (Helmet, CSP stricte), limitation de débit, journalisation et corrélation des requêtes (Azure Application Insights).
Webhooks de facturation authentifiés : Stripe (signature), PayPal, Azure Marketplace (JWT Microsoft Entra vérifié).

Trajectoire de certification

Référentiel	Statut	Méthode
RGPD (UE) + DPA / BAA	En place	Registre des traitements, DPA/BAA contractuels, droits des personnes, minimisation.
HDS — Hébergeur de Données de Santé (France)	En cours	GALIMED s'appuie sur Microsoft Azure, hébergeur lui-même certifié HDS. Étapes engagées : migration des données de santé vers la région France Central (périmètre HDS de Microsoft), contractualisation de l'avenant HDS, puis audit de certification par un organisme accrédité COFRAC. GALIMED ne revendique pas la certification HDS tant que le certificat n'est pas délivré ; le calendrier détaillé est communicable sur demande.
ISO/IEC 27001	En trajectoire	Mise en place du SMSI : analyse de risques, politiques de sécurité, plan de traitement, audit interne avant audit de certification par un organisme accrédité.
SOC 2 (Type I puis II)	Planifiée	Définition des contrôles (sécurité, disponibilité, confidentialité), collecte de preuves sur période d'observation, audit par cabinet indépendant.
HIPAA (USA)	En trajectoire	Contrôles orientés HIPAA, BAA, journalisation d'audit ; profil de déploiement dédié USA.

Résidence des données

Les données de santé des patients et des hôpitaux américains restent aux États-Unis (Azure East US 2). Celles de tous les autres restent dans l'Union européenne (Azure France Central). Ce n'est pas une intention affichée : l'aiguillage est appliqué dans l'application et vérifié en production chaque jour.

Voir Privacy, Health Information & US Deployment pour le profil américain.

Tests d'intrusion (pentest)

La plateforme fait l'objet d'une revue de sécurité continue. La méthode suivie :

Périmètre : APIs REST, authentification/autorisation, isolation des rôles et des tenants, webhooks de paiement, exposition des secrets.
Méthodologie : référentiel OWASP ASVS et OWASP Top 10 ; tests d'authentification, d'injection, de contrôle d'accès (IDOR), de configuration et de gestion des secrets.
Revue interne : analyse de code et tests automatisés (voir le rapport interne de sécurité).
Pentest tiers : un test d'intrusion formel par un prestataire indépendant est planifié avant la mise en production commerciale ; le rapport et le plan de remédiation seront archivés.

GALIMED est un outil de support aux workflows cliniques et de coordination des soins. Il ne fournit pas de diagnostic, de prescription ni de décision médicale autonome ; toute sortie IA est revue par un clinicien.

Contact sécurité

Signalement de vulnérabilité ou demande de documentation de conformité : contact@groupe-businesstherapie.net