Qui fait quoi
HospiPlay est une plateforme d'engagement et de développement de la culture qualité et sécurité des soins, mise à disposition des établissements de santé. Les données y sont traitées pour une seule finalité : permettre à un établissement d'organiser des campagnes auprès de ses professionnels, d'en suivre la participation et d'en restituer les résultats.
La répartition des rôles au sens du règlement général sur la protection des données dépend de ce qui est traité. Il y a deux cas, et les confondre reviendrait à désigner un responsable qui n'en est pas un.
Pour les campagnes d'un établissement
L'établissement de santé est responsable de traitement. C'est lui qui décide de mobiliser ses professionnels, choisit les contenus, désigne les titulaires des comptes et détermine qui participe.
HospiPlay est sous-traitant, au sens de l'article 28 du règlement. Les scores, les services, les réponses, les attestations et les retours d'expérience sont traités sur instruction de l'établissement, pour lui fournir le service, et pour rien d'autre.
Pour le fonctionnement de la plateforme
L'éditeur de HospiPlay est responsable de traitement pour ce qu'il décide seul, sans instruction d'aucun établissement :
- les comptes d'administration qu'il crée et gère lui-même ;
- l'accès aux modules immersifs par code, lorsqu'il est utilisé hors du cadre d'un établissement ;
- le journal d'activité et les adresses réseau qu'il conserve, pour détecter les accès anormaux ;
- le décompte des tentatives de connexion, qui sert à limiter les attaques par essais répétés.
Ces traitements reposent sur l'intérêt légitime de l'éditeur à sécuriser son service et à en assurer le fonctionnement.
Concrètement : HospiPlay n'utilise aucune donnée de participant à des fins commerciales, ne les revend pas, ne les transmet à aucun tiers, et ne s'en sert pas pour améliorer un produit destiné à quelqu'un d'autre.
Sous-traitant
Monsieur Ndiaye, éditeur de HospiPlay
Contact : hospiacademy@hospi-academy.com
Les données traitées
Participants aux campagnes
| Donnée | Origine | Pourquoi |
|---|---|---|
| Prénom ou nom d'usage | saisi par le participant | afficher son score, lui permettre de retrouver ses résultats |
| Service | saisi ou choisi dans une liste | classement par service, statistiques d'équipe |
| Réponses aux questions | activité dans l'outil | calculer le score, produire les statistiques |
| Score et date de session | calculé par le serveur | suivi de la campagne |
Le participant choisit lui-même le nom sous lequel il apparaît. Rien n'oblige à saisir un nom complet, et un prénom suffit au fonctionnement.
Aucune donnée de santé n'est collectée. Les situations présentées dans les modules sont fictives. Il est demandé aux participants de ne jamais saisir d'information concernant un patient réel.
Formateurs et administrateurs
Nom, adresse de messagerie, mot de passe, établissement de rattachement et date de dernière connexion. Ces comptes sont créés par l'établissement.
Les mots de passe ne sont jamais conservés en clair : seule une empreinte cryptographique irréversible est enregistrée.
Données techniques
Adresse réseau et horodatage des connexions, conservés dans un journal d'activité. Ce journal enregistre les connexions réussies et échouées, les créations et suppressions de comptes, et les actions d'administration. Il sert à détecter les accès anormaux et à établir ce qui s'est passé en cas d'incident.
Retours d'expérience
Lorsqu'un participant remplit un questionnaire de retour, ses réponses et son commentaire libre sont conservés. Ce commentaire est facultatif.
Jeux ouverts par QR code
Certains jeux de campagne, comme les mots croisés de la Semaine de la sécurité des patients, se jouent sans compte, depuis un QR code affiché dans un service.
À la fin d'une partie, sont enregistrés : la durée, le nombre de mots trouvés, le nombre d'indices utilisés et, lorsque le QR code en portait un, le code de l'établissement. Ces éléments ne se rattachent à aucune personne.
Avant de jouer, le participant peut saisir un pseudonyme ou son nom pour figurer au classement. Ce choix lui appartient et n'est pas obligatoire : ne rien saisir n'empêche pas de jouer, la partie est simplement comptée sans être nommée.
Ce qui est saisi est affiché publiquement sur le classement, consultable par toute personne disposant du lien. Le participant qui saisit son nom rend donc cette information publique en connaissance de cause ; l'écran le lui indique avant qu'il ne commence.
Les saisies qui ressemblent à une adresse de messagerie, à une adresse web ou à un numéro de téléphone sont refusées automatiquement, de même que les termes injurieux. Un administrateur peut retirer du classement toute entrée inappropriée : la partie reste alors comptée dans les totaux, seul le nom cesse d'être affiché.
Pour faire retirer une entrée, écrivez à hospiacademy@hospi-academy.com en indiquant le nom affiché et l'établissement. Le retrait est effectué sans avoir à se justifier.
Aucun identifiant n'est déposé sur l'appareil : deux parties jouées par la même personne ne sont pas reliées entre elles.
Défis express
Les défis express se jouent sans compte et sans nom. À la fin d'un défi, sont enregistrés : le défi joué, la durée, le nombre de mots trouvés, le nombre d'indices utilisés et le fait que la solution ait été affichée ou non.
Lorsque le lien porte le code d'un établissement, le participant indique aussi son service, qui sert uniquement au suivi collectif de l'établissement. En accès libre, aucun service n'est demandé.
Aucun identifiant n'est déposé sur l'appareil. Le service choisi est seulement gardé en mémoire le temps de l'onglet, pour ne pas le redemander à chaque défi, puis oublié à sa fermeture.
Lors d'un duel entre services, chaque appareil qui rejoint le match reçoit un jeton aléatoire rattaché à son équipe, gardé le temps de l'onglet pour survivre à un rechargement. Aucun nom n'est demandé. En fin de match, seuls le service de chaque équipe, le défi, le nombre de mots trouvés et la durée sont enregistrés.
Attestations de participation aux olympiades
À l'issue d'une olympiade de la qualité, chaque participant peut éditer lui-même son attestation. C'est la seule fonction de la plateforme qui enregistre un nom complet, l'attestation étant un document nominatif.
| Donnée | Origine | Pourquoi |
|---|---|---|
| Prénom et nom | saisis par le participant | figurer sur l'attestation, document nominatif par nature |
| Service | choisi dans la liste de l'olympiade, ou saisi librement | identifier l'équipe et établir le décompte remis à la direction |
| Fonction | saisie par le participant, facultative | figurer sur l'attestation si la personne le souhaite |
| Numéro d'attestation, date et heure d'édition | attribués par le serveur | tracer la remise du document et permettre sa vérification |
L'accès est protégé par le code de l'établissement et par un code de cérémonie que l'organisateur annonce le jour même. Ce code peut être révoqué à tout moment, et l'édition fermée une fois la cérémonie terminée.
Ces attestations sont délivrées sur déclaration : l'olympiade enregistre les résultats par service et ne tient aucune liste d'émargement. Le registre atteste donc de la remise d'un document, non de la présence effective d'une personne. L'attestation elle-même porte cette mention et précise qu'elle ne constitue pas une certification professionnelle.
Le registre n'est consultable que par les administrateurs de l'établissement concerné. Il n'est ni publié, ni transmis à des tiers. Pour faire retirer une attestation du registre, écrivez à hospiacademy@hospi-academy.com en indiquant le numéro figurant sur le document.
Combien de temps
| Donnée | Durée | Pourquoi cette durée |
|---|---|---|
| Prénom, service, scores | 3 ans après la dernière participation | couvre un cycle de certification en cours et permet la délivrance d'attestations |
| Statistiques après ce délai | conservées sans le nom | l'établissement garde ses indicateurs, la personne n'est plus identifiable |
| Comptes formateurs | durée du contrat, puis 12 mois | permet une réactivation en cas de renouvellement |
| Journal d'activité | 12 mois | durée usuelle pour un journal de sécurité |
| Salles de jeu et sessions en cours | 3 heures | une session terminée n'a plus d'utilité |
| Retours d'expérience | 2 ans | le temps d'exploiter les enseignements d'une campagne |
| Parties et classement des jeux ouverts par QR code | fin de campagne, puis 6 mois | le temps de publier les résultats et de préparer l'édition suivante |
| Registre des attestations d'olympiade | jusqu'à la fin de l'année civile suivant l'olympiade | permet de rééditer une attestation perdue et de répondre à une vérification pendant l'exercice suivant |
| Liens de réinitialisation de mot de passe | 1 heure | usage unique, à durée volontairement courte |
À la fin du contrat, les données de l'établissement lui sont restituées sur demande, puis supprimées.
Où sont les données
Hébergement chez Hostinger, sur des serveurs situés dans l'Union européenne. Aucun transfert hors de l'Union européenne n'est effectué.
Aucun sous-traitant supplémentaire n'intervient : pas de régie publicitaire, pas d'outil de suivi tiers. La mesure de fréquentation est assurée par un logiciel libre installé sur le même hébergement que la plateforme, en Union européenne : aucune donnée n'est transmise à un tiers.
Comment elles sont protégées
- Chiffrement des échanges entre le navigateur et le serveur
- Mots de passe stockés sous forme d'empreinte irréversible
- Cloisonnement strict entre établissements : les données d'un établissement ne sont accessibles à aucun autre, et ce cloisonnement fait l'objet de contrôles automatisés
- Accès limité à ce que chaque rôle nécessite
- Limitation des tentatives de connexion
- Retrait d'accès immédiat lorsqu'un compte est désactivé
- Journalisation des actions d'administration
- Sauvegardes quotidiennes
Vos droits
Toute personne dont les données figurent dans HospiPlay dispose d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition.
Pour tout ce qui relève d'une campagne, scores, service, réponses, attestations, retours d'expérience : adressez-vous à votre établissement, qui en est responsable de traitement. C'est lui qui décide des suites, HospiPlay agissant sur ses instructions.
Pour ce qui relève du fonctionnement de la plateforme, votre compte d'administration, le journal d'activité, les adresses réseau : écrivez directement à hospiacademy@hospi-academy.com, l'éditeur en est responsable de traitement.
Si vous ne savez pas dans quel cas vous vous trouvez, écrivez à la même adresse : la demande sera traitée ou transmise à l'établissement concerné, sans que vous ayez à faire ce tri.
Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, 75334 Paris Cedex 07, ou sur www.cnil.fr.
Ce qui est déposé sur votre appareil
HospiPlay ne dépose aucun cookie et n'affiche aucune publicité. La plateforme compte les pages consultées, pour son propre compte et dans le seul but d'améliorer le service : savoir quels formats sont utilisés et à quel moment les participants s'arrêtent. Cette mesure fonctionne sans cookie et sans identifiant. Les adresses sont nettoyées des codes d'établissement, des codes de salle, des jetons et des pseudonymes avant tout enregistrement, et aucun outil d'analyse tiers n'est installé.
Le site utilise en revanche le stockage local du navigateur, qui relève des mêmes règles. Voici ce qui y est conservé, et pourquoi.
| Ce qui est conservé | À quoi ça sert | Durée |
|---|---|---|
| Jeton de session | vous garder connecté sans redemander le mot de passe à chaque page | 8 heures, ou la fermeture de l'onglet |
| Jeton d'accès aux modules immersifs | éviter de resaisir le code d'établissement à chaque module | fermeture de l'onglet |
| Nom, rôle et établissement du compte connecté | afficher l'écran adapté sans réinterroger le serveur | jusqu'à la déconnexion |
| Modules déjà terminés, séries de participation | afficher votre progression | jusqu'à l'effacement des données du site |
| Préférences d'affichage, de lecture et de son | retrouver vos réglages | jusqu'à l'effacement des données du site |
| Prénom et service saisis pour le quiz du jour | ne pas les redemander chaque jour sur le même appareil | jusqu'à l'effacement des données du site |
| Service choisi pour les défis express | ne pas le redemander à chaque défi | fermeture de l'onglet |
| Jeton d'équipe ou d'animateur d'un duel | retrouver sa place dans le match après un rechargement | fermeture de l'onglet |
Ces éléments restent sur l'appareil. Ils ne sont transmis à aucun tiers, ne servent à aucun suivi entre sites, et disparaissent lorsque vous effacez les données du site dans votre navigateur.
Aucun consentement n'est requis : tous sont strictement nécessaires au service demandé, au sens de l'article 82 de la loi Informatique et Libertés.
En cas de violation de données
Si une violation de données survient, HospiPlay en informe l'établissement concerné dans les meilleurs délais, avec la nature de l'incident, les données touchées et les mesures prises. Il appartient à l'établissement, responsable de traitement, de procéder le cas échéant à la notification prévue à l'article 33 du règlement.
Évolutions
Ce document est mis à jour à chaque évolution significative du traitement. La date figurant en tête indique la dernière révision.