Confiance et sécurité

Notre approche des données et de la sécurité.

Les équipes des achats et de la sécurité ont besoin de réponses claires avant tout projet d’IA clinique. Cette page ne présente que les dispositions que nous offrons réellement, et explique comment obtenir notre documentation pour votre évaluation.

Demander la documentation de sécurité

Réglementation et normes américaines

Des cadres dans lesquels nous travaillons, pas des certifications que nous détenons.

HIPAA
HITECH
ONC HTI-1
NIST AI RMF
FDA SaMD
FHIR

Où se fait le travail

Par défaut, nous travaillons dans vos propres systèmes ou votre propre environnement cloud : vos données restent là où elles se trouvent déjà, sous vos contrôles.

Un hébergement géré par Verilian est proposé si vous préférez ne pas héberger le travail vous-même. Toutes les données des clients sont hébergées aux États-Unis. Un hébergement dans un État précis est possible sur demande, lorsque le fournisseur le permet.

Hébergement géré par Verilian

Seules les dispositions présentées ici sont en place. Nous ne faisons appel à aucun autre fournisseur pour traiter les données des clients.

Accès: Seul l’analyste principal (Executive Analyst) affecté au mandat peut accéder aux données du client. L’accès est accordé projet par projet et retiré à la clôture du projet.
Lieu d’hébergement: Les données des clients sont hébergées sur Google Cloud Platform (us-east4, Virginie du Nord) et Microsoft Azure (East US, Virginie).
Fournisseurs approuvés: Google Cloud Platform (y compris Vertex AI) et Microsoft Azure (y compris Azure OpenAI). Aucun autre fournisseur ne traite les données des clients.

Données des patients (PHI)

Verilian a conclu des ententes d’associé d’affaires (BAA) avec Google Cloud et Microsoft Azure, et n’utilise pour les données des clients que les services couverts par ces ententes.

Les données des patients ne sont traitées que lorsqu’une BAA couvre chacun des systèmes concernés. Sinon, le flux de travail est hébergé chez le client.

Conservation, suppression et journalisation

Conservation: Les données des clients ne sont conservées que pendant la durée du mandat, plus 30 jours, sauf disposition contraire du contrat.
Suppression: Les données des clients sont supprimées dans les 30 jours suivant la fin du contrat, ou plus tôt sur demande écrite, et le client reçoit une confirmation écrite de la suppression.
Journalisation: Nous journalisons les accès aux données des clients et l’activité des systèmes, et conservons ces journaux pendant 12 mois à des fins de sécurité et d’audit. Les journaux ne contiennent aucun renseignement sur les patients.

Vérifications avant tout transfert de données

Aucune donnée client n’entre dans les systèmes de Verilian tant que ces trois conditions ne sont pas toutes réunies :

1: La portée et la liste des données sont convenues par écrit.
2: Les ententes requises, dont une BAA, sont signées.
3: Le client approuve précisément les données qui seront utilisées et les personnes qui pourront y accéder.

Besoin d’une information qui ne figure pas sur cette page ? Posez la question directement à notre équipe.

N’envoyez aucun renseignement sur les patients par ce site.

Réglementation

Les cadres américains dans lesquels nous travaillons.

Nous en tenons compte dans la façon dont nous délimitons, concevons et encadrons chaque mandat. Des cadres dans lesquels nous travaillons, pas des certifications que nous détenons.

HIPAARègles de confidentialité et de sécurité (Privacy Rule et Security Rule) : comment les renseignements de santé protégés peuvent être utilisés, communiqués et protégés, et la norme du minimum nécessaire
HITECHNotification des atteintes à la sécurité des données et obligations des associés d’affaires (business associates)
ONC HTI-1Règles de transparence pour l’aide à la décision prédictive dans les TI de santé certifiées
NIST AI RMFUn cadre volontaire pour cerner et gérer les risques liés à l’IA
FDA SaMDQuand un logiciel clinique est réglementé comme un dispositif médical, et comment il peut évoluer
FHIRLa norme d’interopérabilité sur laquelle nous bâtissons les intégrations lorsque le DME la prend en charge

Demander la documentation de sécurité.

Dites-nous ce dont votre évaluation a besoin : nous vous répondrons personnellement dans un délai d’un jour ouvrable. Veuillez ne pas envoyer de renseignements sur les patients par ce site.

Demander la documentation de sécurité Lire l’avis de confidentialité (ébauche)