Vos données personnelles : 2 consentements, export et suppression
Ce que le portail conserve sur vous, qui peut le voir, comment tout récupérer en un seul fichier et comment tout supprimer. Avec les boutons du compte, et non par une lettre à l'hôtel.
La politique de confidentialité de l'hôtel ne convient pas au portail : elle ne mentionne ni les données de santé, ni le compte, ni les appareils portables. Le portail a donc sa propre politique — douze sections à l'adresse `#/privacy`, dans toutes les langues de l'interface.
Le responsable du traitement est nommé, avec ses coordonnées et son adresse ; le contact pour les questions de données est une boîte mail dédiée ; et le serveur se trouve en Allemagne, c'est-à-dire dans l'UE.
La politique du portail : douze sections, accessible sans connexion.×
Il y a deux consentements, et ce n'est pas une formalité
Le premier est général, donné lors de l'inscription. Le second est explicite, pour le traitement des données de santé, et il est demandé avant le questionnaire.
Il a fallu les séparer car les données de santé sont une catégorie particulière : pour elles, le « consentement aux conditions » lors de l'inscription n'est pas juridiquement suffisant.
Les deux consentements sont enregistrés avec le numéro de version de la politique. Quand la politique change sur le fond — par exemple, lors de l'ajout des pèse-personnes en chambre et de la composition corporelle — la version augmente, et le portail demande à nouveau le consentement de tous. C'est la fameuse fenêtre « une dernière chose avant de continuer » qui s'affiche par-dessus n'importe quel écran.
« Mes données » : quatre boutons
La page « Compte » contient un bloc « Mes données ». Les droits que vous accorde la réglementation y sont matérialisés par des boutons, et non par une adresse e-mail.
Exportation — tout ce que nous avons sur vous, en un seul fichier.
Exportation HL7 FHIR — la même chose dans le langage des systèmes médicaux : un patient et des observations avec des codes LOINC. Un système hospitalier peut lire un tel fichier, pas seulement une personne.
Retrait du consentement — avec la suppression des données de santé.
Suppression du compte — dans son intégralité.
« Mes données » : exportation, retrait du consentement, suppression×
Ce qui est effacé et ce qui est conservé
L'effacement se fait à deux niveaux, et la différence est clairement indiquée. Données de santé — nuits, marches, soins prescrits, pesées, notes du personnel à votre sujet, messages du médecin qui vous sont personnellement adressés. Compte — tout cela, plus l'accès lui-même.
Sont conservés les enregistrements que l'hôtel a créés le concernant : le journal de remise des kits, le journal des accès du personnel au compte d'un client, les annonces générales. Il ne s'agit pas de vos données personnelles, mais de la trace que l'hôtel conserve de ses propres actions.
Notez bien : l'option « Effacer tous les enregistrements » à la réception n'est pas la même chose. Elle efface les données du kit et de son compte Garmin pour que le client suivant ne voie pas les nuits de quelqu'un d'autre, mais elle ne touche pas à votre compte (détails).
Qui d'autre voit vos écrans
Le personnel peut ouvrir « le compte du client » et voir ainsi les mêmes pages que vous. Pour un médecin, cet accès est en lecture seule : toute tentative d'écriture durant une telle session est refusée par le serveur, et pas simplement masquée dans l'interface.
Chacune de ces connexions est enregistrée dans un journal : qui s'est connecté, et quand. Ce journal est un enregistrement que l'hôtel conserve sur ses propres activités, il survit donc à l'effacement des données de santé et n'est supprimé qu'avec le compte.
À l'inverse, les notes du personnel sur un client sont écrites à votre sujet et sont effacées en même temps que vos données de santé.
Comment cela fonctionne pour une personne
Vous partez et voulez tout emporter avec vous : utilisez « Exporter », et le fichier sera sur votre téléphone. Vous voulez le donner à votre médecin traitant : utilisez « Exporter en HL7 FHIR », son système pourra le lire. Vous voulez que l'hôtel vous oublie : utilisez « Supprimer le compte », sans avoir à demander à qui que ce soit.
Ce que fait la réception
La réception ne supprime ni n'exporte les données d'un client : ces boutons vous sont réservés. Elle fait autre chose : elle efface les données du kit avant de le remettre au client suivant, systématiquement et automatiquement (pourquoi).
Google Analytics nous montre quelles pages sont lues, uniquement avec votre consentement. Votre langue et ce choix restent de toute façon dans votre navigateur.
