Sécurité
Comment Mena protège les données de vos patients
Où vos données sont stockées, comment elles sont chiffrées, qui peut les ouvrir et ce que l'IA en fait. Chaque point décrit le fonctionnement actuel de la plateforme.
Où se trouvent vos données
Mena fonctionne sur Microsoft Azure, dans l'Union européenne.
Des centres de données dans l'UE
L'application, sa base de données et le stockage des fichiers fonctionnent dans la région Spain Central de Microsoft Azure.
Un réseau privé
La base de données et le stockage des fichiers n'ont aucun accès public à internet. Seule l'application les atteint, par des connexions privées.
Sauvegardes
La base de données est sauvegardée automatiquement, avec une restauration à tout instant des 14 derniers jours, et conserve une réplique dans une seconde zone de disponibilité.
Chiffrement
Les données sont chiffrées en transit et au repos, et les champs sensibles bénéficient d'une seconde couche.
Une clé pour chaque cabinet
Les champs personnels et cliniques sensibles sont chiffrés par l'application en AES-256-GCM, avec une clé propre à un seul cabinet.
Chiffrées au repos
La base de données et le stockage des fichiers, enregistrements de séances compris, sont également chiffrés au repos par Azure.
Chiffrées en transit
Toutes les connexions utilisent HTTPS avec HSTS. Les connexions à la base de données et au stockage exigent TLS 1.2 ou supérieur.
Qui peut les ouvrir
Chaque personne de votre cabinet voit ce que son rôle lui permet.
Rôles
Chaque membre du cabinet a un rôle, et ce rôle détermine ce qu'il peut voir et modifier.
Authentification à deux facteurs
Chaque utilisateur peut activer l'authentification à deux facteurs avec une application d'authentification, avec des codes de secours en cas de perte du téléphone.
Mots de passe et sessions
Les mots de passe sont stockés sous forme de hachages bcrypt. Les sessions utilisent des cookies sécurisés et httpOnly, avec une protection CSRF.
Tentatives de connexion limitées
Les tentatives de connexion et de double authentification sont limitées, et un pare-feu applicatif web protège la plateforme.
Accès journalisés
Les consultations et exports de dossiers patients sont consignés dans un journal d'activité.
Une IA que nous exécutons nous-mêmes
La transcription et la rédaction des notes reposent sur des modèles d'IA que nous hébergeons dans la même région Azure.
Aucun fournisseur d'IA externe
L'audio des séances, les transcriptions et les notes ne sont pas envoyés à des fournisseurs d'IA externes.
Des brouillons que vous pouvez modifier
Les notes rédigées par Mena sont marquées comme générées par l'IA, et vous pouvez les modifier ou les supprimer à tout moment.
Exporter et supprimer les données
Le cabinet décide de ce qu'il conserve et de ce qu'il emporte.
Export à tout moment
Exportez les données de tout le cabinet, ou celles d'un seul patient, en téléchargement quand vous en avez besoin.
Registres de consentement
Les consentements des patients sont conservés avec le dossier du patient.
Enregistrements des séances
Les enregistrements sont conservés jusqu'à ce que vous les supprimiez, et vous pouvez supprimer définitivement tout enregistrement.
Accord de traitement des données
Notre accord de traitement des données, au titre de l'article 28 du RGPD, est disponible pour nos clients et pour les cabinets qui évaluent Mena.
Sous-traitants ultérieurs
Nous faisons appel à un petit nombre de prestataires pour fournir le service, comme l'hébergement cloud, les paiements et la facturation.
La liste contractuelle
Chaque sous-traitant ultérieur, sa localisation et ses garanties de transfert figurent à l'annexe II-B de notre accord de traitement des données.
Préavis avant tout changement
Nous prévenons nos clients par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, et vous pouvez vous y opposer.
Questions
Mena est-elle certifiée ISO 27001 ou SOC 2 ?
Non. Mena ne détient aujourd'hui aucune certification de sécurité. Cette page décrit les contrôles en place, et notre accord de traitement des données fixe nos engagements.
L'authentification à deux facteurs est-elle obligatoire ?
Elle est facultative pour chaque utilisateur. Nous vous recommandons de l'activer pour toutes les personnes qui ouvrent des dossiers cliniques.
Comment signaler un problème de sécurité ?
Écrivez à dpo@mena-ai.pt en décrivant ce que vous avez trouvé et comment le reproduire.
Des questions sur vos données ?
Lors d'une démo, nous vous présentons l'hébergement, le chiffrement et notre accord de traitement des données.