Conditions générales d'utilisation (C.G.U.) relatives à la Liste blanche des Clés FIDO2 compatibles avec Pro Santé Connect
Les présentes Conditions Générales d'Utilisation s'adressent aux Industriels (fabricants ou personnes morales) souhaitant faire référencer un dispositif d'authentification FIDO2 sur la Liste blanche des Produits compatibles avec Pro Santé Connect. Elles définissent les conditions et modalités d'inscription, les obligations de l'Industriel et de l'ANS, ainsi que les règles de maintien et de retrait de la Liste blanche.
Si vous êtes un professionnel de santé souhaitant utiliser une clé de sécurité FIDO2 pour vous authentifier, consultez la page dédiée aux modèles référencés et compatibles dans Pro Santé Connect.
Article 1. Coordonnées
L'Agence du Numérique en Santé (ANS) est le Groupement d'intérêt public (GIP) prévu à l'article L.1111-24 du code de santé publique, dont le siège social est situé au 2 – 10 Rue d'Oradour-sur-Glane - 75015 PARIS et dont le numéro de SIREN est : 187 512 751 et le numéro de téléphone est : 01 58 45 32 50.
Cette version des Conditions Générales remplace toutes les versions antérieures.
Article 2. Définitions
Conditions Générales d'Utilisation/CGU : désignent les présentes conditions générales d'utilisation et ses annexes.
Espace de Confiance Pro Santé Connect ("EDC") : désigne l'environnement dédié aux Services Numériques conformes au CI-SIS Volet Transport permettant aux Utilisateurs d'accéder à l'ensemble des Services Numériques nécessaires à l'exercice de leurs activités, de façon fluide et sécurisée. Par l'API Pro Santé Connect utilisée par le Fournisseur de Service, les Utilisateurs pourront accéder à l'Espace de Confiance (EDC) avec fluidité et sécurité, à l'ensemble des Services Numériques nécessaires à l'exercice de leur activité.
Industriel : désigne toute personne morale immatriculée dans l'Union européenne, qui conçoit, développe, distribue, assure la gestion de la certification et le support du Produit.
Soumissionnaire : désigne la personne physique qui complète le Formulaire et accepte les présentes CGU au nom et pour le compte de l'Industriel.
Formulaire : désigne le formulaire en ligne disponible au lien suivant : Démarche Numérique, que doit compléter l'Industriel pour demander l'inclusion de son Produit dans la Liste blanche. Il précise notamment l'ensemble des exigences techniques et organisationnelles que l'Industriel doit respecter pour que son Produit puisse intégrer la Liste blanche. Le Formulaire est une annexe aux présentes CGU.
Fournisseur de services : désigne toute personne morale immatriculée dans l'Union européenne, proposant un service numérique aux Utilisateurs et habilitée à utiliser Pro Santé Connect.
FIDO2 : désigne le protocole d'authentification multi facteur, sans mot de passe, mis en œuvre par l'association FIDO Alliance et permettant de sécuriser la connexion à un système d'information en utilisant un système de cryptographie à clé publique.
Liste blanche : désigne le fichier mis en œuvre par l'ANS, qui permet de gérer la liste des Produits compatibles avec Pro Santé Connect. Les champs de la Liste blanche sont alimentés sur le fondement des éléments communiqués par l'Industriel dans le cadre des CGU.
Produit : désigne la clé de sécurité (clé USB, etc.) conforme au protocole FIDO2 délivrée par l'Industriel et faisant l'objet de la candidature pour intégrer la Liste blanche.
Pro Santé Connect (PSC) : désigne le téléservice défini à l'article 4 des présentes.
Référentiel : désigne le document dénommé « référentiel Pro Santé Connect » accessible à l'adresse https://industriels.esante.gouv.fr/produits-et-services/pro-sante-connect/referentiel-psc et l'extension Espace de Confiance.
Service Numérique : désigne un service numérique en santé proposé par le Fournisseur de services et nécessitant l'authentification en ligne des Utilisateurs.
Utilisateur : désigne un professionnel des secteurs sanitaire, médico-social et social qui s'authentifie avec Pro Santé Connect pour accéder au(x) Service(s) Numérique(s).
Article 3. Objet
Les CGU ont pour objet de définir les conditions et les modalités dans lesquelles l'Industriel peut inscrire son Produit dans la Liste blanche des Produits compatibles avec Pro Santé Connect.
Le Formulaire complété par l'Industriel sur le site « démarches-simplifiées.fr » (ci-après « Démarche Numérique ») est une annexe aux présentes CGU.
Article 4. Description de Pro Santé Connect
Pro Santé Connect est un fédérateur de fournisseurs d'identité en ligne mis en place par l'ANS. Il permet au Fournisseur de services de déléguer à Pro Santé Connect l'authentification des Utilisateurs quand ces derniers souhaitent accéder aux Services Numériques.
Il offre une manière simple, sécurisée et unifiée aux Utilisateurs de se connecter à tous les Services Numériques.
Pro Santé Connect permet au Fournisseur de Services de gérer tout ou partie des contrôles d'accès aux Services Numériques qu'il fournit.
Pour en savoir plus, nous invitons l'Industriel à consulter les CGU de Pro Santé Connect disponibles via le lien suivant : https://industriels.esante.gouv.fr/produits-et-services/pro-sante-connect/conditions-generales-utilisation-pro-sante-connect.
Article 5. Évolution des CGU et/ou du Formulaire
L'ANS pourra faire évoluer les CGU et/ou le Formulaire afin notamment de prendre en compte toute évolution légale, jurisprudentielle, économique et/ou technique.
L'Industriel sera informé de la nouvelle version des CGU et/ou du Formulaire applicables par tout moyen.
Si l'Industriel refuse de valider la nouvelle version des CGU et/ou du Formulaire, il peut résilier les présentes CGU dans les conditions définies aux présentes.
Le refus emporte le retrait de l'Industriel de la Liste blanche et donc de la possibilité que son Produit soit utilisé pour se connecter à l'Espace de confiance PSC.
En continuant à fournir son Produit après la date d'entrée en vigueur de la nouvelle version des CGU et/ou du Formulaire, l'Industriel sera réputé avoir accepté cette nouvelle version.
L'Industriel s'engage à prendre connaissance régulièrement des présentes CGU.
Article 6. Processus et conditions d'intégration de la Liste Blanche
Lorsqu'un Industriel souhaite faire référencer l'un de ses Produits sur la Liste blanche, il doit suivre le processus suivant :
- Le Soumissionnaire crée son compte sur la plateforme Démarche Numérique ;
- L'Industriel prend connaissance du Formulaire et des exigences, puis il collecte l'ensemble des documents nécessaires au référencement de son Produit ;
- Le Soumissionnaire soumet officiellement la demande ;
- Le dossier est instruit par l'ANS, qui procède à un examen de conformité du Produit au regard des exigences décrites dans les présentes CGU et le Formulaire ;
- À l'issue de cette analyse, l'ANS adresse sa décision d'acceptation ou de refus à l'Industriel via la plateforme Démarche Numérique ;
- En cas de décision favorable, le Produit de l'Industriel est intégré à la Liste blanche.
Article 7. Obligations de l'Industriel
Les présentes CGU sont acceptées par le Soumissionnaire, en sa qualité de représentant légal de l'Industriel, qui s'engage en son nom et pour son compte.
L'Industriel s'engage à respecter l'ensemble des obligations qui lui incombent en application des CGU et du Formulaire pendant toute la durée de son inscription dans la Liste blanche.
En acceptant les présentes CGU, l'Industriel accepte la publication sur le site de l'ANS d'informations le concernant dans la Liste blanche (Nom du modèle de clé, dénomination de l'Industriel et de son Produit, etc.).
Il s'engage notamment à remplir les conditions et exigences indiquées dans les CGU et dans le Formulaire et à respecter la législation applicable.
Dans le cas où le Produit ne serait plus conforme à une de ces exigences ou que l'Industriel ne remplirait plus une des conditions indiquées dans les CGU et/ou dans le Formulaire, il s'engage à notifier l'ANS via Démarche Numérique.
L'Industriel s'engage à informer l'ANS de tout incident de sécurité affectant son Produit, à l'adresse vigisanteconnect@esante.gouv.fr, au plus tard 12 heures avant toute communication externe relative à l'incident. Lors de cette notification, l'Industriel doit transmettre les éléments connus relatifs à l'incident, notamment sa nature, la date estimée de début, l'étendue de l'impact (produits ou versions concernés), ainsi que les premières mesures de remédiation mises en œuvre ou envisagées.
L'Industriel s'engage à ne pas porter atteinte ou tenter de porter atteinte à l'intégrité, au fonctionnement ou à la sécurité de l'Espace de confiance PSC.
Lorsqu'un Industriel fait appel à un sous-traitant pour la fourniture de tout ou partie de son Produit, la relation entre ces acteurs doit être encadrée contractuellement afin de déterminer le partage de responsabilité et les obligations de chacune des parties.
En cas de manquement de l'Industriel aux présentes CGU, au Référentiel ou à la législation applicable, l'ANS se réserve le droit de retirer le Produit de la Liste blanche conformément aux dispositions de l'article 13 des présentes.
Article 8. Obligations de l'ANS
L'ANS met tout en œuvre pour assurer l'enregistrement au sein de la Liste blanche de l'ensemble des Produits des Industriels référencés et de la mettre à jour régulièrement.
L'ANS s'engage à garder strictement confidentielles et s'abstenir de communiquer à quiconque, sauf aux fins strictement nécessaires à l'exécution des présentes CGU, les informations confidentielles communiquées par l'Industriel. Toute communication au public par l'ANS de ces informations nécessite le consentement préalable de l'Industriel.
En son sein, l'ANS s'engage à ce que seul le personnel habilité ait accès aux informations communiquées par l'Industriel pour la bonne exécution des présentes.
Article 9. Propriété intellectuelle
Les présentes CGU ne peuvent être interprétées comme accordant une quelconque licence d'exploitation, licence d'utilisation, brevet, marque, modèle ou un quelconque droit de propriété intellectuelle.
L'Industriel garantit à l'ANS qu'il est titulaire de tous les droits de propriété intellectuelle et autorisations nécessaires pour pouvoir proposer le référencement de son Produit.
L'ANS et l'Industriel conservent, chacun en ce qui le concerne, tous les droits de propriété intellectuelle sur les éléments qui, quels que soient leur forme, leur nature ou leur support, leur appartenaient à la conclusion des CGU.
L'ANS reste à cet égard propriétaire de la documentation mise à disposition de l'Industriel, dont elle autorise l'usage aux seules fins encadrées aux présentes.
L'Industriel est autorisé à communiquer sur son intégration dans la Liste blanche et la fourniture d'un Produit pouvant se connecter à l'Espace de confiance PSC.
L'Industriel s'engage à ne pas utiliser la marque et/ou le signe distinctif Pro Santé Connect pour la commercialisation de son Produit sous réserve d'accord explicite de l'ANS.
Article 10. Protection des données à caractère personnel
Les données personnelles relatives aux Soumissionnaires collectées dans le cadre de l'application des présentes CGU sont traitées par l'ANS en qualité de responsable de traitement, pour la gestion des Industriels, l'exécution des CGU et du Formulaire ainsi que la gestion du contentieux et du précontentieux.
Tout ou partie de ces données peuvent être transmises aux services internes de l'ANS, ainsi qu'à des prestataires externes, notamment informatiques.
Les données concernées sont conservées par l'ANS pour la stricte durée de la relation contractuelle, sans préjudice des dispositions législatives ou réglementaires propres à certaines catégories de données imposant une durée de conservation particulière ou la suppression de ces données.
Le traitement est nécessaire à l'exécution des CGU conformément à l'article 6 du RGPD portant licéité du traitement.
Les personnes concernées par le traitement de leurs données à caractère personnel sont informées qu'elles bénéficient d'un droit d'accès, de rectification et, le cas échéant, d'un droit à la portabilité et à l'effacement de leurs données, ainsi que d'opposition au traitement ou à sa limitation, et enfin, du droit de définir des directives post mortem.
Les personnes concernées peuvent exercer leurs droits en adressant une demande :
- par courrier postal, à l'adresse suivante : ANS, Délégué à la Protection des Données, 2 – 10 Rue d'Oradour-sur-Glane — 75015 PARIS ;
- par email à l'adresse dpo@esante.gouv.fr.
Si la personne concernée estime que ses droits n'ont pas été respectés, elle a la possibilité de saisir la Commission Nationale de l'Informatique et des Libertés (CNIL) d'une réclamation ou plainte auprès du service des Plaintes - 3 place de Fontenoy, TSA 80715 - 75334 Paris cedex 07.
Article 11. Responsabilité – Garantie
L'Industriel est responsable de tout manquement aux CGU et/ou au Formulaire ainsi que du non-respect de la législation applicable qui lui est imputable. En cas de manquement de sa part, le retrait de la Liste blanche se fera dans les conditions prévues à l'article 13 des CGU.
L'Industriel déclare que les informations communiquées dans le Formulaire sont exactes et reflètent fidèlement les caractéristiques et fonctionnalités du Produit.
Il garantit par suite que le Produit est, à la date des présentes et pendant toute la durée des CGU, conforme aux exigences définies aux présentes.
L'Industriel garantit l'ANS contre toutes conséquences financières directes ou indirectes résultant d'une action, recours, oppositions, revendication, ou d'une réclamation exercée à l'encontre de l'ANS par un tiers du fait d'un manquement par l'Industriel à la législation applicable, aux dispositions des CGU et/ou du Formulaire.
En conséquence de la présente garantie, l'Industriel s'engage à régler directement à l'auteur de la réclamation toutes les sommes qui seraient exigées de l'ANS et à intervenir sur demande de l'ANS, à toutes les instances engagées contre l'ANS.
L'ANS ne pourra en aucun cas être tenue pour responsable :
- des cas d'usurpation d'identité ou d'utilisation frauduleuse du Produit ;
- de toute utilisation frauduleuse de la Liste blanche ;
- de toute interruption ou restriction d'accès à la Liste blanche et/ou au Formulaire, du fait d'opérations de maintenance, de mises à niveau ou de modification ;
- des éventuels préjudices indirects qui seraient subis par l'Industriel ;
- de tout préjudice subi par l'Industriel ou un tiers qui résulterait d'une utilisation de la Liste blanche non conforme aux CGU ;
- de tout manquement à ses obligations prévues aux CGU qui serait dû ou trouverait son origine dans un cas fortuit ou un cas de force majeure tel que défini par la jurisprudence. Sont également considérés comme des cas de force majeure les grèves totales ou partielles, internes ou externes à l'ANS, ainsi que le blocage et/ou les dysfonctionnements du Produit et/ou des réseaux de télécommunications, d'électricité ou informatiques. L'indisponibilité de la Liste blanche n'ouvre droit à aucune indemnisation.
Article 12. Durée
Sous réserve des cas de résiliation indiqués ci-après, l'Industriel adhère aux CGU à partir de la validation du Formulaire pour une durée de trois (3) ans.
À l'issue de ce délai de trois (3) ans, l'Industriel doit renouveler sa demande en complétant un nouveau Formulaire.
Article 13. Résiliation et retrait de la Liste blanche
13.1. Résiliation par l'Industriel
L'Industriel peut demander la résiliation des présentes CGU sur la plateforme Démarche Numérique.
Sa demande sera exécutée dans les 15 jours à compter de la réception par l'ANS de cette notification sauf en cas d'atteinte à la sécurité des usages des MIE auquel cas le retrait sera immédiat (voir article 13.2).
À compter de la date de la notification à l'ANS, l'Industriel s'engage à retirer toute référence à l'ANS et Pro Santé Connect dans les services qu'il propose en lien avec la fourniture de son Produit. Son Produit sera retiré de la Liste blanche et ne permettra alors plus de s'authentifier à un Service de l'Espace de Confiance PSC.
13.2. Retrait de la Liste blanche par l'ANS
En cas de manquement de l'Industriel aux CGU et/ou au Formulaire ou en cas du non-respect de la législation applicable, l'ANS se réserve le droit de retirer l'Industriel de la Liste blanche.
L'ANS en informe l'Industriel dans les meilleurs délais et par les moyens qui lui semblent les plus adaptés, en indiquant notamment les non-conformités constatées.
La réintégration de l'Industriel dans la Liste blanche ne pourra être réalisée qu'avec l'accord de l'ANS après instruction des mesures mises en place par l'Industriel.
Cette décision ne pourra donner lieu à aucune indemnisation au bénéfice de l'Industriel.
Article 14. Loi applicable et tribunaux compétents
En cas de différend lié à l'exécution des Conditions Générales, l'Industriel et l'ANS s'efforceront de le régler à l'amiable préalablement à toute action contentieuse.
Dans le cas où un accord amiable ne peut survenir entre les parties, le droit applicable au litige est le droit français et les juridictions administratives sont compétentes pour en connaître.