Logiciel de télémédecine certifié HDS : les 7 critères à vérifier avant d'acheter

Quand un établissement de santé cherche un logiciel de télémédecine, la certification HDS apparaît souvent comme le critère principal. C'est nécessaire — mais insuffisant. Un hébergeur HDS garantit que vos données de santé sont stockées selon les normes françaises. Il ne garantit pas que le logiciel lui-même est sécurisé, interopérable ou adapté à votre pratique.

Ce guide détaille les 7 critères qu'une équipe d'achat devrait vérifier avant de choisir un logiciel de télémédecine certifié HDS. Chaque critère est accompagné des questions concrètes à poser à l'éditeur.

Pourquoi la certification HDS est non-négociable

La certification HDS (Hébergement de Données de Santé) est obligatoire en France pour tout logiciel qui stocke, traite ou transmet des données de santé à caractère personnel. Cette obligation découle de l'article L.1111-8 du Code de la santé publique.

Concrètement, l'hébergeur doit démontrer sa conformité aux exigences de la norme ISO 27001 appliquée au contexte de la santé, avec des audits réguliers par un organisme accrédité. La certification HDS couvre la sécurité physique des centres de données, la gestion des accès, le chiffrement, les sauvegardes et la traçabilité.

Mais attention : la certification HDS concerne l'hébergeur cloud, pas le logiciel lui-même. Un éditeur peut héberger chez un prestataire certifié HDS tout en ayant un logiciel plein de failles de sécurité. D'où la nécessité de vérifier d'autres critères.

Critère 1 : Certification HDS de l'hébergeur cloud

Le premier critère est le plus évident. Vérifiez que l'hébergeur cloud dispose d'une certification HDS active et auditée. Demandez le certificat et vérifiez la date d'expiration.

Question à poser : « Quel est votre hébergeur HDS certifié et quelle est la date de votre dernier audit ? »

MedConnect est hébergé sur AWS région eu-west-3 (Paris), un hébergeur certifié HDS. Les données de santé restent sur le territoire français.

Critère 2 : Certification ISO 27001 de l'éditeur

La certification ISO 27001 concerne le système de management de la sécurité de l'information de l'éditeur lui-même — pas de l'hébergeur. Elle démontre que l'entreprise qui développe le logiciel de télémédecine applique des processus de sécurité structurés : gestion des vulnérabilités, contrôle des accès, plan de continuité, audits internes.

Question à poser : « Votre entreprise est-elle certifiée ISO 27001 ? Par quel organisme et à quelle date ? »

Promotal MedConnect est certifié ISO 27001:2022, délivré le 12 juin 2024 par le British Assessment Bureau.

Critère 3 : Conformité RGPD et politique de données

Le RGPD impose des obligations spécifiques pour le traitement de données de santé : base légale, minimisation, droit à l'effacement, notification de violation, registre des traitements, DPO désigné.

Questions à poser :

• « Avez-vous un DPO désigné ? »
• « Où sont physiquement stockées les données ? »
• « Les données transitent-elles hors de l'UE à un moment quelconque du traitement ? »
• « Quel est votre protocole en cas de violation de données ? »

Chez MedConnect, les données sont chiffrées en AES-256 au repos et TLS 1.3 en transit. Les sauvegardes sont réalisées toutes les 6 heures et géo-répliquées. Aucun transfert de données hors UE sauf demande explicite du client pour un déploiement on-premise international.

Critère 4 : Hébergement en France

Un hébergeur HDS peut avoir des centres de données hors de France. Or, pour certaines structures (hôpitaux publics, EHPAD, CPTS avec financement ARS), l'hébergement sur le territoire français est une exigence implicite ou explicite du cahier des charges.

Question à poser : « Dans quel datacenter précisément sont hébergées les données ? Pouvez-vous fournir l'adresse physique ? »

MedConnect utilise AWS eu-west-3 à Paris. Pour les déploiements internationaux, des options on-premise sont disponibles pour les clients qui exigent la souveraineté locale des données.

Critère 5 : Interopérabilité avec la Carte Vitale et les systèmes de santé

Un logiciel de télémédecine certifié HDS doit s'intégrer dans l'écosystème de santé français. Les intégrations critiques sont :

• Stellair / Olaqin : lecture Carte Vitale et soumission FSE (feuilles de soins électroniques)
• DESMOS : réseau de facturation santé
• DMP Connect : alimentation du Dossier Médical Partagé
• Ordoclic : e-prescription
• INSi / ICanopée : identification nationale du patient (en cours de déploiement)

Question à poser : « Votre logiciel gère-t-il la lecture de Carte Vitale, la soumission FSE et l'alimentation du DMP ? »

MedConnect intègre nativement Stellair, DESMOS, DMP Connect et Ordoclic. L'intégration ICanopée est en cours de déploiement.

Critère 6 : Intégration avec les logiciels métier (Netsoins, Omnidoc)

Selon votre contexte, le logiciel doit s'intégrer avec vos outils existants :

• En EHPAD : intégration avec le logiciel de gestion d'établissement (Netsoins est le plus répandu). La synchronisation bidirectionnelle des données patients évite la double saisie.
• Pour la téléexpertise : intégration avec Omnidoc (110 000+ professionnels de santé) pour les demandes d'avis spécialisé.
• Pour la facturation : intégration avec Orisha (ODS Juxta) pour le codage des actes médicaux.

Question à poser : « Avec quels logiciels métier votre plateforme est-elle intégrée nativement ? Faut-il un développement spécifique ? »

La plateforme MedConnect intègre nativement Netsoins, Omnidoc, Orisha, et plus de 20 appareils médicaux connectés.

Critère 7 : Support technique et délai de déploiement

Un critère souvent négligé dans les appels d'offres. Le meilleur logiciel du monde ne sert à rien si le support met trois jours à répondre ou si le déploiement prend six mois.

Questions à poser :

• « Quel est votre délai moyen de déploiement, de la signature au premier patient ? »
• « Proposez-vous un support en heures ouvrées ? En 24/7 ? »
• « La formation du personnel est-elle incluse ? »

MedConnect se déploie en 2 à 4 semaines, formation incluse. Le support est assuré via Freshdesk avec des niveaux de service adaptés au contrat. La formation infirmière dure une journée et est éligible au DPC.

Les red flags dans un appel d'offres

Soyez vigilant si l'éditeur :

• Ne peut pas fournir de certificat HDS ou ISO 27001 à jour
• Héberge les données hors de France sans le mentionner clairement
• N'intègre pas la Carte Vitale ni la facturation FSE
• Propose un délai de déploiement supérieur à 3 mois pour un site standard
• Facture les intégrations métier comme des développements spécifiques
• N'a pas de références vérifiables en établissement de santé français

FAQ

La certification HDS est-elle obligatoire pour un logiciel de télémédecine ?

Oui. Tout logiciel qui stocke ou transmet des données de santé en France doit être hébergé chez un prestataire certifié HDS. Cette obligation est inscrite dans le Code de la santé publique (article L.1111-8).

Quelle est la différence entre HDS et ISO 27001 ?

HDS certifie l'hébergeur cloud (le datacenter). ISO 27001 certifie le système de sécurité de l'éditeur du logiciel. Les deux sont complémentaires : HDS garantit un stockage sécurisé, ISO 27001 garantit que l'éditeur lui-même gère la sécurité correctement.

Un logiciel hébergé sur AWS est-il forcément conforme HDS ?

Non. AWS est certifié HDS pour certaines régions (dont eu-west-3 Paris), mais le logiciel qui tourne sur AWS doit lui-même respecter les exigences de sécurité. La responsabilité est partagée entre l'hébergeur et l'éditeur.

Comment vérifier qu'un éditeur est réellement certifié ISO 27001 ?

Demandez le certificat avec le numéro d'enregistrement, le nom de l'organisme certificateur et la date d'expiration. Vous pouvez vérifier auprès de l'organisme certificateur. MedConnect a obtenu sa certification ISO 27001:2022 le 12 juin 2024 via le British Assessment Bureau.

Le financement du logiciel est-il pris en charge par l'Assurance Maladie ?

Partiellement. L'Assurance Maladie rembourse 350 €/an pour l'équipement vidéo et logiciel, et 175 €/an pour les appareils médicaux connectés. Le reste peut être financé par leasing, subventions ARS ou aides aux collectivités.