Délégué à la protection des données (DPO)
Dernière mise à jour : 29/10/2026
Le délégué à la protection des données (DPO) d'Olnis est votre interlocuteur unique pour toute question relative à la protection de vos données personnelles ou de celles de vos patients.
Contact direct
Nom : Aël Le Borgne, éditeur d'Olnis
Email : [email protected]
Objet à préciser : « DPO Olnis »
Délai de réponse : 1 mois maximum (art. 12 RGPD).
Quand contacter le DPO ?
- Pour exercer un droit RGPD (accès, rectification, effacement, portabilité, opposition, limitation).
- Pour comprendre comment sont utilisées vos données ou celles de vos patients.
- Pour signaler un incident de sécurité concernant votre compte.
- Pour formuler une question sur la conformité d'Olnis à un référentiel spécifique.
- Avant d'introduire une réclamation auprès de la CNIL (démarche recommandée mais pas obligatoire).
Analyse d'impact (AIPD)
Le traitement des données de santé étant susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, Olnis a réalisé une Analyse d'Impact relative à la Protection des Données (AIPD ou DPIA en anglais) conformément à l'article 35 du RGPD.
Résumé public :
- Traitements analysés : gestion des dossiers patients (T02) et journal des accès aux dossiers (T03), tous deux portant sur des données de santé au sens de l'article 9 RGPD.
- Risques identifiés : accès non autorisé, altération malveillante, exfiltration en cas de compromission d'un compte praticien, perte de confidentialité en cas de partage avec un tiers non autorisé.
- Mesures techniques : chiffrement AES-256-GCM au repos avec clé dérivée par praticien (les administrateurs plateforme ne peuvent PAS déchiffrer les fiches), HTTPS obligatoire, 2FA TOTP obligatoire, verrouillage de compte après 5 échecs, hébergement HDS en France (Scalingo), en-têtes de sécurité stricts (HSTS, CSP).
- Mesures organisationnelles : politique de mots de passe conforme CNIL (12 caractères + 4 types), registre des traitements, journal des accès conservé 6 ans, procédure documentée pour exercice des droits RGPD, signature de contrats de sous-traitance (art. 28 RGPD) avec l'hébergeur et Stripe.
- Conclusion : le risque résiduel est jugé acceptable au regard des mesures mises en œuvre. L'AIPD complète est disponible sur demande adressée au DPO.