Déclaration relative à la HIPAA et au Business Associate Agreement (BAA) – iGlowly Assistant

Dernière mise à jour : 2 août 2026

1. Objet du présent document

Le présent document explique la manière dont l’iGlowly Assistant est conçu au regard du Health Insurance Portability and Accountability Act de 1996 (HIPAA), ainsi que la question de savoir si iGlowly agit en tant que Business Associate dans le cadre de la fourniture de l’iGlowly Assistant.

Le présent document est destiné aux cliniques, aux responsables conformité, ainsi qu’aux responsables informatiques et de la sécurité.

2. Présentation de l’iGlowly Assistant

L’iGlowly Assistant est un outil logiciel informatif qui fournit des informations générales sur les traitements, les services et des sujets liés aux cliniques tels que les heures d’ouverture, les informations tarifaires et des informations générales sur les traitements.

L’iGlowly Assistant n’est pas :

un système de dossier médical électronique (Electronic Health Record – EHR) ;
un portail patient ;
une plateforme de télémédecine ;
un dispositif médical ;
un outil de diagnostic ;
un système de stockage ou de transmission de dossiers médicaux ;
un outil destiné à la communication spécifique avec des patients ;
un outil destiné aux communications d’urgence.

L’Assistant est conçu exclusivement à des fins d’information générale.

3. Définition des Protected Health Information (PHI)

Au sens de la HIPAA, les Protected Health Information (PHI) désignent généralement des informations de santé individuellement identifiables relatives :

à l’état de santé physique ou mental passé, présent ou futur d’une personne ;
à la prestation de soins de santé à une personne ;
au paiement de soins de santé ;

et permettant d’identifier la personne concernée ou pouvant raisonnablement être utilisées pour identifier cette personne.

Exemples :

Nom + condition médicale ;
E-mail + information relative à un traitement ;
Numéro de téléphone + rendez-vous ou traitement ;
Photographies d’un patient ;
Dossiers médicaux ;
Formulaires médicaux d’admission ;
Toute information de santé associée à une personne identifiable.

4. Architecture Zero-PHI

L’iGlowly Assistant est conçu selon une architecture Zero-PHI, ce qui signifie que le système est spécifiquement conçu pour ne pas stocker de Protected Health Information.

Principes architecturaux essentiels :

Les messages du chat sont traités de manière éphémère en mémoire (RAM) ;
Les messages du chat ne sont pas stockés dans des bases de données ;
Les messages du chat ne sont pas enregistrés dans des journaux (logs) ;
Les messages du chat ne sont pas inclus dans les sauvegardes ;
Les messages du chat ne sont pas visibles par les cliniques ;
Les messages du chat ne sont pas accessibles au personnel d’iGlowly ;
Les identifiants personnels sont automatiquement détectés et masqués lorsque cela est possible ;
Seules des données analytiques anonymes et non identifiantes sont conservées ;
Le système ne crée pas de profils utilisateurs ;
Le système ne stocke pas de dossiers patients ;
Le système ne stocke pas d’historique de conversation ;
Le système ne stocke pas d’adresses IP ;
Le système n’utilise pas de cookies ni d’identifiants de suivi.

Les messages sont traités temporairement uniquement afin de générer une réponse, puis sont supprimés.

Cette architecture est conçue afin d’empêcher le système de stocker ou de conserver des PHI.

5. Absence de stockage de PHI

L’iGlowly Assistant ne :

stocke pas les noms des patients ;
ne stocke pas les coordonnées de contact ;
ne stocke pas d’informations médicales ;
ne stocke pas de dossiers médicaux ;
ne stocke pas les transcriptions de chat ;
ne stocke pas l’historique des conversations ;
ne stocke pas de fichiers téléchargés ;
ne stocke pas de photographies ;
ne stocke pas d’adresses IP associées à des sujets médicaux ;
ne stocke aucune donnée permettant d’identifier un patient associée à des informations de santé.

Les seules données stockées par le système sont des données analytiques anonymes et agrégées, telles que :

Sujet de traitement demandé (par exemple : Botox) ;
Sujet de préoccupation demandé (par exemple : rides) ;
Type de question (par exemple : prix, récupération) ;
Langue ;
Date et heure ;
Identifiant de la clinique ;
Identifiant de session anonyme.

Ces données ne permettent pas d’identifier des personnes.

6. Anonymisation et suppression des données personnelles

Si un utilisateur saisit des informations personnelles dans le chat, le système applique des mécanismes automatisés de détection et de masquage avant tout traitement par l’intelligence artificielle.

Cela inclut la détection et le masquage :

des noms ;
des adresses e-mail ;
des numéros de téléphone ;
des adresses ;
des numéros d’identification.

Les identifiants personnels sont remplacés par des mentions anonymisées (par exemple : « nomsupprimeˊnom suppriménomsupprimeˊ ») avant le traitement du message.

Les messages anonymisés sont traités temporairement et ne sont pas stockés.

7. Détermination du statut de Business Associate

Au sens de la HIPAA, un Business Associate est généralement une entité qui crée, reçoit, conserve ou transmet des Protected Health Information (PHI) pour le compte d’une Covered Entity.

L’iGlowly Assistant est conçu de manière à ne pas créer, recevoir, conserver ni stocker de PHI de manière persistante.

Les messages sont traités de manière éphémère ;
Les messages sont anonymisés ;
Les messages ne sont pas stockés ;
Le système n’est pas utilisé pour gérer des dossiers patients ;
Le système n’est pas utilisé pour la communication avec les patients ;
Le système ne conserve pas de bases de données de PHI.

Le statut de Business Associate ne dépend pas uniquement du stockage permanent des données. Il dépend notamment de la question de savoir si un prestataire crée, reçoit, conserve ou transmet des PHI pour le compte d’une Covered Entity.

L’iGlowly Assistant est conçu pour fonctionner sans demander aux visiteurs de s’identifier, sans conserver les conversations et sans créer de dossiers patients. Lorsque l’Assistant est utilisé conformément à cette finalité, iGlowly n’agit généralement pas en tant que Business Associate.

Toutefois, cette analyse peut dépendre du statut de la clinique, de sa configuration et du flux de données concerné. Chaque clinique demeure responsable de ses propres obligations HIPAA et doit déterminer, avec ses conseillers juridiques ou conformité, si un Business Associate Agreement est nécessaire pour son utilisation spécifique.

8. Utilisation prévue et responsabilités du client

L’iGlowly Assistant est destiné exclusivement à un usage informatif général.

Les cliniques ne doivent pas utiliser l’Assistant pour :

collecter des informations sur des patients ;
collecter des antécédents médicaux ;
collecter des formulaires médicaux ;
communiquer avec des patients au sujet de leur état de santé personnel ;
envoyer des prescriptions ou des plans de traitement ;
stocker ou transmettre des dossiers médicaux ;
gérer des complications post-opératoires ;
gérer des communications urgentes ou d’urgence.

L’utilisation de l’Assistant à ces fins serait contraire à l’usage prévu du système et pourrait modifier l’analyse réglementaire applicable.

Les cliniques sont responsables de la manière dont elles configurent et utilisent l’Assistant sur leur site internet.

9. Business Associate Agreement (BAA)

L’iGlowly Assistant repose sur une architecture Zero‑PHI et n’est pas conçu pour collecter ou conserver des informations de santé identifiables. Pour cette raison, un Business Associate Agreement n’est généralement pas requis lorsque le widget web est utilisé conformément à sa finalité.

Néanmoins, lorsqu’une clinique américaine ou son responsable conformité exige un BAA, iGlowly peut fournir sa documentation Zero‑PHI et, lorsque cela est approprié, conclure un Business Associate Agreement couvrant l’utilisation du widget iGlowly intégré au site web de la clinique.

La signature d’un BAA ne modifie pas la finalité de l’Assistant et n’autorise pas son utilisation comme dossier médical, portail patient, outil de télémédecine ou système destiné à collecter des antécédents médicaux ou à gérer des communications cliniques individuelles.

Cette possibilité concerne uniquement le widget web iGlowly. Elle ne couvre pas les assistants ou intégrations fonctionnant via WhatsApp, Instagram, Messenger ou d’autres services Meta, ni les données traitées ou conservées par Meta ou par d’autres fournisseurs de messagerie. Ces canaux doivent faire l’objet d’une évaluation de conformité distincte par la clinique.

10. Résumé

En résumé :

L’iGlowly Assistant est un outil informatif ;
Le système est conçu pour éviter le stockage de PHI ;
Les messages sont traités de manière éphémère et ne sont pas stockés ;
Les identifiants personnels sont anonymisés lorsque cela est possible ;
Seules des données analytiques anonymes sont conservées ;
Le système fonctionne selon une architecture Zero-PHI ;
Lorsqu’il est utilisé conformément à sa finalité, iGlowly n’agit généralement pas en tant que Business Associate dans le cadre de l’iGlowly Assistant.
Pour les cliniques américaines qui l’exigent, iGlowly peut, lorsque cela est approprié, signer un BAA couvrant le widget web uniquement ; les canaux Meta et autres services de messagerie en sont exclus.

11. Contact

Pour toute question relative à la HIPAA, à la sécurité ou à la conformité :

trust@iglowly.com