Dernière révision: 7 novembre 2026. S'applique au Mobility UK compte et à la plateforme des fournisseurs.
Des mesures de protection claires. Renseignements exacts.
Nous utilisons des services AWS cryptés et des vérifications d'accès côté serveur pour protéger les informations de compte et les fichiers privés. L'espace de travail du NHS est en cours d'élaboration. Ne téléchargez pas de dossiers de patients identifiables ou de documents cliniques tant que votre organisation n'a pas convenu des modalités de traitement et que l'espace de travail n'a pas été approuvé pour cette utilisation.
Stockage et chiffrement
Les services de compte principaux, les enregistrements d'application et les téléchargements privés sont configurés dans la région AWS London (eu-west-2). Les enregistrements d'application utilisent Amazon DynamoDB avec le chiffrement AWS KMS au repos. Les téléchargements privés utilisent Amazon S3 avec chiffrement côté serveur AES-256 Les demandes de connexion et d'API utilisent HTTPS.
Le contenu d'un site Web public peut être diffusé par l'entremise d'un réseau mondial de diffusion de contenu. Une région d'hébergement de London ne signifie pas que tous les services, courriels, processus de soutien ou sous-traitants fonctionnent uniquement au Royaume-Uni. Toute entente de traitement du NHS doit préciser les emplacements, les sous-traitants et les mesures de protection applicables en matière de transfert.
Documents privés
L'accès public au bucket de téléchargement est bloqué. L'application vérifie la propriété avant d'émettre un lien de téléchargement. Les liens expirent actuellement après deux minutes et doivent être traités comme confidentiels tant qu'ils sont valides. Les autorisations de téléchargement expirent également et limitent les types de contenu acceptés et la taille des fichiers. Ces vérifications ne prétendent pas que les fichiers téléchargés ont passé avec succès l'analyse des logiciels malveillants.
Comptes et accès
Amazon Cogdito gère les mots de passe, la vérification des e-mails du compte et la récupération des mots de passe. Les mots de passe doivent contenir au moins 12 caractères, des lettres majuscules et minuscules et un chiffre. L'application valide les jetons d'accès avec Cogquito et vérifie l'application et le pool d'utilisateurs attendus.
Les enregistrements de compte personnel et les téléchargements s'appliquent au compte inscrit. Les espaces de travail des fournisseurs nécessitent un membre autorisé actif ou un rôle de Mobility UK personnel autorisé ou d'examinateur. Le choix d'un type de compte fournisseur ou professionnel lors de l'inscription n'autorise pas lui-même l'accès aux dossiers d'une autre organisation.
Équipes du NHS et organisations distinctes
L'implémentation de l'espace de travail du NHS vérifie l'appartenance de l'organisation sur le serveur. Un compte peut être membre de plus d'un espace de travail, l'accès étant vérifié séparément pour chacun d'eux. Les rôles distinguent les équipes cliniques, les approbateurs, les administrateurs des finances et des espaces de travail. Les réponses des responsables des finances et des approbants omettent les instantanés et les notes du profil clinique.
La visibilité clinique actuelle se fait au niveau de l'espace de travail. L'accès limité aux cas attribués individuellement, les autorisations de soutien plus restreintes et la matrice d'accès complète du NHS nécessitent une validation supplémentaire avant l'utilisation clinique. Les administrateurs de l'organisation doivent examiner les adhésions et supprimer l'accès lorsque les responsabilités changent.
Références des patients et renseignements minimaux
Le flux de travail de l'équipement du NHS utilise les références locales des patients, les exigences en matière d'équipement, la taille et le poids. Il demande aux utilisateurs de ne pas entrer les noms des patients ou les numéros du NHS. Les champs en texte libre ne doivent pas contenir d'identificateurs inutiles ni de dossiers cliniques.
Une référence ne rend pas automatiquement les renseignements anonymes. Les renseignements qui peuvent être liés à une personne demeurent des renseignements personnels protégés. La fiducie devrait conserver la cartographie des références au patient dans son propre système autorisé et convenir des informations Mobility UK nécessaires pour les devis, l'approvisionnement et la livraison.
Protection de connexion
La plateforme actuelle utilise la connexion par mot de passe. La vérification des courriels lors de l'inscription ou de la récupération du mot de passe ne constitue pas une authentification à deux facteurs à chaque connexion. La connexion par clé de passe facultative est disponible sur le portail NHS après la configuration à partir d'un compte connecté. Des instructions à deux facteurs distinctes pour l'authentificateur ou le courrier électronique demeurent des améliorations prévues.
Les clés d'accès permettent à un appareil pris en charge d'utiliser les empreintes digitales, la reconnaissance faciale ou son verrouillage d'écran pour autoriser la connexion. Mobility UK reçoit un justificatif de clé publique, et non des modèles biométriques. La connexion par mot de passe demeure disponible.
Historique des activités et surveillance
Les connexions au portail NHS, les vues de l'espace de travail et les changements d'enregistrement ont des enregistrements d'événements écrits par le serveur distincts. Il ne s'agit pas de registres immuables certifiés de manière indépendante. Les flux de travail des fournisseurs et des dossiers sélectionnés enregistrent le compte intérimaire, l'horodatage et une description des changements. Les registres techniques des applications sont conservés pendant 30 jours. Les historiques de flux de travail existants ne constituent pas une piste d'audit complète et immuable de chaque connexion, vue, téléchargement ou action.
La vérification complète de l'accès, la conservation des vérifications protégées, les alertes et les rapports d'audit portant sur la portée de l'organisation font partie du travail de préparation du NHS. Nous ne réclamerons la consignation complète qu'une fois que la couverture et la protection auront été vérifiées.
Conservation, récupération et suppression
Les périodes de conservation doivent refléter l'objet de chaque dossier, les exigences contractuelles et les obligations légales applicables. Un calendrier complet pour les comptes, les demandes de renseignements, les commandes, les téléchargements et les registres de vérification est en cours de finalisation. Communiquez avec nous pour demander l'accès, la correction ou la suppression; les demandes sont examinées en fonction des droits et obligations de conservation applicables.
La récupération des sauvegardes, la conservation de la version des fichiers et la suppression des copies récupérables nécessitent une politique documentée et des tests de restauration avant l'utilisation clinique du NHS. Le chiffrement à lui seul ne permet pas de démontrer que les ententes de recouvrement satisfont aux exigences d'une organisation.
Information pour les équipes informatiques et de données du NHS
Avant de permettre le traitement lié au patient, convenez des responsabilités du contrôleur et du sous-traitant, du fondement juridique et de toute condition de catégorie spéciale pertinente, de l'accord de traitement, du flux de données, des sous-traitants approuvés, du calendrier de conservation et du processus de notification d'incident. L'évaluation de l'organisation devrait également porter sur les contrôles d'accès, les tests de sécurité indépendants et toute évaluation d'impact sur la protection des données requise.
Cette page ne fait pas valoir l'approbation du NHS, une évaluation complète de la boîte à outils de sécurité et de protection des données, la certification ISO 27001 ou la certification Cyber Essentials. Le statut d'assurance applicable et les preuves à l'appui doivent être établis avant que ces allégations ne soient présentées.
Contact pour la protection des données et la sécurité
Mobility UK est exploitée par The Mobility Organisation Limited. Personne-ressource hello@mobility.org.uk pour des questions de protection des données, des préoccupations en matière de sécurité ou une demande d'assurance du NHS. N'incluez pas de mots de passe, de codes d'authentification ou de dossier patient dans un courriel initial.
Lisez notre renseignements sur la protection des renseignements personnels pour obtenir des renseignements sur la collecte et l'utilisation. Vous pouvez également communiquer avec le Bureau du commissaire à l'information.