Autres structures

Signer le Contrat de demandes de produits de certification

• d’identifier la structure demandeuse ;
• d’identifier le représentant légal de la structure ;
• de décrire l’ensemble des exigences de sécurité qui permettent de garantir la fiabilité des informations d’identité de chaque porteur de carte ;
• de préciser, le cas échéant, les conditions tarifaires des produits et services de l’ASIP Santé ;
• de détailler les procédures de commande et de gestion du parc de produits CPS;
• de préciser à quelle utilisation seront destinées les cartes CPA.

• soit une CDA pour un représentant légal non professionnel de santé d’une structure ne dispensant pas de soins ;
• soit une CPS pour un représentant légal de structure qui est professionnel de santé. La fonction de représentant légal est enregistrée dans la carte CPS pour la présente situation d’exercice.

• le représentant légal de la structure;
• le mandataire de certification (dénommé plus simplement « mandataire » qui peut être un professionnel de santé (PS) ou un personnel administratif (PA);
• l'administrateur technique (de serveur ou de confidentialité), en charge de la phase technique de la récupération des certificats;
• les utilisateurs finaux porteurs de carte ou de certificat.

Les différentes cartes de la famille CPS destinées aux acteurs de la structure sont :

• La Carte de Directeur Autorisé (CDA)
  Cette carte est destinée au représentant légal de la structure.
  Elle permet au représentant légal de la structure de gérer le parc de cartes (de la commande à la mise en opposition) et lorsque c’est nécessaire, de désigner un ou plusieurs mandataire(s).
  La délivrance de cette carte est un pré requis à la commande des produits de certification.

• La Carte de Mandataire
  Le mandataire est une personne qui a délégation du représentant légal pour commander les produits de certification et gérer le parc.

• La Carte de l’administrateur technique
  L’administrateur technique est la personne chargée de procéder à la demande et à l’installation des certificats serveur ou de confidentialité requis par les applications informatiques sécurisées ;
  Il doit être titulaire d’une carte CPA. Les cartes CPS ne permettent pas d’effectuer les opérations techniques de retrait des certificats ;
  Remarque : un mandataire n'est pas automatiquement administrateur technique et inversement. Ce sont 2 notions différentes et indépendantes.
•  Les cartes utilisateurs (porteurs de carte ou de certificats CPS)
  Personnels de la structure utilisant un produit CPS pour accéder aux différentes applications inhérentes à leur fonction.

Justificatifs d’identité

• représentant légal de structure (ou mandataire) : KBis et acte de nomination ;
• mandataires : le mandataire est l’autorité compétente pour les désigner ;
• administrateurs techniques : le représentant légal de la structure et le mandataire sont les autorités compétentes habilitées à désigner les administrateurs ;
• utilisateurs : le représentant légal de la structure et le mandataire sont habilités à demander des produits de certification destinés aux utilisateurs salariés. Cependant, la validation des demandes suit la procédure suivante :
  • pour les personnels administratifs, l’autorité compétente est la structure représentée par son représentant légal ou son mandataire;
  • pour les PS inscrits au RPPS, médecins, pharmaciens, sages-femmes, chirurgiens-dentistes, l’autorité compétente est l’Ordre ou le SSA ;
  • pour les PS hors RPPS, l’autorité compétente est la délégation territoriale de l’ARS et le SSA.

Procédure d’abonnement

• Le contrat de demandes de produits de certification ;
• Les conditions générales d’utilisation (CGU) ;
• La demande d’attribution de la carte de représentant légal (formulaire 101) ;

• La demande d’attribution de carte de personnel de structure (formulaire 301) ;
• La demande de certificats de serveur applicatif (formulaire 403) ;
• La désignation d’un Mandataire (formulaire 502) ;

> Retour au sommaire

4.  Conditions tarifaires des produits CPS

1. OFFRE DE BASE

1.1 Description :

L’offre de base de produits de certification de l’ASIP Santé consiste en la fourniture :

• à destination des professionnels de santé bénéficiant actuellement de cartes CPS ⁽¹⁾ :
  • d’une carte CPS3 de type CPS ;
  • de cartes CPS3 de type CPE de service dans le cadre de l’exercice libéral notamment destinées à l’activité de production de feuilles de soins électroniques ;
• à destination des structures, sous réserve d’autorisation par l’ASIP Santé pour des usages de type «sécurisation des données de santé » :
  • de cartes CPS3 de type CDE / CPE pour les structures prenant en charge des patients ;
  • de cartes CPS3 de type CDA / CPA pour les autres types de structures ;
  • de CSA (Certificats de Serveur Applicatif) pour toute structure.

1.2 Tarification :

Principe de gratuité de l’offre de base

La carte CPS est l’outil nécessaire et indispensable pour permettre aux professionnels de santé de mettre en œuvre des fonctions d’authentification forte ou de signature électronique dans les systèmes d’information de santé sur la base de critères d’identité et de qualifications professionnelles certifiés et opposables.
L’ASIP Santé s’est donc fixé un objectif de déploiement systématique de la CPS3 afin de permettre la généralisation des fonctions de sécurité indispensables à la dématérialisation des données de santé, à l’échange et au partage qu’elle implique, et au développement de la e-santé en général.
Pour cela, l’ASIP Santé a décidé :

• de généraliser la distribution de la carte CPS à tout professionnel de santé (libéral et salarié) dès son enregistrement au RPPS (Répertoire Partagé des Professionnels de Santé) ce qui résulte de son inscription au tableau pour les professions à Ordre, auprès de l’autorité d’enregistrement compétente pour les autres professions ;
• de proposer une nouvelle offre de produits de certification plus adaptée aux usages et pratiques professionnelles (cartes destinées aux secrétariats médicaux par exemple) et répondant notamment aux besoins du DMP (Dossier Médical Personnel).

En attendant l’arrivée de cette nouvelle offre de produits de certification, les produits de certification constituant l’offre de base sus décrite sont délivrés à titre gratuit. Le principe de gratuité est acquis avec effet rétroactif à partir du 1er janvier 2011.

Tarification des commandes par lots ou récurrentes

Les commandes des produits de certification effectuées par lots ou récurrentes, seront soumises à la validation de l’ASIP Santé selon la procédure décrite à l’article 5 des conditions générales du Contrat.

2. SERVICES OPTIONNELS / ACCESSOIRES

Les tarifs de ces nouveaux produits de certification seront précisés lorsqu’ils seront mis à la disposition des utilisateurs par l’ASIP Santé.
Depuis janvier 2011, les produits CPS sont gratuits.



> Retour au sommaire

5.  Quels sont les produits CPS destinés aux autres structures (hors structures de soins) ?

En sa qualité « d’abonné », la structure autorisée peut commander au nom et pour le compte des bénéficiaires exerçant leur activité au sein de la structure des produits et services distribués par l’ASIP Santé :

• Une carte CDA pour le représentant légal de la structure (notamment en cas de changement de représentant légal)
• Des cartes CPA pour les personnels salariés de structure ;
• Des certificats de serveur applicatif (CSA) pour les infrastructures techniques sécurisées.

> Retour au sommaire

6.  Comment obtenir des cartes CPS ?

 

Demander une carte pour un salarié non professionnel de santé

Le représentant légal de la structure ou le mandataire peut se procurer les modèles de formulaires de demande de cartes en les téléchargeant du site internet de l’ASIP Santé ou auprès du service Établissements de l’ASIP Santé.
La procédure de distribution avec le téléservice TOM étant dématérialisée, aucun formulaire papier n'est requis avec la demande de cartes.
Dans le cas de formulaires papier, un modèle de formulaire est adressé par l'ASIP Santé au représentant légal de la structure ou au mandataire. Après l'avoir rempli, signé et daté, le formulaire est retourné à l'ASIP Santé.

À réception du formulaire par l’ASIP Santé, la carte CPA sera émise et adressée à l’adresse de correspondance mentionnée sur le formulaire. Pour des raisons de sécurité, lors de l’émission de la première carte, les codes (code utilisateur et code de déblocage) seront envoyés par courrier simple 24 heures après la carte.
  

Demander une carte pour une sage-femme, un médecin, un chirurgien-dentiste ou un pharmacien

Ces professions bénéficiant de la simplification administrative RPPS, tout événement (inscription initiale, changement de patronyme, modification de situations d’exercice…), concernant ces professionnels de santé doit être déclaré au guichet de l’Ordre ou au Service de Santé des Armées (SSA) par les professionnels de santé eux-mêmes.
La délivrance des cartes CPS est faite automatiquement dès l'inscription du PS auprès de son Ordre ou du SSA et son enregistrement dans le RPPS.

Elles sont adressées par l’ASIP Santé directement au professionnel de santé à l’adresse de correspondance déclarée à l’Ordre ou au SSA.
 

Demander une carte pour une autre profession réglementée

Le représentant légal de la structure ou le mandataire peut se procurer les modèles de formulaires de demande de cartes en les téléchargeant du site internet de l’ASIP Santé, auprès du service Établissements de l’ASIP Santé ou saisir les demandes directement depuis le téléservice TOM délivré par l’ASIP Santé.
La procédure de distribution avec le téléservice TOM étant dématérialisée, aucun formulaire papier n'est requis avec la demande de cartes.
Dans le cas de formulaires papier, une fois daté et signé par le PS et par le représentant légal de la structure, ce formulaire devra être envoyé :

• pour les personnels salariés non professionnels de santé réglementés : directement à l'ASIP Santé;
• pour les professionnels de santé réglementés : à la délégation territoriale de l’ARS après signature par le PS.

À réception du formulaire signé (électroniquement ou de manière manuscrite) par le représentant légal de la structure et le cas échéant validé par l’ARS, la carte sera émise par l’ASIP Santé et adressée à l’adresse de correspondance mentionnée sur le formulaire. Pour des raisons de sécurité, lors de l’émission de la première carte CPS, les codes (code utilisateur et code de déblocage) seront envoyés par courrier simple (pour les CPA et les CPE) ou avec remise contre signature (pour les CPS) 24 heures après la carte.

Procédure de commande

La commande des produits de certification par le représentant légal ou le mandataire peut être effectuée par :

• formulaires papier
• par le téléservice TOM

Procédure de commande avec des formulaires papier

Le représentant légal de la structure ou le mandataire délégué peut se procurer les modèles de formulaires de demande de cartes auprès du service Établissements de l’ASIP Santé.

Une fois datés et signés par le salarié et par le représentant légal de la structure, les formulaire devront être envoyés :

• pour les personnels salariés non professionnels de santé réglementés : directement à l’ASIP Santé ;
• pour les personnels de santé réglementés : à la délégation territoriale de l’ARS.

À réception du formulaire signé par le représentant légal de la structure et, le cas échéant, validé par l’ARS, votre carte sera adressée à l’adresse de correspondance mentionnée sur le formulaire. Pour des raisons de sécurité, lors de l’émission de la première carte CPS, les codes (code utilisateur et code de déblocage) seront envoyés par courrier avec remise contre signature, 24 heures après la carte.

Le téléservice TOM (Télé procédures Offertes aux Mandataires) 

TOM est un service en ligne, accessible via internet permettant, après authentification par carte CPS du représentant légal ou du mandataire :

• la commande de carte pour un porteur ;
• la modification des données du titulaire de la carte (y compris les adresses d'envoi des cartes et des codes sauf pour les PS RPPS - médecins, pharmaciens, sages-femmes et chirurgiens-dentistes-) ;
• la commande par fichier (au format XML) pour une meilleure automatisation ;
• le suivi du parc de cartes par téléchargement de fichier ;
• la modification des coordonnées de correspondance de la structure ;
• la déclaration de fin d’exercice d’un porteur dans la structure.

Il permet la dématérialisation totale des commandes de produits CPA et la maîtrise de leurs délais de délivrance.

La procédure de distribution avec le téléservice TOM étant dématérialisée, aucun formulaire papier n'est requis avec la demande de cartes excepté pour les professionnels de santé réglementés ne bénéficiant pas de la simplification administrative RPPS pour lesquels un formulaire papier est toujours exigé.
Cliquer ici pour accéder au téléservice TOM.

Dans une version ultérieure, TOM permettra la déclaration d’incidents (vol, perte, dysfonctionnement). Les déclarations de perte, vol et dysfonctionnement se font par téléphone via CPSInfoService ou via le formulaire de déclaration d'incident. 

 

Délais d’obtention des cartes de la famille CPS

Pour information voici quelques indications sur les délais moyens constatés sur la distribution des cartes de la famille CPS.

 

> Retour au sommaire

7. Comment obtenir un certificat serveur CPS ?

 À quoi sert un certificat serveur?

Un certificat serveur permet d’assurer la sécurisation des échanges d’informations de santé entre un utilisateur et un système informatique, ou entre deux systèmes informatiques.

Autorité de certification pour le secteur de la santé, l’ASIP Santé garantit la confiance dans les échanges et le partage de données. L’obtention d’un certificat serveur CPS pour une structure nécessite son enregistrement préalable par l’ASIP Santé et la fourniture d’une carte de la famille CPS à son représentant légal.

Lors des échanges électroniques, les outils logiciels mis en œuvre actionnent des mécanismes cryptographiques qui utilisent des jeux de clés RSA. Un jeu de clés est constitué d’une partie secrète gérée uniquement par son propriétaire (celui qui crée le jeu) et d’une partie publique destinée à être communiquée à tous les correspondants au moyen d’un certificat. Un certificat est ainsi essentiellement constitué de la partie clé publique et de l’identification de son propriétaire, l’ensemble étant signé puis publié par l'ASIP Santé dans un annuaire public. 
 

Un certificat serveur est associé à une machine ou un système informatique. Il permet d’assurer l’identification (du serveur « propriétaire »), la reconnaissance (par la signature ASIP Santé) et la sécurisation (cryptographie) des échanges d’informations.

Il est attaché à une structure, elle-même déclarée dans l’Annuaire public ASIP Santé.

Il existe deux types de certificats serveurs :

• un certificat serveur, dit « certificat SSL », permet la sécurisation d’une voie d’échange avec un correspondant, (par exemple une liaison HTTPS sur SSL avec un serveur), ceci pendant la durée de la connexion (on parle d’échanges en mode connecté) ; la sécurisation consiste en l’authentification réciproque du serveur vis-à-vis des utilisateurs (ou d'autres serveurs), ainsi que la confidentialité et l'intégrité des données échangées :

• un certificat serveur, dit « certificat S/MIME », permet la sécurisation des objets échangés, avant ou au moment de l’échange, par exemple par un outil de messagerie mettant en œuvre le protocole S/MIME (par comparaison au cas précédent, on parle d’échanges en mode déconnecté) ; la sécurisation consiste en la signature de l’objet par le serveur, garantissant ainsi l’identité de ce serveur et l’intégrité du contenu de l’objet, et éventuellement en un chiffrement du contenu pour en assurer la confidentialité. Ce certificat contient une adresse courriel, (par exemple l’adresse du serveur de messagerie).

 

Cas particulier des certificats pour s’interfacer avec le DMP en authentification indirecte

Deux types de certificats sont nécessaires pour mettre en œuvre toutes les fonctions d’échange avec le DMP : 

• les certificats SSL de type « authentification » sont indispensables pour établir les connexions sécurisées et s’authentifier au service DMP ;
• les certificats SMIME de type « signature » sont indispensables pour signer des données, et dans le cas du DMP, signer le jeton SAML VIHF, et publier des documents (la signature des lots de soumission XDS est un pré requis). Une adresse courriel doit être fournie, sans pour autant être utilisée dans les échanges.

La politique de certification

L’usage des certificats serveurs répond à un niveau de service rendu par l'ASIP Santé  spécifié dans un document appelé Politique de Certification classe 4 et disponible dans les documents associés. Voir Politique de Certification classe 4 

La durée de validité maximale du certificat de serveur applicatif est de 3 ans, l'ASIP Santé prévient par courriel le demandeur de la fin de validité du certificat deux mois avant son échéance. L’administrateur technique devra générer un nouveau certificat avant cette date de fin de validité.
  

Procédure d’obtention

La distribution de certificat se déroule en deux phases :

• La phase administrative de distribution de certificat destinée à : 
  • enregistrer la structure si cela n’a pas déjà été fait auparavant ;
  • enregistrer les informations qui seront contenues dans les certificats serveur (nom de domaine…) ;
  • identifier les administrateurs techniques qui seront en charge des opérations techniques.
• La phase technique de distribution de certificat destinées à : 
  • procéder à la génération des clés de sécurité des serveurs, à leur certification par l’ASIP Santé et à l’installation du certificat dans les serveurs de la structure.

 

Phase administrative : dispositions pratiques 

Objectifs de la phase administrative :

• s’assurer qu’il existe un Contrat de demandes de produits de certification ;
• commander, le cas échéant, la carte du représentant légal (CDE/CDA/CPS Responsable) ;
• déclarer, le cas échéant, un ou des mandataires et commander leurs cartes ;
• déclarer, le cas échéant, l’administrateur technique et commander sa carte
• effectuer la demande de certificat et fournir les informations nécessaires à sa fabrication.

Comment procéder :

Structures ne disposant pas d’un contrat

Procéder auparavant à l’établissement du contrat de demandes de produits de certification : voir chapitre 3
 

Structures déjà enregistrées à l’ASIP Santé

Effectuer directement la demande de certificat en ligne sur le site de l’ASIP Santé

=>http://esante.gouv.fr/contenu/demande-de-dossier-pour-l-obtention-de-certificats-serveurs
ou en remplissant le formulaire 403 téléchargeable sur le site internet de l’ASIP Santé et l’adresser au service établissement de l’ASIP Santé après signature par le représentant légal ou le mandataire.

Phase technique : dispositions pratiques

• Objectifs :
  • lorsque la procédure administrative est validée, l'ASIP Santé adresse un courrier électronique ou postal au demandeur pour lui signaler qu’il peut faire sa demande de certification.
• Opérations techniques à réaliser :
  • génération de la demande technique, envoi de la demande à l’ASIP Santé par courriel et à réception du certificat, installation du certificat dans l’application.
  • l’opération technique nécessite la mise en œuvre d’outils logiciels locaux par l’administrateur technique au sein de la structure.
• Comment procéder :
  • afin de simplifier cette opération, l’ASIP Santé met à disposition des administrateurs, un outil appelé CLEO téléchargeable sur le site de l’ASIP Santé : 
  • Pour obtenir plus de détails sur la procédure technique, voir le chapitre Procédure détaillée de commande des certificats serveur
  • En cas de difficulté, contacter par courriel le service d’assistance technique

• En cas de difficulté, contacter par courriel le service d’assistance technique

 Service Établissements de l'ASIP Santé :

• Adresse courriel : etablissement@asipsante.fr
• Numéro de fax : 01 58 45 62 89
• Adresse postale :
  • ASIP Santé
  • Service Établissements
  • 9 rue Georges Pitard
  • 75015 Paris

• sage-femme, médecin, chirurgien-dentiste ou pharmacien
• infirmier, masseur-kinésithérapeute, pédicure-podologue, orthophoniste, orthoptiste, opticien-lunetier, oculariste, audioprothésiste, ergothérapeute, psychomotricien, manipulateur d’électro radiologie, orthoprothésiste, podo-orthésiste, épithésiste, orthopédiste-orthésiste, technicien de laboratoire, diététicien.