Ce que nous pouvons lire, et ce que nous ne pouvons pas
Avec des mots simples : ce qui est mis sous clé, qui détient la clé, et ce qui se passe si vous la perdez.
Ce qui reste confidentiel
Nous ne pouvons pas lire vos comptes rendus
Ce que vous écrivez sur une séance est mis sous clé sur votre propre ordinateur, avant de partir. Nous gardons le cadenas, pas la clé. Les collègues à qui vous donnez accès peuvent lire les comptes rendus du cabinet.
Vos notes personnelles ne sont que pour vous
Ni un collègue, ni le propriétaire du cabinet, ni nous.
Ce que nous voyons
Les noms, les coordonnées, les notes administratives et l’agenda lui-même. Il nous les faut pour afficher votre agenda et envoyer les rappels. Aucun autre cabinet ne les voit jamais.
Si vous oubliez votre mot de passe
Vous pouvez toujours vous reconnecter
Demandez un nouveau mot de passe sur la page de connexion. Nous envoyons un lien à votre adresse e-mail.
Un nouveau mot de passe n’ouvre pas vos anciennes notes
Elles sont sous clé avec votre ancien mot de passe. S’il vous revient, tout s’ouvre à nouveau.
Sinon, vous pouvez repartir de zéro, et vos notes personnelles sont supprimées pour de bon. Personne ne peut les récupérer, nous non plus.
Les comptes rendus du cabinet ne sont pas perdus
Un collègue vous redonne accès, ou le propriétaire utilise la clé de secours du cabinet : un code affiché une seule fois, lors de la mise en place, à imprimer et à garder en lieu sûr.
Si ce code est perdu lui aussi, et que plus personne ne peut ouvrir les dossiers, les comptes rendus ne peuvent pas être récupérés. Ce que nous ne pouvons pas lire, nous ne pouvons pas le restaurer.
Qui peut entrer
Un cabinet n’en voit jamais un autre
Vos patients et votre agenda sont visibles dans votre cabinet, jamais dans un autre.
Un code sur votre smartphone, si vous le souhaitez
Ajoutez une application d’authentification, et la connexion demande aussi le code à 6 chiffres qu’elle affiche.
Tout est consigné
Qui s’est connecté, qui a réservé, qui a annulé. Personne ne peut modifier ce registre après coup, et vous pouvez le consulter.
Si vous partez
Emportez une copie
Vos rendez-vous dans un fichier que tout calendrier ouvre, et pour chaque patient une copie de son dossier.
Supprimé veut dire supprimé
Quand votre compte est fermé, vos données sont effacées de notre système.
Un cabinet qui n’appartient qu’à vous doit d’abord être transmis ou vidé.
Ce qui n’existe pas encore
Ce que vous supprimez disparaît aussitôt du système, mais pas des sauvegardes déjà faites. Et une note supprimée l’est vraiment, elle n’est pas barrée ; nous devons encore décider si un dossier patient doit le permettre.
Pour qui veut le détail technique
- Les comptes rendus et les notes sont chiffrés dans le navigateur en AES-256-GCM, avec des clés dérivées du mot de passe par Argon2id (64 Mio, 3 passes, 4 voies). Le serveur ne conserve que du texte chiffré et des clés enveloppées.
- Chaque compte a une paire de clés P-256. La clé du cabinet est enveloppée pour chaque membre admis et pour la clé de secours, dont la partie privée n’atteint jamais le serveur.
- Les cabinets sont séparés par la sécurité au niveau des lignes (row-level security) de PostgreSQL, imposée sur chaque table, pour un rôle applicatif qui ne possède rien et ne peut pas la contourner.
- Les mots de passe de connexion sont stockés sous forme d’empreintes Argon2id. Un mauvais mot de passe et une adresse inconnue demandent le même travail pour répondre.
- Les sessions de connexion changent à chaque utilisation. Présenter une ancienne révoque toute la chaîne et est consigné.
- Le journal d’activité ne peut qu’être complété, ce qu’impose un trigger de la base de données. La seule modification permise est d’oublier un nom quand un compte est effacé.
- Un test demande à la base de données quelles colonnes nomment une personne, et les vérifie une à une après un effacement.