Logiciel Médical Conforme RGPD & CNIL : La Protection Absolue des Données Patient

En France, le traitement informatique des données à caractère personnel relatives à la santé est encadré par des règles d'une rigueur exceptionnelle. Les professionnels de santé sont tenus au **secret médical** (article L. 1110-4 du Code de la santé publique). Toute fuite d'information ou tout hébergement non sécurisé peut engager la responsabilité pénale et ordinale du praticien.

De plus, le **Règlement Général sur la Protection des Données (RGPD)** de l'Union Européenne et la **Loi Informatique et Libertés** imposent des obligations spécifiques en matière d'analyse d'impact relative à la protection des données (AIPD), d'information claire des patients, et de sécurisation des accès physiques et logiques. DocReport a été conçu dès sa première ligne de code selon le principe du “Privacy by Design” (la protection des données par conception) pour répondre à ces exigences.

Pour assurer une sécurité maximale, nous partons du principe que le serveur cloud ne doit jamais avoir accès à des informations médicales nominatives en clair. C'est pourquoi notre système repose sur trois piliers technologiques :

• Nettoyage local (Scrubbing) du NIR et des PII : Lorsque vous enregistrez ou dictez une consultation, notre bibliothèque logicielle client-side fr-compliance.ts analyse le flux textuel dans la mémoire de votre navigateur. Tout numéro de Sécurité Sociale français (NIR à 15 chiffres) ou information nominative évidente (noms, numéros de téléphone) est extrait et remplacé par un jeton neutre (ex: [FR_NIR_1]) *avant* d'envoyer les données au serveur d'IA.
• Chiffrement local AES-GCM 256 bits : Une fois le rapport médical structuré généré par l'IA, il est renvoyé à votre navigateur. L'association avec l'identité réelle du patient se fait localement dans votre RAM. Avant d'être stocké en base de données cloud pour archivage, le rapport finalisé est chiffré dans votre navigateur avec l'algorithme AES-GCM 256 bits à l'aide d'une clé privée stockée dans votre stockage local (localStorage). Nos serveurs n'hébergent que du texte crypté indéchiffrable.
• Souveraineté avec Vertex AI EU : Le traitement de l'intelligence artificielle s'effectue exclusivement dans les centres de données de Google Cloud situés au sein de l'Union Européenne (multi-région EU). Aucune donnée ne sort de l'UE, et aucune information clinique n'est conservée pour l'entraînement des modèles linguistiques généraux.

Une question fréquente concerne l'articulation entre le droit à l'effacement (“droit à l'oubli”) prévu par le RGPD et l'obligation de conservation des dossiers médicaux. En France, l'article R. 1112-7 du Code de la santé publique impose une durée minimale de conservation des dossiers médicaux de 20 ans à compter du dernier séjour du patient (ou jusqu'au 28ème anniversaire pour les mineurs).

Notre politique de confidentialité B2B documente explicitement ce point : l'obligation légale de conservation des dossiers par le médecin traitant **prime** sur les demandes simples de suppression RGPD de la part de tiers. L'archivage crypté et le maintien de la clé d'accès (dont le médecin a l'entière responsabilité) garantissent la pérennité du dossier médical conformément aux exigences légales, tout en empêchant toute exploitation non autorisée des données.

Pour être en conformité, les rôles de traitement de données doivent être définis de manière contractuelle :

• Le Praticien ou la Clinique est le **Responsable de Traitement** (Data Controller). C'est lui qui décide de collecter les antécédents médicaux et d'effectuer l'examen clinique pour le diagnostic du patient.
• Be Smart Global, LLC (DocReport) agit en tant que **Sous-Traitant** (Data Processor) au sens de l'article 28 du RGPD. Nous fournissons l'infrastructure technologique de transcription et d'archivage chiffré sous les instructions directes du praticien.

Notre Politique de Confidentialité B2B et nos CGU intègrent des clauses contractuelles types conformes à l'Union Européenne, protégeant ainsi juridiquement votre cabinet en cas d'audit de la CNIL.