Politique de confidentialité

La présente politique décrit le traitement des données personnelles au sein de l'application TerangaHealth, accessible à l'adresse https://app.avect-ai.com. L'application traite des données de santé.

Le site vitrine https://www.avect-ai.com, qui ne traite qu'un formulaire de contact, dispose de sa propre politique de confidentialité.

Deux rôles doivent être distingués, car ils n'emportent pas les mêmes obligations.

• Le professionnel de santé, ou l'organisation de soins à laquelle il est rattaché, est le responsable du traitement des données de ses patients. C'est lui qui décide de constituer un dossier, d'enregistrer une consultation et d'y consigner un compte rendu. C'est également vers lui qu'un patient se tourne en premier lieu pour exercer ses droits.
• AVECT AI, éditeur de TerangaHealth, fournit et exploite l'outil. Nous en assurons le fonctionnement et la sécurité, et nous ne traitons les données de santé que pour le compte et sur instruction du professionnel de santé.

AVECT AI est en revanche responsable du traitement pour les données strictement liées à la gestion du service lui-même : comptes utilisateurs, abonnements, assistance et journaux techniques.

Données de compte et d'organisation. Adresse de courriel, mot de passe sous forme d'empreinte non réversible, rôles, organisation de rattachement, et pour les praticiens les informations d'exercice affichées sur les documents édités.

Données d'identification des patients. Nom et prénom, coordonnées de contact, adresse et contact d'urgence, qui sont chiffrés. Le numéro de dossier, la date de naissance, le sexe et la langue préférée sont conservés en clair car ils sont nécessaires à la recherche et au tri dans le registre. Une empreinte non réversible de l'adresse de courriel est conservée pour permettre une recherche exacte sans détenir l'adresse en clair dans l'index.

Données de santé. Motif de consultation, diagnostic, plan de traitement, prescriptions, notes cliniques, antécédents, allergies, traitements en cours, interventions et antécédents familiaux. L'ensemble de ces champs est chiffré.

Enregistrements audio. L'audio des consultations enregistrées, stocké sur un espace de stockage dédié. Sa description technique, à savoir la durée, la taille, le format et le nom de fichier d'origine, est conservée en base. Pendant l'enregistrement, une copie de travail de l'audio est également écrite dans la mémoire de stockage du navigateur du praticien, afin qu'une coupure de courant, une fermeture d'onglet ou un plantage ne fasse pas perdre la consultation. Cette copie est décrite au paragraphe 9, qui en précise le sort.

Transcriptions et comptes rendus. Le texte intégral de la transcription, les fenêtres de transcription produites au fil de la consultation, la proposition brute de l'intelligence artificielle et le compte rendu validé par le praticien. L'ensemble est chiffré.

Téléconsultation. Les messages échangés dans le fil de discussion sont chiffrés. Le flux vidéo circule entre les navigateurs des participants, au besoin par l'intermédiaire de notre serveur de relais. L'établissement de cette liaison sollicite en revanche un service tiers, décrit au paragraphe 6. Le flux vidéo n'est pas enregistré. En revanche, l'audio de l'échange est capté pour être transcrit, exactement comme lors d'une consultation en présentiel. Cette écoute démarre par défaut lorsque le patient rejoint l'appel, elle est signalée aux deux participants, et le praticien peut l'interrompre à tout moment.

Rendez-vous. Date, heure, praticien, patient, motif et statut, ainsi que l'historique des reports et annulations.

Journaux techniques et journal d'audit. Les lectures et exports portant sur les dossiers patients, les consultations, les transcriptions, les comptes rendus, les ordonnances et les enregistrements audio donnent lieu à une entrée d'audit comportant l'auteur de l'accès, l'organisation, le type et l'identifiant de l'élément consulté, l'action, l'adresse IP, le navigateur et l'horodatage. Ce journal ne contient jamais de contenu médical.

Le périmètre de cette journalisation est celui qui vient d'être énuméré : il ne couvre pas encore la totalité des écrans du service, la consultation des antécédents en particulier, et il est étendu au fil des versions. La journalisation est par ailleurs conçue pour ne jamais interrompre un soin : si son écriture échoue, l'accès aboutit quand même et la trace peut manquer. Ces deux limites sont indiquées ici plutôt que passées sous silence.

Mesures d'usage de l'intelligence artificielle. Nombre de jetons consommés, modèle sollicité, durée de traitement, durée d'audio, coût et statut de l'appel. Ces mesures ne contiennent ni transcription, ni compte rendu, ni audio.

• tenir le dossier médical des patients et l'historique des soins ;
• gérer les rendez-vous et l'agenda du praticien ;
• transcrire l'audio d'une consultation et proposer un compte rendu structuré que le praticien relit, corrige et valide ;
• éditer les ordonnances et les documents remis au patient ;
• permettre la conduite de téléconsultations ;
• authentifier les utilisateurs, cloisonner les accès et assurer la sécurité du service ;
• tracer les accès aux données de santé, afin de pouvoir établir qui a consulté quoi et quand ;
• suivre la consommation technique du service à des fins de facturation et de supervision.

Les données de santé ne sont utilisées ni à des fins publicitaires, ni à des fins de profilage, ni à des fins commerciales. Elles ne sont ni vendues, ni louées, ni cédées.

Le traitement des données de santé repose sur la prise en charge du patient par un professionnel de santé soumis au secret médical, et sur les obligations professionnelles de tenue du dossier qui lui incombent.

L'enregistrement audio de la consultation constitue un traitement distinct et facultatif. Il suppose que le patient en ait été informé au préalable et qu'il y ait consenti. Le refus de l'enregistrement ne fait pas obstacle à la consultation ni à l'usage des autres fonctionnalités.

La gestion des comptes et de l'abonnement repose sur l'exécution du contrat conclu avec l'organisation. La sécurité du service et la journalisation des accès reposent sur notre intérêt légitime à protéger des données de santé et sur les obligations de traçabilité qui s'y attachent.

Au sein de l'application, les données sont accessibles aux seuls comptes rattachés à la même organisation, selon leur rôle. Le contenu clinique est réservé aux comptes porteurs d'une relation de soin, à savoir les praticiens et les patients. Un compte d'administration, qu'il relève de l'organisation ou d'AVECT AI, se voit refuser l'accès à ces contenus par le service lui-même.

En dehors de l'application, les tiers suivants interviennent. La liste est exhaustive.

• service d'intelligence artificielle : pour produire la transcription, l'audio de la consultation est transmis à ce service. Pour produire le compte rendu, la transcription lui est transmise à son tour. Cette transmission est nécessaire au fonctionnement de l'assistant et n'a pas d'autre finalité.
• prestataire professionnel d'hébergement : hébergement des serveurs et de la base de données.
• un prestataire professionnel de routage de courrier électronique : acheminement des messages du service, à savoir la vérification d'une adresse, les invitations, la réinitialisation d'un mot de passe, les notifications et l'envoi d'un lien de téléconsultation. Ce prestataire prend donc connaissance de l'adresse de courriel du destinataire, de l'horodatage de l'envoi et, pour une téléconsultation, du nom du praticien et de l'horaire du rendez-vous. Ces messages ne contiennent aucun contenu clinique. Ses serveurs sont situés en Europe, donc hors du continent africain.
• un service tiers d'assistance à l'établissement de la liaison : lors d'une téléconsultation, l'établissement de la liaison entre les deux navigateurs fait appel à un service tiers qui leur indique comment se joindre. Ce service prend connaissance de l'adresse IP publique des deux participants et de l'horodatage de l'appel, ce qui lui révèle qu'une liaison a eu lieu à cet instant. Lorsque la liaison directe échoue, le flux transite par notre propre serveur de relais, qui est exploité par AVECT AI et n'est donc pas un tiers.
• WhatsApp, service de Meta, uniquement si le praticien l'emploie : l'application propose des boutons de partage par WhatsApp pour remettre une ordonnance ou envoyer un lien de téléconsultation. Le fait d'actionner l'un de ces boutons ouvre WhatsApp avec un message pré-rempli, ce qui transmet à ce service, selon le bouton, le nom du patient ou son numéro de téléphone, ainsi que le lien de téléconsultation. Aucun contenu clinique n'y figure, et l'ordonnance elle-même est jointe séparément par le praticien. Ce partage relève du seul choix du praticien : il n'a rien d'automatique, et le service fonctionne entièrement sans lui. Les serveurs de ce tiers sont situés hors du continent africain.

En dehors des cas énumérés ci-dessus, aucune donnée n'est transmise à un tiers, sauf réquisition d'une autorité compétente dans les cas prévus par la loi.

Quatre flux, et seulement quatre, sortent de ce périmètre. Ils sont énumérés ici pour que vous sachiez précisément ce qui quitte le continent, et à quelle occasion.

• La transmission de l'audio et de la transcription au service d'intelligence artificielle implique un traitement par une infrastructure susceptible d'être située hors du continent africain. Cette transmission est limitée au strict nécessaire, elle est chiffrée en transit, et elle n'a d'autre objet que de produire le résultat demandé.
• L'acheminement des messages électroniques du service passe par un relais situé en Europe, donc hors du continent africain. Ce flux ne porte aucun contenu clinique, mais il porte une adresse de courriel et, pour une téléconsultation, le nom du praticien et l'horaire du rendez-vous.
• L'établissement d'une liaison de téléconsultation sollicite un service tiers d'assistance à la connexion, situé hors du continent africain, qui prend connaissance de l'adresse IP publique des deux participants.
• Le partage par WhatsApp, lorsque le praticien l'actionne, transmet hors du continent africain le nom du patient ou son numéro de téléphone, selon le bouton employé.

Chiffrement des données de santé au repos. Les champs sensibles sont chiffrés en AES-256-GCM avant d'être écrits en base. Chaque organisation dispose de sa propre clé de chiffrement, elle-même protégée par une clé maîtresse détenue par l'éditeur. C'est un chiffrement en enveloppe côté serveur : il protège les données contre la lecture directe de la base ou d'une sauvegarde, et il cloisonne les organisations les unes des autres. Il n'empêche pas nos serveurs de déchiffrer les données au moment où le service en a besoin pour vous les afficher.

Chiffrement en transit. Les échanges entre votre navigateur et nos serveurs sont chiffrés en HTTPS, avec une politique imposant au navigateur de n'employer que des connexions sécurisées.

Chiffrement au repos du stockage audio. Les enregistrements audio sont chiffrés par le service de stockage.

Cloisonnement. Toute requête portant sur une donnée de santé est filtrée par l'organisation de l'appelant. Une organisation ne peut accéder aux données d'une autre.

Contrôle d'accès. Les mots de passe sont conservés sous forme d'empreinte Argon2id, jamais en clair. Les sessions reposent sur des jetons de courte durée, renouvelés automatiquement, et assortis d'une durée de session maximale. L'accès au contenu clinique est refusé aux rôles non soignants.

Journal d'audit. Les lectures et exports énumérés au paragraphe 3 sont journalisés, sans jamais consigner le contenu lui-même. Le périmètre et les limites de cette journalisation y sont décrits.

Limitation de débit. Le nombre d'appels est plafonné, en particulier sur l'authentification et les traitements d'intelligence artificielle, afin de limiter les tentatives d'accès automatisées.

Les données du dossier médical, à savoir les dossiers patients, les consultations, les comptes rendus, les transcriptions et les enregistrements audio, sont conservées tant que le compte de l'organisation est actif. Leur durée de conservation relève des obligations professionnelles du praticien, qui en est le responsable, et une suppression peut nous être demandée à tout moment par l'organisation.

Les fragments techniques intermédiaires produits pendant une transcription, à savoir les fenêtres de transcription en direct, les segments de traitement et le cache audio de travail, sont effacés automatiquement au terme de sept jours par une tâche de nettoyage qui s'exécute toutes les heures.

Copie de travail dans le navigateur du praticien. La copie de l'audio conservée pendant l'enregistrement est effacée du navigateur lorsque la consultation est menée à son terme. Une session interrompue et jamais reprise, à la suite d'un plantage par exemple, laisse en revanche sa copie sur le poste : aucune purge automatique ne s'y applique aujourd'hui, et elle est proposée à la reprise lors du retour dans l'application. Le praticien peut l'effacer à tout moment en vidant les données du site depuis son navigateur. Cette précision est donnée parce qu'il serait inexact de présenter l'audio comme présent uniquement sur nos serveurs.

Le jeton de rafraîchissement, qui permet de prolonger une session, est révoqué immédiatement à la déconnexion. Le jeton d'accès, lui, est autonome et de courte durée : il n'est pas révoqué, il expire de lui-même au plus tard trente minutes après son émission. La déconnexion efface par ailleurs les deux jetons du navigateur.

Conformément à la loi sénégalaise n° 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel, vous disposez d'un droit d'accès, de rectification, d'opposition et de suppression des données vous concernant.

Si vous êtes patient, adressez-vous en premier lieu au professionnel de santé ou à la structure qui vous suit : c'est lui qui détient votre dossier et qui décide des suites à donner. Nous exécutons les demandes qui nous parviennent par son intermédiaire.

Si vous êtes praticien ou administrateur, vous pouvez exercer vos droits sur les données de votre propre compte en nous écrivant directement.

Le droit à la suppression s'exerce sous réserve des obligations légales et déontologiques de conservation du dossier médical qui s'imposent au professionnel de santé.

Vous pouvez également saisir la Commission de protection des données personnelles (CDP) du Sénégal pour toute réclamation relative au traitement de vos données.

En cas d'incident de sécurité affectant des données personnelles, nous en informons sans délai injustifié l'organisation concernée, en lui décrivant la nature de l'incident, les catégories de données touchées et les mesures prises. Nous l'assistons dans ses propres démarches auprès de la Commission de protection des données personnelles (CDP) du Sénégal et, le cas échéant, auprès des personnes concernées.

La présente politique peut évoluer, notamment en cas de changement dans nos prestataires techniques ou dans les traitements mis en œuvre. La version applicable est celle publiée sur cette page, dont la date de dernière mise à jour figure en tête. Les modifications substantielles sont portées à la connaissance des utilisateurs.

Pour toute question relative à la présente politique ou à l'exercice de vos droits :

• Courriel : contact@avect-ai.com
• Téléphone : +221 78 736 28 10
• Adresse : AVECT AI, Parcelles Assainies, Unité 14, Rue PA 14-02, Dakar, Sénégal