Note de sécurité

Écrite pour le médecin qui doit répondre à son délégué à la protection des données, et pour celui qui veut simplement savoir où va l’enregistrement.

La décision d’architecture

Anamna ne détient aucune donnée de santé. Ni chiffrée, ni pseudonymisée — aucune. L’audio est traité en mémoire volatile et détruit avec la requête HTTP ; le compte-rendu produit repart vers votre appareil et ne nous revient jamais. C’est appliqué dans le code et couvert par un test automatisé qui fait échouer la livraison si une colonne clinique apparaissait un jour dans notre base.

Ce que nous stockons

Votre adresse e-mail et l’empreinte de votre mot de passe, votre en-tête (nom, spécialité, cabinet, adresse, numéro d’inscription, logo), vos réglages de langue, votre formule, et une ligne par acte contenant un horodatage, une durée en secondes et un nombre de jetons. Aucun identifiant de patient, aucun texte libre.

Comment vos dossiers sont protégés

Sur votre appareil, chaque consultation, patient et courrier est scellé en AES-256-GCM. La clé est dérivée de votre code de coffre par PBKDF2-SHA256 (250 000 itérations) et ne vit qu’en mémoire tant que l’application est déverrouillée. Il n’y a délibérément aucun index de recherche en clair : un index de noms de patients fuiterait exactement ce que le chiffrement protège, la recherche se fait donc en mémoire sur les données déchiffrées.

La chaîne de traitement

Votre appareil → notre API en France (audio en mémoire uniquement) → Google Gemini sur un point d’accès payant dont les conditions interdisent l’entraînement sur les données soumises → le compte-rendu structuré → retour sur votre appareil. Nous n’utilisons jamais l’API de fichiers du fournisseur, qui conserverait votre audio 48 heures. Rien d’autre ne touche l’audio.

Les rôles au sens du RGPD

Vous êtes responsable du traitement des données de vos patients. Nous sommes sous-traitant, agissant sur votre instruction pour une opération transitoire, et Google est sous-traitant ultérieur. Un contrat de sous-traitance est disponible sur demande et inclus dans la formule Cabinet.

Ce que ce modèle vous coûte

L’honnêteté impose de le dire : parce que nous ne pouvons pas lire votre coffre, nous ne pouvons pas le restaurer. Si vous oubliez votre code sans sauvegarde, ces dossiers sont perdus. L’application vous demande d’exporter une sauvegarde chiffrée et vous le rappelle si vous ne l’avez pas fait depuis longtemps.