Fiche technique

L'essentiel

• Stockées à Beauharnois et sauvegardées au Québec, chez OVHcloud.
• Aucun renseignement de santé ni aucun renseignement sur un patient.
• Connexion sans mot de passe, et cloisonnement par équipe dans la base de données elle-même.

Ce que fait RelèveMed

RelèveMed est un logiciel en ligne de planification des gardes médicales. Les médecins y déclarent leurs disponibilités, le calcul propose un horaire, la personne qui gère l'ajuste et le publie, et l'équité des gardes se reporte d'une période à l'autre. On n'y entre que sur invitation.

RelèveMed ne traite aucun renseignement de santé ni aucun renseignement sur un patient : seulement le nom, le courriel, les disponibilités et les gardes des membres de l'équipe.

Où sont les données

• Application et base de données : chez la filiale canadienne d'OVHcloud, groupe français, à Beauharnois (Québec). Une seule région pour toutes les équipes.
• Sauvegardes : à Beauharnois. Une copie hebdomadaire, chiffrée, est gardée hors ligne par l'éditeur, au Québec.
• Courriels (connexion, invitations, avis) : Cyberimpact, société de Sherbrooke, dont les serveurs sont à Montréal.
• Dans le navigateur : aucune mesure d'audience, aucun témoin tiers, aucun script chargé depuis un autre domaine. L'authentification n'est confiée à aucun tiers.

Un·e médecin qui abonne son agenda personnel à son horaire (Google, Apple, Outlook…) transmet ses gardes à ce service. C'est son choix, et ce service n'est pas un sous-traitant de l'éditeur.

Accès et sécurité

• Connexion sans mot de passe : un lien reçu par courriel, valable une heure, à usage unique ; un nouveau lien annule les précédents. Le mot de passe sert à confirmer son identité avant une action sensible ; il n'est jamais conservé en clair.
• Second facteur à la confirmation d'identité : le code d'une application d'authentification, et huit codes de secours. Votre établissement peut l'exiger de ses gestionnaires ; il est proposé à chaque membre.
• Cloisonnement par équipe dans la base de données elle-même, en plus de l'application : une requête qui ne dit pas son équipe échoue, au lieu de rendre les données d'une autre. Dans une équipe, un·e médecin ne voit pas ce que ses collègues ont déclaré.
• Le support, pour vous dépanner : l'éditeur ouvre une session de support, qui lui montre votre équipe comme à un·e gestionnaire, une heure au plus. Il reconfirme son mot de passe et écrit un motif ; un bandeau le signale, et la session s'inscrit au journal que vos gestionnaires lisent. Chacun·e peut demander un courriel à chaque ouverture. Hors de ces sessions, l'application ne lui montre pas vos données.
• Le serveur : comme pour tout service hébergé, son exploitation donne un accès technique à la base et aux sauvegardes. Il sert à faire tourner le service ; ne pas s'en servir pour lire vos données est une règle que l'éditeur s'impose.
• Journaux : le journal de l'équipe dit qui a fait quoi, et quand. Seul le journal des événements de sécurité des comptes porte une adresse IP, effacée au bout de douze mois. Aucun accès de l'application ne peut modifier ni effacer ces journaux.
• Chiffrement : HTTPS en transit ; disques de la base chiffrés au repos ; sauvegardes exportées chiffrées, avec une clé qui n'est ni sur le serveur ni chez l'hébergeur.

Les droits des personnes

Votre organisation détient les renseignements et en demeure responsable ; Bley Conseil agit comme son mandataire, dans le cadre d'un contrat écrit.

Chaque personne exerce elle-même ses droits, dans l'application, sans l'accord de personne (Mes données) :

• une copie complète de ses données, en fichier, produite sur-le-champ ;
• la correction de son nom et de sa langue ; le changement d'adresse courriel passe par l'éditeur ;
• la suppression de son compte, qui efface son identité. Ses gardes passées restent à l'horaire sous « Ancien membre », parce qu'elles servent à l'équité de ses collègues. La suppression attend qu'aucune garde à venir ne soit publiée à son nom, et qu'une autre personne gère l'équipe si elle en est l'unique gestionnaire. Un compte effacé subsiste encore au plus quatorze jours dans les sauvegardes gardées chez l'hébergeur, et de l'ordre de quatre semaines dans la copie hebdomadaire.

Ce que le produit ne fait pas encore

• Le second facteur ne s'applique pas à la connexion, qui reste par lien : quand il est activé, il protège la confirmation d'identité, donc tout ce qui administre l'équipe.
• La connexion dépend du courriel : tant qu'un courriel ne part pas, le lien de connexion n'arrive pas.
• Aucun import d'un historique venu d'un autre outil : les soldes de départ se saisissent à la main (Reprendre un historique).
• Aucun écran ne restitue les données d'une équipe entière : à la fin du contrat, l'éditeur les restitue sur instruction écrite de votre organisation.
• Aucun rôle en lecture seule.

Langues, accessibilité, appareils

• En français et en anglais : chaque personne choisit sa langue et reçoit ses courriels dans cette langue ; l'aide est intégrée à chaque écran, dans les deux langues.
• Accessibilité : ambiance claire ou sombre au choix, et un contrôle automatique du contraste de chaque couleur de texte sur son fond, aux seuils WCAG AA. Aucune attestation de conformité n'est déclarée.
• Appareils : le portail des médecins est pensé d'abord pour le téléphone ; l'espace des gestionnaires, d'abord pour le grand écran, s'utilise aussi au téléphone, horaire et corrections compris. Navigateurs à jour ; Safari et iOS 16 au minimum.