La confiance, dite simplement
Où se trouvent les données, qui peut les voir, comment vous les récupérez, et ce qui n’est pas encore en place. Aucun insigne que nous n’avons pas mérité.
Dernière révision le 3 novembre 2026
Où se trouvent les données
Un seul serveur que nous exploitons, en Allemagne, des fournisseurs d’IA aux États-Unis, et rien de caché sur qui d’autre a accès aux données.
- Hébergement
- L’application et sa base de données fonctionnent sur un seul serveur que nous exploitons chez Hetzner, à Falkenstein, en Allemagne (UE). Le traitement par IA ne reste pas dans l’UE : le texte est traité par Claude d’Anthropic aux États-Unis et l’imagerie par Modal, aussi aux États-Unis. La transcription audio et la recherche dans les dossiers se font sur notre propre serveur en Allemagne. Les fonctions d’IA sont utilisées selon le consentement aux fonctions d’IA que vous donnez à l’inscription, et chaque fournisseur figure sur la page des sous-traitants. Nous transférerons tout l’hébergement de Kureon au Canada.
- Qui traite les données pour nous
Hébergement
Hetzner, à Falkenstein, en Allemagne. L’application et sa base de données fonctionnent sur un seul serveur que nous y exploitons.
IA pour le texte
Anthropic (Claude), aux États-Unis, au moyen de l’outil en ligne de commande Claude sur notre serveur, avec un compte d’abonnement Claude et non une entente d’entreprise négociée.
Calcul pour l’imagerie
Modal, aux États-Unis.
Appels vocaux
ElevenLabs, aux États-Unis, seulement pour les appels que vous lancez.
Courriel
Resend, aux États-Unis.
Recherche de données probantes
Consensus, aux États-Unis, requêtes de recherche seulement.
Stockage des sauvegardes chiffrées
Google Drive, aux États-Unis. Les sauvegardes sont chiffrées sur notre serveur avant l’envoi, de sorte que Google ne conserve que des données chiffrées.
Sécurité et diffusion du réseau
Cloudflare transporte tout le trafic du site (déchiffré à sa périphérie, les pages de santé ne sont pas mises en cache) et achemine les courriels de réclamation seulement quand vous les transférez.
Surveillance de la disponibilité
UptimeRobot, seulement des vérifications d’un point d’accès public.
Les textos par Twilio sont prévus dans le code mais désactivés : Twilio ne reçoit aucune donnée pour l’instant.
- Chiffrement
- Tout circule par TLS. Les sauvegardes hors site sont chiffrées sur notre serveur avant le téléversement, de sorte que le stockage des sauvegardes ne contient que du texte chiffré. Toutes les copies, y compris les sauvegardes chiffrées, sont supprimées dans les 60 jours suivant la fermeture du compte. Les sauvegardes chiffrées elles-mêmes sont supprimées après 30 jours. Le chiffrement au repos n’est pas encore activé sur le volume principal du serveur. Il figure dans notre feuille de route ci-dessous.
Qui peut les voir
Seulement les personnes choisies par la famille, et une trace de chaque ouverture d’un dossier partagé.
- Contrôles d’accès et rôles
- Les patients partagent par section et peuvent révoquer l’accès en tout temps. Les dossiers de santé mentale et de dépendances exigent un consentement explicite pour chaque partage. Les cliniques disposent de huit rôles pour le personnel, avec séparation des tâches pour la révision du codage, et l’appartenance à une clinique ne donne jamais accès au dossier d’un patient. La connexion en deux étapes avec une application d’authentification est offerte.
- Journaux d’audit
- L’ouverture d’un dossier partagé est consignée : qui, quand et quel dossier. Les patients voient qui a ouvert leur dossier et reçoivent un avis dans l’application quand quelqu’un consulte ce qu’ils ont partagé. Les propriétaires de clinique voient un journal d’activité du travail clinique de leur équipe, métadonnées seulement, avec exportation CSV. Il nomme un patient seulement lorsque ce patient a partagé son dossier avec le clinicien comme fournisseur de soins, et n’affiche jamais l’activité personnelle ou familiale d’un clinicien.
- Entente d’associé commercial (BAA)
- Les cliniques acceptent par simple clic une entente BAA d’organisation avec Kureon. Chaque clinicien en accepte une avant d’ouvrir des dossiers de patients. Une BAA est le contrat que la loi américaine sur la confidentialité des renseignements de santé exige entre une clinique et une entreprise qui traite les données de ses patients. Le modèle est rédigé et en cours d’examen par des conseillers juridiques. Une entente de traitement des données (DPA) de l’UE est offerte de la même façon. Une DPA est le contrat que la loi européenne sur la protection des renseignements personnels exige avec une entreprise qui traite des renseignements personnels pour vous. Nous n’avons pas encore d’entente BAA avec nos fournisseurs d’IA (Anthropic, Modal, ElevenLabs). Les fonctions d’IA des cliniques qui leur enverraient des renseignements de patients sont donc désactivées jusqu’à ce qu’un fournisseur d’IA couvert soit en place.
Comment partir
Repartez avec tout, ou faites tout supprimer.
- Exportation et suppression
- Les familles exportent leurs dossiers en ZIP ou en lot FHIR (un format de fichier standard pour les dossiers de santé) en tout temps. Les cliniques exportent leurs propres données d’exploitation sous forme de tableurs. La suppression d’un compte retire ses dossiers dans les 30 jours; les journaux d’audit et de sécurité sont conservés jusqu’à 6 ans.
Ce que nous ne prétendons pas encore
Ce qui n’est pas en place, pas certifié ou pas homologué, dit tel quel. Nous ne prétendrons rien de tout cela avant que ce soit vrai.
- Le chiffrement au repos n’est pas encore activé sur le volume principal du serveur. Il est prévu et nous ne prétendons pas l’offrir.
- SOC 2 : contrôles documentés, audit pas encore réalisé. Nous n’avons pas de rapport SOC 2.
- Nous ne détenons aucune certification HITRUST ni ISO 27001. Il n’existe pas de certification HIPAA officielle, et nous n’en revendiquons aucune.
- Aucune entente BAA ni entente de traitement des données n’est encore signée avec Anthropic, Modal ou ElevenLabs.
- Aucun test d’intrusion indépendant n’a encore été effectué.
- L’IA d’imagerie n’est pas un dispositif médical homologué. Ses lectures sont éducatives et ne constituent jamais un diagnostic.
Pour le portail des fournisseurs de soins, une clinique peut signer avec Kureon une entente BAA, qui couvre Kureon lui-même; aucun sous-traitant, y compris nos fournisseurs d’IA, n’est encore lié à nous par une entente BAA. Les comptes personnels de patients sont couverts par la FTC Health Breach Notification Rule et par les lois des États applicables. Les conditions complètes se trouvent dans le centre juridique.
Nos engagements
- Nous ne vendons jamais de données, n’utilisons aucun traceur publicitaire ni script d’analyse. Seulement les témoins nécessaires pour vous connecter, protéger votre compte et retenir votre langue.
- Rien d’important ne se produit sans l’accord explicite d’une personne : l’IA rédige, les gens approuvent.
- Lorsque quelque chose change sur cette page, nous la mettons à jour.
Contact en matière de sécurité
Vous avez trouvé une vulnérabilité, ou vous avez une question de sécurité ou de confidentialité? Écrivez-nous directement.
Nous joindre
Veuillez indiquer les étapes pour reproduire le problème et ne pas accéder aux données d’autres personnes pendant vos essais. Voir aussi : promesse de confidentialité, politique de confidentialité.