LeLogo

Sécurité et confidentialité

Où sont les données des cabinets, comment elles sont protégées, et ce que l'éditeur de LeLogo peut voir.

Où sont les données

Sur des serveurs loués à Hostinger, dans un centre de données situé dans l'Union européenne ([à compléter : ville et pays du centre de données]). Chaque cabinet a sa propre base ; un registre central garde les comptes et les cabinets. La connexion au site passe par HTTPS.

Chiffrement

Les champs sensibles sont chiffrés champ par champ (AES-256-GCM), chacun lié à sa ligne : une valeur déplacée ne s'ouvre plus. Sont chiffrés ainsi le nom, le prénom, la date de naissance, le NISS, l'adresse, le téléphone, l'e-mail et la mutualité du patient, ses contacts, le prescripteur, les remarques, l'anamnèse, les notes de séance, le contenu des bilans, les documents et leurs noms, le contenu des fichiers du matériel, les motifs de refus, les libellés et fournisseurs de la comptabilité, les destinataires des envois. Les mots de passe ne sont pas gardés, seulement une empreinte (scrypt).

La clé maîtresse, dite franchement

La clé qui ouvre le dossier d'un cabinet est rangée sur le serveur, fermée par une clé maîtresse que l'éditeur garde à part, hors des bases et des copies. C'est ce qui permet de remplacer par e-mail un mot de passe oublié. Cela veut dire aussi que l'éditeur, qui fait tourner le service, peut techniquement lire le dossier. Une base ou une copie volée, seule, ne révèle rien : il lui manque la clé maîtresse.

Ce qui n'est pas chiffré champ par champ

Pour calculer et trier, une partie reste lisible dans la base :

les dates et heures des séances et leur statut (présent, absent, annulé) ;
les codes de nomenclature, les tarifs et les montants (factures, attestations, paiements, comptabilité), leurs numéros et leurs dates ;
pour chaque accord : le trouble, la nature, les dates, le nombre de séances et la décision de la mutualité ; pour chaque bilan : sa nature, sa date et le trouble ;
sur la fiche : le statut BIM, le tiers payant, la langue, le jour et l'heure habituels de séance ;
dans la liste d'attente : le trouble et les disponibilités ;
le matériel employé en séance, le nom des mutualités dans les états récapitulatifs, l'identité du cabinet et de ses logopèdes ;
le journal : qui a fait quoi, et qui a ouvert quel numéro de fiche.

Ces données sont rattachées au numéro interne d'une fiche, sans le nom ni le NISS du patient : c'est une pseudonymisation, pas un anonymat. Recoupées avec d'autres informations (un horaire, une date de rendez-vous), elles peuvent permettre de reconnaître un patient. Elles restent protégées comme tout le dossier : la base n'est lisible que par le service, et les copies sont chiffrées en entier.

Sauvegardes

Le serveur copie le dossier de chaque cabinet chaque heure, chiffre la copie en entier avec une clé de sauvegarde distincte de la clé maîtresse, jamais écrite dans une base ni dans une copie, et l'envoie hors du serveur, dans un stockage situé dans l'Union européenne ([à compléter : fournisseur]). Chaque copie est relue aussitôt ; un essai de restauration complet a lieu chaque semaine. Sont gardées : toutes les copies des 48 dernières heures, la dernière de chaque jour pendant 30 jours et la dernière de chaque mois pendant 12 mois.

Connexion

Double authentification par une application du téléphone, pour chaque compte, et exigible par le cabinet. Après 5 refus pour un compte, 15 minutes d'attente, doublées à chaque fois (24 heures au plus). Déconnexion après inactivité : 8 heures, réglable de 30 minutes à 12 heures. « Se souvenir de cet appareil » 30 jours au plus. Une page « Appareils connectés » pour les déconnecter à distance, et un e-mail à chaque connexion depuis un nouvel appareil.

Droits et journal

Des droits par compte ; un compte lié à un logopède ne voit que ses patients. Un journal des actions, et pour chaque fiche, qui a ouvert le dossier et quand.

Aucun traceur

Le site ne charge aucun fichier extérieur : ni mesure d'audience, ni publicité, ni traceur. Seulement les cookies nécessaires pour rester connecté, retenir la langue et reconnaître un appareil déjà vu.