Confiance
Même nous, nous ne pouvons pas lire tes dossiers.
Voici, en questions de soignante, ce que Carnet voit, ce qu’il ne voit pas, et comment tu peux le vérifier toi-même.
C’est ton secret professionnel (art. 321 CP). Carnet est construit pour être incapable de le partager sans toi.
Que voit le serveur ?
Tes dossiers arrivent au serveur déjà chiffrés. La clé est fabriquée sur ton appareil et ne le quitte jamais en clair. Vers ton autre appareil ou dans ta récupération, elle part scellée.
Le serveur garde des blocs illisibles. Aucun nom, aucun soin, aucune photo n’y est lisible, ni pour nous ni pour quelqu’un qui entrerait chez l’hébergeur.
Qui d’autre peut lire mes dossiers ?
Toi, et les collègues que tu appelles en relève. Personne d’autre.
Tu choisis la remplaçante, tu peux lui retirer l’accès, et elle ne paie rien. Le serveur sait combien d’accès sont ouverts et quand. Il ne sait jamais qui, ni ce qu’elle écrit.
Si tu perds ta clé et tous tes appareils, personne ne peut la refaire à ta place. C’est le revers du chiffrement. Pour ne pas en arriver là, exporte régulièrement une sauvegarde .carnet et range-la hors de ton téléphone ; avec le service géré, synchronise aussi un second appareil.
Et la facture à l’assureur ?
Là, c’est la loi qui décide : la facture contient le nom, la date de naissance, le n° AVS et l’adresse du patient. La loi sur l’assurance-maladie l’exige pour que l’assureur contrôle le décompte (art. 42 LAMal).
Elle part depuis ton ordinateur, par le connecteur MediData, sous ton raccordement. Elle ne passe jamais par nos serveurs. Carnet ne fait pas payer l’envoi ; ton raccordement MediData reste ton contrat avec MediData.
Tu n’as pas de raccordement ? Tu imprimes la facture QR et tu la postes. Le détail de ce qui part est dans la politique de confidentialité.
Et si l’éditeur disparaît ?
Le contrat l’a prévu. Si David, l’éditeur, décède ou ne peut plus travailler, un mandataire technique te prévient sous trente jours.
Pendant le préavis de nonante jours, il maintient la lecture et l’export de tes dossiers. Tu pars avec tout.
Clause 11.5 des conditions. Le raccordement MediData est un contrat de tiers : il n’est pas garanti au-delà de la notification.
Comment vérifier, par toi-même ?
Le code est public.
Une personne de confiance qui s’y connaît peut lire, à ta place, ce que fait le logiciel. Licence AGPLv3.
Ton journal se contrôle.
Chaque écriture s’ajoute au journal avec son auteur et la date, à l’heure réelle du geste. Une correction s’ajoute, l’original reste. Avec la synchro, le serveur chaîne en plus chaque écriture : une retouche après coup serait détectable.
Utile si un assureur demande ce qui a été écrit, quand et par qui. L’écran « Intégrité du journal » de l’app te le montre.
Avec la synchro, une empreinte du journal est aussi horodatée chaque jour où il change par OpenTimestamps, un horodateur public, libre et gratuit tenu par des bénévoles, sans rien révéler de son contenu.
Tu pars quand tu veux, avec tout.
Tu exportes tout, à tout moment : une sauvegarde chiffrée (.carnet) que personne d’autre que toi ne peut rouvrir, et chaque dossier en PDF, ODT ou DOCX.
Le format .carnet, décrit publiquement
Carnet fonctionne aussi sans réseau : en cave, au chalet, dans une vallée sans couverture. Le serveur relaie tes appareils ; tes dossiers y passent chiffrés.
Serveur en Suisse.
Le serveur est loué chez Infomaniak (Genève), en Suisse. Tes dossiers n’y sont gardés que chiffrés.
Une copie de secours supplémentaire, chiffrée deux fois, est gardée hors site chez Proton (Genève), dont les serveurs sont en Suisse, en Allemagne ou en Norvège. Elle reste illisible pour Proton comme pour nous.
Si tu paies depuis l’étranger, le paiement passe par Paddle, notre revendeur. Paddle n’héberge pas tes dossiers.
Ce que le serveur enregistre, en clair.
Pas de patient là-dedans. Voici la liste, telle que décrite dans la politique de confidentialité.
- Un identifiant de compte opaque, sans lien avec ton nom ni celui d’un patient.
- Pour chaque envoi : la taille du bloc, l’appareil qui l’a envoyé et la cadence. Le type d’opération est neutralisé : le serveur voit seulement « op ».
- Deux compteurs qui font respecter les plafonds anti-abus : le nombre d’opérations et le volume stocké.
- Aucun journal d’accès. Ton adresse IP vit en mémoire vive, le temps d’appliquer la limite de débit, et n’est pas enregistrée. Seule exception : le service de récupération, plus bas.
- Les jours où ton journal a changé, pour l’horodatage d’intégrité. Jamais le contenu.
- Si tu souscris : ton courriel, ton nom, ton pays, la formule choisie, la version des conditions acceptée, sa langue et son empreinte. Ton adresse postale, si tu veux qu’elle figure sur le bulletin QR. Hors de Suisse, ta déclaration professionnelle (numéro d’inscription et autorité) et la langue de l’app.
- Le reçu de ton acceptation des conditions, ou de ton refus d’une nouvelle version.
- Des dates de suivi : première synchro, confirmation de l’abonnement, fin éventuelle et son motif choisi dans une liste fermée.
- Le compte qui a émis ton invitation, et si cette invitation est une relève.
- En relève : combien d’accès sont ouverts, et quand. Jamais qui. Un compte de plus pour la remplaçante, avec des blocs chiffrés.
- Si tu actives la récupération : des blocs inertes, ouvrables seulement en réunissant tes mots et une part conservée à part. Le numéro de téléphone que tu y enregistres. Et, à chaque usage de ce service, la date avec une empreinte de ton adresse IP.
- Hors de Suisse : Paddle recueille lui-même les données de paiement, pour son propre compte.
Ce que le chiffrement ne cache pas : qu’une synchro a eu lieu, quand, et la taille d’un bloc. Jamais le contenu médical, jamais les noms.
La politique de confidentialité, en entier
Les articles de loi, en clair
- Art. 321 CP
- La loi pénale suisse punit la violation du secret professionnel. C’est le tien.
- Art. 42 LAMal
- La loi sur l’assurance-maladie oblige à remettre à l’assureur une facture détaillée.
- AGPLv3
- Une licence de logiciel libre. Le code est public et chacun peut le lire.
- Clause 11.5
- La clause du contrat qui organise la continuité si l’éditeur disparaît.
Vérifie par toi-même : ouvre la démo.
Dix patients fictifs, aucune carte, rien à installer. Tes essais restent sur ton appareil.
Une question ? Écris à David.