Notice sur la confidentialité et les données de santé (pilote)
Cette notice explique simplement comment le portail patient Medx traite les comptes, dossiers médicaux sources et DICOM, résultats d’IA, consultations, coordination par le coordinateur de dossier et recherche d’essais cliniques. Les données de santé, génétiques et certaines données d’imagerie sont sensibles.
Date du projet: 2026-09-17 · Version: 2026-09-17-pilot.13
Entité responsable et périmètre
Ce pilote utilise « Noah Medical Link / Medx » comme nom de produit. La dénomination légale complète du responsable/exploitant, son numéro d’enregistrement, ses adresses, son responsable confidentialité et son téléphone restent à confirmer. La marque ne remplace pas ces mentions, obligatoires avant la production.
La notice couvre l’inscription patient, le dossier électronique, les sources, l’analyse et la chronologie par IA, la mise en relation et la consultation à distance, la coordination par le coordinateur de dossier et la recherche facultative d’essais. Médecins, hôpitaux, registres publics et sites tiers disposent de leurs propres règles.
Données traitées et sources
- Compte et identité : nom ou nom d’usage, e-mail ou téléphone, empreinte du mot de passe, état du compte, date d’inscription, session et versions des consentements ;
- Santé et sources : antécédents, symptômes, examens, biologie, prescriptions, génétique, pathologie, comptes rendus, DICOM originaux, questions et descriptions libres ;
- Données organisées et générées : texte extrait/OCR dans le navigateur, dossier structuré, chronologie, synthèses, pistes thérapeutiques, correspondances médecins/essais, rapports médicaux finaux et notes humaines ;
- Coordination : état du dossier, affectation, consultation écrite/vidéo, créneaux, lien de réunion, statut, contrôle qualité, autorisations et retraits ;
- Métadonnées de fichier et sécurité : nom, type, taille, SHA-256, heure d’envoi, IP/heure de requête, navigateur, erreurs nécessaires, prévention des abus et audit d’actions clés ;
- Les sources sont le patient, son représentant ou professionnel autorisé et les registres publics de médecins, hôpitaux ou essais. Les données indirectes restent limitées au but et aux droits d’accès applicables.
Finalités, données nécessaires et consentements séparés
Les finalités principales sont la création et la protection du compte, l’archivage et l’organisation des dossiers, la chronologie, l’analyse ou la consultation demandée, la coordination, l’assistance, le diagnostic technique, la prévention des abus et le respect des obligations applicables. Refuser une donnée nécessaire peut rendre la fonction indisponible ; partage médical, essais, imagerie distante et coordination internationale doivent rester des choix distincts.
Les données de santé sont sensibles. L’acceptation de cette notice à l’inscription ne remplace pas un consentement séparé exigé par la loi. Analyse IA, chronologie automatique, partage continu avec un médecin nommé, recherche d’essais et communication à un centre ou destinataire étranger doivent être expliqués et autorisés de manière vérifiable lorsque nécessaire.
Selon le pays et la finalité, la base peut relever du consentement, du contrat, des soins, d’une obligation légale ou d’un intérêt légitime. Chaque finalité doit être évaluée avant la production ; citer une loi ne signifie pas que Medx y est automatiquement conforme.
Loi chinoise sur la protection des informations personnelles ↗
Envoi, OCR dans le navigateur et chronologie automatique
L’extraction du texte des PDF et fichiers Word (.docx), ainsi que l’OCR chinois/anglais des PDF numérisés et images JPG/PNG, sont actuellement exécutés principalement dans le navigateur. Medx fournit le worker, le cœur d’exécution et les modèles linguistiques OCR depuis la même origine ; le fichier n’a donc pas à être transmis à un site OCR externe. Le texte et le fichier source ne sont envoyés au serveur qu’après confirmation de l’enregistrement. Tout recours futur à un OCR externe exigera une mise à jour du destinataire, du périmètre et de l’autorisation avant l’envoi.
Dans le pilote, chaque dossier enregistré transmet son titre et son contenu au modèle configuré afin d’extraire les dates et de générer une synthèse d’une phrase pour la chronologie. L’envoi crée aussi un dossier de suivi interne. Cette étape IA est liée à « enregistrer » ; la production doit offrir un choix clair séparé ou une voie locale sans modèle externe.
Une session d’envoi non rattachée expire normalement après 24 heures. La suppression physique finale dépend encore d’une tâche de nettoyage et de sa période de grâce ; la notice de production devra publier un délai maximal vérifiable.
IA et traitements automatisés
L’analyse générale peut envoyer au modèle le texte médical, l’âge, le sexe, la question du patient et le résultat d’imagerie. La chronologie envoie titre et contenu. L’extraction pour les essais utilise les dossiers courants, le dernier rapport, des synthèses et des extraits. Ces fonctions organisent et proposent des pistes ; elles ne posent pas seules un diagnostic, une prescription, une décision d’inclusion ou une décision finale importante.
Un modèle peut omettre, inventer ou reproduire des biais. Vous pouvez demander une révision humaine et contester un résultat. Medx ne doit pas s’appuyer uniquement sur l’automatisation pour refuser un service, différencier les prix ou prendre une décision médicale importante.
Medx n’utilise pas lui-même les dossiers pour entraîner un modèle général, faire du marketing ou de la recherche, sauf finalité future clairement expliquée et autorisée. La conservation, l’amélioration du service et les sous-traitants d’un fournisseur doivent être vérifiés dans le contrat et les réglages réels ; ce projet ne promet pas qu’un fournisseur ne conserve ou n’entraîne jamais.
Sources, DICOM et analyse d’imagerie
Les comptes rendus d’imagerie sont des documents ordinaires. Un DICOM original peut contenir, outre les pixels, nom, naissance, numéro d’examen, hôpital et appareil. Les ZIP sont reconditionnés : seules les instances DICOM lisibles et inchangées octet par octet sont conservées ; le ZIP original et les autres fichiers sont supprimés. La visionneuse DICOM lit l’original dans un espace privé après autorisation serveur.
L’ajout à la bibliothèque déclenche actuellement l’analyse des métadonnées et l’archivage côté serveur, sans envoi automatique des pixels à un modèle distant. Si un service distant est configuré pendant l’analyse IA, le fichier complet peut lui être transmis. L’évaluation de désidentification, la désignation du destinataire et l’autorisation séparée applicable sont requises avant la production.
Les sources servent à relier l’OCR, le dossier structuré et les rapports à leurs preuves. Consultation, téléchargement, partage et suppression doivent rester limités par la propriété, l’autorisation de consultation et le rôle professionnel.
Médecins, coordinateurs de dossier, consultations et qualité
Tout dossier envoyé crée actuellement un dossier de suivi interne. Pour la réception et le contrôle qualité, les coordinateurs de dossier autorisés voient dans la file non affectée le nom, le nombre de dossiers et l’état IA/consultation ; après affectation, ils traitent dossiers, notes, médecins et qualité selon leurs fonctions. La production devrait remplacer les noms avant affectation par une référence anonyme et un minimum de métadonnées.
La consultation traite la question, les dossiers partagés, le projet IA, le médecin, les créneaux, le lien, l’acceptation ou le refus et le rapport médical final. Le patient peut choisir directement un médecin ou demander uniquement une sélection par le coordinateur de dossier. Une proposition du coordinateur de dossier ne crée ni consultation, ni autorisation de dossier, ni accès médecin. La consultation et le périmètre de partage ne sont créés qu’après reconfirmation par le patient du médecin proposé, du format et des dossiers à partager. Le patient peut demander au coordinateur de dossier de révoquer les partages ultérieurs d’une consultation active ; l’accès du médecin prend fin lorsque le coordinateur de dossier exécute cette révocation. Cette notice ne remplace pas la preuve d’autorisation.
La page actuelle de contrôle du matériel WebRTC teste la caméra, le microphone et la connexion pair à pair dans le navigateur ; elle n’envoie ni n’enregistre l’audio ou la vidéo. Un véritable prestataire vidéo exigera une nouvelle information sur le routage, les destinataires, l’enregistrement et la durée.
Le système audite les téléchargements de sources, partages, autorisations et certaines vues/actions sensibles ; toutes les consultations de listes ne sont pas encore journalisées. La production doit compléter la couverture et ne pas prétendre que tout accès est déjà tracé.
Recherche facultative d’essais cliniques
La recherche est désactivée par défaut et ne démarre qu’après activation. Le pilote traite alors tous les dossiers courants du compte (jusqu’à 500) et le dernier rapport, et non seulement des dossiers cochés, pour extraire pathologie, stade, traitements et biomarqueurs. Des identifiants évidents sont retirés par règles, sans constituer une anonymisation.
La recherche API actuelle interroge ClinicalTrials.gov et n’envoie que les termes pathologiques et la zone choisie. Âge, sexe, stade, biomarqueurs et traitements servent surtout au classement interne. CDE/NMPA et ChiCTR sont aujourd’hui des liens de vérification humaine, pas une interrogation automatisée exhaustive.
Medx conserve version/heure du consentement, dossiers liés, instantané des critères, essais candidats, informations publiques PI/centres, recrutement, raisons, note patient et état du coordinateur de dossier. Le contact avec le coordinateur de dossier place le nom, l’essai et la note dans une file interne, sans envoi automatique au centre. Tout partage externe ultérieur doit être expliqué et autorisé à nouveau.
Prestataires, lieux de stockage et transferts internationaux
Medx utilise une base de données contrôlée et un stockage objet privé adaptés à l’environnement de déploiement pour les comptes, textes extraits, dossiers structurés, rapports, consultations, essais, audits, documents sources et images. Avant la mise en service, les régions, le chiffrement, la conservation et les droits d’accès de la base, du stockage objet et du modèle doivent être vérifiés dans l’environnement cloud, les consoles et les contrats réels, puis publiés ici comme informations confirmées.
La production devra maintenir une liste des sous-traitants/destinataires : base cloud, stockage objet, modèle, e-mail/SMS, vidéo réelle, imagerie et sécurité, avec nom, rôle, données, finalité, lieu, conservation et contact. Medx ne vend pas les données de santé et ne les utilise pas pour une publicité sans rapport, sauf pratique future spécifiquement expliquée et licitement autorisée.
Envoyer un dossier identifiable à un médecin, hôpital, modèle, service vidéo ou imagerie étranger peut constituer un transfert international. Avant activation, il faut préciser destinataire, pays, but, méthode, catégories, durée et droits, puis mettre en place l’analyse d’impact, le consentement séparé et le mécanisme légal applicables.
L’applicabilité du RGPD, de l’HDS française, de HIPAA ou d’un autre régime dépend de l’utilisateur, de l’exploitant, du ciblage, de la relation de soins et du contrat. Cette page ne revendique aucune certification. Si Medx traite des PHI pour une entité américaine soumise à HIPAA, un BAA applicable et les contrôles correspondants seront requis.
Chine : règles sur les flux transfrontaliers ↗
Cookies et stockage du navigateur
La connexion utilise un cookie de session HttpOnly nécessaire. Le cookie patient peut durer jusqu’à 30 jours, mais la session serveur expire après 24 heures d’inactivité. SameSite=Lax est appliqué et Secure est activé en production HTTPS.
localStorage ne conserve actuellement que la préférence de langue. La version actuelle n’enregistre ni ne lit les résultats complets d’analyse IA dans localStorage ou sessionStorage ; les rapports doivent être récupérés par l’API serveur pour le patient actuellement connecté. L’application continue de supprimer les caches d’analyse éventuellement laissés par une ancienne version après une connexion, une inscription ou une déconnexion réussie, ou lorsqu’elle constate l’absence de session active. Si la déconnexion échoue, elle avertit que la session peut rester active. Sur un appareil partagé, vérifiez la réussite de la déconnexion et fermez l’onglet après utilisation.
Le code actuel ne contient pas de script publicitaire ou de profilage comportemental. Avant tout cookie non nécessaire, suivi ou marketing, la notice devra être actualisée avec des commandes d’acceptation, refus et retrait aussi faciles là où la loi l’exige.
Conservation, archivage et suppression
Tant que le compte est actif, le pilote conserve les sources confirmées, textes extraits, dossiers structurés, chronologies, rapports IA, consultations et essais. Les envois temporaires expirent normalement après 24 heures ; journaux, audits, sauvegardes et nettoyage suivent d’autres cycles. La production doit publier une durée ou règle calculable pour chaque catégorie.
Après demande de suppression ou retrait, les traitements et partages futurs doivent cesser. Les données déjà traitées licitement, utilisées pour un avis médical, nécessaires à un litige/audit ou encore dans la rotation des sauvegardes peuvent être restreintes et supprimées plus tard. Medx ne promet pas une suppression immédiate de chaque sauvegarde.
Sécurité et réponse aux incidents
Les mesures actuelles comprennent empreinte des mots de passe, sessions serveur, stockage objet privé, contrôles de rôle/propriété, moindre privilège, empreinte d’intégrité, chiffrement du transport configuré et audit d’actions clés. Le modèle de production exige HTTPS, TLS RDS et OSS privé ; chiffrement de la base au repos, clés, restauration, réglages fournisseurs et procédures du personnel restent à vérifier dans le déploiement réel.
Aucun système n’est absolument sûr. En cas de fuite, altération, perte ou accès indu, Medx doit contenir et analyser, préserver les preuves et informer autorités et personnes concernées selon la loi, avec catégories, risques, mesures et canal de contact.
Vos droits et la demande
Selon la loi applicable, vous pouvez demander information, accès, copie/export, rectification, complément, suppression, limitation ou opposition ; retirer un consentement pour l’avenir ; fermer le compte ; obtenir une explication de l’automatisation ; demander une révision humaine et saisir une autorité. Le retrait n’annule pas un traitement antérieur licite et peut rendre une fonction indisponible.
Le pilote n’offre pas encore tous les contrôles autonomes d’export, suppression et retrait. Écrivez pour l’instant à support@noahmedx.com avec l’objet « Demande confidentialité » ; l’identité doit être vérifiée. Cette adresse est aussi l’assistance générale. Avant production, Medx doit la valider et publier le responsable, le délai, le recours et les autorités compétentes.
Mineurs, représentants et modifications
En Chine, les données d’un enfant de moins de 14 ans sont sensibles et nécessitent consentement du responsable légal et règles dédiées ; d’autres pays retiennent d’autres seuils. Le pilote ne vérifie pas encore âge, tutelle et autorisation enfant : un mineur ne doit donc pas s’inscrire seul ni envoyer de vrais dossiers. Tout représentant doit avoir l’autorité légale.
Si finalités, méthodes, catégories, prestataires, lieux, durées ou canaux de droits changent substantiellement, Medx modifiera version/date, informera clairement et renouvellera le consentement si nécessaire. La vérification obligatoire que les anciens utilisateurs ont accepté la dernière version n’est pas encore mise en œuvre.
Les points en attente doivent être vérifiés par le produit, la sécurité et un conseil qualifié dans chaque pays. Une notice générale ne remplace pas l’information d’un établissement, le consentement à la recherche, une information séparée de transfert ou un HIPAA Notice of Privacy Practices lorsqu’il est requis.