Ce qu’on fait de vos données,
et ce qu’on n’en fait pas.

En deux mots

• Les données de vos patients relèvent de votre cabinet, qui en est responsable. Novidel les héberge et les protège ; il n’en fait rien d’autre.
• Elles sont hébergées en France chez Scalingo, hébergeur certifié pour les données de santé (HDS). Leurs éléments les plus sensibles (identité, notes, commentaires, constantes, documents, messages) sont en outre chiffrés avec une clé propre à votre cabinet.
• Les données de santé ne sont traitées que dans l’Union européenne ou dans un État de l’AELE. Elles ne sont ni transférées ni consultées ailleurs.
• Rien n’est vendu, rien n’est revendu, rien n’est utilisé pour de la publicité.
• L’application n’a aucun traceur ; ce site ne compte ses visites (Google Analytics) que si vous l’acceptez.

Qui est responsable de quoi

Les données de vos patients. C’est votre cabinet qui en est responsable : c’est lui qui décide de les collecter, dans le cadre de la prise en charge des soins. Novidel est son sous-traitant au sens du RGPD : il ne traite ces données que sur instruction du cabinet, pour faire fonctionner l’outil, et jamais pour son propre compte. L’accord de sous-traitance le détaille.

Les données des comptes. Pour l’adresse, le nom et les réglages des infirmières qui utilisent Novidel, c’est l’éditeur de Novidel qui est responsable : il en a besoin pour fournir le service.

L’éditeur. Novidel est édité par Antoine ISIDORE, entrepreneur individuel (SIREN 790 542 187), 94 avenue Frédéric Mistral, 83260 La Crau, France. Contact : bonjour@novidel.fr.

Ce qui est traité

Pour les patients : nom, prénom, adresse et précision d’accès (et, si une infirmière l’a posé devant la porte, le point exact de l’entrée, chiffré comme l’identité), téléphones, personne de l’entourage, médecin traitant ; ce que l’équipe signale « à savoir » (une allergie, un anticoagulant, l’oxygène, un risque de chute, où est la clé, un animal, une audition faible) ; les soins prévus et leur rythme, la date du dernier bilan ; ce qui a été fait ou non, et pourquoi ; les commentaires laissés par les infirmières ; les constantes ; les notes de relève dictées ; les messages de l’équipe qui le concernent ; et les documents que vous ajoutez (ordonnance, carte Vitale, mutuelle, photos d’un soin).

Les numéros de la mutuelle : numéro AMC, numéro d’adhérent, type de convention, CSR et fin de validité, que l’infirmière recopie dans son logiciel de facturation. Ils sont lus sur la carte de mutuelle, ou saisis à la main, et chiffrés comme l’identité. Le numéro d’adhérent est parfois le numéro de sécurité sociale du patient : il est alors gardé tel quel, chiffré de la même façon. C’est le seul champ de Novidel qui puisse le contenir ; il figure aussi sur une carte Vitale photographiée.

Reconnaître un document : pour ranger une photo (ordonnance, carte Vitale, mutuelle) et en tirer les numéros de la mutuelle, l’application lit la photo sur le téléphone et n’envoie que le texte lu ; sur le web, la photo est lue par le serveur, en mémoire. Rien n’est gardé du texte lu, et aucun service extérieur n’y participe.

La messagerie du cabinet : les messages et les photos que les infirmières du cabinet échangent, dans « L’équipe » ou à deux, rattachés ou non à un patient ; qui les a écrits, quand, et qui les a lus (les prénoms, sans l’heure). Le texte, le nom du patient rattaché et les photos sont chiffrés avec la clé du cabinet. Elle ne sert qu’entre les infirmières du cabinet : jamais avec un patient ni avec un autre professionnel.

Par un formulaire de soin : quand une infirmière du cabinet envoie ce lien à une personne (depuis son propre téléphone : Novidel n’écrit jamais au patient), celle-ci — ou un proche — y donne ce que le cabinet a demandé : nom, prénom, adresse et précision d’accès, téléphone (et, pour un proche, son nom, son lien et son téléphone), le soin demandé et la date souhaitée, le nom du médecin traitant, et la photo ou le PDF de l’ordonnance, de la carte Vitale ou de l’attestation de droits, de la carte de mutuelle. Les photos sont réduites et débarrassées de leurs métadonnées (dont la position). Tout est chiffré avec la clé du cabinet dès l’arrivée. Le formulaire ne demande jamais une date de naissance, un numéro de sécurité sociale ou une pièce d’identité. La page du formulaire est au nom du cabinet, ne charge rien d’ailleurs et ne remontre jamais ce qui a été envoyé ; celle d’une nouvelle ordonnance ne dit pas le nom du patient.

Pour les infirmières : nom, prénom, initiales, adresse électronique, mot de passe (jamais en clair : seule une empreinte est conservée), rôle dans le cabinet, appareils utilisés (type, système, navigateur, version de l’application), préférences de rappel, la version des conditions d’utilisation acceptée et sa date. Pour un contrat de remplacement : civilité, numéro ordinal, numéro RPPS, numéro de téléphone vérifié (le code de signature y est envoyé) et les pièces déposées (assurance, autorisation de remplacement). Si le relevé kilométrique est activé : l’adresse du domicile et la puissance fiscale du véhicule. Si vous entrez avec Apple ou Google : l’identifiant que ce compte donne à Novidel, l’adresse qu’il transmet (Apple peut la masquer) et votre nom ; pour Apple, un jeton chiffré, qui sert à retirer le lien chez Apple quand vous supprimez votre compte.

Pour le fonctionnement : un journal des accès et des actions (qui a fait quoi, quand, et qui a ouvert quelle fiche) ; le registre des interventions de l’éditeur sur les serveurs ; et le fil technique joint à un signalement de problème, qui ne contient que des événements et des nombres, jamais le contenu de ce qui est affiché.

L’aide de l’application : si vous posez une question dans l’aide (le « ? » de chaque écran), et seulement après l’avoir accepté, la question, l’écran ouvert et votre rôle (titulaire ou remplaçante). Avant l’envoi, Novidel retire de la question les noms, les rues et les numéros des patients de votre cabinet, et tout numéro de téléphone ou adresse électronique : aucune donnée de patient ne part. Pour améliorer le guide, Novidel garde la question telle qu’elle est partie (sans ces noms), avec l’écran, votre rôle, si le guide a répondu et si la réponse vous a été utile : détachée de votre compte et de votre cabinet dès le lendemain, effacée au bout de 90 jours.

Pour les visiteurs de ce site, s’ils l’acceptent : les pages vues, la page d’où ils arrivent, le type d’appareil et de navigateur, et une localisation approximative (la ville), rattachés à un identifiant aléatoire. Rien de l’espace de travail ni de l’application n’y figure.

Pourquoi, et sur quelle base

• Organiser les tournées — pour le cabinet : son intérêt légitime à organiser les soins (article 6.1.f du RGPD) ; prise en charge par un professionnel de santé tenu au secret (article 9.2.h).
• Consigner les soins et les transmettre au sein de l’équipe, messagerie du cabinet comprise — pour le cabinet : l’obligation légale de tenir le dossier de soins infirmiers (article 6.1.c) ; article 9.2.h.
• Préparer la facturation (les numéros de la mutuelle, à recopier dans le logiciel de facturation du cabinet) — pour le cabinet : son intérêt légitime à faire prendre en charge les soins (article 6.1.f) ; article 9.2.h.
• Fournir le service aux infirmières (comptes, accès, rappels, contrats de remplacement) — pour l’éditeur : exécution du contrat.
• Sécurité et traçabilité (journal des accès, registre des interventions) — pour l’éditeur : son intérêt légitime à sécuriser le service ; pour les accès aux données des patients, journal tenu pour le compte du cabinet.
• Répondre à un signalement — exécution du contrat.
• Répondre à une question posée dans l’aide — votre consentement, donné avant la première question et que vous pouvez retirer à tout moment (« Retirer mon accord », dans l’aide).
• Améliorer le guide à partir des questions posées à l’aide, gardées sans nom — l’intérêt légitime de l’éditeur à expliquer ce que le guide n’explique pas encore.
• Mesurer l’audience de ce site (Google Analytics) — votre consentement, que vous pouvez retirer à tout moment.

Aucune donnée n’est utilisée pour de la prospection, du profilage ou de la publicité. Il n’y a pas de décision automatisée.

Qui y a accès

• La titulaire du cabinet : sa patientèle, qu’elle seule crée et modifie. Elle lit aussi le journal du cabinet.
• Les remplaçantes du cabinet : ce qu’il leur faut pour travailler ; elles inscrivent ce qu’elles ont fait.
• Un formulaire de soin : l’infirmière qui l’a envoyé et les titulaires du cabinet, seulement ; seule une titulaire en fait une fiche.
• La messagerie : « L’équipe », les membres du cabinet qui y travaillent (une remplaçante, depuis le début de son accès ; ce qui est rattaché à un patient, comme sa fiche) ; une conversation à deux, ses deux participantes. Personne d’autre, et jamais l’éditeur, même sous un accès de support.
• Les autres cabinets : rien. Chaque cabinet a sa clé, et le serveur refuse toute requête qui ne nomme pas le sien.
• L’éditeur : rien, sauf si la titulaire lui ouvre un accès de support. Elle choisit ce que cet accès ouvre (« Réglages », « Lecture » ou « Contrôle total ») et pour combien de temps, et elle peut le reprendre quand elle veut. Son entrée, sa sortie, chaque fiche qu’il ouvre et chacun de ses gestes sont inscrits au journal du cabinet.

L’éditeur administre la plateforme où les clés de chiffrement sont gérées, sans accès permanent à la base. Il y déploie les mises à jour et y lance des tâches techniques sur des cabinets inventés, aidé d’un assistant de développement fondé sur l’intelligence artificielle, sans jamais afficher une donnée de patient ; chaque intervention est inscrite au registre que le cabinet consulte dans Novidel. Cette garantie repose donc sur son engagement contractuel, sur son obligation de confidentialité et sur la traçabilité de ce qu’il fait.

Les prestataires

La liste est courte, et elle est entière.

• Scalingo SAS (Strasbourg) — hébergement, certifié HDS, sur l’infrastructure d’Outscale SAS. Il reçoit toutes les données de Novidel. France.
• Mistral AI (Paris) — transcription d’une note dictée sur Android ou sur le web, et d’un message dicté sur Android (l’iPhone les transcrit lui-même). Il reçoit la voix de la note et, pour bien écrire les noms, la liste des noms et prénoms des patients du jour (cent mots au plus, sans rien qui les relie à un soin) ; il ne conserve ni l’une ni l’autre. Union européenne ou AELE (point d’accès européen).
• Anthropic — l’aide de l’application, quand vous posez une question, et seulement si vous l’avez accepté. Il reçoit la question dont Novidel a retiré les noms, les rues et les numéros de vos patients, l’écran ouvert, votre rôle et le guide de Novidel, qui est public ; jamais une donnée de patient, ni votre nom, votre adresse ou votre planning. Il efface ces échanges sous 30 jours (sauf un abus de son service, qu’il peut garder plus longtemps) et ne s’en sert pas pour entraîner ses modèles. États-Unis ; accord de traitement avec clauses contractuelles types.
• IGN — Géoplateforme (service public français) — distances et temps de trajet : l’heure affichée sur la tournée, et le relevé kilométrique. Il reçoit une adresse, sans aucun nom, puis des coordonnées. France.
• Resend — envoi des courriels (invitation, mot de passe oublié, rappel). Il reçoit l’adresse et le courriel ; jamais une donnée de patient. États-Unis ; certifié Data Privacy Framework, accord de traitement avec clauses contractuelles types.
• OVH SAS (Roubaix) — envoi du code SMS qui signe un contrat de remplacement. Il reçoit le numéro de l’infirmière et le code ; jamais une donnée de patient. France.
• Apple et Google — acheminement des notifications : elles ne portent jamais une donnée de patient (un nombre, un jour, et pour un message le prénom de l’infirmière qui l’a écrit). Et, si vous choisissez « Continuer avec Apple » ou « Continuer avec Google », la confirmation de votre identité : ils apprennent seulement que vous utilisez Novidel, jamais une donnée de patient.
• Agence du numérique en santé — Annuaire santé (service public français) — remplir les fiches d’après un numéro RPPS, et trouver le médecin traitant d’un patient : il reçoit un numéro RPPS ou le nom d’un médecin, jamais un patient. France.
• Google Ireland — mesure d’audience de ce site (Google Analytics), seulement si vous l’acceptez. Elle ne voit rien de l’espace de travail ni de l’application, et ne sert jamais à de la publicité.

Combien de temps

• La durée choisie par la titulaire, sans valeur par défaut — les passages, les comptes rendus et les constantes. Rien ne s’efface sans un export confirmé.
• 30 jours — les notes de relève, la voix comme le texte.
• 90 jours — les messages de la messagerie du cabinet et leurs photos (ce qui doit rester se range sur la fiche ou dans le compte rendu) ; la copie d’un courriel envoyé par Novidel (son lien personnel masqué), un signalement de problème, et les questions posées à l’aide, sans les noms de vos patients et détachées de votre compte dès le lendemain.
• 180 jours — un appareil qui ne s’est plus connecté.
• 3 ans — le journal des accès et des actions, pour pouvoir dire à un patient qui a ouvert son dossier et pour détecter un accès indu ; le registre des interventions.
• Le formulaire de soin — 7 jours pour son lien : ce qui n’a pas été envoyé s’efface quand il expire (seuls le numéro et la note de l’infirmière restent deux semaines, pour en renvoyer un) ; 30 jours pour un formulaire reçu dont la fiche n’a pas été créée ; effacé aussitôt si le cabinet le refuse ou l’annule. Quand la fiche est créée, ce qu’il contient passe sur elle.
• Le temps du suivi — la fiche d’un patient, tant que le cabinet le suit ; elle s’efface quand il la supprime.
• Le temps du compte — les données d’une infirmière. Supprimer son compte les efface ; les soins qu’elle a déclarés restent dans le dossier du cabinet, sous « Infirmière retirée ». Un contrat de remplacement signé est gardé 7 ans.
• 7 jours — les sauvegardes automatiques chez l’hébergeur. Les sauvegardes faites avant une mise à jour sont gardées sans limite de durée, en nombre limité : les plus anciennes sont remplacées par les nouvelles.
• 14 mois — les statistiques de visite de ce site, si vous les avez acceptées ; 13 mois au plus pour leurs cookies. Votre choix, accepté ou refusé, est redemandé au bout de six mois.

Ce qui reste au-delà : qui travaillait chaque demi-journée, et l’ordre en vigueur de chaque tournée. Rien de cela ne nomme un patient.

Où sont les données

Sur des serveurs situés en France, et sauvegardées en France. La transcription des notes dictées a lieu dans l’Union européenne ou dans un État de l’AELE. Aucun transfert hors de ces pays n’est effectué pour les données de santé.

Certains prestataires ont leur siège hors de l’Union : ceux qui acheminent les courriels et les notifications, et celui qui mesure l’audience du site. Aucun ne reçoit une donnée de patient : un courriel n’en porte jamais, une notification ne nomme jamais un patient. Les transferts qui en résultent concernent des données d’infirmières ou de visiteurs ; ils reposent sur la décision d’adéquation du 10 juillet 2023 (Data Privacy Framework) pour les prestataires certifiés et, à défaut, sur des clauses contractuelles types.

La sécurité

• L’identité, ce qui est « à savoir », les numéros de la mutuelle, les documents, les photographies, les notes, les commentaires, les constantes et les messages sont chiffrés (AES-256-GCM), avec une clé propre à chaque cabinet qui ne quitte jamais le serveur.
• Connexion par mot de passe personnel, par clé d’accès, ou par un compte Apple ou Google (Novidel n’en reçoit qu’un identifiant, l’adresse et le nom) ; Face ID ou l’empreinte déverrouillent l’application.
• Tout le trafic passe en HTTPS.
• Les sauvegardes chez l’hébergeur sont vérifiées chaque jour, et leur restauration est testée.
• Le journal des accès ne peut être vidé depuis aucun écran.

Aucun système n’est infaillible.

• Une violation touchant les données des patients : l’éditeur prévient le cabinet dans les 48 heures. Il revient au cabinet de notifier la CNIL dans les 72 heures et, si nécessaire, d’informer ses patients, avec l’aide de l’éditeur.
• Une violation touchant les données des infirmières : l’éditeur notifie la CNIL dans les 72 heures lorsque la loi l’exige, et prévient les personnes concernées si le risque est élevé.

Cookies

Ce site ne pose aucun cookie sans votre accord. À votre première visite, il vous demande si vous acceptez la mesure d’audience :

• Si vous acceptez, Google Analytics pose deux cookies (_ga et _ga_…), gardés 13 mois au plus. Ils comptent les visites et ne servent jamais à de la publicité.
• Si vous refusez, rien n’est posé et rien ne part chez Google. Refuser ne change rien à ce que vous pouvez lire ici.
• Votre choix est retenu six mois sur cet appareil, puis redemandé. Vous pouvez le changer à tout moment, par le lien « Cookies » en bas de chaque page, ou ici :

Changer mon choix

L’application et l’espace de travail n’ont aucun traqueur. L’espace de travail pose seulement des cookies nécessaires au service ou à vos préférences : celui qui vous garde connectée, celui qui reconnaît votre appareil, la lumière choisie (clair ou sombre), « Tout voir ensemble » quand vous travaillez dans plusieurs cabinets, le bandeau des applications refermé, et le téléphone choisi dans le guide. Aucun ne mesure quoi que ce soit, ni ne suit personne.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.

Vous êtes infirmière ? Écrivez à bonjour@novidel.fr, ou par courrier à l’adresse de l’éditeur indiquée plus haut.

Vous êtes patient ? Adressez-vous à votre cabinet infirmier : c’est lui qui détient votre dossier et qui répond. Vous pouvez notamment vous opposer à l’échange et au partage de vos informations au sein de l’équipe de soins, et à l’hébergement de vos données pour un motif légitime. Le cabinet peut vous dire qui a ouvert votre fiche dans Novidel. Novidel l’assiste techniquement.

Délégué à la protection des données

L’éditeur n’a pas, à ce jour, désigné de délégué à la protection des données. Il en désignera un lorsque le volume des données traitées l’exigera, et ses coordonnées figureront ici.

Réclamation

Si une réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.

Modifications

Cette politique peut évoluer. Tout changement significatif est annoncé dans l’application avant d’entrer en vigueur.