Senno gère le travail quotidien entre cabinets dentaires et laboratoires. Il détient des données de santé de patients : la sécurité n’est donc pas une couche ajoutée, c’est la façon dont chaque donnée, chaque clé et chaque version sont construites.
RGPD dès la conception
Senno traite des données de santé pour des cabinets et des laboratoires, qui gardent la maîtrise des données de leurs patients. Pour chaque droit et chaque obligation du RGPD, le produit apporte une réponse qui fonctionne, prête à être montrée à un patient ou à une autorité de contrôle.
Les données de santé sont une catégorie particulière au sens du RGPD. Avant chaque interaction avec l’assistant IA de Senno, le consentement explicite du patient est vérifié. Sans lui, l’assistant ne traite pas ses données, et le patient peut retirer son consentement à tout moment.
Les patients exportent eux-mêmes leurs données, dans un format portable, sans déposer de demande ni attendre le cabinet.
Une correction est une nouvelle version, attribuée. Le dossier devient exact et la trace de qui a changé quoi, et quand, reste complète.
Détruire la clé personnelle d’un patient rend ses données illisibles partout à la fois, y compris dans les sauvegardes. L’effacement lui-même reste consigné comme preuve.
L’IA lit un texte dont les noms et les coordonnées sont remplacés par des pseudonymes. Les messages restent retenus tant qu’une personne n’autorise pas l’envoi. Chaque membre de l’équipe ne voit que ce que son rôle exige.
Chiffrement AES-256-GCM par patient, isolation de chaque organisation dans la base de données, sauvegardes chiffrées hors site avec restaurations testées, et plus de 16 500 tests automatiques avant chaque version.
Un journal d’audit chaîné par empreintes montre qui a fait quoi et quand, scellé par des points de contrôle signés. Les cabinets peuvent démontrer leur traitement à une autorité de contrôle.
Les cabinets et les laboratoires décident ; Senno traite pour leur compte. Les données de chaque organisation sont cloisonnées vis-à-vis de toutes les autres dans la base de données elle-même.
Comment l’API est protégée
Une personne dans le navigateur, une intégration partenaire et l’assistant IA de Senno atteignent tous la même API. Chacun prouve son identité à sa manière, puis chaque requête passe par le même contrôle des capacités, le même périmètre d’organisation et la même sécurité au niveau des lignes dans la base de données.
Trois appelants, une seule porte. Quel que soit l’accès, une requête aboutit au même contrôle des capacités, au même périmètre d’organisation et à la même sécurité au niveau des lignes.
Une personne du cabinet ou du laboratoire se connecte une fois par authentification unique. L’accès dure une heure et se renouvelle discrètement ; des codes à deux facteurs peuvent être exigés par personne.
Les intégrations utilisent un jeton à périmètre limité, créé pour une seule tâche. Senno n’en conserve que l’empreinte, il expire de lui-même et peut être révoqué à tout moment.
L’assistant agit pour la personne connectée, avec des outils qui ne renvoient jamais de noms ni de coordonnées. Ce qu’il écrit reste une proposition tant que cette personne ne signe pas.
Jetons et identifiants
Chaque accès à Senno a son propre type d’identifiant, conçu pour une seule tâche. Chacun est lié à une organisation et à des capacités nommées : un identifiant qui fuit n’ouvre donc qu’une porte étroite pour peu de temps, et il peut être fermé aussitôt.
Principes de sécurité appliqués aujourd’hui
Une vérification automatique garde chacun des principes ci-dessous. Si une modification en brise un, cette modification n’est pas livrée.
Chaque table impose la sécurité au niveau des lignes, même pour le propriétaire de la table. L’application s’exécute avec un rôle sans droits de superutilisateur, et chaque transaction déclare pour quelle organisation elle agit.
Garde : une nouvelle table sans sécurité au niveau des lignes forcée fait échouer la construction.
Les notes cliniques et les champs d’identité sont chiffrés en AES-256-GCM. Chaque patient a sa propre clé de données, enveloppée par une clé maîtresse conservée hors des sauvegardes.
Garde : chaque patient est créé avec une clé.
Le droit à l’oubli est cryptographique : détruire la clé d’un patient rend ses données illisibles dans la base de données et dans toutes les sauvegardes, tandis que la trace d’audit de l’effacement subsiste.
Irréversible par conception, prévisualisé avant exécution.
Chaque enregistrement d’audit porte l’empreinte du précédent, scellée par des points de contrôle signés. Les historiques ne peuvent être ni modifiés ni supprimés : une correction est un nouvel enregistrement d’annulation.
Des déclencheurs de la base de données refusent UPDATE et DELETE sur les historiques.
Les personnes se connectent par authentification unique, avec des codes à deux facteurs facultatifs. Ce que chacune peut faire découle de capacités explicites par rôle, jamais du fait d’être dans un réseau.
Garde : chaque route nomme la capacité dont elle a besoin.
L’automatisation agit par des jetons personnels qui vivent 24 heures au plus, sont conservés uniquement sous forme d’empreinte, peuvent être révoqués aussitôt et ne peuvent jamais en créer d’autres.
Une règle de la base de données plafonne la durée à 24 heures.
L’assistant lit et suggère. Les notes, les messages et les actions financières restent des propositions tant qu’une personne ne les accepte pas. Le texte parvient au modèle avec les noms et les coordonnées remplacés.
Les outils de l’assistant ne renvoient jamais de nom, de téléphone ni d’adresse.
Les SMS et les e-mails restent retenus tant qu’une personne n’a pas ouvert la porte pour cette organisation. Sans décision explicite, la porte est fermée.
Fermé par défaut : pas de ligne, pas d’envoi.
Plus de 16 500 tests automatiques s’exécutent à chaque lot de version. Beaucoup lisent le code lui-même pour repérer un périmètre manquant, un secret exposé ou une route non contrôlée. Les nouveaux contrôles sont prouvés en cassant le code exprès.
Les secrets ne sont jamais dans le dépôt, et un test le garantit.
Les bases de données et les fichiers sont sauvegardés chaque jour. Les copies ne quittent le serveur que chiffrées, et des exercices de restauration ont lieu selon un calendrier. La clé maîtresse n’est jamais dans une sauvegarde.
Les versions sont vérifiées sur le service en production après chaque déploiement.
Carte de conformité
Ces trois choses sont différentes. Le RGPD est la loi sous laquelle nous travaillons. SOC 2 est un rapport d’audit sur les contrôles d’un service. ISO/IEC 27001 certifie la manière dont une organisation gère la sécurité. Aucune ne certifie un logiciel. Choisissez un référentiel et un principe pour voir où tombe chaque contrôle.
Chaque table impose la sécurité au niveau des lignes, même pour le propriétaire de la table. L’application s’exécute avec un rôle sans droits de superutilisateur, et chaque transaction déclare pour quelle organisation elle agit.
Les notes cliniques et les champs d’identité sont chiffrés en AES-256-GCM. Chaque patient a sa propre clé de données, enveloppée par une clé maîtresse conservée hors des sauvegardes.
Le droit à l’oubli est cryptographique : détruire la clé d’un patient rend ses données illisibles dans la base de données et dans toutes les sauvegardes, tandis que la trace d’audit de l’effacement subsiste.
Chaque enregistrement d’audit porte l’empreinte du précédent, scellée par des points de contrôle signés. Les historiques ne peuvent être ni modifiés ni supprimés : une correction est un nouvel enregistrement d’annulation.
Les personnes se connectent par authentification unique, avec des codes à deux facteurs facultatifs. Ce que chacune peut faire découle de capacités explicites par rôle, jamais du fait d’être dans un réseau.
L’automatisation agit par des jetons personnels qui vivent 24 heures au plus, sont conservés uniquement sous forme d’empreinte, peuvent être révoqués aussitôt et ne peuvent jamais en créer d’autres.
L’assistant lit et suggère. Les notes, les messages et les actions financières restent des propositions tant qu’une personne ne les accepte pas. Le texte parvient au modèle avec les noms et les coordonnées remplacés.
Les SMS et les e-mails restent retenus tant qu’une personne n’a pas ouvert la porte pour cette organisation. Sans décision explicite, la porte est fermée.
Plus de 16 500 tests automatiques s’exécutent à chaque lot de version. Beaucoup lisent le code lui-même pour repérer un périmètre manquant, un secret exposé ou une route non contrôlée. Les nouveaux contrôles sont prouvés en cassant le code exprès.
Les bases de données et les fichiers sont sauvegardés chaque jour. Les copies ne quittent le serveur que chiffrées, et des exercices de restauration ont lieu selon un calendrier. La clé maîtresse n’est jamais dans une sauvegarde.
Senno agit comme sous-traitant pour des cabinets et des laboratoires, qui restent responsables du traitement des données de leurs patients. Les numéros d’article renvoient au règlement (UE) 2016/679.
SOC 2 est un rapport d’un auditeur indépendant sur les contrôles d’un service au regard des critères des services de confiance. Les codes renvoient aux critères de 2017. Senno n’a pas encore de rapport SOC 2.
ISO/IEC 27001 certifie le management de la sécurité d’une organisation pour un périmètre défini, ici la plateforme Senno. Les codes renvoient à l’annexe A de l’édition 2022. Senno n’est pas encore certifié.
Données de santé
Les notes cliniques et les champs d’identité sont chiffrés en AES-256-GCM avec une clé qui appartient à un seul patient. Cette clé est elle-même chiffrée par une clé maîtresse conservée hors des sauvegardes. Quand un patient demande à être oublié, Senno détruit sa clé : les données deviennent illisibles partout à la fois, y compris dans les anciennes sauvegardes. La trace d’audit de l’effacement subsiste.
Données de démonstration. Dans Senno, l’effacement est d’abord prévisualisé et ne peut pas être annulé.Les données sont toujours là, mais plus personne ne peut les lire, ni dans la base de données ni dans aucune sauvegarde.
Une IA sous contrôle humain
L’assistant de Senno lit et propose. Chaque note clinique, message ou action financière qu’il suggère reste une proposition tant qu’une personne ne l’accepte pas. Les noms et les coordonnées du texte sont remplacés par des pseudonymes avant que le modèle ne les lise, et les outils de l’assistant ne renvoient jamais de nom, de téléphone ni d’adresse.
Avant toute interaction avec l’assistant, Senno vérifie le consentement explicite du patient. Les notes vocales et les fichiers qu’un patient choisit d’envoyer ne sont traités que sous ce consentement.
Un audit inviolable
Chaque enregistrement d’audit porte l’empreinte du précédent, et des points de contrôle signés scellent la chaîne. Changez un octet dans le passé et tous les enregistrements suivants cessent de correspondre. Les historiques sont en ajout seul : une correction est un nouvel enregistrement qui annule l’ancien.
Où nous en sommes, sans détour
Senno n’a pas encore fait l’objet d’un audit SOC 2 ni d’une certification ISO/IEC 27001. Nous publions ce qui est fait et ce qui vient ensuite, et les partenaires peuvent suivre chaque point ouvert dans l’espace partenaires.
Nous partageons le dossier de sécurité, la liste des sous-traitants ultérieurs et le suivi des points ouverts avec les cabinets, les laboratoires et les partenaires, sous NDA.