Données et sécurité

L'audio est capturé dans le navigateur, sur le poste du radiologue. Il est conservé sous forme de fragments en mémoire pendant la dictée, puis envoyé en une requête HTTPS à la route serveur /api/transcribe-audio, qui exige une session authentifiée. Cette route vérifie le type et la taille du fichier, appelle le fournisseur de reconnaissance vocale, renvoie le texte et n'écrit ni l'audio ni le texte en base, dans un fichier ou dans ses journaux : aucun espace de stockage de fichiers n'existe dans le projet.

La transcription est réalisée par un modèle OpenAI de reconnaissance vocale, appelé via une passerelle IA managée, avec un appel direct à OpenAI en repli.

En cas d'erreur, d'interruption réseau ou de refus du fournisseur, la requête est abandonnée : aucun contenu n'est enregistré et seul un code d'erreur technique est retourné à l'interface.

Le texte transcrit transite par le serveur Voxante — qui porte la clé d'accès au fournisseur — puis revient au navigateur dans la réponse de la requête. Il n'est enregistré nulle part avant que vous ne validiez et n'enregistriez un compte rendu.

Les journaux techniques de la route de transcription ne contiennent ni l'audio ni le texte : seulement des codes d'erreur. En revanche, un message d'erreur applicatif inattendu remonte au système de rapport d'erreurs de la plateforme d'hébergement ; le contenu et la durée de conservation de ces journaux ne sont pas documentés à ce jour.

Détecteur d'identifiants

Un détecteur s'exécute dans le navigateur, sur le texte, avant validation. Il recherche des motifs : dates de naissance, numéros de téléphone, adresses e-mail, numéros de dossier, identifiants de santé, adresses postales et noms précédés d'une civilité. Lorsqu'un motif est trouvé, la validation et l'enregistrement sont bloqués tant que l'alerte n'est pas corrigée ou explicitement écartée par le radiologue.

Ce détecteur repose sur des motifs. Il peut manquer un identifiant écrit sous une forme inhabituelle et signaler à tort un texte clinique. Ce n'est pas une anonymisation : il ne rend pas les données non identifiantes et n'est pas infaillible. La saisie d'identités de patients dans Voxante n'est pas prévue.

Le texte dicté est transmis dans son intégralité, accompagné du contexte d'examen, à un modèle de rédaction (Google Gemini) via une passerelle IA managée. Il n'est pas possible de structurer un compte rendu à partir d'un extrait sans en altérer le sens.

Le traitement appliqué avant l'envoi est un filtrage d'identifiants, pas une anonymisation : le texte est bloqué lorsqu'un identifiant est détecté. Pour l'assistant clinique, la question envoyée est en outre dé-identifiée avant d'être transmise et avant d'être enregistrée dans l'historique de conversation. Un compte rendu dépourvu de nom et de numéro de dossier reste une donnée de santé.

Un compte rendu n'est enregistré que si vous le demandez explicitement après validation. L'enregistrement porte le titre de l'examen, l'indication, la technique, les résultats, la conclusion, la date de validation, l'auteur, le cabinet et, le cas échéant, la version d'origine reprise.

Un compte rendu enregistré est immuable : aucune modification n'est autorisée par la base ; une reprise crée une nouvelle version datée. Ces règles sont couvertes par des tests automatisés qui rejouent, avec de vrais comptes, la lecture et la suppression par l'auteur, par un confrère du même cabinet, par un administrateur du même cabinet, par un utilisateur d'un autre cabinet et par un visiteur non connecté.

Les CR types sont des trames génériques, sans patient : titre, indication, technique, formulations normales et conclusion habituelle. Ils sont distincts des comptes rendus cliniques individuels décrits ci-dessus. Le contrôle d'identifiants s'applique aussi à l'import d'un modèle.

Le lexique personnel, les préférences de style et les réglages du pied de commande sont conservés de la même manière, rattachés à leur propriétaire.

Ces données sont administratives ; elles ne se confondent pas avec le contenu médical.

Traceurs réellement présents, constatés dans le code : aucun outil de mesure d'audience, aucun gestionnaire de balises, aucun traceur publicitaire, aucun enregistreur de session.

Aucun traceur publicitaire tiers n'est chargé dans l'espace authentifié de dictée.

Questions relatives aux données et à la sécurité : contact@voxante.com

• Aucun délégué à la protection des données n'est désigné à ce jour. L'adresse ci-dessus n'est pas celle d'un DPO.
• Entité juridique responsable et adresse postale : information disponible sur demande, publication ici après vérification.
• Demande d'accès, de rectification ou de suppression : par écrit à l'adresse ci-dessus, depuis l'adresse e-mail du compte concerné. Un radiologue peut par ailleurs supprimer lui-même ses comptes rendus enregistrés et ses modèles depuis l'application.
• Délai de réponse applicable : non encore fixé, en attente de validation juridique.

Un cabinet pilote peut demander par écrit les éléments non encore publiés — hébergement, accords de sous-traitance, rétention des fournisseurs — avant tout usage sur des examens réels. Aucun dossier de sécurité formalisé n'est disponible en téléchargement à ce jour.