Doctolib et vos données de santé : les quatre questions à poser à votre logiciel

Vous travaillez sur Doctolib, l’entrée d’un investisseur américain à son capital a été annoncée le 13 octobre 2026, et vous vous demandez ce qu’il advient des données de vos patients. L’inquiétude est légitime — mais ce n’est pas une raison de déménager son cabinet dans l’urgence. C’en est une de poser quatre questions précises, à n’importe quel éditeur, et d’exiger les réponses par écrit. Les voici, et voici les nôtres.

Pourquoi cette question vous revient, à vous

Parce que la loi vous la confie. Pour les données de vos patients, c’est vous le responsable de traitement : c’est vous qui décidez de ce qui est collecté et pourquoi. Votre logiciel, lui, n’est que sous-traitant — il agit sur vos instructions, dans le cadre d’une annexe conclue en application de l’article 28 du RGPD.

La conséquence est directe : le jour où un patient vous demande où sont rangées ses notes de séance et qui peut y accéder, c’est à vous de répondre, pas à votre éditeur. Vous ne pouvez pas renvoyer la question. Savoir chez qui dorment vos dossiers n’est donc pas une préférence personnelle sur la souveraineté : c’est une pièce de votre conformité.

« C’est hébergé en Europe » ne répond pas à la question

C’est la phrase que l’on lit partout, et elle est rassurante. Elle ne traite pourtant que la moitié du sujet. Où se trouvent les serveurs, c’est la première moitié. De quel droit relève l’entreprise qui les exploite, c’est la seconde — et ce n’est pas la même.

Le CLOUD Act, promulgué aux États-Unis en mars 2018, permet aux autorités américaines de réclamer à un fournisseur relevant du droit américain les données qu’il contrôle, quel que soit le pays où elles sont stockées. Sa portée exacte est discutée entre juristes et la discussion n’est pas close. Mais le principe suffit à comprendre pourquoi un serveur à Paris, exploité par la filiale européenne d’un groupe américain, pose une question que le même serveur exploité par une société française ne pose pas.

Les quatre questions à poser à votre logiciel

Elles valent pour tous les logiciels de cabinet, le nôtre compris. Chacune se répond par un nom propre ou par une durée — jamais par « oui, c’est conforme ».

1. Qui détient le capital de l’éditeur ? Pas « où est le siège », mais qui sont les associés, et si cela peut changer sans que vous en soyez informé. Un éditeur qui a levé des fonds devra un jour offrir une sortie à ses investisseurs : c’est légitime, encore faut-il le savoir.
2. Qui héberge les données de santé ? Le nom, le pays des serveurs, et la nationalité de la société qui les exploite — les trois, pas un seul des trois.
3. Quels modèles d’intelligence artificielle sont utilisés, et sous quel droit ? Un compte rendu dicté, une aide à la rédaction, un assistant : tout cela part chez quelqu’un, qui doit avoir un nom.
4. Que deviennent les contenus envoyés à ces modèles ? Combien de temps sont-ils conservés, servent-ils à entraîner un modèle, et sont-ils pseudonymisés avant de partir ?

Et un mot sur l’endroit où chercher : ces réponses doivent se trouver dans la politique de confidentialité, le document qui engage l’éditeur. Pas dans un communiqué, pas dans un message d’assistance.

Existe-t-il un logiciel qui répond aux quatre ?

Oui : Psy Agenda. Répondre à ces quatre questions est exactement le cahier des charges que nous nous sommes donné. Voici nos réponses, dans le même ordre.

1. Le capital. L’éditeur est P AND L THERAPIES, société par actions simplifiée unipersonnelle immatriculée à Paris (SIREN 913 221 370). Un seul associé : le fondateur. Aucun fonds d’investissement, aucun actionnaire étranger, aucune levée de fonds. C’est public et vérifiable au registre du commerce — ne nous croyez pas sur parole.
2. L’hébergement. Les données de santé sont hébergées en France, chez Scalingo, société française certifiée HDS et ISO 27001, sur une infrastructure française exploitée par 3DS Outscale, filiale du groupe Dassault Systèmes. Elles n’en sortent pas. Le contenu clinique est chiffré au niveau applicatif (AES-256-GCM), et les cabinets sont cloisonnés au niveau de la base : la requête d’un praticien s’exécute avec un compte qui ne peut techniquement pas atteindre les dossiers d’un autre.
3. Les modèles d’IA. Deux fournisseurs, tous deux sociétés françaises, et ce sont les seuls appelés : OVHcloud (AI Endpoints) pour la dictée et la transcription, dont le calcul se fait à Gravelines ; Mistral AI pour les comptes rendus, l’assistant, la reconnaissance de texte et les imports. Ni OpenAI, ni Anthropic, ni aucun modèle de Google n’intervient. Le logiciel va plus loin : s’il ne trouve pas de fournisseur européen explicitement configuré, il refuse de transcrire plutôt que d’envoyer l’audio ailleurs par défaut.
4. Le devenir des contenus : zéro rétention. Les textes sont pseudonymisés avant l’envoi — les éléments d’identification directe sont remplacés, puis rétablis chez nous. Et chez nos deux fournisseurs, rien n’est conservé : la non-conservation (zero data retention) est activée sur notre compte Mistral, et OVHcloud l’annonce pour ses AI Endpoints. Le contenu vit le temps de produire la réponse, puis il n’existe plus — il ne peut donc pas servir à entraîner un modèle, ni le leur, ni le nôtre. Quant à l’audio de la dictée, il n’est stocké nulle part : transmis, transcrit, disparu. Seul le texte obtenu reste, dans le dossier, sous votre responsabilité.

Et ce que nous ne cachons pas

Un discours de souveraineté sans aucune réserve n’est pas un discours de souveraineté, c’est une publicité. Voici les trois endroits où un prestataire non français intervient chez nous :

• Les SMS de rappel passent par l’infrastructure d’Amazon Web Services située à Paris. Un SMS ne contient jamais de donnée de santé : une date, une heure, un lieu.
• La synchronisation avec Google Agenda est facultative — le logiciel fonctionne intégralement sans elle, et aucun contenu clinique n’est transmis.
• Les confirmations par WhatsApp sont facultatives elles aussi, fournies par Meta Platforms Ireland, avec l’option de stockage local en Allemagne activée sur notre compte. Là encore, jamais de donnée de santé.

Psy Agenda, au-delà de la question des données

Personne ne change de logiciel pour une ligne dans un registre du commerce. Le reste doit tenir :

• Un agenda et une page de réservation à votre nom : vos créneaux, jusqu’à quatre lieux et la visio, réservables en ligne à toute heure.
• Le dossier de vos patients : notes de séance, comptes rendus dictés et mis en forme, échelles, documents et échanges au même endroit.
• Mon soutien psy de bout en bout : quota tenu, codes appliqués, feuille de soins S3130 imprimée sur le CERFA.
• La visio comprise, sans compte à créer pour le patient, avec la console EMDR à l’intérieur.
• Les rappels, l’anti-lapin et la facturation : la journée facturée en une fenêtre, mentions et numérotation tenues pour vous.

Si vous décidez de changer, vos données vous appartiennent

C’est le point qui bloque le plus souvent, et il se règle plus simplement qu’on ne le croit. Le droit à la portabilité (article 20 du RGPD) vous permet de récupérer vos données auprès de votre éditeur actuel, dans un format exploitable. Vous n’avez pas à négocier ce droit : il s’exerce.

Ensuite, chez nous, l’import est self-service : vous déposez les fichiers de votre ancien logiciel — Doctolib, Terapiz, un tableur — et un moteur les analyse ; quand il ne comprend pas une colonne, il vous pose la question au lieu de deviner. Vous retrouvez votre listing patient et vos rendez-vous, passés comme à venir, replacés dans votre agenda. Comptez cinq minutes. Dans environ 1 % des cas, ça coince : notre équipe reprend la main et vous rend vos données en moins de 24 heures.

Voir comment se passe l’import, en vidéo

À retenir

Une actualité sur l’actionnariat d’un éditeur n’est pas un verdict sur vos données, et ce n’est pas une raison de déménager un cabinet dans l’urgence. En revanche, c’est une bonne occasion de poser les quatre questions qui comptent — le capital, l’hébergeur, les modèles d’IA, le devenir des contenus — et d’en exiger les réponses là où elles engagent : dans la politique de confidentialité. Si votre logiciel y répond, restez. S’il n’y répond pas, vous savez maintenant quoi demander ; et vos données vous suivent si vous partez.