Où vivent vos données, et pourquoi c’est séparé

Le site public

La landing, les tarifs, le générateur gratuit et les pages légales tournent chez Vercel. Ce plan ne contient aucun code touchant aux dossiers patients, aucune connexion à la base de santé, aucun accès au stockage des photos de bons. Il ne peut pas voir vos données, même en cas d’erreur de configuration : le code n’est pas là.

L’application

Vos bons, vos photos de souches, vos patients et vos documents émis vivent dans un conteneur hébergé en France, chez un hébergeur certifié HDS au titre de l’article L1111-8 du code de la santé publique. Le chiffrement est appliqué au repos et en transit.

Ce qui traverse la frontière

Une seule chose : l’état de votre abonnement. Notre prestataire de paiement signale qu’un laboratoire donné est à jour, et ce signal ouvre ou ferme les droits. Il ne transporte ni nom de patient, ni contenu de bon, ni photo. Aucun flux ne va dans l’autre sens.

Les tiers, et ce qu’ils voient

Prestataire de paiement

Identifiant du laboratoire, montant, moyen de paiement. Aucune donnée de santé.

Envoi d’emails

Adresse du destinataire et lien signé. Jamais de nom de patient dans le corps, jamais de document en pièce jointe.

Lecture de l’écriture manuscrite

La photo du bon, qui porte le nom du patient. C’est le seul traitement qui fait sortir une donnée de santé de l’hébergement HDS, et le plus sensible du produit — nous le disons ici plutôt que de le laisser deviner.

Le prestataire est lié par un contrat de sous-traitance au sens de l’article 28 du RGPD, il ne conserve pas vos images et ne s’en sert pas pour entraîner ses modèles. Il est nommé dans notre page de confidentialité, avec le pays où il traite, et tout changement de prestataire vous est notifié avant qu’il prenne effet.

Vous pouvez refuser ce traitement. Votre laboratoire bascule alors en saisie manuelle : la photo reste dans l’hébergement HDS, et vous tapez les champs en la regardant. Tout le reste du produit fonctionne à l’identique.

La journalisation

Chaque accès à un dossier patient est consigné nominativement et conservé dix ans. Ce journal n’est supprimable par personne, y compris par nous : c’est ce qui permet à votre laboratoire de répondre à un contrôle, et à un patient de savoir qui a consulté son dossier.

Nos accès de support

Nous n’avons pas d’accès permanent à vos dossiers. Un accès de support n’existe jamais sans une demande de votre part, il expire seul, et vous êtes notifié à son ouverture comme à sa fermeture.

L’éditeur est une société américaine. Ce que cela change, et ce que cela ne change pas

ProtheScan est édité par Spotizy LLC, société immatriculée dans l’État du Delaware, aux États-Unis. Nous l’écrivons en tête de cette section plutôt qu’en bas des mentions légales : c’est la première question que pose un laboratoire à qui l’on demande de confier des noms de patients, et elle mérite mieux qu’une ligne en petits caractères.

Une société américaine relève du droit américain. Une autorité des États-Unis peut, dans les formes prévues par le Cloud Act, adresser une réquisition à un prestataire américain portant sur des données qu’il détient, y compris hors de son territoire. Prétendre le contraire serait faux, et vous le découvririez de toute façon.

La question utile n’est donc pas « quel est le droit applicable à l’éditeur », mais « que détient l’éditeur ». Notre réponse tient en une phrase : **nous ne détenons pas vos dossiers patients, et notre console d’administration ne peut pas les lire.** Ce n’est pas une politique interne, c’est un droit d’accès posé dans la base.

La console de l’éditeur emploie un rôle Postgres distinct, dépourvu de l’attribut qui permettrait de contourner l’isolation entre laboratoires. Ses droits de lecture sont énumérés colonne par colonne : le nom du patient, sa référence, la clé de sa photo et la prescription brute n’y figurent pas. Une requête qui les demanderait est refusée par le serveur de base de données, pas par notre code. Un contrôle automatique le vérifie à chaque migration, et refuse la migration si ce n’est plus vrai.

Vos données vivent chez un hébergeur certifié pour les données de santé, en France, avec lequel votre laboratoire est couvert au titre de l’article L1111-8 du code de la santé publique. Cet hébergeur est une société française, soumise au droit français et au règlement européen. Il détient les données ; nous éditons le logiciel qui les met en forme.

Enfin, vous pouvez partir. Chaque référentiel s’exporte au format Excel ou CSV, les documents émis se téléchargent en PDF, et la structure des exports est vérifiée par un aller-retour complet à chaque version : import, export, comparaison cellule par cellule. Un laboratoire qui ne peut pas récupérer ses données n’a pas choisi son logiciel, il le subit.

L’hébergement certifié : l’éditeur, l’hébergeur, et qui détient quoi

L’article L1111-8 du code de la santé publique impose que les données de santé à caractère personnel recueillies pour le compte d’un tiers soient hébergées chez un hébergeur certifié. La certification porte sur l’hébergeur, pas sur l’éditeur du logiciel : c’est une distinction qui compte, et beaucoup de plaquettes l’effacent.

Notre choix est arrêté : un hébergeur français dont le périmètre certifié couvre la plateforme entière — la base de données managée comme les conteneurs applicatifs. La plupart des grands hébergeurs obtiennent leur certification produit par produit, et laissent souvent leur PostgreSQL managé hors du périmètre : il faudrait alors administrer soi-même la base qui porte les noms de patients, ce qui déplace le risque sans le réduire.

Concrètement : le logiciel ProtheScan est édité par Spotizy LLC, et les données de santé sont hébergées en France chez un hébergeur certifié HDS. L’éditeur n’en détient aucune — sa console d’administration ne peut techniquement pas lire un nom de patient, comme la section précédente le détaille. C’est la question que pose tout laboratoire à qui l’on demande de confier des dossiers, et la réponse tient en une ligne : le logiciel vient de nous, les données restent en France.

La facture électronique : Factur-X, et ce qu’un validateur en dit

À partir de la généralisation de la facturation électronique entre entreprises, une facture adressée à un cabinet dentaire ne pourra plus être un simple PDF. Elle devra porter ses données sous forme structurée, lisibles par un logiciel comptable sans ressaisie. Factur-X est le format franco-allemand qui répond à cela : un PDF que l’humain lit, et un fichier XML embarqué que la machine lit — un seul fichier, deux lectures.

Chaque facture émise par ProtheScan est un PDF/A-3 portant un XML Factur-X au profil BASIC, conforme à la norme EN 16931. Le PDF/A-3 n’est pas un PDF ordinaire : la police y est embarquée en sous-jeu, le profil colorimétrique de sortie y est incorporé, les métadonnées déclarent le niveau de conformité, et le fichier joint est référencé comme représentation des données du document. C’est ce qui permet de rouvrir la facture dans dix ans et d’y lire exactement ce qui a été émis.

Ces affirmations sont contrôlées par un validateur indépendant, et non par nous. Le conteneur passe veraPDF, le validateur de référence du secteur, au niveau PDF/A-3B. Le XML passe le schéma de la norme EN 16931, les règles européennes de gestion, et les règles françaises du flux de facturation électronique — celles qui exigent notamment le SIREN du vendeur, les adresses électroniques des deux parties, et les trois mentions du code général des impôts sur les pénalités de retard, l’indemnité de recouvrement et l’escompte.

Ces trois mentions figurent dans le XML autant que sur le papier, et ce n’est pas un détail : dès lors que la facture électronique fait foi, c’est le fichier que lit un service vérificateur, pas sa représentation imprimée. Une facture dont le PDF porte les mentions et dont le XML les omet est une facture incomplète.

La prothèse dentaire sur mesure est exonérée de TVA. Le XML porte donc la catégorie d’exonération, le motif en clair repris de vos réglages, et le code de motif normalisé correspondant à l’article 132 de la directive TVA. Omettre le code fait rejeter la facture par un intégrateur strict ; l’écrire sans le motif en clair la rend illisible pour l’humain qui la contrôle. Les deux y sont.

Le contrôle n’a pas été fait une fois : c’est une commande du dépôt, qui compose les trois documents et les soumet au validateur. Il tourne à chaque version. « Conforme par construction » ne veut rien dire — le 2 août 2026, notre conteneur passait sans une remarque pendant que le XML qu’il portait échouait sur l’ordre des éléments, une immatriculation manquante et trois mentions absentes. Rien de cela ne se voyait à la lecture du code.

Une réserve, pour être complet : la conformité d’un fichier ne dit rien de la conformité d’une facture. Les montants, les mentions obligatoires propres à votre activité et la numérotation restent de votre responsabilité, comme ils le seraient sur un logiciel de comptabilité. ProtheScan prépare vos documents ; le fabricant du dispositif médical sur mesure, c’est votre laboratoire, et lui seul engage sa responsabilité.