Politique de confidentialité

La présente Politique de confidentialité décrit la manière dont DoctoRiva (ci-après « DoctoRiva », « nous ») collecte, utilise, conserve et protège les données à caractère personnel dans le cadre de la plateforme DoctoRiva, accessible à l’adresse doctoriva.ma, de son application et de son espace patient.

DoctoRiva est un logiciel de gestion de cabinet médical fourni en mode SaaS aux professionnels de santé exerçant au Maroc. Il comprend un dossier patient, la gestion des rendez-vous (y compris la prise de rendez-vous en ligne par les patients), les ordonnances, certificats et documents, l’encaissement et la comptabilité du cabinet, la messagerie interne, ainsi qu’un assistant d’aide à la décision clinique fondé sur l’intelligence artificielle, réservé aux médecins et décrit à l’article 7.

Elle s’applique à toute personne dont les données sont traitées par la plateforme : professionnels de santé et membres de leur équipe (« Utilisateurs »), patients dont le dossier est tenu par un cabinet (« Patients »), titulaires d’un compte dans l’espace patient ou auteurs d’une réservation en ligne, et personnes qui nous contactent.

Elle est établie en application de la Loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, de son décret d’application n° 2-09-165, des délibérations et recommandations de la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP) et de la Loi n° 05-20 relative à la cybersécurité. Lorsqu’une personne concernée réside dans l’Union européenne, le Règlement (UE) 2016/679 (RGPD) s’applique en complément.

Le responsable du traitement des données pour lesquelles DoctoRiva décide des finalités et des moyens (voir l’article 3) est :

L’identité complète de l’éditeur (forme juridique, registre du commerce, ICE, siège) figure dans les Mentions légales.

DoctoRiva intervient à deux titres distincts, et cette distinction détermine à qui vous devez adresser une demande relative à vos données.

3.1 DoctoRiva est responsable du traitement

• pour les données des Utilisateurs (compte, authentification, journaux de connexion, facturation de l’abonnement, support) ;
• pour les comptes de l’espace patient et les réservations en ligne effectuées sans compte (nom, téléphone, e-mail, motif, créneau), jusqu’à leur prise en charge par le cabinet ;
• pour les demandes adressées via le formulaire de contact ;
• pour les données techniques et de sécurité générées par l’usage de la plateforme.

3.2 DoctoRiva est sous-traitant

Pour l’ensemble des données que le cabinet médical saisit et gère sur ses patients (identité, coordonnées, dossier médical, documents, paiements des consultations), le professionnel de santé est le responsable du traitement. DoctoRiva les traite exclusivement pour son compte, sur ses instructions et dans les conditions de l’Accord de sous-traitance des données (DPA). Le cabinet demeure l’interlocuteur du patient pour l’exercice de ses droits sur son dossier médical (voir l’article 12).

Nous ne traitons que les données nécessaires aux finalités décrites à l’article 5. Aucune donnée n’est achetée à des tiers ni collectée à votre insu.

4.1 Utilisateurs (professionnels de santé et équipes)

• identité et contact : nom, prénom, adresse e-mail professionnelle, téléphone, spécialité et, le cas échéant, numéro d’inscription à l’Ordre ;
• authentification : mot de passe (haché, jamais stocké en clair), secret et codes de récupération de la double authentification (chiffrés), appareils et adresses IP de connexion ;
• cabinet : raison sociale, adresse, téléphone, e-mail, logo, signature et cachet des médecins ;
• abonnement et facturation : plan, périodicité, factures, historique des règlements, identifiant du moyen de paiement chez le prestataire, marque et quatre derniers chiffres d’une carte enregistrée — jamais le numéro complet d’une carte.

4.2 Patients (données saisies par le cabinet — DoctoRiva sous-traitant)

• identité et contact : nom, prénom, date de naissance, sexe, CIN, numéro CNSS ou d’assurance, téléphone, e-mail, adresse, contact d’urgence, profession, médecin traitant, ainsi qu’un numéro de dossier attribué automatiquement par la plateforme à la création de la fiche ;
• données de santé : groupe sanguin, antécédents, allergies, traitements en cours, constantes et mesures, notes de consultation, ordonnances, certificats, documents et fichiers médicaux importés ;
• données administratives et financières : rendez-vous, salle d’attente, actes réalisés, règlements des consultations, reçus.

Les identifiants directs (nom, CIN, CNSS, téléphone, e-mail, adresse, contact d’urgence, assurance), le nom du médecin traitant, ainsi que le contenu des ordonnances, des documents médicaux et des notes de consultation sont chiffrés en base de données ; les fichiers importés sont chiffrés avant tout stockage (voir l’article 11).

4.3 Espace patient et réservation en ligne

• compte patient : nom, e-mail, téléphone (chiffré), mot de passe (haché), historique des rendez-vous pris en ligne ;
• réservation sans compte : nom, téléphone, e-mail, motif, mode de consultation, date et heure du rendez-vous ; ces données sont transmises au cabinet choisi, qui en devient responsable du traitement.

4.4 Prospects et demandes de contact

Nom, prénom, e-mail, téléphone, spécialité, objet et contenu du message, adresse IP de l’envoi.

4.5 Données techniques et de sécurité

Adresse IP, navigateur et système d’exploitation, horodatage des actions, journaux d’audit (qui a créé, modifié ou supprimé quoi, et quand), événements de sécurité (verrouillage de compte, tentative d’accès refusée), métadonnées d’utilisation de l’assistant IA (voir l’article 7). Nous ne conservons aucun journal d’accès web nominatif (les journaux d’accès HTTP sont désactivés).

Nous n’effectuons aucun profilage et aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à l’égard des personnes. L’assistant IA ne prend aucune décision : ses propositions sont soumises au médecin, qui seul décide (article 7). Vos données ne sont jamais vendues, louées ni utilisées à des fins publicitaires.

Les données de santé sont des données sensibles au sens de l’article 1^er de la Loi n° 09-08. Leur traitement est encadré par le secret médical et soumis aux formalités préalables prévues par la loi.

Rôle du professionnel de santé (responsable du traitement)

• il tient le dossier de ses patients dans le respect de la déontologie et du secret médical ;
• il informe ses patients du traitement de leurs données via DoctoRiva et recueille leur consentement lorsque la loi l’exige ;
• il accomplit ses propres formalités auprès de la CNDP ;
• il décide de l’activation de l’assistant IA pour son cabinet et de la durée de conservation des dossiers, dans le respect de ses obligations légales et déontologiques.

Engagements pris par DoctoRiva (sous-traitant)

• traiter les données de santé uniquement pour fournir le service et sur instruction du cabinet ;
• garantir la confidentialité : le personnel employé par DoctoRiva n’accède pas au contenu des dossiers médicaux, sauf demande écrite du cabinet pour une opération de support, tracée dans les journaux d’audit ;
• chiffrer les données de santé en base et les fichiers médicaux avant tout stockage ;
• isoler chaque cabinet (cloisonnement au niveau de la base de données) ;
• assister le cabinet pour répondre aux demandes de ses patients ;
• restituer puis supprimer les données à la fin du contrat, dans les conditions de l’article 8 et du DPA.

DoctoRiva met à la disposition des médecins uniquement un assistant d’aide à la décision clinique fondé sur des modèles de langage fournis par des prestataires tiers. Cet article décrit précisément ce qui est transmis, ce qui ne l’est jamais, et les garanties applicables.

7.1 Qui peut l’utiliser

• le module est proposé selon le plan souscrit et peut être désactivé à tout moment par l’administrateur du cabinet ; il n’est pas accessible pendant la période d’essai ;
• seuls les Utilisateurs disposant d’un profil de médecin et de la permission correspondante peuvent l’interroger ; les assistants et le personnel administratif n’y ont pas accès ;
• le nombre de requêtes est plafonné chaque mois selon le plan.

7.2 Ce qui est transmis au modèle

Le contexte transmis est construit par liste blanche : seuls des éléments cliniques explicitement autorisés peuvent y entrer, et le médecin choisit à chaque question les catégories à inclure :

• profil : sexe, âge en années (en mois avant l’âge de deux ans ; jamais la date de naissance) et groupe sanguin ;
• antécédents, allergies et traitements en cours ;
• ordonnances récentes (médicament, dosage, durée, consignes, ainsi que la note libre de l’ordonnance) ;
• consultations récentes : nom de l’acte, note de séance et constantes, ainsi que la dernière valeur connue de chaque constante, même mesurée lors d’une consultation ancienne.

Toute date est convertie en durée relative (« il y a 6 mois ») ; tout texte libre passe par un filtre qui neutralise les noms, adresses, numéros de téléphone, adresses e-mail, numéros d’identification et dates complètes. La question du médecin est elle-même contrôlée : un message qui contient le nom, la date de naissance, la CIN, le numéro CNSS, le téléphone, l’e-mail ou le numéro de dossier du patient, ou le nom d’un patient du cabinet, est refusé avant tout envoi.

7.3 Ce qui n’est jamais transmis

• nom, prénom, numéro de dossier, CIN, CNSS, assurance et tout numéro d’identification ;
• téléphone, e-mail, adresse, contact d’urgence, profession, médecin traitant ;
• date de naissance exacte ;
• documents, ordonnances PDF, scans, images et fichiers du patient ;
• identité du cabinet et des médecins, nom de domaine, identifiants techniques ;
• données financières.

Les appels sont émis exclusivement depuis nos serveurs : le navigateur du médecin ne contacte jamais un prestataire d’IA, la clé d’accès reste côté serveur et l’adresse IP du cabinet n’est pas exposée. Les requêtes ne comportent aucun en-tête désignant la plateforme.

7.4 Transparence et absence de décision automatisée

Avant l’envoi, le médecin peut afficher mot pour mot le contexte qui sera transmis ; après la réponse, le texte effectivement envoyé lui est restitué. Les réponses de l’assistant sont des hypothèses et propositions destinées à un professionnel de santé : elles ne sont jamais inscrites automatiquement dans le dossier du patient et n’entraînent aucune décision sans l’intervention du médecin, qui conserve l’entière responsabilité du diagnostic et du traitement.

7.5 Conservation

La conversation est conservée par DoctoRiva afin que le médecin retrouve son fil de travail d’une consultation à l’autre. Elle est chiffrée au repos, cloisonnée par cabinet au niveau de la base de données et accessible au seul médecin qui l’a écrite : ni un confrère du cabinet, ni l’administrateur n’y ont accès, et elle n’est jamais versée au dossier du patient. Seuls les échanges les plus récents d’un fil sont conservés, les plus anciens étant supprimés au fur et à mesure.

Aucune durée d’expiration ne s’applique à ce fil : il est conservé jusqu’à ce que le médecin l’efface lui-même, ce qu’il peut faire à tout moment depuis l’assistant ; la suppression est alors immédiate et définitive.

Indépendamment de la conversation, nous enregistrons des métadonnées d’usage (cabinet, médecin, modèle, nombre de jetons, coût, durée, statut), sans le contenu de la question ni de la réponse et sans aucune référence au patient, conservées 365 jours.

7.6 Prestataires et localisation

Les modèles peuvent être fournis par les prestataires suivants, avec la juridiction indiquée. Le cabinet peut choisir un modèle par défaut parmi ceux que nous activons ; aucun modèle par défaut de la plateforme n’est actuellement servi par un prestataire activé.

• Fournisseur de modèles de langage — États-Unis

Lorsque les requêtes transitent par une passerelle multi-fournisseurs, elles sont émises avec l’option interdisant la conservation et l’entraînement sur les données transmises. Le contexte transmis étant dépourvu de tout identifiant direct, ces prestataires ne reçoivent aucune donnée permettant d’identifier une personne ; le cabinet responsable du traitement demeure libre de désactiver le module s’il estime que la localisation d’un prestataire n’est pas compatible avec ses obligations.

7.7 Information des patients

Le cabinet informe ses patients de l’usage de cet outil dans le cadre de son information générale sur le traitement de leurs données. Un patient peut demander à son médecin de ne pas recourir à l’assistant pour son dossier ; le médecin peut à tout moment n’inclure aucune donnée du patient dans une question.

Les durées ci-dessous sont celles que la plateforme applique effectivement ; celles qui sont paramétrables par l’opérateur ou par le cabinet sont publiées ici avec leur valeur en vigueur.

À l’expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible, sauf obligation légale contraire ou nécessité d’établir, d’exercer ou de défendre un droit en justice. Les données financières des cabinets (règlements, clôtures de caisse, écritures) ne sont jamais supprimées : elles sont anonymisées.

Vos données sont accessibles uniquement aux personnes et prestataires suivants, dans la limite de ce qui est nécessaire :

• le cabinet et les membres de son équipe habilités par lui, selon les permissions qu’il définit ;
• le personnel habilité par DoctoRiva, pour l’exploitation, la sécurité et le support, soumis à une obligation de confidentialité ; chaque accès étendu est tracé ;
• nos sous-traitants, décrits ci-dessous par catégorie, qui n’agissent que sur nos instructions ;
• les autorités compétentes, sur réquisition légalement fondée.

Sous-traitants

La liste ci-dessous est produite à partir de la configuration en vigueur de la plateforme : elle reflète les catégories de sous-traitants effectivement actives au moment où vous consultez cette page, avec la juridiction dans laquelle chacune opère.

Aucun autre tiers n’intervient : nous n’utilisons ni outil d’analyse d’audience, ni réseau de diffusion de contenu, ni police de caractères ou script chargé depuis un domaine tiers, ni service d’envoi de SMS. Chaque sous-traitant est lié par un contrat comportant des obligations de confidentialité et de sécurité ; le cabinet est informé de toute modification de cette liste dans les conditions du DPA.

La localisation des serveurs de la plateforme est communiquée dans les Mentions légales. Les copies chiffrées des fichiers et des sauvegardes sont conservées chez les prestataires de stockage listés à l’article 9, dans les régions indiquées ; elles sont chiffrées avant de quitter nos serveurs, et les clés de chiffrement ne sont jamais confiées à ces prestataires.

Le contexte dé-identifié transmis à l’assistant IA peut être traité par un prestataire situé hors du Maroc (article 7.6) ; il ne comporte aucune donnée permettant d’identifier directement une personne.

Tout transfert de données à caractère personnel hors du Maroc est effectué dans le respect des articles 43 et 44 de la Loi n° 09-08 et des décisions de la CNDP relatives aux pays assurant un niveau de protection suffisant, au moyen des formalités et garanties appropriées. Le cabinet responsable du traitement est informé de la localisation des prestataires par la présente politique et par le DPA.

DoctoRiva met en œuvre des mesures techniques et organisationnelles proportionnées à la sensibilité des données de santé. Les chiffres ci-dessous correspondent aux paramètres en vigueur.

Chiffrement

• fichiers (documents médicaux, images, exports) : chiffrement authentifié par enveloppe, avec une clé propre à chaque cabinet, avant tout stockage ;
• champs sensibles en base de données (identifiants patients, coordonnées, contenu des ordonnances et documents, secrets de double authentification, clés d’API) : chiffrement authentifié, avec rotation des clés, permettant la recherche sans déchiffrement ;
• sauvegardes : chiffrées avant tout transfert ; copies hors site immuables pendant au moins 30 jours ;
• transit : TLS 1.3 exclusivement, HSTS, connexions internes chiffrées et authentifiées.

Authentification et sessions

• mots de passe conservés uniquement sous forme de condensat salé, jamais en clair ; longueur minimale de 12 caractères avec majuscule, minuscule, chiffre et caractère spécial ; renouvellement périodique pour les Utilisateurs, selon la règle fixée par l’administrateur de chaque cabinet (tous les 90 jours par défaut) ;
• double authentification (TOTP) disponible pour tous les comptes professionnels ; l’administrateur du cabinet peut la rendre obligatoire pour toute son équipe ; codes de récupération à usage unique, hachés ;
• verrouillage du compte après 5 tentatives infructueuses, pendant 15 minutes, avec alerte de sécurité ;
• expiration de session après 60 minutes d’inactivité et au plus tard 14 jours après la connexion ; renouvellement de l’identifiant de session à chaque élévation de privilège ;
• liens de réinitialisation de mot de passe valables 15 minutes, liens de vérification d’e-mail valables 24 heures ;
• protection contre les robots sur tous les formulaires publics, limitation du débit des requêtes, protection CSRF.

Isolation et contrôle d’accès

• cloisonnement par cabinet appliqué à plusieurs niveaux, dont des règles de sécurité au niveau des lignes de la base de données ;
• contrôle d’accès fondé sur les rôles et permissions définis par le cabinet ;
• journal d’audit chaîné et signé cryptographiquement, avec points de contrôle conservés sur un stockage immuable ;
• aucune URL de téléchargement pré-signée : chaque accès à un fichier est vérifié côté serveur puis déchiffré à la volée.

Sauvegardes et continuité

• sauvegardes automatiques quotidiennes, chiffrées, répliquées vers des cibles de stockage externes protégées contre la suppression ;
• vérification automatique de la restaurabilité des sauvegardes ;
• procédure documentée de gestion des violations de données : notification à la CNDP et aux cabinets concernés dans les 72 heures suivant la confirmation de l’incident, et information des personnes concernées lorsque la violation présente un risque pour elles.

Conformément aux articles 7 à 9 de la Loi n° 09-08, vous disposez d’un droit d’accès, de rectification, d’opposition pour des motifs légitimes et de suppression de vos données, dans les limites des obligations légales de conservation. Nous vous fournissons également, lorsque c’est techniquement possible, une copie de vos données dans un format structuré et couramment utilisé.

À qui s’adresser

Comment exercer vos droits

Utilisez le formulaire de contact en choisissant le sujet « Exercer mes droits (accès, rectification, suppression) » et en précisant le droit exercé et l’adresse e-mail associée à votre compte : chaque demande ainsi déposée est enregistrée, horodatée et suivie jusqu’à sa réponse. À défaut, vous pouvez écrire à contact@doctoriva.ma. Nous pouvons vous demander un élément permettant de vérifier votre identité lorsque nous avons un doute raisonnable ; nous ne demandons jamais plus que nécessaire. Nous répondons dans un délai de 30 jours à compter de la réception d’une demande complète.

Depuis l’espace patient, vous pouvez à tout moment télécharger l’ensemble des données que la plateforme détient à votre sujet et demander la suppression de votre compte. La suppression du compte n’efface pas les dossiers tenus par les cabinets que vous avez consultés : adressez-vous au cabinet concerné.

Vous pouvez introduire une réclamation auprès de la CNDP : www.cndp.ma.

• la prise de rendez-vous en ligne est possible sans compte ; la création d’un compte est facultative et permet de retrouver ses rendez-vous, de télécharger ses données et de supprimer son compte ;
• la création d’un compte et la réservation en ligne sont subordonnées à l’acceptation des CGU Patients et de la présente politique ; le service est réservé aux personnes âgées d’au moins 16 ans, ou utilisé par le représentant légal pour un mineur ;
• les coordonnées transmises lors d’une réservation sont communiquées au cabinet choisi, qui en devient responsable du traitement, et servent uniquement à gérer le rendez-vous (confirmation, rappel, annulation par e-mail) ;
• les comptes de l’espace patient ne disposent pas de double authentification ; ils bénéficient des mêmes règles de mot de passe, de verrouillage et de session que les comptes professionnels.

Le site et l’application ne déposent aucun cookie publicitaire, de mesure d’audience ou de suivi. Les cookies et le stockage local du navigateur remplissent trois finalités et trois seulement : le fonctionnement du service (session, protection CSRF), la mémorisation de vos préférences d’affichage, et le confort d’utilisation — à ce titre, la palette de commandes conserve dans votre navigateur les huit derniers raccourcis ouverts depuis votre compte, qui peuvent comporter le nom d’un patient consulté et l’adresse de sa fiche. Ces données ne quittent jamais votre navigateur, ne sont lisibles par aucun autre compte et sont effacées à la déconnexion. L’inventaire complet, les durées et vos options figurent dans la Politique de cookies.

La version en vigueur est celle publiée sur cette page ; sa date figure en haut de la page et constitue la référence de version enregistrée lors de votre acceptation. Les tableaux des sous-traitants et des durées de conservation reflètent la configuration en vigueur de la plateforme et se mettent à jour lorsque celle-ci change.

En cas de modification substantielle de nos engagements, les titulaires d’un compte en sont informés par e-mail ou par un avis dans l’application avant son entrée en vigueur, avec un préavis raisonnable.

Pour toute question relative à la présente politique ou à vos données : contact@doctoriva.ma.

Autorité de contrôle : Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP) — www.cndp.ma.