Enquêtes patients pour études hospitalières
Des questionnaires patients dont nous ne pouvons pas lire les noms.
Un responsable d'étude monte son questionnaire, ouvre l'étude et suit le recrutement depuis son navigateur, sans développeur. Les patients répondent depuis leur téléphone. Les résultats sont publiés sans que personne ne soit identifiable.
Auspex 1.4 — version fonctionnelle complète et testée. Une nouvelle version est en cours de développement, avec des optimisations. Les prérequis avant la première étude réelle.
Le mécanisme central
L'identité du patient est chiffrée sur son téléphone, pour son médecin seul
Canarin ne détient jamais une identité en clair. Le serveur ne stocke que ce que la clé du médecin peut ouvrir.
Nom et date de naissance chiffrés dans le navigateur du patient vers la clé publique du médecin — ECDH P-256, dérivation HKDF-SHA256, chiffrement AES-GCM. Les données associées lient le message à l'étude et au médecin : déplacé vers une autre étude ou modifié d'un seul octet, il ne s'ouvre plus. La clé privée du médecin n'existe en clair que dans la session de son navigateur, et ne peut pas en être extraite.
SUR LE TÉLÉPHONE DU PATIENT
Le chiffrement a lieu ici
Au moment du consentement, le téléphone chiffre le nom et la date de naissance. Ce qui part vers le serveur est déjà illisible. L'adresse doit être en https : sans cela, la page refuse de fonctionner plutôt que de chiffrer mal.
SUR LE SERVEUR CANARIN
Il ne reste que du chiffré
Des identités illisibles, des réponses rangées sous un code aléatoire, et les adresses professionnelles. Quelqu'un qui obtiendrait un accès complet au serveur ne pourrait pas relier une réponse à une personne.
DANS LE NAVIGATEUR DU MÉDECIN
Le déchiffrement a lieu ici
Le médecin déverrouille sa clé avec sa phrase de passe et voit les noms de ses patients à côté de leurs codes. Personne d'autre, Canarin compris, ne peut faire ce rapprochement.
Modèle de confiance
Qui voit quoi, exactement
Ce tableau est la réponse à la question que posent les comités de protection des personnes. Chaque ligne est appliquée par la base de données elle-même, pas seulement par l'interface.
| Rôle | Nom du patient | Réponses individuelles | Code participant | Recrutement par centre | Export pseudonymisé |
|---|---|---|---|---|---|
| Médecin investigateur | Ouises patients uniquement | Ouises patients uniquement | Ouicomplet pour les siens, masqué ailleurs | Non | Non |
| Responsable d'étude | Nonaucune route ne le permet | Nonaucun accès aux lignes patients | Non | Ouieffectifs, dernière connexion des médecins | Ouidonnées de son propre promoteur |
| Statisticien | Non | Nonaucune ligne patient ne lui est rendue | Non | Non | Ouiétudes accordées, révocable à tout moment |
| Canarin, l'éditeur | Nonchiffré, inexploitable | Techniquement oui, mais sous code aléatoire, non reliable à une personne | Techniquement oui | Non | Non |
| Public | Non | Non | Non | Non | Non |
Le public ne voit que la page de résultats : des tableaux agrégés, dont les petits effectifs sont masqués. Rien d'individuel n'y figure, jamais.
Déroulé d'une étude
Six étapes, du questionnaire vide aux résultats publiés
L'ordre compte : chaque étape débloque la suivante. Une étude ne peut pas s'ouvrir sans questionnaire, et un lien d'inclusion reste inerte tant que le médecin n'a pas créé ses clés.
Créer l'étude et construire le questionnaire
Huit types de questions, des conditions d'affichage (telle question n'apparaît que si telle réponse a été donnée) et six langues, dans un éditeur avec aperçu côté patient. L'étude démarre en brouillon.
Inviter les médecins, ouvrir l'étude
Les médecins sont ajoutés par adresse de courriel. Le lien d'activation est à usage unique et expire. L'étude ne peut pas s'ouvrir sans questionnaire ; une fois ouverte, toute modification crée une nouvelle version.
Activer son compte et créer ses clés
Mot de passe de douze caractères minimum, plus une application d'authentification. Le médecin génère ensuite ses clés de chiffrement et reçoit sa carte d'inclusion. Le lien qu'elle encode en QR peut aussi être transmis par message, courriel ou impression : c'est le même lien. Une clé de secours imprimable permet de changer de phrase de passe ; Canarin ne peut pas la remplacer.
Ouvrir le lien, consentir, répondre
Consentement, puis nom et date de naissance chiffrés sur le téléphone. Le patient choisit un code PIN et reçoit un code participant : avec les deux, il peut reprendre son questionnaire plus tard, sur un autre appareil. Les réponses sont enregistrées au fur et à mesure.
Confirmer ou rejeter les inclusions
Le médecin voit les noms de ses patients, lit les réponses, et confirme ou rejette chaque inscription. Un rejet est définitif, motivé par une liste fixe, et visible de tous les professionnels de l'étude — code complet pour le médecin qui rejette, masqué pour les autres.
Analyser, clôturer, publier
Une analyse intermédiaire tourne chaque jour sans intervention. À la date de fin, l'étude se clôt d'elle-même, l'analyse finale s'exécute et la page publique bascule dessus. Les comptes et les sessions sont supprimés, les liens d'inclusion meurent ; les réponses et les identités restent lisibles par leur médecin.
Publication
Pourquoi un tableau public ne permet pas de remonter à une personne
Masquer les petits effectifs ne suffit pas
Si une case compte moins de dix personnes, on la masque. Mais masquer une seule case d'une ligne ne protège rien : il suffit de soustraire les autres du total pour la retrouver. Auspex masque donc aussi une case supplémentaire, choisie pour que la soustraction ne donne plus rien.
| Tranche | Publié | Sans la seconde suppression |
|---|---|---|
| 18–39 | 42 | 42 |
| 40–59 | masqué | masqué |
| 60+ | masqué | 35 |
| Total | 84 | 84 |
À droite, on déduit immédiatement que la tranche 40–59 compte 7 personnes. À gauche, non.
Les autres règles
- Le tableau d'ensemble et les tableaux par centre sont traités comme un seul tableau, pour qu'on ne puisse pas les différencier entre eux.
- Les petits centres sont regroupés plutôt que publiés séparément.
- Aucun minimum ni maximum n'est publié : une valeur extrême désigne souvent une personne.
- Aucune réponse en texte libre ne sort, jamais — un patient peut y avoir écrit son nom.
- Les questions à choix multiples sont examinées avec leurs complémentaires.
- Une vérification automatique refuse d'écrire le rapport si une de ces règles n'est pas respectée. Il n'y a pas de publication « en forçant ».
Vérification
Ce qui est vérifié par des tests, et non affirmé
Chaque promesse de cette page correspond à un test qui échoue si la promesse cesse d'être vraie.
Clés, scellement, substitution de clé, rejeu entre études.
Droits par rôle, verrouillage, journal d'audit, clôture.
Propriétés de la suppression, tableaux, exécution réelle.
Douze scènes, tous les rôles, dans un vrai navigateur.
- Une clé de médecin substituée est refusée à l'inscription : le téléphone compare l'empreinte portée par le lien — qui n'est jamais envoyée au serveur — avec celle que le serveur annonce.
- Un code participant volé ne suffit pas : il faut le PIN. Cinq échecs verrouillent le code quinze minutes, et le délai double à chaque fois. La même erreur s'affiche pour un mauvais code et un mauvais PIN.
- Un lien d'inclusion qui circule — carte perdue, message transféré — permet de s'inscrire comme patient de ce médecin, qui voit l'inscription et la rejette. Le rejet reste visible.
- Le journal d'audit est chaîné par empreintes. Une modification faite par un administrateur de base, garde-fous désactivés, est détectée : c'est testé.
- L'export ne contient que les réponses soumises et non rejetées : pas de code, pas d'identité, pas de texte libre, des identifiants de ligne à sens unique et stables d'un export à l'autre. Chaque téléchargement est journalisé, et une révocation prend effet immédiatement.
- Le responsable ne peut pas se désigner lui-même comme statisticien, et un médecin ne peut pas exporter.
Si vous êtes patient
Ce qu'on vous demande, et ce qu'on en fait
Vous arrivez ici par un lien que vous remet votre médecin, jamais par ce site
Votre médecin vous remet un lien d'inclusion : une carte à scanner, un message ou un courriel. Dans tous les cas il vient de lui, jamais de ce site. Vous l'ouvrez sur votre téléphone. Ce qui se passe ensuite :
- On vous explique l'étude et on vous demande votre consentement. Vous pouvez refuser.
- On vous demande votre nom et votre date de naissance. Ils sont chiffrés sur votre téléphone avant d'être envoyés, et seul votre médecin pourra les lire.
- Vous choisissez un code PIN et recevez un code participant. Gardez-les : ils vous permettent de revenir finir le questionnaire plus tard, y compris sur un autre appareil.
- Vous répondez. Chaque réponse est enregistrée au passage : si vous fermez la page, vous ne perdez rien.
- Vos réponses individuelles ne seront vues que par votre médecin. Ce qui sera publié, ce sont des totaux, où votre cas est noyé dans celui des autres.
Canarin, qui fait fonctionner la plateforme, ne peut pas lire votre nom. Ce n'est pas une promesse commerciale : le chiffrement a lieu sur votre téléphone, et nous ne détenons pas la clé qui l'ouvre.
Feuille de route
Ce qui arrive ensuite
Auspex 1.4 est complet sur le plan fonctionnel et testé. La version suivante est en développement ; voici ce qu'elle apporte.
Analyse
- Suppression croisée entre questions : aujourd'hui deux tableaux de questions liées pourraient en principe être différenciés l'un par l'autre.
- Modèles statistiques au-delà des tableaux descriptifs, pour les études qui en ont besoin.
Exploitation
- Rotation de clé pour un médecin, sans reprise manuelle.
- Envoi des invitations par courriel : aujourd'hui le lien circule par le canal que choisit le responsable.
- Purge automatique à l'échéance de conservation, qui est aujourd'hui une procédure et pas encore du code.
Avant la première étude
Les prérequis à lever
Auspex n'a pas encore reçu de vrais patients. Avant qu'il en reçoive, huit points doivent être traités — certains techniques, d'autres juridiques, aucun facultatif.
Techniques
- Revue indépendante du code de chiffrement et de la manipulation des clés
- Test d'intrusion sur l'API et les trois interfaces
- Revue de la configuration TLS du proxy
- Supervision : état de l'API, échecs du planificateur, vérification du journal d'audit
Juridiques et organisationnels
- Hébergement répondant aux exigences HDS, sur un compte séparé de la plateforme capteurs
- Accord de sous-traitance signé avec le promoteur, analyse d'impact déposée
- Procédure de conservation et de purge écrite, avec un responsable désigné
- Procédure d'incident : qui réinvite, qui lit le journal, que faire si la chaîne d'audit casse
La garde des données revient au médecin, et ce n'est pas un manque : c'est la conséquence du choix de conception. Le déchiffrement a lieu dans son navigateur. À partir du moment où il déverrouille sa clé, les noms et les réponses de ses patients sont lisibles sur son poste — et leur sécurité dépend alors de lui : le poste lui-même, la session ouverte, et la clé de secours qu'il conserve hors ligne. Canarin ne peut ni l'aider ni se substituer à lui, puisque nous n'avons pas la clé.
Cette garde pratique ne déplace pas les responsabilités juridiques : le responsable du traitement reste l'hôpital promoteur, le médecin investigateur agit sous la sienne, et Canarin demeure sous-traitant au sens de l'article 28. Le détail est dans le cadre juridique.
Cette liste est publiée parce qu'un comité de protection des personnes la demandera de toute façon, et qu'une plateforme de données de santé qui prétend n'avoir aucun prérequis n'est pas crédible. Elle est tenue à jour avec le code.
Cadre juridique
Qui est responsable de quoi
L'hôpital est promoteur
Il reste responsable du traitement. Les données de l'étude sont les siennes ; l'export pseudonymisé lui appartient.
Canarin est sous-traitant
Au sens de l'article 28 du RGPD, encadré par un accord de sous-traitance signé avant toute mise en service.
Les formalités restent au promoteur
Avis du comité de protection des personnes, déclaration CNIL — en général sous les méthodologies de référence MR-001 ou MR-003. Nous fournissons la documentation technique du dossier.
Études multicentriques
Un promoteur, plusieurs centres. Les cabinets privés participent comme centres d'une étude pilotée par un hôpital.
Questions fréquentes
Pour les hôpitaux et les cabinets
Les questions sur les capteurs de qualité de l'air sont traitées sur canarin-sensors.com.
Qui peut commanditer une étude ?
Les hôpitaux, en tant que promoteurs. Un cabinet privé peut participer comme centre d'une étude pilotée par un hôpital, ce qui permet à une même étude de s'étendre sur plusieurs établissements.
Faut-il un développeur ou une intégration informatique ?
Non. Le responsable d'étude fait tout depuis son navigateur : questionnaire, invitations, suivi, analyse, clôture. Côté établissement, il n'y a rien à installer. La seule contrainte technique est que les médecins disposent d'une application d'authentification sur leur téléphone.
Comment le questionnaire est-il construit ?
Soit directement par votre équipe dans l'éditeur, soit par nous à partir de vos documents — protocole, questionnaire papier, recommandations. Dans les deux cas l'expert relit et valide avant la mise en ligne, et la version validée est figée : toute modification après ouverture crée une nouvelle version, tracée.
Peut-on vérifier comment les résultats ont été calculés ?
Oui. L'analyse s'exécute en Python et son code est communiqué, avec la formule derrière chaque indicateur. Les règles de masquage des petits effectifs sont elles aussi publiques et testées.
Et si un médecin perd sa phrase de passe ?
Il utilise sa clé de secours, imprimée à l'activation, pour en définir une nouvelle. Sans cette clé, les identités de ses patients sont définitivement illisibles : Canarin ne peut pas les récupérer. C'est la contrepartie directe du fait que nous ne détenons pas la clé. La clé de secours doit être conservée hors ligne.
Une étude peut-elle être répétée ?
Oui. Une nouvelle vague ou un nouveau centre réutilise le même questionnaire validé ; seuls les liens d'inclusion et la campagne changent.
L'intelligence artificielle est-elle utilisée ?
Pas dans la plateforme. Auspex 1.4 produit des tableaux descriptifs, calculés par du code lisible, et rien d'autre : aucun modèle n'intervient dans les résultats publiés.
Les travaux d'analyse plus poussés — exploration de profils de risque au niveau populationnel, traitement des réponses en texte libre — relèvent d'une prestation d'étude distincte, discutée au cas par cas, où tout résultat est qualifié d'exploratoire. Aucun score de risque individuel n'est produit.
Où les données sont-elles hébergées ?
En France, sur une infrastructure séparée de la plateforme capteurs. L'hébergement répondant aux exigences HDS fait partie des prérequis à lever avant la première étude réelle. Nous préférons l'écrire que de l'annoncer trop tôt.
Les deux activités de Canarin
Canarin fait deux choses distinctes
Une même question les relie : ce à quoi nous sommes exposés, qu'est-ce que ça fait à notre santé ? Mais ce sont deux métiers, deux sites et deux bases de données séparées.
Les deux noms disent la même chose. Le canari descendait dans la mine pour avertir avant les hommes. L'auspex, à Rome, observait le vol des oiseaux pour en tirer ce qui allait venir — c'est de lui que vient le mot « auspices ». Deux manières de lire les oiseaux.
canarin-sensors.com
Canarin Capteurs
Mesurer l'air d'un lieu, en continu, et le rendre lisible. Matériel et accès à la plateforme.
- Pour les écoles, collectivités et entreprises
- Données de mesure, pas de données personnelles
- Obligations du décret sur la qualité de l'air intérieur
auspex.canarin-sensors.com
Canarin Auspex
Des questionnaires patients pour des études menées par des hôpitaux, dont les résultats sont publiés sans que personne ne soit identifiable.
- Pour les responsables d'étude, médecins investigateurs et statisticiens
- Données de santé, sous la responsabilité du promoteur
- Le patient arrive par un lien de son médecin
Vous y êtes
Rien ne circule entre les deux. Aucune mesure de capteur ne rejoint une étude, et aucune réponse de patient ne remonte vers la plateforme capteurs. Chaque activité a son hébergement, sa base, sa politique de confidentialité et sa base légale. Un rapprochement, s'il était un jour pertinent pour une étude, exigerait son propre accord et son propre passage devant un comité.
Accès
Entrer dans Auspex
Espace professionnel
Médecins et responsables d'étude. Il ouvre avec la première étude : l'accès se crée par invitation nominative, jamais en libre accès.
Reprendre un questionnaire
Avec votre code participant et votre PIN. Une première participation commence toujours par le lien que vous remet votre médecin, jamais par ce site.
Éditeur de questionnaire
Construire, traduire et prévisualiser le questionnaire tel que le verra un patient. Réservé aux responsables d'étude.
Monter une étude
Commençons par en parler. Dites-nous le sujet, le nombre de centres envisagés et l'échéance : nous répondons avec ce qui est faisable aujourd'hui et ce qui demande d'abord de lever un prérequis, sans rien enjoliver.
Et si votre cahier des charges demande autre chose, parlons-en : nos équipes peuvent étudier une adaptation des fonctionnalités existantes, ou un développement spécifique. Une étude ne rentre pas dans un moule — questions, langues, circuit d'inclusion, format du rapport. On regarde ensemble ce qui est possible, à quelles conditions, et ce qui ne l'est pas : c'est en en discutant qu'on le sait.
auspex@canarin-sensors.com