La sécurité des données de santé est notre priorité. Voici, en toute transparence, les mesures techniques et organisationnelles que nous appliquons pour protéger les comptes des professionnels, des centres et les données des patientes.
Chiffrement
TLS 1.3 sur tous les échanges, mots de passe hashés avec bcrypt (cost ≥ 12), tokens JWT signés HS256 7 jours.
Contrôle d'accès
Rôles stricts (Pro, Centre, Super Admin), isolation des données par rôle, vérification serveur sur chaque appel API préfixé /api.
Hébergement
MongoDB Atlas (réplication multi-zones), sauvegardes automatiques quotidiennes, restauration testée.
Authentification
Réinitialisation mot de passe en 3 étapes avec code à usage unique 10 min, brute-force limité, sessions révocables.
Audit & traçabilité
Journalisation des connexions, des accès aux dossiers patients et des actions admin (centres, naissances, paiements).
Réponse aux incidents
Procédure documentée de notification dans les 72h en cas de violation, conformément à la loi 2013-450.
1. Architecture sécurisée
- Backend FastAPI cloisonné par rôle, chaque endpoint vérifie le
userTypedu JWT avant tout accès à la base. - Variables sensibles (clés JWT, mots de passe admin) stockées dans les variables d'environnement, jamais dans le dépôt source.
- Validation systématique des entrées via Pydantic (anti-injection, anti-overflow).
2. Bonnes pratiques côté professionnel
- Choisissez un mot de passe d'au moins 12 caractères mêlant lettres, chiffres et symboles.
- Ne partagez jamais votre mot de passe ni votre code d'invitation centre.
- Déconnectez-vous depuis les ordinateurs partagés et signalez tout comportement suspect.
- Mettez votre poste à jour (système, navigateur, antivirus).
3. Conservation des données de santé
Les dossiers médicaux maternels et infantiles sont conservés jusqu'à 20 ans après la dernière consultation, puis anonymisés ou supprimés. L'utilisateur peut à tout moment exercer ses droits via infos@e-medicare.co.
4. Programme de divulgation responsable
Vous avez identifié une faille ? Merci de nous la communiquer de manière responsable à infos@e-medicare.co. Nous nous engageons à accuser réception sous 48h, à ne pas engager de poursuites en cas de signalement éthique, et à mentionner les contributeurs (avec leur accord) dans notre Hall of Fame.
5. Notification des violations
En cas d'incident de sécurité affectant des données personnelles, les utilisateurs concernés et l'ARTCI sont notifiés dans un délai maximal de 72 heures, conformément à la loi 2013-450.