Politique de confidentialité
Dernière mise à jour : 9 septembre 2026. Redactys, service édité par Redactys.
En bref
Redactys est un outil d'aide à la rédaction de bilans psychomoteurs. Le praticien utilisateur reste responsable de traitement des données de ses patients ; Redactys intervient comme sous-traitant au sens de l'article 28 du RGPD. Vos bilans sont sauvegardés en France, chez un hébergeur certifié pour les données de santé. Ils sont chiffrés dans votre navigateur avant de partir : Redactys n'a pas la clé. Les notes saisies transitent par ailleurs vers un prestataire de traitement par IA pour la génération du texte, un traitement qui a lieu dans l'Union européenne. Ce point est détaillé ci-dessous.
Les conditions précises sont décrites dans l'accord de sous-traitance (DPA), accepté lors de la création du compte praticien.
Qui est responsable de quoi ?
- Le praticien est responsable de traitement des données patient. Il détermine ce qu'il saisit dans l'outil et conserve la maîtrise du dossier patient sur ses propres supports (logiciel métier, dossier papier).
- Redactys est sous-traitant : il met à disposition l'outil et traite les données uniquement sur instruction documentée du praticien.
- Un prestataire de traitement par IA est sous-traitant ultérieur : il génère les textes à partir des notes pseudonymisées, dans un traitement situé en Union européenne. Un second prestataire, situé aux États-Unis, calcule les embeddings d'un résumé pseudonymisé du corpus de style ; ce transfert-là reste encadré par les Clauses Contractuelles Types (CCT) de la Commission européenne.
- D'autres sous-traitants techniques interviennent (hébergement dans l'Union européenne, acheminement des e-mails de sécurité, paiement en ligne, protection du site public contre les robots et les attaques) : ils ne reçoivent que des données pseudonymisées ou techniques, jamais de données patient identifiantes. La liste nominative est communiquée au praticien sur simple demande.
Base légale du traitement
Le traitement des données patient s'inscrit dans la mission de soin du praticien psychomotricien (art. 6.1.c : obligation légale ; art. 9.2.h : soins de santé par un professionnel soumis au secret professionnel).
Le traitement des données du compte praticien (e-mail, mot de passe, nom, prénom, profession, numéro RPPS) repose sur l'exécution du contrat de service entre le praticien et Redactys (art. 6.1.b : exécution d'un contrat). La vérification du numéro RPPS auprès de l'annuaire officiel répond en outre à l'intérêt légitime de n'ouvrir cet outil qu'à de véritables professionnels de santé (art. 6.1.f).
Quelles données et où vivent-elles ?
Ce que Redactys stocke (côté serveur) :
- compte praticien : e-mail, mot de passe haché, nom, prénom, profession, numéro RPPS, date de création ;
- statistiques d'usage anonymisées : nombre de générations par module et dates (jamais le contenu) ;
- date d'acceptation du DPA et de la politique de confidentialité ;
- messages d'assistance : le texte des messages que vous nous envoyez depuis le bouton d'aide de l'application, et nos réponses. Ce texte est lisible par l'éditeur : c'est le principe même d'une messagerie d'assistance. Il passe par la même vérification de confidentialité que le reste de vos saisies avant de quitter votre navigateur, et nous vous demandons de n'y écrire aucun nom de patient.
Ce que Redactys ne peut jamais lire :
- vos bilans sauvegardés. Ils sont conservés, mais chiffrés sur votre poste avant d'être envoyés, avec une clé dérivée de votre mot de passe. Redactys ne détient pas cette clé.
Ce qui ne sera jamais écrit en clair sur nos serveurs :
- notes cliniques saisies dans les formulaires ;
- textes générés par l'IA (anamnèses, corps de bilan, conclusions) ;
- fichiers PDF importés (exports de cotation) ;
- retours de la supervision du bilan.
Ces textes traversent nos serveurs le temps de la génération, en mémoire seulement. Ils ne sont ni enregistrés, ni journalisés.
Où vivent vos données patient :
- dans le localStorage de votre navigateur, sur votre poste de travail, jusqu'à ce que vous cliquiez sur « Réinitialiser » ;
- dans le coffre de sauvegarde hébergé en France, sous forme chiffrée : le bilan y est déposé fermé par votre navigateur et vous le retrouvez sur vos autres appareils en vous reconnectant. La clé se recalcule à partir de votre mot de passe, sur votre poste, et ne part jamais ;
- de manière transitoire dans la mémoire vive (RAM) des serveurs de Redactys le temps de traiter une requête, sans aucune persistance ;
- de manière transitoire chez le prestataire de traitement par IA, le temps de générer la réponse (voir paragraphe suivant).
Sous-traitance IA (Union européenne pour la génération)
Pour générer les textes, Redactys appelle un modèle Claude exécuté par Amazon Web Services, dans son service Bedrock, en France. À chaque génération, les notes pseudonymisées saisies par le praticien sont envoyées à ce service, qui renvoie le texte produit. Le traitement a lieu dans l'Union européenne : le fournisseur du modèle, Anthropic, ne reçoit rien directement, c'est Amazon Web Services qui l'invoque pour son propre compte.
En cas d'indisponibilité de ce service, un prestataire de repli, Mistral AI (société française), peut assurer la génération, sur les mêmes notes pseudonymisées, également dans l'Union européenne.
Dictée vocale : si le praticien choisit de dicter ses notes, chaque phrase est envoyée sous forme de son, par nos serveurs, à Mistral AI, qui la transcrit et renvoie le texte. Une voix ne peut pas être pseudonymisée avant l'envoi : ce prestataire peut donc entendre un nom prononcé. Il conserve les sons reçus 30 jours au plus, pour la seule surveillance des abus, et ne les utilise jamais pour entraîner ses modèles. Le texte transcrit rejoint ensuite les notes du praticien et passe, comme tout texte tapé, par la vérification des informations identifiantes avant toute génération. La dictée est facultative : le praticien peut toujours taper ses notes.
Lecture du cahier de cotation : le praticien peut faire lire une photo ou un PDF de la page de résultats d'une batterie de motricité. L'image ne part qu'après avoir été recadrée par le praticien dans son navigateur, pour en ôter l'en-tête qui porte le nom de l'enfant, sa date de naissance et son école : ce qui est hors du cadre n'existe plus dans le fichier transmis. L'image recadrée est lue par le même service (Amazon Web Services, Bedrock, en France), sans conservation, et seuls les chiffres relevés reviennent, dans une grille que le praticien vérifie. Un PDF qui contient du texte est lu sur place, sans rien envoyer. Cette lecture est facultative : la grille se remplit aussi à la main.
Durée de conservation chez le prestataire de génération : aucune chez Amazon Web Services, qui assure la génération ordinaire : le service ne conserve pas les notes transmises au-delà du temps de traiter la requête. Chez le prestataire de repli, Mistral AI, sollicité seulement en cas d'indisponibilité du premier, les données transmises peuvent être conservées 30 jours au plus, pour la seule surveillance des abus. Aucun des deux n'utilise les données soumises pour entraîner ses modèles, et l'un comme l'autre s'y engagent contractuellement.
Transfert hors UE : ce flux de génération ne constitue plus un transfert vers les États-Unis. Un transfert subsiste néanmoins pour un autre flux : le calcul des embeddings du corpus de style, confié à un prestataire situé aux États-Unis, qui ne reçoit qu'un résumé pseudonymisé de chaque paire de bilans (ou les 500 premiers caractères), jamais le bilan complet. Ce transfert-là reste encadré par les Clauses Contractuelles Types (CCT) de la Commission européenne (décision d'exécution 2021/914).
Données de santé concernant des mineurs : protections renforcées
Les bilans psychomoteurs portent majoritairement sur des mineurs et contiennent des données de santé au sens de l'article 9 du RGPD. À ce titre :
- aucune donnée patient n'est lisible par Redactys : les bilans sont chiffrés dans le navigateur, avec une clé dérivée du mot de passe du praticien, avant d'être enregistrés. Redactys n'a pas cette clé ;
- aucun collaborateur de Redactys n'a accès en lecture aux notes cliniques ni aux textes générés ;
- le praticien peut, à tout moment, purger les données stockées localement dans son navigateur depuis l'interface ;
- l'information des patients et de leurs représentants légaux quant à l'usage d'un outil d'IA générative relève du praticien, conformément aux articles 13 et 14 du RGPD.
Durées de conservation
- Notes et textes générés : jamais écrits en clair sur les serveurs de Redactys. Rien non plus chez le prestataire de traitement par IA qui génère le texte, traitement situé en Union européenne et sans conservation. Sur votre poste : tant que vous ne cliquez pas sur « Réinitialiser ».
- Bilans sauvegardés : conservés chiffrés en France tant que vous ne les supprimez pas, et effacés avec votre compte. Redactys ne détient pas la clé et ne peut pas les lire.
- Données de paiement : conservées par le prestataire de paiement au titre de ses obligations comptables. Redactys ne conserve aucun numéro de carte.
- Compte praticien : conservé tant que vous l'utilisez. Vous pouvez en demander la suppression à tout moment, y compris après une résiliation : elle est effectuée sous 30 jours, et efface aussi vos bilans sauvegardés en ligne. Sans demande de votre part, le compte est conservé, pour que vous puissiez revenir sans rien perdre.
- Compteurs d'usage anonymisés : conservés sous forme agrégée à des fins statistiques internes.
- Messages d'assistance : conservés 24 mois, puis effacés automatiquement. Vous pouvez demander leur effacement à tout moment, sans attendre ce délai.
Connexion avec un compte Google
Vous pouvez, si vous le souhaitez, vous connecter avec votre compte Google plutôt qu'avec un mot de passe. Le formulaire classique reste proposé à côté : ce choix vous appartient entièrement.
Si vous l'utilisez, Redactys reçoit de Google votre adresse e-mail, la confirmation qu'elle est vérifiée, votre prénom et votre nom. Rien d'autre. Aucune donnée patient n'est transmise à Google, à aucun moment. Google agit ici pour son propre compte, en tant que responsable de traitement de votre compte Google, et non comme sous-traitant de Redactys.
Vérification de votre numéro RPPS
Votre numéro RPPS est obligatoire pour utiliser Redactys. À l'inscription, il est vérifié auprès de l'Annuaire Santé, le référentiel officiel publié par l'Agence du Numérique en Santé. Seul ce numéro est transmis : ni votre nom, ni votre adresse e-mail, ni la moindre donnée patient. L'annuaire nous renvoie le nom qui y est déclaré, votre statut d'activité et votre profession ; cette réponse n'est pas conservée. Cet organisme est une autorité publique française, il n'est pas un sous-traitant de Redactys.
Vérification de votre numéro SIREN
Si vous renseignez un numéro SIREN pour vos factures, il est vérifié auprès de l'Annuaire des Entreprises, le service public qui publie le registre des entreprises françaises. Seul ce numéro est transmis : ni votre nom, ni votre adresse e-mail, ni la moindre donnée patient. L'annuaire nous renvoie la dénomination officielle, l'adresse du siège et l'état de l'établissement ; cette réponse n'est pas conservée, et la dénomination qu'il renvoie n'est jamais enregistrée. Ce numéro est facultatif : sans lui, vous utilisez Redactys normalement. Un numéro absent du registre ne bloque rien non plus, et c'est fréquent pour une entreprise individuelle qui a demandé la confidentialité de ses données. Cet organisme est une autorité publique française, il n'est pas un sous-traitant de Redactys.
Liste des sous-traitants
- Hébergement et base de données : France, chez un hébergeur certifié pour les données de santé ; les bilans y sont conservés chiffrés, illisibles par l'hébergeur comme par Redactys.
- Génération de texte par intelligence artificielle : génération des textes à partir de données pseudonymisées, traitement situé en France, sans conservation.
- Transcription de la dictée vocale : conversion en texte de la voix du praticien, phrase par phrase, uniquement lorsqu'il choisit de dicter ; traitement situé en France, son conservé 30 jours au plus et jamais utilisé pour entraîner un modèle.
- Embeddings du corpus de style : calcul d'un vecteur numérique à partir d'un résumé pseudonymisé de chaque paire de bilans du corpus (États-Unis, CCT de la Commission européenne).
- Acheminement d'e-mails de sécurité : États-Unis (CCT + Data Privacy Framework) ; e-mail du compte et adresse IP uniquement, aucune donnée patient.
- Paiement en ligne : entité contractante dans l'Union européenne, transferts intragroupe couverts par les CCT et le Data Privacy Framework. Vos coordonnées bancaires sont saisies chez le prestataire et ne passent jamais par nos serveurs.
- Protection du réseau et acheminement du courrier : réseau mondial (CCT + Data Privacy Framework). Ce service protège le site public et achemine les e-mails reçus sur nos adresses de contact. Votre espace de rédaction est servi en dehors de ce réseau : aucune note, même pseudonymisée, ne le traverse.
- La liste nominative des sous-traitants est communiquée au praticien sur simple demande.
Vos droits (RGPD)
Conformément aux articles 12 à 22 du RGPD, vous disposez sur vos données personnelles d'un droit :
- d'accès et de copie ;
- de rectification ;
- d'effacement (« droit à l'oubli ») ;
- à la limitation du traitement ;
- à la portabilité ;
- d'opposition.
Pour exercer ces droits sur les données de votre compte praticien, écrivez à [email protected]. Pour les droits concernant les patients, la demande doit être adressée directement au praticien, qui détient le dossier patient.
Vous disposez également du droit d'introduire une réclamation auprès de la CNIL.
Intelligence artificielle et information des patients
Redactys utilise l'IA pour aider les praticiens à rédiger leurs bilans. Les notes de consultation sont pseudonymisées dans le navigateur, avant tout envoi au système d'IA : les éléments identifiants (noms, dates, coordonnées, adresses, établissements) sont remplacés sur votre poste, et la table de correspondance qui permet de les rétablir n'en sort jamais. Aucune donnée identifiante n'est lisible sur les serveurs de Redactys : ce qui y est conservé est chiffré, et la clé reste sur le poste du praticien.
Conformément à la recommandation 7.2 du référentiel HAS-CNIL (février 2026), chaque bilan exporté contient une mention informant le patient de l'assistance de l'IA.
Droit d'opposition : tout patient peut s'opposer à l'utilisation de l'IA en informant son praticien. Pour en savoir plus : information à destination des patients.
Risques spécifiques liés à l’IA générative
Conformément aux recommandations CNIL (fiche 8, systèmes d'IA), nous vous informons des risques spécifiques suivants.
Risque de régurgitation
Les modèles d'IA générative peuvent théoriquement reproduire des fragments de données issus de leur entraînement (phénomène dit de « régurgitation »). Dans notre architecture, ce risque est fortement atténué : les notes de consultation sont pseudonymisées en 7 étapes dans le navigateur avant tout envoi au modèle. Aucune donnée identifiante patient ne quitte votre poste. Le prestataire de traitement par IA s'engage contractuellement à ne pas utiliser les données soumises via son API pour entraîner ses modèles.
Mécanismes de recours
Si vous observez un comportement inattendu du système (production d'un contenu suspect ou identifiant), signalez-le immédiatement :
- à votre praticien (responsable de traitement des données patient) ;
- ou directement à [email protected].
Nous nous engageons à traiter tout signalement dans les 72 heures et à notifier la CNIL si une violation de données est caractérisée.
Point de contact RGPD
Pour toute question relative à la protection de vos données :