Ce site conserve le strict nécessaire à son fonctionnement. Cette page dit quoi,
pourquoi, combien de temps, qui y accède, et comment le faire effacer.
Ce qui est conservé
Une fiche par donnée. Rien d’autre n’est collecté que ce qui est listé ici.
Compte — adresse e-mail, nom affiché, mot de passe (haché), profil, établissement (facultatif)
Pourquoi
Ouvrir une session, signer vos messages, adapter l’affichage selon votre profil
Combien de temps
Tant que le compte existe
Qui y accède
Vous ; l’administrateur — jamais le mot de passe, haché (bcrypt) et donc illisible pour quiconque, y compris pour nous
Ce que vous écrivez — tâches décrites au registre, contributions, anomalies signalées
Pourquoi
Le cœur du registre des automatisations et du suivi de maintenance
Combien de temps
Tant que le compte existe (le fil survit, anonymisé, si le compte est supprimé)
Qui y accède
Public une fois paru ; l’administrateur avant parution et pour les notes internes
« Je suis concerné »
Pourquoi
Faire remonter ce qui touche le plus de monde, pour décider par quoi commencer
Combien de temps
Tant que le compte existe, ou jusqu’à ce que vous vous retiriez
Qui y accède
Le nombre d’agents concernés est public ; qui s’est déclaré ne l’est pas
Captures d’écran jointes à un message
Pourquoi
Illustrer une anomalie ou une question
Combien de temps
Tant que le message auquel elles sont jointes existe
Qui y accède
Public une fois le message paru ; l’administrateur avant parution
Date de dernière visite
Pourquoi
Vous montrer ce qui a changé depuis votre dernier passage
Combien de temps
Remplacée à chaque connexion
Qui y accède
Vous ; l’administrateur
Téléchargements — empreinte de l’adresse IP (jamais l’adresse en clair)
Pourquoi
Savoir quel poste tourne en retard sur la dernière version publiée
Combien de temps
Tant que la version concernée reste au journal
Qui y accède
L’administrateur
Tentatives de connexion et d’inscription — adresse IP, adresse e-mail saisie
Pourquoi
Empêcher un essai en série de mots de passe et la création massive de comptes
Combien de temps
24 heures
Qui y accède
Personne, en pratique : sert uniquement au compteur automatique qui bloque les tentatives excessives
Fondement juridique : l’exécution du service que vous demandez en créant un
compte, et l’intérêt légitime à protéger le site contre les abus (tentatives de
connexion, création massive de comptes).
Le « profil » que vous pouvez indiquer à l’inscription est volontairement large —
agent, encadrement, informatique, ou rien du tout : ni service précis, ni
fonction, ni établissement obligatoire. Cette imprécision est délibérée : un
niveau de détail plus fin permettrait de vous identifier au sein d’un service
restreint.
Les captures d’écran que vous joignez
Deux formulaires acceptent une capture d’écran : le dépôt d’une anomalie et le
dépôt d’un sujet. Le dépôt d’une demande, lui, ne le propose pas : le champ y
reste fermé tant que la DSI n’a pas été informée. Là où il existe, voici
exactement ce qui se passe — y compris ce que ce site ne fait pas.
Dans votre navigateur, avant tout envoi — si JavaScript est
actif, un outil de masquage (le « pochoir ») affiche l’image et vous laisse
tracer des rectangles noirs sur ce qui ne doit pas être vu. C’est cette image
retouchée, et elle seule, qui part vers le serveur : si vous masquez une zone,
l’original non masqué ne quitte jamais votre poste.
Sur le serveur, à la réception — l’image est décodée puis
intégralement ré-encodée. Cette étape retire les métadonnées
éventuellement présentes dans le fichier d’origine (position, appareil, date,
auteur) et neutralise un fichier piégé : ce qui est enregistré n’est jamais
l’octet reçu du navigateur, mais une image régénérée par le serveur.
En attente de parution — comme tout premier message d’un
compte, l’image reste invisible du public jusqu’à ce qu’un membre du service
l’ait regardée. Seul l’administrateur y a accès pendant ce temps.
Parue — l’image devient visible de tous, comme le message
qu’elle accompagne. Vous pouvez en demander le retrait à tout moment ; elle est
alors effacée du disque, pas seulement masquée à l’affichage.
Ce que ce site ne fait à aucun moment : lire le contenu de votre
image. Aucun programme n’y cherche du texte, un numéro, un nom ou un
visage : il n’existe ici aucune reconnaissance de caractères, aucune détection
automatique de ce qui est sensible. Le ré-encodage décrit ci-dessus change les
octets du fichier ; il ne regarde jamais ce que l’image montre. Concrètement,
rien sur ce site ne sait repérer un visage, un badge nominatif, un
post-it manuscrit, ou un document posé derrière l’écran — un train de
caractères qui ressemble à un numéro de dossier n’est pas davantage repéré.
Seuls deux garde-fous existent : l’outil de masquage que vous
utilisez avant l’envoi, et la relecture humaine avant parution.
C’est pourquoi la page de dépôt le rappelle avant le champ de fichier :
joignez une capture d’écran nette de l’écran du logiciel, jamais une photo de
votre poste de travail.
Aucune donnée de santé
Ce site n’est pas un outil de soin : il présente des logiciels de
facturation, gère leur maintenance et accueille le registre des automatisations.
Aucune donnée de patient — nom, numéro de séjour, date de naissance, ou tout
élément qui permettrait d’identifier une personne prise en charge — ne doit jamais
y être déposée, dans un message comme dans une capture d’écran.
Ce qui arriverait malgré tout par erreur est supprimé sur
signalement, sans délai et sans qu’il soit nécessaire de justifier la
demande. Écrivez à l’adresse ci-dessous : le message ou l’image concernés sont
retirés dès que le signalement est traité.
Ce qui n’est pas fait
Pas de mesure d’audience, pas de traceur publicitaire, pas de bouton de réseau
social, pas de police ni de script chargés depuis un service tiers :
aucune donnée n’est transmise à qui que ce soit d’extérieur. Tout
ce que la page affiche vient de ce serveur, y compris les polices de caractères,
qui reprennent celles déjà présentes sur votre ordinateur.
Un seul témoin de connexion est déposé, nommé fabnord_sess : il ne
sert qu’à vous garder connecté et disparaît à la fermeture du navigateur.
Strictement nécessaire au fonctionnement du site, il ne demande pas de
consentement — et c’est pourquoi ce site n’affiche aucune bannière de cookies.
Le site est hébergé en France, sur un serveur d’IONOS — société dont le siège est
à Sarreguemines (Moselle). Vos données restent sur ce serveur : elles ne sont ni
vendues, ni cédées, ni transférées hors de l’Union européenne.
Vos droits
Vous pouvez demander à consulter, corriger ou effacer vos données, ou vous opposer
à leur traitement. La suppression de votre compte entraîne celle de vos messages,
sauf les fils auxquels d’autres personnes ont répondu : ceux-là survivent, votre
part y devenant anonyme.
Une seule adresse pour tout cela :
fab.nord@aphp.fr.
Réponse sous un mois.
En cas de désaccord, vous pouvez saisir la Commission nationale de l’informatique
et des libertés (CNIL),
www.cnil.fr.