Sécurité et confidentialité sur Scriboupsy

Dossiers patients, notes, écrits psychologiques : Scriboupsy permet de conserver des informations qui demandent une attention particulière en matière de confidentialité et de sécurité.

Cela se traduit par des choix concrets, de l’hébergement des données à la protection de votre compte. Voici les principales mesures que nous avons mises en place chez Scriboupsy.

Des données hébergées en France, chez un hébergeur français certifié HDS v2

Les données de Scriboupsy sont hébergées en France chez AZNETWORK, un hébergeur 100 % français certifié HDS v2.

La certification HDS encadre spécifiquement l’hébergement des données de santé et impose des exigences fortes en matière de sécurité, de confidentialité et de protection des données. AZNETWORK est certifié HDS v2 pour l’ensemble des activités prévues par le référentiel.

Le chiffrement pour protéger vos données

Lorsque vous utilisez Scriboupsy, les échanges entre votre navigateur et Scriboupsy passent par une connexion chiffrée. Les informations sont ainsi protégées lors de leur transmission sur Internet.

Les sauvegardes sont également chiffrées lorsqu’elles sont conservées, afin d’ajouter une protection supplémentaire aux données qu’elles contiennent.

Plusieurs protections dès la connexion

Votre mot de passe n’est pas conservé sous une forme lisible. Il est transformé avant d’être enregistré, afin que Scriboupsy puisse vérifier le mot de passe saisi sans avoir besoin d’en conserver une copie lisible. Cette façon de stocker les mots de passe correspond aux recommandations de la CNIL.

Les tentatives répétées sont automatiquement ralenties. Après trois tentatives incorrectes, Scriboupsy impose quelques secondes d’attente avant de permettre de nouveaux essais. Ce principe de temporisation est recommandé par l’ANSSI : il empêche notamment un programme automatisé (« bot ») d’enchaîner rapidement les tentatives de connexion.

Vous pouvez renforcer encore votre compte avec la double authentification. Pour les traitements de données sensibles, notamment les données de santé, la CNIL recommande le recours à l’authentification multifacteur.

Nous avons choisi une double authentification avec une application d’authentification (TOTP), plus robuste que l’envoi d’un code par SMS. Le code temporaire est généré directement sur votre téléphone et ne transite pas par le réseau téléphonique. Ce choix suit également les recommandations de l’ANSSI, qui déconseille le SMS pour recevoir un facteur d’authentification.

Des accès techniques strictement protégés

Pour maintenir Scriboupsy, installer les mises à jour ou intervenir lorsqu’un problème technique le nécessite, certains accès au serveur sont nécessaires.

Ces accès sont strictement encadrés : ils sont protégés par une authentification renforcée, contrôlés et suivis, notamment avec AZNETWORK.

Nous appliquons également une approche dite « Zero Trust » : aucun accès n’est considéré comme fiable par défaut. Chaque accès doit être authentifié et autorisé, avec uniquement les droits nécessaires à l’intervention.

Une sécurité entretenue et vérifiée dans le temps

La sécurité doit être entretenue dans le temps. Scriboupsy et son environnement technique sont maintenus et mis à jour, notamment lorsque des correctifs de sécurité sont nécessaires.

Nous faisons aussi vérifier la sécurité depuis l’extérieur. AZNETWORK fait réaliser des audits indépendants sur les services Scriboupsy accessibles depuis Internet. Ces contrôles testent concrètement les protections mises en place, recherchent d’éventuelles faiblesses et permettent de les corriger lorsqu’une amélioration est nécessaire.

Des sauvegardes pour préserver vos données dans le temps

Protéger les données, c’est aussi en assurer la pérennité : pouvoir les conserver dans le temps et les retrouver lorsqu’elles sont nécessaires.

Pour un psychologue ou un psychothérapeute, cette continuité est particulièrement importante : certains dossiers doivent pouvoir être conservés de nombreuses années après la fin du suivi. Pour les données de santé, les durées peuvent être longues : à titre de repère, la CNIL retient une durée de 20 ans après la dernière prise en charge dans son référentiel consacré aux cabinets médicaux et paramédicaux. Nous détaillons la conservation des dossiers sur notre page « RGPD et psychologue ».

Les données de Scriboupsy sont donc sauvegardées automatiquement. Ces sauvegardes sont sécurisées et chiffrées.

Elles sont conservées sur plusieurs sites géographiquement séparés. Si un site rencontre un incident majeur, les différentes copies ne se trouvent donc pas toutes au même endroit.

Les procédures de restauration sont également testées, afin de vérifier que les sauvegardes permettent effectivement de récupérer les données en cas de besoin. Ces mesures — sauvegardes régulières, séparation géographique, protection des copies et tests de restauration — correspondent aux principales recommandations de la CNIL en matière de sauvegarde des données.

Des versions pour protéger vos écrits

Cette logique de protection existe aussi à l’échelle de vos écrits : une erreur de manipulation ne devrait pas faire disparaître un travail important.

Scriboupsy conserve automatiquement des versions horodatées de vos écrits psychologiques au fil de votre travail. Elles sont créées sans action particulière de votre part.

Une modification malheureuse ne signifie donc pas forcément repartir de zéro : vous pouvez simplement retrouver un état antérieur de votre écrit.

Nous avons toutefois choisi de ne pas tout historiser. Les notes personnelles et les brouillons ne sont pas conservés dans cet historique. Ils n’ont pas le même statut ni le même rôle dans le travail du psychologue, et nous ne souhaitons pas conserver une trace durable de chaque étape de rédaction ou de chaque brouillon.

Cette distinction est volontaire : protéger vos écrits ne signifie pas tout conserver indifféremment. Le fonctionnement de Scriboupsy s’adapte à la nature de l’écrit plutôt que d’appliquer la même règle à tous les contenus.