Aller au contenu
Ostheo

Sécurité et conformité

Ce qui protège vos dossiers.

Ce qui est en place dans Ostheo, ce qui reste à publier, et ce qui dépend de vous. Sans formule vague, et sans revendiquer de certification que nous n’avons pas encore montrée.

Ce qui protège vos dossiers

  1. Hébergement des données de santé

    Héberger des données de santé pour le compte d’un praticien impose un hébergeur certifié (CSP, art. L1111-8 (nouvel onglet)), avec un stockage dans l’Union européenne ou l’EEE. Ostheo est conçu pour fonctionner exclusivement dans ce cadre.

    À publier avant l’ouverture : nom de l’hébergeur, périmètre et numéro du certificat HDS, date de validité.

    À publier par l’éditeur

  2. Chiffrement

    Les échanges entre votre navigateur et Ostheo sont chiffrés (HTTPS, HSTS). Les données sont chiffrées au repos, sauvegardes comprises.

    Dans le produit

  3. Contrôle d’accès

    Chaque membre du cabinet a un rôle (titulaire, praticien, assistant, secrétariat) ; le secrétariat n’accède pas au contenu clinique. Un dossier peut être à accès restreint : seules les personnes désignées le consultent.

    Dans le produit

  4. Journal d’accès

    Chaque lecture, création, modification, impression ou export d’un dossier patient est enregistré (qui, quoi, quand, depuis quelle adresse). Le titulaire consulte ce journal. Voir le journal d’accès.

    Dans le produit

  5. Pas de données de santé dans les journaux techniques

    Nos journaux techniques et notre suivi d’erreurs masquent les données patient avant tout enregistrement.

    Dans le produit

  6. Durées de conservation

    Ostheo suit le repère du référentiel de la CNIL pour les cabinets paramédicaux (20 ans après la dernière prise en charge) et conserve les notes d’honoraires 10 ans. Les données cliniques et de facturation ne sont pas effacées par erreur : elles sont archivées.

    Dans le produit

  7. RGPD et sous-traitance

    Vous êtes responsable du traitement ; Ostheo traite les données uniquement pour fournir le service, selon vos instructions.

    À publier : accord de sous-traitance (article 28), liste des sous-traitants ultérieurs, contact du délégué à la protection des données.

    À publier par l’éditeur

  8. Sauvegardes et continuité

    Les sauvegardes sont réalisées chez l’hébergeur certifié, dans le même périmètre de sécurité que les données de production.

    À publier : fréquence, durée de rétention, tests de restauration.

    À publier par l’éditeur

  9. Assistant Theo

    Theo ne voit que ce que votre rôle autorise ; ses demandes qui touchent un patient sont tracées ; le contenu des demandes n’est pas conservé en clair dans nos journaux ; vos dossiers ne servent pas à entraîner de modèle. Voir Ostheo et l’IA.

    En test

  10. Mesure d’audience

    Google Analytics n’est chargé qu’après votre accord. Dans l’application, les adresses des pages sont réduites à des modèles de route et les titres à des libellés génériques : aucune donnée de patient n’est transmise. Voir la politique cookies.

    Dans le produit

  11. Réversibilité

    L’export des notes d’honoraires est disponible ; l’export complet des dossiers en formats ouverts est en cours de finalisation. Voir export et réversibilité.

    En test

Ce qui dépend de vous

La sécurité d’un cabinet tient aussi à quelques gestes simples.

  • Un mot de passe unique, que vous n’utilisez nulle part ailleurs.

  • Un poste de travail à jour, verrouillé quand vous quittez la pièce.

  • Le mode « patient visible » quand l’écran est tourné vers la table.

  • Des accès retirés le jour où un remplaçant termine sa mission.

Sources

Textes et pages officielles consultés pour rédiger cette page.

  1. [1]Code de la santé publique, article L1111-8 (hébergement de données de santé)Légifrance · legifrance.gouv.fr · consulté le 19 octobre 2026
  2. [2]Référentiel de certification HDS (version 2) : publication au Journal officielAgence du numérique en santé · esante.gouv.fr · consulté le 19 octobre 2026
  3. [3]Décret n° 2026-209 du 24 mars 2026 (stockage des données de santé dans l’UE/EEE)Légifrance · legifrance.gouv.fr · consulté le 19 octobre 2026
  4. [4]Référentiel CNIL des cabinets médicaux et paramédicaux (durées de conservation)CNIL · cnil.fr · consulté le 19 octobre 2026
  5. [5]Règlement (UE) 2016/679 (RGPD), article 28EUR-Lex · eur-lex.europa.eu · consulté le 19 octobre 2026

Questions fréquentes

Ostheo est-il hébergé chez un hébergeur certifié HDS ?

Ostheo est conçu pour fonctionner exclusivement chez un hébergeur certifié HDS, avec un stockage dans l’Union européenne. Le nom de l’hébergeur et la référence de son certificat seront publiés sur cette page avant l’ouverture.

Qui peut voir les dossiers de mes patients ?

Les membres de votre cabinet, selon leur rôle ; un dossier à accès restreint n’est visible que des personnes désignées. Chaque accès est tracé dans le journal.

Mes données servent-elles à autre chose qu’au service ?

Non : pas de publicité, pas de revente, pas d’entraînement de modèles d’IA sur vos dossiers.

Pour aller plus loin

Ostheo, logiciel pour ostéopathes

Le cabinet, enfin aligné.

Dossier patient, consultation, schéma corporel, agenda et notes d’honoraires conformes, avec Theo pour les brouillons.

Essayer OstheoVoir les tarifs