Données et sécurité

Qui est responsable ?

Le cabinet est responsable du traitement des données de ses patients (loi 09-08). Le prestataire de l'assistant est son sous-traitant : un contrat de sous-traitance est fourni au cabinet.

Ce qui est prévu dans l'assistant

• L'accord du patient est demandé au premier message, avant tout envoi à l'intelligence artificielle ; sans accord, seul le personnel lui répond.
• Le cabinet peut exporter ou effacer les données d'un patient à sa demande.
• Un journal indique qui, dans l'équipe, a ouvert quelle conversation et quand.
• Le tableau de bord peut être protégé par une double authentification.
• Le texte des messages est effacé automatiquement après la durée choisie avec le cabinet.
• Un écran « Conformité » réservé au responsable du cabinet récapitule ces éléments et prépare les formulaires de la CNDP. Il ne remplace pas l'autorisation de la CNDP.

Où vont les données

• Meta (WhatsApp) achemine les messages, avec un traitement aux États-Unis.
• Anthropic (intelligence artificielle, États-Unis) reçoit le texte des messages après l'accord du patient, sans son numéro de téléphone, et ne s'en sert pas pour entraîner ses modèles.
• Le serveur de l'assistant est prévu dans un centre de données de l'Union européenne ; il n'est pas encore choisi.
• Google Agenda, seulement si le cabinet choisit de relier son agenda.

Ces transferts hors du Maroc demandent une autorisation : le cabinet dépose auprès de la CNDP une demande d'autorisation (formulaire F113) et une demande de transfert par destinataire (formulaire F118). Le dossier est préparé avec lui.

Aucun patient réel avant la réponse de la CNDP ou un avis écrit d'un avocat.