Politique de confidentialité de l'extension

L'extension est réservée aux professionnels de santé. Elle se connecte avec une adresse email, par Google ou par un lien reçu à cette adresse, et ne s'active que si cette adresse est certifiée sur DoctAuth. Une adresse non certifiée peut se connecter, mais l'extension reste inactive jusqu'à sa certification.

Sur les pages web que vous consultez, l'extension repère les adresses email écrites à l'écran, ainsi que, dans Gmail et Outlook, l'adresse derrière le nom d'un expéditeur ou d'un destinataire. Elle ne lit ni les mots de passe, ni les champs cachés.

Dans Gmail et Outlook, pour le cachet DoctAuth, elle lit sur votre poste le message que vous envoyez (destinataires, objet, texte) afin d'en calculer des empreintes, et le message que vous ouvrez afin d'y retrouver un cachet et de le vérifier. Dans Gmail, elle lit aussi l'en-tête technique du message ouvert (« Afficher l'original ») pour afficher le verdict d'authentification du domaine de l'expéditeur. Ces lectures restent dans votre navigateur.

Les adresses repérées sont comparées, sur votre poste, à une liste d'empreintes des adresses certifiées, fournie par DoctAuth. Une adresse qui n'y figure pas ne quitte jamais votre navigateur : les adresses de vos patients, de vos proches ou de vos fournisseurs ne sont jamais transmises.

Messages chiffrés (fonction expérimentale, si vous l'activez) : l'extension repère les blocs chiffrés DoctAuth dans les messages que vous ouvrez et les déchiffre sur votre poste, avec votre clé. Le texte déchiffré n'est affiché que dans un cadre de l'extension, isolé de la page de votre messagerie, qui ne peut ni le lire ni voir vos frappes. Dans Gmail et Outlook web, en mode chiffré, l'objet et le texte se tapent dans ce cadre et sont chiffrés dans votre navigateur avant d'être enregistrés comme brouillon : votre messagerie ne reçoit que le bloc chiffré et un objet générique. Les adresses des destinataires que vous saisissez sont d'abord comparées sur votre poste à la liste d'empreintes ; seule une adresse reconnue comme certifiée est confirmée auprès de DoctAuth pour retrouver la clé de chiffrement de son titulaire.

Pièces jointes chiffrées : un fichier que vous joignez en mode chiffré est lu sur votre poste et chiffré dans le cadre de l'extension avant d'être déposé dans Gmail ou Outlook sous un nom neutre (« piece-jointe-N.doctauth ») ; son nom réel, son type et sa clé voyagent dans le message chiffré. À la lecture, l'extension télécharge le fichier chiffré depuis les serveurs de votre messagerie (mail.google.com, googleusercontent.com, attachments.office.net, attachment.outlook.live.net), uniquement depuis un onglet de cette messagerie et uniquement pour ces fichiers, vérifie son empreinte, le déchiffre sur votre poste et vous le propose sous son vrai nom. Les antivirus de votre messagerie ne voient pas le contenu de ces pièces : le contrôle revient à votre poste.

Votre adresse de connexion, pour vérifier qu'elle est certifiée, envoyer le lien de connexion et suivre votre certification.

Les adresses reconnues comme certifiées, pour confirmer la reconnaissance et afficher l'identité professionnelle de leur propriétaire : nom, profession, numéro RPPS, date de certification. Ces informations sont celles que le professionnel a choisi de rendre vérifiables en certifiant son adresse.

Pour signer un message, des empreintes (hachages) de ses destinataires, de son objet et de son texte, jamais le texte lui-même ni les adresses en clair. DoctAuth signe ces empreintes et renvoie le cachet, ajouté en pied de message. Pour vérifier un cachet reçu, le cachet lui-même, qui ne contient que ces empreintes.

Pour les messages chiffrés, la partie publique de votre clé de chiffrement et des enveloppes de votre clé privée protégées par le secret de garde de vos appareils, la passkey de votre téléphone ou votre code de récupération : DoctAuth les conserve pour vous les rendre sur un autre appareil, mais ne peut pas les ouvrir. Lors d'un appairage, il relaie entre votre ordinateur et votre téléphone une charge chiffrée qu'il ne peut pas lire, pendant deux minutes. Pour écrire à un confrère, l'empreinte de son adresse (déjà certifiée) et sa clé publique sont demandées à DoctAuth ; pour lire un message, son cachet est vérifié comme tout cachet. Les messages, chiffrés ou en clair, et leurs pièces jointes ne transitent jamais par DoctAuth ni par les serveurs de l'extension : DoctAuth ne peut lire aucun message chiffré, ni aujourd'hui ni plus tard.

Pour votre téléphone appairé, DoctAuth enregistre la passkey créée sur le téléphone (identifiant et clé publique, libellé de l'appareil, date de dernier usage), un identifiant aléatoire et un libellé pour chaque poste équipé de l'extension, et une enveloppe du secret de garde scellée par la passkey du téléphone. Ni la passkey ni l'enveloppe ne permettent à DoctAuth de retrouver votre clé : le téléphone ne détient d'ailleurs jamais la clé privée, seulement le secret qui ouvre l'enveloppe de vos postes.

Pour demander à un confrère d'activer le chiffrement, quand vous écrivez chiffré à un destinataire qui n'a pas encore de clé et que vous cliquez vous-même sur « Lui demander d'activer le chiffrement » : l'adresse du destinataire et votre adresse d'expédition. DoctAuth n'en garde que des empreintes (« X souhaite écrire chiffré à Y ») et lui envoie un email nominatif en votre nom, ou une invitation à certifier son adresse s'il ne l'est pas. Ni l'objet ni le texte de votre brouillon ne sont transmis. Une demande par destinataire et par trente jours ; le destinataire peut refuser ces emails. Vous recevez un email de retour quand il a activé le chiffrement.

Un abonnement aux notifications du navigateur, pour que l'extension soit prévenue sans délai quand la liste des adresses certifiées change. Ces notifications sont silencieuses et ne contiennent aucune donnée.

Si vous vous connectez avec Google, Google transmet à DoctAuth votre adresse email et sa confirmation. Rien d'autre n'est demandé à Google.

Sur votre poste : votre session, la liste d'empreintes, les confirmations des dernières heures et vos réglages ; si vous avez activé les messages chiffrés, votre clé privée de chiffrement, rangée dans le navigateur sous une forme que même l'extension ne peut pas exporter, le secret de garde de ce poste, la liste des demandes d'activation envoyées (trente jours) et les clés publiques de vos destinataires (une heure). Les messages et pièces déchiffrés ne sont jamais enregistrés : ils n'existent que dans le cadre de l'extension, le temps de l'affichage, ou dans le fichier que vous choisissez d'enregistrer. Tout est effacé à la déconnexion ou à la désinstallation (la clé reste récupérable grâce à ses enveloppes, depuis votre téléphone appairé ou avec votre code de récupération).

Sur les serveurs de l'extension, hébergés dans l'Union européenne : votre adresse de connexion, votre statut de certification et l'identité professionnelle associée, tant que vous utilisez l'extension ; les demandes de connexion, dix minutes ; les abonnements aux notifications, tant qu'ils sont valides ; des compteurs anti-abus sans donnée personnelle, un jour. Les confirmations d'adresses ne sont pas conservées.

DoctAuth conserve, comme pour tout éditeur utilisant son API, la trace des vérifications effectuées : empreinte de l'adresse vérifiée, date, et résultat, sans l'adresse en clair. Les cachets de messages ne sont pas conservés : DoctAuth ne garde qu'un nombre de cachets par praticien et par jour. Les clés de chiffrement publiques et les enveloppes de clé privée sont conservées tant que le chiffrement est activé, puis tant que vous ne les révoquez pas (elles servent à relire les anciens messages) ; une clé sans usage depuis quatre-vingt-dix jours cesse d'être annoncée à vos confrères. Les passkeys et appareils appairés sont conservés jusqu'à ce que vous les oubliiez depuis doctauth.fr/appareils ; les charges d'appairage relayées entre vos appareils sont effacées au bout de quelques minutes. Les demandes d'activation du chiffrement adressées à un confrère déjà certifié ne sont conservées que sous forme d'empreintes des deux adresses, avec leurs dates, pour appliquer la règle d'une demande par trente jours et prévenir le demandeur une seule fois quand le destinataire active sa clé ; si le destinataire n'est pas encore certifié, c'est une invitation DoctAuth qui part, avec son adresse en clair et votre nom, comme pour toute invitation (douze mois). Rien de ce que DoctAuth conserve pour le chiffrement ne lui permet de lire un message.

Vous pouvez vous déconnecter à tout moment, ou déconnecter tous vos appareils depuis la fenêtre de l'extension. Pour accéder à vos données, les rectifier ou les supprimer, écrivez à contact@doctauth.fr. Les droits relatifs à votre identité professionnelle et à vos adresses certifiées s'exercent sur votre compte DoctAuth.