Enquêtes santé pour études hospitalières
Des questionnaires santé dont nous ne pouvons pas lire les noms.
Un responsable d'étude monte son questionnaire, choisit comment inclure les participants (en mode ouvert, sans collecter d'identité ; en mode nominatif, avec une identité chiffrée pour le médecin seul), ouvre l'étude et suit le recrutement depuis son navigateur, sans développeur. Les participants répondent depuis leur téléphone. Les résultats sont publiés sans que personne ne soit identifiable.
Auspex 1.10 — version fonctionnelle complète et testée. Une nouvelle version est en cours de développement, avec des optimisations. L'état d'avancement — phase pilote interne.
Le mécanisme central
En mode nominatif, l'identité du participant est chiffrée sur son téléphone, pour son médecin seul
Canarin ne détient jamais une identité en clair : en mode ouvert, il n'en existe aucune ; en mode nominatif, le serveur ne stocke que ce que la clé du médecin peut ouvrir.
Ce mécanisme concerne le mode nominatif. Nom et date de naissance chiffrés dans le navigateur du participant vers la clé publique du médecin — ECDH P-256, dérivation HKDF-SHA256, chiffrement AES-GCM. Les données associées lient le message à l'étude et au médecin : déplacé vers une autre étude ou modifié d'un seul octet, il ne s'ouvre plus. La clé privée du médecin n'existe en clair que dans la session de son navigateur, et ne peut pas en être extraite.
SUR LE TÉLÉPHONE DU PARTICIPANT
Le chiffrement a lieu ici
En mode nominatif, au moment du consentement, le téléphone chiffre le nom et la date de naissance. Ce qui part vers le serveur est déjà illisible. L'adresse doit être en https : sans cela, la page refuse de fonctionner plutôt que de chiffrer mal.
SUR LE SERVEUR CANARIN
Il ne reste que du chiffré
Des identités illisibles (mode nominatif), des réponses rangées sous un code aléatoire, et les adresses professionnelles. En mode ouvert, aucune identité n'est stockée. Quelqu'un qui obtiendrait un accès complet au serveur ne pourrait pas relier une réponse à une personne.
DANS LE NAVIGATEUR DU MÉDECIN
Le déchiffrement a lieu ici
En mode nominatif, le médecin déverrouille sa clé avec sa phrase de passe et voit les noms de ses participants à côté de leurs codes. Personne d'autre, Canarin compris, ne peut faire ce rapprochement.
Deux modes d'inclusion
Large diffusion ou suivi nominatif : le responsable choisit, étude par étude
Le mode se choisit à la création de l'étude et se verrouille à son ouverture. Il détermine ce qui est collecté sur les participants — et donc ce qui existe à protéger.
MODE OUVERT — ENQUÊTES GLOBALES
Participer en un scan, sans donner son identité
Pour une diffusion large, quand l'identité n'a aucune utilité pour l'étude.
- Diffusion large : affiches, QR codes en salle d'attente, newsletters, stands, conférences. Le responsable crée des liens globaux ; chaque médecin dispose aussi de son lien personnel.
- Participation instantanée, sans identité : consentement, code PIN, puis questionnaire. Aucune donnée d'état civil n'est demandée ni stockée.
- Reprise avec le code participant et le PIN, y compris sur un autre appareil.
- Recrutement en temps réel : scans, inscriptions et questionnaires soumis, par lien. Ce sont des compteurs, jamais des personnes.
MODE NOMINATIF — ENQUÊTES CIBLÉES
Une cohorte fermée, suivie par son médecin
Pour les études où le médecin doit pouvoir retrouver chaque participant.
- Inclusion par les praticiens : le médecin crée un code à usage unique par patient, affiché à l'écran ou imprimé en planche d'autocollants QR (aucune donnée patient sur la planche).
- Identité chiffrée de bout en bout : nom et date de naissance sont chiffrés dans le navigateur du participant, vers la clé du médecin.
- Inclusion confirmée automatiquement ; le médecin peut la dé-confirmer ou la rejeter. Chaque code ne sert qu'une fois et expire au bout de 30 jours.
- Cohorte fermée, suivi sécurisé : seules les personnes munies d'un code peuvent s'inscrire, et le médecin retrouve les siennes.
RGPD et secret médical. Le mode ouvert applique la minimisation des données : aucune identité n'est collectée, il n'y a donc rien à chiffrer. Le mode nominatif applique le chiffrement asymétrique (ECDH P-256, AES-GCM, décrit plus haut) : seule la clé du médecin ouvre l'identité. Dans les deux modes, le responsable d'étude supervise le recrutement sans jamais voir d'identité, et peut effacer l'étude à tout moment après son ouverture : les données personnelles sont alors supprimées de façon irréversible, les résultats publiés et le journal d'audit sont conservés. Dans les deux modes, le participant peut arrêter à tout moment.
Modèle de confiance
Qui voit quoi, exactement
Ce tableau est la réponse à la question que posent les comités de protection des personnes. Chaque ligne est appliquée par la base de données elle-même, pas seulement par l'interface.
| Rôle | Nom du participant (mode nominatif) | Réponses individuelles | Code participant | Recrutement par centre | Export pseudonymisé |
|---|---|---|---|---|---|
| Médecin investigateur | Oui ses participants, en mode nominatif seulement | Oui ses participants uniquement | Oui complet pour les siens, masqué ailleurs | Non | Non |
| Responsable d'étude | Non aucune route ne le permet | Non aucun accès aux lignes participants | Non | Oui effectifs, dernière connexion des médecins | Oui données de son propre promoteur |
| Statisticien | Non | Non aucune ligne participant ne lui est rendue | Non | Non | Oui études accordées, révocable à tout moment |
| Canarin, l'éditeur | Non chiffré en mode nominatif ; aucune identité en mode ouvert | Techniquement oui, mais sous code aléatoire, non reliable à une personne | Techniquement oui | Non | Non |
| Public | Non | Non | Non | Non | Non |
Le public ne voit que la page de résultats : des tableaux agrégés, dont les petits effectifs sont masqués. Rien d'individuel n'y figure, jamais.
Déroulé d'une étude
Six étapes, du questionnaire vide aux résultats publiés
L'ordre compte : chaque étape débloque la suivante. Une étude ne peut pas s'ouvrir sans questionnaire, et en mode nominatif un médecin ne peut pas créer de code patient tant qu'il n'a pas créé ses clés.
Créer l'étude et construire le questionnaire
Huit types de questions, des conditions d'affichage (telle question n'apparaît que si telle réponse a été donnée) et six langues, dans un éditeur avec aperçu côté participant. L'étude démarre en brouillon. Le responsable choisit aussi le mode d'inclusion, ouvert ou nominatif, qui se verrouille à l'ouverture.
Inviter les médecins, ouvrir l'étude
Les médecins sont ajoutés par adresse de courriel. Le lien d'activation est à usage unique et expire. L'étude ne peut pas s'ouvrir sans questionnaire ; une fois ouverte, toute modification crée une nouvelle version.
Activer son compte, obtenir son lien ou ses clés
Mot de passe de douze caractères minimum, plus une application d'authentification. En mode ouvert, le médecin reçoit son lien personnel et sa carte QR imprimable. En mode nominatif, il génère aussi ses clés de chiffrement, indispensables pour créer des codes patients ; une clé de secours imprimable permet de changer de phrase de passe, et Canarin ne peut pas la remplacer.
Scanner un QR code ou saisir son code, consentir, répondre
Mode ouvert : consentement, choix d'un PIN, puis questionnaire, sans nom ni date de naissance. Mode nominatif : le participant utilise le code à usage unique remis par son médecin ; nom et date de naissance sont chiffrés sur le téléphone avant l'envoi. Dans les deux cas, le code participant et le PIN permettent de reprendre plus tard, sur un autre appareil. Les réponses sont enregistrées au fur et à mesure.
Suivre, confirmer ou rejeter les inclusions
En mode nominatif, le médecin voit les noms de ses participants et lit les réponses ; l'inclusion est confirmée automatiquement, il peut la dé-confirmer. En mode ouvert, il suit ses participants par code, sans nom, et le responsable suit le recrutement par lien en temps réel. Un rejet est définitif, motivé par une liste fixe, et visible de tous les professionnels de l'étude — code complet pour celui qui rejette, masqué pour les autres.
Analyser, clôturer, publier
Une analyse intermédiaire tourne chaque jour sans intervention. À la date de fin, l'étude se clôt d'elle-même, l'analyse finale s'exécute et la page publique bascule dessus. Les comptes et les sessions sont supprimés, les liens et codes d'inclusion meurent ; les réponses restent lisibles par leur médecin, et en mode nominatif les identités aussi. Le responsable peut aussi effacer l'étude à tout moment après son ouverture : les données personnelles disparaissent, les résultats publiés et le journal d'audit sont conservés.
Publication
Pourquoi un tableau public ne permet pas de remonter à une personne
Masquer les petits effectifs ne suffit pas
Si une case compte moins de dix personnes, on la masque. Mais masquer une seule case d'une ligne ne protège rien : il suffit de soustraire les autres du total pour la retrouver. Auspex masque donc aussi une case supplémentaire, choisie pour que la soustraction ne donne plus rien.
| Tranche | Publié | Sans la seconde suppression |
|---|---|---|
| 18–39 | 42 | 42 |
| 40–59 | masqué | masqué |
| 60+ | masqué | 35 |
| Total | 84 | 84 |
À droite, on déduit immédiatement que la tranche 40–59 compte 7 personnes. À gauche, non.
Les autres règles
- Le tableau d'ensemble et les tableaux par centre sont traités comme un seul tableau, pour qu'on ne puisse pas les différencier entre eux.
- Les petits centres sont regroupés plutôt que publiés séparément.
- Aucun minimum ni maximum n'est publié : une valeur extrême désigne souvent une personne.
- Aucune réponse en texte libre ne sort, jamais — un participant peut y avoir écrit son nom.
- Les questions à choix multiples sont examinées avec leurs complémentaires.
- Une vérification automatique refuse d'écrire le rapport si une de ces règles n'est pas respectée. Il n'y a pas de publication « en forçant ».
Vérification
Ce qui est vérifié par des tests, et non affirmé
Chaque promesse de cette page correspond à un test qui échoue si la promesse cesse d'être vraie.
Clés, scellement, substitution de clé, rejeu entre études.
Droits par rôle, verrouillage, journal d'audit, clôture.
Propriétés de la suppression, tableaux, exécution réelle.
Douze scènes, tous les rôles, dans un vrai navigateur.
- Une clé de médecin substituée est refusée à l'inscription : le téléphone compare l'empreinte portée par le lien — qui n'est jamais envoyée au serveur — avec celle que le serveur annonce.
- Un code participant volé ne suffit pas : il faut le PIN. Cinq échecs verrouillent le code quinze minutes, et le délai double à chaque fois. La même erreur s'affiche pour un mauvais code et un mauvais PIN.
- Un lien d'inclusion qui circule — carte perdue, message transféré — permet de s'inscrire comme participant de ce médecin, qui voit l'inscription et la rejette. Le rejet reste visible.
- Le journal d'audit est chaîné par empreintes. Une modification faite par un administrateur de base, garde-fous désactivés, est détectée : c'est testé.
- L'export ne contient que les réponses soumises et non rejetées : pas de code, pas d'identité, pas de texte libre, des identifiants de ligne à sens unique et stables d'un export à l'autre. Chaque téléchargement est journalisé, et une révocation prend effet immédiatement.
- Le responsable ne peut pas se désigner lui-même comme statisticien, et un médecin ne peut pas exporter.
Si vous participez à une étude
Ce qu'on vous demande, et ce qu'on en fait
Vous arrivez par un QR code, un lien ou un code, pas en cherchant sur ce site
Selon l'étude, vous scannez un QR code (affiche, salle d'attente, newsletter, ou carte de votre médecin) ou vous ouvrez le lien ou le code à usage unique que votre médecin vous remet. Dans tous les cas il ne vient pas de ce site. Vous l'ouvrez sur votre téléphone. Ce qui se passe ensuite :
- On vous explique l'étude et on vous demande votre consentement. Vous pouvez refuser.
- Selon le mode de l'étude : en mode nominatif, on vous demande votre nom et votre date de naissance, chiffrés sur votre téléphone avant d'être envoyés, et seul votre médecin pourra les lire ; en mode ouvert, aucune identité n'est demandée.
- Vous choisissez un code PIN et recevez un code participant. Gardez-les : ils vous permettent de revenir finir le questionnaire plus tard, y compris sur un autre appareil.
- Vous répondez. Chaque réponse est enregistrée au passage : si vous fermez la page, vous ne perdez rien.
- Vos réponses individuelles ne sont jamais publiées. Ce qui sera publié, ce sont des totaux, où votre cas est noyé dans celui des autres.
Canarin, qui fait fonctionner la plateforme, ne peut pas lire votre nom. En mode ouvert, il n'existe pas ; en mode nominatif, ce n'est pas une promesse commerciale : le chiffrement a lieu sur votre téléphone, et nous ne détenons pas la clé qui l'ouvre.
Feuille de route
Ce qui arrive ensuite
Auspex 1.10 est complet sur le plan fonctionnel et testé. La version suivante est en développement ; voici ce qu'elle apporte.
Analyse
- Suppression croisée entre questions : aujourd'hui deux tableaux de questions liées pourraient en principe être différenciés l'un par l'autre.
- Modèles statistiques au-delà des tableaux descriptifs, pour les études qui en ont besoin.
Exploitation
- Rotation de clé pour un médecin, sans reprise manuelle.
- Envoi des invitations par courriel : aujourd'hui le lien circule par le canal que choisit le responsable.
État d'avancement
Ce qui est fait avant une première étude hospitalière
Auspex est en phase pilote interne : aucune étude hospitalière réelle n'a encore commencé. Les points de sécurité et d'exploitation ci-dessous ont été traités ; la liste est tenue à jour avec le code.
Techniques (octobre 2026)
- Revue indépendante du code de chiffrement et de la manipulation des clés, et test d'intrusion : constats de gravité haute et moyenne corrigés
- Configuration TLS du proxy (HSTS) et script de contrôle
- Supervision : état de l'API, échecs du planificateur, vérification du journal d'audit, sauvegardes chiffrées
Juridiques et organisationnels
- Hébergement répondant aux exigences HDS, sur un compte séparé de la plateforme capteurs
- Procédure de conservation et de purge écrite, avec un responsable désigné ; purge automatique à l'échéance
- Procédure d'incident : qui réinvite, qui lit le journal, que faire si la chaîne d'audit casse
La garde des données revient au médecin, et ce n'est pas un manque : c'est la conséquence du choix de conception. Le déchiffrement a lieu dans son navigateur. À partir du moment où il déverrouille sa clé, les noms et les réponses de ses participants sont lisibles sur son poste — et leur sécurité dépend alors de lui : le poste lui-même, la session ouverte, et la clé de secours qu'il conserve hors ligne. Canarin ne peut ni l'aider ni se substituer à lui, puisque nous n'avons pas la clé.
Cette garde pratique ne déplace pas les responsabilités juridiques : le responsable du traitement reste l'hôpital promoteur, le médecin investigateur agit sous la sienne, et Canarin demeure sous-traitant au sens de l'article 28. Le détail est dans le cadre juridique.
Cette liste est publiée parce qu'un comité de protection des personnes la demandera de toute façon, et qu'une plateforme de données de santé qui ne montre pas où elle en est n'est pas crédible. Elle est tenue à jour avec le code.
Cadre juridique
Qui est responsable de quoi
L'hôpital est promoteur
Il reste responsable du traitement. Les données de l'étude sont les siennes ; l'export pseudonymisé lui appartient.
Canarin est sous-traitant
Au sens de l'article 28 du RGPD.
Les formalités restent au promoteur
Avis du comité de protection des personnes, déclaration CNIL — en général sous les méthodologies de référence MR-001 ou MR-003. Nous fournissons la documentation technique du dossier.
Études multicentriques
Un promoteur, plusieurs centres. Les cabinets privés participent comme centres d'une étude pilotée par un hôpital.
Questions fréquentes
Pour les hôpitaux et les cabinets
Les questions sur les capteurs de qualité de l'air sont traitées sur canarin-sensors.com.
Qui peut commanditer une étude ?
Les hôpitaux, en tant que promoteurs. Un cabinet privé peut participer comme centre d'une étude pilotée par un hôpital, ce qui permet à une même étude de s'étendre sur plusieurs établissements.
Faut-il un développeur ou une intégration informatique ?
Non. Le responsable d'étude fait tout depuis son navigateur : questionnaire, invitations, suivi, analyse, clôture. Côté établissement, il n'y a rien à installer. La seule contrainte technique est que les médecins disposent d'une application d'authentification sur leur téléphone.
Quelle différence entre une enquête ouverte et une enquête nominative ?
Une enquête ouverte est faite pour la diffusion large (affiche, newsletter, salle d'attente) : on participe en scannant un QR code, sans qu'aucun nom ni aucune date de naissance ne soit demandé, et le responsable suit le recrutement en temps réel (scans, inscriptions, questionnaires soumis). Une enquête nominative est une cohorte fermée : le médecin remet à chaque patient un code à usage unique, et l'identité est chiffrée dans le navigateur du patient pour le médecin seul.
Le mode se choisit à la création de l'étude et ne peut plus changer une fois l'étude ouverte. Choisissez le mode ouvert si l'identité des personnes n'apporte rien à l'étude (minimisation des données) ; le mode nominatif si le médecin doit pouvoir retrouver ses patients.
Comment le questionnaire est-il construit ?
Soit directement par votre équipe dans l'éditeur, soit par nous à partir de vos documents — protocole, questionnaire papier, recommandations. Dans les deux cas l'expert relit et valide avant la mise en ligne, et la version validée est figée : toute modification après ouverture crée une nouvelle version, tracée.
Peut-on vérifier comment les résultats ont été calculés ?
Oui. L'analyse s'exécute en Python et son code est communiqué, avec la formule derrière chaque indicateur. Les règles de masquage des petits effectifs sont elles aussi publiques et testées.
Et si un médecin perd sa phrase de passe ?
Il utilise sa clé de secours, imprimée à l'activation, pour en définir une nouvelle. Sans cette clé, les identités de ses participants sont définitivement illisibles : Canarin ne peut pas les récupérer. C'est la contrepartie directe du fait que nous ne détenons pas la clé. La clé de secours doit être conservée hors ligne.
Une étude peut-elle être répétée ?
Oui. Une nouvelle vague ou un nouveau centre réutilise le même questionnaire validé ; seuls les liens d'inclusion et la campagne changent.
L'intelligence artificielle est-elle utilisée ?
Pas dans la plateforme. Auspex 1.10 produit des tableaux descriptifs, calculés par du code lisible, et rien d'autre : aucun modèle n'intervient dans les résultats publiés.
Les travaux d'analyse plus poussés — exploration de profils de risque au niveau populationnel, traitement des réponses en texte libre — relèvent d'une prestation d'étude distincte, discutée au cas par cas, où tout résultat est qualifié d'exploratoire. Aucun score de risque individuel n'est produit.
Où les données sont-elles hébergées ?
En France, sur un hébergement répondant aux exigences HDS, séparé de la plateforme capteurs.
Les deux activités de Canarin
Canarin fait deux choses distinctes
Une même question les relie : ce à quoi nous sommes exposés, qu'est-ce que ça fait à notre santé ? Mais ce sont deux métiers, deux sites et deux bases de données séparées.
Les deux noms disent la même chose. Le canari descendait dans la mine pour avertir avant les hommes. L'auspex, à Rome, observait le vol des oiseaux pour en tirer ce qui allait venir — c'est de lui que vient le mot « auspices ». Deux manières de lire les oiseaux.
canarin-sensors.com
Canarin Capteurs
Mesurer l'air d'un lieu, en continu, et le rendre lisible. Matériel et accès à la plateforme.
- Pour les écoles, collectivités et entreprises
- Données de mesure, pas de données personnelles
- Obligations du décret sur la qualité de l'air intérieur
auspex.canarin-sensors.com
Canarin Auspex
Des questionnaires santé pour des études menées par des hôpitaux, dont les résultats sont publiés sans que personne ne soit identifiable.
- Pour les responsables d'étude, médecins investigateurs et statisticiens
- Données de santé, sous la responsabilité du promoteur
- Le participant arrive par un QR code, un lien ou le code de son médecin
Vous y êtes
Rien ne circule entre les deux. Aucune mesure de capteur ne rejoint une étude, et aucune réponse de participant ne remonte vers la plateforme capteurs. Chaque activité a son hébergement, sa base, sa politique de confidentialité et sa base légale. Un rapprochement, s'il était un jour pertinent pour une étude, exigerait son propre accord et son propre passage devant un comité.
Accès
Entrer dans Auspex
Espace professionnel
Médecins et responsables d'étude. L'accès se crée par invitation nominative, jamais en libre accès.
Reprendre un questionnaire
Avec votre code participant et votre PIN. Une première participation commence toujours par un QR code, un lien ou un code remis par votre médecin ou l'équipe de l'étude, jamais par ce site.
Éditeur de questionnaire
Construire, traduire et prévisualiser le questionnaire tel que le verra un participant. Réservé aux responsables d'étude.
Monter une étude
Commençons par en parler. Dites-nous le sujet, le nombre de centres envisagés et l'échéance : nous répondons avec ce qui est faisable aujourd'hui et ce qui demande d'abord de lever un prérequis, sans rien enjoliver.
Et si votre cahier des charges demande autre chose, parlons-en : nos équipes peuvent étudier une adaptation des fonctionnalités existantes, ou un développement spécifique. Une étude ne rentre pas dans un moule — questions, langues, circuit d'inclusion, format du rapport. On regarde ensemble ce qui est possible, à quelles conditions, et ce qui ne l'est pas : c'est en en discutant qu'on le sait.
auspex@canarin-sensors.com