Ressources · Documentation La galaxie, expliquée à votre informaticien.

Comment les cinq logiciels s'installent, se raccordent à votre PACS, s'échangent des données et protègent celles de vos patients. De quoi décider, sans une ligne de configuration : les guides d'installation détaillés sont remis à chaque cabinet, à l'installation.

En ligne ou sur site, le même logiciel.

Chaque logiciel existe en deux éditions, construites à partir du même code. Ce qui les distingue s'active par un réglage d'édition, jamais par une version séparée : les deux suivent les mêmes corrections.

En ligne

Sur site

Où tournent les logiciels: En ligneAujourd'hui sur un serveur de démonstration, avec des données fictives. La certification HDS (hébergement de données de santé) est en cours : aucune donnée de patient avant son obtention.; Sur siteSur un serveur de votre cabinet, livrés en conteneurs Docker : la base de données, les logiciels retenus et, avec Astra ou Nova, un serveur DICOM.
Propre à l'édition: En ligneFacturation, plusieurs cabinets sur une même installation, télémétrie.; Sur siteLicence locale, intégrations propres au cabinet.
Mises à jour: En ligneDéployées par nous, après validation sur un environnement de préproduction qui ne contient aucune donnée réelle.; Sur siteUne commande : sauvegarde d'abord, puis la version choisie et ses migrations. Le retour à la version précédente suit le même chemin.
Accès des postes: En ligneUn navigateur.; Sur siteUn navigateur, par un nom de domaine en HTTPS ou sur le réseau local du cabinet.

Sur site, ce qui est déjà outillé

Des secrets forts, générés à l'installation et propres à votre cabinet. Ils ne sont jamais régénérés par accident.
Des certificats HTTPS automatiques avec un nom de domaine ; sur un réseau fermé, une autorité de certification locale, dont le certificat s'installe sur les postes.
Seuls les accès web restent exposés, plus le DICOM sur le réseau local.
Les logiciels installés ensemble s'appairent tout seuls, et la connexion unique est câblée si Celia ID fait partie du lot.
Des sauvegardes chiffrées (AES-256) de chaque base et des images DICOM, gardées quatorze jours par défaut. Un exercice de restauration, à planifier chaque semaine, les relit dans une base jetable sans toucher à la production.
Une restauration ne détruit jamais la base en place : l'ancienne est renommée et conservée.
Au départ d'un administrateur, les clés de chiffrement et les secrets se renouvellent en une commande : les données sont rechiffrées et toutes les sessions fermées.

Ce qu'il faut prévoir.

En ligne, l'essentiel est de notre côté : il vous reste les postes et le raccordement de l'imagerie. Sur site, le serveur et son environnement sont chez vous.

Dans tous les cas

Des postes équipés d'un navigateur récent : les logiciels sont des applications web.
Un micro sur les postes de dictée, pour Nova.
Un chemin réseau entre vos modalités et le serveur DICOM de la suite.
Un administrateur côté cabinet, qui invite l'équipe : aucun compte ne se crée tout seul.

Pour une installation sur site

Un serveur avec Docker et Docker Compose (version 2).
Un stockage persistant et chiffré pour les images, et un emplacement pour les sauvegardes.
Un nom de domaine, ou une autorité de certification locale sur un réseau fermé.
Un relais de messagerie situé dans l'Union européenne : invitations, réinitialisation des mots de passe, envoi des comptes rendus au prescripteur.
Une tâche planifiée pour les fonctions qui en dépendent : rappel de rendez-vous la veille, worklist des modalités, reprise des échanges en échec. L'installateur fournit le bloc prêt à coller ; sans lui, ces fonctions ne tournent pas, et rien à l'écran ne le signale.
Un accès internet sortant chiffré, pour les services d'IA (voir Sécurité).

De la modalité au compte rendu, en DICOM.

Nova et Astra s'appuient sur un serveur DICOM livré avec la suite, Orthanc, un logiciel libre. Il reçoit les examens, conserve les images et sert la liste de travail aux consoles. Le compte rendu, lui, repart vers le RIS.

Réception des examens: Les modalités envoient l'examen au serveur DICOM de la suite. Dès que l'étude est complète, elle apparaît dans la boîte de réception de Nova, patient et type d'examen déjà remplis.
PACS en place: Nova se raccorde au serveur d'images du cabinet : l'administrateur renseigne son adresse et ses identifiants, teste la connexion, et chaque examen terminé arrive avec son brouillon.
RIS en place: Avec Astra, le compte rendu validé revient directement dans le dossier. Avec un autre RIS, Nova le dépose en fichier, à l'emplacement que lit votre logiciel.
Gabarits: Nova rédige dans les gabarits du cabinet, pour chaque type d'examen. Ils s'importent depuis vos modèles Word existants et se partagent entre confrères.
Modalités: IRM, scanner, radiographie et échographie. Les autres examens sont rattachés à la modalité la plus proche ; leur libellé exact est conservé.
Worklist: Avec Astra, les consoles interrogent la liste de travail du jour : l'examen programmé apparaît sur l'IRM ou le scanner, sans ressaisie du patient. Sa mise en service passe par la passerelle DICOM du cabinet.
Images: Conservées par le serveur DICOM, sur un stockage qui doit être persistant et chiffré, et comprises dans les sauvegardes : une restauration rend les comptes rendus avec leur imagerie.
Réseau: Le DICOM circule sur le réseau local, tout le reste en HTTPS. Le port DICOM n'a pas à être ouvert sur internet ; s'il doit l'être, il est filtré par adresse source.

Qui envoie quoi, à qui.

Chaque logiciel a sa propre base de données, et aucun ne lit celle d'un autre : ils s'échangent des messages. Astra est au centre de tous les flux. Voici chacun, avec ce qu'il contient.

AstraversNova
L'ordre d'examen part vers le compte rendu
Le numéro d'accession, l'examen et son indication, l'identité du patient (nom, prénom, date de naissance), le prescripteur. Le reste du dossier ne suit pas.
NovaversAstra
Le compte rendu signé revient scellé, rattaché à son accession
Le compte rendu validé, sa version et son signataire (nom, RPPS). Si l'envoi échoue, le compte rendu n'est pas marqué comme envoyé : aucun échec silencieux.
PolarisversAstra
Les présences d'équipe : aucun créneau proposé hors des vacations
Qui est présent, à quel poste et à quelle heure ; qui est absent, et jusqu'à quand. Jamais le type d'absence, jamais son motif.
AstraversPolaris
La charge d'examens prévue, par modalité et jamais par patient
Des nombres d'examens, par jour et par modalité. Jamais une identité.
AstraversPulsar
Les praticiens du cabinet, importés par RPPS
Le prénom, le nom et le RPPS des radiologues, et le lien de prise de rendez-vous. Jamais d'adresse email de l'équipe, jamais de donnée patient.
PulsarversAstra
La demande de rendez-vous en ligne devient un RDV confirmé
La demande ne crée jamais de dossier : le secrétariat confirme le rendez-vous depuis l'agenda.
Celia IDverschaque logiciel
Une seule identité, pour Nova, Astra, Polaris et Pulsar
Aucune donnée de santé sur ces liaisons : elles ne portent qu'un compte.

Le tableau de bord du dirigeant, dans Astra, reçoit aussi des compteurs : présents du jour, visites du site, satisfaction des patients en moyenne. Des nombres, jamais un nom.

Comment ces messages sont protégés

Chaque message est signé avec un secret propre aux deux logiciels appairés, et horodaté : un message modifié ou rejoué est refusé.
L'appairage se fait en un clic, depuis l'écran Galaxie de chaque logiciel. Le secret n'est jamais affiché, ni transmis par le navigateur. Sur site, l'installateur appaire tout seul.
Un logiciel injoignable ne bloque pas les autres : l'agenda d'Astra fonctionne sans Polaris, le site du cabinet sans Astra. Les notifications d'Astra qui échouent sont retentées pendant plusieurs jours, puis signalées.
Les notifications entre logiciels ne transportent aucune donnée de santé : des jours, des modalités, des comptes.

Un identifiant pour quatre logiciels, et rien d'autre.

Celia ID repose sur OpenID Connect, le standard d'authentification du web, et non sur un système propriétaire. Un bouton « Continuer avec Celia ID » apparaît sur Nova, Astra, Polaris et Pulsar.

Ce qu'il fait: Il répond à « qui est-ce ? », jamais à « que peut-il faire ? » : chaque logiciel garde ses propres rôles et habilitations, et aucune donnée métier n'est stockée dans Celia ID.
Création des comptes: Pas d'inscription libre. Un administrateur invite une fois dans Celia ID ; la connexion unique relie ensuite un compte existant par l'adresse email vérifiée. Pas de création silencieuse, pas de compte fantôme.
Double authentification: Code à usage unique (TOTP) ou clé d'accès (passkey), avec codes de secours. Activée une fois dans Celia ID, elle protège les quatre logiciels.
Départ d'un collaborateur: « Désactiver partout » coupe le compte et ses sessions, et propage la désactivation à chaque logiciel où la personne avait accès.
Déconnexion: Se déconnecter de Celia ID ferme les sessions ouvertes dans chaque logiciel.
Si Celia ID s'arrête: Seule la connexion unique devient indisponible. Les sessions en cours continuent, et chaque logiciel reste intact.
Sur site: Optionnel. Sans Celia ID, chaque logiciel garde sa propre page de connexion.

Ce qui est signé ne se réécrit pas.

Un compte rendu est un document médico-légal. La traçabilité est là par construction, sans réglage à activer.

Validation: Le compte rendu validé porte le nom et le numéro RPPS du praticien. Ce n'est pas une signature électronique qualifiée.
Versions: Chaque modification est enregistrée et datée. On compare deux versions, on revient en arrière, on voit qui a écrit quoi et quand.
Scellement: À la signature, la version est scellée cryptographiquement et chaînée à la précédente : toute altération ultérieure devient détectable.
Amendements: Un compte rendu corrigé après envoi devient une nouvelle version, tracée, et le prescripteur reçoit la version à jour.
Journal: Chaque accès et chaque action sont journalisés et horodatés, chaque appel au modèle d'IA aussi.
Conservation: Vingt ans, selon le cadre réglementaire (article R1112-7 du Code de la santé publique).
Données personnelles: L'export prévu par le RGPD (articles 15 et 20) est intégré au logiciel, plutôt que traité au ticket.

Le cadre, point par point.

Hébergement, services d'IA, statut de chaque logiciel : ce qui s'applique, dit tel quel.

Hébergement: Sur site, ou en ligne; L'édition en ligne est aujourd'hui une démonstration, sur des données fictives. La certification HDS (hébergement de données de santé) est en cours : aucune donnée de patient ne sera reçue avant son obtention. L'édition sur site tourne sur le serveur du cabinet.
Services d'IA: Anthropic (Claude), par son API; Rédaction des brouillons, lecture des ordonnances et des mesures. Chaque appel est journalisé. Le traitement n'est pas cantonné à l'Europe.
Nova: Aide à la rédaction; L'IA prépare et surligne ses doutes, le radiologue relit, valide et signe. Nova n'a pas de marquage CE à ce jour ; sa qualification réglementaire n'est pas encore arrêtée.
Identité · Astra: INSi : développé, raccordement à venir; Le client du téléservice INSi est développé et testé sur simulateur. Son raccordement au service national reste à faire.
Worklist DICOM · Astra: Intégrée; Mise en service avec la passerelle DICOM du cabinet.
Polaris: Sans donnée de patient; Plannings et équipes. Les absences du personnel sont des données de ressources humaines.
Pulsar: RGPD ordinaire; Un site vitrine ne porte pas de donnée de santé.
Celia ID: En service; Il authentifie, et rien d'autre : aucune donnée métier.

Les mesures en place

Secrets et clés chiffrés en AES-256-GCM, sauvegardes chiffrées, HTTPS imposé partout.
Chaque cabinet est cloisonné : un compte ne voit que les données de son organisation.
Tentatives de connexion limitées, en-têtes de sécurité stricts, politique de sécurité du contenu sur chaque page.
Des journaux techniques sans données patient.

Les services d'IA

Le modèle qui rédige les brouillons de compte rendu et lit les ordonnances, dans Nova comme dans Astra, est Claude, appelé par l'API d'Anthropic ; son traitement n'est pas cantonné à l'Europe. Les bandeaux d'identité incrustés dans les images d'examen sont retirés avant envoi ; une ordonnance part entière, puisqu'il faut la lire. La dictée, elle, est transcrite sur place. Chaque appel au modèle est journalisé et compté.

Un problème, un bouton.

Chaque logiciel a un bouton « Signaler un problème ». Le signalement nous arrive avec son contexte technique (logiciel, version, écran), jamais un identifiant de dossier, et l'écran rappelle de ne recopier aucun nom de patient. Il reste dans notre console plutôt que chez un prestataire de support : rédigé devant un dossier ouvert, il peut contenir une donnée de santé.

Gravité

Ce que ça veut dire

Ce que nous faisons

Bloquant: Le cabinet ne peut pas travailler.; Traité avant tout le reste, correctif prioritaire.
Gênant: Un contournement existe.; Traité après les bloquants, correctif planifié.
Mineur: Confort, cosmétique, idée.; Examiné à la revue des signalements.

Le déclarant reçoit un accusé de réception, suit son signalement dans « Mes retours », et reçoit chaque soir un seul email qui dit ce qui a été fait.

Une question que cette page laisse ouverte ?

Les guides d'installation et les spécifications d'échange sont remis à chaque cabinet, à l'installation. Pour le reste, posez-nous la question : nous répondons sous deux jours ouvrés.

Poser une question