VetoDossier
Analyse d'impact sur la protection des données
Version 1 — 31 août 2026. Document volontaire, publié.
Personne ne nous oblige à écrire cette page. Une analyse d'impact (AIPD) n'est exigée que pour les traitements à haut risque sur des personnes — et les informations de santé de votre animal ne sont pas des « données de santé » au sens du RGPD, qui vise la santé humaine. Nous l'avons faite quand même, et nous la publions : un carnet de santé, même animal, mérite qu'on se pose les questions par écrit — et que vous puissiez lire les réponses.
Ce que le produit fait, en cinq lignes
VetoDossier est le carnet de santé numérique des animaux de compagnie. Une clinique y dépose vos documents avec votre seul numéro de téléphone ; vous les retrouvez dans votre espace, vous en ajoutez vous-même, et vous décidez seul quelle clinique peut lire le dossier — y compris quand c'est la clinique qui le demande, par le numéro de puce. Un espace éleveur y ajoute les registres réglementaires. Le serveur est un canal de remise chiffré : il transporte et range, il ne produit aucun acte vétérinaire.
L'inventaire complet des données — quoi, pourquoi, combien de temps, avec quels prestataires — vit dans le registre des traitements publié. Cette page-ci traite des risques, et de ce qui est construit contre chacun.
La minimisation, dans les détails qui comptent
La règle générale — ne traiter que le nécessaire — se joue dans les petits choix. Quelques-uns, tels qu'ils sont réellement construits :
- La page d'urgence publique d'un animal ne porte aucune coordonnée de son propriétaire : un QR sur une médaille se photographie, ce qui y figure est pensé pour être vu.
- Quand une clinique consulte un dossier partagé, le propriétaire voit la clinique, le geste et la date — jamais l'identité interne du salarié qui a cliqué : elle ne lui apprendrait rien, elle reste dehors.
- Une clinique qui demande un dossier par numéro de puce reçoit la même réponse que le dossier existe ou non : la recherche ne peut pas servir à deviner qui est inscrit.
- Un champ vide affiche « Non renseigné », jamais « aucun » : un dossier ne fait jamais dire à l'absence de saisie autre chose que ce qu'elle est.
- Les codes de connexion et les clés d'accès des cliniques ne sont stockés que sous forme d'empreinte : nos propres disques ne connaissent pas les secrets qu'ils vérifient.
Vos droits, tels qu'ils sont câblés
Les droits ne sont pas une adresse email à qui écrire : ce sont des boutons dans le produit.
- Tout exporter : un fichier complet, depuis votre espace, sans rien demander à personne — consentements et historique de partage compris.
- Tout supprimer : depuis votre espace, avec un code envoyé par email ; la suppression est complète — fichiers chiffrés effacés du disque, pas une anonymisation de façade.
- Révoquer un accès : effet immédiat, re-vérifié à chaque requête de la clinique.
- Corriger vos identifiants vous-même : si votre email ou votre téléphone est erroné, vous vous connectez avec l'autre et vous corrigez — l'ancienne adresse est prévenue et peut annuler.
- Vous opposer : chaque email de prospection à une clinique porte un lien de désinscription en un clic ; le refus est conservé et re-vérifié avant chaque envoi.
Les risques étudiés, et ce qui existe contre chacun
| Risque | Ce qui est construit |
|---|---|
| Quelqu'un accède à des documents qui ne le concernent pas | Chiffrement de chaque document au repos (AES-256-GCM) ; droit d'accès re-vérifié par le serveur à chaque requête, jamais supposé ; une clinique ne voit que ses propres clients ou les dossiers qu'on lui a ouverts ; réponses identiques anti-devinette sur les recherches par puce ; verrouillage du compte après 5 échecs de connexion. |
| Un fichier malveillant entre dans un carnet | Chaque fichier est jugé sur ses premiers octets, pas sur le nom qu'il annonce ; analyse antivirus de chaque téléversement, refus en cas de doute — un fichier qu'on ne peut pas analyser n'entre pas. |
| Les données sont perdues (panne, sinistre, erreur) | Sauvegarde chaque nuit, chiffrée, vérifiée par déchiffrement réel ; copie dans un second centre de données (Strasbourg), verrouillée 30 jours contre toute suppression, y compris par nous ; la restauration complète a été éprouvée de bout en bout, pas seulement supposée possible. |
| L'historique de consentement est réécrit après coup | Chaque événement — demande, accord, refus, révocation, consultation — est scellé au précédent par une chaîne d'empreintes : modifier, retirer ou insérer une ligne casse la chaîne de façon détectable. Chaque nuit, le condensé de ces chaînes part dans l'archive verrouillée de Strasbourg : réécrire hier exigerait de réécrire une archive que même nos clés ne peuvent pas toucher pendant 30 jours. |
| Quelqu'un prend le contrôle d'un compte | Code par email sur tout navigateur inconnu ; changement d'email ou de téléphone soumis à un code à la nouvelle adresse ET à un droit de veto de l'ancienne ; le backoffice n'a aucun pouvoir sur les identifiants d'un compte personnel — c'est une règle de construction, vérifiée route par route. |
| Une clé de clinique circule ou se perd | La clé ne s'affiche nulle part : elle part par email à l'adresse vérifiée de la structure, se régénère en un clic, et l'ancienne meurt aussitôt ; un poste qui détient une clé périmée l'efface de lui-même. |
| Le serveur lui-même est attaqué | Accès d'administration par clé uniquement, mots de passe refusés, bannissement automatique des tentatives répétées ; l'application n'écoute que localement derrière le serveur web ; l'administration du produit exige un second facteur (TOTP) ; aucun détail technique interne ne sort dans les messages d'erreur. |
Les transferts hors de l'Union européenne
Un seul flux actif quitte l'Union : les notifications vers iPhone transitent par le service de notification d'Apple (APNs). Ce qui y passe : le titre et le texte du rappel — « Prise 3/28 » et le nom de l'animal — jamais un document, jamais le dossier. Le transfert est encadré par le cadre de protection des données UE–États-Unis, auquel Apple est certifiée. Tout le reste — base, documents, sauvegardes, emails — vit en France.
Ce que nous ne faisons pas
- Aucune vente ni location de données, à personne — ni annonceurs, ni courtiers, ni assureurs.
- Aucun cookie de suivi, aucune publicité.
- Aucune extraction automatique de donnée médicale depuis vos documents : un groupe sanguin mal lu par une machine sur une fiche d'urgence serait une transfusion ratée — cette règle est gravée.
- Aucun croisement des journaux techniques avec les données du carnet.
- Nous n'affirmons pas vérifier ce que nous ne vérifions pas : l'inscription d'un vétérinaire au tableau de l'Ordre repose sur sa déclaration sur l'honneur, et nos conditions le disent en toutes lettres.
Les limites, dites franchement
Aucun système n'élimine tout risque, et une analyse qui le prétendrait ne vaudrait rien. Ce que cette page décrit sont des mécanismes réels et éprouvés, pas des garanties absolues. Deux limites méritent d'être nommées : l'ancrage quotidien de l'historique de consentement est une preuve d'intégrité, pas un horodatage qualifié au sens du règlement eIDAS ; et la sécurité d'un compte repose aussi sur celle de votre boîte email — protégez-la comme telle.
Un document qui vit
Cette analyse est versionnée et sera révisée à chaque évolution notable du produit — l'activation d'une brique aujourd'hui éteinte (analyse par IA, notifications Android, mesure d'audience) en fera partie. Pas de délégué à la protection des données désigné à ce stade : la taille de la structure ne l'exige pas, et le contact est direct — contact@vetodossier.fr. Vous pouvez saisir la CNIL (cnil.fr) si vous estimez vos droits ignorés.