Santé
Des API et de l'IA sur des données sensibles, sans les laisser sortir.
Flexway vous aide à répondre aux exigences de confidentialité et de traçabilité des données de santé : requêtes sensibles épinglées sur vos modèles internes, aucune donnée personnelle dans les journaux, chaque accès tracé.
Ce que Flexway décide, chez vous
Qui appelle, ce que Flexway décide, ce qui est appelé : chaque trajet est un cas d'usage de votre secteur. En pointillé, ce qui est à venir.
Architecture pour la santé : les applications de soins, les établissements partenaires et l'assistant IA passent par Flexway, dans votre infrastructure. Flexway applique les portées et les rôles du contrat, identifie les partenaires par certificat client, audite sans contenu, route chaque requête de modèle par politique et épingle une requête sensible sur le modèle interne, devant le dossier patient et le modèle interne. Une requête sensible est servie par le modèle interne ; sans backend interne, elle reçoit un 403, jamais un modèle externe.
- Apps de soins
- Les applications de soins : leurs appels au dossier patient passent par Flexway, sous les portées et les rôles du contrat.
- Établissements
- Les établissements partenaires : identifiés par certificat client, leur tenant prouvé est transmis à vos services.
- Assistant IA
- Un assistant IA : il appelle les modèles par la surface compatible OpenAI de Flexway, sous budget et routage par politique.
- Portées et rôles du contrat
- Les portées et les rôles exigés viennent du contrat ; un appelant hors portée reçoit 403.
- Certificat client
- Le certificat client (mTLS) identifie chaque partenaire et le lie à son tenant, transmis prouvé à vos services.
- Requête sensible épinglée
- Une requête marquée sensible ne part que vers un modèle interne, jamais vers un fournisseur externe.
- Routage par politique
- Flexway choisit le modèle par politique : backend par défaut, dérogation déclarée ou plafond souple selon la requête.
- Audit sans contenu
- Chaque décision d'autorisation est journalisée dans un audit chaîné et vérifiable, sans contenu de requête.
- Dossier patient
- Le dossier patient : seuls les appelants aux bonnes portées et aux bons rôles y accèdent, sans contenu journalisé.
- Modèle interne
- Un modèle qui tourne chez vous : les requêtes sensibles n'y quittent jamais votre infrastructure.
- Modèle externe
- Un fournisseur de modèle hors de votre infrastructure : appelé sous budget, jamais pour une requête sensible.
- Ligne : un trajet
- Correspondance : décision partagée
- Requête
- Appel de modèle ou d'outil
- Refus
- Votre infrastructure
- Portées et rôles du contratjetons de plusieurs émetteurs
- Certificat clientl'amont reçoit le tenant prouvé
- Requête sensible épingléetoujours vers un modèle interne
- Routage par politiquemodèle choisi selon la requête
- Audit sans contenuinvite jamais journalisée
1Un soignant ouvre un dossier
Ce que Flexway décideLe jeton est vérifié, portées et rôles lus dans le contrat ; ce qui n'est pas déclaré est refusé.
Ce qui est protégéChaque accès est retrouvable dans l'audit chaîné.
2L'assistant IA résume une consultation
Ce que Flexway décideLa requête marquée sensible est épinglée sur le modèle interne, jamais envoyée à un modèle externe.
Ce qui est protégéLes données de santé restent dans votre infrastructure ; l'invite n'est jamais journalisée.
3Un établissement partenaire interroge vos services
Ce que Flexway décideSon certificat client l'identifie et porte son tenant ; l'amont reçoit ce tenant, jamais un identifiant de l'appelant.
Ce qui est protégéSeuls les établissements déclarés atteignent le dossier patient.
Apps de soins
Les applications de soins : leurs appels au dossier patient passent par Flexway, sous les portées et les rôles du contrat.
Trajets qui passent ici
Établissements
Les établissements partenaires : identifiés par certificat client, leur tenant prouvé est transmis à vos services.
Trajets qui passent ici
Assistant IA
Un assistant IA : il appelle les modèles par la surface compatible OpenAI de Flexway, sous budget et routage par politique.
Trajets qui passent ici
Portées et rôles du contrat
Les portées et les rôles exigés viennent du contrat ; un appelant hors portée reçoit 403.
- Décision
- jetons de plusieurs émetteurs
- Fonctionnalités du catalogue
- Portées et rôles déduits du security du contrat ; iss et aud vérifiés ; plusieurs émetteurs dans une même configuration
Trajets qui passent ici
Certificat client
Le certificat client (mTLS) identifie chaque partenaire et le lie à son tenant, transmis prouvé à vos services.
- Décision
- l'amont reçoit le tenant prouvé
- Fonctionnalités du catalogue
- Clés d'API et mTLS client comme identités de premier plan
Trajets qui passent ici
Requête sensible épinglée
Une requête marquée sensible ne part que vers un modèle interne, jamais vers un fournisseur externe.
- Décision
- toujours vers un modèle interne
- Fonctionnalités du catalogue
- Requêtes sensibles épinglées, souveraineté et repli par politique
Trajets qui passent ici
Routage par politique
Flexway choisit le modèle par politique : backend par défaut, dérogation déclarée ou plafond souple selon la requête.
- Décision
- modèle choisi selon la requête
- Fonctionnalités du catalogue
- Routage par politique entre fournisseurs et modèles
Trajets qui passent ici
Audit sans contenu
Chaque décision d'autorisation est journalisée dans un audit chaîné et vérifiable, sans contenu de requête.
- Décision
- invite jamais journalisée
- Fonctionnalités du catalogue
- Journal d'audit chaîné des décisions d'autorisation ; Audit de métadonnées, jamais d'invite ; Journaux JSON structurés, aucune donnée personnelle
Dossier patient
Le dossier patient : seuls les appelants aux bonnes portées et aux bons rôles y accèdent, sans contenu journalisé.
Trajets qui passent ici
Modèle interne
Un modèle qui tourne chez vous : les requêtes sensibles n'y quittent jamais votre infrastructure.
Trajets qui passent ici
Modèle externe
Un fournisseur de modèle hors de votre infrastructure : appelé sous budget, jamais pour une requête sensible.
- Fonctionnalités du catalogue
- Routage par politique entre fournisseurs et modèles
Trajets qui passent ici
Ce que le secteur exige
- RGPD · hébergement de données de santéAucune donnée sensible chez un fournisseur
- Une requête marquée sensible n'est jamais envoyée à un modèle externe ; l'invite n'est jamais journalisée, les identifiants sont hachés.
- Contrôle d'accèsUn accès strictement déclaré
- Jetons de plusieurs émetteurs, portées et rôles lus dans le contrat ; ce qui n'est pas déclaré est refusé.
- TraçabilitéChaque accès retrouvable
- Audit chaîné des décisions d'autorisation et traces de bout en bout, sans contenu de requête.
- InteropérabilitéDes partenaires authentifiés
- Certificats clients pour les établissements et éditeurs partenaires, liés à un tenant et à des opérations ; l'amont reçoit le tenant du certificat, jamais un identifiant de l'appelant.
Ce que le secteur attend
Les attentes de votre secteur relevées dans l'analyse du marché, et où en est Flexway pour chacune ; ce qu'un autre composant fait mieux est dit.
| Ce que les entreprises attendent | Flexway v1.6.3 |
|---|---|
| Conformité des ressources FHIR à leurs profilsValidation au schéma JSON du contrat seulement ; profils FHIR : candidat | À dater |
Connecter les systèmes historiques (HL7 v2, CDA)Rôle d'un moteur d'intégration ; SOAP et XML à l'horizon (2.0.0 pour les décodeurs) | Laissé à un autre composant |
Consentement, traçabilité des accèsAudit des accès construit ; consentement décidé par le service du client, joignable par external-call | En partie · suite à dater |
Données hors plage des dispositifsBornes minimum et maximum du schéma sur les charges validées ; les règles cliniques restent au service | En partie · suite à dater |
| IA de santé : modèles approuvés par type de données, tracesClasses de données, backends admis, ligne de décision | Prévu en 1.9 |
| Coordination des parcours de soinsUne orchestration métier, pas une passerelle | Laissé à un autre composant |
| Passerelle clinique distribuéeProxy MQTT prévu, mode edge planifié | En partie · suite en 1.7 |
| Collaboration inter-organisations, apprentissage fédéréL'anonymisation et l'apprentissage fédéré demandent des mécanismes dédiés (l'analyse le dit) | Laissé à un autre composant |
Versions à venir non engageantes ; « Livré » seulement quand le catalogue de la version publiée le dit.
Comment Flexway y répond
Aucune donnée sensible chez un fournisseur
- Requêtes sensibles épinglées, souveraineté et repli par politiqueLivré · v0.1.0
- Audit de métadonnées, jamais d'inviteLivré · v0.1.0
- Journaux JSON structurés, aucune donnée personnelleLivré · v0.1.0
Un accès strictement déclaré
- iss et aud vérifiés ; plusieurs émetteurs dans une même configurationLivré · v0.1.0
- Portées et rôles déduits du security du contratLivré · v0.1.0
- Fermé par défaut : en-tête, paramètre, méthode ou origine non déclarés refusésLivré · v0.1.0
Chaque accès retrouvable
- Journal d'audit chaîné des décisions d'autorisationLivré · v0.1.0
- Traces W3C propagées de bout en boutLivré · v0.1.0
Des partenaires authentifiés
- Clés d'API et mTLS client comme identités de premier planLivré · v0.1.0
- Échange de jeton RFC 8693 : sujet humain, acteur agentLivré · v0.1.0
État dans la dernière version publiée de Flexway ; une fonctionnalité n'est marquée livrée qu'avec sa version.
Ce que Flexway ne fait pas
- Flexway ne suffit pas, seul, à la conformité d'une organisation : il fournit des contrôles et des traces que votre dispositif exploite.
- Aucune certification d'hébergement de données de santé n'est revendiquée par le logiciel : elle relève de l'hébergeur où vous le faites tourner.
Parlons de votre passerelle
Flexwiz est une jeune entreprise : vous parlez directement avec la personne qui la fonde. Dites-nous ce que vous voulez faire passer par Flexway. Nous parlons de votre infrastructure et de vos exigences de souveraineté numérique.
La prise de rendez-vous en ligne arrive bientôt ; d'ici là, un e-mail suffit.