Politique de confidentialité

• Bienveillance est un service de lien social par téléphone. Ce n’est pas un service médical, il ne remplace pas un appel aux secours et il ne donne jamais d’avis sur la santé.
• Les appels sont passés par une assistante vocale automatique, au nom du service auquel la structure a inscrit la personne. Elle le dit dès qu’on le lui demande, et la personne peut raccrocher à tout moment.
• La voix n’est pas enregistrée par défaut. L’audio transite le temps de la conversation. Si l’enregistrement est activé pour un contrôle de qualité, il est supprimé au plus tard trente jours après l’appel.
• Aucune donnée de santé n’est demandée ni rangée dans une fiche : ni maladie, ni traitement, ni mesure. Ce qu’une personne en dit spontanément est en revanche conservé tel quel dans le texte de l’appel : le masquage automatique prévu à cet effet n’est pas activé aujourd’hui.
• Les serveurs et les sauvegardes sont hébergés en France.
• Un seul cookie, celui qui maintient la session des professionnels. Aucune mesure d’audience, aucun traceur publicitaire, aucune revente.

La structure qui accompagne la personne — centre communal d’action sociale, service d’aide à domicile, association — décide de mettre en place l’accompagnement, choisit les personnes appelées, recueille leur accord et désigne les proches à prévenir. C’est elle le responsable de traitement au sens du RGPD, et c’est à elle qu’une demande s’adresse en premier : elle connaît le dossier.

Yessod Systems, qui édite le service sous le nom commercial Bienveillance, fournit la plateforme et n’agit que sur instruction de la structure. La société intervient comme sous-traitant au sens de l’article 28 du RGPD, dans le cadre d’un contrat qui lui interdit tout usage des données pour son propre compte.

• Les personnes appelées, accompagnées par une structure qui a souscrit au service.
• Leur entourage : les proches et référents déclarés comme contacts à prévenir. Leurs coordonnées sont transmises par la structure, qui les a recueillies auprès d’eux.
• Les professionnels des structures qui utilisent le portail de suivi.

Une conversation de convivialité amène tôt ou tard une phrase sur la santé — « je n’ai pas bien dormi », « j’ai vu le docteur mardi ». Le service n’a pas vocation à constituer un dossier médical, et n’en veut pas. Un traitement est prévu pour retirer ces mentions avant le premier enregistrement.

Ce traitement n’est pas activé aujourd’hui. Tant qu’il ne l’est pas, la transcription conserve le texte tel qu’il a été dit, et le résumé est construit à partir de ce texte. Lorsqu’il est activé, il s’exécute après le raccrochage :

1. Un dictionnaire repère les médicaments, les maladies, les actes et les mesures (« deux fois par jour », « 500 mg », une tension).
2. Une seconde passe, confiée à un modèle de langage, rattrape ce que le dictionnaire n’a pas vu. Ce modèle ne peut renvoyer que des positions à masquer dans le texte, jamais du texte : il lui est matériellement impossible d’inventer un contenu médical.
3. Chaque passage repéré est remplacé par une marque de masquage. Le texte d’origine n’est écrit nulle part : il n’existe que dans la mémoire vive du traitement, le temps de celui-ci.

Le résumé et la mémoire de conversation sont construits à partir des transcriptions enregistrées, jamais d’une autre source. C’est ce qui évite qu’une mention effacée réapparaisse d’elle-même à l’appel suivant.

Aucun filtre n’est parfait, et nous ne prétendons pas le contraire. L’engagement porte sur une conception qui écarte ces mentions, pas sur une garantie d’exhaustivité. C’est la raison d’être du mécanisme de purge, actif lui, indépendant de l’application : sur signalement, un passage est supprimé définitivement de la transcription et la mémoire est reconstruite dans la foulée, sans rompre la continuité du suivi.

Enfin, l’extrait qui a déclenché une alerte ne quitte pas le portail : un proche prévenu par message reçoit un prénom, une heure et un motif factuel — jamais le contenu de la conversation.

L’appel est conduit par un système automatique, présenté comme tel à la personne lors de son inscription par la structure. Chaque appel s’ouvre par son prénom et le nom du service, puis une question sur ses nouvelles :

« Bonjour Arlette, c’est Bienveillance. Comment ça va ? »

L’assistante confirme qu’elle est une assistante vocale automatique dès qu’on le lui demande. Un proche ou une personne inconnue qui appelle le numéro l’entend dès les premiers mots. Cette ouverture ne peut pas être interrompue, et la version exacte jouée est conservée avec l’appel, au même titre que la version du modèle et celle de la conduite d’appel : un appel de novembre reste explicable en février.

• Le système ne pose aucune question de nature médicale et ne relance jamais sur un sujet de santé abordé spontanément.
• Il ne pose pas de diagnostic, ne rassure pas sur un symptôme, ne conseille aucun traitement.
• Il ne tire rien de la voix elle-même et n’établit aucun profil. L’indication d’humeur montrée aux professionnels vient des mots employés pendant l’appel.
• Une alerte prévient des êtres humains, elle ne déclenche rien d’autre. Le service ne dispose d’aucun moyen d’appeler le 15 ou le 112 : c’est la personne prévenue qui décide de la suite.
• Si on lui demande si elle est humaine, l’assistante répond qu’elle ne l’est pas.

À l’intérieur du service, un professionnel n’accède qu’aux dossiers de sa structure. Ce cloisonnement est appliqué par la base de données elle-même, et non par un filtre d’affichage : modifier une adresse dans le navigateur ne donne accès à rien.

Faire sonner un téléphone, comprendre une phrase, prononcer une réponse et envoyer un message suppose des prestataires techniques. Ils interviennent tous comme sous-traitants, pour la seule exécution du service :

Toute personne concernée peut demander à accéder à ses données, à les faire corriger, à les faire effacer, à en limiter l’usage, à s’opposer au traitement, à retirer son accord à tout moment, et à recevoir une copie de ses données.

La demande s’adresse à la structure qui accompagne la personne : elle détient le dossier, et l’éditeur ne peut agir que sur son instruction. Une réponse est due dans un délai d’un mois. Si la structure ne répond pas, ou pour toute question sur le présent document, l’éditeur se joint à contact@bienveillance.io.

Deux cas particuliers, plus simples que le reste

• Ne plus être appelé. Il suffit de le dire à la structure qui accompagne la personne, ou pendant l’appel : l’assistante le signale aussitôt à la structure, qui met fin aux appels avec elle, sans courrier et sans avoir à se justifier.
• Un effacement partiel. Une demande peut porter sur le dossier entier, sur les seules transcriptions, ou sur la seule mémoire de conversation. Dans tous les cas, l’effacement porte aussi sur les résumés : ce qui a été supprimé ne revient pas à l’appel suivant.

En cas de désaccord persistant, une réclamation peut être adressée à la Commission nationale de l’informatique et des libertés, www.cnil.fr.

• Cloisonnement en base. Chaque structure est isolée par une règle qu’applique la base de données à chaque requête, et non par le code applicatif.
• Chiffrement. Les échanges avec le portail sont chiffrés, les sauvegardes le sont également.
• Journal non modifiable. Les actions sensibles sont écrites dans un journal que l’application peut compléter, mais ni corriger ni effacer.
• Pas d’inscription libre. On entre sur le portail par invitation d’un administrateur de la structure.
• Les liens envoyés aux proches ne révèlent presque rien. Un lien de confirmation d’alerte affiche un prénom et une heure — ni le motif, ni l’extrait, ni le dossier. Il ne sert qu’une fois et expire en quatre heures.
• Aucune ressource tierce. Le portail ne charge ni police de caractères, ni script, ni image depuis un service extérieur : l’adresse IP d’un visiteur n’est communiquée à personne.

Le portail dépose un seul cookie, nommé bv_session, qui maintient la session d’un professionnel connecté pendant douze heures. Il est inaccessible au code de la page, limité à ce site, et supprimé à la déconnexion. Strictement nécessaire au fonctionnement du service, il ne requiert pas de consentement préalable.

Il n’y a aucune mesure d’audience, aucun cookie publicitaire, aucun bouton de réseau social. Les pages destinées aux proches, comme celle de confirmation d’une alerte, ne déposent rien du tout.

Ce document porte un numéro de version. Une modification de fond donne lieu à une nouvelle version, dont les structures sont informées.

Version 2026.09-3, en vigueur depuis le 28 septembre 2026.