Coach Drépano
Treize repères courts, à lire avant d'utiliser Trévor: chaque phrase correspond à un mécanisme du code, limites comprises.
Trévor est ton compagnon du quotidien. Il t'aide à suivre ta journée, à savoir quoi faire en cas de crise, à garder ta carte d'urgence à portée de main et à ne rien oublier grâce aux rappels.
Il t'apprend aussi à mieux vivre avec ta maladie, avec de courts modules d'éducation thérapeutique, et en plus il est gratuit!
Trévor n'est ni un dispositif médical, ni un diagnostic, ni un avis médical. Il complète ton suivi et ne remplace pas ton équipe soignante. Sa qualification réglementaire est en cours d'examen avec des juristes; en attendant, ses fonctions de risque restent indicatives.
En cas d'urgence, appelle le 144 en Suisse, le 112 en Europe, ou le numéro d'urgence de ton pays ailleurs. Trévor repère certains mots d'urgence ou de détresse dans tes messages et affiche ces numéros aussitôt, sans intelligence artificielle; cette détection par mots-clés reste partielle.
Les calculs faits à partir de tes mesures (risque de crise, forme du jour calculée, mesures par la caméra) sont au stade de la recherche. Ils restent éteints et ne s'ouvrent que dans une étude autorisée par la commission d'éthique.
Ta base de données est hébergée en Suisse (Infomaniak, Genève, serveur privé virtuel réservé au projet), selon la loi fédérale sur la protection des données. Elle est fermée à Internet: seul le serveur Trévor y accède.
Elle contient ton prénom, le nom de ton profil de messagerie, ton identifiant de messagerie (avec WhatsApp, ton numéro), tes réponses et ta carte d'urgence, tes messages de conversation libre (douze mois), ton suivi (douleur, crises, traitements, scores), les mesures de ta montre si tu la connectes, les proches que tu enregistres, ton réseau de soins (professionnels, services, pharmacies et proches, avec leurs coordonnées et ton prochain rendez-vous), et ta position arrondie à un kilomètre si tu la partages. Les photos et documents médicaux sont lus puis jetés; seules les valeurs que tu confirmes sont gardées. Le fichier d'une ordonnance n'est gardé que si tu le demandes, chiffré. La position d'une alerte de crise n'est jamais gardée.
Rien n'est vendu, il n'y a aucune publicité ni outil de mesure d'audience tiers, et rien n'est transmis à un assureur ni à un employeur. Tes données sont pseudonymisées, non anonymes: dans les analyses et les exports de recherche, un code remplace ton nom; les soignants que tu autorises voient ton prénom.
En transit, tout passe en HTTPS (TLS, certificats Let's Encrypt, HSTS). Au repos, l'application chiffre elle-même en AES-256-GCM, avant l'écriture en base, plus de 170 champs: identifiant de messagerie, prénom, nom de profil, maladie, sexe, pays, messages, réponses et scores, douleur, carte d'urgence, traitements, antalgique de secours, crises, mesures de montre, position, proches, notes, jetons d'accès, pièces jointes, adresses IP du journal d'accès. La clé vit hors de la base; sans elle, le serveur refuse de démarrer.
Restent en clair, parce que le serveur en a besoin pour retrouver, dater ou compter: les numéros internes de tes lignes, les dates et les heures, les réponses oui/non (consentement, rappels activés), les clés de catalogue (quel questionnaire, quel module de formation, quelle étude), ta langue, ton rôle (patient, proche ou soignant) et ton centre de suivi, l'état des demandes en cours, le lien qui te relie à un soignant (qui est relié à qui, sans rien de ton dossier), le journal d'usage (quelle fonction est ouverte, sans le texte que tu écris) et des codes aléatoires sans lien avec toi (pseudonyme d'étude, code de foyer, code d'urgence de ta carte). Les comptes des soignants (nom, adresse professionnelle) sont aussi en clair: ils servent à leur connexion. Ton identifiant de messagerie est chiffré; le serveur te reconnaît par une empreinte à clé secrète (HMAC), comme un casier dont on connaît le numéro sans que ton nom soit écrit dessus. Les sauvegardes sont chiffrées chaque nuit (AES-256) et détruites après trente jours; elles résident sur le même serveur, une copie hors serveur est en préparation.
Les journaux techniques ne contiennent ni le texte de tes messages, ni les liens personnels, ni aucune clé: ils sont filtrés avant écriture. Les liens personnels (sept jours) et les codes d'appairage (dix minutes) ne sont gardés qu'en empreinte. Sur ton téléphone, l'application Coach Drépano chiffre ton jeton et les données reçues avec une clé du Keystore Android, bloque les captures d'écran hors carte d'urgence et peut se verrouiller par empreinte ou visage.
Toi, avec ton lien personnel. Un soignant ou un coach nominatif seulement si tu l'as autorisé dans Trévor, et tu retires l'autorisation quand tu veux; un coach ne voit tes données de santé que si tu les partages avec lui. Personne du personnel ne lit ta conversation avec Trévor.
Deux accès sans ton autorisation préalable existent, et les deux te sont annoncés dans Trévor dès qu'ils ont lieu: l'accès d'urgence d'un soignant par le QR de ta carte (identité et motif déclarés, lecture seule, quatre heures) et l'accès exceptionnel d'un membre du personnel avec un motif écrit (24 heures). Les administrateurs techniques de Trévor peuvent ouvrir tout dossier pour la maintenance et le support; chaque ouverture est inscrite.
Chaque consultation de ton dossier est inscrite dans un journal d'accès à chaîne de hachage (une ligne altérée se voit). Tu lis tes dix derniers accès dans /donnees. Les comptes du personnel se connectent par lien à usage unique ou par mot de passe et code à six chiffres; un compte désactivé perd sa session sur-le-champ.
Pour retrouver la cause d'un problème signalé, le serveur tient un journal technique: pseudonyme (jamais ton nom ni ton identifiant), écran ou menu ouvert, clé du bouton appuyé, type de message (texte, photo, voix, fichier: taille et durée seulement), durée de chaque étape, nombre de jetons du modèle de langage, codes d'erreur d'envoi (par exemple Telegram «bot bloqué», WhatsApp «fenêtre de 24 h»), rappels envoyés ou manqués. Il ne contient jamais le texte de tes messages, de données de santé, de noms, de valeurs d'analyses, de position, de jetons ni de numéros de téléphone. Il est gardé 90 jours puis supprimé, effacé avec ton compte, et seuls les administrateurs le lisent (chaque lecture est inscrite au journal des accès). L'application Android garde en plus sur ton téléphone les 500 derniers événements techniques (écran ouvert, appel au serveur et son code, durée, erreur, version, modèle du téléphone) et les envoie au serveur quand un appel échoue, après un plantage ou quand tu appuies sur «Envoyer le diagnostic»; tu peux couper ce journal dans Réglages. Un registre de consommation compte, par pseudonyme et par jour, les ressources utilisées (jetons, pages lues, secondes de voix, messages) pour estimer les coûts; il est aussi effacé avec ton compte, et seuls des totaux anonymes par groupe de profils restent.
Ta messagerie (Telegram, ou WhatsApp et Messenger chez Meta) transporte tout l'échange, comme pour n'importe quel bot. Le trajet est chiffré de ton téléphone jusqu'aux serveurs de Telegram ou de Meta, puis de ces serveurs jusqu'au serveur Trévor en Suisse (HTTPS, chaque message reçu est vérifié par signature). Sur leurs serveurs, Telegram et Meta lisent le contenu et le gardent selon leurs propres règles; un chat avec un bot n'est jamais chiffré de bout en bout, WhatsApp l'indique d'ailleurs en tête de la conversation. C'est le même niveau que pour un service client sur ces messageries.
Le vrai risque pour toi, c'est ton compte: une carte SIM copiée ou un téléphone sans code suffit à lire Trévor à ta place. Active la vérification en deux étapes de ta messagerie et un code d'écran (Trévor t'explique comment dans «Protéger mon compte»). Pour ton carnet, tes traitements et ta carte, l'application Coach Drépano parle directement au serveur suisse, sans messagerie entre les deux.
Pour tes questions libres, le moteur de langage Claude (Anthropic, États-Unis) lit ton texte, l'historique récent, un résumé de ton suivi sans ton prénom ni ton identifiant, et les photos ou documents que tu envoies, débarrassés de leurs métadonnées (position, appareil). Le guide de voyage, la traduction de tes traitements et la lecture de tes ordonnances passent aussi par Claude, avec un avertissement avant l'envoi et sans ton nom. Pour les traductions, ton prénom et les nombres sont remplacés par des repères avant l'envoi. Selon ses conditions, Anthropic n'entraîne pas ses modèles avec ces données et les efface sous 30 jours.
Les autres services reçoivent peu et seulement si tu utilises la fonction: Open-Meteo (ta position arrondie, pour la météo santé), OpenStreetMap et ses miroirs, OSRM et transport.opendata.ch (coordonnées de départ et d'arrivée pour les lieux proches et les trajets), QuickChart (les valeurs d'un graphique de scores), Google (voix, seulement en repli si une clé est posée, et Google Wallet, si configuré), Stripe (paiement en ligne), CareWatch (signalement anonyme). Tes messages vocaux et la lecture à voix haute des réponses sont traités sur le serveur suisse. Les polices du site et du tableau de bord sont servies par Trévor lui-même: aucune requête ne part vers Google quand tu lis cette page.
Tu peux te retirer à tout moment, sans justification et sans effet sur tes soins.
/supprimer efface immédiatement et définitivement toutes tes lignes dans la base et tes fichiers sur le serveur. Une copie chiffrée reste dans les sauvegardes jusqu'à trente jours, puis disparaît. Les services extérieurs effacent selon leurs propres délais (Anthropic: sous 30 jours). /etude quitter test te fait quitter le programme de test; tes données restent jusqu'à /supprimer.
/donnees montre tout ton inventaire et t'ouvre l'export (CSV, JSON, FHIR); l'export contient ton suivi, pas le texte de ta conversation. Un compte silencieux pendant dix-huit mois est averti, puis effacé trente jours plus tard.
Ton compte Trévor, c'est ton compte de messagerie: active la vérification en deux étapes sur Telegram ou WhatsApp, un code d'écran sur ton téléphone, et le verrou de l'application Coach Drépano. Trévor te guide pas à pas dans «Mes données», «Protéger mon compte».
Téléphone perdu? Depuis un autre appareil, /supprimer efface tout, ou écris-nous par /contact: nous bloquons ton compte, qui ne répond plus à personne jusqu'à ton retour. Un lien de liaison de l'application ne vaut que dix minutes et une seule fois.
Si une fuite ou un accès non autorisé est constaté, nous coupons l'accès concerné, nous mesurons l'étendue, nous te prévenons dans Trévor et par les canaux de l'étude, et nous annonçons l'incident au Préposé fédéral à la protection des données (PFPDT) dans les meilleurs délais, puis nous écrivons un rapport conservé. Un accès que tu ne reconnais pas dans /donnees se signale à l'adresse ci-dessous.
Cette rubrique concerne les médecins invités à évaluer à l'aveugle des réponses d'assistants informatiques, sur la page /evaluation du serveur Trévor. Aucune donnée de patient n'entre dans cette évaluation. La base garde votre nom, votre adresse électronique, votre établissement, votre fonction, votre expérience de la drépanocytose, un éventuel lien avec le projet, la date de votre consentement, vos notes, vos commentaires et le temps passé sur chaque question. Ces champs sont chiffrés comme le reste; votre lien personnel et le code d'invitation ne sont gardés qu'en empreinte SHA-256.
Un bouton de votre page personnelle efface à tout moment votre nom, votre adresse, votre établissement, votre fonction et vos commentaires; vos notes restent anonymes, sauf si vous cochez la suppression des notes. Les coordonnées sont aussi effacées à la fin de l'étude, par l'investigateur, qui dispose d'un bouton pour cela: aucune purge automatique n'existe pour cette table. Les sauvegardes chiffrées gardent une copie trente jours. Les résultats sont publiés de façon agrégée et anonyme.
Trévor est encore en construction: chaque personne qui l'utilise participe au programme de test. Tu profites de toutes les fonctions, y compris des nouveautés, et tes remarques (/contact) nous aident à l'améliorer. Chaque version passe une suite de plus de 1 600 tests automatiques avant d'être publiée.
Les nouveautés restent confidentielles avant leur sortie officielle.
Ce programme est distinct de l'étude clinique TREVOR-PILOTE des HUG, qui est en attente de l'autorisation de la commission d'éthique de Genève et ne commencera qu'après. Le programme de test relève de l'amélioration du service et de la loi sur la protection des données; sa qualification au regard de la loi sur la recherche sera confirmée avec la commission.
Prof. Dr. David-Z. Issom, Hôpitaux Universitaires de Genève. david.issom@hug.ch
Version du texte: 1.6 du 12 novembre 2026