Confiance, conformité et sécurité.

Temps de travail

Plafond hebdomadaire, durée maximale par shift, repos de sécurité. La loi fixe un plafond de 48 heures par semaine en moyenne sur le trimestre (article R. 6153-2-1 du Code de la santé publique). MedPlanning applique une lecture volontairement plus stricte : la moyenne doit tenir sur toute fenêtre de 91 jours, et non sur les trimestres civils. La différence n'est pas cosmétique : un découpage par trimestre laisse charger la fin de l'un et le début du suivant sans qu'aucun des deux ne dépasse la moyenne, alors que l'interne a bien enchaîné treize semaines lourdes. La fenêtre glissante n'a pas de frontière où remettre les compteurs à zéro. Un planning conforme à cette règle l'est donc aussi au trimestre civil.

Repos obligatoires

Repos minimum entre deux shifts (11h par défaut), repos post-garde de nuit (journée complète), interdiction des nuits consécutives.

Équité de répartition

Gardes totales, nuits, week-ends, fériés, jours de la semaine, postes de jour : chaque dimension est équilibrée avec un écart maximum de ±2.

Vérification continue

Les règles sont vérifiées à la génération, lors des modifications manuelles et dans le rapport de conformité. Le moteur ne génère jamais un planning qui enfreint une règle bloquante ; en édition manuelle, une affectation qui enfreindrait une obligation est refusée sur-le-champ, avec son motif (voir les trois natures de règles plus bas). Le référent peut seulement la forcer de façon explicite, sur un créneau vide et après confirmation : la garde est alors verrouillée, l'affectation forcée est tracée au journal, et le rapport de conformité continue de la signaler.

Journal d'audit complet

Chaque création, modification, suppression et publication est enregistrée avec l'auteur, la date, l'élément concerné et l'impact sur le planning.

Historique post-publication

Les changements de planning après publication sont tracés individuellement. Le référent peut justifier chaque décision avec le contexte de l'époque.

Compteurs de récupération

Les crédits de récupération (gardes de week-end, nuits, fériés) sont calculés automatiquement à partir des affectations publiées.

Logs de connexion

Les connexions et tentatives de connexion sont journalisées. Les tentatives répétées sont bloquées automatiquement (rate limiting).

Hébergement en Union européenne

La base de données (Supabase, AWS eu-west-1, Irlande) et l'application (Vercel, région Irlande) sont hébergées dans l'Union européenne et soumises au droit européen : vos données de planning et de compte restent en UE. Seuls des services facultatifs (assistant IA, envoi d'emails) peuvent faire appel à un sous-traitant situé hors UE ; ces transferts sont alors encadrés par des clauses contractuelles types, et l'assistant IA ne reçoit que des données pseudonymisées, sans motif d'absence.

Chiffrement en transit et au repos

Toutes les communications sont chiffrées en TLS 1.3. La base de données PostgreSQL utilise le chiffrement AES-256 au repos, et les sauvegardes sont également chiffrées. Les champs libres susceptibles de contenir une donnée sensible (motif et commentaire d'absence) bénéficient en plus d'un chiffrement applicatif AES-256-GCM : ils restent illisibles au niveau de la base, y compris pour l'infrastructure d'hébergement.

Mots de passe

Les mots de passe sont hachés avec bcrypt (facteur de coût 12). Aucun mot de passe n'est stocké en clair. La connexion par Google OAuth est disponible en option.

Sauvegardes automatiques

La base de données est sauvegardée quotidiennement. Restauration possible à n'importe quel instant des dernières 24h (WAL). Les données sont répliquées sur plusieurs zones de disponibilité.

RGPD

Seules les données strictement nécessaires sont collectées : nom, prénom, email. Aucun cookie tiers, aucun pixel de tracking, aucune revente de données. Chaque utilisateur exporte ou supprime ses données depuis son espace, avec effet immédiat ; une demande adressée par message est traitée sous 72 h. L'hébergement est intégralement en UE (Supabase, Vercel, Irlande) ; les seuls sous-traitants situés hors UE sont des services facultatifs (assistant IA, paiement), encadrés par des clauses contractuelles types.

Isolation par organisation

Chaque établissement dispose de son propre espace. Un utilisateur ne peut jamais voir les données d'une autre organisation, même en manipulant les URLs.

Deux rôles distincts

Administrateur : gestion complète du planning, des internes, des règles et des publications. Interne : consultation de son propre planning, soumission de souhaits et d'indisponibilités. Aucun accès croisé entre les rôles.

Liens d'invitation personnels

Chaque interne accède à son planning via un lien unique et personnel. Ce lien ne donne accès qu'à ses propres données : affectations, souhaits, statistiques.

Sessions sécurisées

Authentification par JWT avec expiration automatique. Support de la double authentification (TOTP) pour les administrateurs.

Le planning est un outil d'aide à la décision

Le moteur génère une proposition. Le référent la corrige, la complète et la valide avant publication. Aucun planning ne devient définitif sans qu'une personne le publie. Après publication, un service peut choisir que les absences soient traitées automatiquement : ce réglage est désactivé par défaut, il n'enfreint jamais une règle pour combler un trou, il ne touche jamais une garde verrouillée, et chacune de ses décisions est tracée.

Trois natures de règles, clairement distinguées

1) Obligation (repos de sécurité, plafonds légaux) : posée par défaut sur chaque service. Tant qu'elle est active, le moteur ne produit jamais de planning qui l'enfreint, et une modification manuelle qui l'enfreindrait est refusée, pas seulement signalée, sauf affectation forcée explicitement par le référent, tracée et toujours signalée. Le référent peut l'ajuster, la désactiver ou la supprimer : le rapport de conformité indique alors qu'elle n'est plus contrôlée. 2) Organisation du service : paramétrée par le référent, qui décide si c'est une exigence ou un objectif. 3) Objectif d'équité ou de préférence : le moteur cherche à le satisfaire au mieux, sans jamais rendre un planning infaisable.

Un seul forçage, décidé par le référent, et rien ne s'efface

Une affectation qui enfreindrait une obligation active est refusée. Une seule porte permet de passer outre : l'affectation forcée, que le référent décide lui-même depuis l'onglet « Non disponibles » d'une case vide, après avoir vu tous les motifs et confirmé. Elle contourne les règles bloquantes et les indisponibilités, jamais un chevauchement le même jour : la garde est verrouillée, l'affectation figure au journal d'audit avec son auteur, sa date et les règles contournées, et le rapport de conformité continue de la signaler. Une règle d'organisation de groupe (par exemple le nombre d'absents simultanés) peut aussi être forcée lors de la saisie d'une absence, avec une raison écrite, tracée de la même façon. Et si une situation devient non conforme après coup, parce qu'une absence est déclarée ou une règle resserrée plus tard, le constat reste affiché et compté : il ne peut pas être mis de côté pour faire réapparaître un planning « conforme ».