Informer les patients d’un cabinet

À quoi cela ressemble vraiment

L’essentiel de ce qu’un cabinet doit dire n’a rien de personnel : fermé vendredi, la campagne de vaccination commence lundi, la ligne téléphonique est coupée. Un canal scellé porte cela à tous ceux qui l’ont rejoint, et porte un numéro de référence quand il faut désigner une personne sans la nommer.

Comment le mettre en place

1. Créez un canal privé pour le cabinet et imprimez son QR code d’invitation sur la carte de rendez-vous.
2. Envoyez les annonces qui concernent tout le cabinet au fil de l’eau, et programmez les saisonnières — vaccination, gardes de vacances — des semaines à l’avance.
3. Ne mettez jamais un diagnostic, un résultat ou un médicament dans une alerte. Une référence et « merci de nous appeler » font le même travail et ne nomment personne.

Privé veut dire scellé, pas simplement non listé

Un canal privé n’est pas seulement un canal absent d’un annuaire. Il exige un code d’invitation à la fois pour s’abonner ET pour lire quoi que ce soit à son sujet, et une requête sans code reçoit exactement le même « introuvable » qu’un identifiant qui n’a jamais existé — car une autre réponse permettrait à n’importe qui de confirmer l’existence du canal d’une école ou d’une équipe d’astreinte en devinant son nom. Les codes d’invitation peuvent porter une limite d’usage et sont révocables ; révoquer est un horodatage et ne retire par défaut personne de déjà entré.

Rien qui puisse identifier qui que ce soit

S’abonner ne demande ni compte, ni adresse e-mail, ni numéro de téléphone. Ce qu’un abonnement contient réellement : un identifiant aléatoire généré par l’application, une plateforme, une version d’application, une langue et un fuseau horaire — assez grossier pour que des centaines de millions de personnes partagent le même. Pas de nom, pas de coordonnée, pas d’identifiant publicitaire et pas de localisation, et aucun export ne permettrait à un opérateur d’en reconstituer un. On ne peut pas perdre une liste que l’on n’a jamais constituée.

Rédiger, programmer, envoyer — et ce qu’annuler ne défait pas

Rédiger et envoyer sont volontairement des droits différents, pour que la personne ou le script qui écrit une alerte n’ait pas le droit de la publier. Une alerte programmée devient visible à son heure sans que rien n’ait à tourner à cette minute : un serveur brièvement en panne livre donc en retard plutôt que jamais. Annuler est honnête sur ses limites : cela arrête une alerte pour les téléphones qui ne l’ont pas encore récupérée et ne fait rien pour ceux qui l’ont déjà. Une alerte ne peut pas être reprise.