SécuritéSecurity

Dernière mise à jour : 14 septembre 2026Last updated: September 14, 2026

Un registre de stérilisation doit être là quand l'inspecteur le demande et dire la vérité sur ce qui a été fait. Voici, concrètement, comment StériRegistre protège les données des cliniques — et ce qui reste, par conception, entre les mains de la clinique.A sterilization registry has to be there when the inspector asks for it and tell the truth about what was done. Here is, concretely, how StériRegistre protects clinics' data — and what remains, by design, in the clinic's hands.

Hébergement au CanadaHosting in Canada

StériRegistre tourne sur Oracle Cloud Infrastructure, dans la région de Montréal (Québec). Les serveurs, la base de données et les copies que nous en gardons se trouvent au Canada ; aucune donnée de clinique n'est transférée à l'étranger. Le centre de données est exploité par Oracle selon ses propres certifications (notamment SOC 1/2/3 et ISO 27001) ; StériRegistre y loue de la capacité de calcul et de stockage, sans qu'Oracle ait accès au contenu de nos bases dans le cours normal de ses opérations.StériRegistre runs on Oracle Cloud Infrastructure, in the Montreal region (Quebec). The servers, the database and the copies we keep of it are in Canada; no clinic data is transferred abroad. The data centre is operated by Oracle under its own certifications (including SOC 1/2/3 and ISO 27001); StériRegistre rents compute and storage capacity there, and Oracle does not access the content of our databases in the normal course of its operations.

ChiffrementEncryption

• Au repos : les disques des serveurs et de la base de données sont chiffrés (AES-256). Un disque retiré ou copié hors de l'infrastructure est illisible.At rest: the server and database disks are encrypted (AES-256). A disk removed or copied out of the infrastructure is unreadable.
• En transit : toutes les connexions au site, à l'application et à ses services passent par HTTPS (TLS). Un poste qui tenterait de se connecter en HTTP est redirigé vers HTTPS, et les témoins de session ne sont jamais envoyés sur une connexion non chiffrée.In transit: every connection to the site, the app and its services goes over HTTPS (TLS). A station that tried to connect over HTTP is redirected to HTTPS, and session cookies are never sent over an unencrypted connection.
• Mots de passe : jamais conservés en clair. Ils sont hachés avec l'algorithme bcrypt (fonction password_hash de PHP) ; ni notre équipe ni un attaquant qui obtiendrait la base ne peut les lire. Un mot de passe oublié se remplace par un lien de réinitialisation à usage unique, valide 60 minutes, dont le jeton est lui aussi conservé haché.Passwords: never stored in clear text. They are hashed with the bcrypt algorithm (PHP's password_hash); neither our team nor an attacker who obtained the database can read them. A forgotten password is replaced through a single-use reset link, valid 60 minutes, whose token is itself stored hashed.

Accès et sessionsAccess and sessions

• Chaque clinique ne voit que ses propres données : chaque requête au serveur est filtrée par le compte connecté, côté serveur, sans exception.Each clinic sees only its own data: every request to the server is filtered by the signed-in account, server-side, without exception.
• Les témoins de session sont marqués HttpOnly, Secure et SameSite : inaccessibles aux scripts, envoyés seulement en HTTPS et seulement à steriregistre.com. L'identifiant de session est régénéré à chaque connexion.Session cookies are flagged HttpOnly, Secure and SameSite: inaccessible to scripts, sent only over HTTPS and only to steriregistre.com. The session identifier is regenerated at every sign-in.
• Les tentatives de connexion sont limitées : après dix mots de passe erronés en quinze minutes, depuis une même adresse ou sur un même compte, la connexion est refusée jusqu'à la fin de la période. Les demandes de réinitialisation de mot de passe sont elles aussi limitées par compte et par adresse IP ; les liens expirent et ne servent qu'une fois.Sign-in attempts are limited: after ten wrong passwords in fifteen minutes, from one address or against one account, sign-in is refused until the period ends. Password-reset requests are likewise rate-limited per account and per IP address; links expire and can be used only once.
• L'administration de StériRegistre se fait par un panneau distinct, avec ses propres comptes nominatifs, une session séparée, un blocage après des tentatives infructueuses et un journal d'audit de chaque action (connexion, ouverture d'un compte client, modification, réinitialisation).StériRegistre's administration is done through a separate panel, with its own named accounts, a separate session, lock-out after failed attempts and an audit log of every action (sign-in, opening a client account, change, reset).

Intégrité du registreRegistry integrity

Un cycle ou un test enregistré ne peut pas être supprimé depuis l'application : il reste dans le registre avec son résultat, même en erreur. Les tests et les tâches retirés de la configuration sont masqués, jamais effacés, et leur historique demeure consultable dans la recherche. Chaque enregistrement porte la personne qui l'a démarré, celle qui l'a terminé, la date et l'heure prises par le serveur. Les rapports PDF reproduisent ces données telles qu'elles sont en base.A recorded cycle or test cannot be deleted from the app: it stays in the registry with its outcome, even when failed. Tests and tasks removed from the configuration are hidden, never erased, and their history remains searchable. Every record carries who started it, who ended it, and the date and time taken by the server. PDF reports reproduce this data exactly as it is in the database.

SauvegardesBackups

Deux niveaux. D'une part, nous conservons des copies de la base de données sur l'infrastructure Oracle Cloud, au Canada, pour pouvoir rétablir le service après un incident. D'autre part — et c'est la garantie qui dépend de vous — chaque clinique peut télécharger à tout moment l'intégralité de son registre en un fichier ZIP (Configuration ▸ Sauvegarde : trois fichiers CSV lisibles dans Excel). Les conditions d'utilisation rappellent que la conservation de ces copies est la responsabilité de la clinique : une sauvegarde mensuelle, conservée hors du poste de stérilisation, met le registre à l'abri même d'une disparition complète du service.Two levels. On one hand, we keep copies of the database on the Oracle Cloud infrastructure, in Canada, to be able to restore the service after an incident. On the other — and this is the guarantee that depends on you — every clinic can download its entire registry at any time as a ZIP file (Configuration ▸ Backup: three CSV files readable in Excel). The terms of use recall that keeping these copies is the clinic's responsibility: a monthly backup, kept away from the sterilization station, protects the registry even against a complete disappearance of the service.

Ce que nous ne faisons pasWhat we do not do

• Aucun renseignement sur les patients n'est admis dans le service : la surface de risque s'en trouve réduite d'autant.No patient information is admitted in the service: the risk surface is reduced accordingly.
• Aucun script tiers, aucun outil d'analyse d'audience, aucune publicité, aucun pixel de suivi sur le site ni dans l'application.No third-party scripts, no analytics, no advertising, no tracking pixels on the site or in the app.
• Aucune vente ni partage de données. Le seul sous-traitant qui héberge des données est Oracle Cloud (Montréal).No sale or sharing of data. The only subcontractor hosting data is Oracle Cloud (Montreal).

Entretien et signalementMaintenance and reporting

Les serveurs sont maintenus à jour (système, PHP, base de données) et surveillés. Si vous découvrez une faille, écrivez à support@steriregistre.com avec le détail ; nous accusons réception rapidement et corrigeons en priorité. Nous vous demandons de ne pas exploiter la faille ni d'accéder aux données d'autres cliniques.Servers are kept up to date (system, PHP, database) and monitored. If you discover a flaw, write to support@steriregistre.com with the details; we acknowledge quickly and fix as a priority. We ask that you neither exploit the flaw nor access other clinics' data.