p.02 — Comment ça marche
Trois mécanismes, un seul dossier.
Aucun ne fonctionne sans les deux autres : l'identité rend le patient reconnaissable, le consentement décide qui peut le consulter, le guichet fait que ça marche vraiment, sur le terrain.
01
Identité portable
Le patient est identifié par son numéro de téléphone — pas par un dossier propre à chaque clinique. Il reçoit un identifiant public signé, LAF-CI-2026-000123, et un QR qui l'accompagne.
Ce QR est signé cryptographiquement (Ed25519) : n'importe quelle clinique peut vérifier son authenticité, sans base de données partagée et sans qu'aucune donnée médicale ne transite dans le code lui-même.
Pour un enfant ou un parent sans téléphone propre, un lien de tutelle (family_links) rattache son dossier à celui d'un proche joignable.
02
Consentement souverain
Aucune clinique n'ouvre un dossier sans consentement. Il est implicite pour la clinique qui a enregistré le patient — sinon, il s'obtient sur place, de deux façons : un code envoyé par SMS (OTP) au patient ou à son tuteur, ou la présentation du QR accompagnée d'un code PIN.
Chaque octroi, chaque refus et chaque accès effectif au dossier est écrit dans un journal append-only (access_logs) — sans exception, et sans qu'aucune donnée médicale n'y figure.
03
Guichet offline-first
L'écran du guichet est pensé pour le terrain réel : connexion instable, téléphones d'entrée de gamme, personnel qui n'a pas le temps. Chaque action tient en moins de 30 secondes.
Il fonctionne même sans réseau : les écritures sont mises en file localement, avec un identifiant unique par événement, et rejouées à la reconnexion — sans doublon possible.