Santé clinique et gestion de cabinet — architecture de paiement partagé sous séquestre

La contrainte : l’argent et la confidentialité dans la même transaction

Chacune de ces exigences est banale isolément. Ensemble, elles se contrarient. Associer un patient à un praticien suppose de lire rapidement disponibilités et adéquation, tandis que la confidentialité exige que la donnée clinique soit accessible au plus petit nombre possible de composants. Et un processus de facturation qui doit savoir qui a été vu, par qui et quand, pour partager un paiement, est précisément celui qui ne devrait jamais détenir cette information.

Le volet financier portait sa propre contrainte. L’argent encaissé auprès d’un patient n’appartient pas à la plateforme — il est dû, dans des proportions définies, à une clinique et à un praticien. Cette répartition doit être juste et auditable, et pas seulement finir par l’être.

L’architecture : la séparation comme frontière de conformité

J’ai conçu des services découplés pour l’authentification, la planification et la facturation. J’ai construit les calculs de séquestre automatisés, les verrous de calendrier et les pipelines de vérification de profil.

Les frontières entre services ont été tracées pour limiter ce que chaque partie du système peut voir, et pas seulement pour répartir le travail entre équipes. La facturation travaille sur les issues de rendez-vous et les montants dus à ce titre ; calculer une répartition ne requiert aucun contenu clinique, aussi la facturation n’y a-t-elle jamais eu accès. Ce cloisonnement est ce qui rend les obligations HIPAA et LGPD tenables — la surface qui détient de la donnée réglementée reste assez petite pour être raisonnée et auditée.

Le séquestre a rendu le chemin de paiement honnête. Les fonds sont retenus au regard d’une séance effectivement réalisée puis libérés dans des proportions calculées vers chaque partie, si bien qu’aucun versement ne dépend de quelqu’un qui penserait à le rapprocher à la main en fin de mois.

Les verrous d’agenda ont réglé la course à la réservation directement. La disponibilité d’un praticien est disputée — deux patients peuvent atteindre le même créneau au même instant — et l’association n’est fiable que si réserver un créneau est atomique.

Le résultat

Les versements répartis s’exécutent automatiquement entre plusieurs parties, l’association d’agenda se résout en moins d’une seconde, et la plateforme opère en conformité stricte avec HIPAA et LGPD.

Le gain structurel est que la justesse et la conformité sont imposées par l’architecture plutôt que par la procédure. La facturation ne peut pas divulguer une donnée clinique qu’on ne lui a jamais confiée, et un doublon de réservation n’a pas à être corrigé après coup puisqu’il ne peut pas être créé.