Tous les articles

    Note d'architecture

    15 juillet 2026par Gustavo Teixeira Cuco3 min de lecture

    Architecture des Données de Santé à Dubaï — Quatre Questions Au-Delà de la Santé

    Contexte d'architecture

    Décision d'architecture

    Confiance et conformité

    Appliqué à

    Q-LIRILusiberiaStays
    Architecture des Données de Santé à Dubaï — Quatre Questions Au-Delà de la Santé

    Je suis parti d'une question large sur un produit d'IA clinique au Moyen-Orient. Les preuves ont imposé un périmètre plus étroit : l'architecture réglementaire dépend de la juridiction et du cas d'usage. Les normes publiques de Dubaï étaient la source pertinente, pas une généralisation sur les EAU ou la région MENA.

    La norme de télésanté de la DHA intègre l'évaluation de la plateforme au modèle opérationnel et, pour les informations couvertes, impose un stockage chez un fournisseur cloud certifié DESC aux EAU. Elle fixe aussi un minimum de 25 ans après la dernière rencontre pour les informations de télésanté. D'autres normes DHA et NABIDH imposent le moindre privilège et des pistes d'audit protégées.

    Ces obligations ne s'appliquent pas automatiquement à une plateforme immobilière. Ce sont les questions d'architecture qui se transfèrent, pas les règles sanitaires.

    Les deux secteurs traitent des données limitées par une finalité, un rôle et une juridiction. Dire qu'un dossier « appartient » simplement à la personne décrite masque les rôles juridiques de personne concernée, responsable et sous-traitant. L'architecture doit expliciter ces rôles et droits de décision.

    Je n'ai trouvé aucune base permettant d'affirmer que la PropTech converge vers la réglementation sanitaire de Dubaï. J'ai trouvé quatre questions réutilisables : lieu, cycle de vie, autorité et preuve.

    Les questions se transposent ; les réponses réglementaires, non.

    Lieu. Où chaque classe de données peut-elle être stockée ou traitée selon les règles applicables ? Pour une opération PT/ES, la réponse vient du RGPD, des contrats et de la chaîne réelle de traitement, pas de la santé.

    Cycle de vie. Qu'est-ce qui crée le dossier, combien de temps doit-il rester disponible et qu'est-ce qui autorise sa suppression ? Les 25 ans sont une réponse propre à la télésanté de Dubaï ; la pratique réutilisable consiste à définir chaque cycle de vie.

    Autorité. Qui peut voir, modifier ou divulguer chaque dossier, et dans quel but ? Le moindre privilège est le principe ; RBAC et politiques de base de données sont des contrôles possibles, pas un substitut au modèle de responsabilité.

    Preuve. Qu'est-ce qui prouve qui a consulté ou modifié un dossier, quand et avec quelle autorité ? NABIDH exige des pistes vérifiables et protégées contre l'altération ou la suppression non autorisée ; il ne justifie pas mon affirmation antérieure selon laquelle tout journal doit être signé, en insertion seule ou écrit avant validation.

    Ensemble, lieu, cycle de vie, autorité et preuve forment une architecture plus utile qu'une fonction générique de « conformité ». La configuration peut exprimer des différences ; elle ne rend pas interchangeables des régimes juridiques distincts.

    Il s'agit d'une comparaison architecturale, pas d'une équivalence réglementaire, d'un déploiement clinique ni d'une certification. Q-LIRI a révélé les questions ; les appliquer à LusiberiaStays exige une base juridique et des contrôles propres.

    L'évolution consiste ici à transformer une analogie large en quatre décisions explicites et à retirer, avant publication, la certitude que les preuves ne soutenaient pas.

    Sources