Architecture technique : pourquoi La Secrétaire Médicale est une permanence téléphonique pas comme les autres ?

Une question que les praticiens posent rarement — et qui devrait être la première

Quand un cabinet médical choisit sa permanence téléphonique, il compare les tarifs, les horaires d’ouverture, la qualité de l’accueil. Rarement l’infrastructure.

C’est pourtant elle qui détermine ce qui se passe le jour où un serveur tombe, où une fibre est sectionnée par une pelleteuse, où un incendie frappe un centre de données. Ce jour-là, la question n’est plus « combien ça coûte » mais « est-ce que mes patients peuvent encore me joindre ».

La plupart des permanences téléphoniques du marché fonctionnent sur un site unique, parfois sur une infrastructure mutualisée dont elles ne maîtrisent pas les composants. La Secrétaire Médicale a fait un choix radicalement différent : trois centres de données répliqués, certifiés pour l’hébergement de données de santé, reliés par des liens redondants, supervisés en permanence par plus de 2 500 sondes.

Cet article détaille cette architecture, dans un langage accessible aux praticiens comme aux DSI.

---

Trois centres de données, trois répliques complètes

Une répartition géographique volontaire

Notre infrastructure repose sur trois sites physiquement distincts :

Cette répartition n’est pas un hasard. Deux sites en Île-de-France assurent la proximité avec les infrastructures réseau nationales et une latence minimale. Le troisième, en Alsace, place une copie complète du système à plus de 400 kilomètres — hors de portée d’un événement régional : inondation, coupure électrique étendue, incident majeur affectant le bassin parisien.

Le principe de la réplique intégrale

Le point essentiel, et rarement égalé dans notre secteur : chacun de ces trois centres est une réplique complète des deux autres et peut fonctionner seul.

Il ne s’agit pas d’un site principal accompagné de deux sauvegardes passives. Les trois sites sont actifs. Si deux d’entre eux subissaient une panne totale et simultanée, le troisième continuerait d’assurer le service dans son intégralité.

Pour prendre une image : la plupart des prestataires disposent d’une roue de secours dans le coffre. Nous roulons avec trois voitures identiques en parallèle. Perdre deux véhicules ne vous arrête pas.

Ce que contient chaque site

Chaque centre de données héberge trois familles de serveurs, toutes multipliées :

Soit dix-huit serveurs par site, cinquante-quatre au total. Chaque composant — qu’il s’agisse d’un serveur ou d’un lien réseau — est redondé plusieurs fois.

---

La connectivité : cinq portes d’entrée, deux opérateurs

Pourquoi un seul chemin ne suffit jamais

Un centre de données parfaitement sécurisé mais accessible par une unique liaison reste vulnérable. Le maillon faible se déplace simplement du serveur vers le câble.

Nos trois sites sont reliés entre eux par deux fibres optiques distinctes, empruntant des trajets physiques différents. Et l’accès à notre plateforme s’effectue par cinq points d’entrée répartis sur les trois centres, fournis par deux opérateurs réseau indépendants.

Une bascule automatique, pas une intervention humaine

Ces cinq liens sont actifs simultanément et surveillés en continu. En cas de défaillance de l’un d’eux, la charge bascule automatiquement sur les autres — sans intervention manuelle, sans délai d’astreinte, sans interruption perceptible pour l’appelant.

C’est une différence de nature, pas de degré. Un système qui exige qu’un technicien soit réveillé à 3 heures du matin pour basculer le trafic n’offre pas la même garantie qu’un système qui bascule seul en quelques secondes.

Le routage intelligent des flux

Le volume de données traité quotidiennement est considérable. Il doit être analysé et distribué vers les serveurs appropriés pour éviter toute saturation.

Cette fonction est assurée par un routeur BGP (Border Gateway Protocol), le protocole qui structure le routage à l’échelle d’internet. Il oriente chaque requête entrante vers la ressource la mieux placée pour la traiter.

L’ensemble du trajet reliant internet à nos centres de données est physiquement dédoublé : si un câble est endommagé, un second prend immédiatement le relais.

---

Supervision : plus de 2 500 sondes en surveillance permanente

Détecter avant que l’incident ne survienne

Une infrastructure redondante ne suffit pas si personne ne sait qu’un composant est en train de défaillir. C’est la raison pour laquelle nous avons déployé un système de supervision avancé reposant sur plus de 2 500 sondes, exploité via la plateforme Centreon.

Ce que ces sondes observent en temps réel

• L’état des disques — pour anticiper une défaillance matérielle avant la panne
• Les liens réseau internes et externes — détection immédiate d’une rupture de connectivité
• Les switchs et routeurs — les équipements qui orientent le trafic
• Les ports de switch et de téléphonie — au niveau de granularité le plus fin
• La mémoire des serveurs — pour repérer une saturation naissante
• La latence et le trafic de paquets — indicateurs avancés de dégradation

D’une logique curative à une logique préventive

L’intérêt d’un tel dispositif n’est pas seulement de constater une panne : c’est de repérer les signaux faibles qui la précèdent. Un disque dont les performances se dégradent, une latence qui augmente progressivement, un port réseau qui présente des erreurs intermittentes.

Ces anomalies déclenchent une alerte et une intervention avant que le service ne soit affecté. Pour un cabinet médical, la différence est concrète : l’incident n’a jamais lieu.

---

Répartition de charge et résilience applicative

Des load balancers sur chaque site

Chaque centre de données dispose de ses propres répartiteurs de charge HAProxy, fonctionnant en mode actif. Leur rôle : distribuer intelligemment le trafic entre les serveurs web et les bases de données, afin qu’aucun composant ne devienne un goulot d’étranglement.

Cette répartition est pilotée directement au niveau du domaine DNS, ce qui permet une réorientation rapide du trafic en cas de besoin.

Un DNS externalisé chez un tiers

Voici un détail technique qui distingue les infrastructures sérieuses des autres.

Le DNS est l’annuaire qui traduit un nom de domaine en adresse de serveur. Si l’ensemble des serveurs DNS d’un prestataire est hébergé dans sa propre infrastructure, une panne majeure rend le service injoignable — même si les serveurs applicatifs fonctionnent parfaitement.

Nous avons donc mis en place un serveur DNS chez un fournisseur tiers, Castle IT, indépendant de nos centres de données. Quoi qu’il advienne de nos sites principaux, la résolution DNS reste opérationnelle et nos services restent accessibles.

C’est une bonne pratique reconnue, et rarement appliquée dans notre secteur.

---

Architecture des bases de données

Le modèle écriture / lecture

Nos serveurs de bases de données — ceux qui conservent rendez-vous, messages, contacts et enregistrements d’appels — fonctionnent selon une architecture écriture / lecture (anciennement désignée par les termes master / slave).

Le serveur d’écriture, hébergé sur le site PA2, est le seul autorisé à enregistrer de nouvelles données. Chaque nouvelle information y est inscrite, puis répliquée instantanément sur l’ensemble des serveurs de lecture.

Les serveurs de lecture ne reçoivent jamais d’écriture directe. Ils sont exclusivement dédiés à la consultation, ce qui allège considérablement la charge pesant sur le serveur d’écriture et garantit des temps de réponse rapides.

Le comportement en cas de défaillance

La transparence est préférable à l’approximation commerciale, y compris sur ce point.

Si le serveur d’écriture venait à défaillir, l’ajout de nouvelles données serait momentanément suspendu — mais la lecture demeurerait pleinement opérationnelle. Concrètement : les agendas, les messages et les contacts resteraient consultables.

La reprise consiste alors à promouvoir l’un des serveurs de lecture au rang de serveur d’écriture. Cette opération est aujourd’hui réalisée manuellement par notre équipe technique ; son automatisation figure à notre feuille de route.

Nous préférons l’exposer clairement plutôt que de laisser croire à une bascule instantanée sur tous les composants.

---

Sauvegardes et continuité

Tous les éléments de charge des centres de données font l’objet d’une sauvegarde quotidienne sur un site physique distinct.

L’architecture est conçue pour continuer de fonctionner malgré la perte complète d’un site physique. Ce n’est pas une hypothèse théorique : l’histoire récente de l’hébergement français a montré qu’un centre de données peut disparaître en quelques heures, et que les structures dépourvues de réplique distante mettent des semaines à s’en relever.

---

Accès technique de secours : l’interface IPMI

Nos serveurs sont équipés d’une interface IPMI (Intelligent Platform Management Interface).

En langage courant : elle permet à notre équipe technique d’agir sur le matériel comme si elle se trouvait physiquement devant le serveur — le redémarrer, consulter son état, intervenir sur ses composants — même si son système d’exploitation ne répond plus.

Point déterminant : cet accès emprunte un réseau parallèle, entièrement distinct de celui qu’utilisent nos clients. Il reste donc disponible y compris lorsque le réseau principal est affecté, et il n’expose jamais les données de nos clients.

Cette capacité d’intervention à distance, à toute heure, évite le déplacement physique d’un technicien vers un centre de données — et les heures de service dégradé qu’il impliquerait.

---

Interconnexion en cœur de réseau avec Orange

Un partenariat qui supprime les intermédiaires

En France, tout appel téléphonique transite au moins une fois par les infrastructures d’Orange. La plupart des acteurs de notre secteur s’y raccordent par l’intermédiaire d’opérateurs tiers, ce qui multiplie les points de rupture potentiels.

Nous avons établi un partenariat direct avec Orange, nous permettant de nous connecter à ses serveurs en cœur de réseau.

Le trajet d’un appel jusqu’à nos équipes

1. L’appel entrant arrive sur l’une des quatre installations SBC (Session Border Controller) réparties sur le territoire métropolitain.
2. Il est dirigé vers l’un des deux centres Orange — Montsouris ou Aubervilliers — chacun étant relié à l’un de nos centres de données.
3. Il parvient à notre plateforme, où il est pris en charge par l’une de nos huit passerelles (gateways).
4. Il est distribué vers un téléconseiller, connecté en permanence aux trois centres de données simultanément.

L’ensemble de cette chaîne est redondé à chaque étape.

Ce que cela change concrètement

Moins d’intermédiaires signifie moins de points de défaillance possibles, une latence réduite, et une meilleure qualité audio. Pour un patient qui décrit un symptôme au téléphone, la clarté de la communication n’est pas un détail de confort.

---

Certification HDS : le cadre légal de l’hébergement

Une obligation, pas un argument commercial

L’article L.1111-8 du code de la santé publique impose que les données de santé à caractère personnel soient hébergées chez un prestataire titulaire de la certification HDS (Hébergeur de Données de Santé).

Cette certification s’appuie sur un référentiel adossé à la norme ISO 27001 et couvre plusieurs activités distinctes : hébergement physique, infogérance, sauvegarde, administration.

Nos choix d’hébergeurs

Nous avons retenu Equinix et nLighten, dont les centres de données répondent à ces exigences. L’ensemble de nos serveurs — web, téléphonie et bases de données — bénéficie de ce cadre.

Equinix figure parmi les acteurs de référence mondiaux de l’hébergement, avec des équipes techniques dont l’expertise est établie de longue date.

Hébergement exclusivement français

Nos trois sites sont situés sur le territoire national. Ce choix écarte le risque de voir les données de nos clients relever de législations extraterritoriales — préoccupation devenue centrale depuis les débats publics sur la souveraineté des données de santé.

Notre recommandation, même à ceux qui nous comparent

Un conseil que nous donnons volontiers, y compris à des praticiens en train d’évaluer plusieurs offres dont la nôtre :

• Demandez le certificat HDS, pas la mention sur une plaquette commerciale.
• Vérifiez son périmètre : un certificat peut ne couvrir que l’hébergement physique.
• Identifiez l’hébergeur réel : l’éditeur du logiciel n’est pas toujours celui qui héberge les données.
• Interrogez la chaîne de sous-traitance : qui d’autre accède techniquement aux données ?

---

Ce qui distingue cette architecture sur le marché français

Il serait présomptueux d’affirmer connaître l’infrastructure de chacun de nos concurrents. Mais quelques constats sont vérifiables par tout praticien qui prend le temps d’interroger les prestataires qu’il consulte.

Le cumul suivant est peu répandu dans la permanence téléphonique médicale en France :

La question à poser à tout prestataire : combien de centres de données ? Sont-ils tous actifs ? Combien de temps le service reste-t-il disponible si l’un d’eux disparaît ?

Les réponses sont souvent instructives.

---

Pourquoi cette architecture compte pour un cabinet médical

La disponibilité comme enjeu de soin

Certains de nos clients exercent en continu. Un standard téléphonique indisponible ne représente pas seulement une gêne organisationnelle : c’est un patient qui ne peut pas signaler une aggravation, un résultat qui n’est pas transmis, un rendez-vous qui n’est pas décalé.

L’indisponibilité d’une permanence téléphonique médicale est un sujet de sécurité des patients avant d’être un sujet informatique.

La conformité comme protection du praticien

Le praticien demeure responsable de traitement au sens du RGPD. Il ne peut s’exonérer en invoquant la défaillance de son prestataire s’il n’a pas vérifié ses garanties en amont.

Choisir une infrastructure certifiée, redondée et documentée, c’est aussi se doter des éléments de preuve nécessaires en cas de contrôle ou de litige.

La continuité comme condition de la confiance

Un patient qui ne parvient pas à joindre son cabinet à deux reprises ne rappelle pas une troisième fois. Il se tourne vers les urgences, vers un confrère, ou renonce.

---

Questions fréquentes

Que se passe-t-il si un centre de données subit une panne totale ?

Les deux autres continuent d’assurer le service. Chacun de nos trois sites est une réplique complète capable de fonctionner de façon autonome. La bascule des liens réseau est automatique.

Où sont stockées les données de mes patients ?

Exclusivement en France, sur trois sites situés à Saint-Denis, Aubervilliers et Strasbourg, dans des centres de données répondant aux exigences de la certification HDS.

Les appels sont-ils enregistrés et où sont conservés ces enregistrements ?

Lorsque l’enregistrement est activé, les fichiers sont conservés sur nos serveurs de bases de données, au sein de la même infrastructure certifiée. Les modalités — finalité, durée de conservation, accès — sont définies contractuellement avec chaque client.

Comment savoir si mon prestataire actuel dispose d’une infrastructure équivalente ?

Posez-lui quatre questions : combien de centres de données ? Sont-ils tous actifs ou certains sont-ils passifs ? Quels sont leurs certificats HDS et leur périmètre ? Quel est le dispositif de supervision ? Demandez les documents, pas les déclarations.

Que signifie « certification HDS » exactement ?

C’est une certification délivrée par un organisme accrédité, fondée sur un référentiel adossé à la norme ISO 27001, obligatoire pour héberger des données de santé à caractère personnel. Elle couvre plusieurs activités distinctes, ce qui rend la lecture du périmètre indispensable.

Vos téléconseillers ont-ils accès à l’ensemble du dossier patient ?

Non. Les profils d’accès sont paramétrés selon le principe de minimisation prévu par le RGPD : chaque opérateur ne dispose que des informations nécessaires à sa mission, définies avec le praticien lors de la mise en place.

---

Et donc : une infrastructure qui se vérifie

L’architecture technique d’une permanence téléphonique ne se voit pas. Elle ne se manifeste que le jour où quelque chose se passe mal — et c’est précisément ce jour-là qu’elle devient déterminante.

Trois centres de données répliqués et autonomes, cinquante-quatre serveurs, cinq points d’entrée réseau sur deux opérateurs, plus de 2 500 sondes de supervision, un DNS externalisé, une interconnexion directe avec Orange, une certification HDS sur l’ensemble des sites : ce dispositif représente un investissement considérable pour une activité de permanence téléphonique.

Nous l’assumons, parce que nos clients sont des professionnels de santé et que leurs patients ne peuvent pas attendre le rétablissement d’un service.

Nous vous invitons à nous poser les questions techniques que vous poseriez à n’importe quel prestataire — et à comparer les réponses.