Sous le capot.

01 — Le socle

Une donnée capturée une fois, au moment de l'acte.

Health4LL n'est pas un rapporteur branché sur des systèmes existants : c'est le système d'exécution. Les dossiers cliniques et les relations du parcours patient vivent dans une base graphe (Neo4j) — admissions, consultations, ordonnances, hospitalisations, examens sont des arêtes, pas des jointures. L'authentification, le stockage de fichiers chiffrés, la facturation, les résultats de laboratoire et l'ensemble du module logistique (catalogue, emplacements, lots, arrivages, transferts, ventes, mouvements de stock) vivent dans PostgreSQL.

La conséquence importante n'est pas le choix des moteurs : c'est la provenance. Les chiffres arrivent déjà rapprochés parce qu'ils ont été produits par des transactions que la clinique ne peut pas se permettre de rater — une vente de pharmacie, une déduction de lot, un encaissement — et non ressaisis après coup pour alimenter un rapport.

02 — Le parcours

Du patient à la ligne de facture.

1. 01

   Admission & laboratoire

   Création du dossier, prescription d'examens sur le catalogue de la clinique, recherche insensible aux accents (unaccent), file d'attente mise à jour en direct.

2. 02

   Opérations laboratoire

   Les réactifs sont déduits du stock à la validation, par lot, selon les protocoles configurés. Réconciliation physique et traçabilité conservées.

3. 03

   Pharmacie

   Dispensation reliée au lot exact. Le stock se décrémente par une procédure serveur transactionnelle, pas par une écriture cliente.

4. 04

   Facturation & caisse

   Chaque acte génère sa ligne. Encaissement, remises, couverture assurance, créances et rétrocessions sont des écritures, pas des champs libres.

5. 05

   Analyse

   L'ensemble converge vers des agrégats déterministes — le rapport quotidien les envoie sans aucune génération de texte, Medici les lit pour répondre.

03 — Fiabilité

Idempotence, hors-ligne, permissions.

Opérations idempotentes

Les écritures d'argent et de stock portent une clé d'idempotence : un double-clic, un retry réseau ou un rejeu de file hors-ligne ne créent pas une seconde vente.

File hors-ligne

Les requêtes échouées sont mises en file dans IndexedDB et rejouées au retour du réseau (24 h max). Les opérations qui touchent l'argent et le stock restent volontairement en ligne uniquement : une écriture financière rejouée à l'aveugle est pire qu'une écriture refusée.

RBAC serveur

Chaque route protégée traverse withPermission → withAuth → vérification du JWT. Les permissions sont des arêtes du graphe : (Practitioner)-[:HAS_ROLE]->(Role)-[:HAS_PERMISSION]->(Permission). L'interface masque, le serveur refuse.

Plans d'abonnement

Le plan de l'établissement est un second filtre appliqué APRÈS le contrôle RBAC, en liste de refus : une permission inconnue est autorisée partout, donc ajouter une fonctionnalité ne casse jamais silencieusement un établissement en offre basse.

Journal d'audit

Les actes destructeurs enregistrent un instantané dérivé côté serveur de ce qui a été détruit — jamais le corps de la requête. Les suppressions de lignes d'audit sont bloquées en base.

04 — Medici

Un analyste agentique, en lecture seule par construction.

Medici n'est pas un chatbot qui devine. Le serveur expose au modèle plus de vingt outils en lecture seule ; le modèle choisit lesquels appeler, lit les agrégats renvoyés sur les seules données de l'établissement, raisonne dessus, puis écrit sa réponse au fil de l'eau. Une même question peut enchaîner plusieurs appels — le modèle décide lui-même quand il a réuni assez de preuves. Chaque appel d'outil est journalisé côté serveur.

L'identifiant de l'établissement est scellé côté serveur depuis le jeton de connexion : le modèle ne le voit jamais, ne peut rien écrire, et ne peut atteindre aucun autre établissement. Cela resterait vrai si le modèle était entièrement détourné — la lecture seule et le cloisonnement ne sont pas des promesses, ce sont des propriétés de l'architecture. Les outils n'exposent aucun dossier clinique : uniquement des agrégats financiers.

Medici distingue les flux d'une période des soldes à un instant T, et ne compte jamais deux fois le même argent. Si une donnée n'est pas couverte par un outil, il le dit plutôt que d'inventer.

Ce que les outils savent lire

Vue d'ensemble financière

Chiffre d'affaires clinique et pharmacie, encaissements, sorties, net ; créances et dettes fournisseurs ; valeur du stock et risque de péremption ; modes de paiement et tendance quotidienne.

Trésorerie & prévision

Entrées et sorties par mode de paiement, solde net, rapprochement de caisse ancré sur un comptage physique, projection du rythme de consommation.

Facturation & attribution

CA, encaissé et restant dû, répartition par service et par laboratoire, remises, couverture assurance, rétrocession, et CA attribué par praticien.

Balance âgée

Créances patients et ventes à crédit, dettes fournisseurs, ventilées 0-30 / 31-60 / 61-90 / 90+ jours, avec les débiteurs nommés et les plus anciennes en tête.

Détail des dépenses

Sorties par catégorie, par personne ayant enregistré et par mode de paiement ; les plus grosses avec motif et justificatif ; signaux d'anomalie (part « autre » élevée, justificatif manquant, concentration sur une personne).

Stock, marge réelle & démarque

Inventaire valorisé, lots qui périment, meilleures ventes ; marge brute réelle par lot au prix d'achat effectif ; mouvements hors vente avec signaux de démarque.

Points d'attention proactifs

Le serveur calcule d'abord un dossier de preuves déterministe — période courante contre précédente, sur 7/30/90 jours — puis un appel structuré au modèle le classe par gravité. Chaque constat porte un titre, le chiffre, la preuve et une action.

05 — La suite

Le moteur est général.

Le motif est réutilisable : des outils serveur en lecture seule, chacun cloisonné sur l'identifiant de l'établissement. Ajouter un domaine, c'est ajouter un outil — pas reconstruire la confiance.