Pour les établissements et opérateurs de santé
DataBait injecte des comptes utilisateurs fictifs indétectables dans vos fichiers patients (dossier patient informatisé, systèmes de gestion de laboratoire, bases de rendez-vous, bases partagées avec vos éditeurs de logiciels, vos hébergeurs HDS et vos sous-traitants), avec une adresse email et un numéro de mobile réels surveillés 24/7. Ces comptes ne correspondant à aucun patient réel, toute réception d'un email ou d'un SMS révèle un usage non légitime de vos données et produit une preuve recevable en justice, en moins de 72 h.
Le coût d'une fuite de données
L'établissement de santé cumule une exposition que peu de secteurs égalent : il traite des données de santé, la catégorie la plus sensible du RGPD ; il subit, année après année, le coût de fuite le plus élevé de tous les secteurs ; et il partage ses fichiers patients avec un écosystème dense d'éditeurs de logiciels, d'hébergeurs et de sous-traitants, d'où provient une part majeure des fuites.
Sources : IBM, Cost of a Data Breach 2025 · CNIL
Sécurité des données
DataBait détecte le vol effectif de vos données par leur usage, une fois qu'elles ont quitté votre SI.
Vos EDR et DLP surveillent les accès et le périmètre de votre SI ; une fois les données sorties vers vos éditeurs de logiciels (dossier patient informatisé, gestion de laboratoire), vos hébergeurs HDS, vos plateformes de rendez-vous ou vos prestataires de télésanté, ils sont aveugles à ce qu'on en fait. Chaque prestataire est une sortie légitime de vos fichiers patients, et autant de surfaces de détournement hors de portée de vos outils périmétriques. DataBait prend le relais sur l'usage : les comptes fictifs qu'il injecte ne correspondant à aucun patient réel, tout contact qu'ils reçoivent trahit, par construction, un usage non légitime de vos données. En complément de votre dispositif existant, et sans faux positif structurel.
Juridique
DataBait vous fournit une preuve recevable en justice du vol de vos données : un constat de commissaire de justice, établi en moins de 72 h, scellé par un horodatage qualifié eIDAS.
Chaque étape de la procédure est scellée par un horodatage qualifié eIDAS, émis par un QTSP inscrit sur la Liste de confiance européenne : signature du contrat, liste des comptes fictifs que DataBait a injectés, code source des emails et SMS reçus, jusqu'au constat de commissaire de justice qui les consolide. Conforme à la norme AFNOR NF Z67-147, ce constat est recevable devant les tribunaux français.
Pour un établissement de santé, ce constat rend exploitables les actions que vous seul pouvez mener. En interne, il arme la procédure disciplinaire : le secret médical (article L.1110-4 du Code de la santé publique) adosse chaque professionnel à l'article 226-13 du Code pénal (violation du secret professionnel : 1 an d'emprisonnement et 15 000 € d'amende). En externe, il fonde le recours civil contre un éditeur, un hébergeur ou un sous-traitant sorti du périmètre de son DPA. Sans constat, ces deux voies restent théoriques.
Compliance
DataBait sert votre obligation de signalement des incidents de sécurité des SI de santé et votre conformité RGPD : l'alerte, scellée par un horodatage qualifié eIDAS, prouve votre date de prise de connaissance, point de départ certain de vos délais de signalement à l'ARS et de notification à la CNIL.
L'article L.1111-8-2 du Code de la santé publique impose déjà aux structures de santé de signaler sans délai les incidents graves de sécurité de leurs SI ; ce signalement, adressé à l'ARS, est relayé à l'ANS (CERT Santé). Au-delà du délai, la fuite elle-même est documentée pour vos déclarations : à la CNIL au titre du RGPD (article 33), avec une exigence renforcée dès qu'elle touche des données de santé (article 9). En cas de contrôle, vous démontrez ce que vous avez su, quand, et ce que vous en avez fait.
La directive (UE) 2022/2555 (NIS2) classe le secteur de la santé parmi les entités essentielles ; sa transposition en droit français (projet de loi Résilience) imposera un dispositif documenté de gestion du risque ICT : détection, notification des incidents majeurs (alerte précoce sous 24 h, notification sous 72 h, rapport final sous 1 mois, auprès de l'ANSSI) et surveillance des prestataires. DataBait outille ces trois axes : une capacité de détection documentée ; un dossier d'incident horodaté sous 72 h, directement exploitable pour la notification ; une surveillance continue de vos éditeurs, hébergeurs et sous-traitants qui matérialise l'obligation de maîtrise de la chaîne sans audit complémentaire.
Cas d'usage
DataBait détecte et prouve les fuites et l'usage abusif de vos données patients, quel qu'en soit l'acteur.
Un praticien ou un agent administratif sur le départ emporte un fichier patients et l'exploite ou le revend : le scénario est d'autant plus lourd que chaque dossier engage le secret médical. Un compte fictif est contacté : vous êtes alerté, et le constat arme votre procédure disciplinaire.
Un éditeur de logiciel de santé, un prestataire de facturation ou un hébergeur laisse fuiter ou réexploite vos fichiers patients, hors DPA : c'est exactement le vecteur de la fuite Dedalus (près de 500 000 patients, sanction CNIL). Le contact d'un compte fictif révèle le détournement, preuve recevable en justice à l'appui.
Un rançongiciel frappe votre établissement et la base patients est diffusée, un scénario devenu récurrent dans les hôpitaux. Vos comptes fictifs apparaissent sur le dark web : la fuite est révélée avant l'ARS, la CNIL ou la presse, et avant d'être exploitée contre vos patients (phishing, usurpation, chantage).
How it works
DataBait transforme chaque tentative d'usage de vos données patients en preuve.
DataBait injecte des comptes utilisateurs fictifs indétectables dans vos fichiers patients (dossier patient informatisé, systèmes de gestion de laboratoire et d'imagerie, bases de rendez-vous et de facturation, bases partagées avec vos éditeurs, hébergeurs HDS et sous-traitants), générés à partir de bases statistiques publiques (INSEE, IRIS, BDNB), sans LLM ni hallucination, dotés d'une adresse email et d'un numéro de mobile réels.
Adresse email et numéro de mobile surveillés en continu ; ces comptes ne correspondant à aucun patient réel, tout contact reçu est non légitime par construction, sans faux positif structurel.
Recherche continue de vos comptes fictifs sur les forums, marketplaces et dumps, même en l'absence de tout contact : vous savez qu'une base a fuité avant l'ARS, la CNIL ou la presse.
Chaque signal génère une preuve scellée par un horodatage qualifié eIDAS et déclenche une alerte qualifiée par type (phishing, fuite, usage interne abusif, non-conformité d'un prestataire), enrichie par OSINT et livrée avec ses métadonnées forensiques, pour permettre à votre RSSI de prioriser (email ou intégration SIEM).
Constat de commissaire de justice conforme à la norme AFNOR NF Z67-147 et horodatage qualifié eIDAS, recevable en justice en moins de 72 h, directement exploitable pour votre signalement à l'ARS et vos déclarations RGPD.
Intégration
DataBait est un SaaS entièrement géré : il s'utilise sans agent ni modification de votre infrastructure, et vous n'avez aucune charge opérationnelle ; chaque alerte est un signal réel, sans faux positif à trier.
Les alertes vous parviennent par le canal de votre choix : email (canal principal, précisément adressable par destinataire et par projet) ou intégration SIEM. Aucun agent à installer, pas de migration de schéma : les comptes fictifs sont injectés via les mêmes voies d'import que vos nouveaux patients ou vos campagnes de rappel.
Protection de l'établissement
DataBait injecte les comptes fictifs dans votre dossier patient informatisé, vos systèmes de gestion de laboratoire et d'imagerie, vos bases de rendez-vous et de facturation. Vous outillez votre propre conformité (signalement SI de santé, RGPD, NIS2) sans modifier votre SI, et sans ajouter de périmètre HDS.
Oversight des tiers
DataBait injecte des comptes fictifs dédiés à chaque base que vous partagez avec vos éditeurs de logiciels, vos hébergeurs HDS, vos plateformes de prise de rendez-vous, vos prestataires de télésanté et de facturation. Segmentées par destinataire, ces bases permettent d'identifier le tiers à l'origine d'un détournement ; vous maîtrisez votre chaîne de sous-traitance en signal continu, sans audit annuel.
Sovereignty
DataBait est une société de droit français, détenue à 100% par des actionnaires français et opérée en France sur une infrastructure souveraine ; aucune de vos données ne transite ni n'est stockée sur nos serveurs.
L'infrastructure est hébergée en France sur une plateforme qualifiée SecNumCloud (ANSSI) et infogérée par une société française certifiée ISO 27001, hors de portée des juridictions extraterritoriales. Ce socle répond aux exigences du référentiel PGSSI-S et aux attentes de l'ANS en matière de sécurité des SI de santé. Et parce que DataBait n'héberge aucune de vos données patients, sa mise en œuvre n'ajoute aucun périmètre HDS à votre système d'information.
Trust
Pas de promesses : sur chaque alerte, vous recevez un dossier de preuve déjà constitué selon des standards opposables.
Evidence dossier
AFNOR NF Z67-147
Constat de commissaire de justice, signé sous 72 h après l'alerte.
eIDAS · art. 41
Horodatage qualifié, présomption légale de validité dans toute l'Union européenne.
Chain of custody
Documented, admissible before French and European courts.
Hébergement SecNumCloud · ISO 27001
Données hébergées en France, infrastructure qualifiée ANSSI.
Référencé
MARTECH PLAYBOOK 2026 · Havas Business Science
DataBait est référencé dans ce catalogue cyber martech.
Frequently asked questions
Toutes les bases contenant des données patients : dossier patient informatisé (DPI), systèmes de gestion de laboratoire (SGL) et d'imagerie, bases de rendez-vous et de facturation, bases partagées avec vos éditeurs de logiciels de santé, vos hébergeurs HDS, vos plateformes de prise de rendez-vous, vos prestataires de télésanté et vos sous-traitants. DataBait détecte trois familles de signaux :
DataBait alimente d'abord une obligation déjà en vigueur : le signalement des incidents graves de sécurité des SI de santé (article L.1111-8-2 du Code de la santé publique), adressé à l'ARS et relayé à l'ANS (CERT Santé). L'alerte horodatée eIDAS fixe votre date de prise de connaissance et documente l'incident. La directive (UE) 2022/2555 (NIS2) classe le secteur de la santé parmi les entités essentielles ; sa transposition française (projet de loi Résilience) imposera un dispositif documenté de gestion du risque ICT et une cinétique de notification à l'ANSSI (alerte précoce sous 24 h, notification sous 72 h, rapport final sous 1 mois). DataBait outille ces axes : capacité de détection documentée, dossier d'incident horodaté sous 72 h, surveillance continue de vos éditeurs, hébergeurs et sous-traitants.
Oui, si vous segmentez vos bases par destinataire : DataBait injecte des comptes fictifs dédiés dans chaque base que vous confiez, et un contact reçu sur les comptes d'une base donnée désigne le tiers concerné. Sur une base unique partagée avec plusieurs prestataires, un contact prouve le détournement mais n'en désigne pas l'auteur ; l'attribution suppose alors votre propre enquête.
DataBait n'héberge aucune de vos données patients : il injecte des comptes utilisateurs fictifs, générés à partir de bases statistiques publiques, et n'en surveille que le canal de contact (email, SMS). Vos données réelles ne quittent pas votre SI, et sa mise en œuvre n'ajoute aucun périmètre HDS. Les données de santé relèvent de l'article 9 du RGPD, la catégorie la plus protégée, et leur détournement expose à des sanctions renforcées. La confidentialité des patients est en outre couverte par le secret médical (article L.1110-4 du Code de la santé publique), pénalement sanctionné (article 226-13 du Code pénal). Le constat DataBait documente le manquement, quel qu'en soit le fondement.
Aucun. DataBait fonctionne en SaaS entièrement géré, sans modification d'infrastructure, avec zéro charge opérationnelle côté établissement. Pas d'agent à installer, pas de migration de schéma, pas de connecteur à maintenir. Le déploiement ne traverse aucun environnement de production critique : les comptes fictifs sont injectés via les mêmes voies d'import que vos nouveaux patients ou vos campagnes de rappel.
Données hébergées en France, hébergement SecNumCloud (qualification ANSSI), ISO 27001. Preuve produite selon le droit français (commissaire de justice, AFNOR NF Z67-147) et reconnue dans toute l'Union européenne (horodatage qualifié eIDAS). Aucun transfert hors UE. Et parce que DataBait n'héberge aucune de vos données patients, sa mise en œuvre n'ajoute aucun périmètre HDS à votre système d'information.
Une base sous DataBait qui n'a jamais déclenché d'alerte démontre, par construction, l'absence d'usage abusif détectable. Pour votre RSSI et votre direction, c'est un indicateur mesurable de la maturité de votre dispositif et de celui de vos éditeurs et sous-traitants. Pour l'ARS, l'ANS et la CNIL, c'est une pièce versée à votre dispositif de sécurité des SI de santé.
Trois périmètres sortent du lot, selon trois axes d'exposition distincts :
Prise de contact
Réservez 30 minutes avec notre équipe : nous examinons vos fichiers patients (DPI, laboratoire, imagerie, rendez-vous, facturation) et vos bases partagées avec vos éditeurs, hébergeurs et sous-traitants, et nous identifions les périmètres où l'injection de comptes fictifs apporte la preuve la plus rapide.
Reply within 24 business hours