Chatbots IA conformes au RGPD pour les sites de cliniques : 14 produits comparés

Étude comparative fondée sur des sources · Dernière vérification les 1er et 2 août 2026

Nous avons comparé 14 chatbots IA proposés aux cliniques esthétiques ou utilisables sur leurs sites web. L'étude distingue les affirmations marketing de la documentation publique et consigne les résultats de tests manuels dans le navigateur : le widget se charge-t-il après le refus des cookies facultatifs, que trouve-t-on dans les cookies ou le localStorage, les conversations sont-elles conservées et que se passe-t-il lorsqu'un visiteur pose une question liée à la santé ?

Réponse courte : aucun chatbot IA n'est conforme au RGPD à lui seul. Une clinique doit évaluer ce que collecte le widget déployé, où vont les conversations, combien de temps elles sont conservées, quels sous-traitants ultérieurs les reçoivent, quelles informations sont communiquées aux visiteurs et si elle peut mettre en œuvre le contrat et la procédure de suppression nécessaires. Dans cette comparaison, la documentation publique et le comportement réel des déploiements variaient fortement, y compris parmi les outils qui se présentent comme conformes au RGPD.

Sujet principal : chatbot IA conforme au RGPD pour le site web d'une clinique · Sont également abordés les chatbots pour cliniques esthétiques, le consentement aux cookies, la conservation des conversations, les DPA, les sous-traitants ultérieurs, HIPAA/BAA et les limites applicables aux réponses de santé.

Ce que révèle la comparaison

Les données concernant la santé constituent une catégorie particulière de données à caractère personnel au sens de l'article 9 du RGPD. Le RGPD impose également la minimisation des données et la limitation de leur conservation à l'article 5, tandis que l'article 28 exige des responsables du traitement qu'ils fassent appel à des sous-traitants présentant des garanties suffisantes et encadrent le traitement par contrat. Pour les notions juridiques sous-jacentes, consultez notre guide distinct sur l'application du RGPD à un chatbot IA de clinique esthétique.

Comparaison principale : 14 chatbots IA pour les sites de cliniques

Ce tableau est volontairement large. Sur mobile, faites-le défiler horizontalement. Les « points de documentation » indiquent combien des sept catégories documentaires ont été trouvées : durée de conservation, stockage dans le navigateur, hébergement/traitement, DPA client, sous-traitants ultérieurs publics, documentation de sécurité et évaluation indépendante. Il ne s'agit pas d'un score de conformité au RGPD, de sécurité, de sécurité médicale ou de confiance.

Comment interpréter « non trouvé » : cela signifie que nous n'avons pas trouvé l'élément dans les pages officielles consultées à la date indiquée. Cela ne prouve pas que le fournisseur ne possède aucun document interne ou qu'il ne le communiquera jamais au cours du processus commercial. Interrogez directement le fournisseur et conservez sa réponse écrite.

Résultats relatifs au consentement aux cookies et au stockage dans le navigateur

Une bannière de cookies ne répond qu'à une question précise : quelles technologies de navigateur la page testée autorise-t-elle après le choix de l'utilisateur ? Elle ne prouve pas si le texte d'un chat est conservé sur un serveur. Inversement, un identifiant de session fonctionnel dans le localStorage ne constitue pas automatiquement un suivi publicitaire. Les cliniques doivent documenter ces deux niveaux.

Pourquoi un chat peut-il fonctionner après « Tout refuser » ?

« Tout refuser » signifie généralement refuser toutes les catégories facultatives. Un fournisseur ou une clinique peut qualifier un identifiant de session de strictement nécessaire au service de chat demandé par le visiteur. Cette qualification peut être défendable selon la mise en œuvre et le droit local, mais elle n'autorise pas la conservation illimitée des transcriptions et n'excuse pas l'absence d'informations sur la confidentialité. Le déploiement doit toujours reposer sur une base juridique, fournir une information transparente, minimiser les données, appliquer une durée de conservation appropriée et disposer d'une procédure de suppression opérationnelle.

Dans les marchés exigeants comme la Belgique, testez le déploiement réel de la clinique, pas seulement le site du fournisseur. Consignez l'état de la page avant le consentement, après le refus et après le premier message. Distinguez les outils d'analyse du site hôte du stockage du widget à l'aide du domaine, du nom des clés et des requêtes réseau.

Notes pour les cliniques, produit par produit

Le tableau permet la comparaison la plus rapide. Ces brèves notes conservent le contexte qui se perd facilement dans une cellule « oui/non ».

Liste de contrôle pour les cliniques : que demander avant l'installation ?

Une démonstration soignée ne constitue pas une preuve suffisante pour un achat. Demandez les documents et testez la configuration exacte que vous comptez déployer.

1. Un DPA entre la clinique et le fournisseur. Vérifiez qu'il est intégré à votre contrat et couvre le service réellement utilisé, et pas seulement un accord entre le fournisseur et ses propres sous-traitants ultérieurs.
2. Une liste nominative des sous-traitants ultérieurs. Identifiez le fournisseur du modèle, l'hébergeur cloud, les outils d'analyse et d'assistance, les services d'e-mail/de transcription et toutes les régions dans lesquelles ils traitent les données.
3. Un diagramme des flux de données. Suivez un message depuis le navigateur du visiteur, puis à travers le widget, le backend du fournisseur, le modèle, les journaux, le CRM, l'e-mail et la boîte de réception humaine.
4. Des règles de conservation précises. Posez des questions distinctes sur les transcriptions côté serveur, les journaux, les sauvegardes, l'historique du navigateur, les dossiers de prospects, les journaux du fournisseur de modèle et les copies envoyées par e-mail ou par une intégration.
5. Le mécanisme de suppression. Testez une conversation : supprimez-la, exportez une preuve de suppression et confirmez ce qui subsiste dans les sauvegardes ou les systèmes en aval.
6. Les options de consentement et de transparence. Déterminez ce qui apparaît avant le premier message, quel stockage est nécessaire ou facultatif et si le widget peut rester désactivé jusqu'à ce que votre plateforme de gestion du consentement l'autorise.
7. La position contractuelle sur les données de santé. Les conditions autorisent-elles les données relevant de l'article 9 du RGPD ? Sinon, qu'est-ce qui arrête ou redirige le visiteur avant qu'il ne les transmette ?
8. Les limites des réponses médicales. Exigez des règles claires interdisant le diagnostic et l'évaluation de l'éligibilité, une escalade en cas d'urgence, le transfert vers un humain et des tests reposant sur le contenu réel de la clinique.
9. Des preuves indépendantes. Demandez le rapport SOC 2 actuel, le certificat ISO et son périmètre lorsque ces éléments sont revendiqués. SOC 2 est un examen/rapport, et non une « certification » du produit.
10. Les contrôles propres à l'offre. Vérifiez si l'hébergement dans l'UE, la durée de conservation personnalisée, la conservation zéro des données, le BAA, les journaux d'audit ou le contrôle du consentement nécessitent l'offre Enterprise.
11. La responsabilité opérationnelle. Désignez la personne chargée de mettre à jour les prix, les traitements, les contre-indications, les coordonnées et le routage des urgences, puis retestez après chaque modification.

Règle pratique pour l'achat : si un fournisseur ne peut pas vous dire si les conversations sont stockées, où elles sont traitées et comment elles sont supprimées, la clinique ne peut ni fournir aux visiteurs une information de confidentialité exacte ni gérer de manière fiable les demandes d'exercice de leurs droits.

Êtes-vous un fournisseur figurant dans ce comparatif ? Les produits, la documentation et les configurations évoluent. Si les informations concernant votre produit sont obsolètes ou si vous pensez que nous avons commis une erreur factuelle, veuillez contacter hello@iglowly.com en incluant un lien vers la documentation pertinente. Nous examinerons les corrections proposées et mettrons à jour le comparatif le cas échéant.

Méthodologie, niveau de preuve et limites

L'étude a été menée les 1er et 2 août 2026. Nous avons commencé par les produits commercialisés auprès des cliniques esthétiques, puis ajouté des plateformes généralistes établies de chat/d'agents IA qu'une clinique est susceptible de comparer. L'ensemble principal comprend 14 produits : iGlowly, Botmedica, FlashAI.pl, Omybox, Hyperleap, Astucia, Tidio/Lyro, Crisp, Intercom Fin, Chatbase, CustomGPT, ChatLab, tawk.to AI Assist et Elfsight AI Chatbot.

Pour chaque produit, nous avons recherché les mêmes catégories : déploiement public, source des connaissances, contenu médical intégré, limites des réponses de santé, comportement de collecte des prospects, stockage des conversations, durée de conservation, stockage dans le navigateur, hébergement/traitement, DPA client, sous-traitants ultérieurs, documentation de sécurité, évaluation indépendante et informations HIPAA/BAA.

Les pages et documents officiels des fournisseurs ont été privilégiés. Les tests manuels dans le navigateur ont utilisé une session de navigation privée et examiné les cookies et le localStorage avant le consentement, après le refus des éléments facultatifs lorsqu'il était proposé, puis après l'envoi de messages. Les outils d'analyse du site hôte ont été exclus du résultat du widget lorsque leur attribution était claire. Un déploiement réel n'a été nommé que lorsque le widget observé pouvait être relié au produit comparé.

Les points de documentation (0–7) mesurent uniquement la couverture documentaire : un point est attribué lorsqu'un élément exploitable a été trouvé pour la durée de conservation, le stockage dans le navigateur, l'hébergement/traitement, le DPA client, les sous-traitants ultérieurs publics, la documentation de sécurité et l'évaluation indépendante. Un fournisseur peut documenter clairement une pratique risquée et recevoir un point ; un autre peut appliquer un bon contrôle interne non public et n'en recevoir aucun. Ce nombre ne doit jamais être interprété comme une mesure de conformité juridique, de qualité médicale ou de confiance globale.

• « Le fournisseur déclare » signale une affirmation de première partie.
• « Observé » décrit le déploiement testé au moment indiqué.
• « Non trouvé » signifie que l'élément n'a pas été localisé dans les documents officiels consultés, et non qu'il a été prouvé inexistant.
• La configuration du site d'un fournisseur ne garantit pas un comportement identique dans chaque intégration client.
• Un test dans le navigateur ne peut pas prouver la suppression côté serveur, la journalisation par le fournisseur de modèle ou l'effacement des sauvegardes.
• Une réponse sûre à un seul prompt n'établit pas la fiabilité clinique.

Les pages, offres et politiques des fournisseurs évoluent. Revérifiez tous les documents du fournisseur retenu juste avant la signature. Pour une interprétation générale de la réglementation, consultez le texte du RGPD sur EUR-Lex, les principes du RGPD présentés par le CEPD et un spécialiste qualifié de la protection des données.

Déclaration de l'éditeur. iGlowly publie cette comparaison et fait partie des produits étudiés. Nous avons utilisé les mêmes critères fixes pour chaque produit et renvoyons vers la documentation des fournisseurs lorsqu'elle est disponible. Les déclarations concernant iGlowly proviennent de l'entreprise elle-même, sauf mention expresse d'une source indépendante. Il s'agit d'une étude destinée à guider les achats, et non d'un avis juridique ni d'une certification d'un fournisseur.

‍