FR 3045185 A1 20170616 FR 1562051 A 20151209 1 Arrière-plan de l'invention L'invention se rapporte au domaine général de l'envoi de messages par un serveur vers un utilisateur. L'invention concerne tout particulièrement l'envoi de messages SMS à des utilisateurs dans un contexte médical. Dans un contexte médical, les messages échangés avec des utilisateurs comportent des informations confidentielles car propres à chaque utilisateur, et chaque utilisateur peut souhaiter que ces informations ne soient pas divulguées à des tiers autres que les professionnels de la santé. Ces informations peuvent être relatives à un traitement ou à un 15 suivi de données médicales. Les informations échangées dans un contexte médical sont en fait, de manière générale, des informations échangées entre un patient ou utilisateur et un professionnel de la santé. Du fait de leur confidentialité, il est parfois délicat d'utiliser des moyens de communication électronique entre les professionnels de la 20 santé et les utilisateurs. Des solutions existantes ne permettent pas d'éviter de manière satisfaisante qu'un tiers obtienne de manière frauduleuse des informations médicales sur un utilisateur. Tel est notamment le cas dans les systèmes où les identités des 25 patients sont stockées en regard d'informations médicales. L'invention vise notamment à pallier ces inconvénients, et elle vise en particulier à permettre l'échange d'informations de manière sécurisé dans un contexte médical. 30 3045185 2 Objet et résumé de l'invention La présente invention répond à ce besoin en proposant un procédé d'envoi de message. 5 Selon une caractéristique générale, ce procédé est mis en oeuvre par au moins un premier serveur dans lequel sont enregistrés au sein d'une mémoire non-volatile, pour chaque utilisateur d'une pluralité d'utilisateurs, un identifiant chiffré de l'utilisateur et une information de contact utilisable pour l'envoi à l'utilisateur d'un message, le procédé 10 comportant : - une réception par ledit premier serveur d'une requête d'envoi de message comportant un message à envoyer et un identifiant non-chiffré, la requête d'envoi de message étant émise par un deuxième serveur distinct du premier serveur, - un enregistrement dans une mémoire volatile du premier serveur de ladite requête d'envoi de message, - une émission par ledit premier serveur à un système de chiffrement d'une requête de chiffrement dudit identifiant non-chiffré, le système de chiffrement étant distinct dudit premier serveur, - une réception par ledit premier serveur d'un identifiant chiffré associé audit identifiant non-chiffré et émis par ledit système de chiffrement, - un envoi dudit message à envoyer à un utilisateur à partir des informations de contact stockées dans ladite mémoire non-volatile et associées audit identifiant chiffré. Il convient de noter que dans la présente demande de brevet, on entend par « enregistrement dans une mémoire volatile », un enregistrement uniquement dans cette mémoire volatile, de sorte que l'information n'est conservée que pendant qu'elle est toujours utile, c'est-à-dire jusqu'à l'envoi dudit message. Un enregistrement dans une mémoire volatile permet de faire disparaitre les informations qui y sont enregistrées dès lors que la mémoire volatile n'est plus alimentée. Aussi, si le procédé tel que défini-ci-avant est mis en oeuvre au moyen d'un programme d'ordinateur exécuté par le serveur, alors dès que ce programme a fini d'être exécuté, le système d'exploitation du serveur peut réutiliser les parties de la mémoire volatile pour y inscrire d'autres données, cette zone étant affectée à d'autres tâches. 3045185 3 Le procédé tel que défini ci-avant ne comporte aucune exécution d'une instruction visant à écrire dans une mémoire non-volatile. Cela rend particulièrement difficile la possibilité de lier tous les identifiants chiffrés stockés dans le premier serveur et tous les identifiants 5 non-chiffrés qui sont stockés dans le deuxième serveur. Il en découle qu'il est particulièrement difficile de lier les informations contenues dans les messages qui proviennent du deuxième serveur aux informations de contact contenues dans le deuxième serveur et qui permettent de retrouver l'identité d'un utilisateur. 10 Aussi, en utilisant un système de chiffrement distinct des premier et deuxième serveurs, on rend encore plus difficile cette liaison entre les informations contenues dans les messages et les informations de contact : la prise de contrôle du premier serveur n'est ainsi pas suffisante. Le procédé tel que défini ci-avant permet donc d'obtenir un bon 15 niveau de sécurité, et il est particulièrement bien adapté à un contexte médical. En d'autres termes, ledit message peut comporter des informations médicales propres à l'utilisateur. Selon un mode particulier de mise en oeuvre, le procédé comprend 20 une inscription préalable dudit utilisateur de ladite pluralité d'utilisateur, ladite inscription comportant : - une réception par ledit premier serveur d'une requête d'inscription dudit utilisateur comportant ladite information de contact, - une élaboration dudit identifiant non-chiffré par ledit premier serveur et 25 un enregistrement dans ladite mémoire volatile du premier serveur dudit identifiant non-chiffré, - une émission par ledit premier serveur audit système de chiffrement d'une requête de chiffrement dudit identifiant non-chiffré, - une réception par ledit premier serveur de l'identifiant chiffré associé 30 audit identifiant non-chiffré et émis par ledit système de chiffrement, - un enregistrement de ladite information de contact et dudit identifiant chiffré dans ladite mémoire non-volatile du premier serveur. Ainsi, même lors de l'inscription préalable d'un utilisateur, un bon niveau de sécurité est obtenu. 3045185 4 Selon un mode particulier de mise en oeuvre, le procédé comporte en outre postérieurement à l'envoi dudit message, une émission d'une confirmation d'envoi par ledit premier serveur audit deuxième serveur. Selon un mode particulier de mise en oeuvre, l'envoi dudit 5 message comporte l'envoi d'un message de type SMS (« Short Message Service » en langue anglaise), ladite information de contact comportant un numéro de téléphone. Ce mode particulier de mise en oeuvre est particulièrement avantageux car les SMS ne requièrent par l'utilisation de données internet, 10 et ces messages peuvent être reçus facilement dès lors que le terminal destinataire est connecté à un réseau de communication mobile. Selon un mode particulier de mise en oeuvre, le procédé comporte en outre : - une réception par ledit premier serveur, d'un message supplémentaire 15 émis par ledit utilisateur et comportant une réponse de l'utilisateur et ladite information de contact, - une détermination par ledit premier serveur de l'identifiant chiffré associé aux informations de contact de l'utilisateur à partir dudit message supplémentaire, 20 - une émission par ledit premier serveur audit système de chiffrement d'une requête de déchiffrement dudit identifiant chiffré, - une réception par ledit premier serveur de l'identifiant non-chiffré émis par le système de chiffrement, et un enregistrement dans ladite mémoire volatile dudit identifiant non-chiffré, 25 - une émission par ledit premier serveur audit deuxième serveur de ladite réponse de l'utilisateur et dudit identifiant non-chiffré. Ce mode particulier de mise en oeuvre permet de traiter de manière sécurisée une réponse envoyée par un utilisateur. Ainsi, l'invention est particulièrement bien adaptée à l'échange de 30 message entre un ou des serveurs (le deuxième ou le premier et le deuxième serveur) et un utilisateur, par exemple par SMS. On peut noter que dans ce mode de réalisation, on utilise la mémoire volatile du premier serveur pour stocker l'identifiant non-chiffré, de ce fait, l'identifiant non-chiffré n'est enregistré que temporairement 35 dans le premier serveur. 3045185 5 Selon un mode particulier de mise en oeuvre, la réponse de l'utilisateur comporte au moins un code associé à au moins un message reçu par ledit utilisateur. Par code, on entend une combinaison de symboles, par exemple 5 des lettres. Ce mode particulier de mise en oeuvre permet de traiter automatiquement les réponses par le deuxième serveur, les codes pouvant permettre de déterminer automatiquement à quels messages ou questions antérieures la réponse se rapporte. 10 Selon un mode particulier de mise en oeuvre, le procédé comprend en outre un envoi d'un message d'alerte après une détection d'une anomalie par ledit deuxième serveur. Ce mode de mise en oeuvre convient au contexte médical dans lequel une anomalie peut être liée à un problème de santé et est donc 15 préférentiellement traitée sous la forme d'une alerte. Selon un mode particulier de mise en oeuvre, ladite anomalie est choisie dans le groupe formé par : une anomalie dans la distribution dudit message audit utilisateur, une anomalie dans la réception de ladite réponse de l'utilisateur, et 20 une anomalie dans la réponse de l'utilisateur. Selon un mode particulier de mise en oeuvre, ledit deuxième serveur envoie ladite requête d'envoi de message audit premier serveur après vérification d'une condition par ledit deuxième serveur. En d'autres termes, c'est le deuxième serveur qui prend la 25 décision d'envoyer un message. L'invention propose également un serveur d'envoi de messages comprenant : une mémoire non-volatile dans laquelle est enregistré, pour chaque utilisateur d'une pluralité d'utilisateurs, un identifiant chiffré de l'utilisateur 30 et une information de contact utilisable pour l'envoi à l'utilisateur d'un message, une mémoire volatile, un module configuré pour : - recevoir une requête d'envoi de message comportant un message à 35 envoyer et un identifiant non-chiffré, la requête d'envoi de message étant émise par un deuxième serveur distinct du serveur d'envoi de messages, 3045185 6 - enregistrer dans ladite mémoire volatile du premier serveur ladite requête d'envoi de message, - émettre à un système de chiffrement une requête de chiffrement dudit identifiant non-chiffré, le système de chiffrement étant distinct dudit 5 serveur d'envoi de message, - recevoir un identifiant chiffré associé audit identifiant non-chiffré et émis par ledit système de chiffrement, - envoyer ledit message à envoyer à un utilisateur à partir des informations de contact stockées dans ladite mémoire non-volatile et 10 associées audit identifiant chiffré. Ce serveur peut être configuré pour mettre en oeuvre les différents modes de mise en oeuvre du procédé tel que défini ci-avant en agissant en tant que premier serveur. L'invention propose également un système comportant : 15 un serveur d'envoi de messages tel que défini ci-avant, un deuxième serveur dans lequel est enregistré, pour chaque utilisateur de la pluralité d'utilisateurs, un identifiant non-chiffré de l'utilisateur, le deuxième serveur étant apte à communiquer avec ledit serveur d'envoi de message, et 20 un système de chiffrement apte à communiquer avec ledit serveur d'envoi de messages. Ce système peut être configuré pour mettre en oeuvre les différents modes de mise en oeuvre du procédé tel que défini ci-avant. L'invention propose également un programme d'ordinateur 25 comprenant des instructions pour l'exécution des étapes d'un procédé tel que défini ci-avant, lorsque ledit programme est exécuté par un processeur du premier serveur. L'invention propose également un support d'enregistrement lisible par un processeur, sur lequel est enregistré un programme d'ordinateur 30 comprenant des instructions pour l'exécution des étapes d'un procédé tel que défini ci-avant. On peut noter que les programme d'ordinateur mentionnés dans le présent exposé peuvent utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire 35 entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. 3045185 7 De plus, les supports d'enregistrement (ou d'information) mentionnés dans le présent exposé peuvent être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un 5 CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une disquette (floppy disc) ou un disque dur. D'autre part, les supports d'enregistrement peuvent correspondre à un support transmissible tel qu'un signal électrique ou optique, qui peut 10 être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, les supports d'enregistrement peuvent correspondre à un circuit intégré dans lequel le programme est incorporé, 15 le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. 20 Brève description des dessins D'autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins annexés qui en illustrent un exemple dépourvu de tout caractère limitatif. 25 Sur les figures : - la figure 1 représente de façon schématique un système selon un mode de réalisation de l'invention, - la figure 2 représente les différentes étapes d'une inscription d'utilisateur selon un mode de mise en oeuvre de l'invention, 30 - la figure 3 représente les différentes étapes d'un envoi de message selon un mode de mise en oeuvre de l'invention, et - la figure 4 représente les différentes étapes d'une réception de réponse selon un mode de mise en oeuvre de l'invention. 35 304 5 185 8 Description détaillée d'un mode de réalisation Nous allons maintenant décrire un système et un procédé d'envoi de messages, conformément à un mode particulier de réalisation et de 5 mise en oeuvre de l'invention. Dans ce qui suit, l'invention est appliquée au domaine médical, toutefois, cela n'est nullement limitatif et l'invention peut concerner d'autres domaines. Sur la figure 1, on a représenté un système comportant un premier serveur 100, un deuxième serveur 200, et un système de 10 chiffrement 300 distincts les uns des autres. Le premier serveur 100 et le deuxième serveur 200 communiquent (flèches Cl et C2 sur la figure) en utilisant un protocole de transfert de données sécurisé de type HTTPS (« HyperText Transfer Protocol Secure » en langue anglaise). Les anciens protocoles bien connus de l'homme du 15 métier sous l'acronyme anglo-saxon « SSL : Secure Sockets Layer » versions 2 et 3 ont été désactivés. Le premier serveur 100 et le système de chiffrement 300 communiquent (flèches C3 et C4 sur la figure) de la même manière. Le premier serveur 100 est un serveur d'envoi de messages à des 20 utilisateurs. Ce serveur comprend une mémoire non-volatile 101 (par exemple un disque dur) qui comporte une liste 102 dans laquelle sont inscrits, pour chaque utilisateur d'une pluralité d'utilisateurs, une paire de données 103 comprenant un identifiant chiffré IDC et une information de contact INCO utilisable pour l'envoi à l'utilisateur d'un message. Dans les 25 exemples de la présente description détaillée, l'information de contact est un numéro de téléphone portable et les messages sont des messages de type SMS (« Short Message Service » en langue anglaise). Le premier serveur 100 comprend également une mémoire volatile 104 qui est utilisée lors de l'envoi de messages aux utilisateurs pour 30 stocker des identifiants non-chiffrés et les messages MSG (105 sur la figure). En fait, le premier serveur 100 selon l'invention ne prévoit pas d'enregistrement d'un identifiant non-chiffré dans la mémoire non-volatile 101. Le serveur 100 comporte en outre un module 106, ici un processeur, configuré pour l'exécution d'instructions 107 (c'est-à-dire un 35 programme d'ordinateur) enregistrées dans la mémoire non-volatile 101 pour : 3045185 9 - recevoir une requête d'envoi de message comportant un message à envoyer et un identifiant non-chiffré, la requête d'envoi de message étant émise par le deuxième serveur 200, - enregistrer dans ladite mémoire volatile 104 du premier serveur ladite 5 requête d'envoi de message, - émettre audit système de chiffrement 300 une requête de chiffrement dudit identifiant non-chiffré, - recevoir un identifiant chiffré associé audit identifiant non-chiffré et émis par ledit système de chiffrement, 10 - envoyer ledit message à envoyer à un utilisateur à partir des informations de contact INCO stockées dans ladite mémoire non-volatile 101 et associées audit identifiant chiffré IDC. Les instructions 107 ne comportent aucune instruction pour enregistrer dans la mémoire non-volatile 101 un identifiant non-chiffré. De 15 ce fait, lors de l'exécution des instructions 107, le système d'exploitation du serveur 100 qui exécute les instructions 107 sur le module 106, il n'y a qu'une utilisation de la mémoire volatile 104 pour enregistrer des identifiants non-chiffrés. Le premier serveur 100 comporte également un module de 20 communication 108 pour la communication avec le deuxième serveur 200 et avec le système de chiffrement 300. Le premier serveur 100 comporte en outre un module de communication 109 pour communiquer avec les utilisateurs. Le module de communication 109 peut être une passerelle SMS. Alternativement, la 25 passerelle SMS peut être extérieure au premier serveur 100. Aussi, plusieurs passerelles SMS peuvent être utilisées pour obtenir une bonne redondance et un meilleur niveau de fiabilité. L'invention n'est néanmoins pas limitée aux envois par SMS et le module de communication peut être, dans des alternatives non 30 représentées ici, un module d'envoi de courriels (dans cette alternative, les informations de contact sont des adresses de courriel). Alternativement, tout moyen de communication électronique pour communiquer avec un utilisateur peut être utilisé dès lors que ce moyen utilise une information de contact. 3045185 10 On peut noter que le système de chiffrement 300 est ici un Module Matériel de Sécurité, plus connu de l'homme du métier sous l'acronyme anglo-saxon « HSM :Hardware Security Module ». Le deuxième serveur 200 est un serveur qui comporte des 5 informations médicales, et avec lequel on décide de l'envoi de messages à des utilisateurs. Le deuxième serveur 200 présente donc des interfaces classiques pour que d'autres utilisateurs (des utilisateurs autres que ceux visés par les identifiants chiffrés et non-chiffrés définis ci-avant) puissent interagir avec ce deuxième serveur 200. 10 Le deuxième serveur 200 comporte une mémoire non-volatile 201 comprenant une liste 202 dans laquelle sont inscrits, pour chaque utilisateur de ladite pluralité d'utilisateurs, une paire de données 203 comprenant un identifiant non-chiffré ID et des informations médicales INM. 15 Le deuxième serveur comporte également un module tel qu'un processeur pour exécuter des instructions 205 (c'est-à-dire un programme d'ordinateur) stockées dans la mémoire non-volatile 201. L'exécution de ces instructions peut notamment : - déclencher l'envoi d'un message si une condition est vérifiée (par 20 exemple une condition relative à des informations médicales INM), - envoyer un message d'alerte après détection d'une anomalie, - demander l'ajout d'un utilisateur au premier serveur 100. On peut noter que l'envoi d'un message d'alerte peut être fait par tout moyen de communication connu, par exemple par courriel ou par 25 SMS. Sur la figure 2, on a représenté de manière schématique différentes étapes de l'inscription d'un utilisateur. Ces étapes sont mises en oeuvre préalablement à l'envoi d'un message à l'utilisateur, et elles sont mises en oeuvre par le premier serveur 100, le deuxième serveur 200, et 30 le système de chiffrement 300 décrits en se référant à la figure 1. Dans une première étape A1, par une interface du deuxième serveur l'ajout d'un utilisateur est demandé et il est saisi dans le deuxième serveur les informations de contact de l'utilisateur ainsi que des informations médicales. 3045185 11 Les informations de contact de l'utilisateur ne sont enregistrées que dans une mémoire volatile du deuxième serveur, non représentée sur la figure 1 pour des raisons de simplicité. Dans une étape A2, une requête d'ajout ou d'inscription 5 d'utilisateur est envoyée au premier serveur. Le premier serveur reçoit ensuite cette requête (étape B2). Le premier serveur élabore ou génère au cours de l'étape B3 un identifiant non-chiffré (par exemple un nombre aléatoire), puis il enregistre cet identifiant non-chiffré dans sa mémoire volatile (étape B4). 10 Il n'y a pas d'enregistrement dans la mémoire non-volatile de l'identifiant non-chiffré. Une requête de chiffrement de l'identifiant non-chiffré obtenu à l'étape B3 est ensuite émise au système de chiffrement à l'étape B5. Le système de chiffrement reçoit cette requête (étape C5), puis il 15 chiffre l'identifiant non-chiffré (étape C6) et l'envoi au premier serveur (étape C7). A titre indicatif, le système de chiffrement peut utiliser un algorithme de chiffrement choisi dans le groupe comprenant : DES, Triple DES, TRIPLE_DES_3KEY, RC2, RC4, RC4 128 bits, DESX, AES 128 bits, 20 AES 196 bits, et AES 256 bits. Le premier serveur reçoit l'identifiant chiffré émis par le système de chiffrement à l'étape B7, puis il enregistre à l'étape B8 l'identifiant chiffré ainsi que les informations de contact dans sa mémoire non volatile à l'étape B8. On obtient ainsi la paire formée par l'identifiant chiffré IDC et 25 l'information de contact INCO décrite en référence à la figure 1. Ensuite, le premier serveur émet au deuxième serveur l'identifiant non-chiffré qui était mémorisé dans la mémoire volatile du premier serveur (étape B9). Le deuxième serveur reçoit l'identifiant non-chiffré (étape A9), 30 puis il l'enregistre dans sa mémoire non-volatile de sorte que les informations médicales saisies lors de l'étape Al soient associées à cet identifiant non-chiffré. On obtient ainsi la paire formée par l'identifiant non-chiffré ID et les informations médicales INM décrites en se référant à la figure 1. 35 La figure 3 illustre différentes étapes de l'envoi d'un message à un utilisateur. 304 5 185 12 Dans une première étape A20, le deuxième serveur détecte qu'une condition est vérifiée. Cette condition peut être choisie dans le groupe suivant : - un délai défini à compter d'une date saisie antérieurement à expiré (par 5 exemple une date saisie dans des informations médicales INM), - un délai défini à compter d'un évènement tel qu'un envoi antérieur de message a expiré (par exemple un envoi répété toutes les 30 minutes tant qu'il n'y a pas de réponse), - une réponse a été reçue par un utilisateur et cette réponse nécessite 10 l'envoi d'un nouveau message (par exemple pour obtenir une confirmation d'une réponse déjà envoyée par l'utilisateur, ou encore si la réponse de l'utilisateur n'est pas interprétable). Une requête d'envoi de message est ensuite envoyée à l'étape A21, avec dans cette requête l'identifiant non chiffré enregistré dans le 15 deuxième serveur et également le message en tant que tel. Cette requête d'envoi de message est reçue par le premier serveur à l'étape B21, qui enregistre (étape B22) dans sa mémoire volatile l'identifiant non chiffré ainsi que le message. Ce message peut être une question à l'utilisateur, mais d'autres 20 messages peuvent être envoyés à l'utilisateur, par exemple pour fournir des informations à l'utilisateur. Une requête de chiffrement de l'identifiant non-chiffré reçu à l'étape B21 est ensuite émise vers le système de chiffrement (étape B23). Le système de chiffrement reçoit cette requête (étape C23), 25 chiffre l'identifiant non-chiffré (étape C24), et envoi l'identifiant non chiffré (étape C25). Le premier serveur reçoit l'identifiant chiffré (B25) et il utilise cet identifiant chiffré pour récupérer les informations de contact qui correspondent à cet identifiant chiffré (étape B26) : les identifiants chiffrés 30 et les informations de contact sont enregistrées dans la mémoire non-volatile du premier serveur. A l'étape B27, le premier serveur émet le message au terminal d'un utilisateur, au moyen d'une passerelle SMS, ou alternativement de deux passerelles SMS redondantes. 3045185 13 Une confirmation d'envoi est ensuite émise à l'étape B28. Cette confirmation d'envoi peut n'être émise qu'après réception d'une confirmation de réception émise par l'utilisateur. Le deuxième serveur reçoit à l'étape A28 la confirmation d'envoi. 5 La figure 4 concerne les différentes étapes liées au traitement d'une réponse émise par un utilisateur. Les étapes de cette figure peuvent être mises en oeuvre postérieurement à celles décrites en se référant aux figures 2 et 3. C'est donc dans une étape ultérieure D40 par rapport à la 10 réception du message D27 décrite en référence à la figure 3 que l'utilisateur saisit une réponse sur son terminal (par exemple un ordiphone). A titre indicatif, la réponse peut être un code associé à un message reçu par l'utilisateur. Par exemple, un message antérieur peut 15 être formulé sous la forme d'une question invitant l'utilisateur à répondre un code à trois lettres en fonction de la réponse que l'utilisateur souhaite apporter. Par exemple, des questions Q1 et Q2 peuvent être formulées ainsi : 20 - Q1 :« Si la condition X est vérifiée, alors répondez ABC », avec X une condition qu'un utilisateur peut vérifier lui-même et ABC un code à trois lettres, - Q2 :« Mesurez Y, répondez avec une valeur mesurée comprise entre 1 et 100 », avec Y un paramètre mesurable par un utilisateur. 25 La réponse est envoyée au premier serveur à l'étape D41 qui reçoit cette réponse à l'étape B41. La réponse comporte les informations de contact de l'utilisateur, comme cela est classique dans l'échange de messages SMS. A l'étape B42, on détermine l'identifiant chiffré enregistré dans la mémoire non-volatile 30 du premier serveur et qui est associé aux informations de contact de la réponse reçue. A l'étape B43, le premier serveur émet une requête de déchiffrement au système de chiffrement. Le système de chiffrement reçoit cette requête de déchiffrement à l'étape 35 C43 et il déchiffre à l'étape C44 l'identifiant pour obtenir un identifiant non-chiffré. 3045185 14 A l'étape C45, l'identifiant non-chiffré est envoyé par le système de chiffrement au premier serveur qui le reçoit à l'étape B45. L'identifiant non-chiffré est enregistré uniquement dans la mémoire volatile à l'étape B46 (sans être enregistré dans la mémoire non- 5 volatile du premier serveur). L'identifiant non-chiffré et la réponse de l'utilisateur sont ensuite émis au deuxième serveur (étape B47). Le deuxième serveur reçoit la réponse ainsi que l'identifiant non-chiffré à l'étape A47, et il peut ensuite traiter cette réponse (étape A48). 10 Une réponse sous la forme d'un code associé au message reçu par l'utilisateur permettra de lier automatiquement les messages envoyés et les réponses de l'utilisateur. A titre indicatif, si lesdites deux questions Q1 et Q2 sont envoyés successivement et que ces questions invitent l'utilisateur à répondre à Q1 15 avec une réponse attendue ABC, et à répondre à Q2 avec une réponse chiffrée entre 1 et 100, dès lors que l'utilisateur répond le code à trois lettres ABC et un nombre entre 1 et 100, dans n'importe quel ordre et même dans le même SMS, le deuxième serveur peut associer R1 à ABC et R2 au nombre. Cela est rendu possible par le format utilisé par les deux 20 réponses, une avec des lettres, et une avec un nombre compris entre 1 et 100. Il est possible d'associer des questions à leurs réponses respectives dès lors que ces réponses sont suffisamment distinctes les unes par rapport aux autres, et qu'il n'y a pas de chevauchement entre les 25 réponses. A titre indicatif, deux questions envoyées successivement peuvent attendre des réponses chiffrées dès lors que les gammes correspondant à chaque réponse sont distinctes. Deux questions envoyées successivement peuvent attendre des réponses en lettres dès lors que les codes des deux 30 réponses ne comportent pas de lettre en commun, ou encore pas de paires de lettres en commun. Ceci peut permettre d'obtenir plus de liberté dans l'envoi des messages et leur traitement par l'utilisateur : ce dernier peut répondre 35 facilement aux messages dans l'ordre qu'il souhaite. 304 5 185 15 Dans l'exemple illustré sur la figure 4, le traitement de la réponse à l'étape 48 conduit le deuxième serveur à considérer qu'une alerte doit être émise (étape A49), car une anomalie a été détectée dans la réponse de l'utilisateur. 5 Cette anomalie peut être par exemple une réponse qui ne peut pas être interprétée, ou encore une réponse qui indique expressément une anomalie. Tel peut être le cas si la question est formulée ainsi « si une anomalie X est détectée, répondez OUI », tel sera également le cas si la question demande une valeur numérique, et que cette valeur 10 numérique dépasse un seuil. Alternativement, l'alerte peut être émise si plusieurs conditions sont vérifiées pour plusieurs messages de l'utilisateur. C'est donc une combinaison de conditions qui déclenche l'émission d'une alerte. Dans une variante non représentée sur la figure 4, une erreur 15 dans la distribution du message à l'utilisateur est apparue. Cette erreur peut être liée à un numéro de téléphone erroné, une passerelle SMS indisponible, une absence d'accusé d'envoi émis par une passerelle SMS, ou encore un SMS non délivré. Dans une autre variante, c'est l'absence de réponse d'un 20 utilisateur qui déclenche une alerte. L'alerte pourra par exemple être faite sous la forme d'un courriel envoyé à un professionnel de la santé en relation avec l'utilisateur. L'invention est donc particulièrement bien adaptée au traitement de messages dans le domaine médical, puisqu'elle permet d'obtenir un 25 bon niveau de confidentialité et de sécurité. On peut noter que l'invention est particulièrement bien adaptée au suivi d'un utilisateur après une opération chirurgicale. REVENDICATIONS1. Procédé d'envoi de message caractérisé en ce que le procédé est mis en oeuvre par au moins un premier serveur (100) dans lequel sont enregistrés au sein d'une mémoire non-volatile (101), pour chaque utilisateur d'une pluralité d'utilisateurs, un identifiant chiffré (IDC) de l'utilisateur et une information de contact (INCO) utilisable pour l'envoi à l'utilisateur d'un message, le procédé comportant : - une réception par ledit premier serveur (100) d'une requête d'envoi de message comportant un message à envoyer et un identifiant non-chiffré (ID), la requête d'envoi de message étant émise par un deuxième serveur (200) distinct du premier serveur, - un enregistrement dans une mémoire volatile (104) du premier serveur de ladite requête d'envoi de message, - une émission par ledit premier serveur à un système de chiffrement (300) d'une requête de chiffrement dudit identifiant non-chiffré, le système de chiffrement étant distinct dudit premier serveur, - une réception par ledit premier serveur d'un identifiant chiffré associé audit identifiant non-chiffré et émis par ledit système de chiffrement, - un envoi dudit message à envoyer à un utilisateur à partir des informations de contact stockées dans ladite mémoire non-volatile et associées audit identifiant chiffré. 2. Procédé selon la revendication 1, comprenant une inscription préalable dudit utilisateur de ladite pluralité d'utilisateur, ladite inscription comportant : - une réception par ledit premier serveur (100) d'une requête d'inscription dudit utilisateur comportant ladite information de contact (INCO), - une élaboration dudit identifiant non-chiffré (ID) par ledit premier serveur et un enregistrement dans ladite mémoire volatile (104) du premier serveur dudit identifiant non-chiffré, - une émission par ledit premier serveur audit système de chiffrement (300) d'une requête de chiffrement dudit identifiant non-chiffré, 3045185 17 - une réception par ledit premier serveur de l'identifiant chiffré (IDC) associé audit identifiant non-chiffré et émis par ledit système de chiffrement, - un enregistrement de ladite information de contact (INCO) et dudit 5 identifiant chiffré (IDC) dans ladite mémoire non-volatile du premier serveur. 3. Procédé selon la revendication 1 ou 2, comportant en outre postérieurement à l'envoi dudit message, une émission d'une confirmation d'envoi par ledit premier serveur audit deuxième serveur. 10 4. Procédé selon l'une quelconque des revendications 1 à 3, dans lequel l'envoi dudit message comporte l'envoi d'un message de type SMS, ladite information de contact comportant un numéro de téléphone. 5. Procédé selon l'une quelconque des revendications 1 à 4, comportant en outre : 15 - une réception par ledit premier serveur (100), d'un message supplémentaire émis par ledit utilisateur et comportant une réponse de l'utilisateur et ladite information de contact (INCO), - une détermination par ledit premier serveur de l'identifiant chiffré (IDC) associé aux informations de contact de l'utilisateur à partir dudit message 20 supplémentaire, - une émission par ledit premier serveur audit système de chiffrement (300) d'une requête de déchiffrement dudit identifiant chiffré, - une réception par ledit premier serveur de l'identifiant non-chiffré émis par le système de chiffrement, et un enregistrement dans ladite mémoire 25 volatile (104) dudit identifiant non-chiffré, - une émission par ledit premier serveur audit deuxième serveur de ladite réponse de l'utilisateur et dudit identifiant non-chiffré. 6. Procédé selon la revendication 5, dans lequel la réponse de l'utilisateur comporte au moins un code associé à au moins un message 30 reçu par ledit utilisateur. 7. Procédé selon la revendication 5 ou 6, comprenant en outre un envoi d'un message d'alerte après une détection d'une anomalie par ledit deuxième serveur. 8. Procédé selon la revendication 7, dans lequel ladite anomalie 35 est choisie dans le groupe formé par : une anomalie dans la distribution dudit message audit utilisateur, 3045185 18 une anomalie dans la réception de ladite réponse de l'utilisateur, et une anomalie dans la réponse de l'utilisateur. 9. Procédé selon l'une quelconque des revendications 1 à 8, dans lequel ledit deuxième serveur envoie ladite requête d'envoi de message 5 audit premier serveur après vérification d'une condition par ledit deuxième serveur. 10. Procédé selon l'une quelconque des revendications 1 à 9, dans lequel ledit message comporte des informations médicales propres à l'utilisateur. 10 11. Serveur d'envoi de messages comprenant : une mémoire non-volatile (101) dans laquelle est enregistré, pour chaque utilisateur d'une pluralité d'utilisateurs, un identifiant chiffré (ICD) de l'utilisateur et une information de contact (INCO) utilisable pour l'envoi à l'utilisateur d'un message, 15 une mémoire volatile (104), un module (106, 107) configuré pour : - recevoir une requête d'envoi de message comportant un message à envoyer et un identifiant non-chiffré, la requête d'envoi de message étant émise par un deuxième serveur distinct du serveur d'envoi de messages, 20 - enregistrer dans ladite mémoire volatile du premier serveur ladite requête d'envoi de message, - émettre à un système de chiffrement une requête de chiffrement dudit identifiant non-chiffré, le système de chiffrement étant distinct dudit serveur d'envoi de message, 25 - recevoir un identifiant chiffré associé audit identifiant non-chiffré et émis par ledit système de chiffrement, - envoyer ledit message à envoyer à un utilisateur à partir des informations de contact stockées dans ladite mémoire non-volatile et associées audit identifiant chiffré. 30 12. Système comportant : un serveur d'envoi de messages (100) selon la revendication 11, un deuxième serveur (200) dans lequel est enregistré, pour chaque utilisateur de la pluralité d'utilisateurs, un identifiant non-chiffré de l'utilisateur, le deuxième serveur étant apte à communiquer avec ledit serveur d'envoi de message, et 3045185 19 un système de chiffrement (300) apte à communiquer avec ledit serveur d'envoi de messages. 13. Programme d'ordinateur comprenant des instructions pour l'exécution des étapes d'un procédé selon l'une quelconque des 5 revendications 1 à 6, lorsque ledit programme est exécuté par un processeur du premier serveur. 14. Support d'enregistrement lisible par un processeur, sur lequel est enregistré un programme d'ordinateur comprenant des instructions pour l'exécution des étapes d'un procédé selon l'une quelconque des 10 revendications 1 à 6.