Choisir une agence digitale pour la santé : 8 critères qui font la différence

Choisir une agence digitale santé ne se fait pas avec les critères d’un site vitrine. Un laboratoire qui lance un programme d’accompagnement patient, un éditeur qui digitalise un parcours de soins ou une fédération qui outille un processus de conformité confient à leur prestataire des données sensibles et une part de leur responsabilité réglementaire.

Une agence digitale santé conçoit, développe et maintient des services numériques pour les acteurs de la santé, en maîtrisant le cadre propre à la donnée de santé. Ce cadre bouge vite. Le référentiel de certification HDS a été refondu en 2024, le règlement européen sur l’espace des données de santé est entré en vigueur en mars 2025, et la CNIL multiplie les sanctions contre les défauts de sécurité.

Nous accompagnons des acteurs de la santé depuis 2010, de Roche Diagnostics au LEEM. Cet article rassemble les huit critères que nous recommandons de vérifier avant de signer, avec une grille d’évaluation prête à l’emploi. Pour découvrir notre propre approche, consultez notre page agence digitale santé et pharma.

Qu’est-ce qui distingue une agence digitale santé d’un prestataire généraliste ?

La différence tient à la chaîne de responsabilités. Sur un projet santé, le donneur d’ordre, l’hébergeur et le développeur partagent des obligations écrites dans le code de la santé publique et dans le RGPD. Une agence e-santé expérimentée sait les nommer dès l’avant-vente et les traduire en choix d’architecture.

Un prestataire généraliste peut livrer une interface soignée et un prototype convaincant. Les difficultés arrivent plus tard, au moment du passage en production : hébergeur non certifié, absence d’analyse d’impact, journalisation insuffisante, flux de données vers un service américain non documenté. Nous intervenons régulièrement en reprise sur ce type de situation, et la reprise coûte presque toujours plus cher qu’un cadrage correct.

Les trois familles de contraintes à maîtriser sont décrites en détail dans notre article sur les contraintes à respecter avant de développer une application de santé. Les huit critères qui suivent servent à vérifier qu’un prestataire les maîtrise réellement.

Quels sont les 8 critères pour choisir une agence digitale santé ?

1. L’agence sait-elle qualifier votre projet sur le plan réglementaire ?

Le premier critère se vérifie dès le premier rendez-vous. Une agence digitale santé sérieuse pose trois questions avant de parler technologie : quelles données seront traitées, pour quelle finalité, et par qui.

Ces questions déterminent tout le reste. Des données de santé à caractère personnel collectées pour le compte d’un patient imposent un hébergeur certifié HDS. Une finalité médicale (diagnostic, surveillance, aide à la décision thérapeutique) peut faire de votre logiciel un dispositif médical. Selon la règle 11 du règlement européen 2017/745, un logiciel qui fournit des informations utilisées pour une décision diagnostique ou thérapeutique relève au minimum de la classe IIa, avec un marquage CE délivré par un organisme notifié.

L’ANSM a mis à jour en janvier 2026 sa page de référence sur les logiciels et applications mobiles en santé. Une agence qui ne connaît pas ce document, ou qui répond « on verra au moment du déploiement », vous expose à un projet bloqué en fin de course.

2. Maîtrise-t-elle le référentiel HDS en vigueur ?

La certification HDS s’applique à l’hébergeur des données. Le prestataire de développement n’a généralement pas à être certifié lui-même, et une agence honnête vous le dira sans détour. Elle doit en revanche connaître précisément ce que la certification couvre et ce qu’elle laisse de côté. La question se pose différemment si le prestataire administre lui-même le système qui héberge les données : l’activité 5 du référentiel (administration et exploitation) peut alors le concerner. Faites trancher ce point par écrit dans la proposition.

Le référentiel a été refondu par l’arrêté du 26 avril 2024, publié au Journal officiel le 16 mai 2024. Les hébergeurs déjà certifiés avaient jusqu’au 16 mai 2026 pour s’y conformer, selon l’analyse du cabinet CMS Francis Lefebvre. Trois changements comptent pour votre projet :

• les données de santé doivent être hébergées physiquement dans l’Espace économique européen ;
• l’hébergeur doit rendre publics les transferts et les accès possibles depuis un pays tiers ;
• l’analyse de risques doit examiner huit événements redoutés définis par le référentiel.

Vérifiez vous-même votre futur hébergeur sur la liste officielle de l’Agence du Numérique en Santé, activité par activité. Notre guide sur l’hébergement HDS pour une application e-santé détaille les six activités certifiables et les questions à poser aux hébergeurs.

3. La sécurité est-elle démontrée ou seulement promise ?

Le secteur de la santé reste une cible prioritaire. Le CERT Santé a enregistré 764 incidents de sécurité déclarés en 2025, contre 749 en 2024, et 53 % d’entre eux étaient d’origine malveillante, contre 44 % un an plus tôt (Mind Health, d’après l’observatoire 2025 du CERT Santé). Les rançongiciels reculent, mais les comptes compromis et les accès illégitimes progressent.

La sanction prononcée par la CNIL contre l’Hôpital privé de la Loire, rendue publique le 3 septembre 2026, montre ce que coûte une faille d’accès. Un attaquant a consulté pendant plusieurs jours les données de 524 867 patients sans être détecté. La décision de la CNIL relève l’absence d’authentification multifacteur pour les accès externes, un contrôle d’accès trop large et l’absence de détection des activités suspectes. L’amende atteint 500 000 euros.

Demandez donc des preuves concrètes : authentification forte sur les outils d’administration, journalisation des accès aux données, gestion des secrets, tests d’intrusion avant mise en production, procédure de gestion d’incident. Notre checklist d’audit de sécurité d’une application métier liste les points de contrôle à exiger. Une agence qui pratique la sécurité by design vous montrera ces éléments dans ses projets livrés.

4. Applique-t-elle le RGPD aux données de santé dès la conception ?

Les données de santé font partie des données sensibles au sens de l’article 9 du RGPD. Leur traitement exige une base légale solide, une analyse d’impact dans la plupart des cas et une répartition claire des rôles entre responsable de traitement et sous-traitant.

La CNIL sanctionne aussi le défaut de cadrage juridique, en plus des failles techniques. En septembre 2024, elle a infligé 800 000 euros d’amende à Cegedim Santé, éditeur de logiciels pour les médecins de ville, notamment pour avoir traité des données de santé sans l’autorisation requise (décision CNIL). Dans le dossier de l’Hôpital privé de la Loire, elle a aussi retenu l’absence d’information des 202 246 tiers de confiance dont les données avaient fuité.

Une agence digitale santé compétente arrive au cadrage avec une trame d’analyse d’impact, une proposition de minimisation des données et une clause contractuelle de sous-traitance conforme à l’article 28. Pour les fondamentaux, consultez notre guide sur le RGPD et la CNIL.

5. Sait-elle intégrer votre projet à l’écosystème santé et à votre SI ?

Une plateforme santé vit rarement seule. Elle s’appuie sur l’identifiant national de santé (INS), sur Pro Santé Connect pour l’authentification des professionnels ou sur Mon espace santé. Elle échange aussi avec vos outils internes : CRM, ERP, outils de pharmacovigilance, entrepôts de données.

Le cadre européen renforce cette exigence. Le règlement (UE) 2025/327 sur l’espace européen des données de santé, publié au Journal officiel le 5 mars 2025, prévoit une montée en charge progressive (Health Data Hub). À partir de 2029, les résumés patients et les prescriptions électroniques devront s’échanger dans un format européen standardisé. Les systèmes de dossiers médicaux électroniques concernés devront être certifiés à l’horizon 2031.

Demandez à l’agence comment elle conçoit sa couche d’intégration : API documentées, traçabilité des échanges, gestion des erreurs, tests automatisés. Sur une plateforme patient conçue pour un laboratoire, nous avons connecté une interface Next.js à un middleware Symfony avec API Platform, relié au CRM Salesforce du client. Notre article sur la transformation de l’e-santé revient sur l’INS, Pro Santé Connect et l’interopérabilité.

6. Conçoit-elle pour vos vrais utilisateurs ?

En santé, les utilisateurs sont rarement des technophiles. Un patient diabétique de 70 ans, une infirmière entre deux soins, un visiteur médical en déplacement ou un pharmacien au comptoir n’ont ni le temps ni l’envie d’apprendre une interface compliquée.

Une agence digitale santé mène des ateliers avec les utilisateurs finaux, produit des prototypes cliquables et les teste avant de développer. Sur une plateforme de suivi patient, l’objectif affiché était une interface facile à prendre en main pour des utilisateurs peu digitalisés, dans la continuité d’une application mobile existante. La méthode a suivi le même ordre : ateliers de conception, maquettes, prototypes, puis spécifications détaillées.

L’accessibilité est aussi devenue une obligation. La directive européenne sur l’accessibilité s’applique depuis le 28 juin 2025 à de nombreux services numériques grand public, comme le rappelle la DGCCRF. Pour un service destiné aux patients, l’accessibilité se traite dès les premières maquettes.

7. Peut-elle prouver son expérience dans la santé ?

Une page « secteur santé » ne suffit pas. Demandez des projets livrés, en production depuis au moins un an, avec des interlocuteurs que vous pouvez contacter. Les témoignages signés et les études de cas détaillées valent davantage que des logos.

Voici cinq projets que nous pouvons présenter publiquement :

• PHIL Web pour Roche Diagnostics France : version web d’une application de suivi du diabète, hébergée en environnement HDS, que nous avons conçue, développée et que nous maintenons ;
• DAP pour Roche : plateforme d’accompagnement des patients diabétiques dans leur parcours de soin, intégrée au système d’information du groupe, dont nous assurons les évolutions et le support ;
• CODEEM pour le LEEM : plateforme d’évaluation déontologique des événements scientifiques pour les 267 entreprises adhérentes, avec un circuit de validation multi-rôles ;
• une web app pour Biogen : outil interne livré sur un périmètre et un calendrier fixés dès le cadrage ;
• France Adot : campagne web3 de sensibilisation au don d’organes, 100 % de disponibilité pendant le lancement, deux prix Or et un prix Argent au Grand Prix Stratégies de la communication santé.

La cheffe de produit de Roche résume ce qu’elle attendait d’un partenaire :

Pour ce projet, Sooyoos est en charge du design, du développement ainsi que de la maintenance de la solution. Les équipes Sooyoos sont très efficaces, elles intègrent rapidement la vision du projet et sont force de proposition. Les délais sont toujours bien respectés et le résultat est très bon et apprécié par nos équipes et nos clients.

Inès, Product Manager, Roche

8. Restera-t-elle à vos côtés après la mise en production ?

Un service santé en production doit être surveillé, corrigé et mis à jour sans rupture de conformité. Chaque changement d’équipe impose une nouvelle acculturation aux contraintes du dossier, et chaque évolution doit rester tracée.

Vérifiez donc quatre points dans la proposition :

• la même équipe assure le développement puis la TMA (tierce maintenance applicative) ;
• une période d’hypercare suit la mise en production, trois mois chez nous ;
• les délais d’intervention sont contractuels par niveau de criticité, par exemple un diagnostic sous deux heures pour un incident bloquant ;
• une clause de réversibilité vous garantit le code source, les données et la documentation si vous changez de prestataire.

La solidité de l’agence compte aussi. Nous sommes une société indépendante et autofinancée, créée en 2010. Si votre direction achats évalue la performance RSE de ses fournisseurs, demandez les justificatifs. De notre côté, nous sommes médaillés bronze EcoVadis, certifiés GreenIT et notre intensité carbone s’établit à 40 kg CO2e par millier d’euros de chiffre d’affaires, contre 217 kg pour la moyenne du secteur. Les clauses à prévoir sont détaillées dans notre article sur le contrat de TMA et sur notre page maintenance applicative.

Comment comparer les agences en consultation : la grille d’évaluation

Pour une consultation, nous recommandons de retenir trois à quatre prestataires et de leur poser les mêmes questions. La grille ci-dessous reprend les huit critères.

Pondérez la grille selon votre projet. Pour un outil interne de marketing pharma sans donnée patient, les critères 2 et 4 pèsent moins lourd. Pour un service patient connecté à un dispositif médical, les critères 1 à 4 deviennent éliminatoires.

Notre guide général pour choisir une agence digitale complète cette grille sur les aspects budget, modèles de tarification et déroulé de la consultation.

Quels signaux doivent vous faire écarter un prestataire ?

Certains signaux justifient d’écarter une offre, même bien placée sur le prix. Nous les rencontrons régulièrement lors des reprises de projets santé :

• une certification HDS revendiquée sans numéro de certificat, ou appliquée au prestataire de développement lui-même sans explication ;
• un hébergement sur un service cloud généraliste hors EEE, présenté comme « conforme RGPD » ;
• aucune question sur la finalité médicale du produit avant le chiffrage ;
• un chiffrage qui ignore la conformité : ni analyse d’impact, ni tests d’intrusion, ni documentation de conformité ;
• une équipe projet différente de l’équipe de maintenance, sans passation prévue ;
• l’absence de clause de réversibilité, ou une propriété du code conservée par l’agence.

Aucun de ces signaux ne se corrige facilement une fois le contrat signé. Mieux vaut les repérer pendant la consultation.

Ce que nous observons sur les projets santé que nous menons

Sur les projets santé, la phase de cadrage conditionne la suite. Le choix d’hébergement en est un bon exemple. Sur une plateforme patient, la décision d’héberger chez un grand acteur déjà certifié HDS a été prise très tôt. Porter soi-même la certification aurait coûté trop cher au regard du périmètre. Ce choix a orienté l’architecture, le plan de déploiement et la documentation remise au client.

Pour le LEEM, l’enjeu portait moins sur la donnée de santé que sur la traçabilité d’un processus déontologique sensible. Chaque dossier traverse sept étapes, du dépôt par le demandeur à la publication de l’évaluation, avec une phase contradictoire et plusieurs rôles qui interviennent. Le cadrage a donc porté sur le circuit de décision avant de porter sur l’interface.

Pour Biogen, le besoin était plus resserré. Antoine Liénéré, Multichannel Excellence Lead, résume le projet ainsi :

Nous avons fait appel à Sooyoos pour développer une web app. Réponse précise à l’expression de besoin, travail cadré et structuré, respect des délais communiqués.

Antoine Liénéré, Multichannel Excellence Lead, Biogen

Ces trois projets appliquent la même méthode, calibrée sur des contraintes différentes : comprendre, construire, maintenir. C’est ce que vous devriez attendre de toute agence digitale pharma, quelle qu’elle soit. Pour voir comment nous l’appliquons à votre contexte, rendez-vous sur notre page agence digitale santé et pharma.

Questions fréquentes

Qu’est-ce qu’une agence digitale santé ?

Une agence digitale santé conçoit, développe et maintient des services numériques pour les acteurs de la santé : laboratoires pharmaceutiques, éditeurs de logiciels médicaux, établissements, mutuelles, associations de patients. Elle se distingue d’une agence généraliste par sa maîtrise du cadre propre à la donnée de santé : hébergement certifié HDS, RGPD appliqué aux données sensibles, qualification éventuelle en dispositif médical, référentiels d’interopérabilité de l’Agence du Numérique en Santé. Concrètement, elle livre des plateformes patients, des espaces prescripteurs, des outils métier pour les équipes médicales ou marketing, et des briques d’intelligence artificielle intégrées dans ce cadre. Chez Sooyoos, nous accompagnons des acteurs comme Roche, Biogen et le LEEM depuis la conception jusqu’à la maintenance en production.

Quelle différence entre une agence digitale santé et une agence de communication santé ?

Une agence de communication santé travaille le message : campagnes, contenus, relations presse, présence sur les réseaux sociaux, conformité promotionnelle des supports. Une agence digitale santé construit et opère les outils : plateformes, applications, intégrations au système d’information, hébergement. Les deux métiers se complètent souvent sur un même projet. Pour la campagne France Adot sur le don d’organes, récompensée par deux prix Or au Grand Prix Stratégies de la communication santé, plusieurs partenaires se partageaient la stratégie, la création et les relations presse, pendant que notre équipe assurait le développement web et blockchain. Si votre projet traite des données de patients ou s’intègre à votre SI, c’est une compétence d’agence digitale qu’il vous faut.

Une application de santé est-elle forcément un dispositif médical ?

Non, une application de santé devient un dispositif médical seulement si sa finalité est médicale : diagnostic, prévention, surveillance, prédiction, pronostic ou traitement d’une maladie. Une application de prise de rendez-vous, un portail d’information ou un outil de gestion de campagnes marketing pharma ne sont pas des dispositifs médicaux. Un logiciel qui calcule une dose ou aide à un diagnostic l’est en revanche, et la règle 11 du règlement européen 2017/745 le classe alors au moins en classe IIa, avec un marquage CE délivré par un organisme notifié. La qualification dépend donc de la finalité revendiquée par le fabricant. L’ANSM publie un guide dédié aux logiciels et applications mobiles en santé, à consulter dès le cadrage.

Comment vérifier qu’un prestataire respecte vraiment le cadre HDS ?

Vérifiez d’abord l’hébergeur : il doit figurer sur la liste officielle des hébergeurs certifiés publiée par l’Agence du Numérique en Santé, avec les activités couvertes et un certificat au référentiel en vigueur depuis mai 2024. Demandez ensuite à votre agence digitale santé le schéma d’architecture qui montre où résident les données, qui y accède et depuis quel pays. Le prestataire de développement n’a généralement pas à être certifié lui-même, mais ses accès à l’environnement de production doivent être encadrés, tracés et documentés dans le contrat. Chez Sooyoos, nous déployons sur des hébergeurs certifiés comme AWS, OVH ou Outscale et remettons la documentation de conformité à chaque mise en production.

Faut-il choisir une agence digitale pharma spécialisée ou un prestataire généraliste ?

Pour un projet qui touche des données de santé ou un parcours patient, une agence digitale expérimentée dans la santé réduit nettement le risque de blocage au passage en production. Un prestataire généraliste peut livrer un prototype convaincant, puis découvrir les exigences HDS, les analyses d’impact RGPD ou la qualification dispositif médical au moment du déploiement. La reprise coûte alors plus cher qu’un cadrage initial correct. Pour un site institutionnel sans donnée sensible, une agence généraliste solide suffit souvent. Le bon critère reste la preuve : demandez des projets santé livrés, en production et maintenus, avec des contacts joignables. Nous accompagnons des acteurs de la santé depuis 2010, de Roche au LEEM.

Combien de temps dure un projet avec une agence digitale santé ?

Une plateforme métier ou un service patient demande en général six à douze mois, du cadrage à la mise en production. La phase de cadrage est plus longue que sur un projet hors santé, car elle inclut l’analyse d’impact RGPD, le choix de l’hébergeur certifié HDS et la qualification réglementaire du produit. Le développement avance ensuite par lots fonctionnels, avec une démonstration toutes les deux semaines. Une web app à périmètre resserré se livre plus vite : pour Biogen, le cadrage initial a figé le périmètre et les jalons, puis la livraison a respecté le calendrier annoncé. Prévoyez enfin une période d’hypercare de trois mois après la mise en production.

Comment démarrer un projet avec une agence digitale santé ?

Commencez par formaliser trois éléments : les utilisateurs visés, les données traitées et les systèmes à connecter. Ils suffisent pour qu’une agence digitale santé sérieuse qualifie votre projet sur le plan réglementaire et technique. Demandez ensuite un accord de confidentialité avant tout échange détaillé, surtout si le projet porte sur un produit non encore annoncé. Chez Sooyoos, nous proposons un Diagnostic Stratégique de deux semaines qui livre l’architecture cible, le choix de l’hébergeur HDS si la donnée le justifie, le périmètre fonctionnel et une estimation budgétaire. Son montant est déduit du projet si vous poursuivez avec nous dans les trois mois. Vous pouvez aussi nous écrire directement pour un premier échange de trente minutes.

Conclusion : choisir une agence digitale santé sur des preuves

Choisir une agence digitale santé demande de vérifier des faits plutôt que des promesses : un hébergeur certifié et nommé, une sécurité démontrée, un RGPD appliqué dès la conception, des références santé en production et une équipe qui reste après la mise en ligne.

Le cadre continue d’évoluer. Le référentiel HDS vient d’achever sa transition, l’EHDS entre dans sa première phase de mise en œuvre en 2027, et la CNIL sanctionne l’absence d’authentification forte, comme l’a montré sa décision contre l’Hôpital privé de la Loire. Un partenaire qui suit ces évolutions vous évite de les découvrir en production.

Pour aller plus loin, relisez nos guides sur l’hébergement HDS et sur les contraintes d’une application de santé. Pour cadrer votre projet, découvrez notre approche d’agence digitale santé et pharma ou parlons de votre projet.