Vie privée · Fournisseurs
Registre préparatoire des sous-traitants ultérieurs
Cette page identifie les familles de fournisseurs relevées dans l’architecture et la documentation du projet. Elle ne constitue pas encore la liste contractuelle opposable : chaque entité, région, DPA, mécanisme de transfert et durée doit être vérifié sur les comptes de production.
This document supports scoping work. It does not replace the signed agreement, an impact assessment, or advice from the organisation’s lawyer or DPO.
01
Hébergement applicatif et base de données
- Vercel — hébergement applicatif, edge et déploiement. Région et flux de support à confirmer contractuellement.
- Supabase — base PostgreSQL, authentification et sauvegardes. Projet, région, options de journalisation et rétention à confirmer.
02
Communications
- Twilio — SMS et, uniquement si activée, téléphonie. L’entité contractante, les régions et les transferts doivent être figés dans le DPA.
- Resend — emails transactionnels. Entité, région de traitement, contenu des messages et domaine d’envoi à confirmer.
To validate: Un message doit être minimisé : aucun motif médical détaillé ou contenu administratif sensible ne devrait figurer dans un SMS ou un objet d’email.
03
Paiement et abonnement
- Stripe — paiement et gestion d’abonnement Cabinet. L’entité vendeuse, le compte marchand, la TVA, le rôle de Stripe et les transferts techniques doivent être validés avant encaissement.
04
Sécurité et exploitation
- Sentry — surveillance des erreurs. La région d’ingestion et le filtrage des données personnelles doivent être vérifiés.
- Upstash — limitation de débit et composants Redis éventuels. Région et données stockées à confirmer.
05
Fonctions d’intelligence artificielle
Toute fonction reposant sur Anthropic ou un autre fournisseur d’IA doit rester hors de la liste active tant qu’elle n’est pas réellement activée. Avant activation : analyse de finalité, AIPD, minimisation, DPA, transfert, politique de conservation, information et tests.
To validate: Ne pas commercialiser une « secrétaire IA » active ni envoyer de données au fournisseur avant d’avoir terminé les validations techniques, contractuelles et juridiques.
06
Procédure de changement
- Publier la date d’effet, la finalité, l’entité, le pays et le mécanisme de transfert.
- Informer les clients selon le préavis contractuel.
- Prévoir un droit d’opposition motivé et une solution lorsque le risque ne peut être résolu.