Vie privée · Fournisseurs
Registre préparatoire des sous-traitants ultérieurs
Cette page identifie les familles de fournisseurs relevées dans l’architecture et la documentation du projet. Elle ne constitue pas encore la liste contractuelle opposable : chaque entité, région, DPA, mécanisme de transfert et durée doit être vérifié sur les comptes de production.
Ce document aide à préparer le cadrage. Il ne remplace ni le contrat signé, ni une analyse d’impact, ni l’avis d’un avocat ou du DPO de l’organisation.
01
Hébergement applicatif et base de données
- Vercel — hébergement applicatif, edge et déploiement. Région et flux de support à confirmer contractuellement.
- Supabase — base PostgreSQL, authentification et sauvegardes. Projet, région, options de journalisation et rétention à confirmer.
02
Communications
- Twilio — SMS et, uniquement si activée, téléphonie. L’entité contractante, les régions et les transferts doivent être figés dans le DPA.
- Resend — emails transactionnels. Entité, région de traitement, contenu des messages et domaine d’envoi à confirmer.
À valider : Un message doit être minimisé : aucun motif médical détaillé ou contenu administratif sensible ne devrait figurer dans un SMS ou un objet d’email.
03
Paiement et abonnement
- Stripe — paiement et gestion d’abonnement Cabinet. L’entité vendeuse, le compte marchand, la TVA, le rôle de Stripe et les transferts techniques doivent être validés avant encaissement.
04
Sécurité et exploitation
- Sentry — surveillance des erreurs. La région d’ingestion et le filtrage des données personnelles doivent être vérifiés.
- Upstash — limitation de débit et composants Redis éventuels. Région et données stockées à confirmer.
05
Fonctions d’intelligence artificielle
Toute fonction reposant sur Anthropic ou un autre fournisseur d’IA doit rester hors de la liste active tant qu’elle n’est pas réellement activée. Avant activation : analyse de finalité, AIPD, minimisation, DPA, transfert, politique de conservation, information et tests.
À valider : Ne pas commercialiser une « secrétaire IA » active ni envoyer de données au fournisseur avant d’avoir terminé les validations techniques, contractuelles et juridiques.
06
Procédure de changement
- Publier la date d’effet, la finalité, l’entité, le pays et le mécanisme de transfert.
- Informer les clients selon le préavis contractuel.
- Prévoir un droit d’opposition motivé et une solution lorsque le risque ne peut être résolu.