Sous-traitants et transferts de Kia
Version 2026-10-12.2 — publiée le 12 octobre 2026
Cartographie publique, datée et versionnée, des sous-traitants ultérieurs auxquels NOVIAMIND fait appel pour Kia, des données qu’ils traitent, de leur pays et des mécanismes encadrant tout transfert ou accès à distance hors Espace économique européen (RGPD art. 28 et 44 s. ; Code de la santé publique art. R.1111-11 III pour les cabinets français).
| Sous-traitant | Pays | Fonction | Données | Conservation | Transfert hors EEE et mécanisme |
|---|---|---|---|---|---|
| Google Cloud (Google Cloud EMEA Limited, Irlande ; Google LLC, États-Unis) | Belgique, région europe-west1 (centre de données de Ghlin) | Hébergement de l’application (Cloud Run), base de données médicale (Cloud SQL, PostgreSQL), sauvegardes chiffrées (Cloud Storage), secrets, journaux techniques, images logicielles | Toutes les données du cabinet, chiffrées au repos et en transit ; identité du médecin ; journaux techniques sans contenu clinique | Données : pendant le contrat et la durée de conservation du pays. Sauvegardes : 30 jours, puis 7 jours de récupération. Journaux techniques : durée limitée | Stockage et traitement en UE. Google LLC est soumise au droit des États-Unis (CLOUD Act, FISA 702) : clauses contractuelles types de la Commission européenne intégrées au Google Cloud Data Processing Addendum ; inscription de Google LLC au Data Privacy Framework UE–États-Unis à vérifier sur le registre officiel. Aucun accès à distance hors EEE demandé par NOVIAMIND. Services utilisés listés au certificat HDS v2.0 de Google (n° 2022-013, activités 1 à 5) ; avenant HDS Google à signer par NOVIAMIND |
| Vertex AI (Google Cloud) | Région UE (point de terminaison régional européen) | Mise au propre d’un compte rendu dicté, uniquement à la demande du médecin — fonction fermée tant qu’elle n’est pas qualifiée | Texte du compte rendu transmis par le médecin | Aucune conservation chez le fournisseur : cache désactivé, aucune journalisation des requêtes ni utilisation pour l’entraînement | Même mécanisme que Google Cloud ci-dessus ; aucun point de terminaison mondial ni hors UE |
| Supabase (Supabase Inc., États-Unis ; données en Irlande, région eu-west-1) | Irlande, UE | Authentification du médecin seulement (email, téléphone, facteurs de connexion) ; aucune donnée de patient | Adresse email, numéro de téléphone, dates de connexion du médecin | Pendant le compte ; suppression à la fermeture du compte | Hébergement en UE ; société mère américaine : clauses contractuelles types (accord de traitement Supabase). Aucun accès à distance hors EEE demandé |
| Twilio (Twilio Inc., États-Unis ; Twilio Ireland Limited) | États-Unis et Irlande | Envoi des codes de vérification par SMS | Numéro de téléphone du médecin, code à usage unique, horodatage | Journaux d’envoi du fournisseur, durée limitée | Transfert vers les États-Unis encadré par les clauses contractuelles types et les règles d’entreprise contraignantes de Twilio ; aucune donnée de patient |
| Resend (Resend Inc., États-Unis ; envoi depuis la région eu-west-1) | Irlande, UE ; société américaine | Emails de connexion et avis de sécurité adressés au médecin | Adresse email du médecin, contenu de l’email de service | Journaux d’envoi du fournisseur, durée limitée | Envoi depuis l’UE ; société mère américaine : clauses contractuelles types (accord de traitement Resend) ; aucune donnée de patient |
| Cloudflare Turnstile (Cloudflare, Inc., États-Unis) | Réseau mondial | Protection anti-robot de la page de connexion, lorsqu’elle est activée | Jeton de vérification, adresse IP et caractéristiques techniques du navigateur | Durée limitée chez le fournisseur | Clauses contractuelles types ; aucune donnée de patient |
| PubMed — National Library of Medicine (NIH, États-Unis) | États-Unis | Recherche de littérature biomédicale, à la demande du médecin | Mots-clés génériques de la recherche seulement ; la saisie d’une donnée patient est refusée par Kia avant tout envoi | Aucune conservation par Kia ; journaux techniques du NIH | La requête ne contient aucune donnée personnelle par conception ; adresse IP du serveur Kia transmise |
| CIMA — Agencia Española de Medicamentos y Productos Sanitarios (AEMPS) | Espagne, UE | Consultation des fiches de médicaments autorisés en Espagne, à la demande du médecin | Mots-clés génériques de la recherche seulement | Aucune conservation par Kia | Aucun transfert hors EEE |
Notes
- Accès à distance hors EEE : aucun. NOVIAMIND n’opère et ne fait opérer aucun accès aux données du cabinet depuis un pays tiers.
- Les fonctions qui traitent des données de patients sont fermées pendant la qualification ; cette page décrit l’architecture retenue, pas une ouverture.
- Lois extra-européennes applicables à Google LLC, Twilio Inc., Resend Inc., Supabase Inc. et Cloudflare, Inc. : CLOUD Act (18 U.S.C. § 2713) et FISA section 702. Risque résiduel : une demande d’accès d’une autorité américaine adressée au fournisseur ; mesures : stockage et traitement en UE, chiffrement, aucune donnée de patient chez les fournisseurs autres que Google Cloud, contestation contractuelle des demandes par le fournisseur, information du cabinet. L’évaluation détaillée des transferts est remise à chaque cabinet avec son contrat.
- Tout changement de sous-traitant est notifié aux cabinets avant de prendre effet ; les cabinets peuvent s’y opposer dans les conditions du contrat.
Politique de confidentialité de Kia · Conditions d’utilisation · privacy@ciaoalfred.com