Transparence RGPD — Derniere mise a jour : Septembre 2026
Liste des sous-traitants
Conformement a notre accord de traitement des donnees (DPA), voici la liste complete des sous-traitants techniques auxquels PsyLib fait appel. Toute modification de cette liste est notifiee par email 30 jours avant sa prise d'effet.
Hebergement et infrastructure
AZNETWORK
HDS V2 · ISO 27001- Role : hebergement des serveurs API, base de donnees PostgreSQL, authentification Keycloak, visio-consultation (LiveKit), sauvegardes et infogerance (administration et exploitation du systeme — activite 5 HDS)
- Donnees traitees : toutes les donnees de sante (notes, messages, dossiers patients), donnees d'authentification, sauvegardes
- Localisation : Alencon (France) — PRA sur un second datacenter francais certifie
- Certification HDS : HDS V2 certifie sur les 6 activites + ISO/IEC 27001:2022 — conforme article L.1111-8 du Code de la sante publique
- Site web : aznetwork.eu
Vercel Inc.
Pas de donnees de sante- Role : hebergement du frontend (site marketing et interface utilisateur)
- Donnees traitees : aucune donnee de sante, aucun stockage. Les donnees cliniques sont appelees directement depuis le navigateur vers le serveur HDS. Transitent par Vercel : les identifiants de connexion des espaces patient et tuteur (verifies par le serveur HDS), les cookies de session chiffres et les formulaires publics.
- Localisation : fonctions serveur executees a Paris (region cdg1), CDN mondial pour les fichiers statiques. Societe americaine, clauses contractuelles types
- Site web : vercel.com
Paiement
Stripe
PCI-DSS Niveau 1- Role : traitement des paiements par carte bancaire, gestion des abonnements, facturation
- Donnees traitees : nom, email, donnees de carte bancaire (stockees exclusivement chez Stripe), historique de paiement, montants factures
- Donnees de sante : aucune
- Localisation : Irlande (Stripe Technology Europe Ltd) — transferts USA encadres par SCC
- Certification : PCI-DSS niveau 1 (plus haut niveau de certification paiement)
- Site web : stripe.com
Emails transactionnels
Resend (via Amazon SES)
Pas de donnees de sante- Role : envoi des emails transactionnels (confirmations, rappels de rendez-vous, notifications, factures)
- Donnees traitees : adresse email du destinataire, nom, objet et contenu du mail (jamais de notes cliniques ni de donnees de sante)
- Domaine d'envoi : noreply@send.psylib.eu (authentifie SPF + DKIM)
- Localisation : EU (Amazon SES region Europe)
- Site web : resend.com
Intelligence artificielle
Scaleway Generative APIs
France · Opt-in- Role : generation de texte : notes cliniques structurees a partir de la transcription du Scribe, cartes mentales, resumes de seance, brouillons de bilans, suggestions pour la conceptualisation clinique et generation d'exercices
- Donnees traitees : texte uniquement (transcription ou notes de la seance concernee, notes des seances recentes pour les bilans), transmis sur demande explicite du praticien et apres consentement. Aucun enregistrement audio.
- Consentement : le praticien active l'IA manuellement ; le consentement du patient est verifie avant chaque appel, sans quoi aucune donnee ne quitte le serveur
- Localisation : France — inference executee a Paris par Scaleway SAS, societe francaise ; aucun transfert hors Union europeenne
- Conservation : aucune par defaut. Scaleway ne lit ni ne conserve le contenu des requetes et des reponses. Seule exception, documentee par Scaleway : en cas d'erreur anormale du service ou d'activite malveillante, le contenu de la requete concernee peut etre conserve deux semaines au maximum, aux seules fins de diagnostic.
- Modele : Mistral Small 3.2 (modele ouvert, opere par Scaleway sur sa propre infrastructure)
- Garanties : les donnees ne servent pas a entrainer ou ameliorer les modeles et ne sont accessibles ni a l'editeur du modele ni a des tiers. Ce service traite les donnees sans les heberger : il n'entre pas dans le perimetre de la certification HDS de Scaleway, et les donnees de sante restent hebergees chez AZNETWORK.
- Site web : scaleway.com
OVHcloud AI Endpoints
France · Opt-in- Role : transcription audio (« Scribe ») uniquement
- Donnees traitees : l'enregistrement audio de la seance concernee, transmis uniquement sur demande explicite du praticien et apres consentement. L'audio est supprime immediatement apres transcription.
- Consentement : consentement specifique du patient a l'enregistrement, verifie avant chaque appel, et attestation du praticien
- Localisation : France — inference hebergee en France, aucun transfert hors Union europeenne
- Modele : whisper-large-v3-turbo
- Garanties : les donnees transmises ne sont pas utilisees pour entrainer ou ameliorer les modeles. Ce service traite l'audio sans le conserver : il n'entre pas dans le perimetre de la certification HDS d'OVHcloud.
- Site web : ovhcloud.com
Monitoring et analytics
Sentry
Pas de donnees de sante- Role : monitoring des erreurs applicatives et performance
- Donnees traitees : stack traces, metadata techniques (navigateur, OS, URL). Aucune donnee patient ni donnee de sante.
- Localisation : USA — encadre par SCC
- Site web : sentry.io
PostHog
Marketing uniquement- Role : analytics produit sur les pages marketing uniquement
- Donnees traitees : pages visitees, parcours utilisateur, temps de session. Actif uniquement sur les pages marketing, jamais dans l'application.
- Donnees de sante : aucune. Aucune collecte sur les pages de l'espace praticien ou patient.
- Consentement : soumis au consentement prealable via banniere cookies
- Localisation : EU (PostHog Cloud EU)
- Site web : posthog.com
Resume
| Sous-traitant | Role | Localisation | HDS | Donnees sante |
|---|---|---|---|---|
| AZNETWORK | Hebergement, DB, auth, backups, visio, infogerance | France | Oui | Oui |
| Vercel | Frontend | Paris (fonctions) / CDN mondial | Non requis | Non |
| Stripe | Paiements | Irlande/USA | N/A | Non |
| Resend | Emails transactionnels | EU | N/A | Non |
| Scaleway Generative APIs | IA : notes, cartes, resumes, exercices (opt-in, sans conservation) | France | Hors perimetre (aucun hebergement) | Oui |
| OVHcloud AI Endpoints | IA : transcription audio (opt-in, sans conservation) | France | Hors perimetre (aucun hebergement) | Oui |
| Sentry | Monitoring erreurs | USA | N/A | Non |
| PostHog | Analytics marketing | EU | N/A | Non |
Notification de modification
Conformement a notre DPA, toute modification de cette liste est notifiee par email aux praticiens 30 jours avant sa prise d'effet. En cas de question ou d'objection :
Contact DPO : tony@psylib.eu