Dernière mise à jour : 31 mai 2026 · Version 1.0
Conformément à l'article 28(3)(a) du RGPD et à la loi marocaine 09-08, Oltigo Health publie la liste de ses sous-traitants. Les cabinets clients (responsables du traitement) peuvent consulter cette liste pour vérifier les autorisations de sous-traitance. Toute modification substantielle sera communiquée avec un préavis d'au moins 30 jours.
| Sous-traitant | Données traitées | Région | Base de transfert | Certification | DPA |
|---|---|---|---|---|---|
| Supabase (PostgreSQL) | PHI, PII, jetons d'authentification | AWS eu-west-1 (Irlande) | CCT UE | SOC 2 Type II, ISO 27001 | Signé |
| Cloudflare Workers | Routage des requêtes, mise en cache (aucune PHI persistante) | Edge mondial (transit uniquement) | DPA Cloudflare | SOC 2 Type II, ISO 27001 | Signé |
| Cloudflare R2 | Fichiers patients chiffrés (AES-256-GCM) | Juridiction UE (épinglée¹) | DPA Cloudflare | SOC 2 Type II | Signé |
| OpenAI | Contexte clinique pseudonymisé pour les fonctionnalités IA | États-Unis (hébergé sur Azure) | DPA OpenAI + CCT UE + consentement explicite | SOC 2 Type II | Signé |
| Stripe | Références de passerelle de paiement (aucun numéro de carte stocké) | États-Unis / UE | DPA Stripe + PCI DSS L1 | PCI DSS L1, SOC 2 Type II | Signé |
| CMI (Centre Monétique Interbancaire) | Traitement des paiements en MAD | Maroc (traitement domestique) | Prestataire domestique | PCI DSS L1 (AOC sur demande) | N/A |
| Meta (API WhatsApp Business) | Numéros de téléphone, texte de rappel de rendez-vous | États-Unis / UE | DPA Meta + CCT UE + consentement explicite | SOC 2 Type II, ISO 27001 | Signé |
| Twilio (WhatsApp / SMS de secours) | Numéros de téléphone, texte de notification | États-Unis | DPA Twilio + CCT UE | SOC 2 Type II, ISO 27001 | Signé |
| Resend | Adresses e-mail, contenu de notification | États-Unis | DPA Resend + CCT UE | SOC 2 Type II | Signé |
| Sentry | Télémétrie d'erreurs (PHI entièrement supprimée avant transmission) | États-Unis | DPA Sentry + CCT UE | SOC 2 Type II | Signé |
| Plausible Analytics | Statistiques de pages vues anonymisées (non personnelles) | UE (Allemagne) | DPA UE | Conforme RGPD (sans cookies) | Signé |
¹ Les buckets R2 contenant des PHI sont épinglés à la juridiction UE via le paramètrejurisdiction=eu. Voir r2-lifecycle.json.
Pour toute question ou opposition à un changement de sous-traitant, contactez : dpo@oltigo.com