Sous-traitants de l'application
Fournisseurs qui hébergent, acheminent ou reçoivent des données des utilisateurs de l'application app.oncoide.fr. Le détail traitement par traitement est dans la politique de confidentialité ; l'accord de sous-traitance annexé au contrat de licence en reprend la liste.
| Fournisseur | Fonction | Données concernées | Localisation | Transfert hors UE | Statut |
|---|---|---|---|---|---|
| Supabase Inc.sur AWS | Base de données, authentification, fonctions de la base | Toutes les données des utilisateurs : comptes, rattachements, activité, planning, journaux de connexion | Francfort, Allemagne — eu-central-1Réel |
Stockage dans l'UE. Accès possible du prestataire, société américaine, encadré par des clauses contractuelles types | Actif. Accord de traitement signé le 22 juin 2026 |
| Vercel Inc. | Diffusion de l'application et du site, fonctions serveur ; mesure d'audience de l'application (Vercel Analytics), après consentement | Jetons de session et adresses de courriel en transit ; adresse IP dans les journaux techniques de l'hébergeur ; pages vues agrégées, sans cookie | Fonctions serveur à Paris — cdg1 ; réseau de diffusion mondialRéel |
Oui : société américaine — EU-U.S. Data Privacy Framework et clauses contractuelles types | Actif. Accord de traitement public, applicable à l'offre Pro souscrite le 21 août 2026 |
| ResendPlus Five Five, Inc. | Envoi des courriels transactionnels : invitations, réinitialisations, notifications | Adresse du destinataire, prénom et nom s'ils sont renseignés, nom de l'établissement, contenu du message — dont le mot de passe provisoire d'un compte nouvellement ouvert | Envoi depuis l'Irlande — eu-west-1 RéelStockage des journaux : États-Unis selon la politique de confidentialité À confirmer |
Oui — EU-U.S. Data Privacy Framework et clauses contractuelles types incorporées à son addendum | Actif. Addendum accepté le 21 août 2026 |
| Upstash, Inc. | Limitation de débit des routes sensibles (compteurs anti-abus) | Adresse IP ou identifiant technique, conservés de quelques minutes à une heure ; aucun contenu | Francfort, Allemagne — eu-central-1Réel au 20 août 2026 |
Possible : l'addendum prévoit un traitement pouvant être mondial — clauses contractuelles types | Actif. Addendum applicable depuis l'ouverture du compte, le 1er août 2026 |
| SentryFunctional Software Inc. | Remontée des erreurs techniques de l'application | Message d'erreur et contexte technique, expurgés dans le navigateur : ni adresse IP, ni adresse électronique, ni identifiant de compte | Union européenne — ingest.de.sentry.ioRéel |
Non : stockage dans l'UE ; clauses contractuelles types à l'addendum | Actif. Addendum version 5.1.0 accepté le 21 août 2026 |
| Gandi SAS | Nom de domaine et DNS ; messagerie @oncoide.fr et relais d'envoi de secours |
Courriels échangés avec le support ; mêmes catégories que Resend pour les courriels envoyés par ce relais | France Réel |
Non | Actif. Contrat de traitement version 2023.0 |
Site public uniquement
| Fournisseur | Fonction | Données concernées | Localisation | Transfert hors UE | Statut |
|---|---|---|---|---|---|
| LeadfeederDealfront Group Oy | Mesure d'audience professionnelle : établissement d'origine des visites. Chargé seulement après acceptation du bandeau de consentement | Adresse IP, et un cookie de ce prestataire ; aucune donnée de compte, de formulaire ou de licence | Finlande (UE) Réel |
Non | Actif sur le site seulement. Durée de conservation chez le prestataire À confirmer |
Le site public est servi par Vercel, et son formulaire de contact enregistre les demandes dans la base Supabase de Francfort et les achemine par la messagerie de Gandi : ces fournisseurs figurent déjà dans la liste de l'application.
Ce qui n'est pas dans la liste, et pourquoi
- Stripe. L'offre aux particuliers, seule à utiliser le paiement en ligne, a été arrêtée le 7 octobre 2026. Aucune donnée d'établissement n'est concernée : les établissements sont facturés par virement, sur facture. Le code de cette offre est encore présent dans l'application et doit en être retiré.
- Intelligence artificielle. Aucun fournisseur d'IA n'est appelé (vérifié le 8 octobre 2026).
- data.gouv.fr. Source des données publiques de qualité de la Haute Autorité de santé. OncoIDE y lit des données publiques et ne lui envoie aucune donnée.
- GitHub. Héberge le code source et l'intégration continue, aux États-Unis, sans aucune donnée d'utilisateur : les tests portent sur des données fictives.
- L'éditeur de votre navigateur. La dictée vocale d'une recherche est assurée par le navigateur lui-même (Chrome, Edge, Safari), qui n'est pas un sous-traitant d'OncoIDE et agit selon ses propres conditions.
En cas de changement
Le contrat de licence engage l'éditeur à informer l'établissement de tout changement de sous-traitant traitant des données de ses utilisateurs (article 5, point 5), dans les conditions de l'accord de sous-traitance :
- information trente jours avant la mise en service de tout ajout ou remplacement ;
- l'établissement peut s'y opposer ; à défaut d'accord, il peut résilier sans pénalité, avec remboursement des mois entiers non entamés ;
- l'éditeur impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes, et en demeure responsable devant l'établissement.
Cette page est mise à jour à chaque changement. Sa date figure en tête. Pour le registre d'un établissement, la date et la version de chaque accord de traitement sont communiquées sur demande à support@oncoide.fr.
Cette liste résume l'accord de sous-traitance annexé au contrat de licence. En cas de différence, l'accord signé fait foi.