Structure de la liste
| Critère | Données concernées | Localisation | Garanties | Statut |
|---|---|---|---|---|
| Hébergement de l’application et des données | Toutes les données du service, dont les données de santé | Union européenne | Hébergeur certifié HDS (CSP, art. L1111-8) | À confirmer par l’éditeur : nom et certificat à publier |
| Assistant Theo, en bêta (Amazon Bedrock) | Éléments nécessaires à chaque demande | Région de l’Union européenne | Pas d’entraînement de modèle sur vos dossiers | À confirmer par l’éditeur : entité contractante, garanties |
| [À compléter par l’éditeur : autres prestataires sous contrat] | Non renseigné | Non renseigné | Non renseigné | À compléter |
Sous-traitants ultérieurs pour les données des patients, au 19 octobre 2026 (à confirmer par l’éditeur) · Une ligne vide signifie « non renseigné ». Les engagements sur l’hébergement et sur Theo sont décrits sur les pages Sécurité et Ostheo et l’IA.
Qu’est-ce qu’un sous-traitant ultérieur ?
Pour les données de vos patients, vous êtes responsable du traitement et Ostheo agit comme votre sous-traitant (voir l’accord de sous-traitance). Quand Ostheo confie une partie du travail à un autre prestataire, par exemple l’hébergement, ce prestataire est un sous-traitant ultérieur. Le RGPD exige que les mêmes obligations de protection des données lui soient imposées par contrat (art. 28, paragraphe 4).
Les engagements déjà publiés figurent sur la page Sécurité pour l’hébergement, et sur la page Ostheo et l’IA pour l’assistant Theo, appelé via Amazon Bedrock dans une région de l’Union européenne.
Et les prestataires qui ne voient pas les données des patients ?
Certains prestataires traitent des données des visiteurs du site ou des praticiens, sans données de patients. C’est le cas de la mesure d’audience, soumise à votre consentement et assurée par Google Ireland Limited, décrite dans la politique cookies.
[À compléter par l’éditeur : liste de ces prestataires, ou renvoi vers la politique de confidentialité.]
Comment serez-vous informé des changements ?
Avec une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout ajout ou remplacement prévu, ce qui lui permet de s’y opposer (RGPD, art. 28, paragraphe 2).
[À compléter par l’éditeur : canal d’information (e-mail, page datée), délai de préavis, modalités d’objection.]
Sources
Textes et pages officielles consultés pour rédiger cette page.
- [1]Règlement (UE) 2016/679 (RGPD), article 28 (texte publié par la CNIL)CNIL · cnil.fr · consulté le 19 octobre 2026
- [2]Code de la santé publique, article L1111-8 (hébergement de données de santé)Légifrance · legifrance.gouv.fr · consulté le 19 octobre 2026