Appendice 3 — Sous-traitants
Version : 1.0. Le présent Appendice fait l'objet d'un versionnage distinct de l'Entente-cadre et est modifié conformément à la clause 7. La liste à jour se trouve en tout temps à dentalx.studio/legal/subprocessors.
| # | Sous-traitant (entité contractante) | Service | Données de la Clinique reçues | Lieu du traitement | Fondement du transfert | Remarques |
|---|---|---|---|---|---|---|
| 1 | Google Cloud / Firebase (Google LLC) [[TO CONFIRM: entité Google contractante du compte Google Cloud de VstreamX]] | Hébergement, base de données, stockage de fichiers, connexion (y compris les messages texte portant le code du second facteur), fonctions de serveur, sauvegardes, journaux de serveur | Toutes les Données de la Clinique | États-Unis : base de données dans la multirégion américaine (nam5); fichiers, fonctions et sauvegardes dans us-central1 (Iowa) | Data Processing Addendum de Google Cloud, avec les CCT et la certification de Google LLC au EU-US / UK-US Data Privacy Framework [[TO CONFIRM: inscription au DPF vérifiée, avec preuve datée]]; pour le Québec, l'Annexe ANX-CA-QC | Firestore, Cloud Storage et Cloud Functions sont couverts par le Business Associate Agreement de Google Cloud. |
| 2 | Google Vertex AI (Gemini) (Google LLC) | Les fonctions d'IA que les Utilisateurs d'une clinique choisissent d'utiliser | Le texte, l'image ou le document transmis avec chaque requête d'IA | États-Unis : le point de terminaison régional us-central1 (Iowa) de Google Cloud. [[BLOCKING TO CONFIRM: le point de terminaison régional est en fonction pour toutes les cliniques avant la publication (le code utilise aujourd'hui par défaut le point de terminaison mondial, qui peut traiter une requête depuis n'importe quel pays)]] | Comme à la ligne 1 | Selon ses conditions infonuagiques, Google n'utilise pas les données pour entraîner ses modèles. L'analyse des radiographies est désactivée pour les cliniques des États-Unis. |
| 3 | Google Workspace (Gmail) (Google LLC) [[BLOCKING TO CONFIRM: le compte d'envoi est un compte Google Workspace (et non un compte Gmail personnel) pour lequel le Cloud Data Processing Addendum de Google est accepté; un compte Gmail personnel ne peut pas être un Sous-traitant]] | Rappels, relances, liens de consentement, ordonnances et plans de traitement envoyés par courriel | L'adresse courriel du destinataire et le message, avec sa pièce jointe PDF le cas échéant | États-Unis et autres pays où Google stocke les données de Workspace, selon ses pages sur les sous-traitants et l'emplacement des données de Workspace | Comme à la ligne 1 (Cloud Data Processing Addendum de Google appliqué à Google Workspace) | Une seule adresse d'expédition DentalX envoie pour toutes les cliniques. |
| 4 | Meta (WhatsApp Business Platform) (Meta Platforms, Inc. / WhatsApp LLC) [[TO CONFIRM: entité Meta contractante et conditions de traitement acceptées]] | Rappels, relances et boîte de réception bidirectionnelle par WhatsApp, pour les cliniques qui envoient par le compte WhatsApp Business propre à DentalX | Le numéro de téléphone du patient, les messages envoyés et reçus, et les fichiers que le patient envoie | États-Unis et autres pays où Meta exerce ses activités | Comme à la ligne 1 | Non offert aux cliniques des États-Unis. La clinique qui connecte son propre compte WhatsApp Business le fait en vertu de sa propre entente avec Meta; ce compte n'est pas un Sous-traitant. |
| 5 | Google reCAPTCHA (Google LLC) | Vérifier qu'une personne se trouve devant le navigateur lorsqu'un Utilisateur configure ou utilise un second facteur par message texte | Renseignements sur le navigateur et l'appareil transmis par le navigateur; aucune donnée de patient | États-Unis et autres pays où Google exerce ses activités | Comme à la ligne 1 | Chargé uniquement sur les écrans où un second facteur par message texte est configuré ou utilisé. |
Instruments de transfert. Lorsqu'un Instrument de transfert régit les transferts de la Clinique (TM-BR pour le Brésil, TM-AR pour l'Argentine), chaque transfert ultérieur à un Sous-traitant s'effectue aussi en vertu de cet Instrument, comme l'indique l'Annexe nationale.
Ne sont pas des Sous-traitants :
- Stripe traite la facturation propre de VstreamX et ne reçoit aucune Donnée de la Clinique.
- Les services que la Clinique connecte elle-même sont régis par la propre entente de la Clinique avec leur fournisseur : son propre Google Agenda et son propre compte WhatsApp Business.
- OpenAI n'est pas appelé par le Service. Si VstreamX devait l'activer, la clause 7.3 s'appliquerait au préalable.
Index des annexes (Québec)
Pour les Cliniques du Québec, l'Annexe ANX-CA-QC fait partie de la présente Entente (voir annex-ca-qc.md). L'index complet pour les autres pays figure dans la version anglaise (../mdpa.md).
Points à confirmer avant la publication
Ce sont les 21 mêmes points que dans la version anglaise (../mdpa.md) :
- La date de publication.
- Le retrait automatique des versions de fichiers à la date de suppression.
- La liste d'exclusion WhatsApp propre à chaque clinique, supprimée avec les Données de la Clinique.
- L'adresse dédiée à la protection des renseignements personnels et le bureau externe.
- Le représentant dans l'UE.
- Le représentant au Royaume-Uni.
- La date de la phase B′.
- La date d'achèvement du balayage de scellement.
- La copie de la clé hors plateforme.
- La garde de la clé dans Cloud EKM/HSM.
- La validation en deux étapes des administrateurs.
- La journalisation de toute consultation.
- Les engagements de confidentialité et la formation.
- L'absence de certification propre.
- L'entité contractante de Google.
- Les inscriptions de Google et de Meta au DPF.
- Bloquant : le point de terminaison régional de Vertex AI.
- Bloquant : le compte Google Workspace de l'expéditeur, avec le Cloud Data Processing Addendum.
- L'entité contractante et les conditions de Meta.
- La correspondance des conditions de chaque Sous-traitant avec l'article 28(3) du RGPD et les clauses de l'ANPD (clause 7.2).
- La suppression ou l'anonymisation de la piste de vérification à la date de suppression (clause 14.5(c)).