Sous-traitants
Dernière mise à jour : 15 octobre 2026 · Rubrique : La protection des données de santé dans Achyl
Prestataires techniques mobilisés
Pour fournir le service, Achyl (sous-traitant du praticien) recourt aux sous-traitants ultérieurs ci-dessous, chacun encadré par un contrat conforme à l'article 28 du RGPD. Vos données ne sont jamais vendues, ni cédées, ni utilisées à des fins de profilage. Cette liste fait partie intégrante du contrat de sous-traitance (DPA) et de la politique de confidentialité.
La colonne Données de santé indique les seuls prestataires susceptibles de traiter des données de vos patients — y compris le simple fait qu'une personne consulte votre cabinet, que révèle un e-mail de rendez-vous. Les autres n'interviennent que sur votre compte (abonnement, mesure d'audience, agenda connecté) et n'ont accès à aucun dossier.
| Sous-traitant | Rôle | Localisation | Données de santé | Garanties |
|---|---|---|---|---|
| Scalingo SAS | Hébergement de la plateforme et de la base de données (dossiers, comptes-rendus, transcriptions) | France (UE) | Oui | Contrat de sous-traitance (art. 28) · Hébergeur certifié de données de santé (HDS n° 38436) |
| Amazon Web Services EMEA SARL | Stockage des fichiers (enregistrements audio, documents importés, PDF signés, pièces jointes) | France — région Paris (UE) | Oui | Contrat de sous-traitance (DPA, art. 28) · Hébergeur certifié de données de santé (HDS v2, activités 1 à 6) · Fichiers chiffrés par Achyl avant envoi, clés conservées hors d'AWS |
| Microsoft Ireland Operations Ltd (Microsoft Azure) | Traitements par intelligence artificielle : transcription des enregistrements (Azure Speech), rédaction des documents et analyse structurée de la consultation (modèles GPT), lecture des documents numérisés et recherche dans la base documentaire | Union européenne (ressource en France ; zone de données UE pour les modèles GPT et la lecture de documents) | Oui | Contrat de sous-traitance (DPA Microsoft, art. 28) · Hébergeur certifié de données de santé (HDS v2) pour les services en disponibilité générale · Données non utilisées pour l'entraînement des modèles · Textes : identifiants directs remplacés par des jetons avant l'envoi · Enregistrements audio et documents numérisés : transmis tels quels pour être lus (une voix ou un document scanné ne se pseudonymise pas avant d'avoir été lu) |
| Amazon Web Services EMEA SARL (Amazon SES) | Envoi des e-mails de service (mot de passe oublié, invitations, notifications de compte) et des e-mails aux patients (rendez-vous, accès à leur espace d'exercices) | France — région Paris (UE) | Oui | Contrat de sous-traitance (DPA, art. 28) · Le seul fait de recevoir un e-mail de rendez-vous ou d'exercices d'un cabinet de podologie révèle un soin : c'est la donnée de santé en jeu · Aucun contenu de dossier dans ces e-mails : ni motif, ni type de soin, ni exercice — un e-mail de rendez-vous ne porte que le jour, l'heure, le praticien et l'adresse du cabinet |
| Stripe Payments Europe Ltd | Encaissement de l'abonnement et facturation du compte praticien | Irlande (UE), avec accès possible depuis les États-Unis | Non | DPA · Clauses contractuelles types et Data Privacy Framework pour les accès hors UE · Aucune donnée de patient transmise |
| PostHog | Mesure d'audience (pages vues) | Union européenne (Francfort) | Non | DPA · Aucun cookie sans consentement, repli anonyme à défaut · Jamais d'identification · Adresses de pages réduites à un motif · IP non conservée |
| Google Ireland Ltd (Google Agenda) | Connexion d'agenda — uniquement si le praticien l'active lui-même | Irlande (UE), avec accès possible hors UE | Non | Autorisation OAuth du praticien · Clauses contractuelles types · Aucune donnée clinique transmise |
Hébergement et localisation
L'intégralité des données — dossiers, documents, enregistrements, sauvegardes — est stockée en France, chez des hébergeurs certifiés pour l'hébergement de données de santé au sens de l'article L. 1111-8 du code de la santé publique : Scalingo pour la plateforme et la base de données, Amazon Web Services (région Paris) pour les fichiers. Aucun stockage n'est réalisé hors de l'Union européenne ou de l'Espace économique européen.
Les fichiers sont chiffrés par Achyl avant d'être envoyés à Amazon Web Services, et les clés de chiffrement sont conservées hors d'AWS : l'hébergeur des fichiers ne détient que des données illisibles. Amazon Web Services appartient à un groupe dont la société mère est établie aux États-Unis.
Les traitements par modèles d'intelligence artificielle sont confiés à Microsoft Azure et ont lieu dans l'Union européenne, sous contrat d'hébergeur certifié de données de santé. Les textes sont envoyés après remplacement des identifiants directs du patient par des jetons. L'enregistrement audio et les documents numérisés sont transmis tels quels pour être lus : une voix ou un document scanné ne se pseudonymise pas avant d'avoir été lu.
Les e-mails adressés aux patients (rendez-vous, accès à l'espace d'exercices) sont envoyés par Amazon SES, depuis la région Paris. Recevoir un tel e-mail révèle qu'une personne est suivie par un cabinet de podologie : c'est une donnée de santé, et c'est pourquoi ces e-mails ne portent que le strict nécessaire — ni motif, ni type de soin, ni contenu de dossier. Ce service d'envoi n'est pas présenté ici comme couvert par la certification HDS revendiquée pour le stockage.
Lorsqu'un accès depuis un pays tiers est techniquement possible chez un prestataire (support, exploitation), il est encadré par une décision d'adéquation ou par des clauses contractuelles types.
Information en cas de changement
En cas d'ajout ou de remplacement d'un sous-traitant ultérieur, les praticiens en sont informés — par la plateforme ou par e-mail — avant l'entrée en vigueur du changement, et peuvent émettre une objection motivée. La date de dernière mise à jour figure en tête de cette page. Pour toute question : dpo@achyl.co.