Sous-traitants

Liste des prestataires auxquels QR Santé fait appel, avec les données qu'ils traitent et leur localisation.

Version :: 2026-11c
Dernière mise à jour :: 30 octobre 2026

Cette page recense les prestataires auxquels MOHAIOO FRANCE (QR Santé) fait appel pour fournir le Service. Elle constitue la liste des sous-traitants ultérieurs prévue à l'article 7 et à l'annexe 3 de l'accord de sous-traitance (DPA). Toute modification est notifiée aux cabinets clients au moins 30 jours avant sa mise en œuvre.

Article 1 – Sous-traitants ultérieurs traitant des données de patients

Prestataire	Prestation	Données concernées	Localisation	Garanties
Scalingo – Scalingo SAS, 13 rue Jacques Peirotes, 67000 Strasbourg, France (SIRET 808 665 483 00018)	Hébergement de l'application, de la base de données, des fichiers et des sauvegardes	Toutes les données du Service, dont les réponses des patients (chiffrées au niveau des champs)	France (région `osc-fr1`, Paris), infrastructure exploitée par 3DS Outscale, sous-traitant de Scalingo	Hébergeur certifié HDS (article L. 1111-8 du code de la santé publique), référentiel HDS 2.0, certificat n° 38436 délivré par BYCYB, valable jusqu'au 11 septembre 2028 ; contrat d'hébergement HDS conclu avec Scalingo SAS, incluant les clauses de sous-traitance de l'article 28 du RGPD
Resend – Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, États-Unis	Envoi des courriers électroniques transactionnels : liens de connexion, confirmation d'inscription, invitations des membres de l'équipe et des administrateurs de la plateforme et, sur instruction des cabinets, documents à signer à distance par leurs patients	Utilisateurs des cabinets : adresse électronique du destinataire, nom du cabinet, nom et rôle de la personne qui invite, lien de connexion à usage unique. Patients (signature à distance uniquement) : adresse électronique, nom du cabinet, titre du document, lien de signature à usage unique valable 7 jours. Jamais de réponses ni de données de santé	Union européenne : envoi depuis la région `eu-west-1` (Irlande) pour le domaine qrsante.com ; société établie aux États-Unis	Contrat de sous-traitance (DPA Resend) ; certification au Data Privacy Framework UE–États-Unis ; clauses contractuelles types incluses dans le DPA

Seul l'hébergeur certifié HDS reçoit les réponses et les données de santé des patients. Resend ne reçoit l'adresse électronique d'un patient que lorsqu'un cabinet lui envoie un document à signer à distance.

Article 2 – Autres prestataires (aucune donnée de patient)

Prestataire	Prestation	Données concernées	Localisation	Garanties
Stripe – Stripe Payments Europe, Limited, Dublin, Irlande	Paiement de l'abonnement et facturation	Données de facturation du cabinet : raison sociale, adresse, adresse électronique de facturation, numéro de TVA, moyen de paiement. Jamais de données de patients	Union européenne ; transferts possibles vers les États-Unis	Certification PCI-DSS ; DPA Stripe ; Data Privacy Framework UE–États-Unis (Stripe, LLC) et Data Transfer Addendum Stripe pour les transferts vers les États-Unis. Stripe agit également comme responsable de traitement indépendant pour la lutte contre la fraude et ses obligations réglementaires
Cloudflare – Cloudflare, Inc., États-Unis	Résolution DNS des noms de domaine uniquement	Aucune donnée du Service : le trafic de l'application ne transite pas par Cloudflare	Réseau mondial	Data Privacy Framework UE–États-Unis ; DPA Cloudflare (intégré aux conditions d'abonnement, clauses contractuelles types incluses)

Article 3 – Environnement de recette

L'environnement de recette (préproduction) utilisé pour les tests est alimenté exclusivement par des données fictives. Il ne traite aucune donnée réelle et son hébergeur ne figure donc pas sur cette liste.

Article 4 – Historique des modifications

Date	Modification
2026-10-18	Première version (projet)
2026-10-18	Ajout de Sentry (suivi des erreurs techniques, région UE) et de la supervision de disponibilité (UptimeRobot / Better Stack), alors envisagés
2026-10-24	Remplacement de l'hébergeur OVHcloud par Scalingo (certifié HDS, région Paris, infrastructure 3DS Outscale)
2026-10-25	Retrait de Sentry et de la supervision de disponibilité, non utilisés en production
2026-10-25	Version définitive
2026-10-30	Resend : ajout de l'envoi, sur instruction des cabinets, des documents à signer à distance par leurs patients (adresse électronique du patient, jamais de réponses ni de données de santé)