Traduction de courtoisie. En cas de divergence, la version italienne de ce document fait foi.

Sous-traitants ultérieurs

Version 2.1 · Dernière révision : 9 novembre 2026

Brouillon non signé, publié à des fins de consultation. La société qui fournit le service dispose d’un numéro de TVA ; le numéro REA sera ajouté dès que l’immatriculation au registre des entreprises sera achevée. D’ici là, ce document ne peut pas être signé.

Le présent document constitue l'Annexe B de l'Accord de Traitement des Données (DPA) au sens de l'art. 28 du règlement (UE) 2016/679 (ci-après « GDPR »), conclu entre le Titulaire du traitement (le médecin client) et Fibonacci, en qualité de Responsable du traitement, pour la fourniture du logiciel SaaS Fibonacci. Il énumère nominativement les sous-traitants ultérieurs autorisés au sens de l'art. 28, par. 2 et 4, GDPR et fait l'objet d'une mise à jour continue.

1. Préambule et régime

1.1. Définition de sous-traitant ultérieur. On entend par sous-traitant ultérieur (ci-après, « Sous-traitant ultérieur ») le tiers, personne physique ou morale, auquel le Sous-traitant recourt pour l'exécution d'activités de traitement spécifiques pour le compte du Responsable du traitement, au sens de l'art. 28, paragraphes 2 et 4, du GDPR.

1.2. Autorisation générale au sens de l'art. 28, paragraphe 2, du GDPR. Par la signature du DPA, le Responsable du traitement donne au Sous-traitant une autorisation écrite générale de recourir aux Sous-traitants ultérieurs indiqués dans la présente Annexe B, en reconnaissant que chacun d'eux a été sélectionné par le Sous-traitant sur la base d'une évaluation de fiabilité et d'adéquation des garanties offertes en matière de sécurité technique et organisationnelle du traitement, conformément à l'art. 28, paragraphe 1, du GDPR.

1.3. Chaîne contractuelle. Le Sous-traitant conclut avec chaque Sous-traitant ultérieur un contrat écrit qui impose les mêmes obligations de protection des données que celles prévues dans le DPA entre le Responsable du traitement et le Sous-traitant, notamment en matière de confidentialité, de mesures de sécurité, d'assistance au Responsable du traitement pour l'exercice des droits des personnes concernées et de coopération avec l'autorité de contrôle. Le Sous-traitant demeure responsable à l'égard du Responsable du traitement du manquement des Sous-traitants ultérieurs à leurs obligations de protection des données, au sens de l'art. 28, paragraphe 4, du GDPR.

1.4. Obligation d'information et droit d'opposition. Toute modification de la liste des Sous-traitants ultérieurs, y compris l'ajout d'un nouveau Sous-traitant ultérieur, le remplacement d'un Sous-traitant ultérieur existant ou la cessation de la relation avec un Sous-traitant ultérieur, est communiquée par le Sous-traitant au Responsable du traitement avec un préavis d'au moins 30 (trente) jours avant la date d'entrée en vigueur de la modification, par e-mail à l'adresse du Responsable du traitement figurant dans le Contrat de Service, et par la mise à jour simultanée de la présente page publiée à l'adresse https://fibonaccimedica.it/sub-responsabili.

1.5. Exercice du droit d'opposition. Dans le délai de 30 jours visé au point 1.4, le Responsable du traitement a la faculté de s'opposer, de manière motivée, à la modification proposée. La procédure applicable en cas d'opposition est régie par le paragraphe 3 de la présente Annexe.

1.6. Transparence. La présente liste est rendue publique afin de permettre au Responsable du traitement de vérifier, avant la signature du Contrat de Service et pendant toute la durée de la relation, l'identité et la localisation des acteurs qui interviennent dans la chaîne de traitement.

2. Liste des sous-traitants ultérieurs autorisés

Les sous-traitants ultérieurs à la date de dernière révision du présent document sont les suivants. Pour chacun est également indiqué l'état du contrat : à la date de cette version, aucun accord n'est encore signé par la société qui fournira le Service, et le Service ne traite pas de données de patients réels.

2.1. Aruba S.p.A.

• Dénomination légale : Aruba S.p.A.
• Siège social : Via San Clemente 53, 24036 Ponte San Pietro (BG), Italie
• Catégorie de service : machine virtuelle hébergeant le Logiciel : base de données, photos cliniques chiffrées, sauvegardes
• Type de données traitées : toutes les données du Service, y compris les catégories particulières au sens de l'art. 9 GDPR
• Chiffrement : les photos cliniques sont chiffrées dans le navigateur (AES-256-GCM) avec des clés gérées par le Sous-traitant ; les sauvegardes sont chiffrées avant d'être écrites. ⚠️ La base de données n'est pas chiffrée au repos au niveau du disque à la date de cette version
• Localisation du traitement : infrastructure du fournisseur sur réseau italien. Le bloc d'adresses qui héberge le Service est enregistré dans la base de données RIPE sous le nom ARUBA-NET, Aruba S.p.A., pays IT : la vérification est à la portée de tous, avec une interrogation whois sur l'adresse publique du Service
• Transferts hors UE : aucun
• Garanties déclarées par le fournisseur : certification ISO/IEC 27001 et adhésion au CISPE Data Protection Code of Conduct, code de conduite au sens de l'art. 40 GDPR. L'inscription est vérifiable dans le registre public du CISPE
• Politique de confidentialité du fournisseur : https://www.aruba.it/documents/tc-files/it/11_it_privacy_policy_aruba_spa.aspx (s’ouvre dans un nouvel onglet)
• Registre public du CISPE : https://cispe.cloud/publicregister/ (s’ouvre dans un nouvel onglet)
• État du contrat : ⚠️ accord du fournisseur au titre de l'art. 28 à accepter avec le compte de la société

2.2. Mistral AI SAS

• Dénomination légale : Mistral AI SAS (RCS Paris 952 418 325)
• Siège social : 15 rue des Halles, Paris, France
• Catégorie de service : modèles d'intelligence artificielle utilisés par Fibonacci : transcription de la dictée et, si le patient le choisit, de la visioconférence ; organisation des textes dictés ; assistant sur la fiche ouverte
• Type de données traitées : texte clinique dépourvu du nom et du Codice Fiscale du patient ; pistes audio de la dictée ; les réponses des modèles. Elles peuvent contenir des catégories particulières de données au sens de l'art. 9 du RGPD
• Modèles utilisés : Mistral Small pour les textes et Voxtral Mini Transcribe pour la transcription, via le point d'accès européen api.eu.mistral.ai ; le Logiciel refuse toute autre adresse
• Localisation du traitement : Union européenne (France). Les sous-traitants ultérieurs de Mistral sont publiés par le fournisseur sur trust.mistral.ai, avec 10 jours pour s'y opposer
• Conservation et entraînement : l'entraînement sur les données envoyées par API est désactivé dans l'organisation du Responsable. La conservation des contenus pour le contrôle des abus s'exclut avec l'option de conservation zéro, que le fournisseur réserve aux formules payantes : à la date de cette version elle n'est pas active
• Accord du fournisseur : https://legal.mistral.ai/terms/data-processing-addendum (s’ouvre dans un nouvel onglet) (en vigueur depuis le 27 juillet 2026), incorporé par renvoi dans les conditions commerciales
• État du contrat : ⚠️ les conditions de Mistral et son accord de traitement des données prennent effet par l'acceptation à l'inscription ; il n'y a pas d'accord signé à part, et à la date de cette version le fournisseur n'a pas confirmé par écrit la conservation zéro ni la validité de l'accord pour l'organisation du Responsable. Jusqu'à ces confirmations, les fonctions d'intelligence artificielle ne s'utilisent pas pour des patients réels (DPA, art. 7.6)

2.3. Hostinger International Ltd

• Dénomination légale : Hostinger International Ltd
• Siège social : 61 Lordou Vironos str., 6023 Larnaca, Chypre
• Catégorie de service : messagerie électronique du domaine via un serveur SMTP authentifié (invitations, première connexion, rappels, avis, remise de documents au patient) et DNS faisant autorité du domaine du Service
• Type de données traitées : adresse e-mail et nom du destinataire, texte du message, journaux d'envoi et, lorsque le Responsable du traitement envoie un document au patient (consentement, note d'information, fiche de consultation), le document en pièce jointe, qui contient des données de santé
• Acheminement en amont : le courrier sortant de Hostinger passe par un fournisseur de relais choisi par Hostinger (MailChannels, relevé dans les en-têtes des messages). Le siège et les garanties de ce passage sont en cours de vérification
• Localisation du traitement : fournisseur établi dans l'Union européenne (Chypre) ; l'emplacement des serveurs de messagerie est en cours de vérification
• Politique de confidentialité du fournisseur : https://www.hostinger.com/legal/privacy-policy (s’ouvre dans un nouvel onglet)
• Accord du fournisseur : https://www.hostinger.com/legal/dpa (s’ouvre dans un nouvel onglet)
• État du contrat : ⚠️ accord du fournisseur à lire et à accepter avec le compte de la société

2.4. Stripe

• Dénomination légale : Stripe Payments Europe Limited (Irlande), avec Stripe, Inc. (États-Unis)
• Siège social : 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlande
• Catégorie de service : pour le Responsable du traitement, l'abonnement au Service (données du médecin, non des patients). Uniquement si le Responsable du traitement active le paiement à la réservation, l'encaissement auprès du patient sur le compte Stripe du Responsable du traitement
• Type de données traitées : pour l'abonnement, données d'identité et de paiement du Responsable du traitement. Pour le paiement à la réservation, adresse e-mail du patient, montant et description du rendez-vous
• Localisation du traitement : Irlande et États-Unis
• Base juridique du transfert : Stripe, LLC adhère à l'EU-U.S. Data Privacy Framework (vérifié sur la liste officielle le 6 août 2026) ; clauses contractuelles types dans l'accord de Stripe
• Politique de confidentialité du fournisseur : https://stripe.com/it/privacy (s’ouvre dans un nouvel onglet)
• Accord du fournisseur : https://stripe.com/it/legal/dpa (s’ouvre dans un nouvel onglet)
• État : paiements non actifs à la date de cette version

2.5. Sous-traitants ultérieurs prévus et pas encore actifs

Avant d'être utilisés, ils sont ajoutés à cette liste selon la procédure du paragraphe 3 :

• une archive de sauvegardes hors site, auprès d'un fournisseur différent d'Aruba établi dans l'Union européenne ;
• un fournisseur de SMS pour le code de signature des consentements et les rappels.

2-bis. Entités qui ne sont pas des sous-traitants ultérieurs

Aucun réseau de distribution de contenus (CDN), aucun proxy inverse tiers, aucun Web Application Firewall géré par des tiers. Le domaine du Service pointe directement vers l'adresse de l'infrastructure visée au point 2.1, ce que l'on peut vérifier par une requête DNS.

Les entités suivantes reçoivent quelque chose du Logiciel, mais pas de données de patients, et ne sont donc pas des sous-traitants ultérieurs :

• services de notification des navigateurs (Google, Mozilla, Apple) : ils reçoivent une notification sans contenu ;
• horodatage (FreeTSA) : il reçoit uniquement l'empreinte du document, pas le document ;
• recherche bibliographique (PubMed de la National Library of Medicine, États-Unis ; Europe PMC) : elle reçoit le texte de la recherche saisi par le médecin, qui ne doit contenir aucune donnée de patients.

Elles sont choisies par le Responsable du traitement, et non par le Sous-traitant : les programmes externes que le Responsable du traitement relie avec sa propre clé et WhatsApp, si le médecin choisit d'y envoyer depuis son appareil le lien de la visioconférence.

Conséquence sur le chapitre V du GDPR : la chaîne qui traite les données cliniques ne comprend aucun prestataire établi hors de l'Union européenne. Fait exception le paiement lors de la réservation (point 2.4), uniquement si le Responsable du traitement l'active.

3. Procédure de modification de la liste et droit d'opposition

3.1. Notification préalable. Toute modification de la présente liste (ajout d'un nouveau Sous-traitant ultérieur, remplacement d'un Sous-traitant ultérieur existant, fin d'une relation de sous-traitance ultérieure) est notifiée par le Sous-traitant au Responsable du traitement avec un préavis d'au moins 30 (trente) jours avant la date d'entrée en vigueur de la modification. La notification est envoyée par e-mail à l'adresse de contact du Responsable du traitement figurant dans le Contrat de Service, et la présente page est mise à jour simultanément.

3.2. Contenu de la notification. La notification indique : la dénomination et le siège du Sous-traitant ultérieur concerné, la catégorie de service confiée, le type de données traitées, la localisation du traitement, la base juridique du transfert le cas échéant, les garanties adoptées, la date d'entrée en vigueur.

3.3. Droit d'opposition. Dans un délai de 30 jours à compter de la réception de la notification, le Responsable du traitement peut s'opposer par écrit à la modification proposée, en indiquant les motifs de son opposition. L'opposition est envoyée à l'adresse info@fibonaccimedica.it, ou par PEC ou par lettre recommandée avec accusé de réception à l'adresse du siège du Sous-traitant.

3.4. Traitement de l'opposition. Dès réception de l'opposition, le Sous-traitant examine de bonne foi des solutions alternatives propres à répondre à l'exigence technique ou organisationnelle qui sous-tend la modification, sans préjudice du droit du Sous-traitant d'adopter la solution technique qu'il juge la plus adaptée à la poursuite du Service.

3.5. Défaut d'accord. À défaut d'accord entre les Parties dans un délai raisonnable suivant l'opposition, chaque Partie a la faculté de résilier le Contrat de Service moyennant un préavis écrit, sans préjudice de l'application des dispositions contractuelles relatives à la restitution et à la suppression des données au terme de la relation.

3.6. Modifications urgentes pour des raisons de sécurité. Lorsque la modification s'impose en urgence pour des raisons de sécurité, de continuité du service ou pour se conformer à une obligation légale, le Sous-traitant peut procéder avec un préavis plus court, en communiquant sans délai les raisons au Responsable du traitement. Dans ce cas, le droit d'opposition du Responsable du traitement et les dispositions des points 3.3, 3.4 et 3.5 s'appliquent néanmoins, même si c'est ex post.

3.7. Absence d'opposition. L'absence d'opposition du Responsable du traitement dans le délai de 30 jours vaut acceptation de la modification.

4. Registre des versions

5. Contacts

Pour toute demande de précision, exercice du droit d'opposition ou demande de documentation complémentaire relative aux sous-traitants ultérieurs autorisés, le titulaire du traitement peut s'adresser aux coordonnées suivantes :

• Contact pour la protection des données : info@fibonaccimedica.it
• Service privacy : info@fibonaccimedica.it
• Responsable du traitement : Fibonacci Works S.r.l. · siège social : Via Brigata Liguria 105 R, 16121 Genova (GE)

Le présent document est à jour à la date indiquée en ouverture et fait l'objet d'une révision continue. Le titulaire du traitement peut demander à tout moment une confirmation écrite de la version en vigueur de la présente liste, en écrivant à l'adresse info@fibonaccimedica.it. En cas de divergence entre la copie imprimée et la version publiée à l'adresse https://fibonaccimedica.it/sub-responsabili, la version publiée en ligne prévaut.