Sous-traitants & hébergement
Trois fournisseurs, pas un de plus : la chaîne complète de sous-traitance ultérieure de Nota, leur rôle exact et les garanties contractuelles qui les encadrent.
Sommaire de cette page
1. Principe
Nota repose sur une chaîne de sous-traitance volontairement courte : trois sous-traitants ultérieurs traitent des données de dossiers des Études — OVHcloud, Amazon Web Services (via AWS Bedrock) et, de façon optionnelle, Microsoft. Moins de maillons, c'est moins de surface de risque et des garanties plus faciles à vérifier. Oui, LTC fait appel à des prestataires externes traitant des données pour son compte — la liste ci-dessus est exhaustive.
Deux principes structurent cette chaîne :
- Tout traitement a lieu dans l'Union européenne. Applicatif, base de données et IA propriétaires en France (OVHcloud), inférence LLM à Francfort (AWS Bedrock), connecteur mail sous le périmètre UE de Microsoft (EU Data Boundary).
- Chaque sous-traitant est couvert par un accord au sens de l'article 28 RGPD, sans exception. Là où la maison mère est établie hors UE (AWS, Microsoft), cet accord est complété par des clauses contractuelles types (SCC), garantie résiduelle face au risque d'accès par une autorité d'un pays tiers, traité frontalement en §5. OVHcloud, société française sans maison mère hors UE, n'appelle pas ce complément : le DPA art. 28 suffit seul.
itsme (Belgian Mobile ID), hors chaîne. Le fournisseur d'identité itsme, retenu pour l'authentification (OIDC, portail client), agit en responsable de traitement autonome pour son service d'authentification : il ne traite pas de données de dossiers pour le compte de LTC et n'est donc pas un sous-traitant ultérieur. La chaîne de sous-traitance reste à trois maillons. La démarche d'onboarding B2B avec itsme est engagée ; Nota ne conserve de l'assertion d'authentification que l'identifiant technique (« sub ») et les attributs strictement nécessaires au compte.
2. Tableau détaillé par fournisseur
| Entité contractante | Service | Rôle dans Nota | Localisation | Instrument contractuel | Mécanisme de transfert | Certifications |
|---|---|---|---|---|---|---|
| OVHcloud SAS (France) | Hébergement dédié — instance réservée à Nota | Applicatif, base de données (PostgreSQL/pgvector), stockage objets, sauvegardes, hébergement des IA propriétaires LTC | France (UE) | DPA art. 28 public OVHcloud, accepté contractuellement | Sans objet — pas de maison mère hors UE | ISO 27001 |
| Amazon Web Services | AWS Bedrock | Inférence du modèle Claude (Anthropic), sur données pseudonymisées Veil™ uniquement | Régions UE (Francfort) | DPA art. 28 public AWS (AWS GDPR Data Processing Addendum), accepté contractuellement | SCC, module 3 (sous-traitant à sous-traitant ultérieur) — garantie résiduelle, la donnée reste en UE | ISO 27001, 27017, 27018, SOC 2 |
| Microsoft Ireland | Microsoft 365 / Graph | Connecteur mail — tri par dossier, brouillons ; actif uniquement si l'Étude l'active | UE (Microsoft EU Data Boundary) | DPA art. 28 public Microsoft (Online Services DPA), accepté contractuellement | SCC, module 3 — garantie résiduelle | Programme Microsoft EU Data Boundary |
Ce sont, pour les trois fournisseurs, les DPA/Data Processing Addendum publics standard, non négociés au cas par cas, acceptés contractuellement à la souscription. LTC archive les versions successivement acceptées ; communicables à l'Étude sur demande.
3. Cas particuliers
AWS Bedrock. Deux garanties se cumulent en amont du SCC : (i) l'inférence est sans rétention — ni AWS ni Anthropic ne conservent les prompts et réponses ni ne les utilisent pour l'entraînement ; (ii) le texte transmis est exclusivement pseudonymisé par Veil™ avant l'appel — AWS et Anthropic ne voient jamais une donnée nominative de dossier. Les données pseudonymisées par Veil demeurent toutefois des données à caractère personnel au sens du RGPD (considérant 26) : AWS (Bedrock) est donc traité comme sous-traitant ultérieur, sous accord article 28, et non comme destinataire de données anonymisées. Les régions sont verrouillées sur l'UE (Francfort) au niveau de la configuration Bedrock ; aucune bascule vers une région hors UE n'est possible.
Microsoft. Le connecteur mail M365/Graph n'entre dans la chaîne que si l'Étude en fait le choix explicite — ce n'est pas un composant activé par défaut. Ce choix, documenté côté client, détermine si Microsoft figure ou non parmi ses sous-traitants effectifs.
Anthropic, API directe. L'API Anthropic hébergée aux États-Unis n'appartient pas à la chaîne de production : usage réservé au développement, exclusivement sur données fictives ou anonymisées. Elle ne reçoit jamais de données d'Étude et ne figure donc pas dans le tableau ci-dessus.
4. Visibilité & gouvernance
Visibilité complète, sur deux niveaux :
- Niveau 1 — la chaîne directe de LTC, entièrement nommée dans le tableau ci-dessus : trois sous-traitants, aucun maillon caché, aucune sous-traitance en cascade non identifiée.
- Niveau 2 — les sous-traitants ultérieurs d'OVHcloud, AWS et Microsoft. Chacun publie et tient à jour, dans le cadre de son propre programme de conformité, une liste de ses sous-traitants ultérieurs — pratique intégrée à leurs DPA publics respectifs. LTC suit ces publications par sa veille contractuelle plutôt que de dupliquer une liste qu'il ne maîtrise pas en propre.
Gouvernance mise en œuvre par LTC :
- Registre des fournisseurs : chaque sous-traitant, le service utilisé, la version du DPA accepté et sa date — pièce distincte du registre art. 30.
- Revue annuelle de la chaîne : vérification que la liste reste à jour, que les rôles et garanties décrits ci-dessus sont toujours exacts, et qu'aucun maillon ne s'est ajouté sans notification.
- Veille des conditions contractuelles : suivi des mises à jour de DPA et des listes de sous-traitants publiées par les trois fournisseurs.
- Liste publiée aux Études, en annexe du DPA, avec notification préalable de tout changement et droit d'objection de 30 jours — applicable à tout ajout, retrait ou remplacement de sous-traitant.
5. Transferts internationaux
Aucun transfert de données hors EEE au sens des articles 44 et suivants du RGPD : tous les traitements ont lieu dans l'Union européenne (OVHcloud France ; AWS Bedrock régions UE ; Microsoft EU Data Boundary si activé). Le risque d'accès par une autorité d'un pays tiers, inhérent au recours à un fournisseur soumis à une législation extraterritoriale (AWS, Microsoft), est traité frontalement : pseudonymisation systématique en amont (Veil™), absence de rétention des données d'inférence, chiffrement avec clés détenues par LTC, et clauses contractuelles types (SCC 2021/914) en garantie résiduelle. OVHcloud (société française) n'est pas concerné.
Il s'agit donc, en toute rigueur, de ce risque d'accès extraterritorial (type CLOUD Act, via la maison mère américaine d'AWS ou de Microsoft) plutôt que d'un transfert réel au sens du chapitre V, le traitement restant localisé en UE. Il est traité par des mesures cumulatives, non alternatives :
- pseudonymisation Veil™ systématique de toute donnée nominative avant qu'elle n'atteigne un LLM cloud ;
- absence de rétention des données d'inférence — ni requêtes ni réponses conservées ;
- chiffrement systématique (TLS en transit, AES-256 au repos), avec clés détenues par LTC, jamais par les sous-traitants ;
- clauses contractuelles types (SCC 2021/914, module 3) avec AWS et Microsoft, en garantie résiduelle.
Des garanties juridiques sont en place — DPA art. 28 pour les trois sous-traitants, SCC pour les deux dont la maison mère est hors UE — mais leur rôle est celui d'une garantie résiduelle. Le mécanisme central de protection reste architectural : résidence de tous les traitements dans l'Union européenne et pseudonymisation Veil en amont de tout appel à un LLM cloud, avant même toute question de transfert.
Version 1.0 · 12 août 2026 · LTC Group SRL — contact@ltcai.be