← Retour

📋 Registre des traitements

Article 30.2 RGPD — Tenu par le sous-traitant

Registre publié pour l'information des établissements clients

1. Identité du sous-traitant

Dénomination IFclubs SAS

Qualité Sous-traitant au sens de l'article 4(8) RGPD

SIREN 107 519 456 — RCS La Rochelle

Adresse 3 Rue du Docteur Athanase Jean, 17600 Le Gua

Email DPO/Contact RGPD support@ifclubs.fr

Logiciel édité Réactis — Système de gestion de crise pour établissements de santé

Date de création du registre 23 juin 2026

Dernière mise à jour 4 octobre 2026

Ce registre est tenu conformément à l'article 30.2 du RGPD (UE) 2016/679. Il recense les catégories d'activités de traitement effectuées pour le compte des responsables de traitement (les établissements de santé clients). Il est tenu à la disposition de la CNIL sur demande.

2. Activité de traitement n°1 — Gestion de crise

Traitement 1 — Journal de crise
Nom du traitement	Saisie et suivi du journal de crise opérationnel
Responsable du traitement	L'établissement de santé abonné
Finalité	Coordination opérationnelle de la cellule de crise de l'établissement — traçabilité des actions, horodatage, communication interne
Base légale (pour le RT)	Obligation légale (plan blanc d'établissement, art. L. 3131-7 du Code de la santé publique) ; intérêt légitime pour les fonctions complémentaires — base retenue par chaque établissement, responsable de traitement
Catégories de personnes	Membres de la cellule de crise (personnel soignant, administratif, direction)
Catégories de données	Prénom / Nom Fonction Numéro de téléphone Actions saisies dans le journal Horodatages ⚠️ Ne doivent PAS figurer : données nominatives de patients, données médicales, données couvertes par le secret médical
Durée de conservation	Données actives : pendant la durée de l'abonnement. Suppression dans les 90 jours suivant la résiliation Backups chiffrés : rétention 30 jours glissants
Localisation des données	VPS mutualisé IONOS SE — datacenter France, ISO 27001 (migration chez AZ Network (HDS) prévue en S1 2027)
Transfert hors UE	Partiel — Fonctionnalités IA : avec Anthropic (fournisseur configuré par 59 espaces sur 63 au 04/10/2026) ou Groq, les textes filtrés soumis à l'IA sont traités aux États-Unis, sous clauses contractuelles types ; avec Mistral AI, hébergement dans l'UE par défaut selon ses conditions
Mesures de sécurité	Authentification par mot de passe hashé bcrypt Transmission HTTPS (TLS 1.2+) Sauvegardes chiffrées AES-256 quotidiennes Isolation par espace (processus, compte système et fichiers séparés ; sous-domaine opaque) Rate limiting authentification (10 tentatives / 15 min) En-têtes de sécurité (HSTS, CSP stricte avec frame-ancestors, X-Content-Type-Options) Log d'audit des actions critiques (ouverture/fermeture de crise)

3. Activité de traitement n°2 — Gestion des comptes utilisateurs

Traitement 2 — Authentification et accès
Nom du traitement	Gestion des comptes utilisateurs (Coordinateurs, Membres, Invités)
Responsable du traitement	L'établissement de santé abonné
Finalité	Contrôle d'accès au logiciel — distinguer le Coordinateur (accès complet), le Membre (saisie et consultation opérationnelles, sans accès à la configuration) et l'Invité (accès en lecture restreinte, saisie d'informations uniquement) ; un Membre ou un Invité peut en outre être désigné Secrétaire de main courante à l'ouverture d'une crise, ce qui lui accorde des droits de lecture supplémentaires pour la durée de cette crise, via un lien d'accès individuel envoyé par email
Catégories de personnes	Personnel de l'établissement autorisé à accéder à Réactis
Catégories de données	Prénom / Nom Fonction Numéro de téléphone Token d'accès membre (URL personnalisée) Mot de passe hashé (bcrypt) Date de dernière connexion Empreinte des jetons de session (SHA-256)
Durée de conservation	Pendant la durée de l'abonnement. Suppression dans les 90 jours suivant la résiliation. Sessions : jusqu'à leur expiration (8 heures) ou la déconnexion.
Localisation	VPS mutualisé IONOS SE — France (ISO 27001)
Transfert hors UE	Aucun
Mesures de sécurité	Comptes individuels, mots de passe hashés (bcrypt, coût 10 à 12 ; 12 caractères minimum dans les établissements), double authentification (code TOTP après le mot de passe) facultative ou obligatoire pour tout l'espace, en production depuis le 04/10/2026, et obligatoire pour le compte support de l'éditeur, jetons de session dont seule l'empreinte est conservée, déconnexion effective côté serveur, limitation des tentatives, transmission HTTPS uniquement

4. Activité de traitement n°3 — Notifications WhatsApp

Traitement 3 — Alertes WhatsApp membres
Nom du traitement	Envoi de messages WhatsApp aux membres de la cellule de crise
Responsable du traitement	L'établissement de santé abonné
Finalité	Alerte et convocation des membres de la cellule via WhatsApp lors d'une activation de crise
Catégories de données	Numéro de téléphone WhatsApp Prénom / Nom Contenu des messages envoyés
Sous-traitant ultérieur	Meta Platforms Inc. (États-Unis) — via whatsapp-web.js (usage non officiel). ⚠️ À migrer vers WhatsApp Business Cloud API (officielle) pour conformité complète
Transfert hors UE	Oui — Les messages transitent par les serveurs WhatsApp (Meta, États-Unis)
Mesures de sécurité	Numéros de téléphone stockés uniquement en mémoire pendant la session de crise
Fonctionnalité optionnelle	Cette fonctionnalité peut être désactivée par l'établissement si elle ne répond pas aux exigences de sécurité internes

5. Activité de traitement n°4 — Notifications SMS (établissement et territoire)

Traitement 4 — Alertes SMS
Nom du traitement	Envoi de SMS aux membres (établissement ou territoire) lors de l'ouverture d'une crise, via l'abonnement SMS du client
Responsable du traitement	L'établissement ou le territoire abonné qui active le canal SMS
Finalité	Alerte des membres lors d'une activation de crise — canal de dernier recours fiable (SMS)
Catégories de données	Numéro de téléphone mobile (destinataires) Nom de l'établissement Type et nom de la crise Horodatage d'ouverture
Sous-traitant ultérieur	Scaleway SAS (France, UE) — API SMS Scaleway, avec le compte et la clé du client
Transfert hors UE	Non — Scaleway est un hébergeur français, données en France
Rétention des données	Les numéros de téléphone sont stockés dans la configuration du tenant régional (admin) — supprimés à la demande
Mesures de sécurité	Clé API Scaleway stockée chiffrée dans le dossier de données du tenant — contenu SMS limité au strict nécessaire (pas de données médicales)
Fonctionnalité optionnelle	Canal SMS activable/désactivable par l'établissement ou le territoire dans son administration, avec son propre abonnement SMS

6. Activité de traitement n°5 — Fonctionnalités IA

Traitement 5 — Analyse IA du journal de crise
Nom du traitement	Synthèse automatique et aide à la rédaction via IA générative
Responsable du traitement	L'établissement de santé abonné
Finalité	Assistance à la rédaction du rapport de fin de crise, synthèse du journal
Déclenchement	Conseils : automatiques pendant une crise ouverte (à l'ouverture, puis seulement après une nouvelle alerte, décision ou action, 30 min de regroupement, 40 analyses par jour au plus) ; comptes rendus, rapport de fin de crise, RETEX : action explicite de l'opérateur ; l'email de synthèse périodique (toutes les 30 min à 1h, configurable) est envoyé automatiquement tant qu'une crise est ouverte
Données transmises à l'IA	Extraits du journal de crise (textes saisis par les opérateurs) Aucune donnée patient ne doit figurer dans le journal — voir Art. 4 CGU
Sous-traitants ultérieurs	Anthropic PBC (États-Unis) — modèle Claude — fournisseur configuré par 59 espaces sur 63 au 04/10/2026 Mistral AI (France/UE) — proposé par défaut à l'inscription en ligne Groq Inc. (États-Unis) — 3 espaces, dont 2 de test Azure OpenAI — possible sous le contrat Microsoft du client ; non utilisé Le client choisit lui-même, à tout moment et sans demande à l'éditeur, lequel de ces fournisseurs est actif (paramètre de l'espace)
Transfert hors UE	Oui, pour la plupart des espaces — Anthropic et Groq traitent aux États-Unis, sous clauses contractuelles types ; Mistral AI héberge dans l'UE par défaut selon ses conditions.
Rétention par les sous-traitants	Mistral : durée du contrat + 30 jours suivant la fin d'accès — Groq : 0 jours (opt-out activé par défaut) — Anthropic : 30 jours selon politique commerciale
Fonctionnalité optionnelle	Le fournisseur peut être changé à tout moment par l'établissement ; l'établissement peut choisir Mistral AI, ou demander à l'éditeur la désactivation de l'IA, s'il souhaite éviter tout transfert hors UE

7. Activité de traitement n°6 — Supervision groupe (niveau national)

Traitement 6 — Agrégation nationale et IA de coordination groupe
Nom du traitement	Agrégation nationale des indicateurs de crise, par territoire, et conseils de coordination par IA
Responsable du traitement	Le tenant groupe (l'entité de direction nationale abonnée à Réactis Groupe)
Finalité	Vision consolidée pour la direction nationale : nombre d'établissements en crise et points d'attention, par territoire ; aide à la décision par IA
Catégories de personnes	Titulaires d'un compte national (direction). Aucune donnée du personnel des établissements
Catégories de données	Nombres agrégés par territoire (établissements en crise, alertes, actions, durées, conformité) Points d'attention « n établissements sur N » Prénom / nom / e-mail des comptes nationaux Jamais transmis au national : nom d'établissement, titre de crise, compte rendu, ligne par établissement. Contrôle à la réception : le national relit et borne chaque réponse. En production, aucun établissement n'est rattaché directement au national.
Sous-traitant ultérieur	Fournisseur d'IA choisi par le client — Anthropic (Claude, États-Unis) au 04/10/2026 — sur les seuls nombres par territoire ; noms d'établissements et titres de crise retirés à l'entrée et à la sortie
Transfert hors UE	Oui — données agrégées non nominatives, traitées aux États-Unis par Anthropic, sous clauses contractuelles types
Localisation des données	VPS mutualisé IONOS SE — France (même infrastructure que les tenants établissement/régional)
Mesures de sécurité	Comptes individuels (10 caractères minimum, bcrypt coût 12), double authentification facultative, journal des consultations conservé 12 mois
Fonctionnalité optionnelle	Analyses de coordination automatiques, uniquement quand une donnée change (30 min de regroupement, 40 par jour au plus)

8. Activité de traitement n°7 — IA de coordination régionale

Traitement 7 — Conseils de coordination régionale par IA
Nom du traitement	Agrégation des statuts de crise des établissements rattachés à un tenant régional et génération de conseils de coordination (ou de veille qualité hors crise) par IA
Responsable du traitement	Le tenant régional (l'entité régionale abonnée à Réactis Régional)
Finalité	Aide à la décision pour la direction régionale : actions de coordination inter-établissements en cas de crise, ou détection de dérives qualité territoriales hors crise
Catégories de personnes	Direction régionale ; indirectement, personnel des cellules de crise des établissements rattachés (via les synthèses expurgées de leurs comptes rendus)
Catégories de données	Nom de l'établissement, type et titre de la crise, durée Nombres d'alertes et d'actions Synthèses des 3 derniers comptes rendus de réunion, expurgées (téléphones, e-mails, NIR) Impacts et charge par service saisis par l'établissement Indicateurs qualité (RETEX, restitutions, documents) Jamais transmis : main courante, coordonnées du personnel
Sous-traitant ultérieur	Fournisseur d'IA choisi par le client — Anthropic (Claude, États-Unis) au 04/10/2026 — sur des synthèses déjà filtrées
Transfert hors UE	Oui — synthèses filtrées traitées aux États-Unis par Anthropic, sous clauses contractuelles types
Localisation des données	VPS mutualisé IONOS SE — France
Fonctionnalité optionnelle	Analyses de coordination automatiques, uniquement quand une donnée change (30 min de regroupement, 40 par jour au plus ; contrôle qualité quotidien hors crise)

8 bis. Activité de traitement n°8 — Fonctionnement technique et support proactif

Traitement 8 — Supervision technique, bilan de santé et rappels (depuis le 25/09/2026)
Nom du traitement	Supervision du bon fonctionnement du service et accompagnement de l'établissement
Responsable du traitement	L'établissement de santé abonné (données de ses utilisateurs) ; IFclubs SAS pour la supervision de sa plateforme
Finalité	Garantir que les alertes de crise sont effectivement délivrées, détecter et corriger rapidement les erreurs techniques, présenter à l'établissement un bilan de préparation (équipe, liaisons d'alerte, exercices, RETEX), prévenir les coordinateurs d'une coupure de leur liaison WhatsApp d'alerte, rappeler aux coordinateurs le retour d'expérience après une crise et l'intérêt d'un exercice régulier
Base légale (pour le RT)	Intérêt légitime (sécurité et continuité du dispositif de gestion de crise) ; exécution du contrat pour l'éditeur
Catégories de personnes	Utilisateurs de l'établissement ; coordinateurs de crise (destinataires des rappels)
Catégories de données	Date de dernière connexion Envois d'alerte en échec (canal, motif technique, adresses et numéros masqués) Erreurs techniques de l'application (message technique, fichier, page, rôle) Compteurs d'utilisation (nombre de personnes connectées) Adresse email des coordinateurs (rappels) Jamais collecté : contenu saisi dans le journal de crise, documents, messages
Destinataires	Administrateurs de l'établissement (bilan de santé) ; support de l'éditeur IFClubs (alertes sans identification du client, détail dans la console d'administration protégée par double authentification)
Durée de conservation	Envois en échec et erreurs techniques : 30 jours glissants · compteurs d'utilisation : 3 ans · date de dernière connexion : tant que le compte existe
Localisation des données	VPS mutualisé IONOS SE — France
Transfert hors UE	Aucun
Mesures de sécurité	Fichiers propres à chaque établissement, lisibles par son seul compte système ; masquage automatique des adresses et numéros dans les motifs d'échec ; emails de rappel en copie cachée

8 ter. Activité de traitement n°9 — Demandes d'aide au niveau régional

Traitement 9 — Demandes d'aide d'un établissement à son régional (depuis le 26/09/2026)
Nom du traitement	Demandes d'aide (renfort, matériel, lits, logistique) et réponses du régional
Responsable du traitement	L'établissement de santé (demandes émises) ; l'organisme régional abonné (réception et réponses)
Finalité	Permettre à un établissement en difficulté de solliciter le niveau régional et d'en suivre la réponse
Base légale (pour le RT)	Mission d'intérêt public / intérêt légitime (continuité des soins en situation de crise)
Catégories de personnes	Membres de l'établissement habilités « Région » ; comptes du régional
Catégories de données	Type et urgence du besoin Description libre (sans nom de patient — consigne affichée) Alias du demandeur (« Prénom I. ») Nom de la crise en cours Réponses du régional (alias ou nom du compte régional) Ne quitte jamais l'établissement : nom complet, email et téléphone du demandeur (l'email sert uniquement à le prévenir d'une réponse)
Destinataires	Comptes du régional de rattachement ; membres « Région » de l'établissement
Durée de conservation	300 dernières demandes côté établissement ; côté régional, toutes les demandes en cours et les 150 dernières closes par établissement
Localisation des données	VPS mutualisé IONOS SE — France
Transfert hors UE	Aucun
Mesures de sécurité	Échange de serveur à serveur authentifié par la clé propre au rattachement ; fichiers lisibles par le seul compte système du tenant ; limitation du nombre de demandes

8 quater. Activité de traitement n°10 — Notifications de l'application mobile (niveaux régional et national)

Traitement 10 — Notifications push des comptes du régional et du groupe (depuis le 26/09/2026)
Nom du traitement	Envoi de notifications sur le téléphone des comptes du régional et du groupe (niveau national)
Responsable du traitement	L'organisme régional ou le groupe abonné
Finalité	Prévenir immédiatement le directeur de territoire ou la direction nationale d'une ouverture ou d'une fin de crise réelle et d'une demande d'aide
Base légale (pour le RT)	Intérêt légitime (réactivité du dispositif de crise)
Catégories de données	Identifiant technique du téléphone (jeton de notification) Compte régional associé Contenu de la notification — territoire : nom de l'établissement, type et titre de la crise ou du besoin ; national : nom du territoire et « 1 établissement vient d'entrer en crise », sans dire lequel
Destinataires	Le téléphone de la personne ; service d'acheminement Firebase Cloud Messaging (Google) — contenu limité au titre et à une phrase
Durée de conservation	Jusqu'à la déconnexion, au changement de mot de passe, à la suppression du compte ou à la désinstallation de l'application ; 5 téléphones au plus par compte
Transfert hors UE	Acheminement par Google Firebase (clauses contractuelles types, comme pour les notifications des établissements)

8 quinquies. Activité de traitement n°11 — Indicateurs de conformité et exercices transmis au régional

Traitement 11 — Conformité et rapport périodique (depuis le 26/09/2026)
Finalité	Permettre au régional et au niveau national de suivre la préparation des établissements (plan blanc, exercices, cellule de crise) et d'en produire un rapport périodique
Catégories de données	Compteurs (coordinateurs, valideurs, membres jamais connectés, membres sans téléphone, contacts, fiches) Dates de validation du plan blanc Dates et durées des exercices et formations Jamais transmis : noms, adresses, numéros, contenu des exercices
Destinataires	Comptes du régional (tableau de bord, rapport, email trimestriel en copie cachée)
Durée de conservation	Aucun stockage côté régional : calcul à la demande (cache de 5 minutes)

8 sexies. Activité de traitement n°12 — Marques de lecture (« lu par moi »)

Traitement 12 — Suivi personnel des décisions et informations lues (depuis le 26/09/2026)
Nom du traitement	Marques « lu » posées par chaque personne sur les décisions et informations d'une crise
Responsable du traitement	L'établissement de santé
Finalité	Afficher à chacun, sur les tuiles du pilotage, le nombre de décisions et d'informations qu'il n'a pas encore lues. Distinct de « pris en compte », qui reste une action de la cellule (coordinateur ou secrétaire)
Base légale (pour le RT)	Intérêt légitime (bonne circulation de l'information dans la cellule de crise)
Catégories de personnes	Membres de la cellule de crise (coordinateurs, secrétaire, membres, invités)
Catégories de données	Adresse e-mail du membre (ou nom déclaré à la connexion) Identifiants des entrées du journal marquées « lu » Aucun contenu du journal n'est recopié. Les marques ne sont montrées qu'à la personne elle-même : ni la cellule, ni le régional, ni le groupe ne voient qui a lu quoi
Destinataires	La personne elle-même uniquement (sur tous ses appareils)
Durée de conservation	Supprimées automatiquement avec la crise (suppression ou purge RGPD) ; 5 000 marques au plus par personne et par crise
Localisation des données	VPS mutualisé IONOS SE — France (fichier du tenant de l'établissement)
Transfert hors UE	Aucun
Mesures de sécurité	Accès réservé aux personnes connectées à l'établissement ; chacune ne lit et n'écrit que ses propres marques ; fichier lisible par le seul compte système du tenant

8 septies. Activité de traitement n°13 — Annuaire de direction du territoire

Traitement 13 — Fiche « Direction » de l'établissement, consultée par le territoire
Nom du traitement	Annuaire des contacts de direction (direction de l'établissement, présidence de la CME) et des coordinateurs de crise
Responsable du traitement	L'établissement (il saisit et tient la fiche à jour) ; le tenant régional la consulte
Finalité	Permettre à la direction de territoire de joindre rapidement la direction d'un établissement touché par une crise
Catégories de personnes	Directeur·rice d'établissement, président·e de CME, coordinateurs de crise
Catégories de données	Prénom et nom Fonction Portable professionnel E-mail professionnel (facultatif) Coordinateurs : alias « Prénom I. » et portable
Destinataires	Comptes du tenant régional uniquement. Jamais le niveau national, jamais les autres établissements. Aucune transmission à un service d'IA.
Durée de conservation	Tant que la fiche est tenue à jour par l'établissement ; rappel de vérification tous les 6 mois ; suppression avec le tenant
Localisation des données	Serveur de l'établissement (France), lecture par le territoire via la clé groupe

8 octies. Activité de traitement n°14 — Bourse de ressources entre établissements

Traitement 14 — Offres de prêt de ressources et mises en relation
Nom du traitement	Offres de ressources prêtables (personnel, lits, matériel, logistique) et mises en relation décidées par le territoire
Finalité	Entraide entre établissements d'un même territoire en situation de crise
Catégories de données	Description libre de l'offre (sans donnée de patient) Date de fin Alias de l'auteur
Destinataires	Territoire ; autres établissements du territoire en lecture seule pendant leur crise réelle. Jamais le national. Aucune transmission à un service d'IA.
Durée de conservation	Offre effacée 30 jours après sa date de fin ; trace de mise en relation conservée avec la demande d'aide

8 nonies. Activité de traitement n°15 — Journal des consultations (niveaux régional et national)

Traitement 15 — Traçabilité des consultations et des actions
Nom du traitement	Journal des consultations des espaces territoire et national : connexions, écrans consultés, téléchargements et actions
Finalité	Sécurité et traçabilité des accès aux informations de crise (savoir qui a consulté quoi, et quand)
Catégories de données	Nom complet, e-mail et rôle du compte Date et heure Écran consulté ou action (libellé) Type d'appareil — jamais le contenu consulté, jamais l'adresse IP
Personnes concernées	Titulaires d'un compte sur l'espace territoire ou national
Destinataires	Comptes du même espace qui ne sont pas en lecture seule. Chaque niveau ne voit que son propre journal. Aucune transmission à un service d'IA.
Durée de conservation	12 mois, effacement automatique au-delà

8 decies. Activité de traitement n°16 — Double authentification (niveaux régional et national)

Traitement 16 — Code à usage unique en plus du mot de passe (facultatif)
Nom du traitement	Double authentification des comptes des espaces territoire et national (et, depuis le 04/10/2026, des établissements : mêmes données, secret chiffré sur le serveur de l'établissement)
Finalité	Sécurité des accès : empêcher la connexion avec un mot de passe découvert
Catégories de données	Secret de génération des codes (chiffré) Date d'activation — aucun numéro de téléphone, aucune donnée de l'appareil
Personnes concernées	Titulaires d'un compte territoire ou national qui l'activent (facultatif)
Destinataires	Aucun : le secret reste sur le serveur de l'espace. Aucune transmission à un service d'IA.
Durée de conservation	Tant que la double authentification est active ; effacé à la désactivation ou à la suppression du compte

8 undecies. Activité de traitement n°17 — Enregistrement audio et transcription des réunions de cellule de crise

Traitement 17 — Enregistrement du son de la réunion par la secrétaire de main courante (facultatif)
Nom du traitement	Enregistrement audio de la réunion de la cellule de crise, pour permettre à la secrétaire de main courante de compléter le journal
Finalité	Fiabilité de la main courante : réécouter un passage pour compléter ou corriger une ligne du journal
Catégories de données	Voix des participants Propos tenus en réunion Heures de début et de fin Texte transcrit (si « Transcrire en direct » est coché) — transcription faite sur le serveur de Réactis par un logiciel installé localement (aucun service extérieur, aucune IA en ligne) ; téléphones, e-mails, NIR et noms de famille des membres masqués ; autres noms propres mis en majuscules pour être contrôlés à l’ajout au journal ; aucune analyse
Personnes concernées	Participants à la réunion de la cellule de crise, prévenus avant le démarrage (case à cocher obligatoire ; ligne « Enregistrement démarré » au journal)
Destinataires	Uniquement la secrétaire de main courante de la crise en cours (contrôle par le serveur). Ni le territoire, ni le national, ni l'éditeur par l'interface. Aucune transmission à un service d'IA.
Sécurité	Fichiers chiffrés (AES-256) sur le serveur de l'établissement, accès restreint au compte système du service
Durée de conservation	Jusqu'à la clôture de la crise : son et texte effacés automatiquement dans la minute qui suit

8 duodecies. Activité de traitement n°18 — Import des transcriptions de réunions Teams

Traitement 18 — Texte des transcriptions Teams importé dans le journal de crise
Nom du traitement	Import, par la cellule de crise, du texte de la transcription d'une réunion Teams (produite par Microsoft 365 de l'établissement)
Finalité	Compléter la main courante et préparer le compte rendu d'étape de la réunion
Catégories de données	Texte des échanges Nom affiché des intervenants Heures — aucun son : l'enregistrement et la transcription relèvent de Microsoft 365, sous la responsabilité de l'établissement
Destinataires	Cellule de crise de l'établissement ; service d'IA pour le compte rendu d'étape, après masquage (noms de famille, téléphones, e-mails, NIR). Jamais le territoire ni le national en clair.
Durée de conservation	Celle du journal de crise

9. Sous-traitants ultérieurs (liste complète)

Prestataire	Usage	Pays	Base du transfert
IONOS SE (production — actuel)	Hébergement du serveur (VPS mutualisé), ISO 27001	France (UE)	Intra-UE — migration chez AZ Network (HDS) S1 2027
Anthropic PBC (Claude)	Fournisseur configuré, au 04/10/2026, par 59 espaces sur 63 (établissements, territoires, national)	États-Unis	Clauses contractuelles types (CCT) prévues par ses conditions ; données non utilisées pour l'entraînement ; textes filtrés avant envoi
Mistral AI	Fournisseur proposé par défaut à l'inscription en ligne ; au choix du client	France (UE)	Selon ses conditions : hébergement dans l'UE par défaut, CCT si transfert hors UE pour certains services ; DPA de Mistral AI
Groq Inc.	Au choix du client (2 espaces de test et 1 établissement au 04/10/2026)	États-Unis	CCT prévues par ses conditions ; données non utilisées pour l'entraînement
Azure OpenAI (Microsoft)	Possible avec la clé et le contrat Microsoft du client ; non utilisé au 04/10/2026	Selon le déploiement du client	Contrat Microsoft du client
OVHcloud	Relais d'envoi des e-mails de la plateforme (smtp.mail.ovh.net) ; DNS et messagerie d'ifclubs.fr	France (UE)	Intra-UE
Google (Firebase Cloud Messaging)	Acheminement des notifications sur les téléphones (titre et une phrase)	États-Unis	CCT de Google
Meta (WhatsApp)	Alertes WhatsApp — option que le client connecte lui-même ; bibliothèque non officielle (whatsapp-web.js), « best-effort » ; 1 espace au 04/10/2026	États-Unis	Conditions de WhatsApp ; migration vers l'API officielle prévue si un client l'exige
Telegram, Microsoft Teams	Canaux d'alerte que le client connecte lui-même s'il le souhaite (bot Telegram, webhook ou Graph Teams) ; aucun au 04/10/2026	Selon le service	Contrat et paramétrage du client
Scaleway SAS	SMS d'alerte, avec le compte et la clé SMS du client (option)	France (UE)	Intra-UE
Serveur SMTP du client	Envoi des e-mails par le serveur de l'établissement, s'il le configure	Selon le client	Sous la responsabilité de l'établissement

10. Mesures de sécurité globales

Chiffrement en transit : HTTPS/TLS 1.2+ sur tous les accès (Nginx)
Chiffrement des sauvegardes : AES-256 (openssl enc), une clé propre à chaque client, conservée hors des dossiers applicatifs et accessible au seul administrateur système
Isolation multi-tenant : chaque établissement sur un sous-domaine opaque, données séparées par dossier, un compte système non privilégié par établissement
Authentification : comptes individuels, bcrypt (coût 10 à 12) ; double authentification facultative au territoire et au national, obligatoire pour le compte support de l'éditeur et la console d'administration ; dans les établissements depuis le 04/10/2026, facultative ou obligatoire pour tout l'espace
Rate limiting : 10 tentatives max / 15 min sur le login
Headers sécurité : HSTS (1 an), X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Content-Security-Policy stricte (aucun script intégré aux pages ; intégration en cadre limitée par frame-ancestors)
Emails : envois groupés en copie cachée
Audit trail : log append-only des actions critiques (ouverture/fermeture de crise, suppression)
Rétention backups : 30 jours glissants, nettoyage automatique
Validation uploads : type MIME et taille des fichiers uploadés
Monitoring : vérification toutes les 5 min (services, sites, ressources, certificats, sauvegardes, liaisons WhatsApp), redémarrage automatique, alerte email du support sans information identifiant le client ; contrôle automatique nocturne du parcours applicatif sur un environnement de test

11. Droits des personnes concernées

Les droits d'accès, rectification, effacement et portabilité sont exercés auprès du responsable du traitement (l'établissement de santé), conformément au DPA signé. Réactis fournit les données correspondantes à l'établissement sur demande dans un délai de 30 jours. Les demandes adressées directement à Réactis sont redirigées vers l'établissement concerné.

12. Violations de données

En cas de violation de données, IFclubs SAS s'engage à :

Alerter sans délai l'établissement responsable du traitement dès la prise de connaissance de l'incident
Fournir une description de la nature de la violation, les données concernées et les mesures correctives prises
Assister l'établissement, qui notifie la CNIL dans les 72 heures (art. 33 RGPD) si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes