Le registre des traitements et la liste des prestataires
Le registre de l'article 30 pré-rempli à partir de votre configuration, son export au modèle CNIL, le référent à nommer, et la liste des sous-traitants avec ceux qui n'interviennent qu'à votre initiative.
Deux onglets du cockpit Données & RGPD répondent aux deux documents qu'un contrôle réclame en premier : votre registre et la liste de vos prestataires.
Le registre des traitements
L'article 30 du règlement demande à chaque structure de tenir la liste de ses traitements : à quoi ils servent, sur quel fondement, qui est concerné, quelles données, pour combien de temps.
Ainsi, la fiche « Rapprochement bancaire » n'apparaît que si vous avez relié un compte ; « Comptes rendus de réunion assistés par une intelligence artificielle » n'apparaît qu'à partir de votre première réunion transcrite ; « Ressources humaines » qu'à partir du premier salarié.
Les trois champs qui vous appartiennent
L'outil ne peut pas les deviner, et il vous les demande :
- Le référent données de votre structure, avec un contact. La CNIL attend un nom : sans lui, votre registre est anonyme et incomplet.
- Les co-responsables, s'il y a lieu.
- Vos notes — les précisions propres à votre organisation.
Ces trois champs sont les seuls que vous saisissez ; ils comptent dans le score de conformité de la vue d'ensemble.
L'export au modèle de la CNIL
Le bouton « Exporter » de l'onglet produit un classeur qui reprend les colonnes officielles du modèle CNIL, dans leur ordre officiel. Un auditeur reconnaît le tableau sans avoir à le traduire — c'est ce qui le rend directement opposable. Dans la colonne « Sous-traitants », chaque prestataire apparaît sous son nom, tel qu'il figure dans l'onglet Sous-traitants, prestataire d'intelligence artificielle compris. Une seconde feuille, « Organisation », porte le référent, son contact, les co-responsables et vos notes.
Les inclusions de protocole
Si un de vos protocoles suit des inclusions de patients, une carte « Inclusions de protocole » s'ajoute à l'onglet. Elle rappelle ce qui est enregistré (une référence de dossier, les critères cochés, les dates des étapes) et ce qui n'y entre jamais (ni nom, ni date de naissance, ni numéro de sécurité sociale, ni texte libre). Elle porte deux gestes :
- la date de l'analyse d'impact (AIPD) que votre structure doit mener pour ce suivi — l'outil ne peut pas la faire à votre place, il en garde la date ;
- « Retrouver une inclusion par sa référence » : un patient demande où figure son dossier ? Saisissez la référence utilisée par l'équipe et cliquez sur « Rechercher » ; le résultat donne le protocole et l'état du parcours, jamais le détail du suivi. « Effacer la référence » la retire sans attendre l'échéance de 24 mois : le parcours reste, il ne désigne plus personne.
Les sous-traitants
L'onglet « Sous-traitants » liste les prestataires qui interviennent réellement sur les données de votre structure — pas un catalogue théorique. Si vous n'avez relié aucun compte bancaire, l'agrégateur bancaire n'y figure pas.
Pour chacun : son rôle, la finalité, les catégories de données concernées, sa localisation et le cadre contractuel.
| Prestataire | Rôle | Toujours mobilisé ? |
|---|---|---|
| Google Cloud / Firebase | Hébergement, base de données, stockage, exécution applicative et IA générative — stockage en France chez un hébergeur certifié HDS | Oui |
| Brevo (ex-Sendinblue) | E-mails transactionnels | Oui |
| Bridge (Bankin') | Agrégation bancaire DSP2 | Seulement si vous reliez un compte |
| Google Maps Platform (Places API) | Module « Fiche Google » | Seulement si vous activez ce module |
| Google (agenda et connexion) | Agenda et connexion au compte | Seulement à l'initiative d'un membre |
| Microsoft (agenda Outlook et connexion) | Agenda et connexion au compte | Seulement à l'initiative d'un membre |
| Fournisseurs de modèles d'intelligence artificielle hébergés en France ou dans l'Union européenne | Modèles d'intelligence artificielle | Oui |
L'onglet Consentements & acceptations vous montre qui, dans votre équipe, a relié un agenda et depuis quand — en lecture seule : une connexion appartient au membre qui l'a faite, elle se retire depuis son profil et nulle part ailleurs.
Rétention : combien de temps vos données sont conservées
L'onglet « Rétention & purges » publie la durée de conservation de chaque famille de données, son fondement juridique, et par quel mécanisme elle est appliquée : purge automatique programmée, suppression au moment prévu par le serveur, conservation imposée par la loi, ou geste manuel.
Quelques repères tirés de cette table :
- Enregistrement audio d'une réunion : supprimé dès que sa transcription est enregistrée ; si l'analyse échoue pour une raison technique, conservé sept jours avec sa transcription pour permettre de la relancer, puis supprimé ;
- Transcription en attente de l'identification des voix : effacée au bout de 14 jours sans confirmation, après deux relances ;
- Pièces comptables et justificatifs : dix ans, obligation légale ;
- Journaux de sécurité : un an.
Questions fréquentes
Nos données sont-elles hébergées en France ?
Oui : SisaFlow est conçue et hébergée en France. L'hébergement et le stockage sont en France, sur une infrastructure certifiée hébergeur de données de santé (HDS). Les traitements par intelligence artificielle sont réalisés dans l'Union européenne. Aucun transfert hors de l'Espace économique européen n'est prévu au contrat.
Le registre de SisaFlow remplace-t-il le nôtre ?
Non : il est le vôtre. Vous en êtes responsable ; l'outil le pré-remplit, le tient à jour et vous permet de l'exporter. C'est exactement l'assistance qu'un sous-traitant doit à son responsable de traitement.
Comment savoir si la liste des prestataires a changé ?
Tout changement de sous-traitant est notifié avec un préavis de 30 jours, qui vous laisse la possibilité de vous y opposer. La liste à jour est également publiée dans le contrat de sous-traitance et la politique de confidentialité.