Chaque tiers qui touche aux données de blankit.

Blankit Health Inc. exerce ses activités dans AWS, principalement dans AWS Canada (Montréal, ca-central-1). La liste ci-dessous est l’inventaire complet des tiers susceptibles de traiter des renseignements personnels dans le cadre de la plateforme, de la fin de ce traitement et de la manière dont il répond aux obligations transfrontalières de la Loi 25 du Québec et de la LPRPDE. Lorsqu’un fournisseur exerce ses activités hors du Canada, c’est indiqué explicitement.

Traduction française de la page anglaise. English

La liste couvre deux types de tiers, et la différence compte pour savoir qui détient le contrat. Certains sont retenus par blankit et traitent des renseignements personnels pour notre compte — hébergement, livraison des courriels, facturation, inférence de l’IA. Ils se trouvent dans le chemin des données de production pour chaque cabinet, et nous avisons les cabinets au moins 30 jours avant d’en ajouter un. Les autres sont des intégrations qu’un cabinet connecte lui-même à des systèmes qu’il utilise déjà — son CRM, son dossier de documents, son espace de travail Slack ou Microsoft Teams, sa boîte aux lettres. Celles-ci sont désactivées par défaut, connectées uniquement par un administrateur du cabinet et régies par la propre entente du cabinet avec ce fournisseur plutôt que par la nôtre; la déconnexion met fin au traitement. Elles sont tout de même présentées ici, parce que ce qui compte pour un promoteur de régime qui demande où ses données peuvent circuler, c’est le portrait complet, et non la frontière contractuelle.

Amazon Web Services Canada (stockage et calcul)

Emplacement : Canada (ca-central-1, Montréal)

Fin : Hébergement, base de données (RDS PostgreSQL), stockage d’objets (S3) et gestion des secrets (KMS)

Données : Toutes les données client au repos. Serveurs d’application, base de données, stockage d’objets et sauvegardes.

ActifDétails

Mécanisme de transfert: Les serveurs d’application, la base de données, le stockage d’objets et les sauvegardes sont tous hébergés au Canada. L’AWS Canadian Customer Agreement s’applique. Le traitement par l’IA est un service AWS distinct, présenté plus bas avec son propre emplacement.

Stripe Payments Canada

Emplacement : Canada, avec traitement des données aux États-Unis

Fin : Facturation par abonnement et à l’utilisation des cabinets abonnés à blankit

Données : Identité de la personne-ressource du cabinet pour la facturation et quantités agrégées d’utilisation de l’IA du cabinet (nombre de crédits pour la facturation à l’utilisation) — aucune donnée de promoteur de régime ni d’adhérent, et aucun détail par conseiller

ActifDétails

Mécanisme de transfert: Entente sur le traitement des données (DPA) de Stripe et contrôles PCI DSS de niveau 1. Les données des promoteurs de régime et des adhérents ne sont jamais envoyées à Stripe.

Amazon Web Services Canada (Amazon SES — courriels sortants)

Emplacement : Canada (ca-central-1, Montréal)

Fin : Courriels transactionnels sortants — courriels d’ouverture de session et de mot de passe, avis et résumés destinés aux cabinets, ainsi que le nom et les coordonnées qu’un adhérent soumet lorsqu’il demande un suivi à un conseiller ou qu’il adhère à une garantie facultative

Données : Adresse courriel du destinataire et corps du courriel, qui peut comprendre le nom, l’adresse courriel et le numéro de téléphone d’un adhérent, ainsi que la question qu’il a posée à un conseiller

ActifDétails

Mécanisme de transfert: Envoyé depuis le Canada en vertu de l’AWS Canadian Customer Agreement. Une fois livré, un message est conservé par le fournisseur de courriel du destinataire, où que ce fournisseur stocke le courrier. Les renseignements sur la santé ne sont jamais envoyés par courriel : un questionnaire de santé signé ou une proposition indiquant l’usage du tabac s’ouvre au moyen d’un lien sécurisé à durée limitée vers blankit, où il demeure stocké au Canada.

Slack Technologies (Salesforce)

Emplacement : États-Unis

Fin : Deux intégrations distinctes, installées indépendamment. (1) Espace de travail du conseiller — lorsqu’un cabinet connecte son propre Slack, les documents partagés dans les canaux qu’il désigne sont lus dans blankit, et les résultats d’analyse, les alertes et les documents générés y sont publiés en retour. (2) Espace de travail du promoteur de régime — lorsqu’un employeur installe Paige, l’agent conversationnel des employés, ses employés peuvent poser des questions sur leur couverture dans Slack et obtenir des réponses tirées de leur propre brochure de régime.

Données : Espace de travail du conseiller : ce que le cabinet choisit de partager — documents de renouvellement et de réclamations des assureurs, noms de clients, chiffres de primes et de réclamations, et rapports générés. Espace de travail du promoteur de régime : la question de l’employé, la réponse et son identifiant d’utilisateur Slack. Aucun nom ni courriel n’y est demandé. La question n’est conservée que le temps d’y répondre — Slack exige un accusé de réception rapide; elle est donc mise en file d’attente pendant qu’un processus en arrière-plan produit la réponse, et cette ligne de file d’attente est effacée dès que la réponse est livrée. Une autre conservation est déclarée, car un promoteur de régime qui demande où vont les mots de ses employés a droit à la réponse complète : les derniers messages d’une conversation sont conservés pendant une trentaine de minutes, dans un stockage temporaire hors de toute base de données de cabinet, afin que l’agent conversationnel puisse répondre à une question de suivi; ils expirent automatiquement, et un employé peut les effacer immédiatement en tapant « start over ». Les employés en sont informés dans l’avis affiché avant leur première question. Rien n’est envoyé à Slack pour un cabinet, ou un employeur, qui ne l’a pas connecté.

ActifDétails

Mécanisme de transfert: Slack Customer Agreement et DPA, conclus entre le propriétaire de l’espace de travail et Slack — le cabinet pour son propre espace de travail, l’employeur pour le sien. Les deux intégrations sont désactivées par défaut et ne sont connectées que par un administrateur de l’espace de travail concerné; la déconnexion met fin à tout traitement ultérieur. Les documents et les questions sont stockés au Canada; l’étape d’IA qui les lit passe par le sous-traitant d’IA indiqué comme actif ci-dessous, selon les conditions énoncées pour cette entrée. Slack lui-même est le moyen de transport et la destination de la réponse, et non le lieu du traitement. Pour l’intégration du promoteur de régime, une conséquence mérite d’être énoncée clairement plutôt que laissée sous-entendue : l’espace de travail appartient à l’employeur de l’employé, de sorte que ce que cet employeur peut voir ou exporter — y compris, sur certains forfaits Slack, les messages directs avec les applications — relève des contrôles d’administration de Slack et de la propre entente Slack de l’employeur, et non de blankit. Les employés en sont informés avant leur première réponse, et l’agent conversationnel Web, que leur employeur ne peut pas voir, leur est proposé comme solution privée.

Meta Platforms (WhatsApp Business Platform)

Emplacement : États-Unis et Irlande

Fin : Transport pour l’agent conversationnel des avantages sociaux des adhérents sur WhatsApp — la question de l’employé parvient à blankit par Meta, et la réponse revient par le même chemin. blankit n’entame jamais une conversation : chaque message qu’il envoie répond à un message qu’un employé a envoyé en premier, et aucun modèle de message n’est enregistré; il n’existe donc aucun mécanisme permettant d’envoyer un message à un employé sans qu’il l’ait sollicité.

Données : La question de l’employé, la réponse et son numéro de téléphone mobile — qui, sur cette surface, sert à adresser le message et ne peut pas être caché au transport. blankit stocke lui-même un code brouillé dérivé de ce numéro, jamais le numéro, de sorte que les propres dossiers de blankit ne peuvent servir à joindre qui que ce soit; le numéro est inscrit une seule fois, dans la ligne de file d’attente qui transporte la réponse, et cette ligne est effacée dès que la réponse est livrée. Une autre conservation est déclarée ici pour la même raison qu’elle figure sur la ligne Slack ci-dessus : les derniers messages d’une conversation sont conservés pendant une trentaine de minutes, dans un stockage temporaire hors de toute base de données de cabinet, afin que l’agent conversationnel puisse répondre à une question de suivi; ils expirent automatiquement, et un employé peut les effacer immédiatement en tapant « start over ». Les employés en sont informés dans l’avis affiché avant leur première réponse. Aucun nom, aucun courriel et aucun champ de profil n’est demandé. Les photos, documents et autres médias envoyés au numéro sont ignorés plutôt que lus.

ActifDétails

Mécanisme de transfert: WhatsApp Business Solution Terms et conditions de traitement des données de Meta, conclues entre blankit et Meta — contrairement à la ligne Slack ci-dessus et à la ligne Microsoft Teams ci-dessous, cette entente n’est pas celle de l’employeur. ⚠️ Ce que cette surface ajoute, c’est le MESSAGE qui franchit la frontière, en transit. La brochure de régime dont la réponse est tirée et les données du client restent stockées au Canada, et l’étape d’IA qui les lit est la même que sur toutes les autres versions de l’agent conversationnel — par le sous-traitant d’IA indiqué comme actif ci-dessous, selon les conditions énoncées pour cette entrée — de sorte que rien ne change quant à l’endroit où sont stockées les données d’un promoteur de régime parce que ses employés utilisent cette surface. Une conséquence mérite d’être énoncée clairement, car elle va dans le sens inverse de Slack et de Teams : le compte WhatsApp appartient à l’EMPLOYÉ, et non à son employeur, de sorte qu’un employeur n’a aucune visibilité administrative sur ces conversations. Les employés sont informés de tout cela avant leur première réponse et peuvent y mettre fin à tout moment en répondant STOP.

Microsoft (Teams, par l’intermédiaire d’Azure Bot Framework)

Emplacement : États-Unis (relais Bot Framework de Microsoft); sinon, le propre locataire Microsoft 365 du cabinet conserve la conversation, quel que soit l’endroit où ce locataire est hébergé

Fin : Organisation du conseiller — lorsqu’un cabinet ajoute blankit à son propre Microsoft Teams, les documents partagés dans les canaux qu’il configure sont lus dans blankit, les résultats d’analyse sont publiés en retour dans le canal, et les membres du cabinet peuvent interroger blankit sur leur propre portefeuille depuis Teams. Seuls les membres du cabinet reconnus par leur adresse courriel Microsoft 365 peuvent y transmettre des documents; un invité ou un client dans un canal partagé ne le peut pas.

Données : Ce que le cabinet choisit de partager — documents de renouvellement et de réclamations des assureurs, noms de clients, chiffres de primes et de réclamations — et les réponses publiées en retour. Un fichier téléversé dans un canal est déposé dans le propre SharePoint du cabinet et récupéré à partir de là; blankit ne lit les messages que dans les canaux auxquels l’application est ajoutée et que le cabinet a configurés pour un type de document. Rien n’est envoyé à Microsoft pour un cabinet qui ne l’a pas connecté.

ActifDétails

Mécanisme de transfert: Microsoft Product Terms et DPA, conclus entre le cabinet et Microsoft. L’intégration est désactivée par défaut et n’est connectée que par un administrateur du cabinet, au moyen d’un code de connexion à usage unique délivré dans blankit; la déconnexion met fin à tout traitement ultérieur. Les documents sont stockés au Canada; l’étape d’IA qui les lit passe par le sous-traitant d’IA indiqué comme actif ci-dessous, selon les conditions énoncées pour cette entrée. Le Bot Framework de Microsoft est le moyen de transport et la destination de la réponse, et non le lieu du traitement.

Gestion de la relation client — Salesforce, HubSpot, Zoho, Microsoft Dynamics

Emplacement : États-Unis (Zoho et Dynamics offrent d’autres régions; c’est le propre locataire du cabinet qui en décide)

Fin : Uniquement lorsqu’un cabinet connecte son propre CRM. blankit lit les fiches clients pour les apparier au portefeuille du cabinet et — seulement si le cabinet passe la connexion en mode bidirectionnel — inscrit des champs mappés, comme les dates de renouvellement et les chiffres de primes, sur la fiche correspondante. Par défaut, la connexion est en lecture seule : rien n’est réécrit à moins qu’un administrateur ne l’active.

Données : Noms et coordonnées des promoteurs de régime (employeurs), dates de renouvellement, et chiffres de primes et de renouvellement que le cabinet choisit de mapper. Aucune donnée d’adhérent, aucun détail de réclamation et aucun contenu de brochure n’est inscrit dans un CRM.

ActifDétails

Mécanisme de transfert: La propre entente du cabinet avec son fournisseur de CRM — blankit n’y est pas partie, et les données vont dans un système que le cabinet contrôle déjà et dans lequel il détient déjà ces renseignements. Désactivé par défaut, connecté uniquement par un administrateur du cabinet; la déconnexion met fin à tout traitement ultérieur. Présenté ici par souci de transparence plutôt que parce que blankit retient les services de ces fournisseurs : comme pour l’espace de travail Slack du conseiller ci-dessus, le contrat est celui du cabinet.

Intuit (QuickBooks Online)

Emplacement : Là où Intuit héberge l’entreprise QuickBooks Online du cabinet, selon les propres conditions d’Intuit; blankit ne le choisit pas

Fin : Uniquement lorsqu’un cabinet connecte sa propre entreprise QuickBooks Online. Lorsqu’une personne du cabinet appuie sur Send dans la page Commissions, blankit crée une facture par relevé d’assureur et, lorsque le cabinet partage des commissions avec des courtiers externes, une facture fournisseur par courtier par mois. Pour éviter les doublons et utiliser les bons enregistrements, blankit recherche d’abord les clients, fournisseurs, services, comptes et codes de taxe dont il a besoin, ainsi que les numéros de ses propres factures et factures fournisseurs que l’entreprise détient déjà.

Données : Noms des assureurs, noms des clients du cabinet (promoteurs de régime) et numéros de police, montants des commissions et dates des relevés; pour les factures de courtiers, le nom du courtier externe et la part qui lui est due. Aucune donnée d’adhérent, aucun détail de réclamation et aucun contenu de brochure n’est envoyé à QuickBooks.

ActifDétails

Mécanisme de transfert: La propre entente du cabinet avec Intuit — blankit n’y est pas partie, et les données vont dans les propres livres comptables du cabinet. Désactivé par défaut, connecté uniquement par un administrateur du cabinet; les justificatifs d’accès sont chiffrés au repos, et la déconnexion met fin à tout traitement ultérieur. Présenté par souci de transparence plutôt que parce que blankit retient les services d’Intuit : comme pour l’entrée CRM ci-dessus, le contrat est celui du cabinet.

Xero

Emplacement : Là où Xero héberge l’organisation Xero du cabinet, selon les propres conditions de Xero; blankit ne le choisit pas

Fin : Uniquement lorsqu’un cabinet connecte sa propre organisation Xero. Lorsqu’une personne du cabinet appuie sur Send dans la page Commissions, blankit crée une ébauche de facture par relevé d’assureur et, lorsque le cabinet partage des commissions avec des courtiers externes, une ébauche de facture fournisseur par courtier par mois, imputée aux codes de compte choisis par le cabinet. Pour éviter les doublons, blankit vérifie d’abord quels numéros de ses propres factures et factures fournisseurs l’organisation détient déjà.

ActifDétails

Mécanisme de transfert: La propre entente du cabinet avec Xero — blankit n’y est pas partie, et les données vont dans les propres livres comptables du cabinet. Désactivé par défaut, connecté uniquement par un administrateur du cabinet; les justificatifs d’accès sont chiffrés au repos, et la déconnexion met fin à tout traitement ultérieur. Présenté par souci de transparence plutôt que parce que blankit retient les services de Xero : comme pour l’entrée Intuit ci-dessus, le contrat est celui du cabinet.

Google (Drive)

Emplacement : États-Unis

Fin : Uniquement lorsqu’un cabinet connecte son propre Google Drive comme dossier de documents de réclamations. blankit consulte périodiquement le dossier désigné par le cabinet, télécharge les nouveaux PDF pour analyse et — seulement si le cabinet active l’option de nettoyage — déplace le fichier source traité dans la corbeille du dossier après un délai de conservation fixé par le cabinet.

Données : Ce que le cabinet place dans ce dossier : documents de réclamations et de renouvellement des assureurs, qui contiennent généralement des noms de promoteurs de régime et des chiffres agrégés de réclamations.

ActifDétails

Mécanisme de transfert: La propre entente Google Workspace du cabinet. blankit détient une autorisation OAuth limitée à ce seul dossier, et non à l’ensemble du Drive du cabinet; ses justificatifs sont chiffrés au repos. Désactivé par défaut, connecté par un administrateur du cabinet; la révocation de l’autorisation met fin à tout traitement ultérieur. La suppression se fait vers la corbeille du fournisseur — récupérable —, jamais de façon définitive.

Microsoft 365 et Google (boîtes aux lettres)

Emplacement : États-Unis

Fin : Uniquement lorsqu’un cabinet connecte, de FAÇON FACULTATIVE, sa propre boîte aux lettres au moniteur des réponses aux preuves d’assurabilité. Les réponses des assureurs parviennent normalement à blankit par courriel à l’adresse de réception propre au cabinet, sans boîte aux lettres connectée et sans qu’aucune donnée ne parvienne à l’un ou l’autre fournisseur; lorsqu’un cabinet en connecte une, blankit lit cette seule boîte de réception pour apparier les réponses des assureurs aux demandes de tarification médicale en attente.

Données : Le message de réponse de l’assureur et ses pièces jointes, qui peuvent identifier un adhérent et faire état d’une décision de tarification médicale.

ActifDétails

Mécanisme de transfert: La propre entente Microsoft 365 ou Google Workspace du cabinet. Le consentement est limité à la seule boîte aux lettres qui l’a accordé — délibérément pas la variante à l’échelle de l’organisation, qui permettrait au moniteur de lire toutes les boîtes aux lettres du locataire. Désactivé par défaut, connecté par un administrateur du cabinet; la révocation du consentement met fin à tout traitement ultérieur.

Cloudflare (Turnstile)

Emplacement : Hors du Canada. L’avis de confidentialité de Turnstile de Cloudflare (dernière mise à jour le 18 juin 2025) n’indique pas où les signaux sont traités

Fin : Distinguer une personne d’un script automatisé sur les formulaires publics de blankit (inscription, contact, démonstration) avant leur envoi

Données : Ce qu’énumère l’avis de Cloudflare : l’adresse IP du visiteur, l’empreinte TLS, l’agent utilisateur du navigateur, ainsi que la clé du site et l’origine. Aucune donnée de client, de promoteur de régime ou d’adhérent, et rien de ce qui est tapé dans le formulaire.

ActifDétails

Mécanisme de transfert: Customer DPA de Cloudflare (en vigueur le 3 avril 2026). Cloudflare indique être un sous-traitant pour la vérification elle-même, et un RESPONSABLE du traitement de ces mêmes signaux lorsqu’il les utilise pour améliorer la détection des robots de Turnstile. Un transfert transfrontalier des seuls signaux du navigateur.

Calendly

Emplacement : Les États-Unis et d’autres territoires — le Data Processing Addendum de Calendly (en vigueur le 1er juin 2026) indique que le traitement « will occur in the United States and other jurisdictions »

Fin : Réserver un appel avec blankit à partir du site marketing

Données : Ce qu’un visiteur tape dans le formulaire de réservation — nom, courriel et toute note — et l’heure qu’il choisit. Aucune donnée client.

ActifDétails

Mécanisme de transfert: Data Processing Addendum et avis de confidentialité de Calendly (en vigueur le 3 juillet 2026); le visiteur réserve directement auprès de Calendly. Un transfert transfrontalier des seuls détails de la réservation.

Slack Technologies (canal de soutien de blankit)

Emplacement : Les États-Unis et d’autres pays — la politique de confidentialité de Slack (en vigueur le 5 juillet 2023) mentionne des transferts vers l’Australie, le Canada, le Japon, l’Inde, la Corée du Sud et les États-Unis

Fin : Informer le personnel de soutien de blankit qu’un conseiller a ouvert un billet d’aide, afin qu’il reçoive une réponse rapidement

Données : Le type et le titre du billet, le nom et le forfait du cabinet, la page d’où il a été ouvert et un lien vers le billet. Jamais la description, une réponse, une capture d’écran ni aucune donnée client — ces éléments restent dans blankit, stockés au Canada. On demande aux conseillers de ne pas inscrire de noms de clients dans le titre.

ActifDétails

Mécanisme de transfert: Conditions client de Slack, conclues entre Blankit Health Inc. et Slack. Un transfert transfrontalier du seul résumé du billet.

FreshBooks

Emplacement : États-Unis et Europe — chez les fournisseurs d’hébergement de FreshBooks, Google Cloud et Amazon Web Services, comme l’indique la propre liste de sous-traitants de FreshBooks; selon les propres conditions de FreshBooks, et blankit ne le choisit pas

Fin : Uniquement lorsqu’un cabinet connecte sa propre entreprise FreshBooks. Lorsqu’une personne du cabinet appuie sur Send dans la page Commissions, blankit crée une ébauche de facture par relevé d’assureur et, lorsque le cabinet partage des commissions avec des courtiers externes, une facture fournisseur par courtier par mois. Pour éviter les doublons et utiliser les bons enregistrements, blankit recherche d’abord les clients, les fournisseurs et la catégorie de dépenses dont il a besoin, ainsi que les numéros de ses propres factures et factures fournisseurs que l’entreprise détient déjà.

ActifDétails

Mécanisme de transfert: La propre entente du cabinet avec FreshBooks — blankit n’y est pas partie, et les données vont dans les propres livres comptables du cabinet. Désactivé par défaut, connecté uniquement par un administrateur du cabinet; les justificatifs d’accès sont chiffrés au repos, et la déconnexion met fin à tout traitement ultérieur. Présenté par souci de transparence plutôt que parce que blankit retient les services de FreshBooks : comme pour les entrées Intuit et Xero, le contrat est celui du cabinet.

Société canadienne des postes (AddressComplete, exploité par GBG)

Emplacement : Canada et Royaume-Uni

Fin : Recherche d’adresse dans le formulaire de preuve d’assurabilité, afin qu’un adhérent puisse choisir son adresse postale au lieu de la taper

Données : L’adresse partielle qu’un adhérent tape dans la zone de recherche, et l’adresse qu’il choisit. Aucun nom, aucune date de naissance, aucun renseignement sur la santé ni aucun autre champ du formulaire n’est envoyé.

ActifDétails

Mécanisme de transfert: Conditions d’AddressComplete de Postes Canada. Un transfert transfrontalier : Postes Canada peut traiter la recherche d’adresse au Royaume-Uni. Seule la zone de recherche d’adresse est envoyée; le formulaire rempli, ses réponses sur la santé et la signature restent dans blankit, stockés au Canada.

BoldSign (par Syncfusion)

Emplacement : Canada (centre de données canadien de BoldSign, Toronto)

Fin : Signature électronique du formulaire de preuve d’assurabilité et de la désignation de bénéficiaire facultative, pour l’assurance maladies graves facultative, et dossier signé de chacun

Données : Le formulaire rempli que l’adhérent signe — y compris ses réponses aux questions médicales, ou les noms, liens et dates de naissance des bénéficiaires, des membres de la famille assurés et de tout fiduciaire qu’il désigne, avec l’adresse domiciliaire de l’adhérent —, son nom et son adresse courriel, ainsi que le registre de signature de BoldSign (heure, adresse IP).

ActifDétails

Mécanisme de transfert: Conditions de BoldSign. BoldSign indique que les données d’un compte situé dans son centre de données canadien sont stockées et traitées dans ce centre de données. Le formulaire signé et la piste d’audit de BoldSign sont recopiés dans blankit et stockés au Canada, puis blankit supprime le formulaire de BoldSign.

Amazon Web Services Canada (AWS End User Messaging — alertes texte aux conseillers)

Emplacement : Canada (ca-central-1, Montréal)

Fin : Alertes urgentes par message texte aux conseillers qui y ont consenti : un renouvellement dû dans les 7 jours sans contre-proposition envoyée, un renouvellement en retard ou une réponse d’assureur — ainsi que les propres réponses du conseiller (YES pour confirmer, STOP pour arrêter, HELP)

Données : Le numéro de téléphone mobile du conseiller et le texte de chaque message, qui nomme le promoteur de régime (l’entreprise cliente), ce qu’il faut faire et un lien vers blankit. Aucune donnée d’adhérent, aucune prime, aucune réclamation ni aucun document. Le lien ne s’ouvre que pour une personne connectée à blankit.

ActifDétails

Mécanisme de transfert: Envoyé depuis le Canada en vertu de l’AWS Canadian Customer Agreement, puis acheminé par le propre fournisseur de services mobiles du conseiller. Tout ce que le lien ouvre reste dans blankit, stocké au Canada. Désactivé à moins que le conseiller n’y consente et ne confirme son propre numéro; au plus trois par jour; STOP y met fin immédiatement. Le registre de consentement du conseiller reste dans blankit.

Amazon Web Services Bedrock (traitement par l’IA)

Emplacement : Les requêtes entrent dans AWS au Canada (ca-central-1, Montréal). AWS peut les traiter hors du Canada, y compris aux États-Unis

Fin : Traitement par l’IA de chaque type de document que lit blankit et de chaque fonction d’IA qu’il offre, au moyen des modèles Claude d’Anthropic hébergés par AWS — renouvellements des assureurs, rapports d’expérience de réclamations, brochures de garanties, relevés de commissions, soumissions et correspondance des assureurs, Rider et réponses de l’agent conversationnel des adhérents.

Données : Contenu des documents envoyés pour lecture — noms des promoteurs de régime, tableaux de garanties et de taux, chiffres agrégés de réclamations et texte des brochures. Questions des adhérents et passages de la brochure nécessaires pour y répondre. Un recensement ou une liste d’employés envoyé sous forme de feuille de calcul est analysé par du code et n’est jamais envoyé à un modèle d’IA; un recensement qu’un conseiller téléverse en PDF ou en photo est envoyé afin que son tableau soit transcrit — numéros d’employé, dates de naissance, sexe, province, salaires, catégories et couverture, ainsi que tout nom qui y figure (blankit ne conserve les noms que si le conseiller l’active).

ActifDétails

Mécanisme de transfert: Le stockage et le traitement font l’objet de deux énoncés distincts. Les données client — documents, base de données et sauvegardes — sont STOCKÉES au Canada (AWS ca-central-1) et y restent. Le TRAITEMENT par l’IA d’une requête entre dans AWS à Montréal, et AWS peut l’effectuer hors du Canada, y compris aux États-Unis, parce que les modèles Claude sur Bedrock sont servis au moyen de l’inférence interrégionale d’AWS. Déclaré comme un transfert transfrontalier. Régi par l’AWS Customer Agreement et l’AWS Data Processing Addendum. AWS héberge le modèle; Anthropic ne reçoit pas les données par cette voie. blankit exploite Amazon Bedrock avec la conservation des données réglée à « none » (aucune conservation des données). AWS indique que, dans ce mode, aucune donnée de requête ou de réponse n’est écrite dans un stockage durable ni partagée avec le fournisseur du modèle.

Anthropic PBC

Emplacement : États-Unis

Fin : Développeur des modèles Claude qu’utilise blankit. En production, ces modèles sont hébergés par AWS Bedrock (ci-dessus), et Anthropic ne reçoit pas les données de blankit.

Données : Aucune. Les requêtes vont à AWS Bedrock, et non à Anthropic.

En attente / relèveDétails

Mécanisme de transfert: Aucun transfert vers Anthropic tant qu’AWS Bedrock est la voie configurée. Présenté afin qu’un lecteur qui voit « Claude » ailleurs sur ce site sache où il s’exécute.

Nous sommes aussi un sous-traitant — et nous ne pouvons pas voir vos clients.

Blankit Health Inc. est l’entité qui exploite la plateforme; nous sommes donc nous-mêmes un sous-traitant au sens de la LPRPDE et de la Loi 25. Le rôle d’administrateur de plateforme (actuellement détenu par le fondateur) est l’identité d’opérateur qui peut entrer dans un locataire pour offrir du soutien. Ce qui importe pour votre examen d’approvisionnement, c’est ce que ce rôle peut voir et ne peut pas voir.

Au quotidien, le produit est à locataire unique par cabinet — les lectures entre cabinets sont absentes des chemins de code qu’empruntent vos sessions. L’exception est une séance d’emprunt d’identité en lecture seule que l’administrateur de plateforme peut ouvrir lorsqu’un problème exige l’intervention d’un ingénieur. Ces séances sont :

Limitées à 30 minutes
Refusées en périphérie pour toute écriture, tout téléversement, toute suppression et tout envoi de message
Enveloppées d’un masque, à l’extension de la base de données, qui remplace les noms des clients et des personnes-ressources par des pseudonymes déterministes (Client-XXXX), caviarde les courriels, numéros de téléphone et numéros de police, et remplace les titres de documents et les blocs de texte libre par des valeurs sentinelles
Inscrites au journal d’audit au début et à la fin, avec l’identité de l’opérateur et celle du cabinet visé

Consultez Confiance et sécurité · Accès entre cabinets pour le fonctionnement complet et une capture en direct de ce que l’opérateur voit réellement à l’écran pendant une séance.

Nous vous avisons avant d’ajouter un sous-traitant.

Les cabinets abonnés à blankit sont avisés au moins 30 jours avant qu’un nouveau sous-traitant soit ajouté au chemin des données de production. L’avis est envoyé par courriel à la personne-ressource du cabinet pour la facturation et la sécurité, et publié sur cette page.

Un cabinet qui s’oppose à un nouveau sous-traitant pendant la période de 30 jours peut résilier son abonnement sans pénalité.

Responsable de la protection des renseignements personnels : Chris Gory · privacy@blankit.ca

Dernière révision : 5 novembre 2026. La source de vérité interne est le registre des activités de traitement (Blankit Health Inc., section 3) — toute modification qui y est apportée est reproduite ici dans la même version.

Voir aussi : Politique de confidentialité · Confiance et sécurité