Registre des sous-traitants
Chaque sous-traitant entre dans ce registre avant tout branchement. Détail des traitements concernés : politique de confidentialité.
| Sous-traitant | Rôle | Pays d’hébergement | Encadrement (DPA) | Transfert hors UE |
|---|---|---|---|---|
| Vercel Inc. | Hébergement applicatif | Région de déploiement UE (fonctions et edge) ; société US | DPA Vercel signé | Oui (société US) : clauses contractuelles types + Data Privacy Framework, vérification de la certification avant branchement |
| Neon Inc. | Base de données Postgres | Projet créé en région UE (ex. AWS eu-central-1) ; société US | DPA Neon signé | Oui (société US) : CCT/DPF, région UE imposée, vérification de la certification avant branchement |
| Stripe Payments Europe Ltd | Paiement | Irlande (entité UE) | DPA Stripe | Transferts intra-groupe encadrés (CCT/DPF) ; Stripe est responsable de traitement pour ses obligations propres |
| Resend | Emails transactionnels | US (région UE si disponible) | DPA Resend | Oui : CCT/DPF, vérification de la certification avant branchement. Règle : les emails ne transportent jamais le rapport ni un document en pièce jointe, lien de retéléchargement authentifié uniquement |
| Lecture assistée du décompte — OpenAI ou Anthropic (désactivée par défaut) | Lorsque la lecture assistée est activée, le document téléversé est transmis, le temps de la requête, à l’un des deux fournisseurs configurables — OpenAI (API Responses, stockage applicatif désactivé à chaque appel) ou Anthropic (API Messages) — pour préremplir la saisie. L’IA assiste la lecture, elle ne produit jamais le verdict ; la saisie manuelle reste toujours disponible. | OpenAI : société US ; Anthropic : société US. API sans entraînement sur les données ; aucun fichier conservé chez nous par cette lecture (traitement en mémoire) | DPA du fournisseur retenu + engagement de non-entraînement, préalables obligatoires à toute activation ; jamais d’API de fichiers persistante. Des journaux de surveillance peuvent subsister chez le fournisseur (environ 30 jours) sauf accord de non-conservation renforcé (Zero Data Retention) : nous ne promettons pas une absence totale de conservation | Oui (sociétés US) : CCT/DPF vérifiées avant activation |