Registre des sous-traitants
Chaque sous-traitant entre dans ce registre avant tout branchement. Détail des traitements concernés : politique de confidentialité.
| Sous-traitant | Rôle | Pays d’hébergement | Encadrement (DPA) | Transfert hors UE |
|---|---|---|---|---|
| Vercel Inc. | Hébergement applicatif | Fonctions : région UE fra1 (Francfort), posée dans vercel.json, relevé le 2026-09-06 ; réseau de diffusion mondial ; société US | DPA Vercel signé | Oui (société US) : clauses contractuelles types + Data Privacy Framework, vérification de la certification avant branchement |
| Neon Inc. | Base de données Postgres | Projet en région UE aws-eu-central-1 (Francfort), relevé le 2026-09-06 sur l’hôte de connexion (eu-central-1) et le registre Vercel Storage | DPA Neon signé | Oui (société US) : CCT/DPF, région UE imposée, vérification de la certification avant branchement |
| Stripe Payments Europe Ltd | Paiement | Irlande (entité UE) | DPA Stripe | Transferts intra-groupe encadrés (CCT/DPF) ; Stripe est responsable de traitement pour ses obligations propres |
| Resend | Emails transactionnels | US ; aucune région UE relevée le 2026-09-06 (le corps de l’email ne porte jamais de pièce jointe) | DPA Resend | Oui : CCT/DPF, vérification de la certification avant branchement. Règle : les emails ne transportent jamais le rapport ni un document en pièce jointe, lien de retéléchargement authentifié uniquement |
| Lecture assistée du décompte — OpenAI ou Anthropic (désactivée par défaut) | Lorsque la lecture assistée est activée, le document téléversé est transmis, le temps de la requête, à l’un des deux fournisseurs configurables — OpenAI (API Responses, stockage applicatif désactivé à chaque appel) ou Anthropic (API Messages) — pour préremplir la saisie. L’IA assiste la lecture, elle ne produit jamais le verdict ; la saisie manuelle reste toujours disponible. | OpenAI : société US ; Anthropic : société US. API sans entraînement sur les données ; aucun fichier conservé chez nous par cette lecture (traitement en mémoire) | DPA du fournisseur retenu + engagement de non-entraînement, préalables obligatoires à toute activation ; jamais d’API de fichiers persistante. Des journaux de surveillance peuvent subsister chez le fournisseur (environ 30 jours) sauf accord de non-conservation renforcé (Zero Data Retention) : nous ne promettons pas une absence totale de conservation | Oui (sociétés US) : CCT/DPF vérifiées avant activation |
Destinataire de la mesure publicitaire facultative
Google reçoit uniquement les données d’achat décrites dans la notice de mesure publicitaire, après votre accord. Ces données peuvent être traitées hors de l’Union européenne, notamment aux États-Unis. Les rôles et garanties applicables sont décrits dans les conditions de protection des données Google Ads et les informations sur les transferts internationaux. Aucun document d’audit ni contenu de dossier n’est transmis à Google pour cette finalité.