Sous-traitants et destinataires
*RGPD article 28. Version 2026-08-19. Toute évolution de cette liste est notifiée aux utilisateurs 30 jours avant sa prise d'effet, avec droit d'opposition.*
| Sous-traitant | Rôle | Données | Localisation | Contrat |
|---|---|---|---|---|
| [Hébergeur — ex. Scaleway, OVHcloud, Clever Cloud] | Hébergement applicatif et base de données | Ensemble des données | France / UE | DPA art. 28 signé |
| [Sauvegarde — ex. stockage objet du même hébergeur] | Sauvegardes chiffrées | Ensemble des données | UE | DPA signé |
| [Routeur e-mail — ex. Brevo, Scaleway TEM, Tipimail] | E-mails transactionnels | Adresse e-mail, contenu du message | UE | DPA signé |
| [Gestion de clés — ex. Scaleway Key Manager, AWS KMS eu-west-3] | Conservation du poivre anti-doublon | Aucune donnée personnelle (clé seule) | UE | DPA signé |
| Anthropic | Modération assistée (2ᵉ niveau) | Texte du témoignage uniquement | Union européenne ou États-Unis selon la région retenue | DPA + clauses contractuelles types si transfert hors UE |
| [Paiement — ex. Stripe, Mollie] | Abonnements entreprises | Coordonnées de facturation | UE (entité européenne) | DPA signé |
| [Supervision — ex. Sentry auto-hébergé] | Journalisation des erreurs | Empreintes techniques, sans contenu | UE, auto-hébergé | Interne |
Points de vigilance à traiter avant la mise en production
- Vérifier l'entité contractante de chaque prestataire : une filiale européenne ne suffit pas si la maison mère non européenne peut accéder aux données.
- Modération par modèle de langage : n'envoyer que le texte du témoignage. Ne jamais transmettre l'adresse e-mail, l'identifiant de compte ou le SIREN dans la même requête. Contractualiser l'absence de conservation et d'entraînement sur les données transmises.
- Paiement : ne jamais faire transiter de données de carte par nos serveurs. Utiliser exclusivement les formulaires hébergés du prestataire (réduction du périmètre PCI-DSS à SAQ-A).
- Aucun outil publicitaire, aucun pixel, aucune police de caractères chargée depuis un tiers. Les polices sont servies depuis notre domaine.
- Registre des sous-traitants ultérieurs : exiger de chaque prestataire la liste de ses propres sous-traitants et une notification en cas de changement.