1. Cadre général
Conformément à l'article 28 du RGPD, tout sous-traitant intervenant dans le traitement de données personnelles est lié par un contrat de sous-traitance (DPA) ou par une clause équivalente incluse dans ses conditions générales.
Notre politique vis-à-vis des sous-traitants :
- Localisation UE prioritaire : Hetzner, Supabase (DB + Auth + Storage), Vercel, Stancer, Brevo et OVH opèrent en UE. Aucun PDF ne quitte le territoire.
- Données minimales : chaque sous-traitant ne reçoit que les données strictement nécessaires à son rôle.
- Garanties contractuelles : DPA signé ou clauses Art. 28 dans les CGV. SCC ou DPF pour les transferts hors UE.
- Pas de cascade non maîtrisée: nous n'autorisons pas nos sous-traitants à sous-déléguer hors de leur périmètre contractuel sans autorisation préalable.
2. Liste des sous-traitants
Hetzner Online GmbH
- Rôle : Hébergement du backend FastAPI (API de détection et caviardage)
- Localisation des données : Falkenstein, Saxe
- Juridiction applicable : Allemagne (UE)
- Données accessibles : PDFs en mémoire temporaire (jusqu'à 5 min), métadonnées de jobs
- DPA : Signé via Hetzner Robot — auftragsverarbeitungsvertrag standard
- Lien : https://www.hetzner.com/legal/avv
Supabase Inc.
- Rôle : Authentification (sign-in/up, sessions) + base de données Postgres (comptes, métadonnées de jobs)
- Localisation des données : eu-west-3 (Paris)
- Juridiction applicable : Singapour (siège) / France (data)
- Données accessibles : Email, identifiants de compte, sessions, métadonnées de jobs — JAMAIS le contenu des PDFs
- DPA : DPA Supabase standard
- Lien : https://supabase.com/legal/dpa
Vercel Inc.
- Rôle : Hébergement du frontend Next.js (landing, dashboard)
- Localisation des données : Frankfurt
- Juridiction applicable : États-Unis (siège) / Allemagne (data)
- Données accessibles : Logs HTTP minimalistes (IP, user-agent, status). Aucun contenu PDF.
- DPA : Inclus dans Vercel ToS — Art. 28 + DPF UE-US
- Lien : https://vercel.com/legal/dpa
Stancer (Groupe BPCE)
- Rôle : Paiement par carte bancaire (abonnements et paiements récurrents)
- Localisation des données : France
- Juridiction applicable : France (UE)
- Données accessibles : Email, données de carte (côté Stancer, jamais chez nous), historique de facturation. AUCUN contenu PDF.
- DPA : DPA Stancer — Art. 28 RGPD (prestataire FR)
- Lien : https://www.stancer.com/
Brevo (Sendinblue SAS)
- Rôle : Envoi des emails transactionnels (factures, notifications) + liste d'attente
- Localisation des données : Paris
- Juridiction applicable : France (UE)
- Données accessibles : Email destinataire, contenu de l'email. Pas de PDFs envoyés en pièce jointe.
- DPA : DPA Brevo (Annexe 3 des CGU) — Art. 28 RGPD (prestataire FR)
- Lien : https://www.brevo.com/legal/termsofuse/#annex
OVH SAS (OVHcloud)
- Rôle : Enregistrement du nom de domaine et résolution DNS
- Localisation des données : Roubaix
- Juridiction applicable : France (UE)
- Données accessibles : Requêtes DNS du domaine. Aucune donnée personnelle d'utilisateur, aucun contenu PDF.
- DPA : DPA OVHcloud — Art. 28 RGPD (prestataire FR)
- Lien : https://www.ovhcloud.com/fr/personal-data-protection/
3. DPA personnalisé (clients Pro et Enterprise)
Pour les clients Pro, un DPA personnalisé est disponible sous 48 h ouvrées sur simple demande à contact@caviardez.fr. Le DPA précise :
- Objet, durée, nature, finalité du traitement
- Catégories de données et de personnes concernées
- Obligations spécifiques du sous-traitant (nous)
- Mesures techniques et organisationnelles (TOM)
- Localisation et liste des sous-traitants ultérieurs
- Conditions d'assistance aux droits des personnes
- Notifications d'incident (délai max 24 h)
- Conditions de fin de contrat (destruction ou restitution)
Pour les clients Enterprise, le DPA est signé d'office à la création du compte, dans le cadre du contrat global.
4. Notification de modifications
Tout ajout, retrait ou modification de sous-traitant figurant dans cette liste est notifié :
- aux clients Pro et Enterprise par email avec un préavis de 30 jours ;
- aux autres utilisateurs par mise à jour de cette page (date en haut).
Les clients Pro/Enterprise disposent d'un droit d'objection motivée à l'ajout d'un sous-traitant ultérieur, conformément à l'article 28.2 RGPD.
5. Contact RGPD
Toute question relative aux sous-traitants ou aux DPA : dpo@caviardez.fr.