Sous-traitants

Objet de cette page

Voici les tiers qui traitent des données pour notre compte. Notre politique de confidentialité renvoie ici, et toute évolution est publiée sur cette page avant qu’un nouveau sous-traitant ne commence à traiter, et non après.

Pour chacun : ce qu’il reçoit réellement, où il se situe, et si vous pouvez le refuser. Lorsque la réponse honnête est que refuser revient à se passer d’une fonctionnalité, ou du service, cela est indiqué.

Hetzner — hébergement

Héberge l’application et les deux bases de données. Il détient donc l’ensemble de la télémétrie stockée, au repos.

Allemagne (UE).

Non refusable : c’est là que la plateforme s’exécute.

Cloudflare — réseau, vérification anti-robot et stockage des sauvegardes

Toutes les requêtes nous parviennent via Cloudflare, qui voit donc la télémétrie en transit. C’est l’unique voie entrante.

Turnstile, la vérification anti-robot du formulaire d’inscription, reçoit l’adresse IP du visiteur et les signaux de navigateur collectés par son composant — sur cette page uniquement, et jamais pour une personne déjà connectée.

Les sauvegardes sont en cours de transfert vers Cloudflare R2, dans un compartiment restreint à l’Union européenne. Une sauvegarde est une copie des deux bases de données : c’est le plus grand volume de données clients détenu par un tiers figurant ici — et elle est scellée avant de quitter notre serveur, de sorte que Cloudflare ne reçoit qu’un chiffré dont il ne détient aucune clé. Nous le mentionnons ici avant la première sauvegarde écrite, et non après.

Réseau mondial ; le compartiment de sauvegarde est restreint à l’UE.

Non refusable : c’est l’unique voie entrante.

Anthropic — investigations par IA

Reçoit un sous-ensemble délibérément minimisé d’un seul incident : type d’exception, message, pile d’appels, origine, compteurs et version corrélée. Jamais d’identifiants d’utilisateurs finaux, jamais de sacs d’attributs bruts, jamais d’événements entiers.

Par ailleurs, et uniquement lorsqu’une organisation l’active, il reçoit la modification de code que la chaîne d’intégration du client lui transmet pour relecture : son code source, pour cette requête, sans stockage.

États-Unis.

Refusable, et à deux titres : la fonctionnalité est inactive tant que le déploiement ne fournit pas de clé, une organisation peut refuser ce sous-traitant, et l’envoi du code source est une seconde autorisation, désactivée par défaut.

Resend — courrier transactionnel

Achemine les alertes et les synthèses par courriel lorsqu’un client a configuré une destination de ce type. Il reçoit l’objet et le corps de ces messages — titre de l’incident, nom du service, compteurs et un lien de retour — ainsi que l’adresse destinataire choisie par le client, qui est celle de ses propres équipes et non de ses utilisateurs. Jamais le contenu d’un événement, jamais un identifiant d’utilisateur final.

Irlande (UE). Resend s’appuie sur Amazon SES : AWS constitue donc l’infrastructure sous-jacente, dans la même région.

Non refusable si vous utilisez la livraison par courriel, qui suppose un relais. Un client ne souhaitant aucun tiers sur ce chemin peut utiliser un webhook vers son propre point de terminaison, ce qui est l’alternative honnête.

GeniusPay — encaissement des paiements

Page de paiement hébergée et webhook rapportant le résultat, pour l’achat d’un forfait.

Il ne reçoit aucune donnée personnelle ni aucune télémétrie : un montant, une devise, un libellé de forfait, deux identifiants opaques et les deux URL de retour du navigateur. Leur API prévoit un objet client pour le nom, l’adresse électronique, le téléphone et le pays ; nous ne le renseignons jamais.

Côte d’Ivoire.

Sans objet au regard de ce que nous transmettons — mais payer implique de passer par eux, donc refuser revient à ne pas souscrire de forfait.

Être informé des changements

Écrivez à [email protected] pour demander à être informé des changements de sous-traitants : vous serez prévenu avant que le suivant ne commence à traiter.