Aller au contenu principal

Qui traite vos données

Tous les sous‑traitants ultérieurs que nous engageons, leur rôle et la juridiction à laquelle ils sont soumis. Cette liste est générée à partir de notre code source, ce qui garantit qu’elle ne peut pas s’écarter discrètement de la réalité.

Dernière mise à jour: 2026-08-02

Généré automatiquement à partir de notre registre des sous‑traitants ultérieurs : aucun nouveau prestataire ne peut être ajouté sans être détecté, et notre processus de build échoue si du code utilise un sous‑traitant non déclaré ici.

Nos sous‑traitants ultérieurs

Ces entreprises traitent les données personnelles pour notre compte. Le stockage, la génération et les embeddings sont exécutés dans des centres de données situés dans l’UE. Plusieurs fournisseurs ci‑dessous sont immatriculés en dehors de l’Espace économique européen (EEE), ou ont une société mère dans cette situation. Chaque ligne concernée est signalée : la juridiction indique où une entreprise peut être légalement contrainte, ce qui est distinct de la localisation physique des données. Chaque ligne précise également la base de transfert applicable, ainsi que les sous‑traitants ultérieurs que ce fournisseur engage à son tour.

Mistral AI SAS

Génération par LLM : réponses de chat, planification, boucle d'agent, vision et modération des entrées. Fournisseur unique de génération ; aucun repli hors UE.

Les prompts incluent les requêtes des utilisateurs ainsi que des extraits de documents récupérés. L'option de non‑rétention et de non‑utilisation pour l'entraînement est configurée au niveau du compte avec ce fournisseur, et non par requête, ces paramètres sont donc enregistrés ici plutôt que déclarés à chaque appel.

Avec qui ils collaborent à leur tour

  • Mistral Compute (FR): Infrastructure cloud pour tous les produits. Leur propre branche de calcul plutôt qu'un tiers externe.
  • Microsoft Inc. (pays non précisé par eux): Infrastructure cloud. Traitement indiqué en Suède et en Norvège.
  • Google LLC (pays non précisé par eux): Infrastructure cloud. Traitement indiqué aux Pays‑Bas, en Belgique et aux États‑Unis.
  • CoreWeave Inc. (pays non précisé par eux): Fournisseur d'inférence. Traitement indiqué dans l'EEE.
  • Cloudflare Inc. (pays non précisé par eux): Sécurité et routage du trafic. Traitement indiqué dans le monde entier.

Their disclosure lists 24 parties, several scoped to products we do not use. Recorded here are the infrastructure and inference providers whose stated scope covers the API. Their page states processing regions rather than countries of incorporation, so those regions are given in each purpose and jurisdiction is left unstated.

Selon leur propre déclaration, vérifié le 2026-07-31

Juridiction

FR

eu-west (France)

Base de transfert

UE uniquement, aucun transfert hors UE

Statut

Actif

Jina AI GmbH

Société mère: Elastic N.V. (US)

Embeddings textuels et reranking pour la récupération.

Refusé pour les données clients depuis le 31 juillet 2026 : la plateforme ne démarrera pas en production avec ce fournisseur configuré pour les embeddings, il ne peut donc pas traiter de contenu client. Il reste listé car les identifiants sont toujours lus en développement, et il demeure la valeur par défaut en développement jusqu'à ce que le remplacement UE soit en place : des modèles d'embedding et de reranking que nous hébergeons nous‑mêmes sur du matériel UE, ou une API gérée sous juridiction UE.

Non encore établi. Nous n’avons pas confirmé quels sous‑traitants ultérieurs ce prestataire engage.

Juridiction

DE

eu-central (Berlin)

Base de transfert

En cours d’examen

Soumis à une juridiction hors UE

Statut

Actif

Supabase, Inc.

Base de données principale : Postgres (documents, chunks, embeddings, tenants), authentification et stockage d'objets par défaut.

En cours de remplacement par notre propre instance Postgres et notre stockage d'objets sur du matériel UE. Cette migration n'a pas encore commencé ; jusqu'à son achèvement, ce fournisseur héberge le corpus documentaire.

Avec qui ils collaborent à leur tour

  • Amazon Web Services, Inc (pays non précisé par eux): Hébergement.
  • Cloudflare, Inc (pays non précisé par eux): Hébergement.
  • Google, LLC (pays non précisé par eux): Hébergement.
  • Fly.io, Inc (pays non précisé par eux): Hébergement.
  • Upstash, Inc (pays non précisé par eux): Hébergement de données serverless. Sous‑traitant ultérieur de notre part à part entière.
  • Vercel, Inc (pays non précisé par eux): Hébergement. Sous‑traitant ultérieur de notre part à part entière.

Their list is dated 1 June 2026 and names 19 parties without stating any country, so no jurisdiction is recorded for any of them. Recorded here are the six hosting providers; the remainder are their own support, sales and analytics tooling.

Selon leur propre déclaration, vérifié le 2026-07-31

Juridiction

US

aws eu-west-1 (Irlande)

Base de transfert

En cours d’examen

Soumis à une juridiction hors UE

Statut

Actif

Upstash, Inc.

Redis : limitation du débit des API, révocation de session, cache d’embeddings et détection des déplacements impossibles.

Remplacé par un cache hébergé par nos soins sur du matériel européen. Cette migration n’a pas encore commencé ; jusqu’à son achèvement, ce prestataire gère la couche de limitation de débit et de cache.

Avec qui ils collaborent à leur tour

  • Amazon Web Services (US): Fournisseur de cloud.
  • Google (US): Fournisseur de cloud.
  • Cloudflare, Inc. (US): Services cloud.
  • Humio (CrowdStrike Falcon LogScale) (DK): Journalisation.

Their document states an address per party, used here as the jurisdiction. Several entries are scoped to products of theirs we do not use; those are excluded. Recorded here are the providers that could sit under the Redis service we consume.

Selon leur propre déclaration, vérifié le 2026-07-31

Juridiction

US

La région n’est pas figée dans le code et la région de déploiement de cette base de données par le prestataire n’a pas été documentée. Contient des adresses IP et des identifiants de session, ce qui empêche de répondre aux exigences des articles 30(1)(d)-(e).

Base de transfert

En cours d’examen

Soumis à une juridiction hors UE

Statut

Actif

Cloudflare, Inc.

DNS. Le domaine racine est actuellement aussi en proxy inverse, donc Cloudflare termine le TLS pour celui‑ci.

Notre posture définie est un mode DNS‑only, ce qui laisserait ce prestataire gérer uniquement la résolution de noms, sans accéder au contenu des requêtes. Le domaine racine est encore en proxy aujourd’hui, donc il termine actuellement le TLS et voit le corps des requêtes. Cette ligne décrit la situation actuelle, pas l’état final prévu.

Avec qui ils collaborent à leur tour

  • Amazon Web Services (AWS) (pays non précisé par eux): Produit de sécurité des e‑mails. Traitement indiqué comme effectué aux États‑Unis et dans l’EEE.
  • Google LLC (pays non précisé par eux): Plateforme de développement, Zero Trust et passerelle IA. Traitement indiqué dans l'EEE, aux États‑Unis, en Australie et en Inde.
  • Oracle America, Inc. (pays non précisé par eux): Plateforme de développement et Cache Reserve. Traitement indiqué comme effectué aux États‑Unis, dans l’EEE, au Royaume‑Uni, au Japon, en Australie, au Canada et à Singapour.
  • CoreWeave, Inc. (pays non précisé par eux): Workers IA. Traitement indiqué aux États‑Unis.
  • Nebius BV (pays non précisé par eux): Workers IA. Traitement indiqué en Angleterre.

Their list is dated 1 October 2025 and states processing regions rather than countries of incorporation, so regions are given in each purpose. It also names 16 of their own group affiliates, which are not recorded here as external parties. Every entry below is scoped by them to a specific product; none is stated to apply to DNS.

Selon leur propre déclaration, vérifié le 2026-07-31

Juridiction

US

edge global (anycast)

Base de transfert

En cours d’examen

Soumis à une juridiction hors UE

Statut

Actif

Functional Software, Inc.

Surveillance des erreurs et des performances des applications.

L’ingestion dans l’UE est imposée dans le code : le client échoue de manière sécurisée plutôt que d’envoyer les données vers un point de terminaison hors UE, donc les événements d’erreur, les spans et les logs sont stockés à Francfort. Cependant, Sentry stocke toujours les métadonnées opérationnelles et de compte aux États‑Unis, quelle que soit la région sélectionnée (vérifications cron, paramètres de l’organisation et journaux d’audit, métadonnées des projets, clés DSN, jetons d’accès, données d’utilisation) et stocke les vérifications de disponibilité dans les deux régions. Aucune de ces données ne contient d’informations personnelles des clients, donc aucun transfert au titre du chapitre V ne découle de cette partie ; il s’agit néanmoins d’un résidu de stockage aux États‑Unis lié à ce prestataire, qui disparaîtra, comme le résidu de conservation mentionné ci‑dessus, lors du passage à 0F Bugsink, lorsque le suivi des erreurs, les vérifications cron et les contrôles de disponibilité seront tous transférés vers une infrastructure que nous hébergeons.

Avec qui ils collaborent à leur tour

  • Amazon Web Services, Inc. (pays non précisé par eux): Infrastructure cloud. Traitement indiqué comme effectué dans l’UE et aux États‑Unis.
  • Cloudflare, Inc. (pays non précisé par eux): Infrastructure cloud. Traitement indiqué dans l'UE et aux États‑Unis.
  • Google LLC (pays non précisé par eux): Infrastructure cloud. Traitement indiqué dans l'UE et aux États‑Unis.

Their list is version 2.3.0 dated 1 June 2026 and states processing regions rather than countries of incorporation. Recorded here are the three cloud providers; the remainder are their email, support and group affiliates.

Selon leur propre déclaration, vérifié le 2026-07-31

Juridiction

US

ingest.de.sentry.io (Allemagne), Région américaine (Iowa) pour les métadonnées opérationnelles et de compte stockées en dehors de la région sélectionnée, indépendamment du paramétrage (vérifications cron, paramètres de l’organisation et journaux d’audit, métadonnées des projets, clés DSN, jetons, données d’utilisation) ; les vérifications de disponibilité sont stockées dans les deux régions. Aucune donnée personnelle des clients.

Base de transfert

En cours d’examen

Soumis à une juridiction hors UE

Statut

Actif

Sendinblue SAS (Brevo)

E‑mails transactionnels (notifications, messages liés au compte).

Inactif jusqu'à la provision du code BREVO_API_KEY.

Avec qui ils collaborent à leur tour

  • Google Cloud Platform (FR): Hébergement. Serveurs indiqués en Belgique.
  • Scaleway (Iliad) (FR): Hébergement. Serveurs indiqués en France.
  • OVH (FR): Hébergement. Serveurs indiqués en France.
  • Hetzner Online GmbH (DE): Hébergement. Serveurs indiqués en Allemagne. Est également un sous‑traitant ultérieur de notre part à part entière.
  • Cloudflare (US): CDN et WAF. Serveurs indiqués aux États‑Unis et dans l'UE.

Their DPA annex separates infrastructure sub-processors from the rest and states a registered office for each, used here as the jurisdiction. Recorded here is that infrastructure section.

Selon leur propre déclaration, vérifié le 2026-07-31

Juridiction

FR

eu-west (France)

Base de transfert

UE uniquement, aucun transfert hors UE

Statut

Actif

Hetzner Online GmbH

Stockage d'objets compatible S3 pour les octets bruts des documents.

Activé uniquement lorsque STORAGE_PROVIDER=s3 ; le fournisseur de stockage par défaut est Supabase.

Avec qui ils collaborent à leur tour

  • Hetzner Finland Oy (FI): Location de bâtiments et support technique.
  • Hetzner US LLC (US): Location de serveurs pour leur site aux États‑Unis. (couvre des régions que nous n’utilisons pas, selon leur déclaration)
  • NTT Global Data Centers Americas, Inc. (US): Colocation pour leur site aux États‑Unis. (couvre des régions que nous n’utilisons pas, selon leur déclaration)
  • QTS Investment Properties Hillsboro, LLC (US): Colocation pour leur site aux États‑Unis. (couvre des régions que nous n’utilisons pas, selon leur déclaration)
  • Hetzner Singapore Pte. Ltd. (SG): Location de serveurs pour leur site à Singapour. (couvre des régions que nous n’utilisons pas, selon leur déclaration)
  • NTT Global Data Centers SG1 Pte Ltd (SG): Colocation pour leur site à Singapour. (couvre des régions que nous n’utilisons pas, selon leur déclaration)

Their annex is version 1.0 dated 6 August 2024 and names six parties, all of them infrastructure, with a location for each. They state that data on EU-located servers is processed exclusively within the EU; the non-EU entities below serve their US and Singapore sites, which we do not use.

Selon leur propre déclaration, vérifié le 2026-07-31

Juridiction

DE

nbg1 (Nuremberg)

Base de transfert

UE uniquement, aucun transfert hors UE

Statut

Actif

Vercel Inc.

Hébergement de l'application et exécution des tâches planifiées (cible de déploiement actuelle).

Remplacé par un hébergement d'application que nous gérons nous‑mêmes sur du matériel européen. Cette migration n'a pas encore commencé ; jusqu'à son achèvement, ce fournisseur assure le service de l'application.

Avec qui ils collaborent à leur tour

  • Amazon Web Services, Inc. (US): Hébergement, stockage et IA générative.
  • Google LLC (US): Informatique cloud, stockage et IA générative.
  • Microsoft Corporation (US): Hébergement, stockage et IA générative.
  • Upstash, Inc. (US): Stockage serverless. Est également un sous‑traitant ultérieur de notre part à part entière.
  • Neon (US): Stockage serverless.
  • Redis Labs, Inc. (US): Journalisation en temps réel et sécurité.

Their list names 28 parties with a location each, used here as the jurisdiction. Recorded here are the six providing hosting or storage; the remainder are their monitoring, support and AI-feature vendors.

Selon leur propre déclaration, vérifié le 2026-07-31

Juridiction

US

edge mondial

Base de transfert

En cours d’examen

Soumis à une juridiction hors UE

Statut

Actif

Soumis à une juridiction hors UE

Cette entreprise, ou sa société mère, est immatriculée en dehors de l’EEE. Elle peut donc être soumise à des obligations légales étrangères, même si les données sont hébergées dans l’UE.

Modifications et votre droit d’opposition

Nous vous informons au moins 30 jours à l’avance avant qu’un nouveau sous‑traitant ultérieur ne commence à traiter vos données, et vous pouvez vous y opposer. Chaque entrée indique la date de début d’activité, et non la date de mise à jour de cette page.

Version exploitable par machine

Cette liste est générée à partir d'un registre dans notre base de code, elle est donc mise à jour en même temps que le code, et non lorsque quelqu'un se souvient de modifier une page. Le même registre est publié au format JSON à l'adresse ci‑dessous. Il inclut chaque entrée avec son statut, y compris les ajouts prévus pendant leur période de préavis et les fournisseurs supprimés, afin que toute modification puisse être comparée à une version antérieure plutôt que d'être acceptée sur parole.

/api/trust/subprocessors