Sous-traitants traitant des données d’élève
| Fournisseur | Rôle | Données traitées | Région | Base contractuelle |
|---|---|---|---|---|
| Clerk (Clerk Inc.) | Authentification, sessions, MFA, OAuth. | E-mail, nom, hash de mot de passe, liens OAuth. | États-Unis — pas d’option de résidence UE (DPA) | Data Privacy Framework |
| Neon (Neon Inc.) | Postgres managé. Source de vérité de l’état applicatif. | Profil, abonnement, conversations, messages. | UE — AWS Frankfurt (eu-central-1) | Clauses contractuelles types (CCT) |
| Upstash (Upstash Inc.) | Redis (limitation de débit, queue de pic, brouillons authentifiés) + QStash (pulsations de drain). | Compteurs anonymes, événements en vol, brouillons (TTL 7 j). | UE configurable par projet | Data Privacy Framework |
| Stripe (Stripe Inc.) | Paiement, abonnement, taxes. | E-mail, nom, adresse de facturation, tokens de moyen de paiement. | UE + États-Unis | Clauses contractuelles types (CCT) |
| Resend (Resend Inc.) | E-mails transactionnels et cycle de vie, et le contenu des modèles. | E-mail, prénom, préférences d’envoi, état de désabonnement, engagement (remise, ouverture). | Envoi dans l’UE (eu-west-1) — données de compte aux États-Unis | Clauses contractuelles types (CCT) |
| Cloudflare (Cloudflare, Inc.) | Stockage objet (R2) des copies de sauvegarde de la base de données, immuables par verrouillage et à durée de conservation limitée. Depuis le 25 août 2026, les fichiers de sauvegarde contenant des données personnelles sont chiffrés par nos soins avant leur envoi, au moyen d’une clé que Cloudflare ne détient pas ; les sauvegardes antérieures à cette date restent chiffrées au repos par Cloudflare uniquement, jusqu’à leur expiration (au plus tard en août 2027). Aucun trafic applicatif ne transite par ce service. | Copies de sauvegarde de la base de données (ensemble des catégories traitées par Neon : compte, progression d’apprentissage, conversations, abonnement) | Union européenne (juridiction UE du bucket R2) — entité américaine | Data Privacy Framework Voir le DPA |
| PostHog (PostHog Inc.) | Analyse produit (pas de profilage publicitaire). | Événements de page, distinct_id = user_id. | UE — eu.posthog.com | Aucun transfert hors UE |
| Vercel (Vercel Inc.) | Hébergement, CDN, Functions, Cron, AI Gateway, Analytics, Speed Insights, BotID, Blob, Flags. | Logs serveur (rétention ~30 j, sans PII tagué), requêtes IA (ZDR — pas de rétention). | Edge global (région par déploiement) | Clauses contractuelles types (CCT) |
| Sanity (Sanity.io) | CMS pour le blog. Pas de données utilisateur final. | Contenu éditorial uniquement. | À confirmer | Clauses contractuelles types (CCT) |
| Help Scout (Help Scout PBC) | Service d’assistance — réception et traitement des demandes de contact et des signalements envoyés depuis l’application. | E-mail, prénom, nom, rôle déclaré (élève, parent, enseignant), objet et contenu du message, signalements en app et leur contexte technique. | États-Unis | Data Privacy Framework Voir le DPA |
| Better Stack (Better Stack, Inc.) | Surveillance opérationnelle : disponibilité, pulsations des tâches planifiées, journaux d’exécution, traces de requêtes et suivi des erreurs. Aucun identifiant de compte n’est transmis — la corrélation se fait par identifiant de requête. | Journaux d’exécution (adresse IP, chemin de requête, méthode HTTP), Traces de requêtes, Exceptions et piles d’appels, Identifiant de requête — jamais d’identifiant de compte | États-Unis — us-west-2a (rétention 90 jours) | Data Privacy Framework |
| Plausible (Plausible Insights OÜ) | Mesure d’audience anonyme et agrégée. Aucun cookie, aucun identifiant de visiteur, aucun profilage. | Page consultée (URL expurgée), référent, paramètres de campagne (UTM), pays, navigateur et type d’appareil — agrégés | UE — Allemagne (Falkenstein) et Estonie | Aucun transfert hors UE |
| Axeptio (Agilitation SAS) | Recueil et enregistrement du consentement aux traceurs (bandeau de consentement). Ne reçoit aucune donnée de compte — uniquement le choix exprimé et des statistiques d’affichage du bandeau. | Choix de consentement, Statistiques d’affichage du bandeau | UE — France (hébergement Union européenne) | Aucun transfert hors UE |
| Google Ads (Google Ireland Limited) | Publicité et remarketing : reproposer nos annonces sur d’autres sites aux visiteurs qui ont consenti à la catégorie « Publicité ». Le script n’est chargé qu’après consentement explicite ; aucun appel n’est fait à Google pour un visiteur qui refuse ou n’a pas répondu. | Identifiant publicitaire de navigateur (cookies _gcl_*), Pages publiques consultées, Adresse IP et user-agent au moment du chargement du tag | Irlande — transferts vers les États-Unis (Google LLC) | sccs |
| Meta (Meta Platforms Ireland Limited) | Publicité et remarketing : reproposer nos annonces sur Facebook et Instagram aux visiteurs qui ont consenti à la catégorie « Publicité », et mesurer les achats qui en résultent. Le pixel n’est chargé qu’après consentement explicite ; aucun appel n’est fait à Meta pour un visiteur qui refuse ou n’a pas répondu. Les achats sont aussi transmis depuis nos serveurs (API Conversions), pour les seules personnes ayant consenti. | Identifiant publicitaire de navigateur (cookies _fbp, _fbc), Pages publiques consultées, Adresse IP et user-agent au moment du chargement du pixel, Adresse e-mail hachée (SHA-256) et identifiant de compte haché, transmis depuis nos serveurs lors d’un achat, Montant et devise de l’abonnement souscrit | Irlande — transferts vers les États-Unis (Meta Platforms, Inc.) | sccs |
Fournisseurs de modèles d’IA
Les appels aux modèles de langage transitent par Vercel AI Gateway, qui signe des accords de zéro-rétention (ZDR) avec chaque fournisseur. Cela signifie qu’Anthropic et OpenAI ne conservent pas vos prompts ni vos réponses, même temporairement, pour leur propre usage.
- Anthropic (via Vercel AI Gateway) — Rôle : Modèle de langage (Claude Sonnet). Rétention : Zéro — accord ZDR contractuel via le gateway. Région : États-Unis (calcul) ; UE (transit)
- OpenAI (via Vercel AI Gateway) — Rôle : Modèle de langage (selon besoin). Rétention : Zéro — accord ZDR contractuel via le gateway. Région : États-Unis (calcul) ; UE (transit)
- Cohere (Cohere Inc.) — Rôle : Embeddings + reranking (pipeline RAG). Rétention : Selon DPA Cohere (à confirmer). Région : États-Unis / Canada
Fournisseurs opérationnels (sans donnée d’utilisateur final)
Listés pour transparence ; ces fournisseurs ne traitent pas de données personnelles d’utilisateur final.
- Doppler — gestion des secrets (clés API). Aucune donnée utilisateur.
- GitHub — code source et CI. Aucune donnée de production.
- Mailosaur — boîtes e-mail de test. Aucune adresse de production.
- Chromatic — tests de régression visuelle. Aucune donnée utilisateur.
- Help Scout — support client (intégration prévue, non active aujourd’hui).
Notifications de changement
Conformément à l’article 28(2) du RGPD, tout ajout, retrait ou remplacement de sous-traitant est annoncé sur cette page et, pour les contrats B2B, par e-mail au DPO de l’établissement client au moins 30 jours avant la prise d’effet, lui ouvrant un droit d’opposition.
Source de vérité technique
La fiche détaillée (catégories exactes, sous-sous-traitants transitifs, plans de sortie par fournisseur) est tenue par notre équipe d’ingénierie en source ouverte : docs/security/subprocessors.md.