1Sous-traitants actifs
Ces fournisseurs traitent des données personnelles pour notre compte dans le cadre de l'exploitation de Fluëntry. Nous donnerons un préavis d'au moins 30 jours avant d'ajouter un nouveau sous-traitant qui traite des données personnelles identifiables, lorsque cela est raisonnablement possible, en mettant à jour cette page et en informant les clients B2B par e-mail.
| Sous-traitant | Rôle et données traitées | Juridiction | Résidence des données et mécanisme de transfert |
|---|---|---|---|
| Vercel (actif) | Hébergement applicatif, exécution en périphérie, CDN d'actifs. Voit les métadonnées de requête (IP, agent utilisateur), le trafic HTTPS et toute charge utile que notre application transmet au navigateur. | Vercel Inc., USA (avec des opérations dans l'UE) | Régions UE pour l'application ; les actifs statiques sont servis depuis la périphérie mondiale. Les flux de données personnelles sortant de l'UE sont régis par les clauses contractuelles types. |
| Supabase (actif) | Base de données, authentification, stockage de fichiers. Détient toutes les données de compte, les réponses de test, les scores, l'état des droits et les enregistrements de consentement. | Supabase Inc., USA (filiale UE pour les données européennes) | Francfort (eu-central-1). Au repos et en traitement au sein de l'EEE. L'accès transfrontalier au niveau de la société mère est régi par les clauses contractuelles types. |
| Lemon Squeezy (en attente d'approbation) | Revendeur officiel. Traite les paiements, gère la TVA/MOSS, émet les reçus, gère les oppositions de paiement. Nous recevons une référence client, l'état des droits et le pays de taxation, jamais les données de carte. | Lemon Squeezy LLC, USA | Traitement des paiements conforme à la PCI DSS via des passerelles partenaires. Les transferts de notre part vers LS sont régis par les clauses contractuelles types. Nous ne transmettons à LS aucune donnée personnelle identifiable au-delà de l'adresse e-mail et de tout nom que le client fournit au moment du paiement. |
| PostHog (actif) | Analyse de produit, rejeu de session, indicateurs de fonctionnalité, expériences. Reçoit des événements comportementaux et un flux de rejeu avec masquage des données personnelles. Configuré pour la résidence dans l'UE. | PostHog Ltd, UK ; EU Cloud exploité dans le cadre de dispositions de sous-traitance distinctes pour l'EEE | EU Cloud, Francfort. Au repos et en traitement au sein de l'EEE. Contrôles d'accès transfrontalier selon le DPA EU Cloud de PostHog. |
| Resend (actif) | E-mails transactionnels (codes à usage unique de vérification de compte, reçus de paiement, notifications de compte, confirmations de demandes d'accès aux données). Détient l'adresse du destinataire et le corps de l'e-mail. | Resend, Inc., USA (opérations dans l'UE) | Région UE (Irlande). L'accès transfrontalier au niveau de la société mère est régi par les clauses contractuelles types. |
| Sentry (actif) | Suivi des erreurs. Reçoit les traces de pile client et serveur, le contexte d'erreur et un identifiant de session. Nous expurgeons à la source les données personnelles identifiables des charges utiles d'erreur. | Functional Software, Inc., USA | Instance UE lorsqu'elle est disponible ; les flux transfrontaliers sont régis par les clauses contractuelles types. |
| OpenRouter (actif, création de contenu uniquement) | Passerelle de modèles d'IA. Utilisée au moment de la création de contenu pour rédiger des items de test candidats destinés à la relecture humaine. Ne traite pas les données utilisateur en production : aucune réponse d'utilisateur final, aucun score ni aucune donnée de compte n'est envoyé à OpenRouter. | OpenRouter Inc., USA | Aucune donnée personnelle identifiable d'utilisateur final. Les brouillons d'items sont relus et approuvés par des humains avant publication. |
2Clauses contractuelles types
Pour les sous-traitants ayant des opérations en dehors de l'Espace économique européen, les transferts de données personnelles sont protégés par les clauses contractuelles types de la Commission européenne (Decision 2021/914) au titre de l'article 46(2)(c) du RGPD. Lorsque la juridiction du sous-traitant a fait l'objet de recommandations supplémentaires de l'EDPB (en particulier les États-Unis, à la lumière de Schrems II), nous appliquons les mesures techniques supplémentaires recommandées dans ces recommandations, notamment le chiffrement en transit et au repos, et la ségrégation du traitement résident dans l'UE lorsque le sous-traitant le permet.
4S'abonner aux changements
Pour être averti lorsque cette page change, soit parce que nous ajoutons un sous-traitant, soit parce que le rôle ou la juridiction d'un sous-traitant existant change, écrivez à privacy@fluentry.be avec pour objet « Subprocessor change subscription ». Nous enverrons un e-mail en texte brut lorsque cette page est mise à jour.
5Historique des changements
Les changements importants apportés à cette page y seront consignés à partir de la version 2.
- 26 mai 2026 : publication initiale.