DPA et sous-traitants
Pour faire fonctionner Trouve Tes Clients, nous nous appuyons sur un nombre limité de prestataires techniques, appelés sous-traitants au sens de l'article 28 du RGPD. Cet article dresse la liste complète, les finalités, la zone de traitement et les garanties juridiques de chacun, et explique comment obtenir notre DPA. Il vaut annexe au DPA (Data Processing Agreement) que nous signons avec nos clients professionnels.
Avant de commencer
Cadre juridique
Trouve Tes Clients est responsable du traitement pour les données de ses utilisateurs. Chaque sous-traitant agit sur instruction écrite de notre part et ne traite vos données que pour les finalités décrites ci-dessous. Toute modification de la liste fait l'objet d'une notification au moins 30 jours avant son entrée en vigueur, conformément à l'article 28.2 du RGPD.
Pour tout transfert de données en dehors de l'Union européenne, nous nous appuyons sur les Clauses Contractuelles Types (CCT) de la Commission européenne, aussi appelées SCC (Standard Contractual Clauses) dans leur version 2021. Ces clauses imposent au sous-traitant un niveau de protection équivalent à celui du RGPD.
Tableau récapitulatif
Sont marqués (E) les sous-traitants essentiels au service, et (O) ceux liés à une fonctionnalité optionnelle.
| Sous-traitant | Finalité | Région des serveurs | Données traitées | Transfert hors UE | Base juridique |
|---|---|---|---|---|---|
| Hetzner / Coolify (E) | Hébergement applicatif (compute) et base de données PostgreSQL auto-hébergée (pile Supabase auto-hébergée : PostgREST, stockage) — depuis le 31/08/2026, Supabase (éditeur) ne traite plus aucune donnée | 🇩🇪 Allemagne | Toutes les données utilisateur sauf les données de paiement (disques chiffrés) | Non | Hébergeur UE — RGPD direct (DE) |
| Anthropic (E) | Génération de messages par IA (Claude) | 🇺🇸 États-Unis | Contenu des prompts (incluant des données de profil prospect / PII) et messages générés | Oui | CCT 2021/914 + DPA |
| Stripe (E) | Paiements et facturation | 🇮🇪 entité régulée + 🇺🇸 maison-mère | Email, nom, carte tokenisée, historique des paiements | Oui | CCT + DPA + adéquation Irlande |
| Resend (E) | Envoi des emails transactionnels et marketing | 🇺🇸 États-Unis (comptes, journaux et métadonnées stockés aux US) | Email, nom, contenu des emails | Oui | CCT 2021/914 + DPA |
| Inngest (E) | Orchestration des workflows asynchrones | 🇺🇸 États-Unis | Métadonnées de jobs et payloads pouvant contenir des données personnelles | Oui | CCT 2021/914 + DPA |
| Upstash (E) | Limitation de débit et cache IA | Éditeur US, région de traitement UE (AWS) | Compteurs techniques ; cache de générations IA (pouvant contenir des données personnelles) | Oui | CCT + Data Privacy Framework |
| Sentry (E) | Supervision des erreurs et performance | 🇺🇸 États-Unis (région UE disponible, non activée) | Traces techniques, journaux d’erreurs (données personnelles résiduelles possibles) | Oui | CCT 2021/914 + DPA |
| PostHog (E) | Analyse produit | Éditeur US, cloud UE (eu.i.posthog.com) | Événements d’usage, parcours | Oui | CCT + DPA |
| Svix (E) | Vérification des webhooks | 🇺🇸 États-Unis | Métadonnées de webhooks | Oui | CCT 2021/914 |
| Cloudflare (E) | DNS, anti-bot (Turnstile), WAF | 🌍 Réseau mondial (edge) | Métadonnées réseau, jetons CAPTCHA | Oui | CCT 2021/914 |
| Meta / WhatsApp (O) | Messagerie client (Graph API) | 🇺🇸 États-Unis | Messages, médias, listes de diffusion | Oui | CCT 2021/914 + DPA |
| Google (O) | OAuth Agenda/Tâches et notifications push (FCM) | 🇺🇸 États-Unis | Tokens OAuth, contenu agenda/tâches, jetons de notification push | Oui | CCT 2021/914 + DPA |
| Apple (O) | Acheminement des notifications push vers Safari / iOS (APNs) | 🇺🇸 États-Unis | Jeton de souscription push (endpoint) et charge utile chiffrée de bout en bout (titre et corps de la notification) | Oui | CCT 2021/914 + DPA |
| Deepgram (O) | Transcription audio (speech-to-text) | 🇺🇸 États-Unis | Fichiers audio, transcriptions | Oui | CCT 2021/914 + DPA |
| Mistral (O) | IA de repli + synthèse vocale (TTS) | 🇫🇷 France | Données IA si le repli est actif ; texte d'entraînement synthétisé en audio (module coach-langues) | Non | Sous-traitant UE — RGPD direct (FR) |
| Pappers (O) | Enrichissement entreprises (SIREN, dirigeants) | 🇫🇷 France | Numéros SIREN/SIRET interrogés (données publiques d’entreprise) | Non | Sous-traitant UE — RGPD direct (FR) |
| Honeycomb (O) | Traces techniques (observabilité, OTLP) | 🇺🇸 États-Unis | Traces techniques | Oui | CCT 2021/914 |
| Slack / Discord (O) | Alerting interne | 🇺🇸 États-Unis | Métadonnées d’alerte (pas de PII client) | Oui | CCT 2021/914 |
| Yousign (O) | Signature électronique | 🇫🇷 France | Documents contractuels, identités des signataires | Non | Sous-traitant UE — RGPD direct (FR) |
Détail des sous-traitants essentiels
Hetzner (hébergement, avec l'outil de déploiement Coolify). Hetzner héberge l'application et la base de données PostgreSQL, que nous exploitons nous-mêmes sur ces serveurs. Il traite toutes les données utilisateur, à l'exception des données de paiement, sur des disques chiffrés. Traitement entièrement situé en Allemagne, sans transfert hors UE. Depuis le 31/08/2026, l'éditeur Supabase ne traite plus aucune donnée : seule sa pile logicielle est utilisée, auto-hébergée chez Hetzner. L'authentification (création de compte, connexion, sessions) est elle aussi assurée par notre application sur cette infrastructure, sans prestataire d'authentification tiers. Les sauvegardes sont conservées 90 jours par rotation.
Anthropic (intelligence artificielle). Anthropic fournit les modèles d'intelligence artificielle Claude que nous utilisons pour la génération de messages. Les requêtes envoyées (prompts), qui peuvent inclure des données de profil des prospects que vous analysez, et les réponses générées transitent par leur infrastructure. Traitement aux États-Unis, encadré par les CCT 2021/914.
Stripe (paiement). Stripe traite les paiements et la facturation : adresse e-mail, nom, carte bancaire sous forme tokenisée et historique des paiements. L'entité régulée est située en Irlande, la maison-mère aux États-Unis. Le transfert est encadré par les CCT et la décision d'adéquation applicable à l'Irlande.
Resend (e-mails). Resend assure l'envoi des e-mails transactionnels et marketing. Il traite l'adresse e-mail et le nom du destinataire ainsi que le contenu des e-mails. Comptes, journaux et métadonnées sont stockés aux États-Unis ; traitement encadré par les CCT 2021/914.
Inngest (tâches en arrière-plan). Inngest orchestre les tâches asynchrones. Il traite des métadonnées de tâches et des contenus de tâches pouvant contenir des données personnelles. Traitement aux États-Unis, encadré par les CCT 2021/914.
Upstash (limitation de débit et cache). Upstash sert à la limitation de débit et au cache des générations d'intelligence artificielle, qui peut contenir des données personnelles. Éditeur américain, région de traitement dans l'Union européenne ; encadré par les CCT et le Data Privacy Framework.
Sentry (supervision des erreurs). Sentry reçoit des traces techniques et des journaux d'erreurs, dans lesquels des données personnelles résiduelles restent possibles. Traitement aux États-Unis, encadré par les CCT 2021/914.
PostHog (analyse produit). PostHog reçoit des événements d'usage et des parcours dans l'application. Éditeur américain, hébergement dans son cloud européen ; encadré par les CCT.
Svix (webhooks). Svix vérifie les webhooks et traite leurs métadonnées. Traitement aux États-Unis, encadré par les CCT 2021/914.
Cloudflare (réseau et sécurité). Cloudflare assure le DNS, la protection anti-robots et le pare-feu applicatif. Il traite des métadonnées réseau et des jetons de vérification, sur son réseau mondial ; encadré par les CCT 2021/914.
Sous-traitants liés à une fonctionnalité optionnelle
Ces prestataires n'interviennent que si vous utilisez la fonctionnalité concernée : Meta / WhatsApp (messagerie WhatsApp), Google (connexion de l'agenda et des tâches, notifications push), Apple (notifications push sur Safari et iOS), Deepgram (transcription audio), Mistral (intelligence artificielle de repli et synthèse vocale, en France), Pappers (enrichissement des fiches d'entreprises à partir des numéros SIREN/SIRET, données publiques, en France) et Honeycomb (traces techniques). Les outils internes d'alerte (Slack / Discord, sans donnée personnelle client) et la signature électronique Yousign (pas encore déployée) figurent aussi au registre. Le tableau ci-dessus détaille la région, les données et la base juridique de chacun.
Étapes
- Ouvrez la page DPA
Rendez-vous sur la page DPA.
- Demandez le document
Connecté à votre compte, cliquez sur « Recevoir le DPA par email ». Sans être connecté, utilisez « Demander le DPA par email », qui ouvre un message à dpa@trouvetesclients.com.
- Renvoyez-le signé
Envoyez le document signé par e-mail à dpa@trouvetesclients.com.
Résultat
Nous vous retournons une copie co-signée du DPA, dont cet article constitue l'annexe « sous-traitants ».
Ajout ou retrait d'un sous-traitant
Si nous prévoyons d'ajouter un nouveau sous-traitant ou d'en remplacer un, nous vous en informons au moins 30 jours à l'avance par e-mail et via une mise à jour datée de cet article. Vous disposez de ce délai pour formuler une objection motivée. En l'absence d'objection, le changement est réputé accepté.
Problèmes fréquents
Je n'ai pas reçu le DPA par e-mail. Vérifiez vos courriers indésirables, puis écrivez à dpa@trouvetesclients.com.
J'ai une question sur un sous-traitant ou un transfert hors UE. Écrivez à dpa@trouvetesclients.com. Pour exercer vos droits sur vos propres données, écrivez à privacy@trouvetesclients.com (voir Exercer mes droits RGPD).