Liste des sous-traitants
Prestataires intervenant dans le traitement des données à caractère personnel
Objet de ce document
Skopira recourt à des prestataires techniques pour fournir son service. Certains d'entre eux traitent des données à caractère personnel pour son compte : ce sont ses sous-traitants au sens du Règlement (UE) 2016/679.
La présente liste est publiée dans un souci de transparence et pour satisfaire à l'obligation d'information prévue par l'accord de traitement des données annexé aux Conditions Générales d'Utilisation. Elle est tenue à jour et disponible à tout moment.
Toute adjonction ou tout remplacement d'un sous-traitant intervenant sur les données traitées pour le compte des clients fait l'objet d'une information préalable, au moins trente (30) jours avant sa mise en œuvre, et ouvre un droit d'opposition dans les conditions prévues à l'article 7 dudit accord.
Articles 28.2 et 28.4 du Règlement (UE) 2016/679.
1. Prestataires intervenant sur les données dont Skopira est responsable
Il s'agit des données nécessaires au fonctionnement du service et à l'activité de Skopira : comptes, abonnements, facturation, relation client, sécurité.
| Prestataire | Rôle | Données concernées | Localisation | Garantie de transfert |
|---|---|---|---|---|
| Google Cloud (Google Cloud France) | Hébergement de l'application, des traitements asynchrones et du cache | Ensemble des données applicatives | Infrastructure Google Cloud — groupe de droit américain | Clauses contractuelles types |
| Cloudflare | Diffusion du site, sécurité réseau, stockage des fichiers, passerelle vers les services d'intelligence artificielle | Trafic, fichiers déposés, requêtes de génération | Réseau mondial — société de droit américain | Clauses contractuelles types |
| Neon (groupe Databricks) | Base de données | Comptes, contenus, métadonnées, jetons chiffrés | Union européenne — Francfort — société mère de droit américain | Clauses contractuelles types |
| Resend | Envoi des e-mails du service | Adresse e-mail, contenu des messages transactionnels | États-Unis | Cadre UE–États-Unis (certifié) et clauses contractuelles types |
| Stripe | Encaissement des abonnements et facturation — sous-traitant pour l'encaissement, responsable autonome pour la prévention de la fraude et ses obligations réglementaires | Adresse e-mail, nom, données de paiement collectées directement par le prestataire | Irlande — Stripe Payments Europe, Limited | Addendum de transfert de Stripe vers les États-Unis : clauses contractuelles types, cadre UE–États-Unis |
| Qonto | Comptabilité, flux bancaires et facturation électronique (plateforme agréée) | Données de facturation | France | Sans objet |
| Espace de travail et stockage documentaire | Documents de travail comportant des données clients | États-Unis | Clauses contractuelles types | |
| Anthropic | Génération de texte et analyse d'images assistées par intelligence artificielle | Instructions saisies, éléments d'identité de marque, photographies à analyser | États-Unis | Clauses contractuelles types |
2. Sous-traitants ultérieurs intervenant pour le compte des clients
Il s'agit des prestataires qui interviennent sur les données que Skopira traite en qualité de sous-traitant de ses clients : contenus déposés, publications, interactions restituées.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Google Cloud (Google Cloud France) | Hébergement de l'application et des traitements de publication | Infrastructure Google Cloud — groupe de droit américain | Clauses contractuelles types |
| Cloudflare | Stockage des fichiers déposés, diffusion, passerelle vers les services d'intelligence artificielle | Réseau mondial — société de droit américain | Clauses contractuelles types |
| Neon (groupe Databricks) | Base de données | Union européenne — Francfort — société mère de droit américain | Clauses contractuelles types |
| Anthropic | Génération de texte et analyse d'images assistées par intelligence artificielle | États-Unis | Clauses contractuelles types |
| OpenAI (OpenAI Ireland Ltd pour l'EEE) | Retouche et génération d'images à partir des fichiers déposés | États-Unis | Clauses contractuelles types |
| fal.ai | Génération et retouche de visuels (images et vidéos) à partir des fichiers déposés | États-Unis | Clauses contractuelles types |
Stripe, Qonto, Resend et les outils internes n'interviennent pas sur les données traitées pour le compte des clients.
3. Destinataires qui ne sont pas des sous-traitants
Les réseaux sociaux auxquels un client rattache ses comptes — Meta pour Facebook et Instagram, Google pour la fiche d'établissement, et les plateformes ajoutées ultérieurement — ne sont pas des sous-traitants de Skopira. Ils sont responsables de leurs propres traitements, régis par leurs conditions et leurs politiques de confidentialité.
Skopira leur transmet uniquement ce que le client lui demande de publier, au moyen des autorisations qu'il a lui-même accordées.
Pour afficher dans le Service la photo de profil des comptes Facebook et Instagram et les images des publications Instagram et Facebook, le navigateur de l'utilisateur les charge directement depuis les serveurs de Meta, qui reçoit à cette occasion son adresse IP.
4. Engagements particuliers
Prestataires d'intelligence artificielle
Aucun prestataire d'intelligence artificielle n'est mis en production sans engagement contractuel de non-entraînement sur les données transmises et sans durée de conservation bornée et documentée.
Aucun prestataire n'est retenu pour un traitement portant sur les contenus des clients lorsqu'un transfert devrait être réalisé vers un pays ne bénéficiant ni d'une décision d'adéquation ni de garanties appropriées au sens du RGPD.
Transferts en dehors de l'Union européenne
La base de données est hébergée dans l'Union européenne. Les transferts vers les prestataires établis aux États-Unis, ou relevant d'une société mère américaine, reposent, lorsque le prestataire est certifié au cadre de protection des données entre l'Union européenne et les États-Unis, sur la décision d'adéquation correspondante et, à défaut, sur les clauses contractuelles types adoptées par la Commission européenne. Ils sont complétés par le chiffrement des flux, le chiffrement au repos et la limitation des données transmises au strict nécessaire.
Accords de traitement
Aucun service n'est mis en production sans que l'accord de traitement des données du prestataire concerné ait été obtenu et versé au dossier de conformité de Skopira.
Articles 28, 44 à 49 du RGPD ; décision d'exécution (UE) 2021/914 ; décision d'adéquation du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis.