Liste des sous-traitants ultérieurs
Entrée en vigueur : activation en attente (date réservée à la mise en application : non fixée).
Dernière mise à jour : activation en attente (date réservée à la mise en application : non fixée).
Projet préparé le 6 octobre 2026. Les informations relatives au déploiement doivent être complétées avant que cette liste ne devienne l’annexe C de l’accord de traitement des données.
Projet révisé : 7 octobre 2026. L’activation reste en attente.
Résumé non contraignant. Ces services sont actifs. Leurs rôles diffèrent : certains traitent les données des projets ; d’autres gèrent les paiements, la connexion, les e-mails ou la mesure. Les informations contractuelles et de traitement de chaque sous-traitant ultérieur des données du Client doivent être complétées avant son autorisation. Ce résumé ne fait pas partie de la liste.
1. Rôles des fournisseurs
1.1. Un « sous-traitant ultérieur » est un destinataire désigné pour traiter, pour le compte d’OwlMeans, des données personnelles dont le Client est responsable, au titre de l’accord de traitement des données. Les services de compte ou de paiement peuvent, au contraire, traiter des données dont OwlMeans est responsable ou agir de manière indépendante. Leur présence dans cette liste n’en fait pas des sous-traitants ultérieurs de tous les Clients. Contact : Igor Tkachenko OwlMeans Software (exerçant sous le nom commercial abrégé « OwlMeans Software, JDG »), NIP 6772507251, numéro de TVA intracommunautaire PL6772507251, REGON 527979906, ul. Ariańska 9/5, 31-505 Kraków, Pologne ; support@owlmeans.com ; téléphone +48 780 256 571.
| Service et opérateur identifié | Statut actuel, utilisation et données | Rôle et situation des lieux de traitement |
|---|---|---|
| Hetzner ; opérateur publié Hetzner Online GmbH, contrat réel du service à vérifier | Unique fournisseur d’infrastructure confirmé par l’opérateur : charges de travail, bases de données, dépôts et enregistrements opérationnels ; modalités des sauvegardes à vérifier | Sous-traitant ultérieur lorsqu’il héberge des données contrôlées par le Client. Pays réels des centres de données, lieux des sauvegardes, contrat et conservation non résolus. |
| Mailgun ; entité contractante réelle Sinch Email figurant sur la commande du service à vérifier | Envoi d’e-mails confirmé par l’opérateur : destinataires, OTP, notifications de service ou légales et contenu des messages | Le rôle de sous-traitant dépend du message et des données. Le point de terminaison SMTP de l’UE est attesté pour l’environnement de préproduction ; région réelle du compte, traitements ultérieurs et conservation non résolus. |
| Google Gmail ; entité contractante Google et conditions réelles du compte ou service à vérifier | Boîte de réception de l’entreprise confirmée par l’opérateur le 7 octobre 2026 : demandes, preuves de contact, d’acheminement et de réception, correspondance et pièces jointes sélectionnées | Traitement de la boîte de réception pour les finalités d’OwlMeans en tant que responsable du traitement. Les données d’assistance placées sous le contrôle du Client et traitées sur instructions nécessitent de compléter les précisions relatives à l’accord de traitement des données et à la sous-traitance ultérieure. Le compte ou service réel, le rôle contractuel, les accès autorisés, les pays, la conservation, l’accord de traitement et les garanties de transfert restent à vérifier. |
| Google Tag Manager / Google Analytics ; entité contractante à vérifier | Mesure confirmée par l’opérateur : identifiants de navigateur et de réseau subordonnés au consentement et événements configurés ; sans Google Ads | Mesure facultative pour OwlMeans en tant que responsable du traitement, sans traitement universel du contenu des projets. Réglages réels du compte, balises de mesure, destinations et conservation non résolus. |
| Sentry ; opérateur publié Functional Software, Inc. d/b/a Sentry, contrat réel du compte à vérifier | Diagnostics confirmés par l’opérateur : erreurs, requêtes, contexte et identifiants selon la configuration réelle | Sous-traitant ultérieur lorsque le contenu des diagnostics contient des données contrôlées par le Client ; sinon, traitement par OwlMeans en tant que responsable. Périmètre du SDK, masquage, replay, lieux et conservation non résolus. |
| OpenAI ; entité contractante réelle à confirmer | Inférence IA et route de secours actives confirmées par l’opérateur : prompts, contexte sélectionné, données de requête et de résultat pour les appels utilisant ce service | Sous-traitant ultérieur lorsqu’il traite des données personnelles du Client sur instruction ; les rôles pour les traitements d’OwlMeans en tant que responsable sont évalués séparément. Compte réel, régions, conservation et fondement du transfert non résolus. |
| Anthropic ; contrepartie commerciale publiée dans l’EEE Anthropic Ireland, Limited, compte réel à vérifier | Inférence IA active confirmée par l’opérateur : prompts, contexte sélectionné et données de requête et de résultat | Sous-traitant ultérieur lorsqu’il traite des données personnelles du Client sur instruction. Une entité contractante irlandaise n’établit pas un traitement exclusivement dans l’UE ; compte réel, conservation et modalités des transferts non résolus. |
| OpenRouter ; entité contractante réelle à confirmer | Routage IA et accès aux modèles actifs confirmés par l’opérateur : requêtes d’inférence sélectionnées et métadonnées associées | Le routage peut ajouter le fournisseur du modèle sous-jacent comme destinataire. La route réelle et le destinataire ultérieur doivent être identifiés avant l’autorisation de traitement des données du Client ; lieux, conservation et garanties non résolus. |
| Together AI ; entité contractante réelle à confirmer | Service actif de modèle ou d’inférence confirmé par l’opérateur : requêtes sélectionnées et données associées | Sous-traitant ultérieur lorsqu’il traite des données personnelles du Client sur instruction ; service réel, entité du compte, lieux, conservation et garanties non résolus. |
| Hugging Face ; entité contractante réelle à confirmer | Accès aux modèles et intégration actifs confirmés par l’opérateur ; les téléchargements révèlent les métadonnées de connexion et de demande de modèle, tandis que l’inférence hébergée peut recevoir les prompts et le contexte sélectionnés | L’accès limité au téléchargement, les modèles locaux ou choisis par le Client et l’inférence hébergée doivent être distingués. Le téléchargement d’un modèle ne prouve pas l’envoi des données d’un projet. Produit et point de terminaison réels, rôle, lieux et modalités contractuelles non résolus. |
| Cloudflare ; société affiliée contractante réelle à confirmer | Fonctions actives de réseau, de domaine et de sécurité confirmées par l’opérateur : données de connexion et de requête et contenus dans la mesure où le service configuré les transmet | Le rôle dépend du service réel. Hetzner reste le fournisseur d’infrastructure confirmé par l’opérateur ; l’utilisation active de Cloudflare n’établit pas une modalité de stockage distincte. Traitements en périphérie du réseau, journaux, entité du compte et modalités de l’accord de traitement non résolus. |
| GitHub ; entité contractante réelle à confirmer | Opérations de dépôt et OAuth actives confirmées par l’opérateur : identités autorisées, permissions, jetons et données des dépôts | La connexion contrôlée par le Client doit être distinguée du rôle d’OwlMeans en tant que sous-traitant ; aucune nomination automatique pour tous les projets. Compte réel, lieux et garanties non résolus. |
| Stripe ; entité contractante réelle à confirmer | Paiements actifs confirmés par l’opérateur : identifiants de paiement, informations de transaction, de facturation et de lutte contre la fraude | Les rôles de paiement et les preuves conservées dépendent des services et contrats réels ; aucun destinataire habituel du contenu des projets n’est établi. Entité du compte, lieux et conservation non résolus. |
| Google reCAPTCHA ; entité contractante Google Cloud réelle à vérifier | Service actif confirmé par l’opérateur le 7 octobre 2026 : prévention des activités de bots, de la fraude et des abus ; signaux de connexion, de navigateur, d’appareil et de défis de vérification, jetons de vérification et résultats d’évaluation accessibles via l’intégration sélectionnée | Google traite les données client reCAPTCHA (« reCAPTCHA Customer Data ») en tant que sous-traitant selon les conditions Google Cloud applicables. Pour la sécurité des comptes ou du site d’OwlMeans, le traitement est effectué pour OwlMeans en tant que responsable du traitement ; Google n’agit comme sous-traitant ultérieur du Client que pour les données contrôlées par le Client et traitées sur instructions. L’entité réelle, la configuration, les lieux, la conservation et les garanties de transfert doivent être précisés. |
| Connexion Google ; entité du compte ou du service à confirmer | Service d’identité actif confirmé par l’opérateur : identité et profil de connexion autorisés et informations d’authentification | Distinct des services de mesure Google. Les champs et portées réels de connexion, l’entité du compte ou du service, les lieux et le rôle doivent être précisés. |
2. Routes sélectionnées et conditions d’approbation
2.1. L’opérateur a confirmé l’utilisation actuelle des services précédemment énumérés lors de la vérification des fournisseurs du 6 octobre 2026 et a ajouté Google reCAPTCHA le 7 octobre 2026. Une route peut faire intervenir plusieurs destinataires, et un service actif n’est pas sélectionné pour chaque requête. L’inférence locale ou choisie par le Client et les intégrations d’applications générées doivent être évaluées individuellement ; les adaptateurs pris en charge ne confèrent pas, à eux seuls, une autorisation de traitement. La configuration du déploiement et les modalités contractuelles restent distinctes de la confirmation d’utilisation du service. Google Ads, le profilage à des fins de marketing personnalisé, le marketing des partenaires ainsi que l’amélioration et l’entraînement indépendants sont des finalités inactives de la Plateforme.
2.2. Pour chaque sous-traitant ultérieur actif, la liste de mise en application doit préciser son entité juridique réelle, son service, les catégories de données, les pays et régions, la conservation, le mécanisme du chapitre V et toute garantie supplémentaire. Les conditions publiques d’un fournisseur ne prouvent pas la conclusion d’un accord de traitement des données ou de clauses contractuelles types. Aucune ligne non résolue n’autorise un transfert soumis à restrictions. La réutilisation de résultats de modèles pour l’entraînement propre nécessite une vérification distincte des droits accordés par le fournisseur ; le consentement du Client ne suffit pas.
2.3. Le circuit de demande configuré du site et de la Plateforme utilise l’infrastructure Hetzner pour la base dédiée et la file de transmission. Mailgun transmet le message, les coordonnées et preuves d’acheminement et les pièces jointes sélectionnées à la boîte Google Gmail d’OwlMeans. Gmail reçoit et conserve cette correspondance et ses pièces jointes pour traiter les demandes de l’entreprise. Google reCAPTCHA traite les signaux de sécurité dans ce circuit protégé. La mesure Google soumise au consentement peut recevoir l’événement d’ouverture du dialogue et ses champs de widget, de thème et de déclencheur ; cet événement ne contient ni l’adresse e-mail, ni le texte, ni les fichiers du formulaire. Le compte ou service Gmail destinataire, l’entité contractante Google, le rôle contractuel, les accès autorisés, les pays, la conservation, l’accord de traitement des données, les garanties de transfert et les traitements ultérieurs doivent être vérifiés avant activation, séparément de la transmission Mailgun. Les exemples de messagerie ou de vidéo dans un formulaire ne prouvent ni une intégration active ni l’autorisation d’un destinataire. OwlMeans agit en tant que responsable du traitement pour la gestion de ses propres contacts. Les données clients traitées sur instructions d’assistance exigent les précisions correspondantes de l’accord de traitement et de la sous-traitance ultérieure. Ce service n’envoie pas automatiquement les contenus des demandes aux fournisseurs d’IA cités ni aux jeux de données facultatifs d’amélioration et d’entraînement.
3. Changements et droits
3.1. L’accord de traitement des données régit le préavis de changement de fournisseur, les oppositions, les obligations équivalentes et la responsabilité d’OwlMeans. Les informations actuelles sur les destinataires et les garanties peuvent être obtenues auprès de l’assistance. Les services utilisés pour les traitements dont OwlMeans est responsable et le suivi facultatif sont régis par les notices de confidentialité et de cookies. Les règles de transfert de l’UE/EEE et les règles britanniques applicables, les rôles prévus par le droit des États américains et les droits impératifs des personnes concernées sont préservés. Aucune promesse générale d’adéquation ni de résidence des données dans l’UE n’est faite.