Sous-traitants ultérieurs
Version du 7 octobre 2026 · Éditeur : ALEHAUSE Maxence EI
Sommaire
Cette page recense les prestataires auxquels ALEHAUSE Maxence EI confie une partie des traitements de données personnelles réalisés pour le compte de ses clients (« sous-traitants ultérieurs », article 28 du RGPD). Elle reprend l'annexe 3 de l'accord de traitement des données annexé aux conditions générales de vente et est tenue à jour.
Liste à jour au 02/10/2026.
1. Information préalable et opposition
- Tout ajout ou remplacement d'un sous-traitant ultérieur est annoncé au moins trente (30) jours avant sa prise d'effet, par courrier électronique aux administrateurs de chaque entreprise cliente et sur cette page (dix jours en cas d'urgence de sécurité, avec motivation).
- L'entreprise cliente peut s'y opposer, de manière motivée, dans un délai de quinze (15) jours ; à défaut de solution, elle peut résilier sans frais l'abonnement ou la fonctionnalité concernée.
- Pour recevoir ces annonces sans être administrateur, écrivez à contact@ossatia.app.
2. Sous-traitants ultérieurs de l'éditeur
| Prestataire (entité) | Service | Lieu de traitement | Garanties en cas de transfert | État |
|---|---|---|---|---|
| Supabase Pte. Ltd (Singapour) | Base de données, authentification, fichiers, coffre de secrets | France (Paris, infrastructure d'Amazon Web Services) ; accès de support possible depuis des pays tiers | Clauses contractuelles types | En service |
| Vercel Inc. (États-Unis) | Hébergement et exécution de l'application | Fonctions exécutées à Paris ; installations principales aux États-Unis | Cadre UE–États-Unis de protection des données et clauses contractuelles types | En service |
| Anthropic Ireland, Limited (Irlande) | Modèles d'intelligence artificielle : assistant (dans le logiciel et sur Telegram), rédaction (courriels, réponses aux avis, publications, newsletters, articles), lecture de documents importés (factures fournisseurs, devis, photos de chantier), classement des opérations bancaires | États-Unis (aucune région européenne disponible sur l'interface de programmation d'Anthropic) | Clauses contractuelles types ; aucune utilisation pour l'entraînement | En service |
| OpenAI Ireland Ltd. (Irlande) | Transcription des messages vocaux envoyés au bot Telegram, lecture des devis externes importés | États-Unis par défaut | Clauses contractuelles types ; aucune utilisation pour l'entraînement | En service |
| Resend (Plus Five Five, Inc., États-Unis) | Envoi et réception des courriers électroniques | Envoi depuis l'Union européenne ; compte, métadonnées et journaux aux États-Unis | Cadre UE–États-Unis de protection des données et clauses contractuelles types | En service |
| Brevo (Sendinblue SAS, France) | Envoi de SMS (codes de signature, confirmations) ; envoi des newsletters et, à défaut de Resend, des courriers électroniques ; liste des adresses désinscrites | France | Sans transfert hors de l'Union | En service |
| SUPER PDP (SUPER G SAS, RCS Paris 853 322 915, France) | Plateforme agréée de facturation électronique, archivage des factures | France | Sans transfert hors de l'Union | Prévu, pas encore en service |
| Stripe Payments Europe, Limited (Irlande) | Paiement de l'abonnement | Union européenne ; transferts vers Stripe, Inc. (États-Unis) | Cadre UE–États-Unis de protection des données et clauses contractuelles types | En service |
| Autorité d’horodatage indépendante (DigiCert fait partie des options du logiciel) | Empreinte seule du document | Aucun horodatage externe tant qu’une autorité et son certificat n’ont pas été configurés et approuvés | Avant activation, l’autorité et les garanties seront publiées | Sur activation par l’éditeur (non activé au lancement) |
| Browserless | Rendu distant des PDF | Union européenne (Amsterdam), point de terminaison par défaut du logiciel | Aucun document transmis au lancement ; entité et garanties publiées avant activation | Sur activation par l’éditeur (non activé) |
|---|---|---|---|---|
| Imagerie aérienne de secours : Esri (Environmental Systems Research Institute, Inc.) | Coordonnées du chantier, sans nom ni adresse | États-Unis si activé | Aucun appel au lancement ; garanties publiées avant activation | Sur activation par l’éditeur (désactivé par défaut) |
| Imagerie aérienne de secours : Google Maps Platform (Google Ireland Limited) | Vue aérienne du chantier | Infrastructure de Google si activé | Aucun appel au lancement ; garanties publiées avant activation | Sur activation par l’éditeur (non activé) |
| Telegram | Messages, alertes et assistant si un bot est configuré | Déterminé par le prestataire lors de sa mise en service | Aucun bot de production activé ; entité, lieu et garanties publiés avant activation | Sur activation (non activé au lancement) |
Browserless, les secours d’imagerie Esri et Google Maps, et le bot Telegram ne sont pas activés au lancement. Avant leur activation, leur entité, leurs lieux de traitement et leurs garanties seront publiés avec le préavis applicable.
« En service » : prestataire intégré au logiciel ; « Sur activation » : appelé seulement si l'éditeur ou l'entreprise active la fonction concernée ; « Prévu » : pas encore intégré, aucune donnée transmise.
Prévu, pas encore en service : messagerie WhatsApp (WhatsApp Business Cloud API de Meta Platforms Ireland Limited), pour échanger avec vos clients depuis Ossatia. Aucune donnée ne lui est transmise aujourd'hui ; les boutons « WhatsApp » de partage ouvrent seulement votre propre application. Avant sa mise en service, ce prestataire sera ajouté au tableau avec son lieu de traitement et ses garanties, avec le préavis de trente jours.
Aucun service tiers de messagerie de support, de mesure d'usage ni de suivi des erreurs n'est utilisé à ce jour. Tout ajout d'un tel service sera annoncé sur cette page et dans la politique de confidentialité, avec le préavis de trente jours, avant sa mise en service.
Les notifications sur téléphone et navigateur passent par le service de notification du fabricant de l'appareil (Google, Apple, Mozilla, etc.) : leur contenu est chiffré de bout en bout et illisible pour ce service.
Le moteur de création des PDF télécharge un composant logiciel public (le navigateur Chromium) depuis GitHub : ce téléchargement ne transmet aucune donnée.
3. Services que vous connectez vous-même
Google (Agenda, Gmail en envoi et en lecture des échanges avec vos clients, Contacts, Google Ads, fiche d'établissement), Microsoft, Meta, la régie publicitaire d'OpenAI (ChatGPT Ads), votre site ou votre gestionnaire de contenu (WordPress, Webflow, Wix, Shopify, HubSpot, GitHub, GitLab, etc.), votre messagerie, votre compte Stripe, la plateforme agréée lorsque vous contractez directement avec elle, un agrégateur bancaire agréé : ces services sont reliés à Ossatia avec vos propres comptes. Vous contractez directement avec eux ; ils ne sont pas des sous-traitants ultérieurs de l'éditeur (accord de traitement, article 8.6). La connexion Microsoft, celle de votre compte Stripe pour encaisser vos clients et l'agrégateur bancaire (Bridge) sont prévus et pas encore en service.
4. Services publics interrogés
Ossatia interroge, sans compte ni contrat, des services publics de données (Base adresse nationale, Géoplateforme de l'IGN, cadastre, Géorisques, annuaire Recherche d'entreprises) en leur transmettant uniquement une adresse, des coordonnées ou un numéro SIREN. Ils ne reçoivent pas l'identité de vos clients.
5. Contact
Questions sur cette liste ou sur les garanties de transfert (copie des clauses contractuelles types sur demande) : contact@ossatia.app. Mesures de sécurité : voir la page Sécurité.