Sous-traitants
La liste des sous-traitants au sens de l'article 28 du RGPD, et leur rôle.
Dernière mise à jour : 11 août 2026
Conformément à l'article 28 du RGPD, Aurentia s'appuie sur les sous-traitants suivants pour traiter vos données personnelles. Chacun est encadré soit par un contrat de sous-traitance (DPA) signé, soit, à défaut, par les clauses de traitement des données et les clauses contractuelles types (CCT) publiées par le fournisseur (liens ci-dessous) . La formalisation des DPA restants est en cours.
Engagement : nous notifions tout ajout ou changement de sous-traitant au moins 30 jours avant son entrée en vigueur, par email aux clients concernés et via cette page.
Liste des sous-traitants
| Sous-traitant | Finalité | Données partagées | Localisation | DPA |
|---|---|---|---|---|
| Vercel Inc. | Hébergement de l'application, déploiement, edge functions | Données d'accès (IP, user-agent), données applicatives en transit | UE (cdg1, fra1) + US (failover) | Lien |
| Supabase Inc. | Base de données PostgreSQL, authentification, stockage objet | Toutes les données applicatives (chiffrées au repos) | UE (eu-central-1, Francfort) | Lien |
| Cloudflare, Inc. | Cloudflare Worker + Durable Objects pour la synchronisation temps réel des whiteboards multi-utilisateurs (tldraw multiplayer) | Contenu des whiteboards (formes, dessins, présence curseur), sessionId aléatoire par onglet, token HMAC court (TTL 1h) | US (HQ) + réseau edge global - Data Privacy Framework certifié + DPA signé | Lien |
| Stripe Payments Europe Ltd. | Paiement sécurisé, abonnements, Stripe Connect (marketplace) | Email, montant, méthode de paiement (token Stripe) | UE (Irlande) + US (transferts CCT) | Lien |
| Resend (Resend Inc.) | Envoi d'emails transactionnels et marketing | Email destinataire, contenu de l'email, statut de délivrabilité | US (transferts CCT, sous-processeur AWS) | Lien |
| OpenRouter (OpenRouter Inc.) | Routing vers modèles IA (Google Gemini, Anthropic Claude, OpenAI) | Contenu des prompts utilisateur, métadonnées de session | US (zéro-rétention forcée `data_collection: deny`, sous-processeurs Google/Anthropic/OpenAI) | Lien |
| OpenAI, Inc. | Embeddings de recherche sémantique (RAG) des bases de connaissances, sélection d'outils des agents, génération d'images DALL·E (fallback via OpenRouter) | Contenu texte à vectoriser (bases de connaissances, notes, CRM) et messages de chat ; jamais utilisé pour entraîner (opt-out API) | US (Data Privacy Framework + transferts CCT) | Lien |
| Perplexity AI, Inc. | Recherche web pour la génération de modules (analyse concurrentielle, stratégie de différenciation) et la mesure de visibilité GEO, routée via la passerelle IA (OpenRouter / Vercel AI Gateway) | Requêtes de recherche (nom d'entreprise, marché, concurrents) ; zéro-rétention | US (transferts CCT, via OpenRouter) | Lien |
| Deepgram Inc. | Transcription vocale (STT Nova-2) et synthèse vocale (TTS Aura) | Audio utilisateur (transcrit puis supprimé, zéro-rétention) | US (transferts CCT) | Lien |
| Bundle.social Ltd. | Publication multi-plateformes réseaux sociaux | Contenu des posts, tokens OAuth des plateformes connectées | EU/US (transferts CCT) | Lien |
| Replicate Inc. | Génération d'images (identité visuelle, illustrations) | Prompts texte, images de référence (zéro-rétention) | US (transferts CCT) | Lien |
| fal.ai (Features & Labels, Inc.) | Génération d'images haute qualité et de vidéos IA (réseaux sociaux, site builder) | Prompts texte, images/vidéos de référence (zéro-rétention) | US (transferts CCT) | Lien |
| Pappers (Pappers SAS) | Enrichissement entreprises (données publiques INSEE) | SIREN/SIRET ou raison sociale recherches | France | Lien |
| PostHog Inc. | Analytics produit, mesure d'audience et enregistrement de session (cookie consent requis) | Événements produit, clics et soumissions auto-capturés, parcours utilisateur, enregistrements de session masqués (tout texte et tous les champs sont occultés), rapports d'erreurs | UE (eu.posthog.com) | Lien |
| Discord Inc. | Bot Aurentia sur Discord (interactions agents IA) | ID utilisateur Discord, messages échangés avec le bot | US (transferts CCT) | Lien |
| Telegram FZ-LLC | Bot Aurentia sur Telegram (interactions agents IA). Encadrement du transfert hors-UE : mesures supplémentaires Art. 46 (pseudonymisation par token opaque, minimisation du payload, opt-out immédiat /optout, audit log 90j) + notice d'information au premier contact. Alternative UE : Discord (serveurs UE). TIA disponible sur demande au DPO (privacy@aurentia.fr). | Token pseudonyme opaque (PAS le user_id réel), messages échangés avec le bot, command sent. Alternative non-EAU disponible : Discord (servers EU). | EAU (Dubai, DIFC Free Zone) - DIFC Data Protection Law 2020 substantially equivalent GDPR | Lien |
| Daily.co (Daily, Inc.) | Conférences vidéo natives Aurentia (huddles, RDV, calls clients) | ID participants, metadata salle, audio/vidéo en transit (zéro-rétention) | US (transferts CCT) | Lien |
| Mux (Mux, Inc.) | Hébergement vidéo pour les cours Formation (encoding, streaming HLS) | Fichiers vidéo uploadés, metadata de lecture | US (transferts CCT) | Lien |
| Google LLC | OAuth Gmail/Calendar, géocodage Maps, modèles IA Gemini via OpenRouter | Tokens OAuth (chiffrés AES-256-GCM), adresses géocodées, prompts IA | US (Data Privacy Framework + transferts CCT) | Lien |
| Microsoft Corporation | OAuth Outlook Mail/Calendar (synchronisation emails et agenda) | Tokens OAuth (chiffrés AES-256-GCM), metadata emails synchronisés | EU + US hybride (Data Privacy Framework + CCT) | Lien |
| GitHub, Inc. (Microsoft) | Intégration repos/issues/PRs/branches liés aux tâches (PRD-106) | Tokens OAuth GitHub (chiffrés), webhooks issues/PRs | US (Data Privacy Framework certifié) | Lien |
| Composio AI Inc. | Connecteurs OAuth tiers (Slack, GDrive, Notion) pour les agents IA | Tokens OAuth utilisateur (chiffrés), contexte des appels d'outils | US (transferts CCT) | Lien |
| Exa Labs Inc. | Recherche web sémantique pour la prospection IA dans le CRM | Requêtes de recherche (anonymisées), zéro-rétention | US (transferts CCT) | Lien |
| Firecrawl (Mendable AI, Inc.) | Extraction d'identité de marque (onboarding, depuis l'URL publique du site) et scraping de pages publiques de concurrents (veille), en renfort conditionné à une clé API | URL publiques (site utilisateur / concurrent), contenu web public en retour ; aucune PII utilisateur persistée | US (transferts CCT) | Lien |
| Apify Technologies s.r.o. | Scraping de pages sociales publiques de concurrents (veille sociale : TikTok / Instagram publics) | URL / identifiants publics de concurrents ; compteurs et contenus publics en retour ; aucune PII utilisateur | UE (Prague, République tchèque) | Lien |
| Wistia (Wistia, Inc.) (prévu) | Hébergement vidéo alternatif (LMS Formation, alternative à Mux) | Fichiers vidéo uploadés, metadata de lecture | US (transferts CCT) | Lien |
| n8n (n8n GmbH) | Workflow runtime externe (action-plan progress webhook). | IDs projet/agency + action-plan progress payload (HMAC-signed) | EU (Berlin) | Lien |
Transferts hors Union européenne
Lorsqu'un sous-traitant est situé hors UE, le transfert est encadré par :
- Clauses contractuelles types (CCT) de la Commission européenne (Art. 46 RGPD), ou
- Décisions d'adéquation (par exemple : Royaume-Uni, Suisse), ou
- Data Privacy Framework (UE-US) lorsque le sous-traitant y est certifié.
Politique zéro-rétention IA
Nos fournisseurs IA (OpenRouter, OpenAI, Deepgram, Replicate, fal.ai, Exa,
Perplexity) sont configurés pour ne jamais utiliser vos données à des fins d'entraînement : chaque appel OpenRouter force la préférence data_collection: deny (routage uniquement vers des fournisseurs sans rétention), chaque appel Deepgram
force mip_opt_out, et les API OpenAI n'entraînent pas leurs
modèles sur les données transmises. Vos prompts et contenus ne sont pas
conservés au-delà de la durée strictement nécessaire au traitement de la
requête. La garantie contractuelle zéro-rétention (ZDR) de bout
en bout est activable par agence et appliquée par défaut sur l'instance dédiée
(CCI).
Vos droits
Vous pouvez vous opposer à un transfert spécifique en nous contactant à privacy@aurentia.fr. Nous vous proposerons une alternative dans la mesure du possible (par exemple : désactivation des bots, choix d'un modèle IA alternatif).
Sous-traitants ultérieurs (sub-processors of sub-processors)
Certains de nos sous-traitants ont eux-mêmes recours à des prestataires (ex : AWS pour Resend). La liste complète est disponible dans le DPA de chaque sous-traitant. Ils sont tous tenus contractuellement aux mêmes obligations RGPD.