Liste des sous-traitants
Article 28 RGPD · Dernière mise à jour : 2026-10-02 · 22 sous-traitants
GELOC s'appuie sur les sous-traitants ci-dessous pour fournir le service. Les sous-traitants dont les DPA standard sont publiquement disponibles sont liés ci-dessous ; l'existence et la signature effective d'un accord de protection des données spécifique (DPA) entre GELOC et chaque sous-traitant est en cours de vérification et n'est pas garantie pour l'ensemble de la liste à ce jour. Les clauses contractuelles types (SCC) s'appliquent lorsque le traitement implique un transfert hors UE/EEE, telles que reprises par chaque fournisseur dans son propre cadre contractuel. Lorsque nous avons vérifié qu'un fournisseur américain est certifié au Data Privacy Framework UE-États-Unis, la colonne « Données traitées » l'indique avec la date de vérification ; l'absence de cette mention ne signifie pas que le fournisseur n'est pas certifié, seulement que nous ne l'avons pas vérifié.
Conformément à l'article 28.2 RGPD, GELOC notifie ses clients de toute modification de cette liste avec un préavis de 30 jours, leur permettant de s'opposer le cas échéant.
| Sous-traitant | Rôle | Région | Encadrement | Données traitées |
|---|---|---|---|---|
| Vercel Inc. | Hébergement application Next.js + Edge functions | États-Unis | SCC | Logs, requêtes HTTP, métriquesVercel Inc. est participante active du Data Privacy Framework UE-États-Unis (dataprivacyframework.gov, vérifié le 2026-09-18). Fonctions de l'application exécutées à Paris (région cdg1). |
| Supabase Inc. | Base de données PostgreSQL, authentification, stockage de fichiers | UE / EEE | EU/EEA | Documents juridiques, findings, comptes utilisateurs, logs audit |
| Inngest Inc. | Orchestration des pipelines (events, payloads) | États-Unis | SCC | IDs deals, métadonnées documents, snapshots agents |
| Upstash Inc. | Cache Redis (rate-limit, sessions copilote, cost-guard) | États-Unis | SCC | Compteurs anonymisés, hash sessions ; reformulation des questions du copilote, gardée 5 minutesUpstash, Inc. est participante active du Data Privacy Framework UE-États-Unis (dataprivacyframework.gov, vérifié le 2026-10-02). |
| Anthropic PBC | Fournisseur de repli lorsque le fournisseur principal (OpenAI) est indisponible, pour les étapes de contrôle qualité et de synthèse et pour le copilote approfondi ; également utilisé pour le traitement par lot planifié du copilote (Claude Haiku) | États-Unis | SCC | Extraits de documents du dossier, questions de l'utilisateur, réponses générées — en cas de repli, et pour le traitement par lot planifié du copiloteUn fournisseur de repli n'est pas un chemin inactif : des données de dossier peuvent y transiter à tout moment si le fournisseur principal est indisponible. Zero data retention : non confirmé au niveau du compte à ce jour. |
| Google LLC (Gemini) | Modèles Gemini : classification, contrôle qualité, synthèse, extraction et étapes de traitement de texte (découpage, résumés, synthèse des réponses) | États-Unis | SCC | Extraits et texte des documents du dossier, consignes d'analyse, résultats structurésCompte payant : les requêtes, documents et réponses ne servent pas à améliorer les produits de Google ; Google les conserve jusqu'à 55 jours pour détecter les abus (vérifié le 2026-09-14). Le service utilisé est l'interface mondiale de Google, pas Vertex AI dans une région européenne : aucune résidence UE n'est revendiquée. Google LLC est participante active du Data Privacy Framework UE-États-Unis (dataprivacyframework.gov, vérifié le 2026-09-18). |
| OpenAI Ireland Ltd (OpenAI, L.L.C. aux États-Unis) | Détection des risques par domaine (analyse des documents du dossier) et copilote | États-Unis | SCC | Extraits et texte des documents du dossier, consignes d'analyse, questions de l'utilisateur, réponses généréesServeurs américains (api.openai.com). GELOC demande la non-conservation des requêtes par l'application (paramètre store: false). Par défaut, OpenAI n'entraîne pas ses modèles sur les données de l'API ; il n'y a pas de Zero Data Retention : OpenAI peut conserver les requêtes jusqu'à 30 jours pour détecter les abus. La résidence des données en UE exige un accord commercial avec OpenAI, non demandé à ce jour : aucune résidence UE n'est revendiquée. Pour un client de l'Espace économique européen, la contrepartie du DPA d'OpenAI est OpenAI Ireland Ltd, qui transfère les données à OpenAI aux États-Unis sur la base des clauses contractuelles types ou d'une décision d'adéquation. OpenAI ne figure pas au Data Privacy Framework (vérifié le 2026-10-02). |
| Mistral AI | OCR des PDF scannés (reconnaissance de texte) | UE / EEE | EU/EEA | PDF sources des dossiers (documents scannés transmis pour reconnaissance de texte)Sous-traitant établi en France (siège à Paris). Mistral n'intervient que pour l'OCR. |
| Voyage AI | Embeddings (voyage-4 jurisprudence, voyage-law-2 deal chunks) + reranker (rerank-2.5) | États-Unis | SCC | Texte des extraits de documents du dossier (chunks), snippets juridiques, queries de rechercheOpt-out de l'utilisation des données pour l'entraînement activé (2026-09-14) : Voyage supprime le contenu dès son traitement terminé. DPA avec clauses contractuelles types intégré aux conditions Voyage. Voyage AI Innovations, Inc., entité couverte de MongoDB, Inc., est participante active du Data Privacy Framework UE-États-Unis (dataprivacyframework.gov, vérifié le 2026-10-02). |
| Helicone Inc. | Passerelle de suivi des appels IA, utilisée uniquement dans les environnements de développement | États-Unis | SCC | Aucune donnée de dossier client (non utilisé en production)Retiré de la production le 2026-08-08. Le code d'intégration existe encore et ne s'active que si une clé est posée (environnements de développement). |
| Stripe Payments Europe, Ltd. | Paiement en ligne des dossiers et des packs, factures | États-Unis | SCC | Nom, email de facturation, montants, moyen de paiement (traité directement par Stripe, jamais stocké par GELOC)Stripe, LLC, société du groupe aux États-Unis, est participante active du Data Privacy Framework UE-États-Unis (dataprivacyframework.gov, vérifié le 2026-10-02). |
| Pappers | KYC dirigeants, UBO, bilans entreprises (accès par extraction web via Firecrawl) | France | EU/EEA | SIREN/SIRET, noms dirigeants, bilans financiers |
| INSEE Sirene | Données entreprises publiques | France | EU/EEA | SIREN/SIRET |
| Légifrance / PISTE / OpenLegi | Recherche jurisprudence + codes | France | EU/EEA | Queries publiques (pas de PII) |
| Firecrawl | Scraping (Pappers bilans, PLU) | États-Unis | SCC | URLs publiques, contenu scrapé |
| Immo Data | Valorisation immobilière (DVF, ML pricing) | France | EU/EEA | Adresses pseudonymisées, transactions DVF publiques |
| Brave Software, Inc. | Contexte territorial du bien (projets urbains, PLU, nuisances) — recherche web | États-Unis | SCC | Ville, code postal et rue du bien uniquement — aucune coordonnée GPS, jamais de nom de partie, montant ou détail du dossierBrave conserve les journaux de requêtes 90 jours ; la rétention nulle n'est offerte qu'aux clients de son offre Enterprise, dont GELOC ne se prévaut pas. Brave exclut les requêtes de son accord de traitement de données, qu'il juge non personnelles. Les requêtes sont construites exclusivement à partir des champs géographiques. |
| Google (Google Workspace) | Messagerie professionnelle de GELOC : boîte de réception du dépôt de documents par e-mail, lue par GELOC, et échanges par e-mail avec les clients | États-Unis | SCC | E-mails envoyés à l'adresse de dépôt de documents et leurs pièces jointes ; e-mails échangés avec GELOCDomaine geloc.eu hébergé chez Google Workspace. Google LLC est participante active du Data Privacy Framework UE-États-Unis (dataprivacyframework.gov, vérifié le 2026-09-18). |
| Resend | Email transactionnel (notifications, magic links) | États-Unis | SCC | Adresses email, contenu emails sortantsResend figure au Data Privacy Framework UE-États-Unis avec la mention « Active – Re-certification under Review » (dataprivacyframework.gov, vérifié le 2026-10-02) : sa certification est en cours de renouvellement ; les clauses contractuelles types de son DPA s'appliquent en repli. |
| Sentry (Functional Software Inc.) | Error tracking + performance | UE / EEE | SCC | Traces d'erreurs (IBAN, RIB et numéros de sécurité sociale retirés avant envoi), métriques de performanceDonnées stockées en région UE (`ingest.de.sentry.io`, Francfort) ; société mère US, clauses contractuelles types ; Sentry.io est participante active du Data Privacy Framework UE-États-Unis (dataprivacyframework.gov, vérifié le 2026-10-02). Le retrait des IBAN, RIB et numéros de sécurité sociale s'applique au message et aux valeurs d'exception, côté serveur, edge et navigateur. |
| Langfuse GmbH | LLM observability (traces du pipeline et du copilote) | États-Unis | SCC | Métadonnées des appels LLM uniquement : nom de l'étape, modèle, tokens, latence, coût, taille des échanges. Le contenu (prompts, documents, réponses) est rédigé avant envoi ; l'identifiant de l'utilisateur et celui du dossier partent en clair.Instance Langfuse Cloud, région États-Unis (cloud.langfuse.com). Le DPA de Langfuse Cloud est celui de ClickHouse, Inc., participante active du Data Privacy Framework UE-États-Unis (dataprivacyframework.gov, vérifié le 2026-10-02) ; la société contractante du compte Langfuse n'a pas été confirmée à cette date. Le contenu métier est rédigé avant envoi depuis le 2026-08-09 ; vérifié sur des traces de production le 2026-09-11. |
| PostHog Inc. | Analytics produit (events, dashboards) | UE / EEE | EU/EEA | Events anonymisés, métriques usage (cookie banner gated)PostHog Inc est participante active du Data Privacy Framework UE-États-Unis (dataprivacyframework.gov, vérifié le 2026-10-02). Région EU (`eu.i.posthog.com`). Chargement conditionnel au consentement utilisateur. |
Anciens sous-traitants
Fournisseurs qui ont reçu des documents par le passé et n'en reçoivent plus aucun.
- · Reducto, Inc. (États-Unis) — Lecture des PDF (extraction du texte et des tableaux). Du 28 février au 23 mars 2026, avant la commercialisation du service ; remplacé par Mistral AI. Données concernées : PDF de dossiers de test, dont des documents réels contenant des noms de particuliers.
Légende des mécanismes d'encadrement
- EU/EEA : traitement réalisé en UE/EEE — pas de transfert international.
- SCC : Standard Contractual Clauses (clauses contractuelles types européennes) applicables au transfert hors UE, telles que reprises par le fournisseur dans son propre cadre contractuel.
- Adequacy decision : pays bénéficiant d'une décision d'adéquation de la Commission européenne.
- Risk-accepted : transfert vers un pays sans décision d'adéquation. Risque documenté dans le registre des risques. Aucun sous-traitant n'est concerné à ce jour.
Notification de changement
GELOC s'engage à notifier aux clients par e-mail, à l'adresse de contact de leur compte, toute modification (ajout, retrait, changement de région) au moins 30 jours avant la prise d'effet, conformément à l'article 28.2 RGPD.
Contact RGPD
Pour toute question sur cette liste ou pour obtenir copie des garanties applicables, contacter orpheo@geloc.eu.