Sous-traitants

Cette page liste les tiers auxquels Altanest SAS (qui exploite GO TRACE à l’adresse go-trace.com) communique des données personnelles, leur rôle, leur localisation et le mécanisme légal qui encadre tout transfert transfrontalier. Il s’agit de la liste de référence autonome qui reprend le §5 de notre Politique de confidentialité ; elle existe pour que les équipes achats B2B puissent la mettre en favoris.

1. Tenue à jour de cette page

Cette page est mise à jour lorsqu’un sous-traitant est ajouté, retiré ou modifié de manière substantielle. Le numéro de version et la date « dernière mise à jour » en haut reflètent le changement le plus récent ; l’historique complet figure au §7. La section correspondante de la Politique de confidentialité (§5) est mise à jour en parallèle.

Nous ne nous engageons pas sur un délai de préavis fixe pour les modifications de sous-traitants. Si votre contrat avec nous prévoit un tel préavis, cette clause contractuelle s’applique et nous la respecterons ; dans ce cas, merci d’écrire à contact@go-trace.com en indiquant la référence de votre DPA.

2. Sous-traitants actuels

Sous-traitant	Rôle	Localisation	Mécanisme de transfert
Hetzner Online GmbH	Hébergement web et infrastructure serveur pour go-trace.com et pour notre instance Umami auto-hébergée	Nuremberg, Allemagne (UE)	Au sein de l’EEE : aucun mécanisme de transfert requis
Web3Forms (exploité par Statichunt)	Acheminement du formulaire de contact. Reçoit les soumissions de /contact et /fr/contact, les conserve jusqu’à 30 jours pour relais et audit, relaye vers notre messagerie par SMTP, puis supprime automatiquement.	Inde	Clauses contractuelles types (CCT) de la Commission européenne, version 2021
Google Ireland Ltd. (Google Workspace)	Service e-mail pour les adresses @go-trace.com ; reçoit le contenu de la correspondance e-mail avec nous.	Dublin, Irlande (UE) ; les sous-traitants ultérieurs peuvent se trouver aux États-Unis	Certification au Data Privacy Framework UE-États-Unis et/ou Clauses contractuelles types
Stripe Payments Europe, Ltd.	Traitement des paiements pour nos produits payants (la Shortlist personnalisée de fournisseurs DPP, l’Évaluation de préparation au DPP et l’Audit des allégations environnementales). Lorsque vous payez, vous êtes redirigé vers Stripe Checkout sur un domaine exploité par Stripe, où Stripe collecte vos données de carte, votre nom, votre adresse de facturation et votre e-mail, et traite la transaction. Stripe renvoie l’utilisateur vers go-trace.com avec une référence de session ; nous ne voyons ni ne stockons jamais les données de carte. Stripe reçoit également une référence de métadonnées (notre identifiant interne de soumission) pour permettre la réconciliation du paiement avec la réponse au questionnaire correspondante.	Dublin, Irlande (UE) ; transferts ultérieurs vers Stripe Inc. aux États-Unis pour traitement	Au sein de l’EEE en principal ; pour les transferts ultérieurs vers les États-Unis : certification au Data Privacy Framework UE-États-Unis et Clauses contractuelles types de la Commission européenne, version 2021. L’avenant de traitement de données (DPA) de Stripe est publié à l’adresse stripe.com/legal/dpa et incorporé par référence à notre engagement avec Stripe.
Sendinblue SAS (Brevo)	Relais d’e-mails transactionnels pour nos questionnaires, évaluations et audits : e-mails destinés au client (vos résultats DPP Provider Finder ; confirmations d’achat pour l’Évaluation de préparation au DPP et l’Audit des allégations environnementales ; et les liens « reprendre votre saisie » de l’Audit des allégations environnementales et de l’Évaluation de préparation au DPP), et e-mails internes de notification adressés à contact@go-trace.com lorsqu’une soumission est complétée, enregistrée pour plus tard, ou payée. Brevo reçoit l’adresse du destinataire, l’objet et le corps du message (qui peut contenir votre nom, le résultat calculé et une référence de soumission ou de brouillon). Brevo conserve le message à des fins de livraison et de gestion des bounces, puis le supprime automatiquement selon sa rétention standard.	Paris, France (UE)	Au sein de l’EEE : aucun mécanisme de transfert requis. Le DPA de Brevo est publié à l’adresse brevo.com/legal/termsofuse/dpa et s’applique au traitement effectué pour notre compte.

3. Responsables de traitement indépendants, non sous-traitants

Les tiers ci-dessous peuvent recevoir vos données lorsque vous choisissez d’interagir avec eux, mais ils agissent comme responsables de traitement indépendants (ou conjoints) sur leur propre base légale. Nous ne sommes pas leur sous-traitant et ils ne sont pas le nôtre.

Tiers	Rôle	Quand mobilisé
Teachable Inc.	Plateforme de diffusion des formations ; reçoit vos données d’inscription et traite le paiement lorsque vous achetez une formation.	Sous-domaine Teachable distinct atteint lorsque vous achetez une formation. Régi par la politique de confidentialité de Teachable.
LinkedIn Corporation	Reçoit vos données d’abonnement lorsque vous vous inscrivez à la newsletter « The GO TRACE News Thread » sur LinkedIn.	Plateforme newsletter LinkedIn externe. Régi par la propre politique de confidentialité de LinkedIn.

4. Infrastructure auto-hébergée (aucun sous-traitant tiers)

Les traitements ci-dessous tournent sur notre propre infrastructure et n’impliquent aucun sous-traitant tiers :

• Mesure d’audience Umami auto-hébergée à l’adresse analytics.conclavik.com. Exploitée par Altanest SAS sous la marque Conclavik, sur le même serveur Hetzner que go-trace.com. Détail au §5 de la Politique de confidentialité.
• Journaux d’accès du serveur web sur le même serveur Hetzner. Journaux nginx standards, conservés au plus 30 jours.
• Base de données de soumissions de première partie : base SQLite stockée sur le même serveur Hetzner à /var/lib/go-trace/solution-map.db. Contient les soumissions du Provider Finder, de l’Évaluation de préparation au DPP et de l’Audit des allégations environnementales (ainsi que les éventuels brouillons d’évaluation ou d’audit enregistrés) — les réponses, tout résultat calculé, les coordonnées, l’indicateur de consentement et la référence de session Stripe (le cas échéant). Sauvegardée chaque nuit sur la même infrastructure Hetzner. Aucun tiers n’accède à cette base.

5. Non utilisés actuellement

Pour transparence totale : MailerLite dispose d’un enregistrement DKIM sur la zone DNS de go-trace.com (configuration héritée) mais n’est pas utilisé actuellement pour le traitement de vos données. Si nous l’activons à l’avenir, nous mettrons à jour la présente page et le §5 de la Politique de confidentialité en conséquence.

6. Accords de sous-traitance

Lorsque l’article 28 du RGPD l’exige, un Accord de sous-traitance écrit (DPA) est conclu avec chaque sous-traitant. Une copie de tout DPA est mise à disposition des personnes concernées et des clients B2B sur demande à contact@go-trace.com.

Si vous êtes un client B2B et avez besoin qu’Altanest SAS signe votre modèle de DPA (par exemple parce que nous traitons certaines de vos données fournisseurs dans le cadre d’une mission d’Accompagnement DPP continu — anciennement « Partenaire de conformité »), voir /fr/dpa.

7. Historique des versions

• v1.5, 2026-06-04 : extension de l’entrée Brevo (§2) et de la description de la base de première partie (§4) pour couvrir les brouillons « Enregistrer et continuer plus tard » de l’Évaluation de préparation au DPP et son e-mail de lien de reprise — même mécanisme que pour l’Audit des allégations environnementales plus tôt dans la journée. Aucun nouveau sous-traitant. Reprend la Politique de confidentialité v1.11.
• v1.4, 2026-06-04 : élargissement des entrées Stripe et Brevo (§2) et de la description de la base de première partie (§4) pour couvrir tous les produits payants — l’Évaluation de préparation au DPP et l’Audit des allégations environnementales, et non plus seulement la Shortlist personnalisée de fournisseurs DPP — ainsi que les brouillons « Enregistrer et continuer plus tard » de l’Audit et son e-mail de lien de reprise. Aucun nouveau sous-traitant ajouté ; Stripe et Brevo couvraient déjà ces traitements. Retrait des prix produits des descriptions (sans pertinence pour la protection des données et susceptibles de devenir obsolètes). Reprend la Politique de confidentialité §3–§7 v1.10.
• v1.3, 2026-05-17 : promotion de Sendinblue SAS (Brevo) depuis le §5 « Non utilisés actuellement » vers la table active des sous-traitants au §2. Le relais SMTP de Brevo est désormais en production pour les e-mails transactionnels du flux DPP Provider Finder et Shortlist personnalisée de fournisseurs DPP (e-mails « vos DPP Provider Finder » destinés au client, et notifications internes adressées au propriétaire lors de la complétion ou du paiement d’une soumission). Brevo étant en France (UE), aucun mécanisme de transfert au-delà du traitement intra-EEE standard n’est requis ; le DPA de Brevo s’applique au traitement effectué pour notre compte. Le §5 ne mentionne désormais plus que MailerLite comme dernier enregistrement DNS DKIM hérité non actif.
• v1.2, 2026-05-16 : suppression de l’engagement de préavis de 30 jours qui figurait au §1 depuis la v1.0. Il s’agissait d’une promesse discrétionnaire de procurement B2B, et non d’une exigence réglementaire ; les changements de sous-traitants continueront d’être publiés ici, au §5 de la Politique de confidentialité et dans cet historique de versions, mais sans délai de préavis fixe. Lorsqu’un contrat spécifique conclu avec nous prévoit un préavis, cette clause contractuelle s’applique et prime sur la présente page.
• v1.1, 2026-05-16 : ajout de Stripe Payments Europe Ltd. comme sous-traitant pour le flux de paiement de la Shortlist personnalisée de fournisseurs DPP (990 €). Ajout de la base SQLite de soumissions en première partie au §4.
• v1.0, 2026-05-03 : première publication de la page comme miroir autonome du §5 de la Politique de confidentialité. Sous-traitants couverts : Hetzner, Web3Forms, Google Workspace. Responsables indépendants : Teachable, LinkedIn. Auto-hébergé : Umami, journaux serveur. Non actifs : Brevo, MailerLite.