Registre des sous-traitants et sous-traitants ultérieurs

1Comment lire ce registre

Rôle — « Traitement sous-traité » désigne un prestataire recevant des données personnelles pour exécuter une tâche (génération de réponses IA · Envoi d’e-mails · Authentification) ; « Stockage » désigne l’infrastructure de stockage et d’exécution.
Utilisation pour l’entraînement et conservation par le fournisseur figurent dans des colonnes distinctes — les trois fournisseurs d’IA n’utilisent pas les données pour l’entraînement, mais les conservent pendant une certaine durée pour surveiller les abus. Nous ne promettons donc pas une « conservation nulle » (annexe 3 du contrat de sous-traitance des données).
Les politiques des fournisseurs évoluent. Les liens de référence et les dates de vérification de chaque ligne seront revérifiés lors de la conclusion du contrat.

2Registre

Les politiques des fournisseurs et les conditions applicables seront revérifiées lors de la conclusion du contrat.

Sous-traitant	provider	Rôle	Données traitées	Pays	Hors de Corée	Utilisation pour l’entraînement	Conservation par le fournisseur (durée · Finalité)	Conservation nulle	Référence
Anthropic (Claude API) Anthropic, PBC 【Entité contractante à vérifier — entité juridique cocontractante du compte de console】	`anthropic`	Traitement sous-traité (appels API de génération de réponses)	Messages des clients finaux (masqués) · Documents de connaissances de l’entreprise cliente · Consignes d’assistance	États-Unis 【Région de traitement à vérifier — politique d’infrastructure du fournisseur】	Hors de Corée	Les entrées et sorties de l’API destinée aux entreprises ne sont pas utilisées pour entraîner les modèles (conditions commerciales)	Entrées et sorties API supprimées du système du fournisseur dans les 30 jours suivant leur réception ou génération · En cas de violation constatée de la politique d’utilisation : entrées et sorties jusqu’à 2 ans · Scores de classification jusqu’à 7 ans · Exceptions pour conservation légale Finalité : surveillance des abus (application de la politique d’utilisation) · Respect de la loi	Aucun accord de conservation nulle (ZDR) — possible uniquement par accord distinct 【Vérifier si un accord a été conclu】	www.anthropic.com/legal/commercial-terms privacy.claude.com/en/articles/7996866-how-long-
Google Gemini API (Gemini Developer API) Google LLC 【Entité contractante à vérifier】	`google`	Traitement sous-traité (appels API de génération de réponses · Basculement en cas de panne)	Messages des clients finaux (masqués) · Documents de connaissances de l’entreprise cliente · Consignes d’assistance	Infrastructure Google aux États-Unis et dans d’autres pays 【Région de traitement à vérifier】	Hors de Corée	Les requêtes et réponses des projets avec facturation activée (services payants) ne sont pas utilisées pour améliorer ou développer les produits 【Vérifier que la facturation est activée sur le projet Google Cloud de la clé API — les conditions diffèrent pour l’offre gratuite】	Les requêtes et réponses des services payants sont journalisées pendant 55 jours pour détecter les abus et satisfaire aux obligations légales de divulgation (sans entraînement) · La journalisation du projet est distincte (55 jours par défaut · Réduction possible à 7/14/28 jours) Finalité : détection des abus · Obligations légales de divulgation	Aucune exemption de journalisation de surveillance des abus (conservation nulle) pour Gemini Developer API n’a été confirmée dans la documentation officielle 【Vérification requise】	ai.google.dev/gemini-api/docs/logs-policy
OpenAI API 【Entité contractante à vérifier — cocontractant du compte d’organisation OpenAI】	`openai`	Traitement sous-traité (appels API de génération de réponses · Basculement en cas de panne)	Messages des clients finaux (masqués) · Documents de connaissances de l’entreprise cliente · Consignes d’assistance	États-Unis 【Région de traitement à vérifier】	Hors de Corée	Les données envoyées par l’API ne sont pas utilisées pour entraîner ou améliorer les modèles sans consentement explicite (opt-in)	Journaux de surveillance des abus conservés jusqu’à 30 jours (exceptions pour obligations légales et prévention des préjudices) · L’option de stockage (store) de Chat Completions n’est pas activée 【À revérifier lors de la conclusion du contrat】 Finalité : surveillance des abus · Respect de la loi	La conservation nulle (ZDR) et la surveillance modifiée des abus nécessitent l’accord préalable d’OpenAI — aucune demande déposée 【Vérification requise】	developers.openai.com/api/docs/guides/your-data
Google Cloud — Firebase / Cloud Firestore · Cloud Functions · Hosting Google LLC 【Entité contractante à vérifier — selon le compte de facturation Google Cloud】	`gcp`	Stockage (stockage des données · Exécution serveur)	Sessions et messages d’assistance (masqués) · Demandes de mise en relation (coordonnées originales) · Documents de connaissances · Registre d’utilisation · Journaux d’audit · Demandes de mise en place	République de Corée (région de Séoul asia-northeast3)	En Corée	Sans objet (stockage · Exécution)	Originaux de production selon le tableau de conservation de la politique de confidentialité · Sauvegardes : restauration à un instant donné (PITR) + sauvegardes quotidiennes conservées 7 jours 【Vérifier l’achèvement de la configuration des sauvegardes】 Finalité : reprise après incident	Sans objet	— cloud.google.com/firestore/docs/backups
Firebase Authentication (comptes de la page d’administration) Google LLC	`firebase-auth`	Traitement sous-traité (authentification des comptes des contacts de l’entreprise cliente)	E-mail du contact de l’entreprise cliente · Empreinte du mot de passe · Heure de connexion — aucune donnée des clients finaux	【Vérification requise — Firebase Authentication ne permet pas de choisir la région】	【À vérifier】	Sans objet	Les adhésions résiliées sont conservées avec un indicateur de résiliation · Les comptes sont supprimés à la fin du contrat (suppression du locataire) ; pour les comptes également utilisés dans les applications grand public, seule l’adhésion est supprimée Finalité : authentification	Sans objet	— firebase.google.com/support/privacy
Gmail SMTP (e-mails sortants) Google LLC 【À vérifier par le représentant — compte Google Workspace ou compte Gmail ordinaire】	`smtp`	Traitement sous-traité (envoi d’e-mails)	E-mails de mise en relation (coordonnées du client final · Demande · Conversation récente) · E-mails d’invitation, d’alerte et de rapport	Infrastructure de messagerie Google aux États-Unis et dans d’autres pays 【Vérification requise】	Hors de Corée	【Vérification requise — les conditions diffèrent selon le type de compte】	Les copies du dossier Envoyés suivent la politique du compte expéditeur · Les e-mails déjà envoyés restent dans la boîte du destinataire (entreprise cliente) — concernés par les demandes de suppression Finalité : historique des envois d’e-mails	Sans objet	—

4En cas de changement

Information préalable de l’entreprise cliente avant application (article 5, paragraphe 3 du contrat de sous-traitance des données) → Consignes de mise à jour du paragraphe à insérer dans sa politique de confidentialité (D-3).