DPA Annexe A — Matrice des sous-traitants ultérieurs (art. 28.4 RGPD)
Cette annexe liste l'intégralité des sous-traitants ultérieurs autorisés au titre du DPA Nivelo, conformément à l'art. 28.4 RGPD. Toute modification fait l'objet d'une notification au Client avec préavis 30 jours et faculté d'objection raisonnée. Pour toute question : contact@nivelo.fr.
Avertissement du 22 septembre 2026, précisé le 30 octobre 2026
Depuis le 17 septembre 2026, l'hébergement est assuré par Scaleway (Paris, France) pour le calcul et Supabase (Francfort, Allemagne) pour la base de données : ces deux hébergements sont dans l'Union européenne. La liste ci-dessous nomme également des prestataires dont la société est établie hors Union européenne ; les traitements réels et les garanties de transfert de chacun sont détaillés sur la page des sous-traitants. Une version à jour de cette annexe est en cours de rédaction.
Ce document est une version brouillon, non opposable, en attente de validation par un avocat. La liste à jour de nos sous-traitants est publiée dès maintenant sur nivelo.fr/sous-traitants. Pour toute question sur le traitement de vos données : contact@nivelo.fr.
Annexe A — Matrice des sous-traitants ultérieurs (art. 28.4 RGPD)
Préambule
Conformément à l'article 28.4 du RGPD et aux recommandations 01/2020 de l'EDPB sur les mesures supplémentaires aux outils de transfert post-arrêt Schrems II (CJUE 16/07/2020 affaire C-311/18), l'Éditeur tient à jour la matrice ci-après recensant vendor par vendor :
- l'entité contractante (entité juridique signataire du contrat de prestation avec l'Éditeur) ;
- le pays de l'entité contractante (siège social juridique) ;
- l'infrastructure opérationnelle (datacenter physique où sont effectivement hébergées les Données Utilisateur) ;
- la finalité précise du traitement effectué par le vendor pour le compte de l'Éditeur ;
- la catégorie de données transmises au vendor (granularité et volumétrie) ;
- le mécanisme de transfert hors UE applicable, le cas échéant : CCT 2021/914 module 3 et/ou DPF UE-USA et/ou autre garantie idoine ;
- la version du DPA / Sub-Processor Agreement du vendor archivée par l'Éditeur à la date de signature du présent DPA Nivelo ;
- les mesures techniques supplémentaires mises en œuvre par l'Éditeur pour pallier les insuffisances éventuelles du cadre juridique du pays tiers (chiffrement at-rest / in-transit, minimisation, pseudonymisation, anonymisation).
Cette matrice est mise à jour à chaque ajout, retrait ou modification substantielle d'un sous-traitant ultérieur. Toute modification est notifiée à l'Utilisateur dans les conditions de l'article 6.1 du DPA principal.
Tableau matriciel des 16 sous-traitants ultérieurs au 30/10/2026
Vendor 1 — Scaleway SAS (UE — France)
| Critère | Valeur |
|---|
| Entité contractante | Scaleway SAS (société française) |
| Pays entité | France (UE) |
| Infrastructure opérationnelle | Zone fr-par-1 Paris (France) — machine nivelo-hq-01 DEV1-L, en production depuis le 17/09/2026 |
| Finalité précise | Hébergement du serveur de traitement (Cloud Router port 11437, workers IMAP, n8n engine, orchestration voice agents Twilio) |
| Catégorie de données | Contrat tenant, métadonnées techniques, logs applicatifs UUID, embeddings cache éphémère 72h |
| Mécanisme de transfert | N/A — UE/EEE (pas de transfert hors UE) |
| DPA archivé | Scaleway Data Processing Agreement, version en vigueur à la date du présent document (lien public à l'adresse publique du contrat de sous-traitance de Scaleway) |
| Mesures supplémentaires | Chiffrement at-rest AES-256-GCM volumes (clé serveur master hors du serveur), TLS 1.3 in-transit, isolation multi-tenant logique, accès SSH ED25519 restreint CTO, pare-feu serveur à activer (amélioration planifiée) |
Vendor 2 — Supabase Inc. (entité contractante US, infrastructure UE)
| Critère | Valeur |
|---|
| Entité contractante | Supabase Inc. (Delaware, États-Unis) |
| Pays entité | États-Unis (l'entité contractante est US même si datacenter UE) |
| Infrastructure opérationnelle | Base de données dédiée, région Francfort (Allemagne, UE) |
| Finalité précise | Base PostgreSQL + extension pgvector RAG (embeddings vectoriels 1536 dim) + Auth + Storage |
| Catégorie de données | Embeddings (vecteurs anonymisés), métadonnées documentaires, identifiants tenant UUID, sessions Auth, fichiers Storage clients |
| Mécanisme de transfert | DPF actif (Supabase Inc. listée auto-certifiée au 30/05/2026 sur dataprivacyframework.gov) + CCT 2021/914 module 3 (DPA Supabase signé) |
| DPA archivé | Supabase Data Processing Agreement, version en vigueur à la date du présent document (lien public à l'adresse publique du contrat de sous-traitance de Supabase) |
| Mesures supplémentaires | Chiffrement at-rest géré Supabase (AES-256), TLS 1.3, isolation RLS PostgreSQL + RPC pgvector_set_tenant, pas de transit US des données opérationnelles (infrastructure 100 % Francfort UE) |
Vendor 3 — Vercel Inc. (entité contractante US, infrastructure UE)
| Critère | Valeur |
|---|
| Entité contractante | Vercel Inc. (Delaware, États-Unis) |
| Pays entité | États-Unis |
| Infrastructure opérationnelle | Régions UE : cdg1 Paris (France) + fra1 Francfort (Allemagne) — projet Vercel nivelo-etude |
| Finalité précise | Hébergement frontend Next.js (rendering SSR/SSG/ISR), edge functions, fonctions serverless API |
| Catégorie de données | Logs access HTTP (anonymisés), sessions techniques (cookies httpOnly), fonctions serverless exécutées (pas de stockage persistant) |
| Mécanisme de transfert | DPF actif (Vercel Inc. listée auto-certifiée au 30/05/2026) + CCT 2021/914 module 3 |
| DPA archivé | Vercel Data Processing Addendum (https://vercel.com/legal/dpa) version en vigueur au 30/05/2026 |
| Mesures supplémentaires | TLS 1.2 minimum (HSTS sur *.nivelo.fr), pas de log contenu PII, edge runtime stateless |
Vendor 4 — Stripe Payments Europe Ltd (UE — Irlande)
| Critère | Valeur |
|---|
| Entité contractante | Stripe Payments Europe Ltd (Dublin, Irlande) |
| Pays entité | Irlande (UE) |
| Infrastructure opérationnelle | UE Irlande (entité contractante pour clients européens), avec cascade Stripe Inc. (États-Unis) pour fonctionnalités spécifiques (calculs fraude ML, antifraude) |
| Finalité précise | Paiement et facturation SaaS B2B Nivelo (Découverte 19 €, Rattrapage Démarrage 290 €, Rattrapage Sérénité 890 €, Rattrapage Complet 2 990 €) |
| Catégorie de données | Identifiants paiement (token Stripe, jamais carte en clair), montants, factures PDF, métadonnées clients (raison sociale, SIREN, adresse facturation) |
| Mécanisme de transfert | N/A pour l'entité contractante UE/EEE. Pour la cascade Stripe Inc. US : DPF actif + CCT 2021/914 module 3 (DPA Stripe public mentionne « Adequacy + SCC ») |
| DPA archivé | Stripe Data Processing Agreement (https://stripe.com/legal/dpa) version en vigueur au 30/05/2026 |
| Mesures supplémentaires | Stripe Elements PCI-DSS Level 1 (carte jamais transmise au backend Nivelo), tokenisation, 3-D Secure 2 EU, idempotency keys |
Vendor 5 — Sendinblue SAS / Brevo (UE — France)
| Critère | Valeur |
|---|
| Entité contractante | Sendinblue SAS (Paris, France) |
| Pays entité | France (UE) |
| Infrastructure opérationnelle | Datacenters France |
| Finalité précise | Emails transactionnels (confirmation Abonnement, magic links, rappels) + marketing opt-in (newsletter business uniquement, jamais clients) |
| Catégorie de données | Adresse email destinataire, variables transactionnelles (nom, prénom, montant, lien), statistiques ouverture/clic |
| Mécanisme de transfert | N/A — UE/EEE |
| DPA archivé | Brevo Data Processing Agreement (https://www.brevo.com/legal/termsofuse/#dpa) version en vigueur au 30/05/2026 |
| Mesures supplémentaires | TLS 1.3, DKIM + SPF + DMARC alignés sur nivelo.fr, double opt-in marketing, droit de désinscription un clic conforme RGPD |
Vendor 6 — Twilio Ireland Ltd + Twilio Inc. (UE Irlande + cascade US)
| Critère | Valeur |
|---|
| Entité contractante | Twilio Ireland Ltd (Dublin, Irlande) — entité contractante pour clients européens |
| Pays entité | Irlande (UE), avec cascade Twilio Inc. (Delaware, États-Unis) pour fonctionnalités spécifiques |
| Infrastructure opérationnelle | Datacenters Twilio Irlande + cascade régions US pour certaines fonctionnalités (numérotation US en attente ARCEP, Programmable Voice, SMS US) |
| Finalité précise | Téléphonie programmable (TwiML, agents vocaux entrants), SMS confirmation, numérotation E.164 |
| Catégorie de données | Numéros appelants / appelés (E.164), métadonnées appels (CallSid, durée, statut, timestamp), contenu SMS, transcriptions interim (relayées vers ElevenLabs ASR) |
| Mécanisme de transfert | N/A pour Twilio Ireland Ltd UE/EEE. Pour la cascade Twilio Inc. US : DPF actif (Twilio Inc. auto-certifiée) + CCT 2021/914 module 3 |
| DPA archivé | Twilio Data Protection Addendum (https://www.twilio.com/legal/data-protection-addendum) version en vigueur au 30/05/2026 |
| Mesures supplémentaires | Validation signature TwiML obligatoire (HMAC SHA256), TLS 1.3, masquage numéros dans logs (maskPhone), rate limiting par IP, no-content-log en clair |
Vendor 7 — Eleven Labs Inc. (US — DPF status à vérifier)
| Critère | Valeur |
|---|
| Entité contractante | Eleven Labs Inc. (Delaware, États-Unis) |
| Pays entité | États-Unis |
| Infrastructure opérationnelle | Régions US (East / West) + edge inference |
| Finalité précise | Synthèse vocale TTS + ASR Conversational AI agents téléphoniques (12 agents métier verticaux) |
| Catégorie de données | Transcriptions vocales (text 90j), audio temps réel (non persisté côté Eleven Labs en mode Conversational AI), métadonnées agent identifier |
| Mécanisme de transfert | CCT 2021/914 module 3 signé + DPF status à vérifier au 30/05/2026 sur dataprivacyframework.gov (incertain — voir question avocat Q-DPF) |
| DPA archivé | Eleven Labs Data Processing Addendum (https://elevenlabs.io/dpa) version en vigueur au 30/05/2026 |
| Mesures supplémentaires | Mode Conversational AI = pas de persistance audio chez Eleven Labs (vérification contractuelle), TLS 1.3, masquage transcripts logs Nivelo, suppression automatique 90j côté pgvector Supabase |
Vendor 8 — Mistral AI SAS (UE — France)
| Critère | Valeur |
|---|
| Entité contractante | Mistral AI SAS (Paris, France) |
| Pays entité | France (UE) |
| Infrastructure opérationnelle | Datacenters France + Mistral Cloud (UE) |
| Finalité précise | Inférence LLM payante en relais du routeur, après Google Gemini (modèle principal) : lecture et tri des messages, rédaction des brouillons, code |
| Catégorie de données | Prompts utilisateur (logs 72h max anonymisés), réponses générées (non persistées chez Mistral en mode no-training contractuel) |
| Mécanisme de transfert | N/A — UE/EEE |
| DPA archivé | Mistral AI Data Processing Agreement (https://mistral.ai/legal/dpa) version en vigueur au 30/05/2026 (à confirmer publication officielle) |
| Mesures supplémentaires | Mode no-training contractuel (les prompts ne sont pas utilisés pour réentraîner les modèles), TLS 1.3, anonymisation logs Cloud Router 72h |
Vendor 9 — Anthropic PBC (US — DPF actif)
| Critère | Valeur |
|---|
| Entité contractante | Anthropic PBC (Public Benefit Corporation, Delaware, États-Unis) |
| Pays entité | États-Unis |
| Infrastructure opérationnelle | Régions US (East / West) via AWS Bedrock + endpoints Anthropic native |
| Finalité précise | Inférence LLM de secours — éteinte par défaut : aucune clé active en production au 30/10/2026, le routeur sert Google Gemini puis Mistral AI. Vendor conservé dans la matrice par prudence (voir la page /sous-traitants) |
| Catégorie de données | Prompts utilisateur (logs 72h max anonymisés), réponses générées |
| Mécanisme de transfert | DPF actif (Anthropic PBC listée auto-certifiée au 30/05/2026) + CCT 2021/914 module 3 |
| DPA archivé | Anthropic Data Processing Addendum (https://www.anthropic.com/legal/dpa) version en vigueur au 30/05/2026 |
| Mesures supplémentaires | Mode no-training contractuel (zero data retention API option activée), TLS 1.3, anonymisation logs Cloud Router 72h, rotation prompts hashing après expiration |
Vendor 10 — Google Ireland Limited / Google LLC (accès boîtes, disque, agendas)
| Critère | Valeur |
|---|
| Entité contractante | Google Ireland Limited (contrat) · Google LLC — États-Unis (infrastructure) — entités à confirmer au contrat OAuth |
| Pays entité | Irlande (UE) pour l'entité contractante · États-Unis pour l'infrastructure |
| Infrastructure opérationnelle | Union européenne (Belgique, Pays-Bas, Finlande) et États-Unis selon le service |
| Finalité précise | Accès en lecture aux boîtes Gmail, fichiers Google Drive et calendriers Google Calendar des clients qui l'autorisent explicitement par connexion sécurisée (offres Découverte, Rattrapage, Bureau Solo, Bureau Pro) ; envoi de messages et création de rendez-vous uniquement après validation explicite du client |
| Catégorie de données | Objet, expéditeur et extrait (300 caractères) des messages, représentations vectorielles, événements d'agenda, documents rangés dans le dossier dédié |
| Mécanisme de transfert | USA pour certaines fonctionnalités — CCT 2021/914 + DPF |
| DPA archivé | Conditions d'utilisation des API Google (engagement d'utilisation limitée) — contrat propre à vérifier |
| Mesures supplémentaires | Jetons de connexion chiffrés AES-256-GCM, révocation immédiate à la demande, clause d'utilisation limitée publiée sur la politique de confidentialité, aucun entraînement de modèles |
Vendor 11 — Google Gemini (modèle d'intelligence artificielle principal)
| Critère | Valeur |
|---|
| Entité contractante | Google — service d'intelligence artificielle Gemini (entité contractante à vérifier) |
| Pays entité | États-Unis et Union européenne selon le point d'accès — à vérifier au contrat |
| Infrastructure opérationnelle | À vérifier au contrat |
| Finalité précise | Modèle principal du routeur de traitement (chaîne Gemini puis Mistral AI payant) : lecture et tri des messages, rédaction des brouillons, lecture des documents, réponses de l'assistant. Distinct de l'accès aux boîtes (vendor 10) |
| Catégorie de données | Prompts (texte des éléments à traiter), réponses générées |
| Mécanisme de transfert | USA possible — garanties : contrat à vérifier |
| DPA archivé | À vérifier |
| Mesures supplémentaires | Appel en formule payante (pas d'entraînement sur nos contenus), journaux anonymisés 72 h maximum côté serveur de traitement, TLS |
Vendor 12 — Calendly (prise de rendez-vous)
| Critère | Valeur |
|---|
| Entité contractante | Calendly — entité contractante à vérifier |
| Pays entité | À vérifier |
| Infrastructure opérationnelle | À vérifier — contrat à vérifier |
| Finalité précise | Prise de rendez-vous avec Nivelo : nom, adresse électronique et créneau choisi |
| Catégorie de données | Identité de contact du rendez-vous uniquement |
| Mécanisme de transfert | À vérifier |
| DPA archivé | À vérifier |
| Mesures supplémentaires | Aucun widget intégré aux pages Nivelo (liens sortants seulement, vérifié dans le code le 30/10/2026) ; aucune donnée client métier transmise |
Vendor 13 — Telegram (alertes et notifications)
| Critère | Valeur |
|---|
| Entité contractante | Telegram — messagerie (entité contractante à vérifier) |
| Pays entité | À vérifier |
| Infrastructure opérationnelle | À vérifier — contrat à vérifier |
| Finalité précise | Alertes internes à l'équipe (nouvelle demande, commande, résumé d'appel) et notifications que les clients choisissent de recevoir |
| Catégorie de données | Prénom, téléphone et courriel si fournis par le demandeur, résumés d'appel |
| Mécanisme de transfert | À vérifier |
| DPA archivé | À vérifier |
| Mesures supplémentaires | Aucun contenu de message client transmis ; identifiants internes uniquement |
Vendor 14 — Cloudflare Turnstile (test anti-robot)
| Critère | Valeur |
|---|
| Entité contractante | Cloudflare, Inc. — contrôle anti-robot (entité contractante à vérifier) |
| Pays entité | États-Unis |
| Infrastructure opérationnelle | Réseau mondial Cloudflare — à préciser au contrat |
| Finalité précise | Vérifier qu'un formulaire (appel d'essai, récapitulatif par courriel) est envoyé par une personne et non par un robot |
| Catégorie de données | Adresse IP et signaux techniques du navigateur ; jeton à usage unique valable 5 minutes |
| Mécanisme de transfert | USA possible — garanties : contrat à vérifier |
| DPA archivé | À vérifier |
| Mesures supplémentaires | Aucun traceur publicitaire ; exempt de consentement (strictement nécessaire — sécurité) |
Vendor 15 — GitHub Inc. (code source et déploiement)
| Critère | Valeur |
|---|
| Entité contractante | GitHub Inc. (filiale de Microsoft Corporation) — États-Unis |
| Pays entité | États-Unis |
| Infrastructure opérationnelle | États-Unis |
| Finalité précise | Hébergement du code source du site et exécution de l'orchestration de déploiement continu vers l'hébergement et le serveur de traitement |
| Catégorie de données | Code source uniquement ; aucune donnée personnelle client dans le dépôt (clés interdites au dépôt, vérifié par essai automatique) |
| Mécanisme de transfert | USA — CCT 2021/914 + DPF |
| DPA archivé | Conditions publiques GitHub — contrat à vérifier |
| Mesures supplémentaires | Aucune donnée utilisateur traitée ; secrets hors du dépôt |
Vendor 16 — Upstash Inc. (limitation du débit des appels)
| Critère | Valeur |
|---|
| Entité contractante | Upstash Inc. — États-Unis (société) |
| Pays entité | États-Unis |
| Infrastructure opérationnelle | Base de données gérée — région à confirmer en console (vérification restante) |
| Finalité précise | Limitation du débit des requêtes du site (anti-abus) |
| Catégorie de données | Empreinte d'adresse IP hachée avec sel (jamais l'adresse complète) et, pour les compteurs liés à un compte, l'adresse courriel du compte dans la clé du compteur ; clés effacées automatiquement à l'expiration de la fenêtre de comptage, de 1 minute à 24 heures selon le compteur (relevé du code du 02/11/2026) |
| Mécanisme de transfert | À vérifier (selon la région de la base) |
| DPA archivé | À vérifier |
| Mesures supplémentaires | Minimisation : adresse IP jamais stockée en clair, expiration automatique des clés (1 minute à 24 heures) ; l'adresse courriel des clés de compteur est effacée avec elles |
Synthèse Transfer Impact Assessment (TIA) — risques résiduels
| Catégorie | Vendors | Niveau risque post-mesures | Action recommandée |
|---|
| UE/EEE — pas de transfert | Scaleway, Stripe (entité UE), Brevo, Mistral | Vert | Veille semestrielle évolutions DPA vendors |
| US — DPF actif + SCC | Supabase (entité US infra UE), Vercel, Twilio (cascade), Anthropic (éteint — maintenu par prudence), Google (accès boîtes), GitHub | Jaune | Veille certification DPF (révocations possibles), audit annuel mesures supplémentaires |
| US — DPF status à vérifier | Eleven Labs, Google Gemini, Cloudflare Turnstile, Upstash, Calendly, Telegram (pays à vérifier) | Orange | Vérifier entité contractante, pays et DPF status au moment de la signature avocat — si non actif, basculer en risque rouge ci-dessous |
Engagements de l'Éditeur sur cette Annexe
L'Éditeur s'engage à :
- Mettre à jour cette matrice à chaque ajout, retrait ou changement substantiel d'un sous-traitant ultérieur, et la notifier dans les conditions de l'article 6.1 du DPA principal.
- Vérifier semestriellement la validité du statut DPF des vendors US listés (Supabase, Vercel, Twilio Inc., Anthropic, Eleven Labs, Google, GitHub, Cloudflare Turnstile, Upstash) sur le portail officiel dataprivacyframework.gov.
- Conserver les versions de DPA / Sub-Processor Agreement de chaque vendor à la date de signature du présent DPA Nivelo, et les mettre à disposition de l'Utilisateur sur demande adressée au contact protection des données.
- Conduire un TIA renforcé si un vendor classé Rouge devait être ajouté à la matrice. Au 07/10/2026 la matrice ne comporte plus de vendor en risque Rouge.
- Documenter par écrit toute évolution majeure du cadre juridique pays tiers susceptible d'affecter le mécanisme de transfert (ex : nouvelle décision CJUE, retrait DPF, sanctions UE).
← Retour au DPA principal
Le document complet et ses versions datées sont disponibles sur demande : contact@nivelo.fr.