Transparence RGPD · article 28
Sous-traitants et fournisseurs de données
Conformément à l'article 28 du RGPD, voici la liste exhaustive et à jour des prestataires que Nivelo utilise pour fournir ses services.
Version provisoire — en cours de validation juridique
La liste des sous-traitants ci-dessous reflète la configuration constatée chez Nivelo (clés posées, code câblé au 30 octobre 2026) : certains prestataires y sont déclarés éteints ou réservables, et une clé posée n'est pas une exécution. Le cadre contractuel associé (contrat de protection des données et ses annexes) est en cours de validation par un avocat spécialisé en droit du numérique et sera finalisé avant la signature du premier client payant. Les statuts « DPA signé » font référence aux conventions publiques des prestataires ; la contractualisation propre à la société Nivelo (post-immatriculation) reste à finaliser.
Qui sert le site aujourd'hui — configuration constatée le 30 octobre 2026
Sont configurés pour servir le site en production (clés posées, code câblé) : Vercel (hébergement du site), Supabase (base de données, Francfort), Stripe (paiement), Brevo (courriels), Scaleway (serveur de traitement, Paris), Google Gemini puis Mistral AI en secours (lecture et tri des messages, via notre serveur), Upstash (limitation du débit des appels), Cloudflare Turnstile (test anti-robot), Telegram (alertes internes), GitHub (code et déploiement), Google (connexion aux boîtes, agendas et disques de nos clients qui l'autorisent) et Calendly (prise de rendez-vous).Twilio et ElevenLabs (téléphone et voix) sont câblés et réservables : le module vocal est proposé après l'immatriculation de la société. Anthropic est listé par prudence mais éteint : aucune requête ne lui est envoyée à l'heure actuelle. Être sur cette liste ne veut pas dire servir le site chaque jour : ce constat porte sur la configuration (clés posées et code câblé), pas sur une mesure d'appels — une clé posée n'est pas une exécution.
| Fournisseur | Finalité chez Nivelo | Hébergement | Hors UE | Base légale | Statut DPA |
|---|---|---|---|---|---|
Vercel Vercel Inc. — États-Unis | Hébergement frontend Next.js et fonctions edge. | États-Unis (siège) — diffusion via régions Union européenne (Paris, Francfort), transferts encadrés par les clauses contractuelles types | Oui USA — CCT 2021/914 + DPF | Exécution du contrat (art. 6.1.b RGPD) | Signé |
Supabase Supabase Inc. — États-Unis | Base de données PostgreSQL, authentification et stockage de fichiers. | Union européenne — Francfort (eu-central-1) | Non | Exécution du contrat (art. 6.1.b RGPD) | Signé |
Stripe Stripe Payments Europe Ltd — Irlande | Paiement par carte bancaire et facturation SaaS. | Union européenne — Irlande | Non | Exécution du contrat (art. 6.1.b RGPD) et obligation légale (art. 6.1.c) | Signé |
Brevo Sendinblue SAS — France | Envoi d'emails transactionnels et campagnes marketing opt-in. | France | Non | Consentement (marketing, art. 6.1.a) / Intérêt légitime (transactionnel, art. 6.1.f) | Signé |
Twilio Twilio Ireland Ltd — Irlande | Téléphonie programmable, SMS et infrastructure voice agents. | Union européenne et États-Unis selon le service | Partiel USA pour certaines fonctionnalités — CCT 2021/914 | Exécution du contrat (art. 6.1.b RGPD) | Signé |
ElevenLabs Eleven Labs Inc. — États-Unis | Synthèse vocale et clonage de voix pour les agents téléphoniques. | États-Unis | Oui USA — CCT 2021/914 + DPF | Consentement explicite pour voix clonée (art. 6.1.a RGPD) | À signer |
Scaleway Scaleway — France | Serveur hébergeant le routeur d'inférence et l'orchestrateur de workflows, et coffre des sauvegardes chiffrées (copies verrouillées 30 jours). | Union européenne — France (Paris) | Non | Exécution du contrat (art. 6.1.b RGPD) | À signer |
Mistral AI Mistral AI SAS — France | Modèle d'intelligence artificielle de secours quand Google Gemini ne répond pas (lecture et tri des mails, brouillons, assistant), lecture des documents et des pièces jointes, index de recherche dans vos documents. | France | Non | Exécution du contrat (art. 6.1.b RGPD) | Signé |
Anthropic Anthropic PBC — États-Unis | Inférence LLM de secours, éteinte par défaut (Claude Haiku, Claude Sonnet) ; listée par prudence. | États-Unis | Oui USA — CCT 2021/914 | Exécution du contrat (art. 6.1.b RGPD) | À signer |
Google Google Ireland Limited — Irlande (contrat) · Google LLC — États-Unis (infrastructure) | Accès en lecture aux boîtes Gmail, fichiers Google Drive et calendriers Google Calendar des utilisateurs qui autorisent explicitement la connexion OAuth (offres Découverte, Rattrapage, Bureau Solo, Bureau Pro). | Union européenne (Belgique, Pays-Bas, Finlande) et États-Unis selon le service | Partiel USA pour certaines fonctionnalités — CCT 2021/914 + DPF | Consentement explicite via OAuth (art. 6.1.a RGPD) | À signer |
GitHub GitHub Inc. (filiale de Microsoft Corporation) — États-Unis | Hébergement du code source du site public et exécution de l'orchestration CI/CD (GitHub Actions) qui déploie automatiquement chaque changement de code vers Vercel et Scaleway. | États-Unis | Oui USA — CCT 2021/914 + DPF | Exécution du contrat (art. 6.1.b RGPD) | À signer |
Google Gemini Google — service d'intelligence artificielle Gemini (entité contractante à vérifier) | Modèle d'intelligence artificielle principal : lecture et tri de vos mails, rédaction des brouillons, lecture des documents, réponses de l'assistant. Distinct de l'accès Gmail, Drive et Agenda (ligne Google ci-dessus). | États-Unis et Union européenne selon le point d'accès — à vérifier au contrat | Partiel USA possible — garanties : contrat à vérifier | Exécution du contrat (art. 6.1.b RGPD) | À vérifier |
Telegram Telegram — messagerie (entité contractante à vérifier) | Alertes envoyées à l'équipe Nivelo (nouvelle demande avec prénom, téléphone et courriel si vous les donnez, commande, résumé d'appel) et notifications que vous choisissez de recevoir. | À vérifier — contrat à vérifier | À vérifier | Exécution du contrat (art. 6.1.b RGPD) | À vérifier |
Calendly Calendly — prise de rendez-vous (entité contractante à vérifier) | Prise de rendez-vous avec Nivelo : nom, adresse email et créneau choisi. | À vérifier — contrat à vérifier | À vérifier | Exécution de mesures précontractuelles (art. 6.1.b RGPD) | À vérifier |
Cloudflare Turnstile Cloudflare — contrôle anti-robot (entité contractante à vérifier) | Vérifier qu'un formulaire (appel d'essai, récapitulatif par email) est envoyé par une personne et non par un robot : adresse IP et signaux techniques du navigateur. | À vérifier — contrat à vérifier | À vérifier | Intérêt légitime : sécurité du service (art. 6.1.f RGPD) | À vérifier |
Upstash Upstash Inc. — États-Unis (société) | Limitation du débit des requêtes (anti-abus) : compteur à expiration automatique (de 1 minute à 24 heures selon le compteur), dont la clé contient une empreinte d'adresse IP hachée avec sel (jamais l'adresse complète) et, pour les compteurs liés à un compte, l'adresse courriel du compte. | Base de données gérée Upstash — région à confirmer en console (société américaine) | À vérifier | Intérêt légitime : sécurité du service (art. 6.1.f RGPD) | À vérifier |
Liste des sous-traitants
Vercel
Vercel Inc. — États-Unis
- Finalité
- Hébergement frontend Next.js et fonctions edge.
- Hébergement
- États-Unis (siège) — diffusion via régions Union européenne (Paris, Francfort), transferts encadrés par les clauses contractuelles types
- Hors UE :
- Oui
- USA — CCT 2021/914 + DPF
- Base légale
- Exécution du contrat (art. 6.1.b RGPD)
Supabase
Supabase Inc. — États-Unis
- Finalité
- Base de données PostgreSQL, authentification et stockage de fichiers.
- Hébergement
- Union européenne — Francfort (eu-central-1)
- Hors UE :
- Non
- Base légale
- Exécution du contrat (art. 6.1.b RGPD)
Stripe
Stripe Payments Europe Ltd — Irlande
- Finalité
- Paiement par carte bancaire et facturation SaaS.
- Hébergement
- Union européenne — Irlande
- Hors UE :
- Non
- Base légale
- Exécution du contrat (art. 6.1.b RGPD) et obligation légale (art. 6.1.c)
Brevo
Sendinblue SAS — France
- Finalité
- Envoi d'emails transactionnels et campagnes marketing opt-in.
- Hébergement
- France
- Hors UE :
- Non
- Base légale
- Consentement (marketing, art. 6.1.a) / Intérêt légitime (transactionnel, art. 6.1.f)
Twilio
Twilio Ireland Ltd — Irlande
- Finalité
- Téléphonie programmable, SMS et infrastructure voice agents.
- Hébergement
- Union européenne et États-Unis selon le service
- Hors UE :
- Partiel
- USA pour certaines fonctionnalités — CCT 2021/914
- Base légale
- Exécution du contrat (art. 6.1.b RGPD)
ElevenLabs
Eleven Labs Inc. — États-Unis
- Finalité
- Synthèse vocale et clonage de voix pour les agents téléphoniques.
- Hébergement
- États-Unis
- Hors UE :
- Oui
- USA — CCT 2021/914 + DPF
- Base légale
- Consentement explicite pour voix clonée (art. 6.1.a RGPD)
- DPA :
- À signer
Scaleway
Scaleway — France
- Finalité
- Serveur hébergeant le routeur d'inférence et l'orchestrateur de workflows, et coffre des sauvegardes chiffrées (copies verrouillées 30 jours).
- Hébergement
- Union européenne — France (Paris)
- Hors UE :
- Non
- Base légale
- Exécution du contrat (art. 6.1.b RGPD)
- DPA :
- À signer
Mistral AI
Mistral AI SAS — France
- Finalité
- Modèle d'intelligence artificielle de secours quand Google Gemini ne répond pas (lecture et tri des mails, brouillons, assistant), lecture des documents et des pièces jointes, index de recherche dans vos documents.
- Hébergement
- France
- Hors UE :
- Non
- Base légale
- Exécution du contrat (art. 6.1.b RGPD)
Anthropic
Anthropic PBC — États-Unis
- Finalité
- Inférence LLM de secours, éteinte par défaut (Claude Haiku, Claude Sonnet) ; listée par prudence.
- Hébergement
- États-Unis
- Hors UE :
- Oui
- USA — CCT 2021/914
- Base légale
- Exécution du contrat (art. 6.1.b RGPD)
- DPA :
- À signer
Google Ireland Limited — Irlande (contrat) · Google LLC — États-Unis (infrastructure)
- Finalité
- Accès en lecture aux boîtes Gmail, fichiers Google Drive et calendriers Google Calendar des utilisateurs qui autorisent explicitement la connexion OAuth (offres Découverte, Rattrapage, Bureau Solo, Bureau Pro).
- Hébergement
- Union européenne (Belgique, Pays-Bas, Finlande) et États-Unis selon le service
- Hors UE :
- Partiel
- USA pour certaines fonctionnalités — CCT 2021/914 + DPF
- Base légale
- Consentement explicite via OAuth (art. 6.1.a RGPD)
- DPA :
- À signer
GitHub
GitHub Inc. (filiale de Microsoft Corporation) — États-Unis
- Finalité
- Hébergement du code source du site public et exécution de l'orchestration CI/CD (GitHub Actions) qui déploie automatiquement chaque changement de code vers Vercel et Scaleway.
- Hébergement
- États-Unis
- Hors UE :
- Oui
- USA — CCT 2021/914 + DPF
- Base légale
- Exécution du contrat (art. 6.1.b RGPD)
- DPA :
- À signer
Google Gemini
Google — service d'intelligence artificielle Gemini (entité contractante à vérifier)
- Finalité
- Modèle d'intelligence artificielle principal : lecture et tri de vos mails, rédaction des brouillons, lecture des documents, réponses de l'assistant. Distinct de l'accès Gmail, Drive et Agenda (ligne Google ci-dessus).
- Hébergement
- États-Unis et Union européenne selon le point d'accès — à vérifier au contrat
- Hors UE :
- Partiel
- USA possible — garanties : contrat à vérifier
- Base légale
- Exécution du contrat (art. 6.1.b RGPD)
- DPA :
- À vérifier
Telegram
Telegram — messagerie (entité contractante à vérifier)
- Finalité
- Alertes envoyées à l'équipe Nivelo (nouvelle demande avec prénom, téléphone et courriel si vous les donnez, commande, résumé d'appel) et notifications que vous choisissez de recevoir.
- Hébergement
- À vérifier — contrat à vérifier
- Hors UE :
- À vérifier
- Base légale
- Exécution du contrat (art. 6.1.b RGPD)
- DPA :
- À vérifier
Calendly
Calendly — prise de rendez-vous (entité contractante à vérifier)
- Finalité
- Prise de rendez-vous avec Nivelo : nom, adresse email et créneau choisi.
- Hébergement
- À vérifier — contrat à vérifier
- Hors UE :
- À vérifier
- Base légale
- Exécution de mesures précontractuelles (art. 6.1.b RGPD)
- DPA :
- À vérifier
Cloudflare Turnstile
Cloudflare — contrôle anti-robot (entité contractante à vérifier)
- Finalité
- Vérifier qu'un formulaire (appel d'essai, récapitulatif par email) est envoyé par une personne et non par un robot : adresse IP et signaux techniques du navigateur.
- Hébergement
- À vérifier — contrat à vérifier
- Hors UE :
- À vérifier
- Base légale
- Intérêt légitime : sécurité du service (art. 6.1.f RGPD)
- DPA :
- À vérifier
Upstash
Upstash Inc. — États-Unis (société)
- Finalité
- Limitation du débit des requêtes (anti-abus) : compteur à expiration automatique (de 1 minute à 24 heures selon le compteur), dont la clé contient une empreinte d'adresse IP hachée avec sel (jamais l'adresse complète) et, pour les compteurs liés à un compte, l'adresse courriel du compte.
- Hébergement
- Base de données gérée Upstash — région à confirmer en console (société américaine)
- Hors UE :
- À vérifier
- Base légale
- Intérêt légitime : sécurité du service (art. 6.1.f RGPD)
- DPA :
- À vérifier
Transferts hors Union européenne
Pour les transferts de données vers les pays situés hors de l'Union européenne (Vercel, Twilio partiellement, ElevenLabs, Anthropic, Google et Google Gemini partiellement et GitHub), Nivelo s'appuie sur les Clauses Contractuelles Types (CCT) de la Commission européenne édition 2021/914 ainsi que, le cas échéant, sur les certifications du EU-US Data Privacy Framework. Chaque sous-traitant concerné est engagé contractuellement à respecter un niveau de protection équivalent à celui imposé par le RGPD.
Les données sensibles (factures, contrats, données métier des utilisateurs finaux) restent prioritairement chez nos fournisseurs basés en Union européenne : Supabase pour la base de données (datacenter Francfort, Allemagne), Mistral AI pour la lecture des documents et en secours de l'intelligence artificielle (France) et Scaleway pour l'infrastructure de calcul et les sauvegardes (France). Le modèle d'intelligence artificielle principal est Google Gemini, dont le lieu de traitement dépend du point d'accès : ses garanties contractuelles sont en cours de vérification. Les transferts hors UE concernent aussi l'hébergement du site public et la synthèse vocale optionnelle. Pour Telegram, Calendly et Cloudflare Turnstile, le pays de traitement et le contrat sont en cours de vérification.
L'ensemble des échanges entre Nivelo et ses sous-traitants est chiffré en transit via le protocole TLS 1.2 minimum, et toutes les données au repos sont chiffrées chez chaque prestataire selon les standards de l'industrie (AES-256 ou équivalent). Aucune donnée client ne transite en clair sur les réseaux publics.
En cas d'incident de sécurité affectant des données personnelles, Nivelo notifie la Commission Nationale de l'Informatique et des Libertés (CNIL) dans un délai maximum de 72 heures conformément à l'article 33 du RGPD, et informe les personnes concernées sans délai injustifié lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (article 34 RGPD).
Vos droits RGPD
Conformément aux articles 15 à 22 du RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement (« droit à l'oubli »), de limitation du traitement, de portabilité de vos données vers un autre prestataire, ainsi que d'un droit d'opposition au traitement fondé sur l'intérêt légitime. Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment sans avoir à justifier de motif.
Pour exercer ces droits, deux options : connectez-vous à votre espace mon compte > mes données pour accéder, exporter ou supprimer vos données directement, ou écrivez à contact@nivelo.fr avec une copie d'une pièce d'identité. Nous répondons à toute demande dans un délai maximum de 30 jours conformément à l'article 12 du RGPD.
Si vous estimez que vos droits ne sont pas respectés ou si vous n'êtes pas satisfait·e de notre réponse, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) — autorité de contrôle française en matière de protection des données personnelles — cnil.fr/plaintes.
Mise à jour de cette liste
Cette liste est revue à chaque ajout ou retrait de prestataire. Conformément à l'article 28.2 du RGPD, vous serez notifié·e par email 30 jours avant tout ajout d'un nouveau sous-traitant susceptible de traiter vos données personnelles, afin que vous puissiez exercer votre droit d'opposition motivé.
Pour être informé·e en priorité des changements, abonnez-vous à la newsletter dédiée depuis votre espace données personnelles.
Page versionnée — historique des modifications disponible sur demande à contact@nivelo.fr. Référence interne : SOUS-TRAITANTS-v1.6-20261102 (description Upstash alignée sur le relevé du code : courriel du compte présent dans les clés des compteurs associés à un compte, fenêtres de 1 minute à 24 heures ; suite de SOUS-TRAITANTS-v1.5-20261030 : ajout Upstash, limiteur de débit ; SOUS-TRAITANTS-v1.4-20261011 : ajout Google Gemini, Telegram, Calendly, Cloudflare Turnstile).