Liste des sous-traitants ultérieurs — EduRegie
Annexe à l'accord de sous-traitance. Mise à jour dès qu'un sous-traitant ultérieur change — les écoles en sont informées au préalable conformément à l'article 6.2 de l'accord de sous-traitance.
| Sous-traitant ultérieur | Fonction | Lieu de traitement | Nature des données |
|---|---|---|---|
| Supabase (Supabase Inc.) | Hébergement de la base de données et de l'authentification (PostgreSQL, comptes utilisateurs) | UE-Ouest (Irlande) | Toutes les données opérationnelles d'absentéisme, d'emploi du temps et d'utilisateurs |
| Vercel Inc. | Hébergement du tableau de bord web | Région UE (à confirmer dans les paramètres du projet Vercel) | Ne fait que relayer le trafic ; aucun stockage durable de données à caractère personnel en dehors de la base de données Supabase |
| Hostinger | Hébergement de la couche d'automatisation n8n (VPS) | UE (pays exact à confirmer dans le panneau Hostinger ; confirmé comme région UE) | Données transitant par les workflows pendant le traitement (non stockées durablement en dehors de la base de données) |
| Hostinger | Hébergement e-mail pour le compte d'envoi info@elhoucineautomation.nl (SMTP), pour les notifications (alertes planificateur, mises à jour chef d'équipe, bulletin quotidien) | UE (pays exact à confirmer dans le panneau Hostinger ; confirmé comme région UE) | Nom et adresse e-mail du destinataire, contenu du message sans données médicales |
| Instance Evolution API (auto-hébergée, même VPS que n8n) | Canal de signalement WhatsApp | Même région que le VPS Hostinger (UE) | Numéro de téléphone et texte du message de l'expéditeur, uniquement contenu opérationnel |
| MessageBird (Bird B.V.) | Signalement téléphonique de l'absentéisme (voix/SVI) — prévu, pas encore en production | UE (Amsterdam) | Numéro de téléphone de la personne signalant et (si transcrit) contenu opérationnel du message, aucune donnée médicale |
| Google (Google Ireland Ltd.) | Google Sheets — tableau de bord de reporting pilote/statistiques | UE (Irlande, pour le tenant UE) | Uniquement des statistiques agrégées et non identifiables tant que Sheets est utilisé en mode pilote (voir google-sheets/README.md) |
| Sentry (Functional Software, Inc.) | Surveillance des erreurs du tableau de bord web | À confirmer dans les paramètres du projet Sentry (hébergement UE sélectionnable) | Données techniques d'erreur ; aucune donnée à caractère personnel volontairement journalisée, mais les rapports d'erreur peuvent occasionnellement contenir des données de contexte |
Principes
- Un sous-traitant ultérieur n'est ajouté que s'il propose lui-même un accord de sous-traitance (ou des garanties contractuelles équivalentes, telles que les clauses contractuelles types de l'UE pour un traitement en dehors de l'EEE).
- Pour un usage en production avec des données d'absentéisme réelles, Google Sheets n'est pas utilisé comme sous-traitant de données à caractère personnel — voir la recommandation dans
google-sheets/README.mdde limiter Sheets à des statistiques anonymisées dès qu'une école passe en production. - L'envoi WhatsApp passe par une instance Evolution API auto-hébergée (aucune donnée via l'API Meta/WhatsApp Business Cloud) — il convient encore de vérifier explicitement avec un juriste si cela est considéré comme un sous-traitant ultérieur ou comme une infrastructure propre.
- Le pays exact du centre de données Hostinger (tant pour le VPS que pour l'hébergement e-mail) doit encore être confirmé dans le panneau Hostinger avant que cette liste ne soit utilisée comme annexe à un contrat client — la région UE elle-même est confirmée.
- MessageBird a été choisi comme fournisseur de téléphonie en raison de son implantation dans l'UE (Amsterdam), ce qui simplifie l'évaluation RGPD par rapport à un fournisseur américain (qui nécessiterait des clauses contractuelles types). Ne devient un véritable sous-traitant ultérieur qu'une fois l'intégration téléphonique mise en production.