Sous-traitants
Dernière mise à jour : 12 novembre 2026
Les prestataires auxquels l'éditeur de Cibléo recourt pour fournir le service, ce que chacun traite, et où.
Qui est responsable de quoi
Le club est responsable du traitement des données de ses adhérents. L'éditeur de Cibléo est son sous-traitant au sens de l'article 28 du RGPD, et les prestataires ci-dessous sont des sous-traitants ultérieurs. Le contrat qui encadre cette relation est publié dans les conditions d'utilisation et de sous-traitance, que le président accepte avant tout traitement.
La liste
Les prestataires situés hors de l'Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne (CCT) ou par le cadre de protection des données UE–États-Unis (DPF). Les données hébergées dans l'Union par une société américaine restent soumises à ce même encadrement.
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| Supabase | Base de données, fichiers, authentification, coffre à clés | Union européenne (société américaine — CCT) |
| Vercel | Hébergement de l'application | Union européenne (société américaine — DPF / CCT) |
| Sentry | Supervision technique des erreurs : message d'erreur, page concernée, type de navigateur. Ni identité, ni adresse IP, ni contenu de formulaire, et aucun enregistrement de l'écran. | Union européenne, Allemagne (société américaine — CCT) |
| Amazon Web Services | Envoi des e-mails (Amazon SES) et des SMS (AWS End User Messaging) : adresse ou numéro du destinataire et contenu du message. Aucun suivi des ouvertures ni des clics. | Union européenne, France (Paris) (société américaine — DPF / CCT) |
| Brevo | Fournisseur alternatif d'envoi des e-mails et des SMS, utilisé si l'éditeur le choisit à la place d'Amazon. Il mesure alors les ouvertures et les clics des e-mails, que le bureau voit en nombres | France |
| Stripe | Paiement de l'abonnement du club | Irlande / États-Unis — CCT |
| Anthropic | Fonctions d'assistance par IA (optionnelles) | États-Unis — CCT |
| Apple, Google, Microsoft, Mozilla | Acheminement des notifications push, selon votre navigateur ou votre téléphone : un titre court (au plus le prénom et l'initiale de l'auteur d'un message), jamais le contenu d'un message | États-Unis |
| Cloudflare | Vérification anti-robot des écrans de connexion (Turnstile) : adresse IP et caractéristiques du navigateur, sans identité | États-Unis — CCT |
| Etalab (geo.api.gouv.fr) | Recherche de communes à la saisie d'une adresse | France |
| IGN (Géoplateforme, data.geopf.fr) | Position du stand d'après son adresse, sur demande du club : seule l'adresse du stand est envoyée, aucune donnée personnelle | France |
| GitHub (Microsoft) | Exécution des sauvegardes : la copie de la base transite sur une machine éphémère avant d'être chiffrée et déposée chez Scaleway | États-Unis — DPF / CCT |
| Calendriers OpenTimestamps | Horodatage quotidien du registre de présence : seule une empreinte (SHA-256) de la chaîne part, jamais une donnée de personne ni de club lisible | Serveurs publics (Europe / États-Unis) |
| Amazon Web Services (S3) | Coffre des reçus d'horodatage du registre, conservés six ans en écriture seule : des empreintes, aucune donnée de personne | Union européenne, France (Paris) (société américaine — DPF / CCT) |
| Scaleway | Copie de sauvegarde de la base et des fichiers, chiffrée avant envoi : le prestataire ne détient que du chiffré | France (Paris) |
Quand la liste change
Le club est informé de tout ajout ou remplacement au moins 30 jours avant sa mise en œuvre, par une nouvelle version des conditions présentée au président — sauf remplacement imposé par une urgence de sécurité, signalé aussitôt. Il peut s'y opposer en écrivant à l'éditeur ; à défaut d'accord, il peut mettre fin au contrat et récupérer ses données. La liste est la même que celle de la politique de confidentialité ; ce qui protège concrètement les données est décrit sur la page Sécurité & confidentialité.