Liste des sous-traitants — Encrelio
Dernière mise à jour : 26 septembre 2026 · Version : 1.2
Conformément à l'article 28.2 du RGPD et à la transparence requise par notre Politique de Confidentialité, vous trouverez ci-dessous la liste exhaustive des sous-traitants qui interviennent dans la fourniture du Service Encrelio.
Tout ajout ou remplacement de sous-traitant est notifié au moins 30 jours avant son entrée en vigueur, par email à l'adresse du propriétaire de l'organisation. Vous pouvez vous y opposer pour motif légitime — dans ce cas, vous bénéficiez d'un droit de résiliation sans frais.
Infrastructure technique
| Sous-traitant | Rôle | Données traitées | Localisation | Cadre du transfert | DPA |
|---|---|---|---|---|---|
| Supabase Pte. Ltd. (Singapour) | Base de données PostgreSQL, authentification, fonctions serverless, coffre des secrets (Vault) | Toutes les Données Client (factures, contacts, interactions, jetons chiffrés) | Base de données : Stockholm, région eu-north-1 (UE). Fonctions serverless : exécutées dans la région la plus proche de l'appelant, sans y conserver de données | Clauses contractuelles types (décision 2021/914) | Intégré aux conditions générales de Supabase, sans signature séparée : supabase.com/legal/dpa |
| OVHcloud SAS (France) | Hébergement du site et de l'application web ; messagerie des adresses @encrelio.fr | Aucune Donnée Client stockée (la base est chez Supabase) ; journaux d'accès du serveur web (adresse IP, page demandée) ; emails reçus sur les adresses @encrelio.fr (support, données personnelles) | Gravelines (France), sauvegardes de l'hébergeur à Roubaix (France) | Aucun transfert hors EEE | Intégré aux conditions générales d'OVHcloud (annexe « Traitement de données à caractère personnel ») : ovhcloud.com/fr/personal-data-protection |
Services connectés par le Client (hors sous-traitance d'Encrelio)
Ces services sont choisis et connectés par le Client. Ils ne sont pas des sous-traitants d'Encrelio : chacun traite les données du Client selon le contrat qui le lie au Client.
| Service | Rôle | Données concernées | Localisation | Cadre |
|---|---|---|---|---|
| Pennylane SAS (France) | Source des données comptables (API officielle) | Factures, clients, paiements — lus sur autorisation explicite et révocable du Client | France | Contrat direct entre le Client et Pennylane, qui est son sous-traitant : pennylane.com/fr/conditions-generales |
| Google (Google Ireland Ltd. / Google LLC) | Boîte Gmail du Client : envoi des relances et lecture des emails utiles au suivi des clients — scopes openid, email, gmail.send et gmail.readonly | Emails de relance envoyés ; pour les messages rattachés à une fiche : objet, expéditeur, date, aperçu et identifiants (le texte complet n'est pas conservé par Encrelio) | Selon le compte Google du Client (UE / USA) | Google agit en responsable de traitement indépendant de la boîte Gmail ; Encrelio y accède avec l'autorisation OAuth du Client, selon les Google APIs Terms of Service et la Google API Services User Data Policy, y compris ses exigences d'utilisation limitée (Limited Use) |
Communications transactionnelles
| Sous-traitant | Rôle | Données traitées | Localisation | Cadre du transfert | DPA |
|---|---|---|---|---|---|
| Resend (Plus Five Five, Inc., USA) | Envoi des emails de l'outil : invitations d'équipe et emails d'authentification (connexion, confirmation d'inscription, mot de passe) | Adresse du destinataire et contenu de ces emails : lien de connexion ou d'invitation, nom de l'organisation, adresse de l'invitant et rôle (jamais les emails de relance du Client, qui partent de sa boîte Gmail) | USA (données de compte et journaux d'envoi) | Data Privacy Framework (certification de Resend) et clauses contractuelles types | Intégré aux conditions de Resend, pré-signé à l'inscription : resend.com/legal/dpa |
Exploitation
| Sous-traitant | Rôle | Données traitées | Localisation | Cadre du transfert | DPA |
|---|---|---|---|---|---|
| GitHub, Inc. (USA) | Import quotidien automatique des fils de relance Gmail d'une organisation qui l'a demandé ; contrôles et lecture des journaux techniques, à la demande | Identifiant d'accès à la base de production, conservé dans les secrets chiffrés de GitHub ; jeton de renouvellement Gmail de la boîte concernée, lu le temps de la tâche ; objet, aperçu et expéditeur des emails de relance ; nom et email des fiches clients ; journaux techniques. Les journaux d'exécution sont conservés 90 jours | Non garantie : serveurs d'exécution de GitHub (infrastructure Microsoft Azure), possiblement hors UE | Data Privacy Framework (certification de GitHub, Inc.) | Déclaration de confidentialité de GitHub : docs.github.com/…/github-general-privacy-statement |
Sous-traitants potentiels (futurs)
Si Encrelio venait à introduire des fonctionnalités d'intelligence artificielle générative dans le Service, les fournisseurs envisagés seraient :
- OpenAI Ireland Ltd. ou Anthropic Ireland Ltd. ou Mistral AI SAS (France) — en mode « no-training » contractuel via API entreprise (les données soumises ne sont pas conservées au-delà de l'inférence ni utilisées pour améliorer le modèle).
Aucun de ces sous-traitants n'est encore activé. Une notification préalable de 30 jours sera adressée avant toute activation.
Engagements contractuels
Supabase, OVHcloud et Resend sont liés à Encrelio par l'accord de traitement des données (DPA) intégré à leurs conditions générales, accepté à l'ouverture du compte, sans signature séparée. Conformes à l'article 28.3 du RGPD, ces accords leur imposent :
- Traitement des données uniquement sur instruction documentée d'Encrelio
- Confidentialité : engagement des personnes autorisées
- Sécurité : mesures techniques et organisationnelles appropriées (art. 32 RGPD)
- Sous-traitance ultérieure : autorisation préalable d'Encrelio
- Assistance aux demandes d'exercice des droits des personnes
- Notification de violation sans délai injustifié
- Restitution ou suppression des données en fin de contrat
- Audit : mise à disposition de toute information démontrant la conformité
GitHub traite les données de l'import quotidien selon sa déclaration de confidentialité, dans le cadre de sa certification au Data Privacy Framework.
Historique des versions
| Version | Date | Modification |
|---|---|---|
| 1.0 | 17 mai 2026 | Création initiale (lancement du Service) |
| 1.1 | 26 septembre 2026 | Retrait de Sentry et de Stripe (non utilisés) ; ajout de GitHub (import quotidien et tâches d'exploitation) ; hébergement OVHcloud, usages de Gmail et de Resend précisés |
| 1.2 | 26 septembre 2026 | Entités exactes (Supabase Pte. Ltd., Resend / Plus Five Five, Inc.) ; forme des DPA (intégrés aux conditions générales) ; Google classé comme service connecté par le Client, hors sous-traitance ; localisation des fonctions serverless, d'OVHcloud, de Resend et de GitHub ; messagerie OVHcloud ; données confiées à GitHub précisées ; notification par email de tout ajout ou remplacement |
Contact
Pour toute question relative à cette liste de sous-traitants : dpo@encrelio.fr.