Sous-traitants ultérieurs
Prestataire : STL EMBEDED CREATIONS SRL, Cluj-Napoca, Roumanie.
La présente liste constitue l’Annexe III de l’Accord de traitement des données. Elle couvre les données à caractère personnel que Consentl traite pour le compte de ses clients dans le cadre des deux services :
- Consentl pour Shopify : l’application Shopify à l’adresse
shopify.consentl.com; - Consentl pour les sites web : le tableau de bord à l’adresse
app.consentl.comet l’API publique à l’adresseapi.consentl.com, appelée par l’extrait de code (snippet) du site web et par les plugins pour plateformes.
Ces données sont les enregistrements de consentement, les demandes relatives aux données personnelles et les rétractations des visiteurs des boutiques et des sites web, ainsi que les e-mails qui leur sont envoyés. Les mêmes prestataires traitent également les données pour lesquelles nous sommes responsable du traitement (comptes clients, facturation, assistance, journaux) ; ce traitement est décrit dans nos politiques de confidentialité.
Version 3 · En vigueur à compter du : 2026-10-23
Ceci est une traduction. Pour les clients professionnels, la version anglaise prévaut. Pour les consommateurs ayant leur résidence habituelle dans un pays dont le français est une langue officielle, la présente version fait foi au même titre que la version anglaise ; si les deux versions divergent, le sens le plus favorable au consommateur s’applique. Pour les autres consommateurs, la version anglaise prévaut, sauf si les dispositions impératives du droit de la consommation de leur pays en disposent autrement.
Sous-traitants ultérieurs actuels
| # | Sous-traitant ultérieur (entité, siège) | Utilisé pour | Service et traitement | Données concernées | Lieu du traitement | Garantie applicable au transfert |
|---|---|---|---|---|---|---|
| 1 | DigitalOcean, LLC, New York, États-Unis | Shopify et sites web | Hébergement : App Platform (applications web, processus d’arrière-plan du scanner [worker], tâches exécutées avant le déploiement [pre-deploy]), bases de données Managed PostgreSQL, sauvegardes automatiques des bases de données, journaux d’exécution | Toutes les données des bases de données Consentl (Annexe I du DPA) et métadonnées des requêtes figurant dans les journaux | Francfort, Allemagne (région App Platform fra, cluster de bases de données dans fra1) |
Données au repos dans l’UE. Accès à distance depuis des pays tiers (assistance, exploitation) en vertu de l’accord de traitement des données de DigitalOcean, qui intègre les clauses contractuelles types de l’UE (2021/914) et l’addendum du Royaume-Uni (UK Addendum). |
| 2 | Cloudflare, Inc., San Francisco, États-Unis, recrutée par DigitalOcean (sous-traitant ultérieur de DigitalOcean) | Shopify et sites web | Le réseau edge d’App Platform : terminaison TLS, diffusion de contenu, protection contre les attaques DDoS et les robots (bots) pour chaque requête adressée à shopify.consentl.com, app.consentl.com, api.consentl.com, consentl.com et à leurs hôtes de préproduction (staging). Cloudflare peut déposer le cookie de sécurité __cf_bm (30 minutes) sur ces hôtes. La détermination du pays effectuée par Consentl pour la bannière s’exécute sur les propres serveurs de Consentl (base de données locale DB-IP Lite), et non chez Cloudflare. |
Adresses IP des visiteurs et des clients, métadonnées des requêtes, corps des requêtes en transit (signaux de consentement [beacons], envois de formulaires) | Réseau edge mondial (le centre de données le plus proche du demandeur) ; les corps des requêtes ne sont pas stockés | Les clauses contractuelles types que DigitalOcean conclut avec Cloudflare dans le cadre de l’accord de traitement des données de DigitalOcean. |
| 3 | Brevo SAS (anciennement Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, France | Shopify et sites web | E-mails transactionnels via l’API Brevo : vérification et confirmation des demandes relatives aux données personnelles, accusés de réception des rétractations (aux acheteurs et aux visiteurs) ; notifications, rapports d’analyse et e-mails relatifs au compte et à la facturation (aux clients) | Adresse e-mail et nom du destinataire, contenu de l’e-mail (pouvant inclure des numéros de commande, le type de demande et le message du demandeur), événements de remise, de rebond (bounce) et de plainte (le suivi des ouvertures et des clics est anonymisé) | Union européenne | Prestataire établi dans l’UE ; aucun transfert par Consentl. Sous-traitants ultérieurs propres de Brevo : voir la liste publiée par Brevo. Le suivi des ouvertures et des clics est anonymisé : aucune donnée d’interaction n’est liée au destinataire. |
| 4 | Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Genève, Suisse | Shopify et sites web | Hébergement des boîtes aux lettres électroniques consentl.com [email protected] (assistance) et [email protected] (protection des données ; également l’adresse d’expédition de nos e-mails transactionnels) : correspondance relative à l’assistance et à la protection des données, demandes que les clients nous transmettent, réponses, rebonds et réponses automatiques à nos e-mails | Adresses e-mail, noms et messages des clients, des acheteurs et des visiteurs qui répondent à nos e-mails, ainsi que des acheteurs et des visiteurs dont les clients nous transmettent les demandes | Suisse | Décision d’adéquation de la Commission européenne pour la Suisse (2000/518/CE). Utilisé depuis le 22 octobre 2026 (les deux boîtes aux lettres sont actives). |
Entités qui ne sont pas des sous-traitants ultérieurs (par souci de transparence)
| Entité | Utilisée pour | Pourquoi il ne s’agit pas d’un sous-traitant ultérieur |
|---|---|---|
| Shopify (Shopify International Limited, Dublin, Irlande ; Shopify Inc., Ottawa, Canada) | Shopify | La plateforme sur laquelle le marchand exploite sa boutique et installe l’application. Shopify traite les données de la boutique en vertu de son propre contrat avec le marchand, transmet les requêtes du proxy d’application (app proxy) et les webhooks, héberge les scripts de la vitrine (storefront) sur son CDN et facture l’application. Sur instruction du marchand, nous transmettons des données à Shopify en sa qualité de plateforme propre au marchand (refus [opt-out] de la vente ou du partage, demandes d’effacement transmises, configuration publiée de la bannière) ; nous ne recrutons pas Shopify pour traiter des données pour notre compte. |
| Plateformes de sites web (WordPress, Shopware, PrestaShop, Magento, outils de création de sites web, Google Tag Manager) | Sites web | La plateforme propre au client. Nos plugins et nos modèles y fonctionnent et ne stockent aucune donnée des visiteurs ; nous ne recrutons pas la plateforme. |
| Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irlande) | Sites web (facturation) | Traite les données de facturation et de paiement de nos clients (adresse e-mail du compte, nom, données de paiement, adresse de facturation, numéro d’identification fiscale) pour notre compte et, aux fins de la prévention de la fraude et du respect de ses obligations réglementaires, en qualité de responsable du traitement indépendant. Ne reçoit aucune donnée des visiteurs. Décrit dans la politique de confidentialité pour les sites web. |
| DB-IP (db-ip.com) | Sites web | Éditeur de la base de données des pays DB-IP Lite (CC BY 4.0). Une copie est intégrée à nos serveurs et la détermination du pays s’y effectue, en mémoire ; DB-IP ne reçoit aucune donnée de notre part. |
| Google (Google Ireland Limited, Dublin, Irlande ; Google LLC, États-Unis) | Uniquement notre propre site web consentl.com | Google Analytics 4 fonctionne uniquement sur consentl.com et uniquement après que le visiteur a accepté la mesure d’audience. Il traite les données des visiteurs de notre site web en qualité de sous-traitant pour notre compte ; il ne reçoit jamais de données des boutiques, des sites web ou des visiteurs de nos clients. Décrit dans la politique de confidentialité du site web consentl.com. |
| GitHub, Inc., San Francisco, États-Unis | Développement | Héberge le code source et l’intégration continue (CI). Aucune donnée à caractère personnel de production n’est placée dans le dépôt, les tickets (issues), les demandes de fusion (pull requests), les journaux de CI, les jeux de données de test (test fixtures) ou les captures d’écran. |
| Assistants de programmation par intelligence artificielle (par exemple Claude, d’Anthropic PBC, États-Unis) | Développement | Utilisés par notre personnel uniquement sur le code source et sur des données de test ; aucun accès ne leur est donné aux bases de données de production, aux journaux de production ni aux données à caractère personnel des clients. Si un outil d’IA se voit un jour donner accès à des données ou à des journaux de production, son fournisseur est ajouté au tableau ci-dessus, après un préavis de 30 jours. |
Mécanisme de notification des modifications
- Préavis. Au moins 30 jours avant qu’un nouveau sous-traitant ultérieur ne commence à traiter
des données à caractère personnel des clients (ou qu’un sous-traitant ultérieur existant ne soit
utilisé pour une nouvelle finalité ou en un nouveau lieu), nous :
- ajoutons une entrée dans l’historique des modifications ci-dessous, avec la date d’entrée en vigueur prévue ;
- envoyons un e-mail à l’Adresse de notification de chaque client : pour Shopify, au contact pour la protection des données que le marchand a défini dans l’application ou, à défaut, à l’adresse e-mail du propriétaire de la boutique ; pour les sites web, à l’adresse de notification définie sur la page « Compte » ou, si aucune adresse n’est confirmée, aux propriétaires et aux administrateurs du compte. Objet : “Consentl: planned sub-processor change” (« Consentl : modification prévue des sous-traitants ultérieurs »).
- Objection. Le client peut émettre une objection par écrit, à l’adresse [email protected], pendant la période de préavis, pour des motifs raisonnables liés à la protection des données. Nous répondons dans un délai de 14 jours et nous efforçons de résoudre l’objection (par exemple en n’utilisant pas le sous-traitant ultérieur pour ce client). Si l’objection n’est pas résolue dans un délai de 30 jours, le client peut résilier avant que la modification ne s’applique à lui ; les sommes payées d’avance pour la période non utilisée sont remboursées (clauses 6.3 et 6.4 du DPA : via Shopify, sous forme de remboursement ou de crédit sur l’application, ou via Stripe).
- Remplacement d’urgence. Si un sous-traitant ultérieur doit être remplacé en urgence (incident de sécurité, insolvabilité, résiliation par le sous-traitant ultérieur), nous pouvons procéder au changement avec un préavis plus court et en informons les clients dans les meilleurs délais. Le droit d’objection continue de s’appliquer, et le remboursement est calculé à compter de la date du changement.
- Autres adresses. Les clients qui souhaitent recevoir les notifications à une autre adresse peuvent nous l’indiquer à l’adresse [email protected].
Historique des modifications
| Date | Modification | Notification envoyée | Entrée en vigueur |
|---|---|---|---|
| 2026-10-20 | Liste initiale (DigitalOcean, Cloudflare via DigitalOcean, Brevo). | — (avant le lancement) | au lancement |
| 2026-10-21 | Version 2 : la liste couvre également Consentl pour les sites web ; entrée Cloudflare corrigée (rôle, hôtes, pas de détermination du pays) ; nom de l’entité Brevo mis à jour ; Proton AG ajoutée pour les boîtes aux lettres consentl.com ; Stripe, Google, les plateformes de sites web et les assistants de programmation par IA mentionnés comme n’étant pas des sous-traitants ultérieurs. | — (avant le lancement) | au lancement ; Proton à compter de la date de mise en service de ses boîtes aux lettres |
| 2026-10-22 | Entrée Proton AG étendue : elle héberge les deux adresses publiques, [email protected] et [email protected], y compris la correspondance relative à l’assistance et les demandes que les clients nous transmettent. Aucun autre fournisseur de boîtes aux lettres n’est utilisé. | — (avant le lancement) | 2026-10-22 (boîtes aux lettres actives) |
| 2026-10-22 | Revue préalable à la publication : entrée Cloudflare mise à jour (protection contre les robots et cookie __cf_bm, hôte consentl.com ; la détermination du pays s’effectue sur nos propres serveurs avec la base de données DB-IP Lite) ; DB-IP mentionné comme n’étant pas un sous-traitant ultérieur ; Stripe en mode production (live), entité contractante Stripe Payments Europe, Limited ; les destinataires des notifications suivent les paramètres d’adresse de notification des deux services. |
— (avant le lancement) | au lancement |
| 2026-10-23 | Version 3, première version publiée : la liste ci-dessus, avec les confirmations du propriétaire (les assistants de programmation par IA ne reçoivent jamais de données ni de journaux de production ; Brevo avec suivi anonymisé des ouvertures et des clics). Aucun nouveau sous-traitant ultérieur. | — (première publication) | 2026-10-23 |
Source : docs/legal/fr/SUBPROCESSORS.md dans le dépôt Consentl.