Sous-traitants ultérieurs

Ce document est publié en plusieurs langues. En cas de divergence entre les versions linguistiques, la version polonaise fait foi.

Version 1.1 · Dernière mise à jour : 22 octobre 2026

Quels tiers reçoivent des données chez formexposed, à quelle fin, où et sur quel fondement. Cette liste fait partie intégrante du contrat de sous-traitance en tant qu’Annexe 3. Seuls les destinataires énumérés à la section 2 sont des sous-traitants ultérieurs autorisés au sens de ce contrat ; les sections 3 à 6 fournissent des informations sur d’autres destinataires et ne valent pas autorisation.

1. La réponse courte

Nous exploitons nous-mêmes en Pologne les serveurs, la base de données et la puissance de calcul, y compris pour le modèle de langage. Aucun hébergeur, fournisseur de cloud ou fournisseur d’IA n’intervient. Des sous-traitants ultérieurs au sens de l’Art. 28(2) et (4) RGPD, c’est-à-dire des tiers qui traitent pour notre compte les données de nos Clients, n’existent que pour une seule tâche : l’e-mail.

Il existe en outre des destinataires qui ne sont pas des sous-traitants ultérieurs. Nous les énumérons néanmoins ici, classés selon le motif, afin que le tableau soit complet :

• les destinataires qui traitent des données en tant que responsables du traitement indépendants (section 3),
• les destinataires que le Client choisit lorsqu’il y fait envoyer des alertes (section 4),
• les requêtes adressées à des tiers qui ne contiennent aucune donnée à caractère personnel (section 5).

2. Sous-traitants ultérieurs

Destinataire et siège	Finalité	Données	Lieu du traitement	Fondement du transfert
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Envoi des e-mails du service (confirmations, alertes, rapports, rapports mensuels aux abonnés d’un portail client) ; boîte aux lettres du contrôle de livraison	Adresses e-mail des destinataires, objet et contenu des e-mails. Dans la boîte aux lettres du contrôle de livraison : copies des e-mails de formulaire issus des sites web des Clients avec tout ce que les visiteurs y saisissent, jusqu’à ce que nous les traitions	Encore à vérifier	Contrat de sous-traitance du fournisseur ; la question de savoir si des données sont transférées vers un pays tiers et sur quel fondement est encore à vérifier, voir section 7
Namecheap, Inc., Phoenix, Arizona, États-Unis	Enregistrement des domaines, DNS ; jusqu’à la mise en place de la boîte aux lettres chez Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, transfert des e-mails généraux adressés à notre domaine. Les copies de contrôle du contrôle de livraison ne transitent pas par Namecheap ; elles arrivent directement dans la boîte aux lettres	Données de domaine ; pour le transfert, contenu et en-têtes des e-mails généraux qui nous sont adressés, aucune copie d’e-mails de formulaire	États-Unis, à vérifier	Data Processing Addendum de Namecheap ; clauses contractuelles types ou Data Privacy Framework – à vérifier, voir section 7

La question de savoir si les données traitées pour le compte d’un Client parviennent à ces destinataires dépend de ses paramètres : sans contrôle de livraison, aucun e-mail de formulaire n’y est envoyé ; sans portail client, aucun e-mail n’est envoyé à ses abonnés. Nous communiquons sur demande le point de contact en matière de protection des données de chaque sous-traitant ultérieur.

Non impliqués : aucun tiers n’intervient dans les vérifications, les captures d’écran, les identifiants pour l’analyse derrière la connexion, les parcours navigateur ou « Fix it for me ». Le modèle de langage fonctionne sur notre propre serveur. Nous déterminons le pays d’une adresse IP à partir d’un fichier de base de données local ; aucune adresse n’est envoyée à un service de géolocalisation. Notre fournisseur d’accès à internet ne fait que transmettre le trafic, chiffré pour l’essentiel, et n’est pas un sous-traitant ultérieur.

3. Destinataires agissant en tant que responsables du traitement indépendants

Destinataire et siège	Finalité	Données	Lieu	Fondement
Stripe Payments Europe, Ltd., Dublin, Irlande ; pour les transferts vers les États-Unis, Stripe, Inc.	Traitement des paiements et factures pour les comptes clients	Adresse e-mail, nom, adresse de facturation, numéro de TVA, données de paiement (saisies uniquement chez Stripe, elles ne nous parviennent jamais) ; de notre côté, uniquement l’identifiant du client et de l’abonnement ainsi que le statut	UE / États-Unis	Pour les données de paiement, Stripe agit en grande partie en tant que responsable du traitement indépendant ; la répartition exacte des rôles est à vérifier. Transfert vers les États-Unis : Data Privacy Framework ou clauses contractuelles types – à vérifier
Google Ireland Limited, Dublin, Irlande ; Google LLC, États-Unis	Protection contre les bots (reCAPTCHA) sur nos propres formulaires : inscription, connexion, mot de passe, vérification gratuite, outil d’en-têtes, opt-out, assistance et contact	Adresse IP, données du navigateur et de l’appareil, comportement sur la page, cookies Google. Le script n’est chargé qu’au moment de l’envoi. Il ne s’exécute pas sur les sites web des Clients	UE / États-Unis	Conditions de Google ; Data Privacy Framework ou clauses contractuelles types – à vérifier

Ces destinataires concernent nos propres traitements, et non les données traitées en tant que sous-traitant. Les détails figurent dans la Politique de confidentialité.

4. Destinataires choisis par le Client

Les alertes et synthèses sont envoyées là où le Client le souhaite : par e-mail (via le fournisseur de services de messagerie de la section 2), vers une adresse de webhook ou vers un service de messagerie instantanée. Les options actuelles sont :

• Slack, Discord, Microsoft Teams et Google Chat via une adresse que le Client crée dans son compte auprès de ce service ;
• Telegram : une destination choisie par le Client ; nous envoyons le message via notre bot une fois que le destinataire a lui-même associé la conversation au bot ;
• webhooks vers toute adresse HTTPS publique sur le port standard, signés sur demande.

Données : domaine, événement, heure et un lien vers le service, pour les alertes relatives à une vérification vers son rapport, qui peut être consulté via ce lien sans connexion ; pour les webhooks, les mêmes informations sous forme lisible par machine. Aucun contenu d’e-mails de formulaire ; une alerte du contrôle de livraison peut mentionner le domaine e-mail de l’expéditeur s’il n’appartient pas au site web.

Rôle : Slack, Discord, Microsoft Teams, Google Chat et les destinataires des webhooks ne sont pas nos sous-traitants ultérieurs. Le transfert n’a lieu que parce que le Client configure la destination ; il s’agit de l’instruction du Client. Pour Slack, Discord, Microsoft Teams, Google Chat et les webhooks, la relation contractuelle avec le fournisseur concerné et tout fondement requis pour un transfert vers un pays tiers relèvent du Client. Pour Telegram, nous envoyons le message via notre propre bot ; là aussi, le choix de la destination constitue l’instruction expresse du Client d’y transférer les alertes. La question de savoir si Telegram est à cet égard notre sous-traitant ultérieur et sur quel fondement ce transfert a lieu n’a pas encore été définitivement tranchée et est en cours d’examen par notre avocat. Si Telegram devait être un sous-traitant ultérieur, le choix de cette destination par le Client vaut autorisation spécifique du Client au titre de l’Art. 28(2) RGPD à cette fin. Plusieurs de ces fournisseurs traitent des données aux États-Unis ; Telegram est établi hors de l’UE dans un pays ne bénéficiant pas d’une décision d’adéquation, et le fondement, au titre du chapitre V RGPD, sur lequel a lieu le transfert vers Telegram n’a pas encore été définitivement établi. Quiconque ne le souhaite pas choisit l’e-mail ou une autre destination.

5. Requêtes sans données à caractère personnel

Certaines fonctions interrogent des tiers. Seuls des noms de domaine, des adresses de serveurs, des valeurs de contrôle ou des numéros de version sont transmis, aucune information sur les Clients ou les visiteurs. Ces tiers ne sont donc pas des sous-traitants ultérieurs.

Destinataire	Finalité	Ce qui est transmis
Services RDAP des registres de noms de domaine, trouvés via l’annuaire de l’IANA ; pour vérifier l’âge du domaine lors de la vérification gratuite, via le service relais rdap.org	Âge et expiration d’un domaine	uniquement le nom de domaine
WPVulnerability (wpvulnerability.net)	Vulnérabilités connues de WordPress, des extensions et thèmes WordPress	uniquement l’identifiant d’une extension ou d’un thème, ou le numéro de version de WordPress
Pages d’état des fournisseurs utilisés par les Clients (comme les services de CAPTCHA et de messagerie)	Information sur les pannes chez ces fournisseurs	rien d’autre que la requête elle-même
Autorités d’horodatage Certum (Asseco Data Systems S.A., Pologne), à défaut DigiCert, Inc. (États-Unis)	Horodatages pour les journaux de preuve	uniquement une valeur de contrôle (SHA-512) du journal, pas son contenu
Listes de blocage DNS anti-spam : SpamCop, PSBL, Mailspike et SURBL (Spamhaus uniquement avec son propre accès)	Vérifier si le serveur de messagerie ou le domaine d’un Client est listé	domaines et adresses IP de serveurs (serveurs de messagerie, serveurs web), aucune donnée à caractère personnel de visiteurs
Google Web Risk, uniquement s’il est configuré	Vérifier si la page d’accueil d’un Client est listée pour cause de logiciel malveillant ou d’hameçonnage	uniquement l’adresse de la page d’accueil
Telegram, notifications d’exploitation	Signaux à l’exploitant en cas de pannes et de nouvelles demandes d’assistance	textes fixes sans expéditeur, contenu ni adresses
Autorité de certification pour TLS	Émission des certificats pour nos domaines	uniquement nos propres noms de domaine

6. Préparé, non utilisé actuellement

Le service peut faire confirmer en outre les vérifications par navigateur et les requêtes de formulaire depuis un second emplacement indépendant. Ce point de contrôle n’est pas configuré actuellement. Si un tiers l’exploite ultérieurement, ce tiers sera un sous-traitant ultérieur et sera annoncé au préalable conformément à la section 8. Il recevrait le domaine, la configuration nettoyée du parcours navigateur et un identifiant de tâche, mais aucun identifiant de connexion ni aucune information sur les visiteurs.

7. Ce qui reste en suspens

Cette liste est un projet antérieur au lancement. Nous indiquons ouvertement ce qui n’a pas encore été réglé :

• Fournisseur de services de messagerie : Namecheap, Inc. (Private Email), Phoenix, Arizona, USA est prévu. Le lieu où le fournisseur traite les données et le fondement sur lequel elles peuvent être transférées vers un pays tiers restent à vérifier. Il reste à documenter si le contrat de sous-traitance du fournisseur a été accepté pour cette utilisation, où se trouvent effectivement les boîtes aux lettres, à quels autres sous-traitants ultérieurs le fournisseur fait appel et quel module des clauses contractuelles types s’applique. Le Data Processing Addendum accessible au public ne prouve pas à lui seul qu’un contrat a été conclu. Tant que cela n’a pas été documenté, aucune donnée traitée en tant que sous-traitant n’est transmise via ce fournisseur ; ce point doit donc être réglé avant le lancement.
• Data Privacy Framework : nous n’avons pas vérifié, pour la présente version, si Namecheap, Stripe et Google sont certifiés au titre du cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework) pour les services concernés. Nous ne le revendiquons donc pas ; à défaut de certification, les clauses contractuelles types s’appliquent.
• Rôle de Stripe pour les différentes données.
• Alertes Telegram : le fondement du transfert lorsqu’un Client choisit Telegram comme destination et que nous envoyons le message via notre bot.

8. Modifications de cette liste

Nous faisons appel à des sous-traitants ultérieurs sur la base de l’autorisation générale prévue dans le contrat de sous-traitance. Avant qu’un nouveau sous-traitant ultérieur ne commence le traitement ou qu’un sous-traitant existant ne soit remplacé, nous en informons les Clients au moins 30 jours à l’avance par e-mail à l’adresse du titulaire du compte et annonçons le changement sur cette page et dans la vue d’ensemble Modifications des documents contractuels. L’information indique le destinataire, le siège, la finalité, les données, le lieu et le fondement du transfert.

Dans ce délai, le Client peut s’y opposer sous forme textuelle pour un motif raisonnable lié à la protection des données. Tant qu’aucune solution n’a été trouvée, nous n’utilisons pas le nouveau sous-traitant ultérieur pour les données traitées pour le compte du Client ou suspendons la fonction concernée pour le Client. Si aucune solution ne peut être trouvée, le Client peut résilier le contrat relatif au service ou à la composante de service concernée ; nous remboursons au prorata les redevances payées d’avance pour la période postérieure à la résiliation. Les détails figurent dans le contrat de sous-traitance. Nous répondons envers le Client des sous-traitants ultérieurs comme de nos propres actes.

Nous publions ici, avec un nouveau numéro de version et sans préavis, les modifications des sections 3 à 5 qui ne concernent pas des sous-traitants ultérieurs.

9. État et version

• Version 1.1 · Dernière mise à jour : 22 octobre 2026 · en cas de divergence entre les versions linguistiques, c’est désormais la version polonaise qui fait foi, et non plus la version allemande ; aucune autre modification.
• Version 1.0 · Dernière mise à jour : 11 octobre 2026 · première version en tant que page distincte ; auparavant Annexe 3 du contrat de sous-traitance. Nouveau : distinction entre sous-traitants ultérieurs, destinataires agissant en tant que responsables du traitement indépendants, destinations choisies par le Client et requêtes sans données à caractère personnel ; points en suspens expressément nommés.
• En cas de divergence entre les versions linguistiques, la version polonaise fait foi.