Liste des sous-traitants
Sous-traitants ultérieurs susceptibles d’accéder à des données personnelles dans le cadre de la fourniture du service (RGPD art. 28). Le registre est établi à partir des services que la plateforme appelle effectivement. Toute évolution est notifiée 30 jours à l’avance.
Article 1Sous-traitants ultérieurs
La colonne Statut indique à quelle condition le fournisseur reçoit des données : certaines voies fonctionnent en permanence, d’autres ne s’activent qu’une fois la configuration correspondante en place.
| Sous-traitant | Service | Pays de traitement | Hors UE | Statut |
|---|---|---|---|---|
| Hostinger International Ltd. | Hébergement du serveur applicatif, de la base de données et du serveur d’envoi d’emails | UE (Lituanie / Pays-Bas) | Non | Permanent |
| Anthropic PBC | IA Tutor : la question posée et le titre du module et de l’étape sont transmis au modèle | États-Unis | Oui | Actif lorsqu’une clé d’API Anthropic est configurée, hors mode simulation |
| DeepSeek | IA Tutor : point d’accès alternatif au modèle | Chine | Oui | Activé uniquement si une clé DeepSeek est configurée |
| Stripe Payments Europe, Ltd. | Paiement : page de paiement hébergée, email de l’acheteur, montant et références de commande | Irlande (UE) | Non | Actif à chaque commande payante |
| Resend | Email transactionnel : voie de repli à l’envoi auto-hébergé | États-Unis | Oui | Inactif tant qu’un serveur SMTP est configuré (cas de la production) |
| Cloudflare, Inc. | Captcha anti-robot Turnstile : adresse IP et jeton de vérification | États-Unis | Oui | Actif lorsque les clés Turnstile sont configurées |
| Plausible Analytics | Mesure d’audience des pages publiques, sans cookie ni identifiant individuel | UE (Allemagne) | Non | Actif lorsque le domaine de mesure est configuré |
| PostHog | Analytics produit sur l’instance européenne | UE | Non | Actif après consentement explicite uniquement |
| Sentry | Journalisation des erreurs : ni adresse IP, ni cookie, valeurs sensibles masquées avant envoi | UE | Non | Actif lorsqu’un DSN est configuré |
| Upstash | Limitation de débit : compteur indexé sur une clé dérivée de l’adresse IP | Selon la région Redis configurée | Selon la région | Inactif par défaut (compteur en mémoire sur le serveur) |
| Automatisation n8n (webhook) | Transmission d’un prospect (nom, email, société, fonction) au flux d’automatisation configuré | Selon l’instance configurée | Selon l’instance | Inactif par défaut |
Article 2IA Tutor : données transmises au fournisseur de modèle
L’IA Tutor transmet au fournisseur de modèle la question posée ainsi que le titre du module et de l’étape en cours. Ni le compte, ni l’adresse email, ni l’historique de progression ne sont joints à l’appel. Le serveur refuse par ailleurs les questions dans lesquelles il détecte une donnée personnelle (adresse email, numéro de carte, numéro de sécurité sociale).
En l’absence de clé d’API, la fonction est désactivée : aucune donnée n’est transmise et le reste du parcours demeure accessible.
Article 3Email transactionnel : deux voies d’acheminement
Les emails de service (vérification d’adresse, réinitialisation de mot de passe, attestations) empruntent l’une des deux voies suivantes, selon la configuration :
- un serveur d’envoi auto-hébergé (Postfix, installé sur le VPS) — aucun tiers n’intervient dans l’acheminement, hormis l’hébergeur du serveur ;
- l’API Resend, utilisée en repli lorsqu’aucun serveur SMTP n’est configuré.
La configuration de production retient la première voie : Resend ne reçoit alors aucune donnée. La bascule vers le repli constituerait un changement de sous-traitant, notifié dans les conditions de l’article 5.
Article 4Transferts hors Union européenne
Les voies signalées « Oui » dans le tableau impliquent un transfert vers les États-Unis. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914) intégrées aux accords de sous-traitance des fournisseurs concernés.
Aucune garantie négociée au-delà de ces conditions standard n’est revendiquée : si un aménagement particulier était souscrit (rétention zéro, localisation dédiée), il serait mentionné et daté ici.
Le point d’accès alternatif de l’IA Tutor impliquerait, s’il était activé, un transfert vers la Chine, pays ne bénéficiant pas d’une décision d’adéquation de la Commission européenne.
Article 5Notification des changements
Tout ajout ou remplacement de sous-traitant ultérieur ayant accès à des données personnelles est notifié aux clients professionnels au moins 30 jours avant sa prise d’effet, ouvrant un droit d’opposition dans les conditions prévues au contrat de sous-traitance (DPA).
Une question sur une ligne de ce registre, ou la communication des garanties applicables à un fournisseur donné : privacy@getulconsulting.com (ouvre dans une nouvelle fenêtre).
Article 6Ressources pédagogiques tierces référencées
Certains parcours référencent des ressources pédagogiques tierces publiquement accessibles (notamment Anthropic Academy). Ces références constituent des liens simples vers des contenus externes : aucune donnée personnelle n’est transmise à ces tiers du fait du référencement, et Gétul AI Academy n’est pas affiliée à ces organisations.
Questions sur ce document ? Contactez privacy@getulconsulting.com (ouvre dans une nouvelle fenêtre) (DPO) ou hello@getulconsulting.com (ouvre dans une nouvelle fenêtre).