Sous-traitants ultérieurs
Traduction fournie à titre indicatif ; seule la version allemande fait foi.
Dernière mise à jour : 2026-10-19
Mention relative aux hébergeurs de badges corrigée : 2026-08-29 ; informations relatives à Mate et au suivi d’affiliation mises à jour : 2026-08-30 ; informations relatives au fournisseur de Mate et à ZDR mises à jour : 2026-09-01 ; Google Cloud Vertex AI ajouté comme fournisseur de Mate pour le modèle par défaut : 2026-09-13 ; moment de chargement du script d’affiliation corrigé sur le plan rédactionnel : 2026-09-27 ; Mate basculé sur des modèles Claude via Google Cloud Vertex AI, Microsoft Azure retiré, Exa et TypeSafe AI mentionnés, recherche dans la base de connaissances et configuration de l’espace de travail guidée par l’IA décrites : 2026-10-16 ; stockage de fichiers Vercel Blob et recherche de fichiers ajoutés : 2026-10-19
1. À propos de cette liste
Un sous-traitant ultérieur est un prestataire de services externe qui traite des données à caractère personnel pour un sous-traitant. Selon les données et le service, Customermates peut recourir à un fournisseur en tant que sous-traitant pour des données dont Customermates est le responsable du traitement, ou en tant que sous-traitant ultérieur pour des données que Customermates traite pour le compte d’un client.
La liste complète fait partie, par renvoi, de notre politique de confidentialité. Seuls les fournisseurs expressément désignés ci-dessous comme traitant des données à caractère personnel pour le compte d’un client sont intégrés comme sous-traitants ultérieurs à notre accord de traitement des données. Un sous-traitant au niveau du responsable du traitement, un responsable du traitement à part entière ou un autre destinataire ne devient pas sous-traitant ultérieur du seul fait de son inscription sur cette page. Nous tenons la liste à jour et la révisons dès qu’un fournisseur pertinent est ajouté, remplacé ou retiré.
La présente page ne s’applique qu’au service Customermates géré exploité par Benjamin Wagner. Les prestataires de services qu’un exploitant indépendant en auto-hébergement choisit ou configure, y compris les fournisseurs d’hébergement, de PostgreSQL, d’e-mails transactionnels, d’OAuth, de supervision, de sauvegarde et d’intégration, sont mandatés directement par cet exploitant et ne sont pas des sous-traitants ultérieurs de Customermates. L’exploitant est responsable de ses propres contrats au titre de l’art. 28 du RGPD, de ses garanties de transfert au titre du chapitre V du RGPD et de ses informations publiques.
2. Rôles
Les fournisseurs énumérés ci-dessous interviennent dans deux types de traitement distincts :
- Pour les données de site web, de compte, de facturation, de sécurité et de support, Customermates est le responsable du traitement. Un fournisseur énuméré ci-dessous peut traiter ces données pour notre compte ou agir en tant que responsable du traitement à part entière pour les catégories mentionnées dans sa ligne du tableau.
- Pour les contenus et opérations de comptes connectés, y compris les boîtes aux lettres connectées, les messages, les contacts et les agendas d’un client ainsi que les contenus et données d’interaction des réseaux sociaux, les profils, les demandes de connexion et les données de recherche et de listes issues de Sales Navigator, le client est le responsable du traitement, Customermates agit en qualité de sous-traitant pour le compte du client, et les fournisseurs concernés ci-dessous (en particulier Unipile, notre fournisseur d’hébergement Vercel, dans la mesure où l’application traite ces contenus, et notre fournisseur contractuel de base de données Databricks, dans la mesure où il stocke ces contenus) agissent en tant que sous-traitants ultérieurs. Les plateformes de communication sous-jacentes (Google, Microsoft, LinkedIn, Meta/WhatsApp/Instagram, Telegram) agissent en tant que responsables du traitement distincts pour leurs propres services.
Lorsqu’un fournisseur traite des données à caractère personnel pour le compte de Customermates, l’art. 28 du RGPD exige un accord de traitement des données écrit ; lorsqu’il agit en tant que sous-traitant ultérieur, cet accord doit en outre imposer les obligations prévues à l’art. 28, par. 4, du RGPD. Le statut contractuel et les limitations connues de chaque fournisseur sont indiqués ci-dessous et dans notre politique de confidentialité. La divulgation et les mesures de protection techniques ne remplacent ni un contrat requis au titre de l’art. 28 du RGPD ni un mécanisme de transfert au titre du chapitre V du RGPD.
3. Sous-traitants ultérieurs et autres destinataires actuels
| Fournisseur ou destinataire | Service et finalité | Localisation des données et base de transfert |
|---|---|---|
| Unipile, UNIPILE SAS, 168 rue de la Rotonde, 42153 Riorges, France (RCS Roanne 885265595) | Fonction de comptes connectés : transport pour les comptes e-mail, de messagerie, de réseaux sociaux et d’agenda connectés ainsi que pour les opérations correspondantes. L’authentification a lieu dans un parcours hébergé par Unipile ; Customermates ne reçoit ni mots de passe de fournisseurs ni jetons OAuth. Le DPA fournisseur signé désigne Customermates comme responsable du traitement et Unipile comme sous-traitant. Selon la répartition des rôles décrite ici, le client est le responsable du traitement, Customermates est le sous-traitant et Unipile assume le rôle de fournisseur et de sous-traitant ultérieur. L’annexe mentionne des données de base à caractère personnel, des coordonnées, des données professionnelles, des informations divulguées ou contenues dans des annuaires publics et des adresses IP. L’étendue effective comprend en outre les messages, pièces jointes, agendas, données d’autorisation, correspondants, données relatives aux publications et interactions, profils de personnes et d’entreprises, demandes de connexion ainsi que les données de recherche et de listes issues de Sales Navigator. | Unipile indique que les données des comptes connectés sont stockées dans l’UE (France) sur une infrastructure exploitée par Scaleway. Son DPA autorise des transferts en dehors de l’UE moyennant des garanties au titre du chapitre V du RGPD ; la liste de ses sous-traitants ultérieurs mentionne un prestataire de services de paiement américain et cinq fournisseurs de proxy sans indication de localisation. Le DPA fournisseur ne désigne aucun mécanisme concret au titre du chapitre V pour ces fournisseurs ; pour chaque transfert concerné s’applique l’exigence de notre DPA relative aux transferts au titre du chapitre V. |
| Vercel, Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, États-Unis | Hébergement du site web et de l’application web ; stockage privé Vercel Blob pour les fichiers que les utilisateurs téléversent dans les champs de fichiers des enregistrements ; Vercel Web Analytics sans cookie pour la mesure agrégée de l’utilisation sur les pages de contenu publiques gérées ; et Vercel AI Gateway pour la transmission des requêtes et réponses de Mate, de la configuration de l’espace de travail guidée par l’IA, de la recherche dans la base de connaissances et dans les fichiers et de la recherche web aux fournisseurs tiers énumérés ci-dessous. Une requête transmise par la passerelle peut comprendre la saisie, la conversation récente, le contexte d’utilisateur et de route, le contexte autorisé du CRM ou des comptes connectés, les entrées et résultats d’outils, les approbations, les résultats produits et les métadonnées techniques d’utilisation décrits dans la politique de confidentialité. Customermates a actuellement activé la commande Zero Data Retention de Vercel à l’échelle de l’équipe. Vercel indique que cette commande s’applique à chaque requête de passerelle de l’équipe, limite le routage aux fournisseurs ayant conclu avec Vercel un accord ZDR, inclut la désactivation de l’utilisation des saisies à des fins d’entraînement et supprime les saisies et sorties au niveau de la passerelle après l’inférence ; les métadonnées de routage et d’utilisation peuvent toujours être stockées. La recherche web via Exa est un outil de la passerelle situé en dehors de la liste de fournisseurs ZDR de Vercel. | États-Unis. Clauses contractuelles types de l’UE de 2021 (art. 46 du RGPD), modules 1 à 3, à l’annexe 3 de l’addendum de traitement des données de Vercel, pour le traitement couvert par cet addendum. Les fournisseurs tiers de modèles disponibles via l’AI Gateway sont des services non Vercel, auxquels s’appliquent les conditions des fournisseurs désignées dans les AI Product Terms ainsi que dans les Notices and License Information de Vercel. Les commandes ZDR s’appliquent au chemin de requête via la passerelle et le fournisseur en aval et ne modifient pas le stockage propre de Customermates. Lorsque les notifications ont été souscrites, Vercel informe des modifications de ses sous-traitants ultérieurs et accorde cinq jours calendaires après la notification pour s’y opposer, mais ne promet pas de suspendre le nouveau recours pendant ce délai. Notre DPA promet donc une transmission sans délai plutôt qu’un délai préalable fixe. |
| Databricks, Inc. (Neon), avec exploitation de la base de données gérée par l’intermédiaire de Neon, LLC | Sous-traitant ultérieur contractuel pour la base de données PostgreSQL gérée : stockage et traitement des données de l’application, y compris les contenus stockés de comptes connectés ainsi que les métadonnées, le texte extrait et l’index de recherche des fichiers dans les enregistrements. Customermates n’utilise que le service de base de données et n’a sélectionné, pour ce traitement, aucun service de Databricks reposant sur l’IA. | Base de données de production principale configurée dans la région AWS de Francfort (eu-central-1) ; il s’agit d’un paramètre de produit choisi et non d’une garantie contractuelle de résidence des données. Le Neon Platform Services Product Specific Schedule, en date du 5 août 2026 (https://neon.com/platform-terms), complète la liste complète et actuelle des sous-traitants ultérieurs de Databricks, disponible à l’adresse https://www.databricks.com/legal/databricks-subprocessors, par Grafana Labs aux États-Unis. La liste comprend des fournisseurs et des sociétés affiliées dans les pays qui y sont mentionnés et désigne certains fournisseurs de cloud et d’IA comme choisis par le client. Le Databricks Data Processing Addendum (https://www.databricks.com/sites/default/files/legal/dpa-20230721.pdf) intègre, pour les transferts restreints vers Databricks, les clauses contractuelles types de l’UE de 2021 (art. 46 du RGPD). |
| Forward Email, Forward Email, LLC, 16192 Coastal Hwy, Lewes, DE 19958, États-Unis | Boîte aux lettres d’exploitation hébergée finale pour les propres adresses e-mail d’exploitation de Customermates. Le service traite des adresses, des contenus, des pièces jointes, des en-têtes ainsi que des métadonnées de remise et de sécurité. Il n’est employé ni pour les boîtes aux lettres connectées des clients ni pour les données CRM ordinaires ; aucun fournisseur de boîte aux lettres en aval distinct n’est employé. Uniquement lorsqu’un client intègre des données couvertes par le DPA dans la correspondance de support ou de retour d’information, Forward Email agit en tant que sous-traitant ultérieur limité. | États-Unis. Le DPA standard de Forward Email est accepté par voie électronique par l’intermédiaire de ses conditions d’utilisation et intègre, pour les transferts concernés, les clauses contractuelles types de l’UE. |
| Sentry, Functional Software, Inc. (exerçant sous le nom de Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, États-Unis (représentant dans l’UE : Sentry Software Netherlands B.V., Amsterdam) | Supervision des erreurs et des performances dans les navigateurs, sur les serveurs et dans les workers d’arrière-plan. Pour les données d’évènements d’erreur et autres données de service, Sentry agit en qualité de sous-traitant et, lorsqu’un évènement contient des données à caractère personnel couvertes par le DPA, en qualité de sous-traitant ultérieur pour cet évènement ; pour ses propres données de compte, de profil, d’appareil, d’utilisation et de support, Sentry agit en tant que responsable du traitement à part entière. | Les données d’évènements d’erreur sont stockées dans l’UE (Francfort) ; les données de compte, d’authentification, d’intégration, de journal d’audit et de support sont stockées aux États-Unis. Certification au titre du Data Privacy Framework UE-États-Unis et clauses contractuelles types de l’UE. |
| Lemon Squeezy, Sold through Link, LLC (anciennement Lemon Squeezy LLC), 222 South Main Street, Suite 500, Salt Lake City, UT 84101, États-Unis | Pas de sous-traitant ultérieur pour les achats en libre-service : Lemon Squeezy agit, selon ses propres conditions, en qualité de Merchant of Record et de responsable du traitement à part entière. Son script d’affiliation standard n’est chargé que sur les pages de contenu cloud publiques gérées, afin d’attribuer les visites et achats recommandés, d’affecter les commissions, de gérer le programme et d’empêcher les attributions erronées. Lors de la consultation d’une telle page, le script est demandé à lmsqueezy.com, immédiatement pour une URL comportant un code d’affiliation et sinon dès que la page est chargée et que le navigateur est inactif ou que la personne qui visite la page interagit pour la première fois avec elle ; la requête divulgue des données de requête réseau ordinaires, même sans code d’affiliation. Pour les visites recommandées, il reçoit en outre la page de destination, le référent, la référence de parrainage (referral) et un identifiant de visiteur dérivé de caractéristiques du navigateur, et stocke le cookie de parrainage ls_aff_ref. Le script n’est pas piloté par un mécanisme de consentement distinct de Customermates. Les routes authentifiées, les routes d’authentification, d’invitation et de démonstration ainsi que les routes auto-hébergées en amont ne le chargent pas. Les liens d’inscription des partenaires ouvrent le site web hébergé par Lemon Squeezy. | États-Unis. Pour les achats en libre-service, le suivi d’affiliation et les visites du site web hébergé, la politique de confidentialité de Lemon Squeezy s’applique. Customermates n’a pas déterminé le rôle contractuel ni la base de transfert pour le suivi d’affiliation. La divulgation et l’art. 6, par. 1, point f), du RGPD pour le traitement ultérieur de données à caractère personnel ne remplacent pas un consentement dans la mesure où le § 25 al. 1 TDDDG (loi allemande sur la protection des données et de la vie privée dans les télécommunications et les services numériques) l’exige pour le stockage sur l’équipement terminal ou l’accès à celui-ci. |
| Resend, Plus Five Five, Inc. (exerçant sous le nom de Resend), 2261 Market Street #5039, San Francisco, CA 94114, États-Unis | E-mails transactionnels et de compte au niveau du responsable du traitement : confirmation de l’adresse e-mail, réinitialisation du mot de passe, invitations, informations sur la période d’essai et sur l’état du compte et des comptes connectés, notifications relatives aux conditions générales, au DPA, à la politique de confidentialité et aux sous-traitants ultérieurs mis à jour, ainsi que notifications internes à notre intention. Lorsqu’une notification interne de support ou de retour d’information contient des données à caractère personnel couvertes par le DPA, Resend agit pour cet extrait en qualité de sous-traitant ultérieur limité. Aucun e-mail publicitaire ni de marketing. | États-Unis. Clauses contractuelles types de l’UE et certification au titre du Data Privacy Framework UE-États-Unis. |
| Google Cloud (Vertex AI), un service de Google | Fournisseur d’inférence en aval actif, via Vercel AI Gateway, pour Mate, la configuration de l’espace de travail guidée par l’IA, les imports de sites web dans la base de connaissances et la recherche dans la base de connaissances. Vertex AI met à disposition, pour ces fonctions, les modèles Claude développés par Anthropic ainsi que le modèle d’embedding de texte de Google pour la recherche dans la base de connaissances, la documentation, les fichiers et l’application. Il reçoit les parties d’une requête nécessaires à la production de la réponse ; cela peut comprendre des saisies ou instructions enregistrées, des textes de conversation récents, le contexte autorisé du CRM ou des comptes connectés, des réponses relatives à la configuration, des textes de sites web consultés, des contenus de tableurs téléversés, des textes de pages de la base de connaissances, des extraits de texte de fichiers dans les enregistrements, les noms de listes, de champs et de vues enregistrées, des requêtes de recherche, des entrées et résultats d’outils, des approbations, des résultats produits et des métadonnées techniques. Lorsque des routines sont proposées, cela peut aussi comprendre des références à des évènements déclencheurs et à des enregistrements ainsi qu’une instruction enregistrée transmise avant l’exécution pour l’analyse des risques de boucle. Customermates fixe les modèles Claude sur la zone d’inférence UE proposée à cet effet par Vercel ; Vercel ne propose actuellement le modèle d’embedding que dans une région des États-Unis. Customermates n’envoie pas ces requêtes directement à Anthropic. La documentation Vertex AI de Google sur la gouvernance des données indique que Google n’utilise pas les données des clients pour entraîner ou affiner des modèles d’IA sans l’autorisation ou l’instruction préalable du client, et ce pour tous les modèles gérés de sa plateforme. Le client détermine quelles données, qu’il est autorisé à traiter, sont incluses, et demeure responsable de la nécessité, d’une base juridique applicable et de mesures de protection adaptées au risque. | Les Notices and License Information actuelles de Vercel mentionnent Google Vertex et rendent applicables les Google Cloud Terms of Service. Les métadonnées de point de terminaison en direct de la passerelle désignent Vertex AI pour les modèles sélectionnés, proposent pour les modèles Claude une zone d’inférence UE que Customermates sélectionne et, pour le modèle d’embedding, une région aux États-Unis, et indiquent ZDR et l’absence d’utilisation des saisies à des fins d’entraînement. Vercel ne désigne pas l’entité juridique exacte de Google pour cette route, et la zone UE décrit le lieu de l’inférence, non un engagement contractuel sur la localisation des données. Les traitements par des fournisseurs et des sous-traitants ultérieurs peuvent néanmoins inclure les États-Unis et d’autres pays. Chaque contrat requis au titre de l’art. 28 du RGPD et chaque garantie de transfert requise au titre du chapitre V doivent s’appliquer ; cette mention publique et le paramètre ZDR ne démontrent pas ces garanties à eux seuls et ne modifient pas le stockage au niveau de l’application chez Customermates. |
| Exa, Exa Labs, Inc., États-Unis | Recherche web pour Mate et les routines via Vercel AI Gateway. Exa reçoit la requête de recherche que Mate formule à partir de la demande et qui peut contenir des noms ou d’autres indications provenant de la demande ou d’enregistrements, et renvoie des résultats web publics. Exa ne reçoit pas d’autres contenus du CRM ou de comptes connectés. | Les Notices and License Information actuelles de Vercel mentionnent Exa et rendent applicables les conditions d’Exa Labs. La liste de fournisseurs Zero Data Retention de Vercel ne contient pas Exa ; la durée pendant laquelle Exa conserve les requêtes de recherche dépend donc des propres conditions d’Exa. Le traitement a lieu aux États-Unis. Chaque contrat requis au titre de l’art. 28 du RGPD et chaque garantie de transfert requise au titre du chapitre V doivent s’appliquer ; cette mention publique ne démontre pas ces garanties à elle seule. |
| TypeSafe AI, un fournisseur disponible via Vercel AI Gateway | Met à disposition le modèle de classification Jev via Vercel AI Gateway. Lors de la configuration de l’espace de travail guidée par l’IA et d’un import de site web dans la base de connaissances, il compare les pages de la base de connaissances rédigées avec le texte du site web consulté avant leur enregistrement. Lors des recherches de Mate dans la base de connaissances et dans la documentation, il classe les meilleurs résultats d’après le dernier message de l’utilisateur, la requête de recherche et des extraits des sections correspondantes. Il ne reçoit pas d’enregistrements du CRM ; le dernier message peut toutefois contenir tout ce que l’utilisateur a écrit. | Les Notices and License Information actuelles de Vercel mentionnent TypeSafe AI et rendent applicables ses conditions. Les métadonnées de point de terminaison en direct de la passerelle désignent TypeSafe AI pour Jev ainsi que ZDR et l’absence d’utilisation des saisies à des fins d’entraînement. Vercel ne désigne ni l’entité juridique exacte ni le lieu d’inférence de cette route ; Customermates part du principe d’un traitement aux États-Unis. Chaque contrat requis au titre de l’art. 28 du RGPD et chaque garantie de transfert requise au titre du chapitre V doivent s’appliquer ; cette mention publique et le paramètre ZDR ne démontrent pas ces garanties à eux seuls et ne modifient pas le stockage au niveau de l’application chez Customermates. |
Hébergeurs d’images externes : flagcdn.com ; uneed.best ; b.sf-syn.com (SourceForge) ; twelve.tools ; wired.business ; startupfa.me ; open-launch.com | Drapeaux et badges d’annuaires chargés par le navigateur. Le navigateur peut transmettre l’adresse IP, l’heure de la requête, l’URL de l’image demandée, des en-têtes HTTP ou de navigateur et, selon la politique du navigateur, l’origine référente. Aucun contenu du CRM ni de comptes connectés n’est transmis intentionnellement. Ces domaines sont d’autres destinataires pour l’affichage au niveau du responsable du traitement et non des sous-traitants ultérieurs pour des contenus relevant de la responsabilité des clients. | L’infrastructure propre à chaque fournisseur peut impliquer un traitement en dehors de l’EEE. Customermates n’a pas établi contractuellement les rôles, les lieux de traitement et les garanties de transfert des exploitants ; voir la politique de confidentialité. |
Vous trouverez de plus amples informations sur Unipile dans sa politique de confidentialité à l’adresse https://www.unipile.com/privacy-policy/, dans ses conditions d’utilisation à l’adresse https://www.unipile.com/terms-of-use/ ainsi que dans les informations sur la sécurité et la conformité à l’adresse https://www.unipile.com/security-compliance/.
4. Modifications de cette liste
Lorsque Customermates décide elle-même de recourir à un sous-traitant ultérieur ou de le remplacer pour un traitement effectué pour le compte d’un client, nous informons les clients concernés avant le début du traitement et leur accordons une possibilité raisonnable de s’y opposer. Nous informons sans délai les clients concernés, après réception de la notification, d’une modification envisagée dans la propre chaîne d’approvisionnement d’un fournisseur déjà employé et indiquons le délai d’opposition restant éventuel du fournisseur ; nous ne promettons pas de délai préalable fixe que le fournisseur ne garantit pas. Lorsqu’un client s’y oppose pour des motifs légitimes de protection des données et que nous ne pouvons pas donner suite à l’opposition, le client peut résilier le service concerné conformément à notre accord de traitement des données.
5. Contact
Pour toute question sur cette liste ou sur la protection des données en général, vous pouvez vous adresser au responsable du traitement :
Benjamin Wagner
An den Kasernen 25
68167 Mannheim
Allemagne
E-mail : mail@customermates.com
Dernière mise à jour : 19.10.2026 ; mention relative aux hébergeurs de badges corrigée : 29.08.2026 ; informations relatives au fournisseur de Mate et à ZDR mises à jour : 01.09.2026 ; Google Cloud Vertex AI ajouté : 13.09.2026 ; moment de chargement du script d’affiliation corrigé sur le plan rédactionnel : 27.09.2026 ; modèles Claude introduits chez Vertex AI, Microsoft Azure retiré, Exa et TypeSafe AI mentionnés : 16.10.2026 ; stockage de fichiers Vercel Blob et recherche de fichiers ajoutés : 19.10.2026