Liste des sous-traitants
Cadre juridique
Conformément à l'article 28 du Règlement Général sur la Protection des Données (RGPD),ECOS-IA fait appel aux sous-traitants suivants dans le cadre de la fourniture du service CoDir.online. Chaque sous-traitant est lié par un accord de traitement des données (Data Processing Agreement — DPA) garantissant un niveau de protection conforme au RGPD, sauf mention contraire dans la colonne « Garanties ».
Sous-traitants actuels
| Sous-traitant | Fonction | Localisation des données | Garanties |
|---|---|---|---|
| Supabase Inc. | Base de données, authentification, stockage des pièces | France (AWS, Paris eu-west-3) | DPA signé |
| Vercel Inc. | Hébergement de l'application | France (Paris, cdg1) | DPA signé |
| Fly.io | Traitements IA : extraction de documents, avatar vocal | France (Paris) | DPA signé |
| Mistral AI | Assistant IA, lecture de documents, dictée et voix | Union européenne | DPA Mistral, données non utilisées pour l'entraînement |
| DuckDuckGo | Recherche internet de l'assistant IA : reçoit la requête de recherche rédigée par l'IA, qui peut citer une société ou une personne nommée dans la conversation | États-Unis | Aucun DPA (API publique, utilisée sans compte) ; requête envoyée par nos serveurs, sans votre adresse IP ni votre compte |
| LiveKit Cloud | Transport audio de l'avatar vocal | États-Unis | Clauses contractuelles types, DPA de l'éditeur |
| Resend | Envoi des emails (invitations, brief du lundi) | États-Unis | Clauses contractuelles types, DPA de l'éditeur |
| Stripe Inc. | Facturation, paiements | UE + États-Unis | Clauses contractuelles types, DPA signé |
| Sentry | Suivi des erreurs (données personnelles expurgées) | Union européenne (Allemagne) | DPA signé |
| Upstash | Limitation du nombre de requêtes | Union européenne (Irlande, copie de lecture en Allemagne) | DPA de l'éditeur |
| Cloudflare (Turnstile) | Protection anti-robot du formulaire d'inscription à la démo et de l'outil e-réputation | Réseau mondial de Cloudflare (UE et hors UE) | Clauses contractuelles types, DPA de l'éditeur |
Hors de cette liste : Google Drive
Quand un utilisateur choisit « Google Slides » ou « Google Sheets », le fichier qu'il exporte est déposé dans son Google Drive, à sa demande. Google est alors le destinataire choisi par cet utilisateur : il ne figure donc pas dans le tableau ci-dessus. La politique de confidentialité (§ 4) décrit ce qui est transmis à Google et ce qui n'est pas conservé.
Transferts hors Union européenne
Lorsque des données sont transférées hors de l'Union européenne (Stripe, Resend, Cloudflare et, si vous utilisez l'avatar vocal, LiveKit), ces transferts sont encadrés par :
- Les clauses contractuelles types (SCCs) de la Commission européenne
- Le EU-US Data Privacy Framework, le cas échéant
- Des mesures techniques complémentaires (chiffrement en transit et au repos)
La recherche internet de l'assistant IA fait exception : sa requête est envoyée à DuckDuckGo (États-Unis), une API publique utilisée sans compte ni contrat, donc sans ces clauses.
Droit d'opposition
En cas de changement ou d'ajout d'un sous-traitant, ECOS-IA informera ses clients par email au moins 30 jours avant l'entrée en vigueur de la modification.
Si vous estimez que le nouveau sous-traitant ne présente pas de garanties suffisantes, vous disposez d'un droit d'opposition motivé dans ce délai de 30 jours. En l'absence de solution satisfaisante, vous pourrez résilier votre contrat sans pénalité.
Contact : contact@ecos-ia.com
Dernière mise à jour : octobre 2026