Sous-traitants ultérieurs
Voici la liste complète des prestataires auxquels nous confions un traitement de données pour le compte de nos clients. Cette page est la version faisant foi au titre de l’article 28, paragraphe 2, du RGPD : l’annexe 3 de nos accords de traitement y renvoie et n’en fige qu’un instantané daté du jour de la signature.
Version en vigueur au 03/09/2026
| Sous-traitant | Rôle | Localisation | Garantie |
|---|---|---|---|
| Samuel Baudon (SQWR Studio) | Conception, hébergement technique et exploitation des agents pour le compte du Sous-traitant | Belgique (Uccle) | Accord de sous-traitance ultérieure au titre de l’article 28.4. Aucun transfert |
| Anthropic PBC | Modèle de langage : classement, rédaction, réponses | États-Unis | DPA et clauses contractuelles types. Aucune réutilisation pour l’entraînement, journaux effacés sous 7 jours |
| Supabase | Base de données et stockage des contenus et métadonnées | Paris et Irlande, Union européenne | DPA incorporé aux conditions du fournisseur. Aucun transfert hors UE |
| Vercel | Exécution applicative des agents | Union européenne (Paris) depuis l’épinglage régional du 12 août 2026, réseau mondial du fournisseur pour la diffusion des pages | DPA et clauses contractuelles types |
| Composio | Connecteur autorisé vers la messagerie du Responsable (agents e-mail uniquement) | États-Unis (Virginie du Nord) | Clauses contractuelles types |
| Resend | Acheminement des notifications de service | États-Unis | DPA, clauses contractuelles types et EU-US Data Privacy Framework |
| PostHog | Mesure d’audience produit. Aucun contenu de message | Union européenne (PostHog Cloud EU) | DPA signé le 12 août 2026. Aucun transfert hors UE |
| OVH | Serveur d’envoi des campagnes sortantes (agents de prospection B2B uniquement) | France | DPA. Aucun transfert hors UE |
| Hetzner | Exécution des tâches planifiées des campagnes sortantes (agents de prospection B2B uniquement) | Allemagne (Gunzenhausen) | Accord de traitement n° 187230 du 12 août 2026. Aucun transfert hors UE |
| Apify Technologies s.r.o. | Extraction des coordonnées professionnelles publiques alimentant les campagnes (agents de prospection B2B uniquement). Aucun contenu de conversation | Tchéquie, Union européenne | Accord de traitement et conditions du fournisseur, complétés par les clauses contractuelles types pour ses propres sous-traitants |
| Apollo.io (Apollo Data Inc.) | Fournisseur de données professionnelles B2B, source des coordonnées importées dans les campagnes (agents de prospection B2B uniquement). Responsable de traitement pour sa propre base, non choisi par le Responsable | États-Unis | Conditions et accord de traitement du fournisseur, clauses contractuelles types. Les coordonnées importées sont exclusivement professionnelles |
| GitHub | Dépôt du code et ordonnancement des tâches planifiées. Aucun contenu de message | États-Unis | DPA et clauses contractuelles types |
| Google Ireland Limited, Meta Platforms Ireland Limited | Régies publicitaires : diffusion des campagnes, mesure des conversions et constitution des audiences (agents de médias payants uniquement). Responsables conjoints avec le Responsable au sens de l’article 26 | Irlande, Union européenne | Conditions publicitaires et addendum de responsabilité conjointe du fournisseur, souscrits par le Responsable sur ses propres comptes |
| Google Workspace, Meta | Hébergement de la messagerie ou du compte social du Responsable, selon le canal de l’agent | Selon le contrat du Responsable | Contrat propre du Responsable, hors périmètre du présent accord |
Ce que la liste veut dire
Le stockage des conversations et de la base de connaissances est intégralement européen. La génération des réponses, elle, fait appel à un fournisseur de modèle établi aux États-Unis : ce transfert est encadré par les clauses contractuelles types de la Commission européenne, les contenus ne sont jamais utilisés pour entraîner un modèle et les journaux du fournisseur sont effacés sous sept jours.
Toutes les lignes ne concernent pas tous les agents. Celles marquées « agents e-mail » ou « prospection B2B » ne s’appliquent pas à un agent conversationnel, et réciproquement. Un client ne dépend que des prestataires nécessaires aux canaux qu’il a activés.
Les prestataires qui hébergent la messagerie ou le compte social de nos clients relèvent du contrat propre de ces derniers, et non du nôtre. Ils figurent ici pour la transparence de la chaîne, pas comme sous-traitants que nous aurions choisis.
Journal des modifications
Tout ajout ou remplacement est publié ici et notifié par courrier électronique aux clients sous contrat, qui peuvent s’y opposer pour un motif légitime.
- 03/09/2026
Le préavis de trente jours avant activation d’un nouveau sous-traitant est retiré du corpus. Il n’avait jamais été servi : les mouvements du 12 août, du 26 août et du 2 septembre 2026 ont tous été publiés le jour de leur activation ou après elle. La publication au présent registre et la notification par courrier électronique aux clients sous contrat restent dues, ainsi que le droit d’opposition pour motif légitime. Les DPA déjà signés conservent le préavis qu’ils portent.
- 02/09/2026
Régularisation. Apify Technologies s.r.o. et Apollo.io sont ajoutés au registre pour les seuls agents de prospection B2B. Ces deux prestataires étaient déjà en service avant leur inscription : la présente publication vaut information au titre de l’article 28.2 et ouvre le droit d’opposition pour motif légitime. Aucun changement pour les autres agents.
- 26/08/2026
Ajout de Google Ireland Limited et Meta Platforms Ireland Limited en qualité de régies publicitaires, pour les seuls agents de médias payants. Aucun changement pour les autres agents.
- 12/08/2026
Ajout de Samuel Baudon (SQWR Studio), Hetzner et GitHub. Retrait de Langfuse, qui n’est plus utilisé. Exécution applicative épinglée à Paris, mesure d’audience passée sur PostHog Cloud EU.
Pièces disponibles sur demande
Les accords de traitement signés avec chacun de ces prestataires, l’analyse d’impact des transferts et le détail des mesures de sécurité de l’article 32 sont communiqués à tout client sous contrat qui en fait la demande, ainsi qu’à l’autorité de protection des données.
Ce registre est tenu par AW&CO SRL (Flows Studio), numéro d'entreprise BE 0800.258.215, dont le siège est établi Avenue Louise 335 boîte 4, 1050 Bruxelles.
Pour toute question sur ce registre, ou pour exercer vos droits : contact@flows-studio.com.