Légal · Annexe DPA
Liste des sous-traitants
1. Objet
La présente liste recense les sous-traitants ultérieurs auxquels MONTPC SASU, éditrice du service Chanlify, fait appel pour assurer le bon fonctionnement de la plateforme. Elle est tenue à jour conformément à l'article 28 du Règlement Général sur la Protection des Données (RGPD) et constitue une annexe à l'Accord de Sous-Traitance (DPA) intégré aux CGV.
Les sous-traitants sont décrits par fonction technique. Le prestataire effectivement utilisé pour chaque fonction est indiqué à titre informatif et peut être remplacé par un prestataire équivalent, dans le respect des obligations contractuelles et réglementaires applicables.
2. Sous-traitants en service
| Fonction | Prestataire | Localisation | Données traitées | Garantie |
|---|---|---|---|---|
| Hébergement applicatif et base de données | Contabo GmbH | Allemagne (UE) | Ensemble des données applicatives (PostgreSQL, Redis, files d'attente, journaux serveur) | RGPD applicable |
| Authentification par lien magique et Google (OAuth) | Google LLC (OAuth) | États-Unis | Email et, en cas de connexion Google, prénom & nom transmis par Google pour la création du compte | EU-US Data Privacy Framework + Clauses Contractuelles Types |
| Traitement des paiements et facturation | Stripe Payments Europe Ltd. | Irlande (UE), transferts USA | Identité du payeur, coordonnées bancaires (tokenisées), historique de facturation | DPF + Clauses Contractuelles Types |
| Synchronisation des canaux de distribution | Zodomus Lda. | Portugal (UE) | Identité voyageur, dates de séjour, montant, identifiants de réservation OTA | RGPD applicable |
| Envoi des emails transactionnels | Resend, Inc. | États-Unis | Email destinataire, contenu des messages transactionnels | Clauses Contractuelles Types |
| Stockage des photos de propriétés | Cloudflare, Inc. (R2) | Union Européenne (région EEUR) | Photos de logements téléversées par l'hébergeur | RGPD applicable |
| Analyse de produit et enregistrement de sessions | PostHog Inc. | UE — Francfort (AWS eu-central-1) | Pages visitées, actions effectuées dans l'espace propriétaire, enregistrements anonymisés de sessions (champs de saisie masqués). Aucune donnée voyageur transmise. | Intérêt légitime · Conservation : 30 j sessions / 12 mois événements · DPA PostHog |
| Supervision des erreurs applicatives | Functional Software, Inc. (Sentry) | États-Unis | Traces d'erreurs serveur et navigateur, identifiant utilisateur, adresse IP, extraits d'état applicatif au moment de l'erreur (10 % des erreurs client font l'objet d'une capture DOM). Aucune donnée voyageur ni bancaire n'est envoyée. | DPF + Clauses Contractuelles Types · DPA Sentry |
| Génération de descriptifs et de textes alternatifs de photos | Anthropic PBC | États-Unis | Descriptifs de logements et URLs de photos publiques envoyés à Claude pour produire les balises alt et le contenu SEO des pages publiques. Aucune donnée voyageur, bancaire ou de connexion n'est envoyée. |
Clauses Contractuelles Types · DPA Anthropic |
| Mesure d'audience marketing (site public) et suivi de conversion publicitaire | Google LLC (Google Analytics 4 & Google Ads) | États-Unis | Événements de navigation et de conversion sur le site public et l'espace propriétaire. Activation strictement conditionnée au consentement explicite via la bannière CNIL ; aucun événement n'est envoyé tant que l'utilisateur n'a pas accepté. | DPF + Clauses Contractuelles Types · Consentement (art. 82 loi 78-17) |
3. Données non concernées
Certains prestataires techniques sont utilisés pour des opérations qui n'impliquent aucun traitement de données à caractère personnel au sens de l'article 4.1 du RGPD, et ne figurent donc pas dans la liste ci-dessus :
- Gestion DNS et enregistrement de noms de domaine
- Sources de données de marché agrégées et anonymisées
- Bibliothèques logicielles open-source et CDN de ressources statiques publiques
4. Engagements communs à tous les sous-traitants
Chaque sous-traitant ultérieur figurant dans cette liste s'engage contractuellement, vis-à-vis de MONTPC SASU, à :
- Ne traiter les données que sur instruction écrite du responsable de traitement (ou de MONTPC SASU agissant pour son compte)
- Garantir la confidentialité des personnes habilitées à traiter les données
- Mettre en œuvre les mesures de sécurité appropriées (Art. 32 RGPD)
- Notifier toute violation de données dans les meilleurs délais
- Mettre à disposition les informations nécessaires pour démontrer la conformité (Art. 28.3.h RGPD)
- Supprimer ou restituer les données à la fin de la prestation
5. Modification de la liste
MONTPC SASU se réserve le droit d'ajouter, de remplacer ou de retirer un sous-traitant pour des raisons opérationnelles, techniques ou contractuelles.
Tout changement substantiel sera notifié aux clients par email au moins 30 jours avant son entrée en vigueur, conformément à l'article 28.2 du RGPD. Pendant ce délai, le client dispose d'un droit d'objection raisonné. À défaut d'objection dans le délai, le changement est réputé accepté.
En cas d'objection raisonnable et insurmontable, le client peut résilier son abonnement sans pénalité pour ce motif spécifique, conformément à l'Accord de Sous-Traitance.
6. Contact
Pour toute question relative à cette liste ou à l'Accord de Sous-Traitance complet : privacy@chanlify.fr.