Registre des sous-traitants
Au sens de l'article 28 du RGPD. Aucun transfert de données hors Union européenne. Dernière mise à jour : 21 mai 2026.
Mistral AI
- Rôle
- Fournisseur du modèle de langage (LLM Mistral Large)
- Hébergement
- Paris, France (UE)
- Données traitées
- Texte des exercices, filtré au préalable par un complément regex ciblé (email, téléphone FR, NIR). Aucune saisie n'est conservée chez nous : ni en base, ni en logs.
- Base contractuelle
- API Mistral standard. Accord relatif au traitement des données (DPA) Mistral AI en vigueur, accepté avec les Conditions Générales préalablement à tout usage des produits ; versioning et export PDF disponibles en ligne (le DPA est un contrat en ligne non modifiable et non signable hors ligne). CGU prévoyant la non-réutilisation des prompts pour l'entraînement.
- Transfert hors UE
- Non
Supabase Inc. (instance EU)
- Rôle
- Base de données PostgreSQL (compteurs et scores numériques agrégés uniquement)
- Hébergement
- Francfort, Allemagne (UE — AWS eu-central-1)
- Données traitées
- Identifiant technique de session, horodatage, lettre choisie au quizz, scores numériques /3, profil, caisse (si renseignée). Aucun texte libre.
- Base contractuelle
- DPA Supabase + clauses contractuelles types (CCT) UE 2021/914. Sauvegardes quotidiennes automatiques (RPO 24h). PITR non activé sur cet environnement.
- Transfert hors UE
- Non — instance région UE.
Lovable AB / Cloudflare
- Rôle
- Hébergement et diffusion de l'application (frontend + serveur edge)
- Hébergement
- Lovable Cloud : Stockholm, Suède (UE). Edge runtime : Cloudflare Workers avec présence européenne.
- Données traitées
- Métadonnées HTTP standards (IP, user-agent, horodatage) pour la diffusion et la protection DDoS. Aucune saisie utilisateur ne transite vers du stockage Cloudflare.
- Base contractuelle
- Conditions d'utilisation Lovable et conditions Cloudflare. CCT UE applicables.
- Transfert hors UE
- Non — diffusion configurée sur réseau UE.
Cloud Act et FISA 702
Le sous-traitant IA (Mistral AI) est une société française, hors champ d'application du Cloud Act et de FISA 702. La base de données (Supabase) est hébergée en région UE. Cloudflare est utilisé comme runtime edge avec présence européenne ; les configurations sont alignées sur la jurisprudence Schrems II (CJUE C-311/18). Aucun jeu de données identifiantes n'est par ailleurs conservé en base : la persistance est limitée à des compteurs et scores numériques agrégés.
Modification du registre
Tout ajout, modification ou suppression de sous-traitant est notifié 30 jours avant entrée en vigueur, conformément à l'article 28 §2 du RGPD, via cette page.