Sous-traitants ultérieurs
Version 2026-09-30
Draft pending legal review
This text has not been approved by our legal team yet and may change before it is final.
Cette page liste chaque tiers qui traite des données pour notre compte afin de fournir l'AI Shopping Assistant. Elle couvre l'assistant, son tableau de bord et ses API.
Chaque entrée indique ce que le prestataire fait pour le service, ce qu'il voit réellement, et où. Lorsqu'un prestataire traite des données hors de l'Union européenne, cette page le dit.
Comment cette liste évolue
- Préavis. Nous vous prévenons avant qu'un nouveau prestataire ne commence à traiter vos données, au moins ⚠ TODO legal: durée du préavis.
- Opposition. Vous pouvez vous y opposer pendant ce délai pour un motif raisonnable tenant à la protection des données. Nous cherchons alors une solution avec vous, et si nous n'en trouvons pas, vous pouvez résilier la partie du contrat concernée.
- Cette page tient lieu de registre. Quand la liste change, cette page change et la date de version en haut avance.
Infrastructure et hébergement
| Prestataire | Ce qu'il fait pour l'assistant | Ce qu'il traite | Où |
|---|---|---|---|
| Vercel Inc. | Exécute l'application : la surface de conversation du shopper, le tableau de bord marchand et les API. Stocke les images qui y sont téléversées : logos d'organisation et de site, favicons, avatars d'assistant, et la photo de profil que téléverse un membre de vos équipes. Route les appels de modèle via son AI Gateway. Mesure l'audience de notre site et du tableau de bord, et la performance réelle de chaque page que sert l'application, surfaces de conversation du shopper comprises. Il ne mesure aucune audience sur les surfaces de conversation du shopper, et rien du tout sur la notice shopper. | Tout ce que l'application manipule au cours d'une requête, y compris le contenu des conversations en transit, et les images ci-dessus. Pour la mesure : l'adresse de la page sans ses paramètres (sur une surface de conversation du shopper, la seule route, sans clé de site), le site référent, la localisation approximative, le type d'appareil et de navigateur, et les temps de performance de la page. Aucun cookie, et aucun identifiant conservé au-delà de 24 heures. | Le calcul applicatif est épinglé à Francfort. Cinq parties de la plateforme n'y sont pas confinées : la couche de routage exécutée à chaque requête, le plan de contrôle, les sauvegardes, le CDN d'images, et la mesure d'audience et de performance. Voir « Ce qui sort de l'Union européenne ». |
| Neon, LLC | La base de données. Tout ce que le produit conserve durablement est ici. | Organisations, sites, agents et leurs versions, conversations et leurs messages, événements de mesure, entrées du journal d'audit, et les identifiants chiffrés de tout connecteur e-commerce que vous configurez. | Francfort. |
Fournisseurs de modèles d'IA
Les appels de modèle quittent notre infrastructure via l'AI Gateway de Vercel, qui les route vers le fournisseur servant le modèle utilisé. Deux fournisseurs servent des modèles aujourd'hui.
| Prestataire | Ce qu'il fait pour l'assistant | Ce qu'il traite | Où |
|---|---|---|---|
| Anthropic PBC | Génère les réponses de l'assistant sur tous les niveaux de moteur sauf le plus léger. Assure aussi les traitements de génération de texte du produit lui-même : l'analyse du site à l'onboarding, le générateur d'instructions, le juge d'évaluation, et la composition de notre newsletter produit. | Pour un tour de conversation : les messages, les réponses précédentes de l'assistant, les instructions configurées, et les résultats des outils utilisés. Pour le reste : le nom et l'adresse de votre site, les instructions que vous rédigez, vos scénarios d'évaluation, et nos propres entrées de changelog. | Nous n'épinglons aucune région sur nos appels de modèle : la passerelle choisit le point d'accès et nous n'enregistrons pas lequel a servi. Vercel documente une zone d'inférence européenne et des surcharges par fournisseur, il s'agit donc d'un réglage que nous n'avons pas fait, et non d'une option qui n'existerait pas. ⚠ TODO legal: la région à exiger, et s'il faut enregistrer celle que chaque appel a réellement utilisée. |
| OpenAI OpCo, LLC | Génère les réponses sur le niveau de moteur le plus léger. Lit aussi les conversations après coup pour en qualifier la qualité : le besoin du shopper a-t-il été satisfait, les réponses sont-elles restées exactes, fidèles à la marque et dans le cadre des instructions de l'agent. Cela couvre les conversations des shoppers et les conversations de test que votre équipe mène dans le Playground, sauf une conversation dont le shopper s'est opposé à la mesure : celle-ci n'est pas qualifiée. Les qualifications sont conservées avec chaque conversation et affichées dans le tableau de bord, sur la page de la conversation et sous forme de filtres de la liste des conversations. Elles sont aussi lisibles via l'API REST. | Pour les réponses : le même contenu de conversation, pour les agents configurés sur ce niveau. Pour la qualification : les messages de la conversation et les résultats des outils utilisés par l'agent, ainsi que la configuration de l'agent qui a répondu : ses instructions, les outils dont il disposait, les informations de votre site et votre ton de voix. | Réponses : aucune région épinglée et aucune enregistrée, comme ci-dessus. Qualification : épinglée sur la zone d'inférence européenne de la passerelle. Un appel qu'aucun point d'accès européen ne peut servir échoue au lieu de basculer vers une autre région, et la région qui a servi chaque appel est enregistrée. Ce fournisseur a lui aussi été ajouté après la rédaction de notre référentiel de résidence et n'y a pas encore été consigné. |
Ce que nous pouvons affirmer sur la conservation et l'entraînement, et ce que nous ne pouvons pas. La non-conservation des données et l'instruction de ne pas utiliser les données à des fins d'entraînement sont activées sur l'AI Gateway et affirmées dans notre propre code à chaque appel de modèle, ce que nous pouvons démontrer. Savoir si l'engagement contractuel correspondant passe par notre accord avec chaque fournisseur ou par celui de Vercel est ⚠ TODO legal: partie contractante et conditions de traitement des données pour l'inférence des modèles. Nous préférons le dire plutôt que de laisser croire à un contrat que personne n'a produit. Une limite tient à OpenAI lui-même : même en non-conservation, il conserve les requêtes que ses systèmes de détection d'abus signalent, selon ses propres règles, et possiblement hors de la région que nous épinglons.
Services de support
| Prestataire | Ce qu'il fait pour l'assistant | Ce qu'il traite | Où |
|---|---|---|---|
| WorkOS Inc. | L'identité des personnes qui utilisent le tableau de bord : connexion, authentification multifacteur, appartenance à l'organisation, invitations. | L'adresse e-mail, le nom, la photo de profil, la langue et le fuseau horaire choisis de vos équipes, et l'organisation et le rôle qu'elles détiennent. Aucune donnée de shopper. | États-Unis. |
| Parallel | Recherche sur le web des informations sur votre marque pendant l'analyse de site que nous lançons à l'onboarding, et quand vous demandez au tableau de bord de régénérer les informations de votre site. Cela s'exécute pour chaque marchand et n'est pas une option que vous activez. | Le nom et l'adresse de votre site, et les requêtes que le modèle en dérive. Jamais le contenu des conversations. | ⚠ TODO legal: lieu de traitement et conditions de traitement des données. Nous atteignons ce prestataire via l'outil de recherche web intégré à la passerelle, et non par un compte qui nous serait propre : la partie contractante fait donc elle-même partie de la question. |
| Upstash Inc. | Exécute nos traitements planifiés et d'arrière-plan : l'analyse de site à l'onboarding, les évaluations d'agent, la purge de rétention quotidienne, les newsletters produit. | Des charges utiles de tâches, qui portent des identifiants et des pointeurs plutôt que du contenu de conversation. | eu-central-1. |
| Resend Inc. | Envoie les e-mails à vos équipes : e-mails de connexion, notifications, et les newsletters produit auxquelles elles s'abonnent. | La liste des destinataires, l'état d'abonnement par thème et l'enregistrement du consentement de chaque contact, ainsi que les données de compte, métadonnées, journaux et enregistrements d'API de chaque message. | L'envoi peut partir d'Irlande ; l'ensemble des données de compte, métadonnées, journaux et enregistrements d'API est détenu aux États-Unis en tout état de cause. |
| Linkup | Répond à une recherche web ou récupère une page, uniquement pour les agents où vous avez activé cette capacité. Les deux capacités sont désactivées par défaut sur chaque agent. | Une requête de recherche dérivée de la conversation, ou une adresse cible. | ⚠ TODO legal: l'affirmation de traitement dans l'Union européenne de ce prestataire n'a pas résisté à une vérification dans ses propres sources primaires, et il ne propose aucun dispositif de non-conservation des données dont nous disposions aujourd'hui. |
| Google LLC | Mesure ce que notre tag coûte à la performance de votre boutique, via les API PageSpeed Insights et CrUX. | L'adresse publique d'une page de boutique. Aucune donnée personnelle, ni la vôtre ni celle de vos shoppers. | Aucun point d'accès européen n'existe pour ces deux API. |
Ce qui sort de l'Union européenne
Tout ce que le produit conserve durablement sur vos shoppers et votre activité est stocké à Francfort, dans la base de données. En dehors de cela, voici ce qui est traité ou détenu ailleurs :
- L'inférence des modèles. Nous n'épinglons aucune région sur les réponses de l'assistant ni sur les autres traitements de génération de texte du produit : la passerelle choisit le point d'accès et nous n'enregistrons pas lequel. Tant que nous n'exigeons pas de région, considérez que le contenu d'une conversation peut être traité hors de l'Union européenne. La qualification des conversations, y compris celles des shoppers, fait exception : elle est épinglée sur la zone européenne (voir la ligne OpenAI).
- La recherche web à l'onboarding. Le prestataire de recherche ci-dessus reçoit le nom de votre site, son adresse et les requêtes dérivées.
- L'identité de vos équipes. WorkOS la détient aux États-Unis.
- Les e-mails. Resend détient aux États-Unis la liste des destinataires, l'état d'abonnement, l'enregistrement du consentement, et les métadonnées et journaux de chaque message.
- Le traitement de session et d'authentification à chaque requête. Notre couche de routage s'exécute dans chaque région du réseau Vercel, indépendamment de la région où le calcul de l'application est épinglé.
- Le plan de contrôle de la plateforme, les sauvegardes et la journalisation des requêtes. Vercel les opère mondialement. Aucun réglage régional ne les couvre : la région que nous épinglons régit l'exécution du calcul applicatif, et rien d'autre. ⚠ TODO legal: leur localisation, qui relève de l'accord de sous-traitance et de la liste de sous-traitants de Vercel, et non de quelque chose que nous puissions configurer ou observer.
- Les images téléversées. Les images listées dans la ligne Vercel sont servies par un CDN mondial et mises en cache sur ses points de présence, de sorte qu'un logo d'organisation ou la photo de profil d'un membre de vos équipes est servi depuis l'endroit où se trouve le lecteur.
- La mesure d'audience et de performance de nos propres pages. Vercel la traite hors de la région que nous épinglons, ⚠ TODO legal: aux États-Unis selon son accord de sous-traitance, à confirmer avec Vercel. Elle ne sert qu'à des statistiques agrégées, ne dépose aucun cookie et ne porte aucun identifiant conservé au-delà de 24 heures. L'adresse de la page est envoyée sans ses paramètres, une page de conversation du shopper est réduite à sa route sans clé de site, et les surfaces de conversation du shopper n'envoient que des temps de performance, jamais d'audience. La notice shopper n'envoie rien du tout. Rien n'est envoyé dès qu'un shopper s'est opposé à la mesure. Une opposition signalée par votre outil de gestion du consentement après la première ouverture du panneau de l'assistant sur une page prend effet au prochain chargement de page du shopper, que le panneau soit ouvert ou fermé à ce moment : d'ici là, le panneau déjà chargé sur cette page peut continuer d'envoyer des temps de performance.
- La mesure de performance des boutiques. Une adresse de page publique part chez Google. Aucune donnée personnelle.
- La recherche web ou la récupération d'une page en cours de conversation, lorsque vous l'avez activée sur une version d'agent. Une requête dérivée ou une seule adresse cible part chez le prestataire de recherche, jamais la conversation. Désactivé tant que vous ne l'activez pas, et l'affirmation de traitement européen de ce prestataire est précisément celle que le tableau ci-dessus n'a pas pu corroborer.
« Épinglé à Francfort » décrit où s'exécute le calcul de l'application. Ce n'est pas la garantie que rien d'une requête ne franchit jamais une frontière, et la liste ci-dessus est ce qui la franchit.
La base juridique de chacun de ces transferts est ⚠ TODO legal: mécanisme de transfert par prestataire, à confirmer au regard du statut actuel du Data Privacy Framework UE-États-Unis.
Ce que cette liste ne couvre pas
Les systèmes que vous apportez. Si vous connectez votre propre plateforme e-commerce pour que l'assistant lise votre catalogue ou consulte une commande, cette plateforme est la vôtre et traite vos données dans le cadre de vos propres accords avec elle. Il en va de même pour votre outil de gestion du consentement. Ce ne sont pas nos sous-traitants ultérieurs.
Ce que vous n'avez pas activé. Là où le tableau ci-dessus indique qu'une capacité est désactivée par défaut, un marchand qui ne l'active jamais n'envoie rien à ce prestataire. Le seul prestataire qui fonctionne sans activation est la recherche web à l'onboarding, et sa ligne le dit.