Aller au contenu
Kilomeet

Sous-traitants et destinataires

Version 0.2 · mise à jour le 1 octobre 2026

Projet de texte

Ce texte attend sa relecture juridique (L11). Il peut encore changer.

De quoi il s’agit

Un sous-traitant traite des données personnelles pour notre compte et sur nos instructions. Cette liste est générée à partir de notre registre technique : un prestataire qui n’y figure pas ne reçoit aucune donnée, et un test bloque toute mise en ligne qui appellerait un service non déclaré.

Tout changement de sous-traitant est annoncé par e-mail aux administrateurs de club 30 jours à l’avance ; un club peut s’y opposer, comme le prévoit l’accord de traitement des données.

Sous-traitants

  • netcup GmbH

    Rôle
    Hébergement du serveur (VPS).
    Localisation
    Allemagne
    Garanties de transfert
    Aucun transfert hors UE.

  • Amazon Web Services EMEA SARL (Amazon S3)

    Rôle
    Stockage des sauvegardes, chiffrées avant leur envoi : le prestataire ne peut pas les lire (les clés de déchiffrement ne quittent jamais nos appareils).
    Localisation
    Irlande (région eu-west-1)
    Garanties de transfert
    Données stockées dans l’UE. Maison mère aux États-Unis (Amazon Web Services, Inc.) : Data Privacy Framework et clauses contractuelles types de la Commission européenne.

  • Scaleway SAS

    Rôle
    Envoi des e-mails transactionnels.
    Localisation
    France
    Garanties de transfert
    Aucun transfert hors UE.

  • Brevo (Sendinblue SAS)

    Rôle
    E-mails transactionnels, uniquement si notre choix technique le retient à la place de Scaleway.
    Localisation
    France / UE
    Garanties de transfert
    Aucun transfert hors UE.
    Statut
    Utilisé seulement si notre choix technique le retient.

  • Stripe Payments Europe Ltd

    Rôle
    Facturation des abonnements Magasin et Marque (sous-traitant pour une partie des données, responsable indépendant pour les données de paiement, de fraude et d’identification).
    Localisation
    Irlande (et Stripe, Inc., États-Unis)
    Garanties de transfert
    Data Privacy Framework et clauses contractuelles types de la Commission européenne.

  • OVH SAS (OVHcloud, Zimbra)

    Rôle
    Boîte de réception des adresses privacy@ et bonjour@ : elle reçoit vos demandes relatives à vos données et vos messages au support.
    Localisation
    France
    Garanties de transfert
    Aucun transfert hors UE.

Destinataires indépendants

Ces services reçoivent des données mais décident eux-mêmes de leur usage ; ils ne sont pas nos sous-traitants.

  • Stripe (Connect)

    Rôle
    Cotisations payées à un club : Stripe est le prestataire du club, sous son propre contrat (compte Standard), et responsable indépendant des données de paiement.
    Localisation
    Irlande / États-Unis

  • Apple Push Notification service, Google Firebase Cloud Messaging, Mozilla autopush, Microsoft WNS

    Rôle
    Les services de notification choisis par votre navigateur, si vous activez les notifications : ils relaient un message chiffré de bout en bout qu’ils ne peuvent pas lire et qui ne contient aucune position ; ils voient une adresse technique, une heure et une taille.
    Localisation
    États-Unis et UE

Prestataires qui ne reçoivent aucune donnée personnelle

  • GitHub, Inc. (GitHub Container Registry)

    Rôle
    Stockage des images logicielles de l’application avant leur installation sur le serveur (aucune donnée personnelle).
    Localisation
    États-Unis

  • healthchecks.io

    Rôle
    Signaux de vie de nos tâches planifiées (aucune donnée personnelle).
    Localisation
    UE (à vérifier)

  • UptimeRobot

    Rôle
    Sonde de disponibilité qui appelle notre page de santé publique.
    Localisation
    À vérifier

  • OVH SAS (OVHcloud)

    Rôle
    Bureau d’enregistrement du nom de domaine et DNS.
    Localisation
    France

  • Let’s Encrypt (ISRG), ZeroSSL

    Rôle
    Autorités de certification qui délivrent automatiquement le certificat HTTPS du site (protocole ACME) ; elles ne voient que le nom de domaine.
    Localisation
    États-Unis / UE (à vérifier)

  • IndexNow / Bing

    Rôle
    Signaler aux moteurs de recherche nos nouvelles pages publiques (adresses publiques uniquement).
    Localisation
    États-Unis

Jamais destinataires

  • Les outils d’intelligence artificielle et les agents de développement (Claude, Codex, ChatGPT…) ne reçoivent jamais de données personnelles de production.

  • Aucun formulaire ni tableur Google n’est utilisé pour les données des coureurs.

  • Les données cartographiques (OpenStreetMap, fond de carte Protomaps) sont téléchargées une fois, à la construction du site : aucune demande de carte ou d’itinéraire ne quitte notre serveur.