Prestataires et sous-traitants

Portée et vérifications contractuelles

Cette annexe distingue les prestataires intervenant pour les données métier des services utilisés pour les traitements propres à Job Perform. Le service utilisé ne suffit pas à déterminer l’entité contractante ou le mécanisme de transfert. Les documents publics liés ci-dessous ne constituent pas une preuve de signature du DPA par Job Perform. Les contrats effectifs, localisations de support, garanties de transfert, sous-traitants en chaîne et cycles d’effacement doivent être confirmés avant effet commercial du DPA.

Vercel — hébergement et exécution

Vercel Inc. héberge Main, Demo et Marketing. Main et Demo exécutent leurs fonctions en cdg1 (Paris) ; Marketing est configuré en iad1 (Washington, États-Unis). Le CDN, les journaux et les accès de support ne sont pas présentés comme exclusivement français. Le DPA public décrit les engagements et mécanismes de transfert du fournisseur ; sa publication ne prouve pas à elle seule les conditions contractuelles individuelles applicables au compte.

• DPA Vercel

Supabase — PostgreSQL et fichiers privés

La console vérifiée le 22 septembre 2026 présente deux projets distincts PoolPerform Main et PoolPerform Demo, AWS eu-west-3 (Paris), dans une organisation Free. Les bases PostgreSQL et les fichiers privés sont séparés. Auth.js reste le mécanisme d’authentification de l’application.

Le plan Supabase Free actuellement utilisé ne fournit pas de sauvegarde automatique garantie par Job Perform. Un dispositif de sauvegarde indépendante de la base, des fichiers privés nécessaires et du registre des suppressions a été préparé et testé sur un environnement de recette. La copie quotidienne n’est pas activée pendant la phase actuelle sans client réel ; son activation et son contrôle effectif constituent un préalable à l’exploitation avec des données de clients.

Les sauvegardes de base PostgreSQL ne contiennent pas les fichiers physiques Storage. Un changement d’offre fournisseur exige une vérification des sauvegardes réellement incluses et un test de restauration ; la protection des fichiers et du registre de suppression reste traitée séparément. La notice publique identifie Supabase Pte. Ltd. ; l’entité contractante, les accès de support et garanties applicables sont à rapprocher des conditions et du DPA effectivement acceptés.

• DPA Supabase

OpenAI — extraction et IA Facturation

Main AI et Billing AI sont deux périmètres distincts ; ils utilisent gpt-5.6-luna dans le code validé, avec store=false. Main reçoit le texte saisi ou dicté et le contexte utile de date. Billing reçoit les faits métier sélectionnés et le catalogue utile, sans ajout automatique des coordonnées du destinataire. Les textes libres peuvent néanmoins contenir des données personnelles. Demo n’effectue aucun appel réel.

store=false évite la conservation d’état Responses ; ce n’est pas une garantie de Zero Data Retention pour tous les traitements du fournisseur. La résidence des données et les options de rétention ne sont promises que si effectivement activées. La console du 22 septembre 2026 confirme les projets PoolPerform production et PoolPerform Billing AI Production, résidence Global et option de rétention None : aucune Zero Data Retention n’est activée. Les partages de données API, évaluations et feedback pour amélioration sont désactivés. La journalisation est activable par appel ; le code utilise store=false. Les journaux anti-abus peuvent être conservés jusqu’à 30 jours selon la documentation, sauf obligation différente. Les conditions API, le DPA et la liste des sous-traitants précisent les garanties de transfert et les responsabilités.

• DPA OpenAI

Brevo — e-mails et SMS

Brevo assure les e-mails et SMS métier demandés, les messages de compte et les demandes de contact. Demo bloque les envois réels. La console vérifiée le 22 septembre 2026 confirme le suivi anonyme des e-mails transactionnels : ouvertures et clics non associés à un contact. Les journaux d’acheminement restent nécessaires ; des liens peuvent être réécrits.

Les messages envoyés chez les destinataires ne sont pas effaçables à distance. Les logs transactionnels sont configurés pour un mois, tous expéditeurs ; les nouveaux aperçus ne sont pas conservés. Les anciens aperçus éventuels doivent être vérifiés lors d’une demande. Les paramètres par défaut de campagnes ont en revanche le suivi anonyme désactivé ; aucun parcours de campagne marketing n’est activé dans PoolPerform. Avant un tel envoi, une revue distincte du suivi et de sa base légale est requise. Le DPA, le support et les opérateurs SMS restent à prendre en compte ; les statistiques anonymes sont distinctes des contenus et coordonnées nécessaires à l’envoi.

• Confidentialité Brevo

Hostinger — boîte de contact et support

Hostinger Mail héberge la boîte contact@poolperform.fr, qui reçoit les demandes de contact, support et RGPD. La région physique, les garanties de sauvegarde et les conditions contractuelles individuelles de cette boîte ne sont pas confirmées dans les informations vérifiées disponibles. Aucun accès IMAP applicatif ni second fournisseur d’envoi n’est intégré.

• Confidentialité Hostinger

Stripe — essais d’abonnement uniquement

Utilisé en TEST privé pour inscriptions, clients et abonnements simulés, événements et factures TEST. Il ne reçoit pas les portefeuilles métier pour les gérer et ne constitue pas un sous-traitant ultérieur général de ces données. Ses rôles de sous-traitant et de responsable indépendant dépendent des traitements prévus par son contrat. Aucun paiement LIVE n’est ouvert et les essais doivent employer des données fictives.

• DPA et rôles Stripe

Liens externes et outils absents

Google Maps reçoit la destination lorsqu’un utilisateur ouvre l’itinéraire ; il s’agit d’une navigation externe, pas d’un service de stockage du portefeuille intégré. Les services de dictée du clavier dépendent de l’appareil choisi par l’utilisateur ; PoolPerform reçoit le texte, sans fichier audio dans le parcours audité. Aucun outil analytics publicitaire n’est intégré au code inspecté.

Prestataire de facturation électronique — non connecté à ce jour

PoolPerform prépare l’intégration de la facturation électronique. Aucun prestataire de facturation électronique n’est connecté en Production. Les écrans et statuts disponibles à ce sujet sont des simulations : aucune transmission réglementaire, aucun e-reporting et aucune réception réglementaire réels ne sont effectués. Aucun archivage légal externe de dix ans n’est fourni. Les conditions, traitements, responsabilités et durées concernés seront complétés et communiqués avant toute activation réelle.