Prestataires et sous-traitants

Portée et vérifications contractuelles

Cette annexe distingue les prestataires intervenant pour les données métier des services utilisés pour les traitements propres à Job Perform. Le service utilisé ne suffit pas à déterminer l’entité contractante ou le mécanisme de transfert. Les documents publics liés ci-dessous ne constituent pas une preuve de signature du DPA par Job Perform. Les contrats effectifs, localisations de support, garanties de transfert, sous-traitants en chaîne et cycles d’effacement doivent être confirmés avant effet commercial du DPA.

Vercel — hébergement et exécution

Vercel Inc. héberge Main, Demo et Marketing. Main et Demo exécutent leurs fonctions en cdg1 (Paris) ; Marketing est configuré en iad1 (Washington, États-Unis). Le CDN, les journaux et les accès de support ne sont pas présentés comme exclusivement français. Le DPA public décrit les engagements et mécanismes de transfert du fournisseur ; sa publication ne prouve pas à elle seule les conditions contractuelles individuelles applicables au compte.

• DPA Vercel

Supabase — PostgreSQL et fichiers privés

La console vérifiée le 22 septembre 2026 présente deux projets distincts PoolPerform Main et PoolPerform Demo, AWS eu-west-3 (Paris), dans une organisation Free. Les bases PostgreSQL et les fichiers privés sont séparés. Auth.js reste le mécanisme d’authentification de l’application.

Un dispositif indépendant de sauvegarde de la base Main, des fichiers privés nécessaires et du registre des suppressions est activé quotidiennement. Son exécution et son intégrité font l’objet d’un contrôle ; la restauration a été éprouvée sur un environnement isolé. Une interruption de l’exécution peut retarder une copie et ne constitue pas une garantie de récupération à tout instant.

Les sauvegardes de base PostgreSQL ne contiennent pas les fichiers physiques Storage. Un changement d’offre fournisseur exige une vérification des sauvegardes réellement incluses et un test de restauration ; la protection des fichiers et du registre de suppression reste traitée séparément. La notice publique identifie Supabase Pte. Ltd. ; l’entité contractante, les accès de support et garanties applicables sont à rapprocher des conditions et du DPA effectivement acceptés.

• DPA Supabase

OpenAI — extraction et IA Facturation

Main AI et Billing AI sont deux périmètres distincts ; ils utilisent gpt-5.6-luna dans le code validé, avec store=false. Main reçoit le texte saisi ou dicté et le contexte utile de date. Billing reçoit les faits métier sélectionnés et le catalogue utile, sans ajout automatique des coordonnées du destinataire. Les textes libres peuvent néanmoins contenir des données personnelles. Demo n’effectue aucun appel réel.

store=false évite la conservation d’état Responses ; ce n’est pas une garantie de Zero Data Retention pour tous les traitements du fournisseur. La résidence des données et les options de rétention ne sont promises que si effectivement activées. La console du 22 septembre 2026 confirme les projets PoolPerform production et PoolPerform Billing AI Production, résidence Global et option de rétention None : aucune Zero Data Retention n’est activée. Les partages de données API, évaluations et feedback pour amélioration sont désactivés. La journalisation est activable par appel ; le code utilise store=false. Les journaux anti-abus peuvent être conservés jusqu’à 30 jours selon la documentation, sauf obligation différente. Les conditions API, le DPA et la liste des sous-traitants précisent les garanties de transfert et les responsabilités.

• DPA OpenAI

Brevo — e-mails et SMS

Brevo assure les e-mails et SMS métier demandés, les messages de compte et les demandes de contact. Demo bloque les envois réels. La console vérifiée le 22 septembre 2026 confirme le suivi anonyme des e-mails transactionnels : ouvertures et clics non associés à un contact. Les journaux d’acheminement restent nécessaires ; des liens peuvent être réécrits.

Les messages envoyés chez les destinataires ne sont pas effaçables à distance. Les logs transactionnels sont configurés pour un mois, tous expéditeurs ; les nouveaux aperçus ne sont pas conservés. Les anciens aperçus éventuels doivent être vérifiés lors d’une demande. Les paramètres par défaut de campagnes ont en revanche le suivi anonyme désactivé ; aucun parcours de campagne marketing n’est activé dans PoolPerform. Avant un tel envoi, une revue distincte du suivi et de sa base légale est requise. Le DPA, le support et les opérateurs SMS restent à prendre en compte ; les statistiques anonymes sont distinctes des contenus et coordonnées nécessaires à l’envoi.

• Confidentialité Brevo

Hostinger — boîte de contact et support

Hostinger Mail héberge la boîte contact@poolperform.fr, qui reçoit les demandes de contact, support et RGPD. La région physique, les garanties de sauvegarde et les conditions contractuelles individuelles de cette boîte ne sont pas confirmées dans les informations vérifiées disponibles. Aucun accès IMAP applicatif ni second fournisseur d’envoi n’est intégré.

• Confidentialité Hostinger

Stripe — paiements et abonnements

Stripe traite en Production les souscriptions, paiements, renouvellements et résiliations d’abonnement. Les données nécessaires comprennent l’identité et les coordonnées du souscripteur, l’entreprise, la commande et les références de facturation. Les données de carte et de wallet sont recueillies dans le parcours sécurisé Stripe ; PoolPerform n’enregistre pas les numéros complets de carte. Les environnements TEST et Demo ne réalisent aucun paiement réel.

Stripe ne reçoit pas les portefeuilles métier pour les gérer. Ses rôles de sous-traitant ou de responsable indépendant dépendent des traitements prévus par ses contrats et de ses obligations propres, notamment de lutte contre la fraude.

• DPA et rôles Stripe

Liens externes et outils absents

Google Maps reçoit la destination lorsqu’un utilisateur ouvre l’itinéraire ; il s’agit d’une navigation externe, pas d’un service de stockage du portefeuille intégré. Les services de dictée du clavier dépendent de l’appareil choisi par l’utilisateur ; PoolPerform reçoit le texte, sans fichier audio dans le parcours audité. Aucun outil analytics publicitaire n’est intégré au code inspecté.

Facturation électronique — SUPER PDP

SUPER PDP fournit la connexion, la transmission, la réception et le suivi des factures électroniques. L’entreprise active elle-même le service et confirme les autorisations présentées par ce partenaire.

Pour la facturation électronique activée par le Gérant, SUPER PDP reçoit les informations nécessaires à l’identification de l’entreprise, aux habilitations et aux factures transmises : identités et coordonnées professionnelles, identifiants d’entreprise, destinataires, lignes, montants, TVA, références, événements et déclarations de paiement. PoolPerform ne collecte pas les documents d’identité ou coordonnées bancaires saisis directement dans le parcours du partenaire.

Ces échanges servent à exécuter les instructions de l’entreprise, gérer l’émission, la réception et leur suivi, sécuriser les accès et satisfaire les obligations applicables. Les destinataires comprennent le partenaire, les plateformes de destination et les autorités pour les données réglementaires requises. Les rôles et obligations propres du partenaire, notamment pour la vérification d’identité et les traitements réglementaires, relèvent également de ses conditions et informations de confidentialité.

L’accès est limité à l’entreprise concernée et aux personnes habilitées. La connexion peut être interrompue ; cette interruption ne rappelle pas les pièces déjà transmises et n’efface pas les données dont la conservation est légalement requise. Les demandes portant sur les traitements propres du partenaire sont orientées vers celui-ci.