1. La liste
Voici les prestataires auxquels OutLine Digital Agency fait appel pour fournir Omega People. Ils sont engagés en qualité de sous-traitants et tenus par contrat à des obligations équivalentes à celles de l’Accord de traitement des données.
| Prestataire | Activité | Lieu de traitement des données | Hors de l’EEE |
|---|---|---|---|
| IONOS SE | Serveurs et stockage : héberge l’application, les bases de données des espaces de travail, les fichiers téléversés (documents du personnel, fiches de paie, justificatifs, pièces jointes) et les sauvegardes. | Allemagne | Non |
| Aruba S.p.A. | Relaie les e-mails sortants du service : invitations aux employés et aux membres de l’équipe, réinitialisations de mot de passe, messages aux candidats, e-mails envoyés par les règles d’automatisation que le client configure, et e-mails relatifs à l’abonnement. Les messages contiennent le nom et l’adresse e-mail du destinataire ainsi que le contenu du message. | Italie | Non |
| Stripe Payments Europe, Limited | Encaisse les paiements de l’abonnement et émet les reçus. Ne traite que les données de facturation de l’abonné (raison sociale, adresse, numéro de TVA, e-mail de facturation, données de carte — qui ne transitent jamais par nos serveurs). Il reçoit en outre le nom de l’espace de travail, l’adresse e-mail de connexion de son propriétaire et nos numéros de référence internes. Aucun accès aux données des espaces de travail. | Irlande | Non |
Aucun sous-traitant ultérieur ne traite les données de vos espaces de travail hors de l’Espace économique européen. Stripe, pour les seules données de paiement de l’abonnement, peut également faire appel à Stripe, Inc. aux États-Unis dans le cadre du EU-U.S. Data Privacy Framework (voir la Politique de confidentialité).
2. Pourquoi la liste est si courte
Trois prestataires, c’est peu pour un service infonuagique : chaque nom supplémentaire est une partie de plus qui voit les données des clients. Cette liste courte résulte de choix délibérés et vérifiables :
- aucun outil d’analyse ou de suivi tiers ;
- aucun réseau de diffusion de contenu externe pour le site web et les écrans de l’application : images, scripts et polices sont servis depuis notre propre domaine (les rares cas où un navigateur charge un élément depuis un autre serveur sont énumérés à la section 4) ;
- aucun service externe d’assistance, de discussion, de gestion de tickets ou de signalement d’erreurs : les erreurs restent dans nos journaux, sur nos serveurs ;
- aucun fournisseur d’intelligence artificielle au niveau de la plateforme : les fonctionnalités d’IA sont désactivées par défaut et, lorsqu’un client les active, elles s’exécutent soit dans le navigateur de l’utilisateur, soit auprès du fournisseur du client, avec sa propre clé ;
- aucun prestataire de signature électronique qui nous soit propre : la signature à distance utilise le compte Yousign du client ;
- aucun service de notifications push : les notifications s’affichent dans l’application et dans l’application mobile à leur ouverture ;
- aucun service d’e-mails marketing : les seuls e-mails que nous envoyons sont des e-mails de service (invitations, réinitialisations de mot de passe, messages aux candidats, e-mails des règles d’automatisation du client, facturation), par un seul relais.
3. Si cette liste change
- L’ajout ou le remplacement d’un sous-traitant ultérieur est annoncé au moins 30 jours à l’avance, par e-mail à l’adresse du compte et par un avis dans l’application.
- Dans ce délai, le client peut s’y opposer pour des motifs raisonnables et documentés liés à la protection des données.
- En cas d’opposition, nous recherchons de bonne foi une solution de rechange ; si aucune n’est praticable, le client peut résilier sans pénalité avec effet à la date du changement.
4. Ce qui ne figure PAS dans cette liste, et pourquoi
Les services que vous connectez vous-même. Omega People peut fonctionner avec des services que vous choisissez et avec lesquels vous contractez : Yousign pour les signatures électroniques, avec la clé d’API de votre propre compte Yousign (le document à signer ainsi que le nom, l’adresse e-mail et le numéro de téléphone du signataire lui sont envoyés) ; un fournisseur d’intelligence artificielle — Anthropic, OpenAI ou Google — avec votre propre clé, si vous activez les fonctionnalités d’IA dans ce mode (voir Intelligence artificielle) ; et les webhooks qu’appellent vos règles d’automatisation. Ce ne sont pas nos sous-traitants ultérieurs : vous les choisissez, le contrat est le vôtre et les données y sont envoyées sur votre instruction. Ils ont leur place dans votre propre registre des activités de traitement.
OpenStreetMap. Lorsqu’un administrateur demande à l’application de trouver un site sur la carte, l’adresse du site est envoyée au service de recherche public d’OpenStreetMap, et les images cartographiques sont chargées par le navigateur de l’administrateur depuis les serveurs d’OpenStreetMap. La position enregistrée au pointage est comparée au site sur nos propres serveurs, sans aucun service de cartographie ; ce n’est que si un responsable choisit « voir sur la carte » pour un pointage que son navigateur ouvre openstreetmap.org à ces coordonnées, sans qu’aucun nom y soit associé. L’OpenStreetMap Foundation n’est donc pas un sous-traitant des données de votre espace de travail.
Taux de change. Pour convertir les frais en devise étrangère, l’application télécharge les taux de référence publiés par la Banque centrale européenne ou, si cette source ne répond pas, par le service public frankfurter.dev. Seules la devise et la date sont envoyées : rien qui concerne des personnes.
Polices et vidéos sur les pages que vous publiez. Les pages carrières et les sites web créés avec l’éditeur de pages chargent la police que vous choisissez depuis Google Fonts (sauf si vous choisissez « Système ») et toute vidéo que vous insérez depuis YouTube ou Vimeo. Elles sont chargées par le navigateur du visiteur, et non par nous, et sont décrites dans la Politique relative aux cookies.
Notifications push. Omega People n’envoie aujourd’hui aucune notification push par l’intermédiaire d’un service tiers. Si elles sont introduites, le prestataire qui les achemine sera ajouté à cette liste avec le préavis prévu à la section 3.
Certificats pour votre propre domaine. Si vous publiez un site sur un domaine qui vous appartient, le certificat qui le sécurise est demandé à Let’s Encrypt, qui reçoit le nom du domaine. Aucune donnée personnelle n’est concernée.
Le lecteur de codes QR de l’application mobile. L’application lit les codes QR sur l’appareil, avec la bibliothèque ML Kit de Google. Google indique que cette bibliothèque lui transmet des données techniques de diagnostic — modèle de l’appareil, système d’exploitation, version de l’application, identifiant d’installation, codes d’erreur — et aucune image. Google ne reçoit aucune donnée de votre espace de travail et n’est pas notre sous-traitant ultérieur ; les détails figurent à la section 14 de la Politique de confidentialité.
Dans l’application, sous Paramètres → Confidentialité et conformité, chaque client trouve son registre des activités de traitement déjà rempli avec ce qu’Omega People traite pour lui, la liste des services qu’il a connectés, ainsi que les avis de confidentialité destinés à ses employés et à ses candidats.