Document en cours de finalisation
Les passages surlignés sont encore à compléter.
Sous-traitants et destinataires des données — BreakATS
Dernière mise à jour : 28 octobre 2026
BreakATS est édité par Oussama BOUNASSEH, personne physique établie à Salé (Maroc), responsable du traitement. BreakATS fait appel aux prestataires suivants. Les sous-traitants traitent des données personnelles uniquement sur nos instructions, dans le cadre d'un contrat de traitement (DPA) conforme à l'article 28 du RGPD. Les responsables de traitement distincts appliquent leur propre politique de confidentialité. Nous informons les utilisateurs de tout ajout ou remplacement de sous-traitant À DÉCIDER — modalités et préavis d'information en cas de changement de sous-traitant, proposition : mise à jour de cette page et e-mail aux utilisateurs 30 jours avant. En particulier, nous vous informerons avant d'activer un autre fournisseur d'intelligence artificielle que celui listé ci-dessous.
Pour toute question : À COMPLÉTER — e-mail de contact.
Liste
| Prestataire | Rôle RGPD | Finalité | Données concernées | Localisation des données | Entité / siège | Garantie de transfert | Statut DPA |
|---|---|---|---|---|---|---|---|
| Contabo (Cloud VPS) | Sous-traitant | Hébergement de l'application web, du worker, de la base de données PostgreSQL et de la file d'attente (Redis) ; journaux techniques ; sauvegarde automatique du serveur (Auto Backup) | Toutes les données du service (compte, profil, offres, CV générés, suivi des candidatures, abonnement) | UE — datacenter de Lauterbourg (France) | Contabo GmbH, Aschauer Straße 32a, 81549 Munich (Allemagne) | Hébergement UE | DPA conclu le 28 octobre 2026 |
| Contabo France SAS | Sous-traitant ultérieur (de Contabo GmbH) | Exploitation du datacenter qui héberge le serveur | Mêmes données que ci-dessus (hébergement physique) | UE — France | Contabo France SAS, 2 rue Taunus, 67630 Lauterbourg (France) | Hébergement UE | Couvert par le DPA Contabo |
| Stockage des fichiers À COMPLÉTER — stockage des fichiers : MinIO sur le VPS Contabo ou OVHcloud Object Storage (Gravelines, France) | Sous-traitant (sans prestataire supplémentaire si MinIO sur le VPS Contabo) | Stockage des CV importés et des exports | Fichiers CV importés (supprimés automatiquement après 30 jours), CV exportés ; chiffrement au repos (AES-256) | UE | Selon le choix ci-contre | Hébergement UE | À VÉRIFIER — DPA OVHcloud à conclure si OVHcloud Object Storage est retenu |
| Stockage des sauvegardes À COMPLÉTER — fournisseur du stockage des sauvegardes : OVHcloud ou Backblaze B2, région UE | Sous-traitant | Copies de sauvegarde de la base de données, chiffrées avant envoi (toutes les 6 h ; conservation 7 quotidiennes, 4 hebdomadaires, 6 mensuelles) | Contenu de la base de données, chiffré : le fournisseur ne peut pas le lire | UE | Selon le choix ci-contre | Hébergement UE À VÉRIFIER — mécanisme de transfert (CCT/DPF) si le fournisseur retenu est une société américaine | À COMPLÉTER — DPA du fournisseur de stockage des sauvegardes |
| Groq (seul fournisseur d'intelligence artificielle actif) | Sous-traitant | Extraction du CV et du thème visuel, analyse des offres (y compris lecture des captures d'écran d'offres), génération et validation des CV, au moyen de modèles open-weight hébergés par Groq | Contenu du CV/profil, texte ou capture de l'offre, consignes, envoyés dans les requêtes sous identifiant pseudonyme | États-Unis | Groq, Inc. (États-Unis) | À VÉRIFIER — mécanisme de transfert retenu par Groq (CCT/DPF) | À VÉRIFIER — engagement contractuel de Groq de non-utilisation des données pour l'entraînement et durée de conservation côté Groq |
| Polar (Polar.sh) | Responsable de traitement distinct (Merchant of Record : revendeur) | Vente des offres payantes, encaissement, facturation, TVA et taxes, remboursements, rétrofacturations. BreakATS reçoit de Polar : identifiant client, e-mail, statut d'abonnement ou de commande, montant, pays | Données de commande et de paiement collectées par Polar selon sa propre politique de confidentialité ; BreakATS ne voit jamais les données de carte | États-Unis | Polar Software Inc., À COMPLÉTER — adresse légale de Polar Software Inc. | À VÉRIFIER — mécanisme de transfert retenu par Polar (CCT/DPF) | Sans objet (responsable distinct) ; À VÉRIFIER — conditions vendeur Polar acceptées et clauses relatives aux données |
| Stripe | Prestataire de paiement de Polar | Traitement des paiements pour le compte de Polar | Données de paiement saisies lors de l'achat (non accessibles à BreakATS) | Selon les conditions de Stripe | Stripe (entité contractante de Polar) | Relève du contrat entre Polar et Stripe | Sans objet pour BreakATS (aucune relation contractuelle en production) |
| Brevo | Sous-traitant | Envoi des e-mails transactionnels : liens de connexion, notifications | Adresse e-mail, contenu des notifications (aucun contenu de CV) | À VÉRIFIER — lieu d'hébergement des données et sous-traitants ultérieurs de Brevo | Sendinblue SAS (Brevo), France | À VÉRIFIER — transferts éventuels hors UE par les sous-traitants ultérieurs de Brevo | À VÉRIFIER — acceptation du DPA Brevo |
| Spaceship | Sous-traitant | Gestion du nom de domaine ; redirection des e-mails reçus sur l'adresse de contact vers notre boîte de réception | Adresse de l'expéditeur, contenu des messages envoyés à l'adresse de contact | États-Unis | Spaceship, Inc. (États-Unis) | À VÉRIFIER — mécanisme de transfert retenu par Spaceship (CCT/DPF) | À VÉRIFIER — DPA ou conditions de traitement des données de Spaceship |
| Google (Gmail) | Sous-traitant | Boîte de réception des messages envoyés à l'adresse de contact (support, demandes d'exercice des droits) | Adresse de l'expéditeur, contenu des messages et pièces jointes | À VÉRIFIER — localisation des données Gmail | À VÉRIFIER — entité Google contractante (Google Ireland Ltd ou Google LLC) selon le service utilisé | À VÉRIFIER — mécanisme de transfert retenu par Google (CCT/DPF) | À VÉRIFIER — avenant de traitement des données Google (disponible avec Google Workspace) |
| Google (« Se connecter avec Google ») | Responsable de traitement distinct | Authentification | Identifiant Google, e-mail, nom, photo | Selon les conditions de Google | Google Ireland Ltd / Google LLC | Selon les conditions de Google | Sans objet (pas de DPA de sous-traitance) ; respect de la politique Google API Services User Data |
| Sentry À VÉRIFIER — activé en production | Sous-traitant | Suivi des erreurs applicatives | Traces d'erreurs, identifiant utilisateur pseudonyme, métadonnées navigateur ; IP non collectée. Aucun contenu de CV (filtrage des données) | Région UE À VÉRIFIER — région de l'organisation Sentry | Functional Software Inc. (Sentry), États-Unis | À VÉRIFIER — mécanisme de transfert retenu par Sentry (CCT/DPF) | À VÉRIFIER — DPA Sentry |
| Langfuse À VÉRIFIER — activé en production | Sous-traitant (sans objet si auto-hébergé sur notre serveur) | Suivi des appels au modèle d'IA : modèle, nombre de tokens, coût, latence | Par défaut, métadonnées sous identifiant pseudonyme ; contenu des requêtes uniquement si cette journalisation est explicitement activée | À VÉRIFIER — Langfuse Cloud région UE ou auto-hébergé sur le VPS Contabo | À VÉRIFIER — entité Langfuse contractante | À VÉRIFIER — mécanisme de transfert retenu par Langfuse (CCT/DPF) | À VÉRIFIER — DPA Langfuse, sans objet si auto-hébergé |
| PostHog À VÉRIFIER — activé en production | Sous-traitant | Mesure d'audience produit, uniquement après votre consentement | Événements d'usage, pages vues, identifiant pseudonyme ; enregistrement de session désactivé ou masqué sur les écrans CV/profil | PostHog Cloud UE | PostHog Inc. (États-Unis) | À VÉRIFIER — mécanisme de transfert retenu par PostHog (CCT/DPF) pour l'accès depuis les États-Unis | À VÉRIFIER — DPA PostHog |
| Gestion du consentement cookies | Sans objet | Bandeau développé par BreakATS : le choix est stocké dans un cookie de votre navigateur, aucun prestataire tiers | — | — | — | — | — |
Transferts de données hors de l'Union européenne
- Maroc : le responsable du traitement est établi au Maroc et accède aux données depuis le Maroc (administration du service, support). Le Maroc ne fait pas l'objet d'une décision d'adéquation de la Commission européenne.
- États-Unis : Groq, Polar, Spaceship, Google et, le cas échéant, Sentry, Langfuse et PostHog. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne et/ou sur l'adhésion du destinataire au Data Privacy Framework UE–États-Unis lorsqu'elle existe ; le mécanisme retenu pour chaque prestataire est indiqué dans le tableau ci-dessus.
Vous pouvez obtenir une copie des garanties applicables en écrivant à À COMPLÉTER — e-mail de contact.