1. Principe
MIBsoft recourt à des sous-traitants ultérieurs (« sub-processors ») pour la fourniture de son service. Ces sous-traitants sont sélectionnés pour leur fiabilité, leur conformité réglementaire et leur capacité à offrir des garanties techniques et organisationnelles appropriées au sens de l'article 28 du RGPD.
2. Tableau des sous-traitants
| Sous-traitant | Pays / Localisation des données | Catégorie de données | Finalité | Garanties RGPD |
|---|---|---|---|---|
| Supabase Inc. | Siège : Singapour Serveurs : Frankfurt (DE, UE) AWS eu-central-1 |
Toutes données utilisateurs (identité, scores, sessions) | Hébergement base de données PostgreSQL, authentification, stockage de fichiers | DPA Supabase signé SCC Chiffrement TLS / AES-256 |
| Vercel Inc. | USA (siège) Edge Network mondial avec POPs UE |
Logs techniques, métadonnées HTTP (IP, user-agent) | Hébergement frontend, CDN, Edge Functions | DPA Vercel signé SCC Adhésion EU-US DPF |
| Stripe Payments Europe Ltd | Irlande (UE) Traitement principal en UE |
Données de paiement (CB), informations facturation | Traitement des paiements CB, lutte anti-fraude | Conformité PCI-DSS niveau 1 DPA Stripe Pas de transfert sortant pour la zone EU |
| Mailgun | Région UE (api.eu.mailgun.net) |
Email destinataire, contenu transactionnel, métadonnées d'envoi | Envoi d'emails transactionnels (inscription, mot de passe, factures) | Envoi et stockage des messages dans la région UE de Mailgun DPA fournisseur Chiffrement TLS [Vérifier la raison sociale exacte sur le DPA signé] |
| GitHub Inc. (Microsoft) | USA (avec data residency UE possible) | Code source uniquement — pas de données clients | Hébergement du code source, gestion des versions | DPA GitHub / Microsoft SCC EU-US DPF ISO 27001 |
| Google LLC (Google Fonts) | USA | Adresse IP transitoire lors du chargement de la police (pas de cookie) | Service de polices typographiques web | SCC EU-US DPF Polices auto-hébergeables si exigence client |
| Anthropic PBC (API Claude) | États-Unis — api.anthropic.com |
Le texte soumis par l'utilisateur aux fonctions d'assistance : description d'un accident du travail, compte rendu de visite de sécurité, énoncé d'un risque. Ce texte peut contenir des données personnelles si l'utilisateur en saisit (nom d'un salarié impliqué, circonstances). Aucune donnée de compte, aucun identifiant, aucune pièce jointe n'est transmis. | Aides à la rédaction du module CSE et du DUERP : arbre des causes, analyse de visite, Ishikawa, cinq pourquoi, cotation des risques, retour d'expérience. Et l'analyse quotidienne des signaux de sécurité de la plateforme (security-monitor). |
SCC Données d'entrée non utilisées pour l'entraînement des modèles (politique commerciale d'Anthropic) Fonctions facultatives : l'application reste entièrement utilisable sans elles, et le dit à l'utilisateur en cas d'indisponibilité |
| Backblaze, Inc. (Backblaze B2) | États-Unis (siège) Données stockées en région UE ( eu-central-003) |
Sauvegardes chiffrées de la base de données — toutes catégories, sous forme d'archive illisible sans la clé | Stockage hors-site des sauvegardes quotidiennes, conservées 30 jours | Archives chiffrées AES-256 avant l'envoi : Backblaze n'a jamais la clé et ne peut pas lire les données SCC Stockage en région UE |
| Cloudflare, Inc. (via Vercel) | USA POPs UE |
Métadonnées de trafic, IP source | Protection DDoS, WAF (par le biais de Vercel) | SCC EU-US DPF |
3. Notification de changement
Conformément au DPA et au RGPD, MIBsoft s'engage à :
- Informer les Clients de tout ajout, remplacement ou suppression de sous-traitant ultérieur avec un préavis d'au moins 30 jours avant entrée en vigueur ;
- Procéder à cette information par :
- Mise à jour de la présente page (avec changelog au bas de page) ;
- Email à l'administrateur de chaque compte centre actif ;
- Imposer aux nouveaux sous-traitants les mêmes obligations contractuelles RGPD que celles décrites dans le DPA.
4. Droit d'opposition du Client
Le Client (centre de formation, responsable de traitement) peut s'opposer à l'introduction ou au remplacement d'un sous-traitant ultérieur en notifiant son opposition motivée à dpo@mibsoft.fr dans le délai de préavis de 30 jours.
Si l'opposition est fondée et qu'aucune solution alternative ne peut être mise en place, chaque partie disposera de la faculté de résilier le contrat sans pénalité ni indemnité. Aucune absence de réponse dans le délai ne vaut acceptation tacite.
5. Justificatifs et DPA des fournisseurs
Les DPA et engagements de sous-traitance des principaux fournisseurs sont publiquement consultables :
- Supabase : supabase.com/legal/dpa
- Vercel : vercel.com/legal/dpa
- Stripe : stripe.com/legal/dpa
- Mailgun : mailgun.com/legal/dpa
- GitHub : github.com/customer-terms
- Google : privacy.google.com/businesses/processorterms
6. Historique des modifications
| Date | Modification |
|---|---|
| Mai 2026 | Création initiale de la liste (v1.0) |
Vous avez une question ?
Pour toute interrogation sur nos sous-traitants ou sur le traitement de vos données, contactez notre référent RGPD : dpo@mibsoft.fr.
Pour toute interrogation sur nos sous-traitants ou sur le traitement de vos données, contactez notre référent RGPD : dpo@mibsoft.fr.