Sous-traitants ultérieurs
Document édité par Vitruhome, société par actions simplifiée (RCS Salon-de-Provence 994 224 715), exploitant la marque « Vitru’home ». Voir mentions légales.
Vitru'home sélectionne ses sous-traitants ultérieurs avec soin, en tenant compte de leurs garanties en matière de protection des Données à caractère personnel (certifications, localisation, mesures techniques et organisationnelles, cadres de transfert). Chaque sous-traitant ultérieur est lié à Vitru'home par un accord écrit imposant des obligations substantiellement équivalentes à celles de notre DPA.
Opposition à un nouveau sous-traitant. Conformément à la Section 7.2 du DPA, tout Client peut s'opposer à l'ajout d'un nouveau sous-traitant ultérieur, pour des motifs légitimes et raisonnables liés au Droit applicable à la protection des données, en notifiant son opposition écrite à team@vitruhome.com dans un délai de dix (10) jours suivant la notification de modification.
Recevoir les notifications de modification
Pour être informé par email de tout ajout, remplacement ou suppression d'un sous-traitant ultérieur, envoyez une demande d'abonnement à team@vitruhome.com avec pour objet « Abonnement notifications sous-traitants » et en précisant l'email de contact à utiliser.
Vous pouvez vous désabonner à tout moment par simple demande à la même adresse.
Hébergement & infrastructure
Hébergement des applications web, des API et des bases de données utilisées par les Services Vitru'home.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Vercel Inc. | Hébergement des applications Next.js, CDN, edge functions, logs de requêtes, stockage temporaire de fragments de rapport (Vercel Blob), et orchestration des traitements asynchrones (moteur de workflows durables). L'état d'exécution conservé pour permettre la reprise des traitements, entrées et sorties de chaque étape, est chiffré par le moteur sous une clé propre à chaque exécution ; seuls les noms d'étape et les horodatages restent en clair. Le droit de déchiffrer suit celui d'accéder aux variables d'environnement du projet, et chaque déchiffrement est inscrit au journal d'audit. | Union européenne, Paris (cdg1) : les quatre applications y exécutent leurs fonctions serveur, l'état des traitements asynchrones y est épinglé, et le stockage temporaire Vercel Blob est configuré en région Union européenne. Vercel Inc. est une société de droit américain, et le réseau de diffusion (CDN) sert les contenus statiques depuis des points de présence mondiaux. | Traitement au sein de l'EEE pour l'exécution. EU-US Data Privacy Framework + CCT Module 2 pour l'entité américaine et la diffusion par le CDN. |
| Supabase Inc. | Base de données PostgreSQL principale (auth, contenus, métadonnées), stockage objet, Realtime. | Union européenne, Paris (eu-west-3) | Traitement au sein de l'EEE (aucun transfert vers un pays tiers) |
| Amazon Web Services, Inc. | Entraînement de modèles vision (SageMaker), stockage de datasets (S3), inférence GPU, OCR de documents (Amazon Textract), vectorisation des textes (Amazon Titan via Vercel AI Gateway). | Union européenne, Paris (eu-west-3) pour l'ensemble des services utilisés, entraînement des modèles vision compris. | Traitement au sein de l'EEE. Amazon Web Services, Inc. étant une société de droit américain : CCT Module 2 + EU-US DPF pour l'entité. |
Modèles d'intelligence artificielle (LLM & vision)
Fournisseurs de modèles utilisés pour le chat IA, l'analyse documentaire et la lecture de plans. Vitru'home utilise en priorité des modèles open source, hébergés et servis en Union européenne par Scaleway et Melious AI ; les modèles Gemini et Claude sont appelés par la passerelle Vercel AI Gateway. Le modèle servi dépend de la tâche et de la configuration de déploiement. L'OCR des documents scannés passe par Amazon Textract, crédité ci-dessus.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Scaleway SAS | Hébergement et inférence de modèles d'IA open source (chat IA, analyse documentaire, lecture de plans). | France, Paris. Société de droit français. | Traitement au sein de l'EEE (aucun transfert vers un pays tiers). Les contenus transmis ne sont ni conservés au-delà du traitement ni utilisés pour l'entraînement de modèles. |
| Melious AI | Inférence de modèles d'IA open source (chat IA, analyse documentaire, OCR de pages). | Union européenne : modèles hébergés sur des clouds européens. | Traitement au sein de l'EEE (aucun transfert vers un pays tiers). Les contenus transmis ne sont ni conservés au-delà du traitement ni utilisés pour l'entraînement de modèles. |
| Vercel Inc. (AI Gateway) | Passerelle d'inférence acheminant les appels vers les modèles Gemini (Google Cloud) ou Claude (Anthropic), et la vectorisation des textes (Amazon Titan, servi par Amazon Bedrock). | Siège États-Unis. Modèles de langage : inférence épinglée en zone Union européenne à chaque appel, la passerelle refuse l'appel plutôt que de le servir hors zone. Vectorisation : rétention nulle demandée, zone d'inférence non sélectionnable. | EU-US Data Privacy Framework + CCT Module 2. Zero Data Retention demandé à chaque appel (pas de conservation ni d'utilisation des prompts/outputs pour l'entraînement). |
| Google Cloud EMEA Limited (Vertex AI) | Modèles Gemini (analyse documentaire, chat IA, vision). | Union européenne : zone d'inférence UE imposée par la passerelle. | Traitement au sein de l'EEE. Google Cloud EMEA Limited est établie en Irlande ; CCT Module 2 + EU-US DPF pour le groupe. |
| Anthropic PBC | Modèles Claude (chat IA avancé, raisonnement long contexte), selon la configuration de déploiement. | Siège États-Unis. Inférences servies au sein de l'Union européenne via la passerelle (région europe-west1 mesurée). | EU-US Data Privacy Framework + CCT Module 2. Zero Data Retention demandé à chaque appel. |
Paiement
Gestion des paiements, facturation et abonnements.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Stripe Payments Europe, Ltd. | Traitement des paiements par carte, gestion des abonnements, facturation. | Irlande (entité européenne). Stripe Inc. aux États-Unis pour traitement technique. | Entité contractante UE. CCT + EU-US DPF pour les composants US. |
Emails transactionnels & communication
Envoi d'emails transactionnels (inscription, confirmations, notifications).
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Resend, Inc. | Envoi d'emails transactionnels. | États-Unis | EU-US Data Privacy Framework + CCT Module 2 |
| Nylas, Inc. | Boîte mail de projet et relances de pièces justificatives : corps des emails, pièces jointes, participants. | Union européenne (api.eu.nylas.com) ; Nylas, Inc. aux États-Unis pour l'entité. | Traitement au sein de l'EEE. CCT + EU-US DPF pour les composants US. |
Génération de documents
Conversion et mise en forme des livrables (rapports) exportés par les Services.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Amazon Web Services, Inc. | Conversion des rapports DOCX en PDF (Gotenberg auto-hébergé sur ECS) et rastérisation des plans PDF en images (fonction Lambda). Le document est traité puis supprimé, il n'est pas conservé. | Union européenne, Paris (eu-west-3). | Traitement réalisé intégralement au sein de l'EEE : aucun transfert vers un pays tiers pour cette finalité. |
Authentification
Connexion des utilisateurs qui choisissent l'authentification unique plutôt qu'un mot de passe.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Google LLC (Sign-In) | Authentification unique (SSO), au seul choix de l'utilisateur : Google reçoit la demande de connexion et nous retourne l'identifiant du compte, l'adresse électronique, le nom et l'avatar. Aucun document ni contenu client ne lui est transmis. Pour son propre compte Google, Google agit en responsable de traitement indépendant et non en sous-traitant ; l'entrée figure ici par transparence. Les utilisateurs qui se connectent par mot de passe ne sont pas concernés. | États-Unis | EU-US Data Privacy Framework + CCT Module 2 |
Sécurité & protection anti-abus
Protection des formulaires et des points d'entrée contre les robots et les tentatives d'abus.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Cloudflare, Inc. | Protection anti-bot des formulaires (Turnstile) : adresse IP, agent utilisateur et jeton de vérification. Aucun contenu de formulaire n'est transmis. Cloudflare assure également le service DNS autoritatif du domaine vitruhome.com. Les applications ne sont PAS servies au travers du réseau Cloudflare : la diffusion est assurée par Vercel, et la limitation de débit est appliquée par notre propre code. | États-Unis et réseau mondial de points de présence. | EU-US Data Privacy Framework + CCT Module 2 |
Cartographie & géocodage
Affichage cartographique, géocodage d'adresses et enrichissement géographique pour le module Analyse-de-site.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Mapbox Inc. | Cartes interactives, tuiles vectorielles, styles cartographiques. | États-Unis | EU-US Data Privacy Framework + CCT Module 2 |
| Google LLC (Maps Platform) | Géocodage, Places API, Street View (usages spécifiques). | États-Unis | EU-US Data Privacy Framework + CCT Module 2 |
Observabilité & supervision
Supervision technique des applications, analyse des erreurs et observabilité des chaînes LLM.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| PostHog Inc. | Mesure d'audience, heatmaps et enregistrement de session : soumis au consentement, et limités aux comptes de l'éditeur sur les applications métier. Le texte affiché y est masqué. Observabilité des chaînes LLM : côté serveur, sur les seules métriques techniques (modèle, coûts, jetons, latence, erreurs) et sans le contenu des échanges. | Union européenne, eu.posthog.com | Traitement au sein de l'EEE |
| Functional Software, Inc. (Sentry) | Suivi des erreurs applicatives (intérêt légitime) et mesure des performances applicatives (traces), soumise au consentement « performance ». Aucun enregistrement de session (Session Replay) n'est réalisé : l'intégration correspondante n'est pas activée. | Union européenne, région de stockage « European Union » configurée sur notre organisation. | Traitement au sein de l'EEE |
Dernière mise à jour : 6 octobre 2026