Sous-traitants ultérieurs
Document édité par Vitruhome, société par actions simplifiée (RCS Salon-de-Provence 994 224 715), exploitant la marque « Vitru'home ». Voir mentions légales.
Vitru'home sélectionne ses sous-traitants ultérieurs avec soin, en tenant compte de leurs garanties en matière de protection des Données à caractère personnel (certifications, localisation, mesures techniques et organisationnelles, cadres de transfert). Chaque sous-traitant ultérieur est lié à Vitru'home par un accord écrit imposant des obligations substantiellement équivalentes à celles de notre DPA.
Opposition à un nouveau sous-traitant. Conformément à la Section 7.2 du DPA, tout Client peut s'opposer à l'ajout d'un nouveau sous-traitant ultérieur, pour des motifs légitimes et raisonnables liés au Droit applicable à la protection des données, en notifiant son opposition écrite à team@vitruhome.com dans un délai de dix (10) jours suivant la notification de modification.
Recevoir les notifications de modification
Pour être informé par email de tout ajout, remplacement ou suppression d'un sous-traitant ultérieur, envoyez une demande d'abonnement à team@vitruhome.com avec pour objet « Abonnement notifications sous-traitants » et en précisant l'email de contact à utiliser.
Vous pouvez vous désabonner à tout moment par simple demande à la même adresse.
Hébergement & infrastructure
Hébergement des applications web, des API et des bases de données utilisées par les Services Vitru'home.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Vercel Inc. | Hébergement des applications Next.js, CDN, edge functions, logs de requêtes, stockage temporaire de fragments de rapport (Vercel Blob). | Union européenne — Paris (cdg1) : les quatre applications y exécutent leurs fonctions serveur, et le stockage temporaire Vercel Blob est configuré en région Union européenne. Vercel Inc. est une société de droit américain, et le réseau de diffusion (CDN) sert les contenus statiques depuis des points de présence mondiaux. | Traitement au sein de l'EEE pour l'exécution. EU-US Data Privacy Framework + CCT Module 2 pour l'entité américaine et la diffusion par le CDN. |
| Supabase Inc. | Base de données PostgreSQL principale (auth, contenus, métadonnées), stockage objet, Realtime. | Union européenne — Paris (eu-west-3) | Traitement au sein de l'EEE (aucun transfert vers un pays tiers) |
| Amazon Web Services, Inc. | Entraînement de modèles vision (SageMaker), stockage de datasets (S3), inférence GPU, OCR de documents (Amazon Textract), inférence LLM (Amazon Bedrock). | Union européenne — Paris (eu-west-3) pour l'ensemble des services utilisés, entraînement des modèles vision compris. | Traitement au sein de l'EEE. Amazon Web Services, Inc. étant une société de droit américain : CCT Module 2 + EU-US DPF pour l'entité. |
| Inngest, Inc. | Orchestration des traitements asynchrones (files de jobs). L'état d'exécution conservé pour permettre la reprise des traitements est chiffré de bout en bout avant émission : ce prestataire transporte et rejoue des données chiffrées, sans détenir la clé, et n'a donc accès ni au contenu des documents, ni à l'adresse du site étudié, ni aux questions et notes saisies, ni aux résultats d'analyse. Restent en clair les seules données nécessaires à son moteur d'ordonnancement (identifiants techniques opaques d'analyse, de conversation et d'utilisateur, horodatages, durées) ainsi que, en cas d'échec, le message d'erreur technique de l'étape concernée, qui peut mentionner un nom de fichier. | États-Unis | Chiffrement de bout en bout sous clé détenue par Vitru'home. EU-US Data Privacy Framework + CCT Module 2. |
Modèles d'intelligence artificielle (LLM & vision)
Fournisseurs de modèles utilisés pour le chat IA, l'analyse documentaire, l'OCR et la vision par ordinateur. Deux voies d'inférence coexistent selon la configuration de déploiement, et elles ne servent pas les mêmes modèles.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Anthropic PBC | Modèles Claude (chat IA avancé, raisonnement long contexte). | Siège États-Unis. Inférences servies exclusivement via AWS Bedrock au sein de l'Union européenne (profil d'inférence inter-régions UE, région par défaut Paris eu-west-3). Les Données du Client ne quittent pas l'UE au niveau infrastructure. | EU-US Data Privacy Framework + CCT Module 2. Zero Data Retention activé via Amazon Bedrock (pas de conservation ni d'utilisation des prompts/outputs pour l'entraînement). |
| Melious AI GmbH | Passerelle d'inférence européenne : exécution de modèles de langage à poids ouverts et vectorisation des textes, en alternative à AWS Bedrock selon la configuration de déploiement. Les modèles servis ne sont pas ceux d'Anthropic. | Union européenne — Sarrebruck, Allemagne (Amtsgericht Saarbrücken HRB 111794). Le fournisseur déclare un traitement qui a lieu, en règle générale, sur des serveurs situés dans l'Union européenne ou l'Espace économique européen, et subordonne tout traitement en pays tiers à une notification préalable à Vitru'home. Les modèles servis sont opérés par des tiers dont il publie la liste, tous établis dans l'EEE au jour de la présente page. | Contrat de sous-traitance conforme à l'article 28 du RGPD : le traitement est limité aux instructions documentées de Vitru'home, ce qui exclut tout usage des contenus pour l'entraînement de modèles. Le sous-traitant étant établi dans l'Union européenne et le traitement ayant lieu dans l'EEE, aucun instrument de transfert n'est requis en l'état. Le fournisseur prévoit qu'un traitement en pays tiers, s'il devait survenir, soit notifié au préalable et encadré par les articles 44 et suivants du RGPD ; une telle notification serait répercutée sur la présente page et ouvrirait le droit d'opposition prévu ci-dessous. Suppression des données au terme du contrat conclu entre Vitru'home et ce fournisseur. |
Paiement
Gestion des paiements, facturation et abonnements.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Stripe Payments Europe, Ltd. | Traitement des paiements par carte, gestion des abonnements, facturation. | Irlande (entité européenne). Stripe Inc. aux États-Unis pour traitement technique. | Entité contractante UE. CCT + EU-US DPF pour les composants US. |
Emails transactionnels & communication
Envoi d'emails transactionnels (inscription, confirmations, notifications).
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Resend, Inc. | Envoi d'emails transactionnels. | États-Unis | EU-US Data Privacy Framework + CCT Module 2 |
| Nylas, Inc. | Boîte mail de projet et relances de pièces justificatives : corps des emails, pièces jointes, participants. | Union européenne (api.eu.nylas.com) ; Nylas, Inc. aux États-Unis pour l'entité. | Traitement au sein de l'EEE. CCT + EU-US DPF pour les composants US. |
Génération de documents
Conversion et mise en forme des livrables (rapports) exportés par les Services.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Amazon Web Services, Inc. | Conversion des rapports DOCX en PDF (Gotenberg auto-hébergé sur ECS) et rastérisation des plans PDF en images (fonction Lambda). Le document est traité puis supprimé, il n'est pas conservé. | Union européenne — Paris (eu-west-3). | Traitement réalisé intégralement au sein de l'EEE : aucun transfert vers un pays tiers pour cette finalité. |
Authentification
Connexion des utilisateurs qui choisissent l'authentification unique plutôt qu'un mot de passe.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Google LLC (Sign-In) | Authentification unique (SSO), au seul choix de l'utilisateur : Google reçoit la demande de connexion et nous retourne l'identifiant du compte, l'adresse électronique, le nom et l'avatar. Aucun document ni contenu client ne lui est transmis. Pour son propre compte Google, Google agit en responsable de traitement indépendant et non en sous-traitant ; l'entrée figure ici par transparence. Les utilisateurs qui se connectent par mot de passe ne sont pas concernés. | États-Unis | EU-US Data Privacy Framework + CCT Module 2 |
Sécurité & protection anti-abus
Protection des formulaires et des points d'entrée contre les robots et les tentatives d'abus.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Cloudflare, Inc. | Protection anti-bot des formulaires (Turnstile) : adresse IP, agent utilisateur et jeton de vérification. Aucun contenu de formulaire n'est transmis. Cloudflare assure également le service DNS autoritatif du domaine vitruhome.com. Les applications ne sont PAS servies au travers du réseau Cloudflare : la diffusion est assurée par Vercel, et la limitation de débit est appliquée par notre propre code. | États-Unis et réseau mondial de points de présence. | EU-US Data Privacy Framework + CCT Module 2 |
Cartographie & géocodage
Affichage cartographique, géocodage d'adresses et enrichissement géographique pour le module Analyse-de-site.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Mapbox Inc. | Cartes interactives, tuiles vectorielles, styles cartographiques. | États-Unis | EU-US Data Privacy Framework + CCT Module 2 |
| Google LLC (Maps Platform) | Géocodage, Places API, Street View (usages spécifiques). | États-Unis | EU-US Data Privacy Framework + CCT Module 2 |
Observabilité & supervision
Supervision technique des applications, analyse des erreurs et observabilité des chaînes LLM.
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| PostHog Inc. | Mesure d'audience, heatmaps et enregistrement de session : soumis au consentement, et limités aux comptes de l'éditeur sur les applications métier. Le texte affiché y est masqué. Observabilité des chaînes LLM : côté serveur, sur les seules métriques techniques (modèle, coûts, jetons, latence, erreurs) et sans le contenu des échanges. | Union européenne — eu.posthog.com | Traitement au sein de l'EEE |
| Functional Software, Inc. (Sentry) | Suivi des erreurs applicatives (intérêt légitime) et mesure des performances applicatives (traces), soumise au consentement « performance ». Aucun enregistrement de session (Session Replay) n'est réalisé : l'intégration correspondante n'est pas activée. | Union européenne — région de stockage « European Union » configurée sur notre organisation. | Traitement au sein de l'EEE |
Dernière mise à jour : 2 septembre 2026