Sous-traitants et localisation des données : qui traite quoi, et où
CéSAR Photo fait appel à sept prestataires techniques : Vercel (application), Neon (base de données, Francfort), Cloudflare R2 (stockage des fichiers), Hugging Face (capacité de calcul pour la reconnaissance faciale), Stripe (paiements), Resend (e-mails) et Google (mesure d'audience après consentement, connexion et import). La base de données et l'exécution des fonctions sont situées à Francfort, en Allemagne, dans l'Union européenne. Cette page indique, pour chacun, la fonction, les données concernées, la localisation et les garanties de transfert.
Dernière vérification :
L'essentiel en un coup d'œil
- Nombre de sous-traitants
- 7 prestataires techniques (liste ci-dessous).
- Base de données
- Neon, région AWS eu-central-1, Francfort (Allemagne).
- Exécution de l'application
- Vercel, région fra1, Francfort (Allemagne).
- Stockage des fichiers
- Cloudflare R2, emplacement automatique (non restreint à l'UE).
- Calcul de la reconnaissance faciale
- Hugging Face (capacité de calcul), États-Unis.
- Ventes de données
- Aucune. Aucune donnée n'est vendue, louée ni utilisée à des fins publicitaires.
- Préavis de changement
- 30 jours pour les clients professionnels (mise à jour de cette page et information par e-mail).
Registre des sous-traitants
| Prestataire | Fonction | Données concernées | Localisation | Garanties de transfert |
|---|---|---|---|---|
| Vercel — Vercel Inc. (États-Unis) | Hébergement de l'application web et exécution des fonctions serveur | Requêtes HTTP, sessions, contenu transitant en mémoire (dont le selfie, le temps de la requête). Aucun stockage durable de photos ni de gabarits. | Fonctions exécutées à Francfort (Allemagne, région fra1) ; réseau de diffusion mondial pour les pages publiques | Union européenne : aucun transfert pour l'exécution des fonctions. États-Unis (société mère du prestataire) : Data Privacy Framework ou clauses contractuelles types, selon l'adhésion du prestataire. |
| Neon — Neon, Inc. (États-Unis) | Base de données PostgreSQL : comptes, événements, métadonnées des photos, gabarits faciaux des photos d'événement | Comptes organisateurs, événements, fiches invités (prénom facultatif), gabarits faciaux (512 nombres par visage) des photos d'événement. | Région AWS eu-central-1, Francfort (Allemagne), Union européenne | Hébergement dans l'Union européenne : aucun transfert hors EEE pour la base de données. Chiffrement en transit (TLS) exigé pour toute connexion. |
| Cloudflare R2 — Cloudflare, Inc. (États-Unis) | Stockage des fichiers : photos, miniatures, couvertures, fichiers RAW, dépôt temporaire du selfie | Photos de l'événement et leurs dérivés ; selfies pendant quelques secondes (dossier temporaire). | Emplacement automatique choisi par Cloudflare (non restreint à l'Union européenne) | Data Privacy Framework ou clauses contractuelles types, selon l'adhésion du prestataire. Chiffrement au repos et en transit géré par Cloudflare. |
| Hugging Face — Hugging Face, Inc. (États-Unis) | Capacité de calcul sur laquelle tourne NOTRE service de reconnaissance faciale | Photos et selfies traités en mémoire le temps du calcul ; les gabarits calculés sont écrits directement dans la base de données, pas chez Hugging Face. | Infrastructure cloud gérée par Hugging Face — localisation non garantie dans l'Union européenne | Transfert hors Espace économique européen encadré par les conditions de traitement du prestataire. Le service n'est joignable qu'avec une clé secrète ; les données y sont traitées en mémoire. |
| Stripe — Stripe Payments Europe, Ltd. (Irlande) | Paiements, abonnements, codes promotionnels | Identité et coordonnées de facturation, moyen de paiement (saisi chez Stripe, jamais sur nos serveurs). Aucune donnée biométrique ni aucune photo. | Union européenne (Irlande) ; transferts éventuels vers les États-Unis encadrés par Stripe | Stripe agit en responsable de traitement pour ses obligations de lutte contre la fraude et en sous-traitant pour le reste ; conditions de traitement de Stripe. |
| Resend — Resend, Inc. (États-Unis) | Envoi des e-mails transactionnels (confirmation, liens de galerie, factures, alertes) | Adresse e-mail, prénom et contenu du message. Aucune photo ni gabarit n'est joint. | États-Unis (région d'envoi à confirmer) | Data Privacy Framework ou clauses contractuelles types, selon l'adhésion du prestataire. |
| Google — Google Ireland Ltd. (Irlande) | Mesure d'audience (Google Analytics, uniquement après consentement), connexion « Se connecter avec Google », import depuis Google Drive à la demande de l'organisateur, messagerie de secours | Données de navigation (après accord), identité du compte Google lors d'une connexion, fichiers que l'organisateur choisit d'importer. | Union européenne et États-Unis selon le service | Mesure d'audience soumise à votre consentement préalable ; transferts encadrés par Google (Data Privacy Framework, clauses contractuelles types). |
Les certifications ci-dessous sont celles que chaque prestataire publie pour sa propre plateforme ; elles ne sont pas des certifications de CéSAR Photo.
Certifications publiées par les prestataires
| Prestataire | Certifications annoncées par le prestataire |
|---|---|
| Vercel | SOC 2 Type 2 et ISO 27001 (selon Vercel) |
| Neon | SOC 2 Type 2, ISO 27001 et ISO 27701 (selon Neon) |
| Cloudflare R2 | ISO 27001, ISO 27701 et SOC 2 Type II (selon Cloudflare) |
| Hugging Face | SOC 2 Type II pour la plateforme Hub (selon Hugging Face) |
| Stripe | PCI DSS niveau 1 (selon Stripe) |
| Resend | Voir la documentation de sécurité de Resend |
| ISO 27001, ISO 27017, ISO 27018, SOC 2 (selon Google) |
Comment sont encadrés les transferts hors Espace économique européen ?
Pour les prestataires américains, par le Data Privacy Framework UE-États-Unis lorsque le prestataire y adhère, ou à défaut par les clauses contractuelles types de la Commission européenne. Les photos et selfies traités par le prestataire de calcul le sont en mémoire, sans conservation par notre service : les gabarits calculés sont écrits directement dans notre base de données.
Comment serez-vous informé d'un changement de sous-traitant ?
Tout ajout ou remplacement de sous-traitant est publié sur cette page. Les clients professionnels (DPA) sont prévenus par e-mail 30 jours avant l'entrée en vigueur et peuvent s'opposer pour des motifs raisonnables liés à la protection des données.
Questions fréquentes
Où sont stockées mes photos ?
Dans Cloudflare R2, avec un emplacement choisi automatiquement par Cloudflare (non restreint à l'Union européenne). Les métadonnées et les gabarits faciaux sont dans la base de données Neon à Francfort.
Mes données sont-elles hébergées dans l'Union européenne ?
La base de données (comptes, gabarits faciaux) et l'exécution de l'application sont à Francfort, en Allemagne, dans l'Union européenne. Le stockage des fichiers et le calcul de reconnaissance sont chez des prestataires dont la localisation est détaillée sur la page Sous-traitants.
Mes données sont-elles revendues ?
Non. Aucune donnée n'est vendue, louée ni utilisée à des fins publicitaires.