Le mécanisme
- Une autorisation générale, donnée une fois (RGPD, article 28.2) : le contrat autorise Web Crafter à faire appel aux sous-traitants de cette liste, et à ceux qu’il y ajoutera en suivant les deux points ci-dessous.
- Prévenir avant d’ajouter : un sous-traitant ajouté ou remplacé est annoncé par email aux clients concernés 30 jours avant de servir pour eux, avec la date de la nouvelle version de cette page.
- Le droit d’opposition : pendant ces 30 jours, un client peut s’opposer au changement par email à contact@web-crafter.fr. Pour un module activé site par site, comme l’assistant de rédaction, le module reste éteint sur son site. Pour un service commun à tous les sites (hébergement, emails, statistiques), il peut résilier son abonnement sans frais, avant que ce sous-traitant ne traite ses données.
- Ce qui ne figure pas ici : les services qui ne reçoivent aucune donnée personnelle des clients ni des visiteurs de leurs sites.
La liste
| Service | Pour quoi | Données | Lieu | Garanties |
|---|---|---|---|---|
| Google Cloud (Firebase) | Base, photos, API, espace client, hébergement des sites | Tout ce que porte la plateforme : réalisations, messages du formulaire, comptes de l’espace client, visites des pages | Union européenne (europe-west1) pour la base, les photos et l’API ; réseau mondial de Google pour servir les pages ; États-Unis pour les comptes (Firebase Authentication) |
Conditions de traitement des données de Google Cloud ; cadre UE–États-Unis et clauses contractuelles types pour les comptes |
| Mailjet | Envoi des emails | Notifications de contact (message et adresse du visiteur), invitations et emails des comptes | Union européenne | DPA de Mailjet, certification ISO 27001 |
| OVHcloud | Serveur de la mesure d’audience (Umami) ; registrar des noms de domaine que Web Crafter enregistre pour ses clients, et leur messagerie offerte (Zimbra), où vit l’adresse contact@ | Visites des sites, sans cookie : pages vues, provenance, appareil. Pour un domaine enregistré par Web Crafter : les coordonnées de son titulaire, et les emails reçus et envoyés par l’adresse contact@ | France | Contrat d’OVHcloud |
| Anthropic | Assistant de rédaction, sur les seuls sites où il est activé | Titre, ville, catégorie et texte de la fiche, et la description de la réalisation faite pour l’assistant, au moment où une proposition est demandée. Quand la personne demande la description des photos, les photos de la réalisation encore sans description, réduites. Aucune donnée de compte ni de visiteur | États-Unis | DPA avec clauses contractuelles types de l’UE, intégré à ses conditions commerciales ; requêtes supprimées sous 30 jours, jamais utilisées pour entraîner ses modèles |
| GitHub | Construction des sites (GitHub Actions) | Les réalisations publiées, déjà publiques, lues au moment du build | États-Unis | Accord de protection des données de GitHub, avec les clauses contractuelles types de l’UE |
Hors de l’Europe
Les données des clients restent en Europe. Trois traitements font exception :
- les comptes de l’espace client, gérés par Firebase Authentication ;
- les propositions de l’assistant de rédaction, traitées par Anthropic, qui ne propose pas de traitement en Europe ;
- la construction des sites par GitHub Actions, qui lit les réalisations publiées, déjà publiques.
