Version 1.5 – 14/08/2026
Cette version n'est pas encore adoptée. Le procès-verbal d'adoption atteste la version précédente : le conseil a recommandé une seule adoption consolidée une fois les corrections de textes achevées, et le procès-verbal n'a donc pas été mis à jour. La présente version est prête, elle n'est pas adoptée.
Cette liste recense les sous-traitants ultérieurs auxquels Sleeky recourt pour fournir son service, au sens de l'article 28 du RGPD. Elle est mise à disposition des salons dans le cadre de l'accord de responsabilité conjointe et du DPA, et tenue à jour ; toute modification substantielle est notifiée.
Note importante sur le prénom d'invité. Aucun des sous-traitants ci-dessous ne reçoit le prénom d'un invité : cette donnée reste confinée à l'agenda du salon et est absente des e-mails, SMS, journaux, exports et flux de diagnostic. Les sous-traitants listés traitent d'autres catégories de données (identifiants de compte, coordonnées du titulaire, données de facturation du salon, rapports d'erreur technique), aux finalités indiquées.
Sous-traitants
| Sous-traitant | Rôle / finalité | Données concernées | Localisation du traitement | Encadrement des transferts |
|---|---|---|---|---|
| Scaleway SAS | Hébergement de l'infrastructure, de la base de données et des sauvegardes | Ensemble des données de la plateforme | France (zone fr-par-1, Paris) — UE |
Traitement dans l'UE — aucun transfert hors EEE |
| Sendinblue SAS (Brevo) | Relais d'acheminement des e-mails transactionnels (codes de vérification, notifications, confirmations de rendez-vous, certificats d'adhésion) | Adresse e-mail du destinataire, son nom, le contenu du message, l'identifiant de la réservation concernée et les métadonnées d'acheminement (gabarit employé, identifiant du salon, identifiant d'envoi) | France — UE | Traitement dans l'UE |
| Mailjet SAS | Relais d'acheminement des e-mails transactionnels — relais alternatif, mobilisable sur configuration ; mêmes finalités et mêmes messages que ci-dessus | Adresse e-mail du destinataire, son nom, le contenu du message, l'identifiant de la réservation concernée et les métadonnées d'acheminement (gabarit employé, identifiant du salon, identifiant d'envoi) | France — UE | Traitement dans l'UE |
| SMS Partner | Envoi des SMS transactionnels (codes, rappels de rendez-vous) | Numéro de téléphone, contenu des SMS | France — UE | Traitement dans l'UE |
| Stripe Payments Europe, Ltd | Traitement des paiements des abonnements des salons | Données de facturation et de paiement du salon | Irlande — UE | Traitement dans l'UE (entité européenne contractante) |
| Functional Software, Inc. d/b/a Sentry | Supervision technique de la plateforme : réception des rapports d'erreur applicative et des alertes d'anomalie | Rapports d'erreur (message, pile d'appels, route appelée, identifiant de salon, rôle) et alertes techniques — sans cookies, sans en-têtes, sans adresse IP de visiteur, sans corps de requête | Allemagne (Francfort) — UE pour les données de supervision ; États-Unis pour les données de compte et d'organisation et pour les échanges avec le support (répartition détaillée ci-dessous) | Transfert hors EEE encadré : lorsque le traitement entraîne un transfert vers Functional Software, Inc. aux États-Unis, le transfert repose, lorsqu'il est applicable, sur le cadre de protection des données UE-États-Unis. Si ce cadre est invalide ou n'est pas applicable au transfert concerné, les clauses contractuelles types de la Commission, décision 2021/914, s'appliquent : module 2 lorsque Sleeky agit comme responsable, module 3 lorsque Sleeky agit comme sous-traitant pour le compte d'un salon. Les clauses sont incorporées par référence, les deux parties étant réputées les avoir signées à la date d'effet ; droit et tribunaux irlandais |
| IGN (Institut national de l'information géographique et forestière) | Fond de carte de la recherche publique : le navigateur du visiteur télécharge les images cartographiques auprès de la Géoplateforme, service public de l'État français | Adresse IP du visiteur et zone géographique consultée, transmises par son navigateur au moment où il ouvre la carte. Aucun cookie n'est déposé ni lu sur son appareil (mesuré). Aucune donnée de rendez-vous, de salon ou de compte n'est transmise | France — UE | Traitement dans l'UE — aucun transfert hors EEE |
Répartition réelle des données chez Sentry
Le choix de la région européenne ne couvre pas l'ensemble des données. La répartition ci-dessous est celle du prestataire ; elle est reproduite ici parce qu'écrire « traitement dans l'UE » serait inexact.
Traité en Allemagne (Francfort), en région européenne : les évènements d'erreur, les transactions, les traces, les profils, les journaux, les mesures, la santé des versions, les symboles, les rejeux de session — et les sauvegardes de ces données.
Traité aux États-Unis, quel que soit le réglage de région : les comptes utilisateurs, les paramètres de notification, les authentificateurs, les métadonnées d'intégration, les jetons d'accès, les paramètres d'organisation, les journaux d'audit, les métadonnées de projet et les clés d'ingestion, les données d'usage, les métadonnées d'authentification unique — ainsi que tout élément transmis au support.
Ces deux ensembles relèvent du même encadrement contractuel : le mécanisme de transfert rappelé au tableau — le cadre de protection des données UE-États-Unis lorsqu'il est applicable, et, à défaut, les clauses contractuelles types de la Commission (décision 2021/914), dans leur module 2 ou leur module 3 selon la qualité en laquelle Sleeky intervient.
Périmètre et exclusions
Les sept prestataires ci-dessus sont confirmés. Six sont établis dans l'Union européenne et n'emportent aucun transfert hors EEE. Le septième, Functional Software, Inc. (Sentry), est établi aux États-Unis : le transfert existe, il est nommé ci-dessus et encadré par le mécanisme rappelé au tableau.
Le fond de carte de la recherche publique est une transmission, et elle est écrite ici plutôt que tue. Lorsqu'un visiteur ouvre la vue carte des résultats de recherche, son navigateur demande les images cartographiques à la Géoplateforme de l'IGN, qui reçoit de ce fait son adresse IP et la zone qu'il consulte. Aucun cookie n'est déposé ni lu sur son appareil — mesuré le 14/08/2026 sur le service de tuiles, qui ne renvoie aucun en-tête d'écriture de cookie —, de sorte qu'aucun consentement préalable n'est requis à ce titre. La carte n'est pas chargée tant que le visiteur ne la demande pas : tant qu'il ne l'ouvre pas, aucune requête n'est adressée à l'IGN.
Une qualification reste à confirmer. Un serveur de tuiles qui reçoit une adresse IP du fait de la requête du navigateur peut relever du sous-traitant au sens de l'article 28 ou du simple destinataire tiers, responsable de ses propres journaux. Les deux lectures se défendent, et choisir reviendrait à trancher à la place du conseil. Le prestataire est donc inscrit au tableau — parce que la transmission existe et que l'Établissement doit la connaître —, avec la mention que sa qualification exacte est à confirmer. Inscrire un prestataire qui s'avérerait un simple destinataire ne retire aucun droit à personne ; l'omettre en aurait caché un.
Les relais d'acheminement des e-mails sont des sous-traitants, et non de simples intermédiaires techniques. Ils reçoivent l'adresse du destinataire, son nom, le contenu du message, l'identifiant de la réservation concernée et les métadonnées d'acheminement. Lorsque Sleeky agit pour le compte d'un salon — messages liés aux rendez-vous — ils sont des sous-traitants ultérieurs au sens de l'article 28.4 du RGPD ; lorsque Sleeky agit pour son propre compte, ils sont ses sous-traitants directs. Deux relais figurent au tableau parce que les deux sont mobilisables : celui qui achemine à un instant donné est une décision d'exploitation, jamais un fait acquis par cette pièce.
- Coolify est auto-hébergé par Sleeky sur son serveur Scaleway : ce n'est pas un sous-traitant tiers (outil d'orchestration opéré par Sleeky), il ne figure donc pas dans cette liste. Seul Scaleway, l'hébergeur, l'est.
- En dehors des sept prestataires listés, aucune autre brique ne traite de données personnelles pour le compte de Sleeky : pas d'outil d'analyse d'audience tiers. L'outil de supervision technique n'est plus une exclusion : c'est Sentry, et il figure au tableau. De même, le support n'est plus intégralement interne — les échanges ouverts auprès du support de Sentry sont traités aux États-Unis, sous le même encadrement contractuel. Et l'exclusion « aucun contenu externe » est tombée le 14/08/2026 : la vue carte de la recherche publique fait télécharger des images cartographiques à l'IGN, qui figure désormais au tableau. À revérifier à chaque ajout d'un nouvel outil — c'est cette phrase-ci qui a exigé la mise à jour lorsque la carte est arrivée.
Cette liste doit rester cohérente avec l'annexe « sous-traitants » du DPA général de Sleeky.