Projet. Ce document n’a pas encore été relu par un avocat. Les champs surlignés comme {{…}} sont des informations qui restent à compléter.
Sous-traitants de BatchDog
Version : projet 3 · Dernière mise à jour : {{EFFECTIVE_DATE}}
Entreprises qui traitent des données personnelles pour BatchDog, pour notre compte (« sous-traitants » au sens de l’art. 28 du RGPD). Chacune agit dans le cadre d’un contrat de sous-traitance et uniquement sur nos instructions. Nous mettrons cette page à jour avant de faire appel à un nouveau sous-traitant qui traite des données personnelles. Si nous remplaçons un sous-traitant (par exemple le fournisseur de modèle d’IA) et que la finalité, les données, le contrat de sous-traitance, l’engagement de ne pas entraîner de modèles avec les données, la durée de conservation et le niveau de protection restent les mêmes, nous mettons cette page à jour et annonçons le changement dans l’application et dans le bot au moins 14 jours à l’avance. Si le pays ou les garanties de transfert, la durée de conservation ou les conditions relatives à l’entraînement changent, nous demandons à nouveau le consentement avant d’envoyer des données de santé au nouveau sous-traitant. Un sous-traitant remplacé reste mentionné, avec ses dates, dans Anciens sous-traitants.
Responsable du traitement : Maksim Paleyeu (Relax Games Studio), Calle Sant Ignasi de Loiola 27, piso 4, puerta 10, 46008 Valencia, Espagne, hello@relaxgames.studio.
Actifs
| Entreprise | Ce qu’elle fait pour BatchDog | Données personnelles | Où | Garantie pour les transferts | Contrat |
|---|---|---|---|---|---|
| Supabase, Inc. | Base de données et connexion (comptes, profils, familles, provisions, recettes, menus, journal alimentaire, données de santé avec consentement) | Toutes les données conservées dans BatchDog | UE : AWS eu-central-1, Francfort, Allemagne. L’accès du support peut avoir lieu depuis l’extérieur de l’UE | Clauses contractuelles types | Contrat de sous-traitance (DPA) : https://supabase.com/legal/dpa · Ses sous-traitants : https://supabase.com/legal/customer-resources/subprocessor-list |
| Cloudflare, Inc. | Hébergement de l’application et de l’API (Workers), acheminement réseau, journaux des requêtes conservés de 3 à 7 jours | Données transitant entre votre appareil et la base de données ; adresse IP, type d’appareil, journaux des requêtes | Réseau mondial, données traitées dans le centre de données le plus proche ; société établie aux États-Unis | Cadre de protection des données UE–États-Unis (Data Privacy Framework) et clauses contractuelles types | Contrat de sous-traitance (DPA) : https://www.cloudflare.com/cloudflare-customer-dpa/ |
| Anthropic (Anthropic Ireland, Ltd. pour les clients de l’EEE ; Anthropic, PBC) | Fournisseur de modèle d’IA (actuel) : création de menus et lecture de recettes à partir de liens et de photos (Claude) | Paramètres du menu, restrictions alimentaires, produits des provisions, prénoms et objectifs caloriques des membres de la famille dans un menu familial ; texte de la page de recette ou photo. Ni identifiant Telegram, ni poids, ni diagnostics, ni journal | États-Unis | Clauses contractuelles types. Les données d’entrée et de sortie sont supprimées dans un délai de 30 jours et ne sont pas utilisées pour l’entraînement | Conditions commerciales et contrat de sous-traitance (DPA) : https://www.anthropic.com/legal/commercial-terms, https://www.anthropic.com/legal/data-processing-addendum · Ses sous-traitants : https://www.anthropic.com/subprocessors |
| PostHog Inc. | Mesure d’audience produit (PostHog EU Cloud) sur des événements pseudonymisés, uniquement pour les utilisateurs qui ont activé les statistiques d’utilisation | Événements des statistiques d’utilisation et du service de ces utilisateurs à partir de leur consentement ; identifiants de compte, de famille et d’objets remplacés par des pseudonymes (HMAC avec une clé que PostHog n’a pas). Pas d’adresse IP, de nom, d’identifiant Telegram, de plats, de valeurs nutritionnelles, de poids, de journal ni de réponses de santé ; pas de profils de personnes | UE : Francfort, Allemagne ; société établie aux États-Unis | Clauses contractuelles types dans le contrat de sous-traitance (cadre de protection des données UE–États-Unis, si PostHog est certifié) | Contrat de sous-traitance (DPA) : https://posthog.com/dpa |
Prévus
| Entreprise | Rôle | Quand |
|---|---|---|
| Stripe Payments Europe, Ltd. (ou un prestataire agissant comme vendeur officiel, merchant of record) | Paiements par carte pour BatchDog+ sur le web | Lancement de la version web |
| Apple Distribution International (App Store) | Achats intégrés sur iPhone et iPad. Apple est un responsable du traitement distinct pour l’achat | Lancement sur iOS |
| Google Commerce Ltd (Google Play) | Achats intégrés sur Android. Google est un responsable du traitement distinct pour l’achat | Lancement sur Android |
Anciens sous-traitants
Lorsque nous remplaçons un sous-traitant, sa ligne est déplacée ici avec les dates auxquelles nous y avons eu recours, afin que cette page indique tous les destinataires auxquels vos données ont pu être transmises (art. 15.1.c du RGPD ; loi My Health My Data de l’État de Washington). Aucun pour l’instant.
Ne sont pas des sous-traitants
- Telegram (Telegram FZ-LLC et ses sociétés affiliées) exploite la plateforme et l’API des bots. Telegram est un responsable du traitement distinct pour votre compte Telegram et vos messages, conformément à sa propre politique : https://telegram.org/privacy. Les paiements en Telegram Stars sont traités par Telegram et les boutiques d’applications.
- Google Gemini est utilisé uniquement pour dessiner les illustrations des plats du catalogue de recettes partagé. Aucune donnée d’utilisateur ne lui est envoyée.
- ExchangeRate-API (open.er-api.com) fournit les taux de change quotidiens pour les prix convertis dans une autre devise ; en secours, les fichiers ouverts de fawazahmed0/currency-api sur jsDelivr. Les taux sont demandés par notre serveur ; aucune donnée d’utilisateur n’est envoyée. Rates By Exchange Rate API : https://www.exchangerate-api.com