1. Principe
MIBsoft recourt à des sous-traitants ultérieurs (« sub-processors ») pour la fourniture de son service. Ces sous-traitants sont sélectionnés pour leur fiabilité, leur conformité réglementaire et leur capacité à offrir des garanties techniques et organisationnelles appropriées au sens de l'article 28 du RGPD.
2. Tableau des sous-traitants
| Sous-traitant | Pays / Localisation des données | Catégorie de données | Finalité | Garanties RGPD |
|---|---|---|---|---|
| Supabase Inc. | Siège : Singapour Serveurs : Frankfurt (DE, UE) AWS eu-central-1 |
Toutes données utilisateurs (identité, scores, sessions) | Hébergement base de données PostgreSQL, authentification, stockage de fichiers | DPA Supabase signé SCC Chiffrement TLS / AES-256 |
| Vercel Inc. | USA (siège) Edge Network mondial avec POPs UE |
Logs techniques, métadonnées HTTP (IP, user-agent) | Hébergement frontend, CDN, Edge Functions | DPA Vercel signé SCC Adhésion EU-US DPF |
| Stripe Payments Europe Ltd | Irlande (UE) Traitement principal en UE |
Données de paiement (CB), informations facturation | Traitement des paiements CB, lutte anti-fraude | Conformité PCI-DSS niveau 1 DPA Stripe Pas de transfert sortant pour la zone EU |
| Mailgun | Région UE (api.eu.mailgun.net) |
Email destinataire, contenu transactionnel, métadonnées d'envoi | Envoi d'emails transactionnels (inscription, mot de passe, factures) | Envoi et stockage des messages dans la région UE de Mailgun DPA fournisseur Chiffrement TLS |
| GitHub Inc. (Microsoft) | USA (avec data residency UE possible) | Code source uniquement — pas de données clients | Hébergement du code source, gestion des versions | DPA GitHub / Microsoft SCC EU-US DPF ISO 27001 |
| Google LLC (Google Fonts) | USA | Adresse IP transitoire lors du chargement de la police (pas de cookie) | Service de polices typographiques web | SCC EU-US DPF Polices auto-hébergeables si exigence client |
| Anthropic PBC (API Claude) | États-Unis — api.anthropic.com |
Le texte soumis par l'utilisateur aux fonctions d'assistance : description d'un accident du travail, compte rendu de visite de sécurité, énoncé d'un risque. Ce texte peut contenir des données personnelles si l'utilisateur en saisit (nom d'un salarié impliqué, circonstances). Aucune donnée de compte, aucun identifiant, aucune pièce jointe n'est transmis. | Aides à la rédaction du module CSE et du DUERP : arbre des causes, analyse de visite, Ishikawa, cinq pourquoi, cotation des risques, retour d'expérience. Et l'analyse quotidienne des signaux de sécurité de la plateforme (security-monitor). |
SCC Données d'entrée non utilisées pour l'entraînement des modèles (politique commerciale d'Anthropic) Fonctions facultatives : l'application reste entièrement utilisable sans elles, et le dit à l'utilisateur en cas d'indisponibilité |
| Gladia (transcription audio) [Vérifier la raison sociale exacte et le pays d'établissement sur le DPA signé] |
Traitement annoncé en Union européenne — api.gladia.io[À confirmer par écrit auprès du prestataire] |
L'enregistrement sonore d'une réunion ou d'un quart d'heure sécurité : les voix des participants, leurs propos, et les noms qu'ils citent. L'audio n'est pas téléversé — il est mis à disposition par une adresse signée et temporaire de notre espace de stockage. La transcription produite en retour revient chez nous. Aucune donnée de compte, aucun identifiant de session n'est transmis. | Transcription de l'enregistrement avec diarisation (distinguer qui parle quand), pour le compte rendu de réunion et du quart d'heure sécurité. Fonction du module CSE. | Rétention nulle obtenue par nous : la suppression du travail chez le prestataire (audio, transcription et métadonnées) est demandée par MIBsoft immédiatement après récupération du texte, sans attendre le délai de conservation par défaut du service. Le résultat de cette suppression est consigné avec la séance. Aucune option d'analyse de sentiment, de détection d'émotion ni de résumé n'est demandée : seuls la langue et la diarisation le sont. De notre côté, l'audio est effacé dès la validation du texte, et en tout état de cause au plus tard sept jours après son dépôt (purge automatique). Fonction facultative : l'application reste entièrement utilisable sans elle. |
| Backblaze, Inc. (Backblaze B2) | États-Unis (siège) Données stockées en région UE ( eu-central-003) |
Sauvegardes chiffrées de la base de données — toutes catégories, sous forme d'archive illisible sans la clé | Stockage hors-site des sauvegardes quotidiennes, conservées 30 jours | Archives chiffrées AES-256 avant l'envoi : Backblaze n'a jamais la clé et ne peut pas lire les données SCC Stockage en région UE |
| SMSFactor (alertes d'exploitation) [Vérifier la raison sociale exacte sur le DPA signé] |
France | Aucune donnée de Client ni d'utilisateur. Le seul numéro transmis est celui de l'astreinte technique de MIBsoft, destinataire de l'alerte. | Envoi d'un SMS à l'astreinte lorsque la surveillance automatique détecte une panne (health-monitor). |
Figure ici par exhaustivité : n'étant destinataire d'aucune donnée de Client, ce prestataire n'est pas un sous-traitant ultérieur au sens de l'article 28 pour les traitements confiés par les Clients. Le déclarer coûte une ligne et évite d'avoir à l'expliquer. |
| Cloudflare, Inc. (via Vercel) | USA POPs UE |
Métadonnées de trafic, IP source | Protection DDoS, WAF (par le biais de Vercel) | SCC EU-US DPF |
3. Notification de changement
Conformément au DPA et au RGPD, MIBsoft s'engage à :
- Informer les Clients de tout ajout, remplacement ou suppression de sous-traitant ultérieur avec un préavis d'au moins 30 jours avant entrée en vigueur ;
- Procéder à cette information par :
- Mise à jour de la présente page (avec changelog au bas de page) ;
- Email à l'administrateur de chaque compte centre actif ;
- Imposer aux nouveaux sous-traitants les mêmes obligations contractuelles RGPD que celles décrites dans le DPA.
4. Droit d'opposition du Client
Le Client (centre de formation, responsable de traitement) peut s'opposer à l'introduction ou au remplacement d'un sous-traitant ultérieur en notifiant son opposition motivée à dpo@mibsoft.fr dans le délai de préavis de 30 jours.
Si l'opposition est fondée et qu'aucune solution alternative ne peut être mise en place, chaque partie disposera de la faculté de résilier le contrat sans pénalité ni indemnité. Aucune absence de réponse dans le délai ne vaut acceptation tacite.
5. Justificatifs et DPA des fournisseurs
Les DPA et engagements de sous-traitance des principaux fournisseurs sont publiquement consultables :
- Supabase : supabase.com/legal/dpa
- Vercel : vercel.com/legal/dpa
- Stripe : stripe.com/legal/dpa
- Mailgun : mailgun.com/legal/dpa
- GitHub : github.com/customer-terms
- Google : privacy.google.com/businesses/processorterms
- Anthropic, Backblaze, Gladia : [Liens à insérer et exemplaires signés à archiver. Ces trois sous-traitants figurent au tableau ci-dessus sans que leur DPA soit encore référencé ici : un lien recopié de mémoire dans un document juridique ne vaut rien, il doit être ouvert et vérifié avant d'être écrit.]
6. Historique des modifications
| Date | Modification |
|---|---|
| Mai 2026 | Création initiale de la liste (v1.0) |
| Août 2026 | Ajout d'Anthropic PBC (aides à la rédaction du module CSE et du DUERP) et de Backblaze B2 (sauvegardes chiffrées hors site). |
| 24 septembre 2026 | Ajout de Gladia (transcription des enregistrements de réunion et de quart d'heure sécurité, avec diarisation). Ce sous-traitant était en service sans figurer à la liste : l'omission est corrigée ici, et la notification aux clients prévue à l'article 3 reste à faire. |
Vous avez une question ?
Pour toute interrogation sur nos sous-traitants ou sur le traitement de vos données, contactez notre référent RGPD : dpo@mibsoft.fr.
Pour toute interrogation sur nos sous-traitants ou sur le traitement de vos données, contactez notre référent RGPD : dpo@mibsoft.fr.