Voici les sociétés qui traitent des données à caractère personnel pour EUlabel. Le premier tableau est la liste visée dans notre Accord de traitement des données. Les propriétaires de l’organisation des Clients sont prévenus par e-mail 30 jours avant tout changement et peuvent s’y opposer comme l’explique l’Accord.
Sous-traitants ultérieurs pour les Données du Client
| Société | Service | Localisation | Garantie de transfert | Certifications déclarées | Leur liste |
|---|---|---|---|---|---|
| Vercel Inc. (États-Unis) | Hébergement, réseau de diffusion, pare-feu, journaux | Fonctions à Francfort. Réseau de diffusion mondial. Les journaux peuvent être traités aux États-Unis | Cadre de protection des données UE-États-Unis et clauses contractuelles types | SOC 2 Type 2, ISO 27001:2022 | security.vercel.com |
| Databricks, Inc. et Neon, LLC (États-Unis) | Base de données | Francfort (AWS eu-central-1) | Clauses contractuelles types | SOC 2 Type II, ISO 27001:2022, ISO 27701:2019 | Sous-traitants ultérieurs de Databricks |
| Plus Five Five, Inc., exerçant sous le nom de Resend (États-Unis) | E-mails de service, courrier entrant | Envoi depuis l’Irlande. Données des messages et journaux stockés aux États-Unis | Clauses contractuelles types | SOC 2 Type II | resend.com/legal/subprocessors |
Prestataires pour les données propres à EUlabel
Nous y faisons appel pour les données dont nous sommes nous-mêmes responsables du traitement, comme l’explique notre avis de confidentialité. Ils ne traitent pas les Données du Client.
| Société | Service | Localisation | Garantie de transfert |
|---|---|---|---|
| beehiiv Inc. (États-Unis) | Newsletter | États-Unis | Clauses contractuelles types |
| Plus Five Five, Inc., exerçant sous le nom de Resend (États-Unis) | E-mails de compte, invitations et notre propre courrier | Comme ci-dessus | Comme ci-dessus |
Google et Microsoft agissent en tant que responsables du traitement distincts lorsqu’une personne choisit de se connecter par leur intermédiaire. Have I Been Pwned ne reçoit qu’un hachage partiel du mot de passe, qui n’identifie personne.
Juridiction et accès des autorités publiques
En application de l’article 28 du règlement sur les données (règlement (UE) 2023/2854), nous publions les informations suivantes.
L’infrastructure figurant dans le premier tableau fonctionne dans l’Union européenne lorsque le tableau l’indique. Elle est exploitée par des sociétés établies aux États-Unis et relève donc du droit des États-Unis ainsi que de celui de l’UE.
Nos mesures contre l’accès international des autorités publiques aux données à caractère non personnel détenues dans l’Union sont les suivantes. Les traitements de l’application et de la base de données s’effectuent dans la région de Francfort. Les données sont chiffrées en transit et au repos. Les clés de chiffrement sont détenues par nos prestataires ; le chiffrement n’empêche donc pas à lui seul une demande qui leur est adressée. Nous informerons le Client de toute demande qui nous est adressée, sauf si la loi l’interdit, et ne divulguerons que ce que la loi exige.
Pour les données à caractère personnel, les clauses contractuelles types imposent également au prestataire d’examiner la licéité d’une demande, de la contester lorsqu’il existe des motifs de le faire et de nous en informer lorsqu’il le peut.