Sous-traitants
Cette page liste l'ensemble des sous-traitants techniques mobilisés pour fournir le Service Documail, leur rôle, et la localisation des données qu'ils traitent. Elle est mise à jour en cas d'évolution.
Dernière mise à jour : 1ᵉʳ juin 2026
1. Liste des sous-traitants
| Sous-traitant | Pays / siège | Rôle | Données concernées | Transfert hors UE |
|---|---|---|---|---|
| Amazon Web Services EMEA SARL | Luxembourg — infrastructure en Irlande (région eu-west-1) | Stockage objet (S3), envoi d'e-mails transactionnels (SES) | Documents bruts, métadonnées techniques, e-mails entrants/sortants | Non — région UE |
| IONOS SARL | France (Sarreguemines) | Hébergement applicatif (VPS dédié) : portail client, panneau admin, traitements asynchrones | Comptes utilisateurs, métadonnées, base PostgreSQL chiffrée | Non |
| Stripe Payments Europe Ltd. | Irlande (Dublin) | Prestataire de services de paiement (collecte, abonnements, facturation) | Identité de facturation, coordonnées bancaires (jamais stockées par Documail) | Selon les sous-traitants Stripe, encadré par CCT |
| OpenAI Ireland Ltd (et OpenAI L.L.C.) | Irlande (Dublin) — maison-mère aux États-Unis (San Francisco) | Analyse IA des Documents : classification, extraction d'informations, recherche conversationnelle (Lumi) | Contenu des Documents transmis pour analyse via API | Entité contractante UE (Dublin) ; transfert technique éventuel vers les États-Unis encadré par CCT + EU-US Data Privacy Framework |
2. Garanties applicables
2.1 AWS et IONOS
Les deux sous-traitants traitent les données dans l'Union européenne. AWS bénéficie d'un programme de conformité reconnu (ISO 27001, SOC 2, HDS pour le périmètre concerné). IONOS opère depuis ses datacenters en France et en Allemagne. Les contrats de sous-traitance incluent les clauses de l'article 28 du RGPD.
2.2 Stripe
Stripe Payments Europe Ltd. est un établissement de paiement agréé dans l'Espace économique européen. Stripe applique ses propres CCT pour ses sous-traitants éventuellement situés hors UE.
2.3 OpenAI
OpenAI est utilisé comme moteur d'analyse IA via son API. L'entité contractante est OpenAI Ireland Ltd, située à Dublin, ce qui place le traitement au sein de l'Union européenne. Un transfert technique éventuel vers la maison-mère OpenAI L.L.C. (États-Unis) est encadré par les garanties suivantes :
- Non-entraînement des modèles avec les Documents transmis : par défaut sur l'API d'OpenAI depuis mars 2023, aucune donnée envoyée n'alimente l'entraînement ;
- Rétention limitée : les données transmises via l'API OpenAI peuvent être conservées temporairement, notamment à des fins de sécurité et de détection d'abus, selon les conditions applicables au service API utilisé — en principe jusqu'à 30 jours, sauf configuration spécifique, obligation légale ou option contractuelle particulière. L'option « Zero Data Retention » (ZDR) peut être étudiée pour les Clients sensibles ;
- Clauses contractuelles types (CCT) de la Commission européenne pour encadrer tout transfert hors UE ;
- EU-US Data Privacy Framework : OpenAI L.L.C. est certifiée auprès du Department of Commerce américain, offrant un cadre supplémentaire pour les transferts UE → US ;
- Confidentialité du personnel ayant accès aux environnements de traitement.
Documail évalue régulièrement l'opportunité de basculer tout ou partie des traitements IA sur un fournisseur hébergé exclusivement en Union européenne (par exemple Mistral AI). Cette évolution sera communiquée si elle intervient.
3. Recours à un nouveau sous-traitant
Conformément aux CGV et à l'Accord de sous-traitance RGPD, l'ajout ou le remplacement d'un sous-traitant ultérieur est notifié au Client au moins 15 jours avant son entrée en vigueur. Le Client peut s'y opposer pour motif légitime dans ce délai.
Question sur un sous-traitant ?
Écrivez-nous à support@documail.fr.