Sous-traitants ultérieurs
Version 2026-10-21
Article 1. Objet et champ d'application
1.1. Objet. La présente page identifie les sous-traitants ultérieurs, au sens de l'article 28(2) et (4) du RGPD, auxquels iAdvize recourt pour traiter des données à caractère personnel pour le compte de ses clients dans le cadre du pilote de l'AI Shopping Assistant v3 (le « Service ») : tableau de bord, playground, API REST, serveur MCP et assistant servi aux shoppers. Elle constitue la liste visée à l'article 7.4 des conditions d'utilisation et à l'article 7 du DPA.
1.2. Contenu. Chaque entrée précise la prestation, les données traitées et le lieu du traitement. Les traitements localisés hors de l'Union européenne sont recensés à l'article 6, et les garanties applicables à l'article 7.
1.3. Traitements dont iAdvize est responsable. Certains de ces prestataires traitent également des données dont iAdvize est responsable du traitement (mesure d'audience de son site, e-mails produit). Ces traitements sont décrits dans la politique de confidentialité.
Article 2. Évolution de la liste
2.1. Préavis. iAdvize informe le client, par courrier électronique adressé aux administrateurs de son organisation, de tout recours à un nouveau sous-traitant ultérieur au moins trente (30) jours avant le début du traitement, sauf délai plus court imposé par des raisons de sécurité ou par une obligation légale.
2.2. Opposition. Pendant ce délai, le client peut s'opposer à ce recours, pour un motif raisonnable tenant à la protection des données, par courrier électronique adressé à privacy@iadvize.com. Les parties recherchent alors de bonne foi une solution ; à défaut, le client peut mettre fin aux conditions d'utilisation dans les conditions de leur article 10.3.
2.3. Mise à jour. La présente page fait foi de la liste en vigueur. Toute modification donne lieu à la mise à jour de sa date de version.
Article 3. Infrastructure et hébergement
| Prestataire | Prestation | Données traitées | Lieu |
|---|---|---|---|
| Vercel Inc. | Hébergement et exécution de l'application (surface de conversation du shopper, tableau de bord, API) ; stockage des images téléversées (logos d'organisation et de site, favicons, avatars d'assistant, photo de profil téléversée par un membre des équipes du client) ; routage des appels de modèle via l'AI Gateway ; mesure d'audience du site et du tableau de bord d'iAdvize, et mesure de performance des pages servies par l'application, y compris les surfaces de conversation du shopper, à l'exclusion de la notice shopper | Données manipulées au cours d'une requête, y compris le contenu des conversations en transit ; images susvisées. Pour la mesure : adresse de la page sans paramètres (route seule, sans clé de site, sur une surface du shopper), site référent, localisation approximative, type de terminal et de navigateur, temps de performance. Aucun cookie ; aucun identifiant conservé au-delà de 24 heures | Francfort (Allemagne) pour le calcul et le stockage ; autres composants : article 6 |
| Neon, LLC | Base de données du Service | Organisations, sites et contenu de leurs pages, agents et versions, questions d'accroche, conversations, avis et qualifications, événements de mesure et comptages de pages vues, commandes transmises par la boutique, scénarios et résultats d'évaluation, journal d'audit, identifiants chiffrés des connecteurs e-commerce | Francfort (Allemagne) |
Article 4. Fournisseurs de modèles d'IA
4.1. Chaîne d'appel. Les appels de modèle sont acheminés par l'AI Gateway de Vercel, avec les identifiants de Vercel, en mode de non-conservation et épinglés dans l'Union européenne ; un appel qui ne peut y être servi échoue, sans bascule vers une autre région. Vercel est le cocontractant d'iAdvize pour l'inférence ; les fournisseurs ci-dessous interviennent en qualité de sous-traitants ultérieurs de Vercel (article 28(4) du RGPD). Les modèles Claude d'Anthropic sont servis par Amazon Bedrock ou Google Cloud Vertex AI, selon la disponibilité ; Anthropic, qui ne propose pas de point d'accès européen pour ces modèles, ne reçoit aucun appel.
| Prestataire | Prestation | Données traitées | Lieu |
|---|---|---|---|
| OpenAI OpCo, LLC | Qualification des conversations des shoppers et du Playground, à l'exclusion des conversations dont le shopper s'est opposé à la mesure ; génération de questions d'accroche, à la demande ou lorsque la génération automatique est activée (désactivée par défaut) | Qualification : messages, résultats des outils et configuration de l'agent (instructions, outils, informations du site, ton de voix). Questions d'accroche : contenu de la page, nom, ton de voix et description du site | Union européenne (épinglé) |
| Amazon Web Services, Inc. (Amazon Bedrock) | Modèles Claude : réponses de l'assistant ; traitements internes de génération de texte (analyse du site à l'onboarding, générateur d'instructions, juge d'évaluation, newsletter produit, vérification des réponses suggérées au regard du catalogue, classification de pages) | Conversation : messages, réponses précédentes, instructions et résultats des outils. Autres traitements : nom et adresse du site, instructions, scénarios d'évaluation, changelog d'iAdvize ; pour la classification, adresse, titres, description et au plus 1 500 premiers caractères de la page | Union européenne (épinglé) |
| Google LLC (Google Cloud Vertex AI) | Mêmes traitements qu'Amazon Bedrock, pour les appels qui lui sont confiés | Mêmes données | Union européenne (épinglé) |
4.2. Conservation et entraînement. La non-conservation et l'interdiction d'utilisation à des fins d'entraînement sont activées sur l'AI Gateway et réaffirmées à chaque appel. Tout fournisseur de modèle peut toutefois conserver, selon ses propres règles et le cas échéant hors de l'Union européenne, les requêtes signalées par ses systèmes de détection d'abus.
Article 5. Services de support
| Prestataire | Prestation | Données traitées | Lieu |
|---|---|---|---|
| WorkOS Inc. | Gestion des identités et des accès au tableau de bord : connexion, authentification multifacteur, sessions, rôles, invitations, clés d'API REST, autorisation des clients MCP | Adresse électronique, nom, photo de profil, langue et fuseau horaire des membres des équipes du client, organisation et rôle, adresse IP et navigateur des sessions actives, clés d'API ; le cas échéant, copie du journal des modifications de configuration. Aucune donnée de shopper | États-Unis |
| Parallel | Sous-traitant ultérieur de Vercel, sollicité via l'AI Gateway : recherche web d'informations sur la marque du client lors de l'analyse de site à l'onboarding ou de la régénération des informations du site. Traitement systématique, non optionnel | Nom et adresse du site, requêtes dérivées. Jamais le contenu des conversations | États-Unis |
| Upstash Inc. | Exécution des traitements planifiés et d'arrière-plan : analyse de site, évaluations d'agent, purge de rétention, qualification des conversations, lecture des pages, questions d'accroche, mesure de performance des boutiques, newsletters | Charges utiles des tâches et résultats intermédiaires : identifiants, nom et adresse du site et informations générées, configuration d'un agent pendant une évaluation, brouillons de newsletter. Jamais le contenu des conversations ni les qualifications : la tâche de qualification ne transmet que des identifiants et ne conserve que des codes de résultat | Francfort (Allemagne) |
| Resend Inc. | Envoi des e-mails aux équipes du client : connexion, notifications, newsletters produit | Destinataires, état d'abonnement, preuve du consentement, métadonnées et journaux des messages | Irlande, États-Unis |
| Linkup | Recherche web et récupération de page en cours de conversation, pour les seuls agents sur lesquels le client l'a activée (désactivée par défaut). Lecture systématique, non optionnelle, des pages du site du client refusant le lecteur d'iAdvize | Requête dérivée de la conversation ou adresse cible ; pour une page du site du client, son adresse publique seule. Jamais une conversation | Union européenne (région par défaut) |
Google LLC reçoit en outre, via les API PageSpeed Insights et CrUX, l'adresse publique de pages de boutique afin de mesurer l'incidence du tag d'iAdvize sur leur performance. Aucune donnée à caractère personnel ne lui est transmise.
Article 6. Traitements localisés hors de l'Union européenne
Les données conservées durablement par le Service sont stockées à Francfort. Cette localisation désigne le lieu d'exécution du calcul applicatif et du stockage ; elle n'exclut pas les flux suivants, réalisés ou détenus hors de l'Union européenne :
- Inférence des modèles. La requête transite par la passerelle de Vercel, qui peut la traiter dans une région située hors de l'Union européenne. Les requêtes signalées par les systèmes de détection d'abus d'un fournisseur de modèle peuvent être conservées hors de l'Union européenne.
- Analyse de site à l'onboarding. Parallel traite aux États-Unis le nom et l'adresse du site et les requêtes dérivées.
- Identité des équipes du client. WorkOS la détient aux États-Unis, y compris la photo de profil, avec le nom de l'organisation, ses rôles, ses clés d'API et, le cas échéant, la copie du journal des modifications de configuration.
- E-mails. Resend détient aux États-Unis la liste des destinataires, l'état d'abonnement, la preuve du consentement et les métadonnées et journaux des messages.
- Session et authentification. La couche de routage de Vercel s'exécute, à chaque requête, dans chaque région de son réseau.
- Plan de contrôle, sauvegardes et journalisation des requêtes. Vercel les opère au niveau mondial, sans réglage régional applicable.
- Images téléversées. Stockées à Francfort, y compris la photo de profil d'un membre des équipes du client, elles sont servies par un réseau de distribution de contenu mondial et mises en cache sur ses points de présence.
- Mesure d'audience et de performance. Vercel ne publiant aucune région de stockage pour cette mesure, celle-ci est susceptible d'être traitée aux États-Unis. Elle ne produit que des statistiques agrégées, sans cookie ni identifiant conservé au-delà de 24 heures. Sur les surfaces de conversation du shopper, seuls des temps de performance sont transmis ; la notice shopper ne transmet rien ; aucune donnée n'est transmise après opposition du shopper, une opposition signalée par l'outil de gestion du consentement du client prenant effet au chargement de page suivant.
- Linkup. Pour la recherche web en conversation et la lecture des pages refusant le lecteur d'iAdvize, Linkup peut recourir à ses propres prestataires situés hors de l'Espace économique européen.
Article 7. Garanties de transfert
7.1. Les transferts visés à l'article 6 sont encadrés par les garanties suivantes, au sens des articles 45 et 46 du RGPD, telles que prévues à la date de version de la présente page par les accords de sous-traitance ou les notices des prestataires.
| Prestataire | Garantie |
|---|---|
| Vercel Inc. | Data Privacy Framework ; clauses contractuelles types et addendum britannique de son accord de sous-traitance |
| Amazon Web Services, Google Cloud, OpenAI OpCo, LLC, Parallel | Sous-traitants ultérieurs de Vercel : transferts encadrés par l'accord de sous-traitance de Vercel et par les garanties que Vercel est tenu de mettre en place à leur égard (article 28(4) du RGPD) |
| Neon, LLC | Data Privacy Framework (certification Databricks) ; clauses contractuelles types et addendum britannique de l'accord de sous-traitance Databricks. Données stockées à Francfort |
| WorkOS Inc. | Clauses contractuelles types (responsable du traitement vers sous-traitant, et sous-traitant vers sous-traitant) et addendum britannique de son accord de sous-traitance |
| Resend Inc. | Data Privacy Framework ; clauses contractuelles types et addendum britannique de son accord de sous-traitance |
| Upstash Inc. | Data Privacy Framework, avec recours subsidiaire aux clauses contractuelles types |
| Linkup | Accord de sous-traitance conclu avec iAdvize en octobre 2026 ; pour ses propres prestataires situés hors de l'Espace économique européen, clauses contractuelles types (sous-traitant vers sous-traitant) et addendum britannique |
7.2. À défaut de couverture d'un transfert par le Data Privacy Framework, les clauses contractuelles types prévues par les mêmes accords s'appliquent.
Article 8. Systèmes exclus de la liste
Ne sont pas des sous-traitants ultérieurs d'iAdvize les services tiers que le client choisit et connecte au Service, notamment sa plateforme e-commerce, y compris les points d'accès publics de sa boutique Shopify connectés par iAdvize sur son instruction lors de l'onboarding, ainsi que son outil de gestion du consentement. Ces services traitent les données du client dans le cadre des accords qu'il a conclus avec eux.