Sous-traitants
Version du 13 octobre 2026 · En vigueur
Version du 13 octobre 2026.
Voici les prestataires qui traitent des données personnelles pour faire fonctionner Kitchen, la plateforme de SUPPLEMENT BACON. Cette liste est l'annexe 3 de l'accord de sous-traitance. Kitchen prévient ses clients 30 jours avant d'ajouter ou de remplacer un sous-traitant ; le client peut s'y opposer (voir le DPA et les CGV). Un contrat de traitement des données (art. 28 RGPD) est en place avec chaque prestataire.
| Prestataire | Entité et adresse | Finalité | Données | Localisation | Garanties de transfert |
|---|---|---|---|---|---|
| Supabase | Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapour 049513 | Base de données, authentification, stockage des fichiers | Toutes les données de la plateforme | Union européenne : Paris (AWS eu-west-3) | Clauses contractuelles types de la Commission européenne (décision 2021/914), prévues dans son contrat de traitement |
| Vercel | Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, États-Unis | Hébergement du back-office web | Requêtes du back-office en transit, cookies de session, journaux des requêtes | Fonctions à Paris (cdg1) ; réseau de diffusion mondial | Data Privacy Framework UE–États-Unis ; clauses contractuelles types (décision 2021/914) |
| Trigger.dev | API Hero Ltd, 3rd Floor, 1 Ashley Road, Altrincham WA14 2DT, Royaume-Uni | Tâches en arrière-plan : import de documents, notifications, anonymisation des collaborateurs partis | Traités en mémoire : documents à importer, textes des notifications, fiches à anonymiser ; stockés : métadonnées d'exécution (identifiants seulement, aucune donnée personnelle) | Exécution dans l'Union européenne ; métadonnées stockées aux États-Unis (AWS us-east-1) | Décision d'adéquation du Royaume-Uni ; clauses contractuelles types (décision 2021/914) |
| Anthropic | Anthropic Ireland, Limited, South Bank House, Barrow Street, Dublin 4, Irlande | Conversion par IA des documents importés en formations | Contenu des documents importés par le client | États-Unis | Clauses contractuelles types (décision 2021/914) ; données jamais utilisées pour entraîner les modèles ; effacées sous 30 jours |
| Mux | Mux, Inc., 88 Stevenson St, San Francisco, CA 94105, États-Unis | Hébergement et diffusion des vidéos et des sons | Fichiers vidéo et audio importés par le client | États-Unis | Data Privacy Framework UE–États-Unis |
| Stripe | Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irlande (registre irlandais des sociétés, n° 513174) | Abonnement, paiement et facturation | Contacts de facturation, raison sociale, adresse, numéro de TVA, moyen de paiement, factures, nombre de sièges ; aucune donnée des collaborateurs | Union européenne et États-Unis | Contrat de traitement Stripe ; Data Privacy Framework UE–États-Unis et clauses contractuelles types ; Stripe est en partie responsable de traitement de ses propres traitements |
| Mailgun | Sinch Email (Mailgun Technologies, Inc.), 112 E. Pecan Street #1135, San Antonio, TX 78205, États-Unis | E-mails transactionnels (invitations, réinitialisation du mot de passe), expéditeur mg.kitchen-app.io | E-mail des utilisateurs du back-office, contenu des e-mails | Union européenne (région UE de Mailgun) | Clauses contractuelles types et Data Privacy Framework UE–États-Unis, prévus dans le contrat de traitement de Sinch |
| Prelude | DING SAS, 82 rue Dutot, 75015 Paris, France | Envoi des SMS : codes de connexion et invitations | Numéro de téléphone, code de connexion, texte de l'invitation (nom du Groupe, lien) | France | Aucun transfert hors de l'Union européenne |
| Expo | 650 Industries, Inc., 624 University Ave, Palo Alto, CA 94301, États-Unis | Envoi des notifications push | Jeton de notification de l'appareil, titre (événement et nom du Groupe), texte (titre du contenu), lien vers le contenu, identifiant du Groupe ; contenu non conservé après l'envoi | États-Unis | Data Privacy Framework UE–États-Unis ; clauses contractuelles types (décision 2021/914) |
| Apple (APNs) | Apple Inc., One Apple Park Way, Cupertino, CA 95014, États-Unis | Remise des notifications push sur iPhone, à la demande d'Expo | Jeton de notification de l'appareil, titre et texte de la notification, lien vers le contenu | États-Unis | Contrat de licence du programme développeur Apple ; clauses contractuelles types pour les transferts depuis l'Union européenne |
| Datadog | Datadog, Inc., 620 8th Avenue, 45th Floor, New York, NY 10018, États-Unis | Supervision technique : erreurs, performances, journaux | Identifiants pseudonymes (compte, Groupe), rôles, écrans, erreurs, appareil et système ; ni adresse IP, ni localisation | Union européenne : site EU1 (Allemagne) | Data Privacy Framework UE–États-Unis ; clauses contractuelles types (décision 2021/914) |
| PostHog | PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, États-Unis | Mesure de l'usage du produit, pour Kitchen | Identifiants pseudonymes (compte, Groupe), rôles, écrans visités ; ni adresse IP, ni localisation | Union européenne : PostHog EU Cloud (Francfort) | Clauses contractuelles types (décision 2021/914), prévues dans son contrat de traitement |
| Gleap | Gleap GmbH, Am Dorfplatz 3, 6858 Schwarzach, Autriche | Messagerie de support dans le back-office | Utilisateurs du back-office seulement : nom, e-mail, Groupe, rôles, messages et pièces jointes | Union européenne | Aucun transfert hors de l'Union européenne |
Notes
Notifications sur iPhone. Expo remet les notifications destinées aux iPhone au service de notifications d'Apple (APNs), qui les livre à l'appareil. Apple (APNs) reçoit donc le jeton de l'appareil et le contenu de la notification, et figure à ce titre dans le tableau comme sous-traitant ultérieur.
Connexion Microsoft (option). Un client peut activer, en option payante, la connexion avec Microsoft et la création automatique des comptes du back-office (SCIM). Son annuaire Microsoft Entra est choisi et administré par le client : Microsoft est le prestataire du client, pas un sous-traitant de Kitchen. L'application Entra de Kitchen, détenue par SUPPLEMENT BACON (éditeur vérifié par Microsoft), reçoit à chaque connexion l'identifiant de l'annuaire, l'identifiant de l'utilisateur, ses rôles d'annuaire, son e-mail, son prénom et son nom, conservés avec son compte. Quand un administrateur connecte l'annuaire, elle lit une seule fois son nom et ses domaines dans Microsoft Graph. Avec SCIM, Entra envoie à Kitchen le nom d'utilisateur (UPN), l'e-mail, le prénom, le nom, l'identifiant dans l'annuaire et le statut actif, pour créer, mettre à jour et désactiver les comptes du back-office. Aucun mot de passe n'est enregistré pour ces utilisateurs.
Logiciel de paie. Le logiciel de paie d'un client (par exemple Silae), quand le client le connecte, est choisi et contrôlé par le client ; Kitchen l'interroge sur ses instructions. Ce n'est pas un sous-traitant de Kitchen.
Données dont Kitchen est responsable. Stripe, PostHog, Datadog et Gleap traitent surtout des données dont Kitchen est responsable (facturation, mesure d'usage, supervision, support). Ils figurent ici par transparence.
Prestataires non utilisés. Kitchen n'utilise ni OneSignal, ni Kombo, ni Firebase, ni EAS Update. Webflow héberge seulement le site www.kitchen-app.io, pas la plateforme.
Contact : contact@supplement-bacon.com.