Sous-traitants ultérieurs
Annexe IV évolutive de l'Accord de sous-traitance des données. Cette page est la liste à jour citée par la clause 7.7 et l'annexe IV.
Annexe au DPA v2.0 · mise à jour le 29 octobre 2026Annexe au DPA
Portée de cette page
Cette page constitue l'annexe évolutive des sous-traitants ultérieurs visée à la clause 7.7 et à l'annexe IV de l'Accord de sous-traitance des données (clauses contractuelles types). Elle fait partie intégrante du DPA conclu avec chaque Client, et prévaut sur toute liste recopiée ailleurs.
Tout ajout ou remplacement est notifié aux clients avec un préavis de 30 jours, durant lequel un droit d'opposition motivé peut être exercé. La mise à jour de cette liste ne nécessite pas de nouvelle signature du DPA.
Liste à jour
Sous-traitants en activité
| Sous-traitant | Rôle | Pays | Garantie légale |
|---|---|---|---|
| ElevenLabs, Inc. | Agent vocal IA, synthèse & transcription | USA (stockage par défaut) | SCCs UE 2021/914 + EU-US DPF |
| Google LLC | Modèle de langage Gemini, appelé par ElevenLabs quand ce modèle est réglé sur l'agent du Client : comprendre la conversation pendant l'appel et formuler les réponses | USA | EU-US DPF ou SCCs UE 2021/914, selon les conditions du fournisseur (à confirmer) |
| OpenAI, L.L.C. | Modèle de langage GPT, appelé par ElevenLabs quand ce modèle est réglé sur l'agent du Client : comprendre la conversation pendant l'appel et formuler les réponses | USA | EU-US DPF ou SCCs UE 2021/914, selon les conditions du fournisseur (à confirmer) |
| Twilio Inc. | Téléphonie et SMS (entrants et sortants) | USA | SCCs UE 2021/914 |
| Resend, Inc. | Envoi d'e-mails transactionnels | USA | SCCs UE 2021/914 |
| Supabase Pte. Ltd. | Base de données. Société de Singapour ; support assuré par Supabase, Inc. (USA) | Hébergement UE, Irlande (AWS eu-west-1) ; accès de support depuis Singapour et les USA | SCCs UE 2021/914 |
| Railway Corp. | Hébergement du serveur applicatif | UE, Pays-Bas (Amsterdam, EU West) | SCCs UE 2021/914 (société américaine, hébergement dans l'UE) |
| Vercel Inc. | Hébergement de l'interface web | USA | SCCs UE 2021/914 |
| Anthropic, PBC | Modèle de langage (Claude) : lecture de la transcription et du résumé des appels pour en extraire la demande, classement et analyse des messages entrants (e-mail, SMS), structuration des dictées, assistance à la rédaction | USA | SCCs UE 2021/914 |
| Cloudflare, Inc. | Réception et acheminement des e-mails transférés par le Client (Email Routing) | USA / UE | SCCs UE 2021/914 + DPA Cloudflare |
| Hostinger International Ltd. | Nom de domaine vaucanis.fr (DNS) et messagerie professionnelle de Vaucanis : échanges avec le Client et copies des courriels envoyés par le service | UE, Chypre (Larnaca) ; ses propres sous-traitants dans et hors UE | SCCs UE 2021/914 (DPA Hostinger) |
Hors périmètre
Ce qui ne figure PAS dans cette liste
Cette annexe ne recense que les sous-traitants intervenant sur les données que nos clients professionnels nous confient : leurs appelants, leurs correspondants.
Les destinataires qui n'interviennent que sur les données des visiteurs du site vaucanis.fr relèvent d'un autre régime : Vaucanis y est responsable de traitement, et non sous-traitant. Ils sont listés dans la Politique de confidentialité, article 6.
Google n'y figure que pour son modèle de langage Gemini, et Microsoft n'y figure pas. Lorsqu'un professionnel se connecte avec son compte Google, ou relie son Google Agenda ou son agenda Outlook en lecture seule, Vaucanis reçoit ou lit des informations chez ces fournisseurs, qui sont ceux du professionnel : ils en sont la source, et Vaucanis ne leur confie aucune donnée, ni de ses clients ni de leurs appelants. Ces traitements, dont Vaucanis est responsable, sont décrits aux articles 12 et 13 de la Politique de confidentialité.
Contact
Opposition et questions
Pour exercer un droit d'opposition ou demander copie des garanties contractuelles d'un sous-traitant : rgpd@vaucanis.fr.
Hors annexe
Informations complémentaires
Cette partie ne fait pas partie de l'annexe du DPA et ne la modifie pas. Elle décrit, pour chaque sous-traitant, ce qu'il reçoit et combien de temps il le garde aujourd'hui, d'après un réglage de notre compte quand il en existe un, sa documentation officielle sinon, ou « selon ses conditions » quand il ne publie pas de durée fixe. Les durées propres à Vaucanis sont à l'article 17 de la politique de confidentialité. Informations à jour au 24 octobre 2026.
| Sous-traitant | Ce qu'il fait | Données reçues | Pays et garantie | Conservation chez lui |
|---|---|---|---|---|
| ElevenLabs, Inc. | Agent vocal IA, synthèse & transcription | Le son de l'appel, traité en direct ; le numéro de l'appelant ; la transcription et le résumé de l'appel | États-Unis (stockage par défaut). Clauses contractuelles types UE 2021/914 et EU-US Data Privacy Framework | Voix non enregistrée. Transcription et données de l'appel conservées 30 jours, puis supprimées (réglage posé sur les agents dédiés de chaque client et sur l'agent de démonstration) |
| Google LLC | Modèle de langage Gemini, appelé par ElevenLabs quand ce modèle est réglé sur l'agent du Client : comprendre la conversation pendant l'appel et formuler les réponses | Le texte de la conversation pendant l'appel et les consignes de l'agent, avec les informations données pour l'appel (par exemple le prénom d'un appelant reconnu). Il reçoit du texte, pas la voix | États-Unis. EU-US Data Privacy Framework ou clauses contractuelles types UE 2021/914, selon les conditions du fournisseur (entité et garantie à confirmer) | Selon les conditions du fournisseur, pas encore vérifiées par Vaucanis (à confirmer) |
| OpenAI, L.L.C. | Modèle de langage GPT, appelé par ElevenLabs quand ce modèle est réglé sur l'agent du Client : comprendre la conversation pendant l'appel et formuler les réponses | Le texte de la conversation pendant l'appel et les consignes de l'agent, avec les informations données pour l'appel (par exemple le prénom d'un appelant reconnu). Il reçoit du texte, pas la voix | États-Unis. EU-US Data Privacy Framework ou clauses contractuelles types UE 2021/914, selon les conditions du fournisseur (entité et garantie à confirmer) | Selon les conditions du fournisseur, pas encore vérifiées par Vaucanis (à confirmer) |
| Twilio Inc. | Téléphonie et SMS (entrants et sortants) | Numéros de l'appelant et de l'appelé, heure et durée des appels ; contenu des SMS envoyés et reçus | États-Unis. Clauses contractuelles types UE 2021/914 | Aucun appel enregistré. Contenu des SMS : durée fixée à 12 mois après l'envoi, puis suppression ; aucune suppression automatique n'est encore en place, elle est en préparation. Les journaux des appels et des SMS (numéros, heure, durée) sont consultables 13 mois, puis gardés par Twilio en archive selon ses conditions |
| Resend, Inc. | Envoi d'e-mails transactionnels | Adresse du destinataire, objet et contenu des e-mails envoyés par le service | États-Unis. Clauses contractuelles types UE 2021/914 | Journal des envois du compte, selon ses conditions |
| Supabase Pte. Ltd. | Base de données. Société de Singapour ; support assuré par Supabase, Inc. (USA) | Les données du service : comptes, demandes, rendez-vous, transcriptions, messages, pièces jointes | Base et sauvegardes dans l'Union européenne, en Irlande (AWS, eu-west-1). Le prestataire est Supabase Pte. Ltd. (Singapour), avec Supabase, Inc. (États-Unis) pour le support : un accès depuis ces pays reste possible, encadré par les clauses contractuelles types | Les durées fixées par Vaucanis (politique de confidentialité, article 17) ; ses sauvegardes selon ses conditions |
| Railway Corp. | Hébergement du serveur applicatif | Les données traitées par le serveur pendant chaque requête ; les journaux techniques | Union européenne, Pays-Bas (Amsterdam). Société américaine : clauses contractuelles types UE 2021/914 pour les accès de support | Aucun stockage durable des données du service ; journaux techniques selon ses conditions |
| Vercel Inc. | Hébergement de l'interface web | Adresse IP et navigateur des visiteurs ; les requêtes vers le serveur y transitent, chiffrées | États-Unis (réseau mondial). Clauses contractuelles types UE 2021/914 | Aucune donnée du service stockée ; journaux techniques selon ses conditions |
| Anthropic, PBC | Modèle de langage (Claude) : lecture de la transcription et du résumé des appels pour en extraire la demande, classement et analyse des messages entrants (e-mail, SMS), structuration des dictées, assistance à la rédaction | Transcription et résumé des appels, messages entrants (e-mail, SMS), dictées ; prénom, nom, e-mail et téléphone d'un appelant reconnu | États-Unis. Clauses contractuelles types UE 2021/914 | 30 jours au plus, puis suppression (règle d'Anthropic pour son API). Exception : un contenu signalé par ses contrôles d'abus peut être gardé jusqu'à 2 ans, et les scores de ce contrôle jusqu'à 7 ans |
| Cloudflare, Inc. | Réception et acheminement des e-mails transférés par le Client (Email Routing) | E-mails transférés par le Client vers son adresse Vaucanis (expéditeur, objet, contenu, pièces jointes), en transit | États-Unis et Union européenne (réseau mondial). Clauses contractuelles types UE 2021/914 et DPA Cloudflare | Aucun contenu conservé : Cloudflare indique ne stocker ni lire le contenu des e-mails qu'il achemine. Journal d'activité (expéditeur, destinataire, date) selon ses conditions |
| Hostinger International Ltd. | Nom de domaine vaucanis.fr (DNS) et messagerie professionnelle de Vaucanis : échanges avec le Client et copies des courriels envoyés par le service | Courriels échangés avec le Client et copie cachée des courriels envoyés par le service (destinataire, objet, contenu) | Union européenne, Chypre (Larnaca) ; ses propres sous-traitants dans et hors de l'Union. Clauses contractuelles types UE 2021/914 (DPA Hostinger) | Copies des courriels envoyés par le service : durée fixée à 30 jours, puis suppression ; aucune suppression automatique n'est encore en place, elle est en préparation |
Services publics et techniques consultés. Le serveur interroge aussi des services publics ou techniques. Ce ne sont pas des sous-traitants : ils ne reçoivent que des données publiques ou une empreinte.
| Service | À quoi il sert | Ce qu'il reçoit |
|---|---|---|
| FreeTSA (freetsa.org) | Horodatage des contrats signés | L'empreinte SHA-256 du document signé, seulement : ni le document, ni un nom, ni une adresse. L'empreinte ne permet pas de retrouver le texte |
| Répertoire Sirene (recherche-entreprises.api.gouv.fr, État) | Recherche d'entreprises pour la prospection de Vaucanis | Un code d'activité, une commune ou un numéro SIREN. Pour un entrepreneur individuel, ce numéro désigne une personne ; c'est une donnée publique du répertoire |
| Annuaire des entreprises RGE (data.ademe.fr, ADEME) | Vérifier le numéro publié d'une entreprise | Le SIRET ou le SIREN de l'entreprise. Pour un entrepreneur individuel, il désigne une personne ; c'est une donnée publique |
| Base des communes et Base Adresse Nationale (geo.api.gouv.fr, adresse.data.gouv.fr, État) | Placer une commune ou lire le fichier ouvert des adresses | Un numéro de département ou le nom d'une commune ; jamais une adresse de client |
| IGN, Géoplateforme (Plan IGN) | Fond de carte de l'écran Tournées | Des numéros de tuile, demandés par notre serveur : l'IGN ne voit pas l'adresse IP du poste |