Sous-traitants
Dernière mise à jour :
Pour fournir le service, Fidpop fait appel aux prestataires ci-dessous (sous-traitants ultérieurs au sens de l’article 28 du RGPD). Chacun est lié par un contrat qui l’oblige à protéger les données et à ne les utiliser que pour sa mission. Les commerces sont prévenus par email au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant, et peuvent s’y opposer (contrat de sous-traitance, article 3).
| Prestataire | Mission | Données | Lieu | Garanties |
|---|---|---|---|---|
| Hostinger Hostinger International Ltd, 61 Lordou Vironos Street, 6023 Larnaca, Chypre |
Hébergement du site, de la base de données et des sauvegardes quotidiennes | Toutes les données du service | France (Paris) | Contrat de sous-traitance de l’hébergeur ; données hébergées dans l’Union européenne |
| Cloudflare Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, États-Unis |
Protection et accélération du site (tout le trafic passe par Cloudflare), mesure d’audience sans cookie des pages publiques (Web Analytics) et redirection des emails reçus à contact@fidpop.fr et dpo@fidpop.fr | Adresse IP, pages demandées et données des formulaires, chiffrées en transit ; pages vues, site d’origine, pays et navigateur, en statistiques agrégées (mesure d’audience) ; emails envoyés à contact@fidpop.fr et dpo@fidpop.fr | Union européenne et États-Unis | Cadre de protection des données UE–États-Unis et clauses contractuelles types |
| Brevo Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, France |
Envoi des emails (codes de connexion, invitations, lien « Retrouver ma carte » demandé par un client) | Adresse email, prénom, contenu de l’email | Union européenne | Contrat de sous-traitance de Brevo ; société française |
| Cloudflare R2 Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, États-Unis |
Copie des sauvegardes hors du serveur | Sauvegardes chiffrées avant l’envoi (AES-256) : Cloudflare ne peut pas les lire | Union européenne (stockage limité à l’UE) | Cadre de protection des données UE–États-Unis et clauses contractuelles types ; chiffrement par Fidpop, clé jamais transmise |
| Stripe Stripe Payments Europe Ltd, 1 Grand Canal Street Lower, Dublin 2, Irlande |
Encaissement des abonnements des commerces (prélèvement SEPA, carte bancaire) | Nom et adresse de facturation du commerce, email du gérant, moyen de paiement ; aucune donnée des clients des commerces | Union européenne (Irlande), avec transferts possibles aux États-Unis | Cadre de protection des données UE–États-Unis et clauses contractuelles types ; certifié PCI DSS |
| UptimeRobot Uptime Robot Service Provider Ltd, Malte |
Surveillance de la disponibilité du site et alertes à l’équipe Fidpop | Adresse email de l’équipe Fidpop ; aucune donnée des clients des commerces | Union européenne et États-Unis | Clauses contractuelles types |
| Services de notification des navigateurs Google (Chrome, Android), Apple (Safari, iPhone), Mozilla (Firefox), Microsoft (Edge) |
Acheminer les notifications de la carte, si le client les active | Message chiffré de bout en bout et adresse technique fournie par le navigateur ; ni nom ni téléphone | Union européenne et États-Unis | Contenu chiffré (Web Push, RFC 8291) ; cadre de protection des données UE–États-Unis |
| Apple Wallet Apple Distribution International Ltd, Hollyhill Industrial Estate, Cork, Irlande |
Carte dans Apple Wallet et notifications de mise à jour (APNs), si le client ajoute sa carte | Jeton technique de l’appareil ; la carte (prénom, solde) est stockée sur l’iPhone du client | Union européenne et États-Unis | Cadre de protection des données UE–États-Unis |
| Google Wallet Google Ireland Ltd, Gordon House, Barrow Street, Dublin 4, Irlande |
Carte dans Google Wallet et ses mises à jour, si le client ajoute sa carte | Prénom et initiale, numéro, lien (QR code) et solde de la carte, messages du commerce, nom, logo et couleurs du commerce, latitude et longitude des points de vente du commerce | Union européenne et États-Unis | Cadre de protection des données UE–États-Unis et clauses contractuelles types |
Aucun de ces prestataires ne reçoit de donnée pour son propre compte, ni à des fins publicitaires. Les données ne sont jamais vendues.