Sous-traitants (sub-processors)
Dernière mise à jour : 29 septembre 2026
Pour fournir le service Lucasstack, JOLUVIA SAS recourt aux sous-traitants techniques listés ci-dessous. Chacun d'eux est lié par un accord de protection des données (DPA) conforme à l'article 28 du RGPD.
| Nom | Pays | Données concernées | Finalité | DPA |
|---|---|---|---|---|
| Vercel Inc. | USA (edge EU activé) | Requêtes HTTP, logs serveur, adresses IP, user agents. | Hébergement de l'application web (front + API serverless). | Lien |
| Supabase Inc. | Suède (eu-north-1, Stockholm) | Données métier (stock, commandes, étiquettes), comptes utilisateurs (email, nom, mot de passe haché, facteur de double authentification), jetons d'accès aux boutiques chiffrés AES-256-GCM par l'application. | Base de données PostgreSQL, stockage de fichiers et authentification des utilisateurs (mots de passe conservés hachés, double authentification). | Lien |
| Stripe Payments Europe Ltd. | Irlande (UE) | Email, nom, données de facturation, derniers chiffres de carte. | Encaissement des abonnements et gestion des factures. | Lien |
| Shopify International Ltd. | Canada / Irlande | Données de boutique Shopify : produits, stocks, commandes, clients finaux. | Intégration via OAuth Public App + Admin GraphQL API. | Lien |
| Anthropic PBC | USA | Si l'option est allumée pour une boutique : texte récent des conversations du SAV (pseudo de l'acheteur masqué, e-mails et numéros de téléphone masqués quand ils sont reconnus), état et suivi de ses commandes, sans adresse ni coordonnées ; factures fournisseurs et photos de produits. | Assistant Lucas (modèles d'IA d'Anthropic) : brouillons de réponse du SAV, relus par l'équipe avant tout envoi ; lecture des factures fournisseurs et des photos de produits. Anthropic n'entraîne pas ses modèles sur ces données. | Lien |
| OVH SAS | France (UE) | Adresses email entrantes / sortantes (contact, DPO, support). | Hébergement de la messagerie professionnelle lucasstack.com. | Lien |
Transferts hors Union européenne
Lorsque des données sont traitées en dehors de l'Espace économique européen (notamment par Vercel et Shopify), le transfert est sécurisé par les clauses contractuelles types (SCC) approuvées par la Commission européenne (décision 2021/914), complétées le cas échéant par des mesures supplémentaires (chiffrement at-rest, pseudonymisation, restriction d'accès).
Notification de changement
Nous notifions par email tout changement de sous-traitant 30 jours avant son entrée en vigueur, afin que chaque tenant (responsable de traitement) puisse exercer son éventuel droit d'objection avant la mise en production.