Sous-traitants (sub-processors)
Dernière mise à jour : 28 mai 2026
Pour fournir le service Lucasstack, JOLUVIA SAS recourt aux sous-traitants techniques listés ci-dessous. Chacun d'eux est lié par un accord de protection des données (DPA) conforme à l'article 28 du RGPD.
| Nom | Pays | Données concernées | Finalité | DPA |
|---|---|---|---|---|
| Vercel Inc. | USA (edge EU activé) | Requêtes HTTP, logs serveur, adresses IP, user agents. | Hébergement de l'application web (front + API serverless). | Lien |
| Supabase Inc. | Suède (eu-north-1, Stockholm) | Données métier (stock, commandes, étiquettes), comptes utilisateurs (domaine boutique, email, nom), tokens Shopify chiffrés AES-256-GCM. | Base de données PostgreSQL et stockage fichiers. L'authentification s'appuie sur OAuth Shopify (SSO) — aucun mot de passe n'est géré par Supabase. | Lien |
| Stripe Payments Europe Ltd. | Irlande (UE) | Email, nom, données de facturation, derniers chiffres de carte. | Encaissement des abonnements et gestion des factures. | Lien |
| Shopify International Ltd. | Canada / Irlande | Données de boutique Shopify : produits, stocks, commandes, clients finaux. | Intégration via OAuth Public App + Admin GraphQL API. | Lien |
| OVH SAS | France (UE) | Adresses email entrantes / sortantes (contact, DPO, support). | Hébergement de la messagerie professionnelle lucasstack.com. | Lien |
Transferts hors Union européenne
Lorsque des données sont traitées en dehors de l'Espace économique européen (notamment par Vercel et Shopify), le transfert est sécurisé par les clauses contractuelles types (SCC) approuvées par la Commission européenne (décision 2021/914), complétées le cas échéant par des mesures supplémentaires (chiffrement at-rest, pseudonymisation, restriction d'accès).
Notification de changement
Nous notifions par email tout changement de sous-traitant 30 jours avant son entrée en vigueur, afin que chaque tenant (responsable de traitement) puisse exercer son éventuel droit d'objection avant la mise en production.