Sous-traitants ultérieurs

Voici les prestataires qui traitent des données personnelles pour le compte de Guimauve Digital SAS afin de faire fonctionner Allomi, comme le prévoient la politique de confidentialité et l'accord de traitement des données. Les faits ci-dessous viennent des documents de chaque prestataire (liés, lus le 06/11/2026) ; quand un document ne dit rien, cette page le dit plutôt que de supposer.

Détail par prestataire

Infomaniak (hébergement)

• Rôle : la VM qui fait tourner les applications et la base de données, les sauvegardes.
• Données : tout ce que le Service stocke (comptes, contacts, notes, transcriptions et résumés d'appels, journaux sans contenu d'appel).
• Où : Suisse. Les conditions d'Infomaniak indiquent que les données sont « stockées et hébergées exclusivement dans des centres de données situés en Suisse » dont elle est propriétaire (conditions, article 15.1, page RGPD).
• Garantie : aucun transfert hors de Suisse ; la Suisse bénéficie d'une décision d'adéquation de la Commission européenne (liste des décisions). Le DPA d'Infomaniak (RGPD art. 28 et LPD suisse) fait partie de ses conditions ; il s'appuie sur les clauses contractuelles types de l'UE pour tout transfert hors EEE.

OpenAI (voix en temps réel)

• Rôle : le modèle de voix qui parle et écoute pendant les appels.
• Données : l'audio et le texte des appels, les consignes de l'assistant.
• Où : États-Unis par défaut. L'API propose une résidence des données européenne (traitement et stockage en Europe) uniquement sur demande et avec l'accord d'OpenAI (contrôles des données) ; aucune configuration de ce type n'est documentée pour le compte d'Allomi (à confirmer par l'Éditeur) : compter les États-Unis.
• Garantie : clauses contractuelles types (module 2) dans le DPA d'OpenAI ; selon cette page, les clients de l'EEE et de Suisse contractent avec OpenAI Ireland Ltd. Reste à vérifier dans le compte OpenAI de l'Éditeur que c'est bien l'entité irlandaise.

Twilio (téléphonie)

• Rôle : numéros de téléphone, appels, SMS de vérification.
• Données : numéros, métadonnées d'appels, audio des appels transporté sur le réseau, contenu des SMS.
• Où : le DPA ne nomme pas de pays de centres de données ; l'importateur est Twilio Inc. aux États-Unis, et des opérateurs peuvent recevoir des données comme la téléphonie l'exige (DPA Twilio, sous-traitants sur twilio.com/legal/sub-processors).
• Garantie : classées dans le DPA : Data Privacy Framework UE–États-Unis (Twilio Inc. est auto-certifiée), puis règles d'entreprise contraignantes de Twilio, puis clauses contractuelles types (module 2).

Stripe (paiement)

• Rôle : abonnements, cartes, factures, taxes.
• Données : nom, e-mail, adresse de facturation, numéro de TVA, carte (conservée par Stripe, jamais par Allomi), factures.
• Où : les utilisateurs de l'EEE contractent avec Stripe Payments Europe, Limited (Irlande) ; Stripe traite aussi aux États-Unis et dit pouvoir transférer des données dans le monde entier, sans nommer de régions d'hébergement (DPA, Privacy Center, sous-traitants).
• Garantie : Stripe, LLC est certifiée Data Privacy Framework UE–États-Unis, Suisse–États-Unis et extension britannique ; les clauses contractuelles types (modules 1, 2 et 3) servent de repli (Data Transfers Addendum). Stripe est responsable de traitement pour certaines finalités (prévention de la fraude, contrôles réglementaires), comme son DPA le précise.

Resend (e-mail)

• Rôle : liens de connexion, reçus et avis de paiement.
• Données : adresse e-mail, contenu des messages.
• Où : États-Unis. Resend indique que toutes les données du compte, y compris les métadonnées et journaux d'e-mails, sont stockées aux États-Unis quelle que soit la région d'envoi choisie (page RGPD, régions).
• Garantie : certifiée Data Privacy Framework UE–États-Unis et son extension britannique depuis mars 2025 (annonce) ; les clauses contractuelles types sont intégrées à son DPA, pré-signé pour chaque compte.

Anthropic (raisonnement de l'assistant, via TeamCode)

• Rôle : le modèle Claude qui traite les demandes que le modèle de voix lui délègue (recherches, missions, mémoire).
• Données : le texte de la demande, les notes de contact et résumés d'appels nécessaires à la tâche.
• Où : les documents d'Anthropic lus pour cette page n'indiquent pas le lieu de traitement ; compter les États-Unis. Les demandes passent par la passerelle TeamCode exploitée par l'Éditeur (son lieu d'hébergement reste à indiquer par l'Éditeur).
• Garantie : l'accord de traitement des données d'Anthropic, avec les clauses contractuelles types et les addenda britannique et suisse, est intégré à ses conditions commerciales (fonctionnement). Anthropic n'entraîne pas ses modèles sur les données envoyées via ses produits commerciaux.

Cloudflare (réseau)

• Rôle : DNS, CDN et protection contre les attaques devant le site et l'API.
• Données : adresses IP et contenu des requêtes en transit vers allomi.ai et api.allomi.ai (le trafic voix de Twilio va directement à l'origine).
• Où : réseau mondial de Cloudflare ; les requêtes sont traitées au point de présence le plus proche. Des contrôles régionaux existent (Data Localization Suite) mais c'est une option payante qu'Allomi n'a pas activée à notre connaissance.
• Garantie : certification Data Privacy Framework UE–États-Unis, Suisse–États-Unis et Royaume-Uni, avec les clauses contractuelles types (modules 2 et 3) en repli (DPA, FAQ RGPD).

Changements

Nous prévenons les propriétaires de compte par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant qui traite du contenu d'appel, pour que tu puisses t'y opposer ou fermer ton compte (voir le DPA). Questions : [email protected].