Sous-traitants : qui Clozo utilise, où vont les données et pourquoi c'est sécurisé

La liste complète des sous-traitants (reflète docs/compliance/RoPA.md « Liste des sous-traitants » et Politique de confidentialité §6 — 10 entrées) :

Le cadre Schrems II. L'arrêt de la Cour de Justice de l'Union Européenne dans Data Protection Commissioner c. Facebook Ireland et Maximillian Schrems (Affaire C-311/18, 2020) a invalidé le bouclier de protection UE-US Privacy Shield, estimant que la loi américaine sur la surveillance (notamment la Section 702 FISA et le Décret exécutif 12333) ne fournit pas une protection « essentiellement équivalente » au RGPD pour les données personnelles européennes transférées vers les États-Unis. Deux conséquences :

1. Les CCT (Clauses Contractuelles Types) restent valables comme mécanisme juridique — la Décision (UE) 2021/914 a publié les nouvelles CCT modulaires en 2021 — mais le responsable du traitement doit évaluer si l'importateur peut en pratique assurer une protection équivalente au RGPD compte tenu de la législation locale sur la surveillance. Cette évaluation est l'Évaluation d'Impact des Transferts (EIT). 2. Des mesures supplémentaires (chiffrement, pseudonymisation, minimisation des données) peuvent être nécessaires lorsque la législation locale permettrait autrement un accès disproportionné.

L'EU-US Data Privacy Framework (DPF), en vigueur depuis le 10 juillet 2023 (Décision d'exécution de la Commission (UE) 2023/1795), rétablit l'adéquation pour les importateurs américains participants. Les entreprises s'inscrivent auprès du Département du Commerce américain ; les certifications sont répertoriées sur https://www.dataprivacyframework.gov/list. Les cinq sous-traitants américains de Clozo maintiennent une certification DPF active à la date de version du document.

L'approche EIT de Clozo (document complet sur docs/compliance/TIA_us_subprocessors.md) :

Pour chaque sous-traitant américain, nous appliquons la méthodologie en six étapes des Recommandations 01/2020 du CEPD :

1. Connaître ses transferts : documentés dans le tableau ci-dessus avec volume + finalité + base légale. 2. Identifier l'instrument de transfert : DPF (principal) + CCT Module 2 (repli) + DPA spécifique au sous-traitant. 3. Évaluer l'efficacité : examen par importateur de l'exposition FISA 702 / EO 12333 / CLOUD Act. 4. Adopter des mesures supplémentaires : pseudonymisation (hachage SHA-256 pour Google), minimisation des données (aucune DCP au-delà du nécessaire), chiffrement au repos et en transit, limites de conservation. 5. Étapes procédurales : signer le DPA, vérifier la certification DPF active annuellement, documenter l'EIT, mettre à jour le champ recipients du RoPA, mettre à jour la Politique de confidentialité s5/s6. 6. Réévaluation : déclenchée par une décision de la cour Schrems III, un retrait du DPF ou un changement de sous-traitant.

Évaluations clés par importateur (depuis l'EIT) :

- Stripe : n'est pas désigné comme Fournisseur de Services de Communications Électroniques au titre de la Section 702 FISA (c'est un processeur de paiement au titre du Bank Secrecy Act). Risque FAIBLE. DPF + CCT suffisants. - Resend : service d'e-mail — pourrait plausiblement être classé FSCE, mais le volume est faible + le contenu est transactionnel (pas de marketing, pas de ciblage). Risque FAIBLE avec mesures supplémentaires. - Google : historiquement cité dans les directives FISA 702. Atténuation : nous n'envoyons que des identifiants hachés SHA-256 + identifiants de clic + valeurs de transaction — irréversibles sans texte en clair, pseudonymes, agrégés. Consent Mode v2 joint à chaque téléchargement. Net : DPF + CCT + pseudonymisation = « protection essentiellement équivalente ». - PostHog : l'ingestion se fait sur des serveurs UE ; seul le support opérationnel (débogage, astreinte) peut transiter par les US. Identifiants pseudonymes uniquement. Net : DPF + CCT + juridiction d'ingestion UE = adéquat. - Cloudflare : potentiellement classé FSCE pour la Section 702 FISA (rôle CDN). Atténuation : minimisation des données (uniquement IP + chemin + code de statut, aucune charge utile). Les rapports de transparence montrent ~0 ordonnance FISA pour les propriétés non américaines à faible volume. Net : DPF + CCT + minimisation edge adéquat.

Processus de nouveau sous-traitant (art. 28(2)) : les Conditions d'utilisation de Clozo accordent un consentement général pour utiliser des sous-traitants. Quand nous en ajoutons un nouveau, nous :

1. Mettons à jour la liste des sous-traitants dans cet article + RoPA.md + Politique de confidentialité s5/s6. 2. Notifions tous les clients existants par e-mail au moins 30 jours à l'avance. 3. La fenêtre de 30 jours est votre délai d'objection — si vous vous y opposez pour des motifs légitimes, vous pouvez résilier le contrat avec remboursement des frais prépayés. 4. Mettons à jour le champ recipients de la ligne ProcessingActivity concernée en production.