Sous-traitants & hébergeurs

Conformément à l'Article 28 du RGPD, nous tenons à jour cette liste de nos sous-traitants. Chaque prestataire :

• Est encadré par un accord de traitement des données (DPA) conforme à l'Article 28 du RGPD (lien ci-dessous)
• Présente des garanties suffisantes en matière de sécurité (certifications listées ci-dessous)
• S'engage à ne traiter les données que sur nos instructions documentées
• Met en œuvre des mesures de sécurité techniques et organisationnelles appropriées

Tout ajout ou remplacement d'un sous-traitant est annoncé aux commerçants par e-mail au moins 30 jours à l'avance ; ils peuvent s'y opposer dans les conditions de l'article 12 des CGU.

Rôle :

Base de données PostgreSQL, authentification, stockage de fichiers, Edge Functions

Hébergement :

AWS Irlande (eu-west-1) — Union européenne

Certifications :

SOC 2 Type II, HIPAA-compliant

DPA :

https://supabase.com/legal/dpa

Données traitées :

Tous les identifiants utilisateurs, données de carte de fidélité, transactions, fichiers (logos, bannières)

Rôle :

Paiement et facturation (abonnements commerçants)

Hébergement :

Stripe (Dublin, Irlande pour clients UE)

Certifications :

PCI DSS Niveau 1, ISO 27001, SOC 1/2

DPA :

https://stripe.com/legal/dpa

Données traitées :

Email, nom, adresse de facturation, infos paiement (jamais transmises à HanyPass — tokenisées par Stripe)

Rôle :

Mesure d'audience anonymisée (uniquement après consentement)

Hébergement :

Google Cloud — clauses contractuelles types UE

Certifications :

ISO 27001, SOC 2/3

DPA :

https://support.google.com/analytics/answer/9442849

Données traitées :

Données de navigation (URLs visitées, durée, événements), IP anonymisée, identifiant pseudonyme. Conditionné au consentement via la bannière cookies.

Rôle :

Génération et mise à jour des cartes Google Wallet

Hébergement :

Google Cloud

Certifications :

ISO 27001

DPA :

https://workspace.google.com/terms/dpa_terms.html

Données traitées :

Contenu de la carte : nom du commerce, prénom et nom du client, points/tampons, design

Rôle :

Signalement des mises à jour des cartes Apple Wallet (APNs)

Hébergement :

Apple Push Notification service (APNs)

Certifications :

ISO 27001

DPA :

https://developer.apple.com/programs/terms/

Données traitées :

Identifiant technique de l'appareil (push token). Le contenu de la carte est transmis directement par HanyPass au téléphone du client, pas à Apple.

Rôle :

Génération des cartes Samsung Wallet (appareils Samsung uniquement)

Hébergement :

API Samsung Wallet — États-Unis

Certifications :

Voir la politique de confidentialité Samsung

DPA :

https://www.samsung.com/fr/info/privacy/

Données traitées :

Contenu de la carte : nom du commerce, prénom et nom du client, points/tampons, design

Rôle :

Envoi des e-mails aux commerçants (bienvenue, récapitulatif hebdomadaire, alertes de formule) et des e-mails des commerçants à leurs clients abonnés

Hébergement :

États-Unis — clauses contractuelles types

Certifications :

SOC 2 Type II

DPA :

https://resend.com/legal/dpa

Données traitées :

Adresse e-mail du commerçant, nom du commerce et chiffres d’activité du récapitulatif hebdomadaire ; adresse e-mail des clients abonnés et contenu du message du commerçant

Rôle :

Protection anti-robots des formulaires d'inscription

Hébergement :

États-Unis — clauses contractuelles types

Certifications :

Conforme RGPD (politique publique)

DPA :

https://www.hcaptcha.com/privacy

Données traitées :

Adresse IP et signaux techniques du navigateur au moment de l'inscription

Rôle :

Hébergement du site (front-end Next.js) et de la messagerie contact@hanypass.com

Hébergement :

Lituanie — Union Européenne

Certifications :

ISO 27001

DPA :

https://www.hostinger.com/legal/dpa

Données traitées :

Site : aucune donnée utilisateur stockée (le serveur fait le rendu des pages, les données vivent chez Supabase). Messagerie : contenu des e-mails échangés avec contact@hanypass.com et copie des e-mails envoyés aux commerçants

Rôle :

Recherche de l’adresse de la boutique lorsque le commerçant la saisit dans ses paramètres

Hébergement :

France

Certifications :

Service public de l’État

DPA :

https://cartes.gouv.fr/cgu/

Données traitées :

Texte de l’adresse recherchée et adresse IP du navigateur, au moment de la recherche uniquement

Lorsqu'un sous-traitant traite des données en dehors de l'UE (Google, Apple, Stripe, Samsung, Resend, hCaptcha aux États-Unis), nous nous appuyons sur les clauses contractuelles types de la Commission européenne (décision 2021/914) et sur les certifications EU-US Data Privacy Framework lorsqu'elles existent. La base de données (comptes, cartes, historique de fidélité) reste hébergée dans l'Union européenne, chez Supabase en Irlande.

Les notifications web transitent, chiffrées de bout en bout, par le service de notification du navigateur du client (Google, Apple ou Mozilla), qui ne peut pas en lire le contenu.

Si vous souhaitez retirer votre consentement pour les cookies analytiques (Google Analytics), vous pouvez le faire à tout moment via le lien « Gérer les cookies » en bas de page. Pour toute autre question sur le traitement par nos sous-traitants, contactez-nous à contact@hanypass.com.