Annexes techniques et sous-traitants

Annexe A - Synthèse du traitement

Responsable de traitement Client professionnel Dossia BTP (pour ses données métier) Sous-traitant DEVALTITUDE Solution Dossia BTP Nature SaaS B2B de gestion et d'analyse documentaire BTP Hébergement principal Supabase - eu-west-3 - Paris, France IA Google Gemini API - service payant Paiement Stripe Contact contact@dossia-btp.fr Suppression après fin de service 30 jours maximum pour les données actives, sous réserves prévues au DPA

Annexe B - Principaux sous-traitants

Prestataire Fonction Données concernées Observation Supabase Base de données, stockage, authentification, backend Comptes, documents, données applicatives Projet principal en région eu-west-3 (Paris) Google / Gemini Analyse IA et embeddings Texte nécessaire à l'analyse, fragments documentaires, certaines images Service payant ; les contenus ne sont pas utilisés pour améliorer les produits selon les conditions Google applicables Stripe Paiements, abonnements, facturation Données de transaction et paiement nécessaires Les données complètes de carte sont traitées par Stripe dans l'intégration standard

Annexe C - Mesures de sécurité indicatives

● Authentification et contrôle des accès utilisateurs. ● Séparation logique des données entre clients. ● Base principale Supabase localisée à Paris. ● Communications chiffrées via HTTPS/TLS. ● Clés API et secrets conservés côté serveur. ● Limitation des accès administratifs. ● Journalisation technique et surveillance des incidents. ● Sauvegardes et mécanismes de restauration selon les capacités de l'infrastructure. ● Principe de minimisation des données transmises aux services d'intelligence artificielle. ● Révision régulière des dépendances, droits d'accès et sous-traitants.

Annexe D - Références juridiques et techniques

● CNIL - RGPD, article 28 : obligations entre responsable de traitement et sous-traitant. ● CNIL - Clauses contractuelles types entre responsable de traitement et sous-traitant. ● Google AI for Developers - Conditions supplémentaires de l'API Gemini : services payants et utilisation des données. ● Google AI for Developers - Zero Data Retention et politique de journalisation Gemini. Note : les conditions des prestataires techniques peuvent évoluer. DEVALTITUDE doit les réexaminer périodiquement et mettre à jour le présent pack en conséquence.