Que sont les sous-traitants ?
Les sous-traitants sont des tiers qui traitent les données personnelles pour le compte de Vytrix. En vertu du RGPD, nous sommes tenus de les identifier, de conclure avec eux un accord de traitement (DPA) et de modifier au moins cette liste. 30 jours avant la date d'entrée en vigueur à annoncer.
Vous opposez-vous à un nouveau sous-traitant ultérieur pour des raisons de protection des données ? Contactez-nous à privacy@vytrix.app avant la date d'entrée en vigueur.
Sous-traitants actuels (2026 août)
| Sous-traitant | Objectif | Emplacement | Mécanisme de transfert |
|---|---|---|---|
| Supabase Inc. | Fonctions de base de données, d'authentification, de stockage et backend Edge | Région principale du projet pour la base de données, l'authentification et le stockage : UE (Irlande – AWS eu-west-1); autres traitements selon les conditions Supabase | DPA + CSC |
| Amazon Web Services (AWS) | Infrastructure cloud (sous-traitant de Supabase) | Infrastructure principale du projet UE (Irlande); support et autres traitements conformément au Supabase DPA | Via Supabase DPA |
| Google Irlande Limitée (Firebase Crashlytics + Messagerie Cloud) | Rapports d'incidents et notifications push | UE + transfrontalier | DPF+ UE-États-Unis Google APD avec les SCC |
| RevenueCat Inc. | Gestion des abonnements et droits IAP | États-Unis | DPF+ UE-États-Unis RevenueCat DPA avec les SCC |
| Stripe Paiements Europe, Ltd. | Traitement des paiements (paiement en ligne et paiements des affiliés) | UE (Irlande) / États-Unis | DPF+ UE-États-Unis Stripe DPA avec les SCC |
| Google Cloud (Vertex AI) | IA Coach (chat) et analyse photo des repas/produits | Multirégionale de l'UE (eu) | Google Cloud DPA + traitement UE configuré |
| OpenAI | Lecture de l'étiquette nutritionnelle, des ingrédients et des photos facultatives du produit dans le scanner d'étiquettes du produit | Traitement international | DPA + SCC le cas échéant |
| Apple Inc. (App Store, IAP, connectez-vous avec Apple) | Distribution et authentification d'applications | États-Unis/UE | Contrat développeur DPF + Apple |
| Google SARL (Google Play, Play Billing, Connectez-vous avec Google) | Distribution et authentification d'applications | États-Unis/UE | DPF + Google Play Accord de distribution pour les développeurs |
| Renvoyer (Plus Five Five, Inc.) | Confirmation du double opt-in et, seulement après confirmation, mise à l'échelle des mises à jour du produit | États-Unis (traitement primaire et stockage) | Renvoyer le DPA + DPF UE-États-Unis + SCC |
| Vercel inc. | Hébergement de sites Web, Vercel Analytics et Speed Insights | UE + infrastructures internationales | DPA + SCC le cas échéant |
| PostHog Inc. | Analyse facultative des produits du site Web, uniquement après autorisation explicite | Point de terminaison cloud de l'UE + fournisseur de services international | DPA + SCC le cas échéant |
Pour faire évoluer l'intérêt via l'application ou le site Web, Supabase stocke l'adresse e-mail, le produit individuel, l'intention, la source, les paramètres régionaux, le pays/la région facultatifs, la version du consentement et les métadonnées de confirmation, de désabonnement et d'acceptation du fournisseur. Renvoyer ne reçoit que ce qui est nécessaire au destinataire, au contenu de l'e-mail et à la livraison. Les données d’entraînement, de santé, de nutrition et de cycle ne sont pas renvoyées. Seuls les enregistrements de double opt-in complétés qui n'ont pas été désabonnés seront autorisés à recevoir des mises à jour du produit ultérieurement.
Quelles données sont transmises à quel sous-traitant ?
| Catégorie | Supabase | Base de feu | RevenueCat | Vertex AI |
|---|---|---|---|---|
| Compte (nom, email) | Oui | ID uniquement, pour push | Pièce d'identité uniquement, droits | Non |
| Dates de formation | Oui | Non | Non | Non |
| Dates nutritionnelles | Oui | Non | Non | Uniquement via l'IA photo |
| Sommeil / corps / fréquence cardiaque | Oui | Non (exclu des clés Crashlytics) | Non | Uniquement si l'utilisateur y est invité |
| Photos de progression | Oui (seau privé) | Non | Non | Non |
| Photos de repas / Photos de produits Vertex | Non (à court terme en mémoire) | Non | Non | Oui (de courte durée, non conservé - UE) |
| Cycle menstruel | Oui (région principale du projet Irlande) | Non | Non | Non |
| Contenu social | Oui | Non | Non | Non |
| Journaux de crash (pas de PII / pas de santé) | Non | Oui | Non | Non |
| Données transactionnelles d'abonnement | État du droit | Non | Oui | Non |
En dehors de cette matrice compacte, le scanner d'étiquettes de produits peut envoyer des photos de l'étiquette, de la liste des ingrédients et du recto de l'emballage, ainsi que de tout code-barres et nom de produit existant, à OpenAI. Vercel traite le trafic du site Web et les données de performances techniques. PostHog ne traite les événements du site Web effacés qu'après autorisation explicite ; Les requêtes et extraits d'URL ne sont pas inclus et les pages légales sont exclues.
Garanties spéciales par sous-traitant ultérieur
Supabase — Art. 9 données de santé
- Vytrix a obtenu/demandé une confirmation écrite que le traitement de l'art. Les données de santé 9 entrent dans le périmètre convenu
- La principale région du projet pour les bases de données, l'authentification et le stockage est l'Irlande (
eu-west-1). Les sauvegardes, l'assistance et autres traitements sont soumis aux conditions actuelles du Supabase DPA et des sous-traitants secondaires ; il ne s’agit pas d’une garantie absolue réservée à l’UE.
Firebase Crashlytics — exclusion des données de santé
- La collecte d'adresses IP est désactivée
- Contenir des clés et des journaux personnalisés geen données d'entraînement personnel, de santé, de nutrition ou de cycle
- Uniquement les champs techniques (version de l'application, version du système d'exploitation, modèle de l'appareil) et user_id pseudonymisé
RevenueCat — exclusion de l'art. 9
- Le DPA de RevenueCat interdit l'art. Données 9
- Nous envoyons uniquement des identifiants d'attribut et des données transactionnelles ; aucun lien avec les données de santé ou les données de cycle
Google Vertex AI – Résidence dans l'UE + bande de métadonnées
- Traitement via le multirégion de l’UE
eu; Vertex AI n'utilise pas d'invites ni d'images pour l'entraînement des modèles - Les métadonnées EXIF sont supprimées des photos avant le téléchargement
- Aucun identifiant de compte ni adresse e-mail dans les invites
- Foto-AI a un indicateur kill switch pour une désactivation globale
OpenAI — scanner d'étiquettes de produits
- Seules les photos du produit et le contexte nécessaire choisi par l'utilisateur (éventuellement le code-barres et le nom du produit existant) sont envoyés pour ce scan ; pas d'identifiant de compte ni d'adresse e-mail.
- Le traitement international est soumis aux garanties DPA et de transfert ultérieur applicables.
Vercel et PostHog — site Internet
- Vercel fournit un hébergement de sites Web et des statistiques techniques Web sans cookies ; Les requêtes d'URL et les extraits de code sont supprimés.
- PostHog n'est chargé qu'après autorisation explicite. DNT et Global Privacy Control comptent comme un refus ; les pages légales n'utilisent pas PostHog.
Renvoyer – dates d'envoi minimales et transfert aux États-Unis
- La transformation primaire et le stockage ont lieu aux États-Unis ; une région d'expédition européenne ne modifie pas le lieu de stockage.
- Les transferts sont basés sur le Resend DPA, le DPF et les SCC.
- Seuls les enregistrements confirmés et désabonnés par double opt-in sont autorisés à recevoir des mises à jour. Chaque mise à jour contient un lien de désabonnement personnel qui révoque immédiatement le consentement ; La réinscription nécessite un nouveau double opt-in.
Comment gérons-nous les changements ?
- Nouveau sous-traitant : publication au moins 30 jours à l'avance sur cette page + notification par email aux utilisateurs enregistrés.
- Objection : via privacy@vytrix.app. En cas d'objection fondée, nous rechercherons une alternative ; Si cela ne fonctionne pas, vous pouvez annuler votre compte avec un remboursement des frais d'abonnement prépayés.
- Changement de lieu ou mécanisme de transfert : publication + email.
- Suppression d'un sous-traitant ultérieur : publications; les données seront supprimées ou restituées par le sous-traitant dans un délai de 90 jours.
Contact
Des questions sur les sous-traitants ultérieurs ? privacy@vytrix.app