Liste des sous-traitants ultérieurs

Animiyo est une plateforme SaaS multi-locataire pour la gestion des animaux de compagnie : une application web Next.js hébergée sur Google Cloud Run et une application iOS native partagent le même backend Firebase, dans le projet Google Cloud petdiary-10327. Aucun de ces composants ne s'exécute sur des machines appartenant à celui qui développe le service, si bien que chaque donnée manipulée par la plateforme transite par un prestataire tiers. Publier la liste de ces prestataires est le moyen le plus direct de permettre à chacun de vérifier où aboutissent ses données.

Animiyo a deux rôles distincts. Il est responsable du traitement pour les comptes des propriétaires d'animaux, c'est-à-dire pour les personnes qui s'inscrivent et utilisent l'application pour elles-mêmes. Il est en revanche sous-traitant pour les données que les locataires, cliniques vétérinaires et boutiques, traitent au sujet de leurs propres clients. Cette liste s'applique dans les deux cas, avec une différence de qualification juridique : dans le premier cas les prestataires sont des sous-traitants désignés par Animiyo, dans le second ce sont des sous-traitants ultérieurs autorisés en vertu de l'article 28 paragraphes 2 et 4 du Règlement (UE) 2016/679.

Deux catégories de lecteurs utilisent cette page. La personne concernée, c'est-à-dire celle dont les données sont traitées, s'en sert pour vérifier que la notice à /privacy dit la vérité et pour exercer les droits décrits à /diritti-privacy. Le locataire responsable du traitement s'en sert pour satisfaire l'obligation d'information prévue par l'accord à /dpa, pour mettre à jour son propre registre des activités de traitement et pour décider s'il accepte un prestataire ou s'il s'y oppose. La publication satisfait donc à la fois l'obligation de transparence envers les personnes concernées et l'obligation d'information envers les locataires responsables du traitement.

Les tableaux ci-dessous sont la substance de ce document : les paragraphes n'existent que pour les expliquer. Si une ligne change, la date de mise à jour en haut de la page change elle aussi et une entrée apparaît dans le journal des modifications à la fin.

Un prestataire n'est activé qu'après avoir passé un ensemble fixe de contrôles, toujours appliqués dans le même ordre. Il ne s'agit pas d'une appréciation discrétionnaire : ce sont des exigences minimales, et un prestataire qui ne les satisfait pas n'entre pas dans la plateforme, quelle que soit la commodité ou le faible coût du service.

• Des garanties suffisantes au titre de l'article 28 paragraphe 1 : un accord de traitement des données signé, des mesures de sécurité documentées, la transparence sur le lieu où les données sont conservées.
• Une interdiction absolue des clauses permettant au prestataire de traiter les données à ses propres fins, y compris l'entraînement de modèles d'intelligence artificielle, sans consentement distinct et révocable.
• La notification d'une violation dans les vingt-quatre heures, acceptable jusqu'à quarante-huit.
• Une obligation de supprimer les données dans les trente jours suivant la fin de la relation, avec confirmation écrite que la suppression a eu lieu.
• La publication par le prestataire de sa propre liste de sous-traitants ultérieurs.
• La minimisation : pour une même fonction, nous choisissons le prestataire qui reçoit la plus petite quantité de données nécessaire.

Une seule condition n'est pas négociable. Aucun prestataire ne peut traiter les données des utilisateurs à ses propres fins, et en particulier pour entraîner des modèles d'intelligence artificielle, sans consentement distinct, éclairé et révocable. Sur tout autre point, une clause moins favorable peut être compensée par des mesures techniques ou organisationnelles ; sur celui-ci, ce n'est pas possible, car des données qui sont entrées dans un modèle ne peuvent plus être récupérées ni supprimées de manière vérifiable. Si un prestataire introduit une telle clause dans ses conditions, le service est remplacé selon la procédure décrite plus bas.

C'est le tableau principal du document. Pour chaque prestataire, il indique le service, les catégories de données reçues, le lieu où se déroule le traitement et le rôle juridique. Le rôle indique sous-traitant parce que le prestataire manipule les données pour le compte d'Animiyo et sous ses instructions ; envers les locataires responsables du traitement, ce même prestataire est un sous-traitant ultérieur autorisé.

Le groupe Google apparaît huit fois plutôt qu'une. Ce n'est pas une répétition inutile : chaque ligne est un service distinct, avec sa propre configuration, sa propre localisation et sa propre catégorie de données. Firebase Authentication connaît l'adresse e-mail mais pas le contenu du dossier de santé ; Cloud Storage for Firebase conserve les photographies mais ne sait rien des rendez-vous ; Google Analytics 4 ne voit que le site public et jamais la zone connectée. Répertorier les services séparément permet de comprendre quelles données seraient concernées par un incident touchant un seul d'entre eux, et d'en remplacer un sans toucher aux autres.

La mention infrastructure globale signale les services qui ne permettent pas de choisir une région de traitement : le prestataire les fournit à partir d'un réseau distribué et les données peuvent être manipulées dans plus d'un lieu. Cela vaut pour les notifications push, pour les contrôles de prévention de la fraude et pour la mesure du site public, c'est-à-dire pour des services traitant des identifiants techniques plutôt que le contenu des comptes. Dans ces cas, la base du transfert est la même que celle décrite dans la section sur la localisation des données.

Stripe Payments Europe Limited figure dans la liste bien qu'elle ne reçoive aucune donnée. L'intégration existe dans le code mais la passerelle est désactivée par un indicateur de configuration, de sorte qu'aucune information de paiement ne quitte la plateforme. La ligne reste dans le tableau par transparence : le jour où l'indicateur sera activé, ce ne sera pas une nouveauté cachée, et l'activation suivra de toute façon le préavis prévu pour les changements de sous-traitant ultérieur.

Certaines fonctionnalités de la plateforme lisent des informations dans des bases de données publiques : une fiche de médicament, la valeur nutritionnelle d'un aliment, la description d'une race, un taux de change, une tuile de carte. Ce sont des appels qui lisent uniquement des données, ils partent du navigateur de l'utilisateur et ils ne transportent ni l'identifiant du compte ni aucun contenu du journal. Ils transmettent en revanche l'adresse IP du navigateur et les détails techniques de la requête, raison pour laquelle ils doivent être déclarés.

Ces services ne sont pas des sous-traitants, car ils ne traitent pas de données pour le compte d'Animiyo et ne reçoivent d'Animiyo aucune instruction sur la manière d'utiliser les informations qu'ils obtiennent. Au regard des données de connexion qu'ils collectent, ce sont des responsables du traitement indépendants : ils déterminent eux-mêmes les finalités et les moyens, appliquent leurs propres notices et répondent directement de leurs propres choix. La différence n'est pas une formalité. Un sous-traitant manipule les données uniquement selon ce qui lui a été indiqué et les supprime lorsqu'on le lui demande ; un responsable du traitement indépendant répond de son propre chef, et les demandes concernant ces données de connexion doivent lui être adressées.

Les ressources principales de la plateforme se trouvent dans la région us-central1, aux États-Unis. Cela signifie que les données des comptes, les contenus téléversés et les journaux système sont traités en dehors de l'Espace économique européen, et que le transfert doit reposer sur une base juridique valide ainsi que sur des mesures techniques adéquates.

Les garanties accompagnant le transfert vers les États-Unis sont les suivantes.

• Google Ireland Limited comme partie contractante, au titre des Google Cloud Data Processing Terms.
• Les clauses contractuelles types adoptées par la Commission européenne par la décision d'exécution 2021/914.
• La certification de Google LLC au titre du cadre de protection des données UE États-Unis.
• Le chiffrement des données en transit avec TLS et au repos avec AES sur 256 bits.
• Une analyse d'impact du transfert documentée par le titulaire.
• La politique de Google relative au traitement des demandes émanant des autorités publiques.

La migration des ressources vers une région européenne, dans la zone europe-west, est à l'étude. Ce n'est pas une décision arrêtée, car elle implique de reconstruire une partie de l'infrastructure et d'accepter une fenêtre d'indisponibilité du service. Si elle a lieu, elle sera annoncée sur cette page avec le même préavis que celui prévu pour l'ajout ou le remplacement d'un sous-traitant ultérieur, afin que les locataires responsables du traitement puissent mettre à jour leur propre documentation avant que le changement ne prenne effet.

Envers les locataires responsables du traitement, le recours aux prestataires répertoriés repose sur une autorisation générale au titre de l'article 28 paragraphe 4 du Règlement (UE) 2016/679. Une autorisation générale n'est pas un chèque en blanc : celui qui l'accorde conserve le droit de savoir à l'avance ce qui change et de s'y opposer. La procédure ci-dessous décrit comment ce droit s'exerce en pratique.

1. 1

   Publication du préavis

   Au moins trente jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur, le changement est publié sur cette page, en indiquant le prestataire, le service, les données concernées et la date d'activation prévue.

2. 2

   Message au locataire

   En même temps que la publication, le préavis est envoyé à l'adresse e-mail que le locataire a renseignée dans son profil. Maintenir cette adresse à jour et surveillée relève de la responsabilité du locataire.

3. 3

   Opposition motivée

   Le locataire peut s'opposer dans les quinze jours suivant le préavis, en indiquant les motifs de l'opposition. Les oppositions sont envoyées depuis la page /contatti et doivent être motivées, c'est-à-dire qu'elles doivent expliquer quel risque ou quelle contrainte rend le prestataire proposé inacceptable.

4. 4

   Recherche d'une mesure alternative

   Avant la date d'activation, nous évaluons si l'opposition peut être résolue par des mesures alternatives : une configuration différente, une région différente, une réduction des données transmises ou un prestataire différent pour cette fonction.

5. 5

   Résiliation sans pénalité

   Si l'opposition ne peut être résolue, le locataire responsable du traitement peut résilier sans pénalité la partie du service concernée par le changement, selon les modalités prévues par l'accord publié à /dpa.

Il existe une seule exception au préavis de trente jours. Si un prestataire doit être remplacé pour des raisons de sécurité, par exemple après une vulnérabilité grave ou l'arrêt soudain d'un service, le remplacement peut avoir lieu avec un préavis raccourci. Dans ce cas, le message aux locataires est immédiat et le droit d'opposition reste intact, mais il s'exerce après le changement plutôt qu'avant. Attendre trente jours face à un risque en cours nuirait précisément aux personnes que la procédure est censée protéger.

Cette liste couvre les prestataires choisis par Animiyo pour faire fonctionner la plateforme. Elle ne couvre pas les prestataires choisis par le locataire. Lorsqu'une clinique vétérinaire ou une boutique connecte ses propres outils, exporte des données depuis la plateforme ou les transmet à ses propres prestataires, ceux-ci ne figurent pas ici et restent sous la responsabilité du locataire : le locataire doit les désigner comme sous-traitants et informer ses propres personnes concernées.

La distinction compte surtout pour les personnes qui ont laissé leurs données à une clinique ou à une boutique. Si une demande concerne un prestataire que le locataire a choisi de lui-même, elle doit être adressée au locataire, car le locataire est le responsable de ce traitement et lui seul sait quels outils il a connectés. Cette page reste néanmoins le point de départ pour comprendre quels prestataires sont communs à tous et lesquels ne le sont pas.

Une liste de sous-traitants ultérieurs en dit long par ce qu'elle laisse de côté. Les catégories de prestataires ci-dessous sont absentes de la plateforme, et leur absence est un choix de conception, non une situation temporaire dans l'attente d'un budget.

• Aucun réseau publicitaire, aucun courtier en données, aucun prestataire de profilage commercial.
• Aucun prestataire de modèles d'intelligence artificielle recevant des données des utilisateurs.
• Aucun service tiers d'assistance client ayant accès aux données.
• Aucun système d'e-mails marketing alimenté par la base d'utilisateurs.
• Aucune vente ni transfert de données à des tiers.

Chacune de ces entrées correspond à un prestataire qui n'apparaît pas dans le tableau principal et n'y apparaîtra pas sans le préavis décrit plus haut. Si l'une de ces catégories devenait un jour nécessaire, l'ajout suivrait la même procédure de préavis et d'opposition prévue pour les autres prestataires, et pour les finalités exigeant un consentement, ce consentement serait recueilli séparément et de façon révocable.

Chaque changement apporté à cette liste est publié sur cette même page, qui est la source faisant foi. Les locataires responsables du traitement sont en outre notifiés à l'adresse e-mail renseignée dans leur profil, car pour eux le préavis a des effets contractuels et non seulement informatifs.

Le moyen le plus simple de savoir si quelque chose a changé est de vérifier la date de mise à jour en haut de la page et de la comparer au journal des modifications à la fin. Pour toute question sur la liste, pour demander la documentation contractuelle relative à un prestataire ou pour soulever une opposition, utilisez la page /contatti, qui est le canal unique pour toutes les communications relatives à ce document.

Les révisions ultérieures sont ajoutées à ce tableau et sont suivies dans l'historique de gestion de versions du code, qui conserve le texte exact de chaque version ainsi que la date du changement. Quiconque a besoin de reconstituer quelle liste était en vigueur à un moment donné peut le demander via la page /contatti.