DUBHCORE — Liste des sous-traitants ultérieurs
Version 1.0 — Date : 30 août 2026 — Version finale Ne sont énumérés que les fournisseurs effectivement utilisés (vérifiés sur le code/la config). Les dépendances présentes dans le projet mais non activement utilisées ne sont PAS incluses. DPA/accords : lorsque le DPA du fournisseur est incorporé dans les conditions ou perfectionné par acceptation électronique valide, aucune signature manuscrite distincte n'est requise ; la preuve est l'acceptation en ligne (la possession de copies « signées » n'est pas déclarée). La durée des journaux d'infrastructure d'Emergent n'a pas été communiquée ni confirmée par le fournisseur (gérée par Emergent dans le cadre de sa propre infrastructure ; aucune durée numérique non vérifiée n'est indiquée) et ne constitue pas actuellement un obstacle au lancement.
| Fournisseur | Service / Finalité | Catégories de données | Lieu du traitement | Transfert international | Mécanisme/Garantie | Notes |
|---|---|---|---|---|---|---|
| Stripe | A) Abonnements/facturation DUBHCORE ; B) Stripe Connect pour les acomptes des Studios ; événements webhook | Données de paiement/facturation, identifiants de transaction | UE/États-Unis (PARTIAL — non vérifiée) | Oui | DPA/DPP Stripe + CCT perfectionnés par acceptation en ligne des conditions | Stripe peut agir en tant que Responsable autonome pour certains traitements (paiements, conformité, lutte antifraude, obligations propres) selon la documentation Stripe applicable ; pas un simple sous-traitant ultérieur |
| Uniquement OAuth + Google Calendar (import en lecture seule) | Identifiants de compte (e-mail/profil), événements de calendrier importés | UE/États-Unis (PARTIAL — non vérifiée) | Oui | Data Processing Terms Google + CCT par acceptation en ligne | Jetons OAuth conservés chiffrés (Fernet). Exclus : analytics, publicité, Google Fonts, services IA et autres services Google non utilisés | |
| Emergent | Hébergement/infrastructure backend (K8s), Object Storage privé géré, envoi d'e-mails transactionnels (Resend/SES géré), Hub | Toutes les catégories hébergées (compte, demandes, images, documents, etc.) ; adresses e-mail des destinataires | États-Unis (VERIFIED) | Oui (États-Unis) | DPA Emergent + CCT UE 2021/914 | Plateforme de déploiement ; chaîne des sous-fournisseurs infra ci-dessous |
Expo / EAS (note technique — PAS un sous-traitant ultérieur d'exécution) : utilisé exclusivement comme outil de build/distribution de l'application mobile. Selon l'audit technique, il ne traite pas les données personnelles des utilisateurs finaux de DUBHCORE lors de l'utilisation normale de l'application ; il n'est donc pas inclus dans la liste publique des sous-traitants ultérieurs et n'est pas présenté comme sous-traitant ultérieur d'exécution des données clients.
Apple Calendar : l'accès a lieu sur l'appareil de l'utilisateur (expo-calendar) ; il ne constitue pas un sous-traitant ultérieur côté serveur de DUBHCORE (aucune donnée du calendrier Apple n'est envoyée aux serveurs).
Données de santé (art. 9) chez les sous-traitants ultérieurs : les données de santé (Tatouage/Piercing) sont hébergées sur l'infrastructure Emergent (déjà listée) avec les autres catégories ; l'accès est limité côté serveur aux seuls rôles autorisés (moindre privilège). La confirmation d'Emergent quant à l'admissibilité du traitement de ces données pour l'application ne constitue pas la condition de licéité au titre de l'art. 9, qui reste le consentement explicite (art. 9, § 2, point a)) identifié par le Studio Responsable. Aucun autre sous-traitant ultérieur ne reçoit spécifiquement les données de santé.
Analytics/publicité/tracking : absents tant dans l'application que sur le site Hub (dubhcore.com) — audit vérifié (aucun sous-traitant d'analytics).
DUBHCORE Hub (dubhcore.com) : le formulaire de contact /contact (nom, studio, e-mail, pays, message) envoie les données au backend du Hub, stockées dans la collection MongoDB contact_requests du projet Hub (hébergé sur l'infrastructure Emergent, déjà listée). Aucun fournisseur d'e-mail/de newsletter externe ne reçoit ces données. Les paiements ont lieu via des Payment Links externes de Stripe (buy.stripe.com), déjà couverts par l'entrée Stripe.
Google Fonts et Unsplash : ne sont plus des services externes actifs — les polices et l'image « Origin » du Hub sont désormais hébergées localement. Par conséquent, elles ne figurent pas parmi les fournisseurs/destinataires externes.
Infrastructure vérifiée (Emergent Labs Inc.) : DUBHCORE utilise l'infrastructure gérée par Emergent Labs Inc. Sous-fournisseurs d'infrastructure ayant un rôle vérifié/raisonnablement documenté dans le flux de données DUBHCORE :
| Fournisseur | Service / Finalité | Lieu | Transfert international | Garantie |
|---|---|---|---|---|
| Emergent Labs Inc. | Plateforme/infrastructure gérée (déploiement, orchestration) | États-Unis | Oui (États-Unis) | DPA + CCT (Déc. UE 2021/914) |
| MongoDB Atlas | Base de données gérée de l'application | États-Unis | Oui (États-Unis) | via DPA Emergent + CCT |
| Amazon Web Services (AWS) | Cloud hosting / object storage / e-mail, le cas échéant | États-Unis | Oui (États-Unis) | via DPA Emergent + CCT |
| Cloudflare | Edge/CDN/serving applicatif | Edge/distribué globalement (PARTIAL — région non vérifiée) | Oui | via DPA Emergent + CCT |
Sauvegardes de production : automatiques à rotation, stockées aux États-Unis (détail dans le Data Retention Schedule). Rôles DPA : Client = Responsable, Emergent = Sous-traitant ; si le Client est à son tour Sous-traitant, Emergent = Sous-traitant ultérieur.
Ne sont pas énumérés tous les fournisseurs présents sur la page générale Sous-traitants d'Emergent, mais uniquement ceux ayant un rôle vérifié dans le flux de données DUBHCORE. Aucun service IA/LLM (Gemini/Vertex/Bedrock, etc.) ne traite les données utilisateur DUBHCORE (l'audit technique n'a détecté aucun traitement IA d'exécution).
Note finale : les DPA/accords avec les fournisseurs sont perfectionnés par acceptation électronique valide (aucune signature manuscrite distincte requise ; la preuve est l'acceptation en ligne). La durée de conservation des journaux d'infrastructure d'Emergent (adresse IP, localisation approximative, navigateur, identifiants de session/d'appareil, télémétrie) n'a pas été communiquée ni confirmée par le fournisseur : ces journaux sont gérés par Emergent dans le cadre de sa propre infrastructure et des conditions/documentation applicables ; DUBHCORE n'indique aucune durée numérique non vérifiée. Cela ne constitue pas un obstacle au lancement.