Source de référence : la même liste que dans la déclaration de confidentialité (section « Sous-traitants ultérieurs ») ; un contrôle automatisé maintient la concordance entre les deux.
Ce document indique, pour chaque partie, ce qu'elle fait, où elle effectue le traitement et quel est l'état de l'accord de sous-traitance — y compris lorsque celui-ci est encore ouvert. Nulle part il n'est indiqué « DPA signé » sauf si cela est consigné comme preuve dans le registre de conformité ; au 16-10-2026, ce n'est le cas que pour les serveurs de Hetzner. L'accord de sous-traitance (AVV) pour l'hébergement de messagerie chez Hetzner a été conclu le 16-10-2026 ; la preuve correspondante doit encore être consignée dans le registre.
| Partie | Finalité | Pays | Accord de sous-traitance (état au 17-10-2026) |
|---|---|---|---|
| Anthropic | Exécution des tâches des agents (le modèle de langage derrière chaque agent), via les services d'Anthropic. | États-Unis | Propose un accord de sous-traitance avec les clauses contractuelles types de l'UE ; acceptation par Stilops pas encore consignée comme preuve — ouvert. |
| Hetzner Online GmbH | Hébergement des serveurs sur lesquels fonctionnent Stilops et les données des clients. | Allemagne (UE) | Traitement au sein de l'UE. AVV (art. 28 RGPD) version 1.2 conclu via le compte Hetzner, daté par Hetzner du 22-9-2026 ; le PDF est archivé comme preuve et consigné dans le registre — accepté, preuve archivée. |
| Hetzner Online GmbH (e-mail) | Hébergement de la messagerie de Stilops elle-même (Hetzner Webhosting) : le compte expéditeur pour les e-mails transactionnels aux clients (réinitialisation de mot de passe, confirmation d'inscription, invitations, réponses aux tickets, notifications de décision) et les boîtes aux lettres des agents internes de Stilops. Les agents des clients n'ont pas de boîte aux lettres et n'envoient pas d'e-mails. La prospection à froid vers des prospects via cet hébergeur n'est pas évidente (Hetzner Webhosting n'autorise pas les envois en masse) et requiert une décision distincte. | Allemagne (UE) | Traitement au sein de l'UE. AVV (art. 28 RGPD) conclu via le compte Hetzner pour l'hébergement de messagerie le 16-10-2026, y compris les données de communication (e-mail) — conclu ; preuve restant à consigner dans le registre. |
| Cloudflare, Inc. | DNS et sécurisation du trafic pour les domaines de Stilops. | États-Unis | Propose un DPA avec les clauses contractuelles types de l'UE ; acceptation pas encore consignée comme preuve — ouvert. |
| Stripe | Paiements et données de facturation en cas d'abonnement payant. | États-Unis / Irlande | Propose un DPA avec les clauses contractuelles types de l'UE ; acceptation pas encore consignée comme preuve — ouvert. |
| Kadaster (PDOK Locatieserver) | Conversion d'adresses néerlandaises en coordonnées lorsqu'un agent client doté de la planification d'itinéraire calcule un itinéraire avec l'outil d'itinéraire ; uniquement la ligne d'adresse, sans noms (depuis le 17-10-2026). | Pays-Bas (UE) | Service public ouvert de l'administration ; aucun accord de sous-traitance proposé. Ne reçoit que des lignes d'adresse sans nom — décidé par Fabian le 17-10-2026. |
Ce qu'un client peut attendre de ce document
- Si cette liste change (nouvelle partie, autre pays, autre accord), la déclaration de confidentialité change également et reçoit un nouveau numéro de version. Un test dans le dépôt (repository) garantit que les noms restent identiques dans les deux sources.
- Un client qui a une objection à l'égard d'un sous-traitant ultérieur peut la signaler via [email protected].
- Jusqu'au 16-10-2026, la messagerie de Stilops passait par MXroute (États-Unis), sans accord de sous-traitance et sans mécanisme de transfert. Depuis cette date, tout le courrier passe par Hetzner en Allemagne. Chez MXroute se trouvent encore les e-mails antérieurs au changement. Un dernier transfert et la résiliation sont encore en cours ; ensuite, MXroute ne sera plus utilisé pour des données à caractère personnel, et Stilops demandera alors à MXroute de confirmer par écrit la suppression des boîtes aux lettres et du domaine.
- Le fournisseur du navigateur (Google pour Chrome, Microsoft pour Edge) traite l'audio des fonctions vocales (dictée, enregistrement de réunion) sur l'appareil de l'utilisateur lui-même ; cet audio n'atteint pas Stilops. Ceci figure dans la déclaration de confidentialité, mais ne constitue pas un sous-traitant ultérieur de Stilops au sens de l'art. 28 RGPD et ne figure donc pas dans le tableau.
Ce qu'il faut faire pour clore les points ouverts
- Pour Anthropic, Cloudflare et Stripe (les serveurs Hetzner ont été finalisés le 11-10-2026, la messagerie Hetzner le 16-10-2026) : accepter le DPA proposé (généralement un clic dans le portail client du fournisseur), archiver la version acceptée au format PDF et enregistrer la référence comme preuve sur les contrôles
iso27001:A.5.23,nis2:art.21(2)(d)etnen7510:5.22. - MXroute est clos : le 16-10-2026, la messagerie a été transférée vers Hetzner (UE) avec un accord de sous-traitance. Reste à faire : consigner dans le registre la preuve de l'AVV pour l'hébergement de messagerie ; finaliser le dernier transfert et la résiliation chez MXroute, puis faire confirmer par écrit la suppression des boîtes aux lettres et du domaine.