1. Faits de base
Il s'agit de la liste canonique des sous-traitants ultérieurs pour Horsenose. La politique de confidentialité, le DPA et la page Sécurité et confiance renvoient ici plutôt que de dupliquer le tableau.
- Opérateur / responsable du traitement (données propres) : DF Daniel Fojcik, une entreprise individuelle polonaise (jednoosobowa działalność gospodarcza, JDG) enregistrée au CEIDG. NIP 6472592229 · TVA UE PL6472592229 · REGON 387798601. Siège social principal : ul. Goplany 36a, 44-321 Marklowice, Pologne. Commercialisé sous le nom de Nose / horsenose pour ce produit.
- Contact juridique/confidentialité : support@horsenose.eu. Aucun délégué formel à la protection des données n'est désigné ; le propriétaire est le contact en matière de confidentialité.
- Autorité de contrôle : Président de l'Office de protection des données personnelles (UODO), ul. Stawki 2, 00-193 Warszawa, Pologne — uodo.gov.pl.
- Deux rôles (voir la politique de confidentialité → « Qui est responsable » et le DPA) : responsable du traitement — pour les visiteurs du site marketing, les données de compte/facturation des administrateurs et moniteurs d'écurie, les analyses de produits et les données de sécurité/prévention des abus ; sous-traitant — pour les données opérationnelles qu'une écurie saisit sur ses cavaliers/clients (l'écurie est le responsable du traitement ; cette relation est régie par le DPA destiné aux clients).
- Position de résidence des données (honnête) : horsenose fonctionne sur plusieurs régions et en ajoute à mesure de sa croissance ; la région principale actuelle de chaque fournisseur figure dans la colonne « Région » ci-dessous et peut changer à mesure que nous nous développons ou qu'un fournisseur modifie son empreinte. Aujourd'hui, l'essentiel du traitement principal se situe dans l'EEE (Supabase Francfort ; Vercel fra1 ; Brevo France ; PostHog UE Cloud), Sentry et Upstash étant configurés pour leurs régions UE et les Clauses contractuelles types de l'UE figurant dans leurs accords comme filet de sécurité pour tout traitement accessoire ailleurs. Certains composants fonctionnent déjà en dehors de l'EEE (la périphérie mondiale de Cloudflare pour le DNS, le CDN et la protection contre les robots Turnstile ; Google OAuth aux États-Unis ; une partie de Stripe aux États-Unis ; Dodo Payments sur une base mondiale de marchand de référence). Chaque trajet inter-régions est couvert par un mécanisme de transfert approprié — une décision d'adéquation, le UE-États-Unis Data Privacy Framework (et son avenant britannique), les Clauses contractuelles types de l'UE, l'International Data Transfer Addendum britannique, ou l'équivalent exigé par une région ajoutée (voir la colonne « Mécanisme de transfert »).
- Position de conservation : les données sont conservées pendant la durée de vie du compte actif ; lors de l'effacement du cavalier (article 17), les identifiants directs sont supprimés après un délai de grâce de 30 jours (pseudonymisation en vertu de l'article 4, paragraphe 5 du RGPD — les lignes de séance/financières conservent un pointeur non résolu vers le profil supprimé, et non une anonymisation complète en vertu du considérant 26) ; lors d'un offboarding centre équestre, les données sont conservées maximum 90 jours, exportées uniquement sur demande, puis supprimées. L'obligation de déclaration fiscale de 5 ans incombe à l'écurie (et à horsenose uniquement pour ses propres factures d'abonnement) — horsenose ne conserve pas les données personnelles des cavaliers pendant 5 ans. Tous les détails dans la politique de confidentialité → « Combien de temps conservons-nous les données (conservation) » et le DPA → « Conservation, restitution et suppression de vos données ».
- Paiements : horsenose ne fait jamais partie du flux des fonds et ne traite jamais de données de carte. Les paiements hors ligne des cavaliers (espèces / carte de séances / bon / virement) restent des étiquettes de suivi. Lorsqu'une écurie active les paiements en ligne, les cavaliers paient par carte / portefeuille / (en Pologne) BLIK via Stripe Connect directement sur le propre compte Stripe de l'écurie — l'écurie est le commerçant et Stripe est le processeur ; horsenose se contente de relayer l'instruction et ne détient ni ne reçoit jamais l'argent. La facturation des abonnements (l'abonnement d'une écurie à horsenose) est en direct : Stripe facture les écuries polonaises directement en PLN (horsenose émet la faktura PL). Dodo Payments est le marchand de référence pour toutes les écuries non polonaises (EUR/GBP/USD) — Dodo est le vendeur légal de l'abonnement, émet la facture/le reçu conforme aux taxes, et calcule et verse la TVA/taxe de vente dans la juridiction de destination. Les deux traitent les données d’identité de facturation de l’administrateur de l’écurie au nom de horsenose. En tant que marchand de référence, Dodo est plus qu'un sous-traitant : c'est un vendeur/contrôleur indépendant pour la transaction elle-même. Tout changement futur apporté aux fournisseurs de facturation suit les mécanismes de préavis et d'objection du DPA → « Confidentialité, sécurité et sous-traitants ».
2. Liste principale des sous-traitants
Chaque sous-traitant reçoit uniquement les données nécessaires à l'exercice de sa fonction. « Région » est la région informatique ; plusieurs fournisseurs sont constitués aux États-Unis mais proposent des régions de données de l'UE, de sorte qu'un backstop DPA + SCC/DPF couvre tout accès accidentel par l'entité du fournisseur.
| Sous-traitant | Objectif | Catégories de données personnelles | Région | Mécanisme de transfert |
|---|---|---|---|---|
| Supabase inc. | Base de données d'applications, authentification, stockage de fichiers | Données de compte + profil ; toutes les données opérationnelles de l'écurie/du cavalier | UE — eu-central-1 (Francfort) | Région de données intra-EEE ; DPA + SCC pour l'accès accidentel des fournisseurs |
| Vercel inc. | Hébergement, calcul sans serveur, cron | Journaux de requêtes, adresse IP | UE — fra1 primaire ; réseau périphérique mondial | DPA + SCC |
| Brevo (Sendinblue SAS) | E-mail transactionnel + lien magique | Nom, adresse e-mail, message/liens | UE (France) | Intra-EEE |
| PostHog Inc. (analyses – soumises au consentement) | Analyse de produits | Identifiant pseudonyme, événements capturés automatiquement, pages consultées, appareil/navigateur ; le pays/ville approximatif est résolu à partir de l'adresse IP avant que celle-ci ne soit elle-même supprimée lors de l'ingestion (paramètre PostHog « Discard client IP data »). Nous utilisons PostHog uniquement pour l'analyse des pages vues et des interactions (autocapture) ainsi que pour les mesures de performance ; nous n'enregistrons pas votre écran. | Cloud UE (eu.posthog.com) | Région de données intra-EEE ; DPA + SCC pour l'accès accidentel des fournisseurs |
| Sentry (Logiciel fonctionnel, Inc.) | Surveillance des erreurs | Traces d'erreur ; balises : UUID utilisateur, identifiant centre équestre, paramètres régionaux, procédure (e-mail / téléphone / corps du message / notes / jetons nettoyés avant l'envoi) | UE (région de stockage des données) | Configuré pour sa région UE ; DPA + SCC comme filet de sécurité pour tout traitement accessoire hors EEE |
| Upstash, Inc. | Compteurs à débit limite + clés d'idempotence | Clés dérivées de l'IP (IP = données personnelles) | UE — Base de données régionale dans eu-central-1 (Francfort, AWS) ; pas de réplication entre régions | Configuré pour sa région UE ; DPA + SCC comme filet de sécurité pour tout traitement accessoire hors EEE |
| Cloudflare, Inc. | Protection contre les robots tourniquets, DNS, CDN Edge | Métadonnées de requête, adresse IP | Réseau mondial de périphérie | DPF + SCC |
| Google LLC (Google OAuth — connexion facultative uniquement) | Renvoie un identifiant de compte persistant lors de la connexion à Google | Identifiant du compte OAuth | États-Unis | UE-États-Unis Repli DPF + SCC |
| Stripe — Stripe Payments Europe, Ltd. (UE/Royaume-Uni) ; Stripe, Inc. pour le compte connecté d'une écurie américaine (facturation des abonnements — Pologne ; + paiements en ligne des cavaliers via Connect) | Facturation de l'abonnement pour les écuries polonaises (PLN ; Nose est l'émetteur de la facture, faktura) ; et, pour les écuries qui activent les paiements en ligne, le traitement de ces paiements par carte / portefeuille / (en Pologne) BLIK via Stripe Connect vers le propre compte Stripe de l'écurie (l'écurie est le commerçant — Nose ne fait pas partie du flux des fonds) | Nom de facturation, pays, jeton de carte détenu par Stripe, 4 derniers chiffres ; pour les paiements en ligne, le nom/contact du payeur et un enregistrement de paiement détenu par Stripe sur le compte connecté de l'écurie | UE + États-Unis | En direct depuis le 01/07/2026 — DPA via acceptation de compte + SCC |
| Dodo Payments (marchand de référence — Merchant of Record — facturation d'abonnement hors Pologne) | Vendeur légal de l'abonnement pour les écuries non polonaises (EUR/GBP/USD) : émet la facture/reçu conforme aux taxes + calcule et verse la TVA/taxe de vente | Nom de facturation, e-mail, pays/adresse de facturation, jeton de carte détenu par Dodo, 4 derniers | Global (MoR) — Entité Dodo + ses propres sous-traitants | En direct depuis le 01/07/2026 — DPA via acceptation des TOS + SCC / DPF UE-États-Unis |
3. Modifications de cette liste
Engagement de changement de sous-traitant : lorsque horsenose ajoute, remplace ou supprime un sous-traitant, il met à jour cette liste et donne aux abonnés/écuries actifs un préavis d'au moins 15 jours (par e-mail à l'adresse du compte de l'écurie ou dans l'application) avant que le changement ne prenne effet (plus tôt uniquement en cas d'urgence pour la sécurité ou la continuité du service), avec une possibilité raisonnable de s'y opposer pour des raisons de protection des données. Les mécanismes sont exposés dans le DPA → « Confidentialité, sécurité et sous-traitants ».
4. Registre des DPA des sous-traitants
Chaque fournisseur ci-dessus publie un addendum standard sur le traitement des données qui s'applique via ses conditions d'utilisation ou via l'acceptation dans la console - aucun d'entre eux ne signe un DPA bilatéral au format PDF humide et l'article RGPD. 28(3) n’en exige pas. horsenose tient un registre interne avec l'URL DPA de chaque fournisseur, la version utilisée, le mécanisme d'acceptation et la date de la dernière vérification. Ce registre est distinct du DPA orienté client (centre équestre ↔ horsenose).