Sous-traitants ultérieurs

Liste établie au titre de l’article 28.2 du RGPD et du §6 du contrat de sous-traitance. Tout ajout ou remplacement est notifié aux clients au moins 30 jours avant sa prise d’effet, avec un droit d’opposition motivé.

Comment lire ce tableau

Un sous-traitant marqué « Systématique » intervient pour tout client dès la souscription. Un sous-traitant marqué « Sur activation » n’intervient que si le client a explicitement activé la fonctionnalité correspondante : s’il ne l’active pas, aucune donnée ne part chez ce prestataire.

Systématiques

À ce jour, l’hébergeur est le seul sous-traitant systématique. C’est une conséquence directe d’un choix d’architecture : base de données, file de jobs, stockage de fichiers, moteur de recherche et envoi d’emails fonctionnent sur notre propre infrastructure, sans service externe imposé.

Sur activation par le client

Ce que vous devez savoir sur les fournisseurs d’IA

Les trois fournisseurs de modèles cités sont établis hors Union européenne. Trois garanties encadrent ce point :

1. Rien n’est envoyé par défaut. Aucun fournisseur d’IA n’est actif sans une configuration explicite. Une instance Kewos qui n’a pas de clé d’API configurée n’émet aucune requête vers eux.
2. Le transfert repose sur les clauses contractuelles types de la Commission européenne, complétées le cas échéant par des mesures supplémentaires.
3. Aucune donnée n’est utilisée pour entraîner un modèle. Cette interdiction est contractualisée avec chaque fournisseur.

Un client qui refuse tout transfert hors UE dispose de deux options qui restent entièrement fonctionnelles : configurer un fournisseur compatible OpenAI hébergé en UE, ou pointer vers un modèle auto-hébergé. Aucune fonctionnalité du noyau ne dépend d’un fournisseur d’IA.

Ce que vous devez savoir sur les SMS et WhatsApp

Même régime que pour l’IA, et pour la même raison : le transfert existe, il est inévitable, et il ne se déclenche que si vous le décidez.

1. Rien n’est envoyé par défaut. Tant qu’aucun envoi de SMS ou de WhatsApp n’est configuré, aucune donnée ne part chez un opérateur. Aucune fonctionnalité du noyau n’en dépend.
2. Le transfert repose sur les clauses contractuelles types de la Commission européenne.
3. Vos emails n’empruntent pas ce chemin. Ils partent de notre propre infrastructure, en France.

Une différence honnête avec l’IA, qui mérite d’être dite : pour l’IA, un client qui refuse tout transfert hors UE a une porte de sortie complète, un fournisseur européen ou un modèle auto-hébergé. Pour le SMS et surtout pour WhatsApp, cette porte n’existe pas au même degré.

• Un SMS ne peut pas être livré sans qu’un opérateur reçoive le numéro et le message. Des opérateurs européens existent, et nous pourrons en proposer, mais celui utilisé aujourd’hui est établi aux États-Unis.
• WhatsApp appartient à Meta, société américaine, et la plateforme professionnelle est la sienne. Meta déchiffre le message au passage, quel que soit l’intermédiaire choisi. WhatsApp ne peut donc pas être « européen », par construction, et aucun fournisseur ne changera cela. Nous préférons l’écrire plutôt que de laisser croire l’inverse.

Si ces transferts ne vous conviennent pas, n’activez ni les SMS ni WhatsApp. Le reste du produit fonctionne à l’identique.

Ce qui n’est pas de la sous-traitance

Les services que KEWOS exploite lui-même

Certaines fonctions du produit, notamment l’envoi mutualisé de messages et l’accès mutualisé à l’intelligence artificielle, s’appuient sur une infrastructure exploitée par KEWOS, en Union européenne.

Ce ne sont donc pas des sous-traitants ultérieurs : il n’y a pas de tiers. C’est KEWOS qui traite, au même titre que pour le reste du service, et sous le même contrat. Les prestataires qui interviennent derrière ces fonctions, lorsqu’il y en a, sont ceux listés plus haut.

Les services qui ne voient aucune donnée personnelle

• La distribution de nos logiciels et de leurs modules : ces services transportent du code, jamais des données de clients.
• La vérification des licences : elle ne connaît qu’un identifiant d’instance et un périmètre contractuel. Aucune donnée métier, aucune donnée personnelle.
• Les polices de caractères : servies depuis notre propre infrastructure, jamais depuis un service extérieur. Une police chargée depuis un domaine tiers transmettrait l’adresse IP du visiteur à ce tiers sans consentement.

Historique des modifications

Note sur le statut des prestataires de paiement

Stripe et PayPal figurent ci-dessus par transparence, mais leur qualification n’est pas celle des autres lignes. Pour l’encaissement lui-même, ils agissent comme responsables de traitement indépendants : la lutte contre la fraude et leurs obligations réglementaires sont des finalités qu’ils déterminent seuls, et sur lesquelles nous n’avons aucune instruction à donner. Ils ne sont nos sous-traitants que pour la part des données que nous leur transmettons pour notre compte.

Nous les listons quand même : ce sont des tiers qui reçoivent des données de nos clients, et c’est cela que la transparence exige de dire.

Leurs engagements de protection des données font partie intégrante de leurs conditions générales et sont acceptés à l’ouverture du compte : il n’y a pas de contrat séparé à signer, et donc pas de contrat manquant.

Vérification restant à la charge de KEWOS avant chaque publication de cette liste : ne laisser dans les tableaux que les prestataires réellement raccordés. Un fournisseur d’IA listé mais jamais configuré, ou un compte de paiement jamais ouvert, transforme une liste de transparence en déclaration inexacte. La liste se réduit, elle ne s’anticipe pas.