Sous-traitants ultérieurs

Pour fournir le service L'Analyste, Burdig fait appel à un nombre restreint de sous-traitants ultérieurs. Cette page liste l'ensemble de ces partenaires, les données qu'ils traitent et leur localisation. Elle est mise à jour à chaque ajout ou retrait d'un sous-traitant, conformément à la Loi 25 (Québec) et au RGPD.

1. Vue d'ensemble

Cette page est versionnée dans notre dépôt de code. L'historique des changements est conservé sur 24 mois et fourni sur demande.

2. Détail par sous-traitant

2.1 Hébergement · DigitalOcean LLC (via Laravel Forge)

• Rôle : héberge l'ensemble de l'infrastructure L'Analyste (serveurs d'application, base de données MySQL, stockage des replays et captures, journaux).
• Localisation : datacenter tor1 à Toronto, Ontario, Canada.
• Données traitées : toutes vos données applicatives sont stockées exclusivement sur cette infrastructure.
• Garanties : DPA signé avec DigitalOcean. Certifications SOC 2 Type II, ISO 27001, PCI-DSS. Sauvegardes chiffrées dans la même région.
• Lien DPA public : digitalocean.com/legal/data-processing-agreement
• Laravel Forge (orchestration des déploiements) : DPA signé, n'a pas accès au contenu de la base, uniquement aux variables d'environnement chiffrées.

2.2 Paiement · Stripe, Inc.

• Rôle : traitement des paiements par carte et gestion des abonnements.
• Localisation : États-Unis (infrastructure Stripe globale).
• Données traitées : votre nom, votre courriel, votre adresse de facturation, les montants facturés et les métadonnées d'abonnement (nombre de sites actifs, plan). Les numéros de carte ne transitent jamais par les serveurs Burdig, ils sont tokenisés directement par Stripe.js dans votre navigateur.
• Aucune donnée de tracking des visiteurs n'est transmise à Stripe.
• Garanties : DPA signé, certification PCI-DSS Level 1 (le plus élevé), clauses contractuelles types pour le transfert de données hors Canada. Stripe agit comme responsable conjoint du traitement pour ses propres finalités antifraude, décrites dans leur politique.
• Lien DPA public : stripe.com/legal/dpa

2.3 Courriels transactionnels · Resend, Inc.

• Rôle : envoi des courriels transactionnels L'Analyste (vérification d'adresse, réinitialisation de mot de passe, notifications d'insights critiques, alertes d'échec de paiement, rapports hebdomadaires, invitations d'équipe, factures).
• Localisation : infrastructure aux États-Unis.
• Données traitées : adresse courriel du destinataire, sujet et corps du courriel transactionnel. Aucune donnée de tracking des visiteurs n'est transmise à Resend.
• Garanties : DPA disponible auprès de Resend, clauses contractuelles types (CCT) pour le transfert de données hors Canada conformément à la Loi 25.
• Lien DPA public : resend.com/legal/dpa
• Pourquoi Resend : API moderne, bonne délivrabilité, suivi détaillé des envois, cohérence avec nos exigences de fiabilité pour les courriels d'alerte.

2.4 Analytics optionnel · Google LLC (GA4)

• Activation : intégration strictement optionnelle, désactivée par défaut. Activée uniquement si vous saisissez un identifiant de propriété GA4 et fournissez les identifiants de service-account dans les paramètres de votre site.
• Rôle : L'Analyste récupère, via l'API Google Analytics Data, les statistiques de sources de trafic de votre propre compte GA4 pour les afficher dans votre tableau de bord.
• Sens du flux : Google → L'Analyste. Aucune donnée L'Analyste n'est envoyée à Google.
• Responsabilité : si vous activez cette intégration, vous restez le responsable du traitement vis-à-vis de Google. Le DPA Google s'applique dans le cadre de votre propre contrat Google Analytics.
• Lien DPA Google : business.safety.google/processorterms

3. Assets statiques (CSS, JS, polices)

Tous les assets statiques (feuilles de style, scripts JavaScript, polices) du tableau de bord L'Analyste et du script de tracking embarqué sur les sites de nos clients (incluant rrweb pour le replay de session) sont servis depuis nos serveurs de Toronto, Canada. Aucun CDN tiers (jsDelivr, unpkg, cdn.tailwindcss.com) n'est sollicité par notre infrastructure depuis le 14 mai 2026.

Conséquence pour la conformité Loi 25 : aucune adresse IP de votre navigateur, de celui de vos collaborateurs, ni des visiteurs de vos sites web n'est exposée à un CDN tiers lors du chargement de nos scripts. La chaîne de sous-traitance se limite aux fournisseurs listés plus haut (DigitalOcean, Stripe, Resend, et GA4 si activé).

4. Ce qui n'est pas un sous-traitant

Pour transparence, certains traitements sont effectués localement sur notre infrastructure de Toronto et n'impliquent aucun tiers :

• Génération de captures d'écran (Browsershot/Chromium) : exécuté en local sur le serveur Burdig. Aucun appel externe.
• Génération de PDF (DomPDF) : exécuté en local.
• Détection de bots, anti-spam, hachage de mots de passe : 100 % en local.
• Police Inter : auto-hébergée, pas de Google Fonts.
• Stockage des replays et captures : disque local du serveur Forge à Toronto. Aucun bucket S3 n'est utilisé en production.

5. Notification de changement

Conformément à l'article 22 de la Loi 25 et à l'article 28 du RGPD, nous nous engageons à :

1. Vous informer par courriel avec 30 jours de préavis de tout ajout ou changement de sous-traitant ultérieur ayant accès à vos données.
2. Maintenir un historique versionné de cette page (les modifications sont commitées dans notre dépôt de code, accessible sur demande).
3. Vous fournir, sur demande écrite, le DPA signé avec chaque sous-traitant.

6. Droit de refus

Si vous vous opposez à l'ajout d'un nouveau sous-traitant pour des raisons légitimes, vous pouvez :

• Nous écrire dans les 30 jours suivant la notification pour exprimer votre opposition (hello@example.com)
• Résilier votre abonnement sans frais ni pénalité durant cette période, avec récupération complète de vos données par export CSV ou PDF avant suppression

Cette garantie est inscrite dans nos Conditions générales d'utilisation.

7. Questions et contact

• Pour exercer un droit Loi 25 ou RGPD : hello@example.com
• Pour une question contractuelle : voir nos CGU
• Pour comprendre où sont vos données : voir Hébergement et résidence

Cette page est mise à jour manuellement à chaque changement de sous-traitant. Sa dernière révision est datée en haut. Si vous voyez une incohérence avec votre expérience produit, écrivez-nous immédiatement.