Sous-traitants ultérieurs
La liste des prestataires auxquels FORGE confie des traitements de données pour le compte de ses clients, avec leur finalité, leur localisation et leurs garanties.
Version 0.1 du 12 octobre 2026.
Cette page fait partie intégrante de l'Accord de traitement des données. Elle recense les sous-traitants ultérieurs (article 28.4 du RGPD) qui reçoivent ou traitent des données des clients pour permettre à FORGE de fournir le Service. Chacun est lié à FORGE par un accord de traitement imposant des obligations équivalentes à celles de l'Accord.
1. Sous-traitants situés dans l'Union européenne
| Sous-traitant | Finalité | Localisation des données | Garanties |
|---|---|---|---|
| Scaleway SAS | Hébergement principal : calcul, bases de données (fichiers compris), sauvegardes | France | Accord de traitement ; aucun transfert hors UE |
| Mistral AI | Modèles d'IA ; seul fournisseur de modèles en option « UE only » | France / UE | Accord de traitement ; pas d'entraînement sur les données transmises |
| Stripe Payments Europe | Paiement des packs de crédits, recharge automatique, factures | Irlande ; États-Unis pour certains traitements | Accord de traitement ; certification PCI DSS ; clauses contractuelles types |
2. Sous-traitants pouvant traiter des données hors de l'UE
| Sous-traitant | Finalité | Localisation des données | Garanties |
|---|---|---|---|
| Anthropic | Modèle d'IA par défaut pour l'exécution des agents | États-Unis | Accord de traitement ; Data Privacy Framework ou clauses contractuelles types ; pas d'entraînement sur les données API |
| OpenAI | Modèle de repli en cas d'indisponibilité ; petits modèles | États-Unis | Accord de traitement ; Data Privacy Framework ou clauses contractuelles types ; pas d'entraînement sur les données API |
| [prestataire d'e-mails transactionnels] | Invitations, alertes de solde, expiration des crédits, notifications de runs | États-Unis ou UE selon la région | Accord de traitement ; clauses contractuelles types |
| Lumiproxy | Proxy résidentiel, uniquement si la page ne peut être obtenue autrement (requête directe puis navigateur sans proxy) | Pays d'établissement : à compléter (conditions générales régies par le droit de Hong Kong ; données de compte déclarées stockées en Chine continentale) ; sorties dans le pays du site consulté | À compléter : accord de traitement et clauses contractuelles types à conclure, aucune décision d'adéquation ; réseau fondé sur le consentement des participants |
| Slack | Envoi de notifications dans l'espace Slack du client, si l'intégration est installée | Selon la résidence des données de l'espace Slack du client | Accord de traitement ; Data Privacy Framework ou clauses contractuelles types |
Les transferts hors de l'EEE reposent sur une décision d'adéquation, dont le Data Privacy Framework UE–États-Unis pour les entités certifiées, ou sur les clauses contractuelles types de la décision (UE) 2021/914, complétées si nécessaire par une analyse d'impact des transferts.
3. Option « UE only »
- L'option « UE only », activable par un administrateur de l'organisation, restreint les fournisseurs de modèles à des fournisseurs hébergés dans l'UE (Mistral AI à ce jour), sans repli vers Anthropic ou OpenAI.
- Elle limite également les proxies et les sorties d'IP à des emplacements situés dans l'UE : Lumiproxy n'est alors pas utilisé.
- L'hébergement principal de la plateforme reste dans l'UE, que l'option soit activée ou non.
4. Ce que cette liste ne couvre pas
- Sources de données : les registres et services interrogés par les agents (API Sirene, INPI, Légifrance, BODACC, registre national des gels d'avoirs, moteurs de recherche) ne reçoivent que la requête nécessaire à la recherche. Tavily et Brave ne sont interrogés que si une clé est configurée.
- Fournisseurs du client : lorsque vous utilisez vos propres clés de modèles ou vos propres proxies, ces fournisseurs agissent dans le cadre de votre contrat avec eux.
- Outils auto-hébergés : l'orchestration, l'analytique produit, le pool de navigateurs interne et le métamoteur de recherche SearXNG (qui relaie la seule requête de recherche aux moteurs publics) fonctionnent sur l'infrastructure de notre hébergeur et ne sont pas des sous-traitants distincts.
- Prestataires non utilisés à ce jour : les services payants pris en charge par le code mais désactivés (navigateurs managés Browserbase, environnements d'exécution E2B, données Pappers, OpenSanctions, OpenCorporates) ne reçoivent aucune donnée ; leur activation suivrait la procédure de changement ci-dessous.
5. Changement de sous-traitant
- Tout ajout ou remplacement est annoncé au moins 30 jours à l'avance, par e-mail au propriétaire de chaque organisation et par la mise à jour de cette page.
- L'information précise le nom du sous-traitant, le service rendu, les données concernées, la localisation du traitement et la date prévue.
- Vous pouvez vous opposer au changement par écrit motivé à [privacy@domaine] pendant ce délai, dans les conditions de l'Accord de traitement des données.
- En cas d'urgence liée à la sécurité ou à la continuité du Service, le préavis peut être réduit ; vous en êtes informé au plus vite et conservez votre droit d'opposition.
Une question sur ces documents ? Écrivez à l'adresse indiquée dans les mentions légales.