Registre des sous-traitants
Responsable du traitement : Loyable (entreprise individuelle belge, inscrite à la BCE sous le numéro BE 1019.446.640, Rue des Français 218D boîte 22, 4430 Ans, contact@loyable.be, +32 498 28 15 77) Base légale : Articles 28 et 30 du Règlement (UE) 2016/679 (RGPD) Date de mise à jour : 2026-07-07 Dernière revue annuelle : 2026-04-21 (prochaine : 2027-04)
Préambule méthodologique
Ce registre est tenu conformément à l'obligation de l'article 30 RGPD. Il est mis à disposition de l'Autorité de Protection des Données (APD belge) sur demande. Les sous-traitants listés ci-dessous ont été identifiés par croisement de cinq sources : dépendances déclarées dans package.json de chaque application, variables d'environnement .env.example, fichiers de configuration (app.json, eas.json, prisma/schema.prisma), greps d'imports et d'URL externes dans le code source, et revue des SDK natifs mobile (iOS entitlements, Android manifest).
1. Sous-traitants actuels
1.1 Infrastructure et plateforme
| # | Sous-traitant | Finalité | Données traitées | Localisation | DPA |
|---|---|---|---|---|---|
| 1 | Supabase Inc. (San Francisco, USA) | Base de données PostgreSQL, authentification (Supabase Auth), stockage de fichiers (avatars, pièces justificatives éventuelles du gagnant), fonctionnalités temps réel | Identité, e-mail, mot de passe haché (bcrypt), données de profil, montant de loyer déclaré, historique de points/tickets ; le cas échéant, tokens Open Banking chiffrés du seul gagnant du concours | Région UE AWS eu-central-1 (Francfort, Allemagne) | Supabase Data Processing Addendum — intégré aux Terms of Service |
| 2 | Render Inc. (San Francisco, USA) | Hébergement du backend applicatif NestJS | Toutes les données transitant par l'API (TLS 1.3) | Région UE (Francfort, Allemagne) | Render DPA — signature automatique lors de l'onboarding |
| 3 | Vercel Inc. (San Francisco, USA) | Hébergement de l'admin web (Next.js), de la waitlist, du portail marchand | Cookies de session, logs de requêtes, métriques de performance | Edge Network — traitement régionalisé UE | Vercel Data Processing Addendum |
1.2 Services bancaires et financiers
| # | Sous-traitant | Finalité | Données traitées | Localisation | DPA |
|---|---|---|---|---|---|
| 4 | Perspecteev SAS (« Bridge ») | Open Banking AIS — vérification ponctuelle du paiement du loyer du seul gagnant du concours, au moment de la réclamation du Prix (aucune détection du loyer des autres utilisateurs, aucune connexion bancaire à l'inscription) | IBAN masqué du gagnant, transactions lues en mémoire (3 mois, non persistées côté Bridge), identifiant technique de connexion, tokens d'accès (expirant à 180 jours, EBA RTS) — résultat binaire + horodatage + id de session archivés côté Loyable ; lecture non conservée | France (UE) — AISP agréé ACPR n° 16918P | Bridge DPA — signé via contrat SO/1084 |
| 5 | Stripe Payments Europe Ltd (Dublin, Irlande) | Facturation des Commerçants Partenaires (abonnements mensuels, webhooks, gestion des impayés) | Nom commerçant, e-mail, données de facturation, historique des paiements. Aucune donnée de locataire | Irlande (UE) | Stripe Services Agreement — DPA Addendum |
1.3 Messagerie et notifications
| # | Sous-traitant | Finalité | Données traitées | Localisation | DPA |
|---|---|---|---|---|---|
| 6 | Resend, Inc. (San Francisco, USA) | E-mails transactionnels (OTP d'authentification, confirmations, alertes) + campagnes waitlist + campagnes admin | Adresse e-mail, contenu du message, métadonnées de délivrabilité (open rate, bounces) | États-Unis (région EU disponible mais non activée à ce jour) | Resend DPA — à signer ; SCC module 2 + DPF |
| 7 | Expo Inc. (Palo Alto, USA) — Expo Push Notifications | Transmission des notifications push (nouveaux marchands partenaires, tentatives et résultats du concours) vers les canaux APNs (iOS) et FCM (Android) | Jeton Expo Push (ExponentPushToken), contenu de la notification | États-Unis | Expo Data Processing Addendum — DPF + SCC |
| 8 | Apple Distribution International Ltd (Cork, Irlande) | Livraison technique finale des notifications push sur iOS (APNs), en aval d'Expo | Jeton APNs, payload de notification | Irlande (UE) | Apple Developer Program License Agreement |
| 9 | Google Ireland Ltd (Dublin, Irlande) | Livraison technique finale des notifications push sur Android (Firebase Cloud Messaging), en aval d'Expo | Jeton FCM, payload de notification | Irlande (UE) | Google Cloud Data Processing and Security Terms |
1.4 Déploiement et observabilité
| # | Sous-traitant | Finalité | Données traitées | Localisation | DPA |
|---|---|---|---|---|---|
| 10 | Expo Inc. (Palo Alto, USA) — EAS Update | Livraison des mises à jour logicielles de l'app mobile (Over-The-Air) | Adresse IP du device, identifiant d'installation Expo. Aucune donnée de compte | États-Unis | Idem ligne 7 (Expo DPA global) |
| 11 | Functional Software Inc. (« Sentry ») (San Francisco, USA) | Monitoring d'erreurs et de performance (backend + mobile + admin + waitlist) | Traces d'erreur (stack traces, breadcrumbs), empreintes d'appareil, version OS, identifiant pseudonyme d'utilisateur | Région UE Sentry (tenant EU activé — entité juridique US) | Sentry DPA — DPF + SCC |
| 12 | Mapbox Inc. (Washington DC, USA) | Affichage des cartes et geocoding (app mobile, admin, waitlist) | Adresse IP utilisateur, coordonnées géographiques (centrage de carte), requêtes de geocoding d'adresses | États-Unis | Mapbox DPA — DPF + SCC |
1.5 Analytique produit et anti-fraude
| # | Sous-traitant | Finalité | Données traitées | Localisation | DPA |
|---|---|---|---|---|---|
| 13 | Vercel Inc. (San Francisco, USA) — Web Analytics & Speed Insights | Mesure d'audience anonymisée et cookieless (waitlist + portail marchand) — vues de page, temps de chargement, Web Vitals | Adresse IP (tronquée), URL, referrer, événements agrégés. Aucune identification directe | Edge Network Vercel (traitement régionalisé UE, entité juridique US) | Couvert par DPA Vercel global (ligne 3) |
| 14 | FingerprintJS, Inc. (Chicago, USA) | Détection de doublons lors de l'inscription à la liste d'attente (anti-abus) | Visitor ID (empreinte technique de navigateur, hash SHA-256), adresse IP | États-Unis | FingerprintJS DPA — DPF + SCC. Usage restreint à la waitlist (non utilisé dans l'app mobile) |
2. Fournisseurs d'authentification fédérée (responsables autonomes)
Les entités suivantes ne sont pas des sous-traitants de Loyable au sens de l'article 28 RGPD, mais des responsables autonomes au sens des Lignes directrices 07/2020 du Comité européen de la protection des données. Elles sont mentionnées ici pour transparence vis-à-vis des utilisateurs (exigence article 13.1 RGPD).
| Fournisseur | Rôle | Base juridique | Politique de confidentialité |
|---|---|---|---|
| Apple Distribution International Ltd (Cork, Irlande) | Sign in with Apple — authentification fédérée OAuth. Retourne à Loyable : adresse e-mail (éventuellement relais Apple) + identifiant technique | Contrat direct utilisateur ↔ Apple | Politique Apple |
| Google Ireland Ltd (Dublin, Irlande) | Sign in with Google — authentification fédérée OAuth. Retourne à Loyable : adresse e-mail + identifiant technique | Contrat direct utilisateur ↔ Google | Politique Google |
3. Mesures de sécurité communes
Tous les sous-traitants listés ci-dessus respectent au minimum :
- Chiffrement des données en transit : TLS 1.2 minimum, TLS 1.3 pour les connexions critiques (Bridge, Supabase)
- Chiffrement des données au repos : AES-256 (Supabase Vault pour les données sensibles, chiffrement disque chez Render et Vercel)
- Contrôle d'accès basé sur les rôles (RBAC), avec principe du moindre privilège
- Journalisation des accès administrateurs (audit logs Supabase, logs Render, audit trail Sentry)
- Notification de violation de données à Loyable dans un délai inférieur à 72 heures (obligation contractuelle DPA + article 33 RGPD)
- Pseudonymisation lorsque techniquement possible (Sentry user ID pseudonyme, FingerprintJS visitor ID haché)
4. Transferts hors de l'Union européenne
Sept sous-traitants reçoivent des données personnelles aux États-Unis dans le cadre de leurs prestations :
| Sous-traitant | Pays | Cadre juridique du transfert |
|---|---|---|
| Expo Inc. (Expo Push) | USA | DPF (certification active) + SCC module 2 |
| Expo Inc. (EAS Update) | USA | DPF + SCC module 2 |
| Resend, Inc. | USA | DPF (en cours de certification) + SCC module 2 |
| Mapbox Inc. | USA | DPF + SCC module 2 |
| Functional Software Inc. (Sentry) | USA (tenant technique EU) | DPF + SCC module 2 |
| FingerprintJS, Inc. | USA | DPF + SCC module 2 |
| Vercel Inc. | USA (traitement Edge régionalisé UE) | DPF + SCC module 2 |
Base juridique : décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 (Data Privacy Framework UE–USA) pour les sous-traitants certifiés DPF ; Clauses Contractuelles Types (décision d'exécution (UE) 2021/914 du 4 juin 2021, module responsable → sous-traitant) en couche subsidiaire ou cumulative.
Analyse d'impact des transferts (Transfer Impact Assessment) : documentée pour chaque sous-traitant US conformément aux exigences Schrems II (CJUE C-311/18 du 16 juillet 2020) et aux recommandations 01/2020 du CEPD. Disponible sur demande à privacy@loyable.be.
Tous les autres sous-traitants hébergent les données exclusivement dans l'Espace Économique Européen (EEE).
5. Sous-traitants historiques retirés
| Sous-traitant | Raison du retrait | Date |
|---|---|---|
| TrueLayer Ltd (UK) | Provider Open Banking PIS + AIS envisagé initialement — remplacé par Bridge (AIS only) suite à l'abandon du flux PIS | 2026-04 |
| Tink AB (Suède) | Alternative AIS évaluée — non retenue | 2026-04 |
| Mixpanel Inc. | Analytics produit prévu initialement — non intégré au code ; retiré de la politique de confidentialité | 2026-04-21 |
6. Obligations du responsable du traitement (Loyable)
- Informer les utilisateurs de l'existence de ces sous-traitants — fait via le §6.2 de la Politique de Confidentialité accessible depuis l'app mobile et depuis loyable.be/confidentialite.
- Vérifier annuellement que chaque sous-traitant maintient ses engagements RGPD et ses certifications (DPF notamment — consultable sur dataprivacyframework.gov).
- Mettre à jour ce registre à chaque ajout, modification ou retrait d'un sous-traitant.
- Conserver les DPA signés dans un espace sécurisé (Notion Workspace privé / dossier chiffré).
- Notifier l'APD (Autorité de Protection des Données belge) en cas de violation de données dans un délai de 72 heures (article 33 RGPD).
- Informer les utilisateurs en cas d'ajout d'un nouveau sous-traitant (article 28.2 RGPD + article 13 RGPD).
7. Contact et autorité de contrôle
Contact protection des données (Loyable) :
- E-mail : privacy@loyable.be
Autorité de contrôle compétente :
- Autorité de Protection des Données (APD / GBA)
- Rue de la Presse 35, 1000 Bruxelles
- https://www.autoriteprotectiondonnees.be
Document interne obligatoire au titre de l'article 30 RGPD. Mis à disposition de l'APD sur demande.