Qui traite des données pour nous, ce qu'ils reçoivent et où.
Dernière mise à jour : 2026-09-27
Un sous-traitant ultérieur est une entreprise à laquelle nous faisons appel pour faire fonctionner Proposal Expert et qui traite des données personnelles de nos clients et de leurs clients. Cette page en est la liste complète, et nous la tenons à jour. Notre page sécurité et notre politique de confidentialité y renvoient toutes les deux.
Comment les fonctionnalités d'IA utilisent votre contenu
Les fonctionnalités d'IA comme AI Write, les brouillons IA, la notation et l'analyse envoient le texte sur lequel elles travaillent à la Gemini API de Google. Ce texte peut contenir des données personnelles issues de votre proposition, comme des noms et coordonnées de clients. Rien n'est envoyé tant que personne n'utilise une fonctionnalité d'IA. Google traite le texte en tant que notre sous-traitant ultérieur. Nous n'utilisons pas votre contenu pour entraîner des modèles d'IA. Si votre espace de travail utilise sa propre clé d'IA, la rédaction par IA est envoyée au fournisseur que vous avez choisi. La notation et la traduction du chat utilisent toujours Gemini.
Les sous-traitants ultérieurs auxquels nous faisons appel
Ces entreprises traitent des données personnelles pour notre compte afin de faire fonctionner le service.
Railway
Hébergement de l'application, des tâches en arrière-plan et de la base de données.
Données: Tout ce qui est stocké dans le service : comptes, propositions avec noms et coordonnées des clients, et journaux
Localisation: UE (Amsterdam, Pays-Bas)
Garantie de transfert: Clauses contractuelles types
Quand: Toujours
Cloudflare
Diffusion de contenu, protection DDoS et pare-feu web devant le site, ainsi que stockage de nos sauvegardes externes de la base de données. Nous chiffrons les sauvegardes avant l'envoi, Cloudflare ne peut donc pas les lire.
Données: Adresses IP et données de requête de chaque visite, en transit. Sauvegardes chiffrées de la base de données
Localisation: Réseau mondial
Garantie de transfert: Data Privacy Framework UE-États-Unis et clauses contractuelles types
Quand: Toujours
Resend
Envoi d'e-mails : codes de connexion, propositions partagées, demandes de signature et notifications.
Données: Nom et adresse e-mail du destinataire, et contenu de l'e-mail
Localisation: États-Unis
Garantie de transfert: Clauses contractuelles types
Quand: Toujours
Google (Gemini API)
Fonctionnalités d'IA : rédaction, brouillons, notation, analyse et traduction des messages du chat d'assistance.
Données: Le texte envoyé à une fonctionnalité d'IA, qui peut inclure des noms et coordonnées de clients
Localisation: UE ou États-Unis, selon ce que permettent les conditions de Google
Garantie de transfert: Data Privacy Framework UE-États-Unis et clauses contractuelles types
Quand: Uniquement quand quelqu'un utilise une fonctionnalité d'IA
Stripe
Facturation des abonnements et factures. Les données de carte vont directement à Stripe et n'atteignent jamais nos serveurs.
Données: Nom, adresse e-mail, espace de travail et formule
Localisation: UE et États-Unis
Garantie de transfert: Data Privacy Framework UE-États-Unis et clauses contractuelles types
Quand: Uniquement pour les abonnements payants
Slack
Alertes de sécurité et d'exploitation à destination de notre propre équipe.
Données: Adresses e-mail et adresses IP dans les alertes de sécurité
Localisation: États-Unis
Garantie de transfert: Data Privacy Framework UE-États-Unis et clauses contractuelles types
Quand: Toujours
Autres services avec des données limitées
Ces services ne reçoivent qu'une adresse IP ou une adresse d'entreprise, généralement parce qu'un navigateur charge directement chez eux une police, une carte ou une vidéo.
Google Ads
Mesure des inscriptions issues de nos annonces.
Données: Adresse IP et visite de page. Sans votre consentement, la balise fonctionne sans cookies.
Localisation: Réseau mondial
Garantie de transfert: Data Privacy Framework UE-États-Unis et clauses contractuelles types
Quand: Site public uniquement, jamais sur les propositions partagées
OpenStreetMap (Nominatim)
Conversion des adresses d'entreprise en coordonnées cartographiques.
Données: Adresses d'entreprise
Localisation: Voir les conditions du fournisseur
Garantie de transfert: Voir les conditions du fournisseur
Quand: Uniquement lors de l'utilisation d'une carte ou d'une recherche d'adresse
CARTO
Tuiles cartographiques dans les vues de carte.
Données: Adresse IP du navigateur
Localisation: Voir les conditions du fournisseur
Garantie de transfert: Voir les conditions du fournisseur
Quand: Uniquement lors de l'utilisation d'une carte ou d'une recherche d'adresse
YouTube, Vimeo, Loom
Vidéos intégrées dans une proposition. YouTube se charge en mode de confidentialité renforcée et Vimeo avec do-not-track.
Données: Adresse IP du navigateur
Localisation: Voir les conditions du fournisseur
Garantie de transfert: Voir les conditions du fournisseur
Quand: Uniquement si une proposition contient une telle vidéo
Giphy
Une image animée dans certains e-mails d'accueil, chargée par le logiciel de messagerie.
Données: Adresse IP du navigateur
Localisation: États-Unis
Garantie de transfert: Voir les conditions du fournisseur
Quand: Toujours
Intégrations que vous activez
Ces services ne reçoivent des données qu'après qu'un administrateur de l'espace de travail les a connectés. Votre espace de travail les choisit et décide de ce qui est partagé. Votre propre contrat avec le fournisseur s'applique.
Prestataires de paiement: Stripe Connect, Mollie, Adyen, PayPal
Notifications: Slack, Microsoft Teams
Automatisation et webhooks: Zapier, Make
Votre propre clé d'IA: OpenAI, Anthropic, Google
Authentification unique (SSO): SAML 2.0
Services qui ne reçoivent aucune donnée personnelle
Par souci d'exhaustivité, voici les autres services avec lesquels la plateforme communique. Aucun d'entre eux ne reçoit de données personnelles.
Google Fonts: Polices dans l'éditeur, dans les kits de marque et dans les propositions partagées. Notre serveur les récupère chez Google et les sert depuis notre propre domaine. Ni votre navigateur ni celui de vos destinataires ne contactent jamais Google.
FreeTSA (freetsa.org): Horodatages de confiance (RFC 3161) pour les signatures et le journal d'audit. Seul un hachage SHA-256 est envoyé, jamais le document.
timeapi.io: Une horloge de secours pour les signatures lorsque le service d'horodatage ne répond pas.
Have I Been Pwned: Vérification de la présence d'un nouveau mot de passe dans des fuites de données connues. Seuls les cinq premiers caractères d'un hachage du mot de passe sont envoyés.
FingerprintJS (open source): Une bibliothèque qui s'exécute dans le navigateur pour empêcher les abus de comptes gratuits. Rien n'est envoyé à FingerprintJS. Nous ne conservons qu'un hachage du résultat.
Unsplash, Pexels: Recherche de photos dans des banques d'images. Notre serveur n'envoie que le terme de recherche.
Web Push: Envoi des notifications push auxquelles vous vous êtes abonné. Le contenu est chiffré de bout en bout.
Frankfurter: Taux de change de la Banque centrale européenne.
FireHOL, Tor Project, IPsum: Listes d'adresses IP malveillantes que nous téléchargeons. Rien n'est envoyé.
Modifications de cette liste
Nous mettons cette page à jour avant qu'un nouveau sous-traitant ultérieur ne commence à traiter des données personnelles. Les clients ayant signé un accord de traitement des données (DPA) en sont informés à l'avance par e-mail et peuvent s'y opposer.
Accord de traitement des données
Vous utilisez Proposal Expert pour des données personnelles de vos clients ? Un accord de traitement des données (DPA) conforme à l'article 28 du RGPD est disponible sur demande. Nous vous l'envoyons pour relecture et signature. Il renvoie à cette liste de sous-traitants ultérieurs.