Sous-traitants de CiaoAlfred
Version 2026-11-02.1 · Mise à jour le 2 novembre 2026
Liste publique, datée et versionnée, des sous-traitants auxquels NOVIAMIND fait appel pour CiaoAlfred, avec leur pays, leur fonction, la conservation, l’usage ou non des données pour l’entraînement d’une IA et le mécanisme encadrant tout transfert hors de l’Espace économique européen (RGPD art. 28 et 44 à 46). L’espace standard et l’espace professionnel (avocats, notaires, experts-comptables) n’ont pas les mêmes fournisseurs.
Dans cette page
| Sous-traitant | Pays | Fonction | Conservation | Entraînement d’IA | Transfert hors EEE et mécanisme |
|---|---|---|---|---|---|
| Google Cloud (Google Cloud EMEA Limited, Irlande ; Google LLC, États-Unis) | Belgique, région europe-west1 | Hébergement de l’application (Cloud Run), tâches techniques, secrets, sauvegardes chiffrées (Cloud Storage), journaux techniques | Données : tant que le compte existe. Sauvegardes : 30 jours, puis 7 jours de récupération. Journaux techniques : durée limitée | Non | Stockage et traitement en UE. Google LLC est soumise au droit des États-Unis (CLOUD Act, FISA 702) : clauses contractuelles types de la Commission européenne intégrées au Google Cloud Data Processing Addendum ; inscription de Google LLC au Data Privacy Framework UE–États-Unis à vérifier sur le registre officiel |
| Vertex AI / Google Search / Google Maps | Point multirégion UE pour les modèles ; conditions propres aux services de recherche | Google Vertex AI — conversation, outils, synthèses, tri des emails, qualification des relations, lecture de documents, transcription, conversation vocale en direct (Gemini Live), regroupement des informations, habitudes, fiches contacts et suivis, au point multirégion UE configuré. Google Search et Maps reçoivent la demande nécessaire à une consultation publique autorisée. | Vertex AI : requêtes non conservées après leur traitement ; copie temporaire en mémoire chez Google (cache), dans l’UE, 24 h au plus, pour accélérer les réponses. Search et Maps : selon les conditions de Google | Non pour Vertex AI (engagement de Google Cloud, cache compris) | À vérifier |
| Google Vertex AI — Veo et Lyria (Google LLC) | États-Unis, région us-central1 | Studio créatif : vidéos et musiques générées, utilisées par défaut, désactivables dans Intégrations → Studio créatif | Selon les conditions Google Cloud pour Vertex AI (à vérifier) | Non (engagement de Google Cloud) | Oui, vers les États-Unis : clauses contractuelles types et cadre UE-États-Unis |
| fal.ai (Features and Labels, Inc.) | États-Unis | Studio créatif : avatar qui parle (modèle Kling), à partir d’une photo et d’une voix enregistrées avec le consentement exprès de la personne | À vérifier | À vérifier | Oui, vers les États-Unis : mécanisme à vérifier |
| Google Cloud SQL et Cloud Run | Belgique, région europe-west1 | Base de données de l’application (Cloud SQL, PostgreSQL) et exécution du service (Cloud Run) | Tant que le compte existe ; sauvegardes selon la ligne Google Cloud | Non | Même mécanisme que Google Cloud : stockage et traitement en UE, clauses contractuelles types du Google Cloud Data Processing Addendum |
| Google Identity Platform et Google reCAPTCHA | Service mondial de Google ; localisation à vérifier | Connexion par code SMS ou lien email (Google envoie le SMS) ; contrôle anti-robot reCAPTCHA de la page de connexion | Identité de connexion : tant que le compte existe ; reCAPTCHA : selon Google | Non pour Identity Platform ; reCAPTCHA : à vérifier | Identity Platform : mécanisme de Google Cloud ; reCAPTCHA : règles de confidentialité et conditions de Google, transfert hors UE possible, à vérifier |
| WAHA (moteur WhatsApp auto-hébergé par NOVIAMIND sur Google Cloud) | Belgique, Google Cloud europe-west1 | « Mon WhatsApp » (pilote) : appareil associé à votre WhatsApp personnel, lecture des conversations choisies, jamais d’envoi | Session de l’appareil associé jusqu’à sa dissociation ; identifiants des messages lus : 30 jours | Non | Aucun prestataire supplémentaire : logiciel exploité par NOVIAMIND sur Google Cloud en Belgique ; WhatsApp (Meta) reste le service de votre compte personnel |
| Supabase (Supabase Inc., États-Unis ; données en Irlande, région eu-west-1) | Irlande, UE | Ancienne base de données et authentification : copie de sécurité conservée temporairement depuis le passage à Google Cloud | Conservation temporaire jusqu’à la suppression de cette copie | Non | Hébergement en UE ; société mère américaine : clauses contractuelles types de l’accord de traitement Supabase (signature de l’accord à vérifier) |
| OpenAI (OpenAI, L.L.C. et OpenAI Ireland Ltd) | États-Unis, point de terminaison mondial | OpenAI — ancien pilote arrêté : aucune nouvelle génération, transcription ou session. Seuls la lecture de statut, l’arrêt et la suppression des anciennes sessions restent possibles jusqu’à confirmation de leur nettoyage. | Rétention de sécurité jusqu’à 30 jours selon le service (store=false) ; sessions Agents jusqu’à leur suppression confirmée ; état local 7 jours | Non (données d’API non utilisées pour l’entraînement) | Transfert vers les États-Unis : clauses contractuelles types de l’accord de traitement OpenAI (à vérifier) ; aucun traitement exclusivement dans l’UE revendiqué |
| Google Gemini TTS | Union européenne (point multirégion « eu » de Cloud Text-to-Speech) | Google Gemini 2.5 Pro TTS, secours Chirp 3 HD (Cloud Text-to-Speech, point UE) — synthèse vocale : le texte de la réponse ou du point du jour est envoyé pour être lu. Les nouveaux vocaux sont transcrits par Google. | À vérifier | À vérifier | À vérifier |
| Vercel (Vercel Inc., États-Unis) | Irlande, UE | Navigateur temporaire isolé, sur demande, pour lire un site configuré | Sessions temporaires sans cookies persistants ; résultats supprimés sous 7 jours | Non | Traitement en UE ; société mère américaine : clauses contractuelles types |
| GitHub (GitHub, Inc., États-Unis) | États-Unis | Anciennes sauvegardes chiffrées, remplacées le 12 octobre 2026 par Google Cloud en Belgique | Expiration automatique au plus tard le 11 novembre 2026 ; aucune nouvelle sauvegarde | Non | Fichiers chiffrés avant envoi, clé privée conservée séparément ; clauses contractuelles types |
| Services de notification des navigateurs (Apple, Google, Mozilla, Microsoft) | Variable | Notifications, si vous les activez ; le message ne contient aucun détail | Selon chaque service | Non | Aucun contenu transmis |
| Twilio (Twilio Inc., États-Unis ; Twilio Ireland Limited) | États-Unis et Irlande | Codes de vérification par SMS ; selon le raccordement actif, transport des messages WhatsApp | Journaux d’envoi du fournisseur, durée limitée | Non | Transfert vers les États-Unis : clauses contractuelles types et règles d’entreprise contraignantes de Twilio (accord de traitement à vérifier) |
| Meta / WhatsApp (WhatsApp Ireland Limited ; Meta Platforms, Inc.) | Centres de Meta, dont hors UE ; stockage local en UE (Allemagne) non activé | Canal WhatsApp, si vous l’activez : messages, vocaux et métadonnées, via l’API Cloud (ou via Twilio selon le raccordement) | Messages : 30 jours au plus pour les retransmissions ; identifiants supprimés dans les 30 jours | Non : Meta agit pour le compte de l’entreprise (conditions de traitement WhatsApp Business, section 5) | Pas de traitement exclusivement dans l’UE ; Meta déchiffre les messages au point de traitement ; transferts couverts par le WhatsApp Business Data Transfer Addendum (contenu à vérifier) |
| Resend (Resend Inc., États-Unis ; envoi depuis la région eu-west-1) | Irlande, UE ; société américaine | Emails de connexion, de sécurité et alertes discrètes | Journaux d’envoi du fournisseur, durée limitée | Non | Envoi depuis l’UE ; société mère américaine : clauses contractuelles types de l’accord de traitement Resend (signature à vérifier) |
| Cloudflare Turnstile (Cloudflare, Inc., États-Unis) | Réseau mondial | Contrôle anti-robot des formulaires publics et de la connexion (jeton du contrôle et adresse IP) | Durée limitée chez le fournisseur | Non | Clauses contractuelles types |
| Open-Meteo (open-meteo.com) | À vérifier | Point du jour : position de la ville choisie (géocodée une fois, arrondie à 0,01°) et prévisions météo | Aucune conservation par CiaoAlfred au-delà d’un cache d’une heure | Non applicable : aucune donnée personnelle envoyée | Ni nom, ni adresse email, ni contenu ; seule l’adresse IP du serveur est transmise |
| Flux RSS et Atom publics d’éditeurs de presse | Pays de chaque éditeur | Point du jour : lecture de titres et de liens d’actualité selon vos centres d’intérêt | Cache de 30 minutes ; titres et liens seulement | Non applicable : aucune donnée personnelle envoyée | Lecture publique sans identité ; seule l’adresse IP du serveur est transmise |
| Sources officielles : EUR-Lex (Office des publications de l’UE), BOE (Espagne), Normattiva (Italie) | UE (Luxembourg), Espagne, Italie | Recherche et lecture de textes juridiques publics, à votre demande | Aucune conservation par CiaoAlfred au-delà d’un cache d’une heure | Non applicable : aucune donnée personnelle envoyée | Aucun transfert hors EEE ; seuls les mots de la recherche ou la référence du texte sont envoyés |
| Sous-traitant | Pays | Fonction | Conservation | Entraînement d’IA | Transfert hors EEE et mécanisme |
|---|---|---|---|---|---|
| Google Cloud (Google Cloud EMEA Limited, Irlande ; Google LLC, États-Unis) | Belgique, région europe-west1 | Hébergement de l’application (Cloud Run), tâches techniques, secrets, sauvegardes chiffrées (Cloud Storage), journaux techniques | Données : tant que le compte existe. Sauvegardes : 30 jours, puis 7 jours de récupération. Journaux techniques : durée limitée | Non | Stockage et traitement en UE. Google LLC est soumise au droit des États-Unis (CLOUD Act, FISA 702) : clauses contractuelles types de la Commission européenne intégrées au Google Cloud Data Processing Addendum ; inscription de Google LLC au Data Privacy Framework UE–États-Unis à vérifier sur le registre officiel |
| Vertex AI (Google Cloud), point multirégion « eu » | Union européenne | IA de l’espace professionnel : chat, synthèses de contacts et initiatives ; aucun repli vers un autre fournisseur | Requêtes non conservées après leur traitement ; copie temporaire en mémoire chez Google (cache), dans l’UE, 24 h au plus, pour accélérer les réponses | Non | Même mécanisme que Google Cloud ; aucun point de terminaison mondial ni hors UE. Disponible dans les espaces professionnels activés |
| Supabase (Supabase Inc., États-Unis ; données en Irlande, région eu-west-1) | Irlande, UE | Base de données et authentification du compte | Tant que le compte existe ; suppression à la fermeture du compte, sous réserve des sauvegardes (30 jours) | Non | Hébergement en UE ; société mère américaine : clauses contractuelles types de l’accord de traitement Supabase (signature de l’accord à vérifier) |
| Twilio (Twilio Inc., États-Unis ; Twilio Ireland Limited) | États-Unis et Irlande | Codes de vérification par SMS ; selon le raccordement actif, transport des messages WhatsApp | Journaux d’envoi du fournisseur, durée limitée | Non | Transfert vers les États-Unis : clauses contractuelles types et règles d’entreprise contraignantes de Twilio (accord de traitement à vérifier) |
| Resend (Resend Inc., États-Unis ; envoi depuis la région eu-west-1) | Irlande, UE ; société américaine | Emails de connexion, de sécurité et alertes discrètes | Journaux d’envoi du fournisseur, durée limitée | Non | Envoi depuis l’UE ; société mère américaine : clauses contractuelles types de l’accord de traitement Resend (signature à vérifier) |
| Cloudflare Turnstile (Cloudflare, Inc., États-Unis) | Réseau mondial | Contrôle anti-robot des formulaires publics et de la connexion (jeton du contrôle et adresse IP) | Durée limitée chez le fournisseur | Non | Clauses contractuelles types |
| Meta / WhatsApp (WhatsApp Ireland Limited ; Meta Platforms, Inc.) | Centres de Meta, dont hors UE ; stockage local en UE (Allemagne) non activé | Canal WhatsApp, si vous l’activez : messages, vocaux et métadonnées, via l’API Cloud (ou via Twilio selon le raccordement) — dans un espace professionnel : seulement si le cabinet l’active après un avertissement distinct ; aucun envoi sans confirmation du texte exact ; l’IA reste Vertex AI en UE | Messages : 30 jours au plus pour les retransmissions ; identifiants supprimés dans les 30 jours | Non : Meta agit pour le compte de l’entreprise (conditions de traitement WhatsApp Business, section 5) | Pas de traitement exclusivement dans l’UE ; Meta déchiffre les messages au point de traitement ; transferts couverts par le WhatsApp Business Data Transfer Addendum (contenu à vérifier) |
| Google Workspace ou compte Google du professionnel | Selon le contrat du professionnel avec Google | Gmail, Agenda et Drive, si le cabinet connecte son propre compte : lectures à sa demande, envoi après confirmation du texte exact | Selon le contrat du professionnel avec Google ; CiaoAlfred conserve les jetons chiffrés et les extraits demandés | Selon le contrat du professionnel avec Google | Google est ici le fournisseur du cabinet, pas un sous-traitant de NOVIAMIND ; l’IA qui lit ces extraits reste Vertex AI en UE |
| Open-Meteo (open-meteo.com) | À vérifier | Point du jour : position de la ville choisie (géocodée une fois, arrondie à 0,01°) et prévisions météo | Aucune conservation par CiaoAlfred au-delà d’un cache d’une heure | Non applicable : aucune donnée personnelle envoyée | Ni nom, ni adresse email, ni contenu ; seule l’adresse IP du serveur est transmise |
| Flux RSS et Atom publics d’éditeurs de presse | Pays de chaque éditeur | Point du jour : lecture de titres et de liens d’actualité selon vos centres d’intérêt | Cache de 30 minutes ; titres et liens seulement | Non applicable : aucune donnée personnelle envoyée | Lecture publique sans identité ; seule l’adresse IP du serveur est transmise |
| Sources officielles : EUR-Lex (Office des publications de l’UE), BOE (Espagne), Normattiva (Italie) | UE (Luxembourg), Espagne, Italie | Recherche et lecture de textes juridiques publics, à votre demande | Aucune conservation par CiaoAlfred au-delà d’un cache d’une heure | Non applicable : aucune donnée personnelle envoyée | Aucun transfert hors EEE ; seuls les mots de la recherche ou la référence du texte sont envoyés |
| Fournisseur | Fonction dans l’espace standard | Dans un espace professionnel |
|---|---|---|
| OpenAI (pilote) | OpenAI — ancien pilote arrêté : aucune nouvelle génération, transcription ou session. Seuls la lecture de statut, l’arrêt et la suppression des anciennes sessions restent possibles jusqu’à confirmation de leur nettoyage. | Fermé |
| OpenRouter et Amazon Web Services Bedrock | JEV (Typesafe), via OpenRouter — tri des emails et qualification des relations : fermé le 21 octobre 2026, remplacé par Google Vertex AI au point multirégion UE. Aucune nouvelle requête. | Fermé : remplacé par Vertex AI en UE |
| ElevenLabs | Dictée, messages vocaux, direct et vocal du point du jour | Fermé le 21 octobre 2026 : remplacé par Google dans l’Union européenne |
| Vercel | Navigateur isolé pour les sites configurés | Fermé |
| Clés d’agents externes (MCP) | Accès d’un agent externe aux sources officielles | Fermé |
| Dropbox, iCloud Mail / IMAP | Connecteurs présents mais inactifs | Fermé |
| Accès d’assistance par NOVIAMIND | Lecture d’une conversation avec votre accord | Fermé |
Notes
- Dans un espace professionnel, le cabinet est responsable du traitement des données de ses clients et NOVIAMIND agit comme sous-traitant, selon le contrat accepté dans Préférences → Confidentialité. La liste du contrat (article 6) reprend les sous-traitants qui traitent des données du cabinet ; Meta n’intervient que si le cabinet active WhatsApp ; Open-Meteo, les flux d’actualité et les sources officielles ne reçoivent aucune donnée du cabinet.
- L’espace professionnel utilise Vertex AI en UE après activation du régime professionnel.
- Lois extra-européennes applicables aux sociétés américaines citées : CLOUD Act (18 U.S.C. § 2713) et FISA section 702. Mesures : stockage et traitement en UE lorsque c’est indiqué, chiffrement, information du client en cas de demande d’une autorité.
- Tout ajout ou remplacement d’un sous-traitant de l’espace professionnel est annoncé au moins 30 jours à l’avance ; le cabinet peut s’y opposer selon le contrat.
- Cette page décrit les fournisseurs ; elle ne déclare ni CiaoAlfred ni NOVIAMIND conforme ou certifié. Relecture juridique indépendante non encore faite.
Disponibilité des connexions
iCloud Mail / IMAP : compte email relié volontairement dans l’espace standard, lecture et envoi confirmé via le fournisseur du compte. Ce fournisseur applique ses propres conditions ; localisation et conservation dépendent du compte. Connexion fermée dans l’espace professionnel. Dropbox, Slack et Outlook restent fermés en attente de configuration et qualification.
Conditions d’utilisation · Mentions légales · privacy@ciaoalfred.com