Liste des sous-traitants

Cette liste présente les prestataires de services par l'intermédiaire desquels Nivorbit fait traiter des données à caractère personnel dans le cadre de la fourniture de Vardify. Les sous-traitants de la section 1 traitent les Données d'exploitation (données relatives aux salariés de l'Abonné) et sont soumis à l'article 5 de l'accord de traitement des données. Ceux de la section 2 traitent uniquement les données de compte et de contact dont Nivorbit est le responsable du traitement ; ces données sont décrites dans la politique de confidentialité.

Lorsque cette liste est modifiée, les Abonnés en sont informés au moins 30 jours avant l'entrée en vigueur de la modification (article 5.3 de l'accord de traitement des données).

1. Sous-traitants traitant les Données d'exploitation

• Hetzner Online GmbH — Service : hébergement des serveurs, de la base de données et des sauvegardes · Données traitées : toutes les Données d'exploitation et les données de compte · Localisation : UE, Falkenstein (Allemagne) · Mécanisme de transfert : aucun (au sein de l'UE)
• Hetzner Online GmbH (Object Storage) — Service : stockage des documents, des photos et des copies de sauvegarde chiffrées · Données traitées : documents du personnel, arrêts maladie et photos joints, photos de profil, sauvegardes chiffrées de la base de données · Localisation : UE, Falkenstein (Allemagne) · Mécanisme de transfert : aucun (au sein de l'UE)
• Google Ireland Ltd. / Google LLC (Firebase Cloud Messaging) — Service : envoi de notifications mobiles · Données traitées : jeton de notification de l'appareil, titre et texte de la notification · Localisation : UE / États-Unis · Mécanisme de transfert : clauses contractuelles types ; cadre de protection des données UE-États-Unis tant que la certification est valide
• Resend — Service : envoi d'e-mails de notification et d'e-mails transactionnels · Données traitées : nom et adresse e-mail du destinataire, contenu de l'e-mail · Localisation : siège aux États-Unis ; infrastructure d'envoi dans l'UE (Irlande) · Mécanisme de transfert : clauses contractuelles types (art. 46, par. 2, point c))
• Functional Software, Inc. (Sentry) — Service : suivi des erreurs du serveur, du panneau web, de la borne et de l'application mobile · Données traitées : type d'erreur et trace de pile, version de l'application et de l'appareil, transitions de pages et adresses de requêtes précédant immédiatement l'erreur ; les noms, adresses e-mail et adresses IP ne sont pas transmis · Localisation : siège aux États-Unis ; données conservées dans l'UE (Allemagne) · Mécanisme de transfert : clauses contractuelles types ; cadre de protection des données UE-États-Unis tant que la certification est valide
• Google Ireland Ltd. / Google LLC (Google Analytics for Firebase) — Service : mesure de l'usage dans l'application mobile, uniquement si l'utilisateur l'a autorisée dans l'application · Données traitées : écrans consultés, noms des actions effectuées, identifiant opaque du compte, rôle et identifiant de l'établissement, version de l'appareil et de l'application ; l'identifiant publicitaire n'est pas lu · Localisation : UE / États-Unis · Mécanisme de transfert : clauses contractuelles types ; cadre de protection des données UE-États-Unis tant que la certification est valide
• Nivorbit Teknoloji Limited Şirketi (Nivorbit, Türkiye) — Service : exploitation et assistance du Service par le personnel propre du sous-traitant · Données traitées : ce que requiert un dossier d'assistance · Localisation : Türkiye · Mécanisme de transfert : clauses contractuelles types, module deux

Remarque sur le contenu des notifications. Le titre et le texte d'une notification transitent par l'infrastructure de Google et peuvent contenir des données à caractère personnel, telles que le nom d'un salarié ou l'horaire d'un poste. Les notifications peuvent être désactivées dans les paramètres de l'application ; une fois désactivées, aucune donnée n'emprunte ce canal.

2. Prestataires traitant les données de compte et de contact

• Google Ireland Ltd. / Google LLC (Google Maps Platform, Places API) — Service : recherche du nom de l'établissement lors de la création d'un établissement ou d'une succursale (la requête est envoyée depuis le serveur de Vardify) · Données traitées : texte de recherche, jeton de session, langue et code pays ; si l'autorisation de localisation a été accordée, la position de l'appareil afin de classer les résultats · Localisation : États-Unis · Mécanisme de transfert : clauses contractuelles types ; cadre de protection des données UE-États-Unis tant que la certification est valide
• Google Ireland Ltd. / Google LLC (Google Analytics) — Service : mesure de l'usage dans le panneau web et sur le site web, uniquement si les cookies d'analyse ont été autorisés · Données traitées : pages consultées, noms des actions effectuées, identifiant opaque du compte, rôle et identifiant de l'établissement, adresse IP tronquée, informations sur le navigateur · Localisation : UE / États-Unis · Mécanisme de transfert : clauses contractuelles types ; cadre de protection des données UE-États-Unis tant que la certification est valide
• Cloudflare, Inc. — Service : service de noms de domaine (DNS) pour vardify.com et redirection des e-mails envoyés aux adresses @vardify.com · Données traitées : adresse de l'expéditeur et contenu des e-mails qui nous sont adressés · Localisation : États-Unis · Mécanisme de transfert : clauses contractuelles types ; cadre de protection des données UE-États-Unis tant que la certification est valide

Cloudflare fournit uniquement le DNS et la redirection des e-mails ; le trafic du panneau web, de l'application mobile et de l'API ne transite pas par Cloudflare.

3. Parties qui ne sont pas des sous-traitants

Les parties suivantes ne sont pas des sous-traitants de Nivorbit. Pour le service qu'elles fournissent, elles sont des responsables du traitement indépendants ; Nivorbit n'est pas responsable de leurs traitements, et leurs propres politiques de confidentialité s'appliquent à vous.

• Google et Apple — Rôle : fournisseur d'identité (connexion à Vardify) · Pourquoi il ne s'agit pas d'un sous-traitant : ils vérifient votre identité au moyen de votre propre compte ; seules les informations d'identité vérifiées sont renvoyées à Nivorbit.
• Paddle.com Market Ltd — Rôle : revendeur en ligne et Merchant of Record pour les commandes d'abonnement · Pourquoi il ne s'agit pas d'un sous-traitant : Paddle vend en son nom propre et traite les données de paiement et de facturation en tant que responsable du traitement à part entière ; il n'a pas accès aux Données d'exploitation.
• Meta Platforms Ireland Ltd. — Rôle : mesure publicitaire (Meta Pixel), uniquement si les cookies de marketing ont été autorisés · Pourquoi il ne s'agit pas d'un sous-traitant : il traite les données du pixel selon ses propres conditions ; il n'a pas accès aux Données d'exploitation.
• Google (Google Maps), OpenStreetMap Foundation (images de cartes), komoot GmbH (recherche d'adresses Photon) — Rôle : affichage des cartes et recherche d'adresses dans le panneau web · Pourquoi il ne s'agit pas d'un sous-traitant : votre navigateur se connecte directement à ces services ; ils reçoivent votre adresse IP et votre requête de carte ou de recherche selon leurs propres conditions.
• Expert-comptable, commissaire aux comptes, conseil juridique — Rôle : obligations propres de Nivorbit · Pourquoi il ne s'agit pas d'un sous-traitant : ils portent sur les données de compte de Nivorbit ; ils n'ont pas accès aux Données d'exploitation.

4. Technologies utilisées et non utilisées

Les technologies suivantes ne sont délibérément pas utilisées :

• Données biométriques et reconnaissance faciale : catégorie particulière de données au titre de l'article 9 ; la vérification du pointage repose sur l'association de l'appareil, la position au moment du pointage, le réseau Wi-Fi de l'établissement, un code QR ou une étiquette NFC, et des signaux d'anomalie.
• Suivi de localisation en arrière-plan et continu : la position n'est relevée que lorsque l'application est ouverte et pendant l'action concernée.
• Identifiant publicitaire et suivi inter-applications : l'application mobile n'affiche aucune publicité et ne lit ni l'Android Advertising ID ni l'IDFA d'Apple.
• Relecture de session et captures d'écran : le suivi des erreurs et la mesure de l'usage ne réalisent ni enregistrements d'écran ni captures d'écran.
• Publicité personnalisée : les fonctionnalités publicitaires et les signaux Google sont désactivés dans Google Analytics.

Les technologies suivantes sont utilisées et décrites ci-dessus :

• Mesure de l'usage dans l'application mobile : avec Google Analytics for Firebase ; activée uniquement si l'utilisateur l'a autorisée lorsque l'application l'a demandé ou dans ses paramètres ; les noms, adresses e-mail et textes libres ne sont pas transmis.
• Cookies d'analyse et de marketing dans le panneau web et sur le site web : Google Analytics et Meta Pixel ; chargés uniquement avec consentement. Détails : politique en matière de cookies.