Sous-traitants et sous-sous-traitants
Prestataires tiers qui traitent des données pour notre compte
Version 1.5 · Dernière mise à jour : 17 août 2026
Version juridiquement contraignante
La version allemande de ce document fait foi sur le plan juridique. Les traductions dans d’autres langues sont fournies uniquement pour des raisons de commodité ; en cas de divergence ou de contradiction, la version allemande prévaut.
Conformément à l’article 28 du RGPD et à la loi fédérale suisse sur la protection des données (LPD), nous divulguons les prestataires tiers auxquels CHW-Services GmbH fait appel pour fournir le service preparAItor. Chaque prestataire a été soigneusement sélectionné et est lié par un contrat de sous-traitance répondant à nos exigences de sécurité et de conformité.
Cette liste couvre à la fois les sous-traitants (lorsque nous agissons en tant que responsable du traitement pour les utilisateurs finaux) et les sous-sous-traitants (lorsque nous agissons en tant que sous-traitant pour des clients professionnels avec avenant relatif au traitement des données). Les obligations prévues par l’article 28 du RGPD et l’article 9 de la LPD s’appliquent par analogie dans les deux cas.
| Sous-traitant | Finalité | Catégories de données | Localisation |
|---|---|---|---|
| Google LLC (Firebase) | Authentification, base de données (Firestore), stockage de fichiers, App Check | Données de compte, contenu du CV, documents générés, données d’utilisation | europe-west6 (Zurich, Suisse) |
| Google LLC (Vertex AI / Gemini) | Génération de documents par IA, analyse de contenu, ancrage web pour l’enrichissement d’entreprise, entraînement aux entretiens (y compris le traitement transitoire de données audio lors des sessions d’entretien vocal ; les enregistrements vocaux ne sont pas conservés, seules les transcriptions chiffrées le sont). Google n’utilise pas les données clients pour entraîner ses modèles. | Contenu du CV, offres d’emploi, données d’entreprise, audio d’entretien (transitoire) et transcriptions | Union européenne — multirégion UE de Google Cloud (uniquement des régions situées dans des États membres de l’UE) |
| Google LLC (Cloud KMS) | Gestion des clés de chiffrement pour le chiffrement au niveau des champs de données sensibles | Clés de chiffrement uniquement (aucune donnée personnelle) | europe-west6 (Zurich, Suisse) |
| Google LLC (Cloud Run) | Génération de documents PDF/DOCX et traitements lourds | Contenu du document pendant la génération | europe-west6 (Zurich, Suisse) |
| Google LLC (reCAPTCHA Enterprise) | Détection de bots et prévention de la fraude via Firebase App Check sur chaque requête API | Adresse IP, empreinte de l’appareil, signaux d’interaction | Infrastructure mondiale — garanties de transfert : DPA Google Cloud avec CCT |
| Stripe, Inc. | Traitement des paiements pour les achats uniques de crédits, gestion des webhooks | Données de paiement, adresse de facturation, identifiant client, métadonnées de transaction | Centres de données européens (principal), avec repli vers les États-Unis |
| Resend (Resend, Inc.) | Envoi d’e-mails transactionnels (confirmation de compte, réinitialisation de mot de passe, notifications de facturation, notifications de documents prêts) | Adresse e-mail, nom d’affichage, contenu de l’e-mail | États-Unis — garanties de transfert : clauses contractuelles types pour les transferts depuis l’EEE, le Royaume-Uni et la Suisse |
| Microsoft Corporation | Synchronisation des fichiers avec OneDrive (facultatif, uniquement lorsque l’utilisateur connecte explicitement son compte OneDrive) | Documents générés, jetons OAuth (chiffrés) | Centres de données européens (principal) |
| Google LLC (Google Drive) | Synchronisation des fichiers avec Google Drive (facultatif, uniquement lorsque l’utilisateur connecte explicitement son compte Google) | Documents générés, jetons OAuth (chiffrés) | Région du Google Drive de l’utilisateur — garanties de transfert : DPA Google Cloud avec CCT |
| Cloudflare, Inc. | Mesure d’audience agrégée et sans cookie, uniquement sur notre site vitrine public (preparaitor.ch) — pages vues, sites référents et pays approximatif. N’utilise aucun cookie de mesure d’audience ni identifiant client persistant ; ne réalise aucune empreinte numérique ni aucun suivi d’un site à l’autre. N’est pas chargée par l’application sur app.preparaitor.ch. | Informations techniques nécessaires au traitement de la requête, y compris l’adresse IP ; adresse de la page, site référent, pays approximatif, type de navigateur et d’appareil | États-Unis — garanties de transfert : certifications de Cloudflare au titre du Data Privacy Framework, avec les clauses contractuelles types à titre subsidiaire |
| PostHog, Inc. | Mesure produit agrégée et sans cookies au sein de l’application (app.preparaitor.ch) — combien de personnes atteignent chaque étape, sur quel type d’appareil et depuis quelle campagne. Ne dépose aucun cookie, n’écrit rien dans le stockage du navigateur et ne conserve aucun identifiant persistant ; aucun enregistrement de session, aucun profilage, aucun suivi d’un site à l’autre. Le comptage repose sur une empreinte irréversible calculée sur les serveurs de PostHog avec un secret renouvelé chaque jour puis supprimé. Jamais reliée à un compte : ni nom, ni adresse e-mail, ni identifiant d’utilisateur, ni contenu de CV ou d’annonce n’est transmis. Désactivable dans les Paramètres. | Informations techniques nécessaires au traitement de la requête, y compris l’adresse IP (écartée une fois l’empreinte quotidienne calculée, jamais conservée) ; adresse de la page, site référent, navigateur, système d’exploitation, type d’appareil et taille d’écran ; langue de l’interface ; paramètres de campagne ; nom de l’étape produit atteinte | Union européenne (Francfort) — hébergé sur PostHog Cloud EU. PostHog, Inc. est une société américaine ; garanties de transfert : clauses contractuelles types au titre de son accord de traitement des données |
| Google LLC (Google Ads) | Mesure des conversions publicitaires. Concerne uniquement les visiteurs qui nous rejoignent en cliquant sur l’une de nos annonces Google. Google ajoute un identifiant de clic à l’adresse d’arrivée ; si un compte est ensuite créé, nous conservons cet identifiant et signalons ultérieurement à Google qu’une inscription, puis une première génération de documents, ont eu lieu. Le signalement se fait de serveur à serveur : aucun pixel publicitaire, aucune balise et aucun cookie ne sont utilisés, et rien n’est stocké ni lu sur l’appareil du visiteur. | Identifiant de clic publicitaire Google (GCLID/GBRAID/WBRAID) et paramètres de campagne, ainsi que la survenance, l’horodatage et la valeur attribuée à un événement de conversion. Aucun nom, adresse e-mail, CV, donnée d’offre d’emploi ni contenu de compte n’est transmis. | États-Unis — garanties de transfert : Google LLC est certifiée au titre du cadre de protection des données UE-États-Unis et de ses extensions suisse et britannique, avec les clauses contractuelles types à titre subsidiaire |
Garanties de transfert
- • Clauses contractuelles types (CCT) conclues avec tous les prestataires, le cas échéant
- • Contrats de sous-traitance (DPA) conclus avec chaque prestataire
- • Chiffrement en transit (HTTPS/TLS) et au repos
- • Chiffrement au niveau des champs via Google Cloud KMS pour les données personnelles sensibles
- • Localisation des données dans des centres de données européens lorsque cela est techniquement possible
- • Audits réguliers de sécurité et de conformité
- • Analyse d’impact des transferts (TIA) réalisée pour tous les flux transfrontaliers selon les exigences Schrems II
- • Aucune mesure d’audience basée sur les cookies ni aucun suivi d’un site à l’autre (pas de Google Analytics, pas de SDK de suivi des erreurs, pas de pixels marketing ni de balises publicitaires). Il existe trois formes de mesure, dont aucune ne stocke ni ne lit quoi que ce soit sur l’appareil du visiteur : un comptage agrégé et sans cookie des visites de notre site vitrine public, qui n’identifie pas les visiteurs et ne réalise aucune empreinte numérique ; une mesure produit agrégée et sans cookies au sein de l’application, qui ne conserve aucun identifiant persistant, n’est jamais reliée à un compte et peut être désactivée dans les Paramètres ; et une mesure des conversions publicitaires côté serveur, qui signale une inscription à Google Ads au moyen de l’identifiant de clic que Google a lui-même ajouté à l’adresse d’arrivée, et uniquement pour les visiteurs venus via l’une de nos annonces
- • Conformité à la LPD suisse et au RGPD de l’UE
Historique des modifications
- 17 août 2026—Version 1.5 — Ajout de PostHog, Inc. en tant que sous-traitant pour la mesure produit agrégée et sans cookies au sein de l’application, hébergée dans l’Union européenne. La mention indiquant qu’aucune mesure d’audience n’a lieu dans l’application a été modifiée en conséquence ; nous confirmons toujours qu’aucune analyse basée sur les cookies, sur des profils ou sur un suivi d’un site à l’autre n’est utilisée, que rien n’est stocké ni lu sur votre appareil à des fins de mesure, et que celle-ci peut être désactivée dans les Paramètres.
- 31 juillet 2026—Version 1.4 — Ajout de Google LLC (Google Ads) comme destinataire pour la mesure des conversions publicitaires. Lorsqu’un visiteur nous rejoint en cliquant sur l’une de nos annonces Google, l’identifiant de clic que Google place dans l’adresse d’arrivée est conservé avec le compte créé et signalé à Google afin d’enregistrer l’inscription. Aucun pixel publicitaire, balise ou cookie n’est introduit et rien n’est stocké ni lu sur l’appareil du visiteur ; le signalement est effectué de serveur à serveur et ne comporte ni nom, ni adresse e-mail, ni CV, ni donnée d’offre d’emploi, ni contenu de compte. La mention relative aux garanties de transfert a été modifiée en conséquence.
- 27 juillet 2026—Version 1.3 — Postmark (AC PM LLC) a été remplacé par Resend, Inc. comme prestataire d’e-mails transactionnels. L’envoi des e-mails continue d’avoir lieu aux États-Unis ; les catégories de données traitées restent inchangées. Resend, Inc. est certifié au titre du cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) et de son extension britannique ; les transferts depuis la Suisse et l’EEE sont en outre encadrés par des clauses contractuelles types.
- 21 juillet 2026—Version 1.2 — Brevo SAS a été remplacé par Postmark (AC PM LLC) comme prestataire d’e-mails transactionnels ; l’envoi des e-mails a désormais lieu aux États-Unis et non plus dans l’Union européenne. Ajout de Cloudflare, Inc. en tant que sous-traitant pour la mesure d’audience agrégée et sans cookie de notre site vitrine public. La mention relative aux garanties de transfert a été modifiée en conséquence : nous n’indiquons plus qu’aucun service de mesure d’audience n’est utilisé, mais confirmons qu’aucune mesure d’audience basée sur les cookies ni aucun suivi d’un site à l’autre n’est utilisé.
- 26 avril 2026—Version 1.1 — Clarification du rôle responsable du traitement vs. sous-traitant. Précision indiquant que les données audio des entretiens vocaux sont traitées de manière transitoire par Vertex AI et ne sont pas conservées. Ajout d’une mention explicite indiquant qu’aucun service d’analyse ou de télémétrie n’est utilisé.
- 10 avril 2026—Version 1.0 — Publication initiale.
Pour toute question concernant nos sous-traitants et sous-sous-traitants, pour demander un DPA ou pour vous opposer à des changements, contactez-nous à admin@preparaitor.ch.
Voir également : Politique de confidentialité · Conditions d’utilisation