Liste des prestataires et sous-traitants
Services techniques utilisés, finalités, données concernées, garanties identifiées et points restant à valider.
1. Floot — infrastructure actuelle
- Services
- Hébergement de l’application, fonctions serveur, base PostgreSQL gérée, stockage opérationnel, logs et e-mails transactionnels Floot.
- Données
- Toutes les données transitant par l’application et la base si la plateforme est utilisée en production.
- Localisation déclarée
- États-Unis, selon la réponse adressée à RiseCraft le 4 mars 2026.
- DPA
- Non disponible, confirmé à nouveau le 4 août 2026.
- Statut RiseCraft
- Bloquant pour les données personnelles réelles de clients et, à plus forte raison, les données de santé.
- Action
- Migrer ou auto-héberger sur une infrastructure européenne assortie d’un DPA et de garanties de transfert vérifiées.
2. Stripe — paiements et abonnements
- Services
- Stripe Billing pour l’abonnement RiseCraft ; Stripe Connect pour les paiements entre les clients et le compte Stripe propre au coach.
- Données
- Identité de facturation, e-mail, entreprise, identifiants Stripe, montant, devise, statut et données de paiement traitées directement par Stripe.
- Rôles
- Stripe peut agir comme sous-traitant et comme responsable du traitement pour certaines finalités réglementaires, de fraude et de paiement.
- DPA
- Le DPA Stripe fait partie du Stripe Services Agreement.
- Transferts
- Stripe documente le Data Privacy Framework, les clauses contractuelles types et un addendum de transfert.
- Statut RiseCraft
- Utilisable sous réserve de maintenir les documents Stripe applicables et de limiter les métadonnées aux données nécessaires.
3. Cloudinary — médias privés
- Services
- Stockage, transformation et livraison de photos de progression, logos et autres médias autorisés.
- Données
- Fichiers, identifiants techniques, métadonnées minimales et journaux de service.
- DPA
- Cloudinary publie un Data Processing Addendum mis à jour et une liste de sous-traitants.
- Région
- La région réelle du compte RiseCraft et le cycle de sauvegarde doivent être confirmés avant le pilote.
- Mesures RiseCraft
- Médias authentifiés, chemins séparés par organisation et client, suppression externe avant effacement du dossier.
- Statut RiseCraft
- À valider contractuellement et techniquement avant production de données sensibles.
4. Assistants externes connectés par le coach
Un coach peut connecter un assistant externe via le serveur MCP RiseCraft. Ce fournisseur est choisi et autorisé par l’organisation ; il n’est pas automatiquement imposé par RiseCraft comme sous-traitant général.
RiseCraft limite les portées, interdit l’accès MCP aux photos, notes privées et données médicales, et n’envoie pas automatiquement les dossiers clients à OpenAI ou à un autre modèle.
L’organisation doit néanmoins évaluer le fournisseur choisi, son DPA, sa localisation, ses paramètres de conservation et l’usage éventuel des données avant de l’autoriser.
5. Mise à jour et opposition
Après l’entrée en vigueur d’un DPA RiseCraft, tout ajout ou remplacement significatif d’un sous-traitant sera annoncé à l’organisation avant sa prise d’effet lorsque cela est possible. L’organisation pourra soulever une objection motivée liée à la protection des données.
Sources officielles de préparation
Ces références ont servi à structurer le projet. Elles ne remplacent pas l’avis d’un juriste.