Sous-traitants ultérieurs

Date d’entrée en vigueur : 2026-05-14 - Version : 1.10

Cette page est le registre officiel, accessible par lien direct, de tous les sous-traitants ultérieurs auxquels fremverk fait appel pour fournir le Service. Elle découle des engagements du §10 et de l’annexe B du DPA, et les équipes achats peuvent citer directement cette URL dans leur documentation de due diligence fournisseur.

Engagement de notification des changements #

Tout ajout, remplacement ou changement important dans la liste des sous-traitants ultérieurs est annoncé 30 jours à l’avance par deux canaux parallèles, conformément au §10.2 du DPA : (a) un e-mail direct au contact de facturation de référence de l’organisation de chaque Client (le canal contractuel – la remise est enregistrée dans le journal d’audit de fremverk avec, pour chaque destinataire, l’identifiant du message chez le fournisseur d’e-mail), ET (b) une publication sur cette page et sur la liste de diffusion des avis de sécurité (proposée pour plus de commodité aux adresses autres que celle de facturation, comme les équipes sécurité et les responsables conformité). Les Clients qui s’opposent à un nouveau sous-traitant ultérieur pour des motifs documentés de protection des données peuvent exercer le droit de résiliation prévu au §10.2 du DPA, avec remboursement au prorata des Frais prépayés non utilisés.

En cas d’intégration d’urgence (par exemple le remplacement immédiat d’un sous-traitant ultérieur qui est lui-même à l’origine d’un incident de sécurité), fremverk publie le changement dans les 24 heures et porte le délai d’opposition à 30 jours après l’intégration. Voir le §10.3 du DPA.

Pour recevoir les notifications de changement : abonnez-vous à la liste de diffusion des avis de sécurité – les réponses et les questions hors liste arrivent sur security-notices@frem.sh (alias redirigé vers compliance@frem.sh).

Sous-traitants ultérieurs actuels #

Mentionnés par transparence – pas des sous-traitants ultérieurs au sens de l’article 28 #

Les contreparties suivantes interviennent sur la plateforme, mais ne traitent pas de données personnelles du Client pour le compte de fremverk ; elles ne sont donc pas des sous-traitants ultérieurs au sens de l’article 28 du RGPD. Elles figurent ici pour que le registre présenté aux clients soit complet :

Ce à quoi nous ne faisons pas appel #

• Aucun CDN ni fournisseur edge à société mère américaine sur le chemin des requêtes des points de terminaison exposés aux clients.
• Aucun prestataire d’analyse d’audience ou de télémétrie. La phase 1 est livrée sans aucune analyse d’usage du produit – conformément à ce qu’indiquent déjà la politique cookies et la notice de confidentialité (pas d’outil d’analyse, pas de bandeau de consentement). Pas de Google Analytics, pas de Mixpanel, pas de Segment, pas de Plausible. Un Plausible auto-hébergé (T Cloud Public eu-de) figure sur la feuille de route post-lancement ; s’il est déployé, il apparaîtra dans l’historique ci-dessous et comme sous-traitant interne de niveau 1 à l’annexe B (les données restent dans le compte T Cloud Public de fremverk ; aucune sortie vers un tiers).
• Aucun fournisseur d’IA / de LLM n’est sollicité sur le Contenu du Client. Les fonctionnalités de mandat d’agent (selon le §11A du DPA) agissent sur instruction du client au moment de l’exécution et ne font transiter le contenu par aucun modèle tiers ; fremverk ne conserve aucun Contenu du Client dans un corpus de modèle. La chaîne de sous-traitance répercute contractuellement cette interdiction en aval – voir Interdictions d’entraînement d’IA chez les sous-traitants ultérieurs ci-dessous.
• Aucun prestataire de paiement américain. Mollie (NL) traite chaque paiement.
• Aucun fournisseur de widget anti-robots. L’inscription Forgejo utilise Altcha, auto-hébergé (sous licence MIT, PoW signée HMAC), qui s’exécute dans le processus du monolithe api, sur le même cluster T Cloud Public ; pas de Cloudflare Turnstile, pas de hCaptcha, pas de Google reCAPTCHA.

Position vis-à-vis du CLOUD Act #

Chaque entité ci-dessus est contrôlée depuis l’UE et n’a pas de société mère américaine. Aucune exposition au CLOUD Act, sur aucun chemin de traitement. Aucune analyse d’impact des transferts au titre de Schrems II n’est nécessaire, puisqu’aucune donnée personnelle du Client n’est transférée hors de l’UE/EEE.

Pour la position complète, voir le §11.3 du DPA et la page Confiance – section Schrems II.

Interdictions d’entraînement d’IA chez les sous-traitants ultérieurs #

L’engagement « aucun entraînement d’IA sur les données du Client » du §6A du DPA s’impose à chaque entité de la chaîne de sous-traitance. Les engagements publics correspondants de chaque sous-traitant ultérieur sont listés ci-dessous pour référence. Lorsqu’un sous-traitant ultérieur propose une option d’adhésion à l’entraînement de modèles, fremverk ne l’a pas activée.

Si un sous-traitant ultérieur modifie sa position sur l’entraînement d’IA, fremverk est tenu, en vertu du §6 du DPA (Sous-traitants ultérieurs), d’en informer les Clients au préalable et de leur ouvrir un droit d’opposition avant le début du nouveau traitement. L’historique en bas de cette page consigne chacune de ces évolutions.

Note sur les réseaux de cartes #

Les paiements par carte via Mollie transitent techniquement par des sous-traitants de rang suivant attestés PCI-DSS, les réseaux de cartes : Visa Europe Services Inc. (succursale britannique) et Mastercard Europe SA (Belgique). Ce sont deux entités d’exploitation européennes, mais leurs sociétés mères ultimes (Visa Inc., Mastercard Inc.) sont constituées aux États-Unis. fremverk ne contracte pas directement avec ces réseaux – ce sont des sous-traitants de rang suivant de Mollie, en vertu des règles des réseaux PCI-DSS. L’affirmation « sans société mère américaine » ci-dessus s’applique à la chaîne de sous-traitants ultérieurs de fremverk au niveau des sociétés d’exploitation. Les Clients qui souhaitent une exposition nulle à des sociétés mères américaines sur le chemin de paiement peuvent payer par prélèvement SEPA (le circuit SEPA de Mollie ne fait intervenir aucun réseau de cartes). Voir le §11.3 du DPA pour le cadre complet.

Alternatives sur demande du Client #

L’ensemble par défaut des sous-traitants ultérieurs présente déjà une exposition nulle à des sociétés mères américaines. En Enterprise-on-Demand, les Clients peuvent en outre demander :

• un audit de leurs préférences de cantonnement régional entre les régions T Cloud Public (eu-de par défaut ; autres régions européennes disponibles sur demande, sous réserve de parité fonctionnelle) ;
• des engagements de résidence des données propres à une région, plus stricts que ceux par défaut (par exemple un cantonnement contractuel à une seule zone de disponibilité eu-de).

Contactez enterprise@frem.sh pour en définir le périmètre.

Historique des modifications #

Cette section consigne l’historique des modifications de la liste des sous-traitants ultérieurs, de la plus récente à la plus ancienne. La liste ci-dessus reflète toujours l’état actuel.

Contact #

Pour toute question sur les sous-traitants ultérieurs :

• Confidentialité / périmètre du DPA : compliance@frem.sh
• Achats / due diligence fournisseur : enterprise@frem.sh
• Abonnement à la liste de diffusion sécurité : lists.frem.sh/subscription/form (alias : security-notices@frem.sh – redirigé vers compliance@)

Voir aussi : Page Confiance · Notice de confidentialité