Version 1.7 – 24/09/2026
Cette version n'est pas encore adoptée. Le procès-verbal d'adoption atteste une version antérieure : le conseil a recommandé une seule adoption consolidée une fois les corrections de textes achevées, et le procès-verbal n'a donc pas été mis à jour. La présente version est prête, elle n'est pas adoptée.
Cette liste recense les prestataires auxquels Sleeky recourt pour fournir son service, et les autres destinataires auxquels des données personnelles sont transmises. Un destinataire est toute entité qui reçoit des données ; un sous-traitant n'en est qu'une catégorie particulière : celui qui traite pour le compte de Sleeky, au sens de l'article 28 du RGPD. La liste est mise à disposition des salons dans le cadre de l'accord de responsabilité conjointe et du DPA, et tenue à jour ; toute modification substantielle est notifiée.
Note importante sur le prénom d'invité. Aucun des prestataires ci-dessous ne reçoit le prénom d'un invité : cette donnée reste confinée à l'agenda du salon et est absente des e-mails, SMS, journaux, exports et flux de diagnostic. Les prestataires listés traitent d'autres catégories de données (identifiants de compte, coordonnées du titulaire, données de facturation du salon, rapports d'erreur technique), aux finalités indiquées. L'assistance par modèle de langage, aujourd'hui inactive, ne ferait pas exception : le prénom d'invité est exclu par construction de la surface de lecture qui lui serait ouverte, et ne serait transmis à aucun modèle.
Le statut répond à une seule question : dans la configuration de production actuelle, ce fournisseur peut-il effectivement recevoir une donnée personnelle, sans nouvelle décision d'activation ? Un fournisseur implémenté dans le code mais inatteignable dans cette configuration est inactif : il n'est pas un sous-traitant effectivement utilisé, et sa mise en service suppose une décision, ainsi que l'encadrement juridique préalable indiqué à sa ligne. La configuration de production a été relevée le 16/09/2026.
Prestataires et destinataires
| Prestataire | Usage | Statut | Qualification | Données | Région configurée | Transfert hors Espace économique européen | Garantie |
|---|---|---|---|---|---|---|---|
| Scaleway SAS | Hébergement de l'infrastructure, de la base de données, des sauvegardes et du stockage objet des photos | Actif | Sous-traitant | Ensemble des données de la plateforme | France (zone fr-par, Paris) — UE |
Aucun | Traitement dans l'UE ; contrat de sous-traitance de l'hébergeur |
| Sendinblue SAS (Brevo) | Relais d'acheminement des courriels transactionnels (codes de vérification, notifications, confirmations de rendez-vous, certificats d'adhésion) — c'est le canal de courriel effectif. Le même prestataire est aussi sélectionnable comme canal SMS ; ce n'est pas le canal SMS retenu (voir M TARGET) | Actif (courriel) | Sous-traitant | Adresse e-mail du destinataire, son nom, le contenu du message, l'identifiant de la réservation concernée et les métadonnées d'acheminement (gabarit employé, identifiant du salon, identifiant d'envoi). Pour le SMS, s'il était activé : numéro de téléphone et contenu des SMS | France — UE | Aucun | Traitement dans l'UE |
| Mailjet SAS | Relais alternatif d'acheminement des courriels transactionnels, mobilisable sur configuration ; mêmes finalités et mêmes messages que ci-dessus | Inactif — un seul relais de courriel est sélectionné par la configuration, et c'est Brevo ; ce relais est inatteignable sans nouvelle décision | Sous-traitant (mobilisable) | Les mêmes que pour le relais ci-dessus, s'il était sélectionné | France — UE | Aucun | Traitement dans l'UE |
| SMSFactor (Commify France) | Envoi des SMS transactionnels (codes à usage unique, confirmations et rappels de rendez-vous, liens) et enregistrement des noms d'expéditeur des salons — fournisseur SMS jusqu'à la date de bascule 24/09/2026, à laquelle M TARGET le remplace | Inactif à compter de la date de bascule — aucun SMS ne lui est plus remis ; il reste inscrit pendant la transition parce qu'il a reçu des données jusqu'à cette date | Sous-traitant | Numéro de téléphone du destinataire et contenu des SMS ; nom d'expéditeur du salon (raison sociale ou enseigne) | France — UE | Aucun | Traitement dans l'UE |
| M TARGET SAS (44 rue de l'Occitane, 31670 Labège — RCS Toulouse B 490 990 819) | Envoi de tous les SMS du service (codes à usage unique, confirmations et rappels de rendez-vous, liens, campagnes et relances des salons, invitations à déposer un avis), enregistrement des noms d'expéditeur des salons, et réception des demandes d'opposition envoyées au numéro court 36180 — fournisseur SMS à compter de la date de bascule 24/09/2026, en remplacement de SMSFactor | Actif à compter de la date de bascule | Sous-traitant | Numéro de téléphone du destinataire et contenu des SMS ; nom d'expéditeur du salon (raison sociale ou enseigne) ; message envoyé au numéro court 36180 (STOP) | France — centres de données de Trappes et de Courbevoie — UE | Aucun | Traitement dans l'UE ; contrat de sous-traitance du prestataire. Conservation chez le prestataire : 12 mois, au titre de ses obligations d'opérateur. Délégué à la protection des données : dpo@mtarget.fr |
| Stripe Payments Europe, Ltd | Traitement des paiements des abonnements de Sleeky facturés aux salons — nos propres abonnements | Actif | Sous-traitant de SLEEKY SAS pour les opérations réalisées pour son compte ; responsable de traitement autonome pour les opérations dont Stripe détermine les finalités et moyens, notamment certaines obligations réglementaires, antifraude, sécurité et fonctionnement des services de paiement. | Données de facturation et de paiement du salon (titulaire du compte, moyen de paiement enregistré, factures d'abonnement) | Irlande — UE | Aucun (entité européenne contractante) | Traitement dans l'UE ; contrat de services et accord de traitement des données du prestataire |
| Stripe Payments Europe, Ltd (paiements des clients des salons) | Encaissement en ligne, par le Salon, des paiements de ses clients — acompte à la réservation, paiement d'une réservation, acompte d'un devis — au moyen de l'intégration Stripe Connect fournie par Sleeky | Actif | Prestataire de services de paiement du Salon et destinataire des données de paiement ; Stripe agit, selon l'opération, comme sous-traitant du titulaire du compte Stripe ou comme responsable autonome. Sleeky fournit l'intégration technique Stripe Connect et intervient pour le compte du Salon pour les opérations relevant du service du Salon. Les rôles sont appréciés opération par opération. | Collecte directe depuis le navigateur via Stripe.js / Payment Element ; données de paiement transmises directement à Stripe. Paiements créés sur le compte connecté du Salon : l'intégration utilise des charges directes — l'objet de paiement naît chez le Salon, qui supporte sur son propre compte les frais du prestataire et les contestations, et à qui le prestataire demande le remboursement quand il y en a un ; la commission de Sleeky lui est virée par le prestataire. Sleeky ne reçoit ni ne conserve les données de carte ; elle ne détient que l'identifiant, le montant et l'état du paiement | Irlande — UE | Aucun (entité européenne contractante) | Traitement dans l'UE ; contrat entre le Salon et Stripe (compte connecté avec tableau de bord complet) ; Sleeky, intégrateur technique |
| Functional Software, Inc. d/b/a Sentry | Supervision technique de la plateforme : réception des rapports d'erreur applicative, des évènements techniques et des alertes d'anomalie, et des rapports de violation de la politique de sécurité du contenu que le navigateur des visiteurs et des salons émet lorsqu'une ressource est refusée | Actif | Sous-traitant | Rapports d'erreur (message, pile d'appels, route appelée, identifiant de salon, rôle) et alertes techniques — sans cookies, sans en-têtes, sans adresse IP de visiteur, sans corps de requête. Rapports de violation de politique : adresse de la page, ressource refusée, directive concernée, navigateur ; ils sont émis directement par le navigateur, dont l'adresse IP est visible du collecteur à la réception | Allemagne (Francfort) — UE pour les données de supervision ; États-Unis pour les données de compte et d'organisation et pour les échanges avec le support (répartition détaillée ci-dessous) | Oui, encadré — vers Functional Software, Inc. aux États-Unis, pour les données de compte, d'organisation et de support | Lorsque le traitement entraîne un transfert vers Functional Software, Inc. aux États-Unis, le transfert repose, lorsqu'il est applicable, sur le cadre de protection des données UE-États-Unis. Si ce cadre est invalide ou n'est pas applicable au transfert concerné, les clauses contractuelles types de la Commission, décision 2021/914, s'appliquent : module 2 lorsque Sleeky agit comme responsable, module 3 lorsque Sleeky agit comme sous-traitant pour le compte d'un salon. Les clauses sont incorporées par référence, les deux parties étant réputées les avoir signées à la date d'effet ; droit et tribunaux irlandais |
| IGN (Institut national de l'information géographique et forestière) | Services cartographiques et d'adresse de la Géoplateforme, service public de l'État français, pour la recherche publique : fond de carte (le navigateur du visiteur télécharge les images cartographiques quand il ouvre la carte), autocomplétion d'adresse (le navigateur du visiteur interroge la Base Adresse Nationale au fil de la saisie du champ « où ») et géocodage (le serveur de Sleeky convertit l'adresse postale d'un salon en coordonnées) | Actif | Destinataire autonome — à confirmer : service public qui détermine ses propres finalités et répond de ses propres journaux ; l'article 28 n'a pas été retenu, et la qualification reste à confirmer par le conseil | Fond de carte : adresse IP du visiteur et zone consultée. Autocomplétion : adresse IP du visiteur et texte saisi. Géocodage : adresse postale du salon, envoyée par le serveur de Sleeky. Aucun cookie n'est déposé ni lu sur l'appareil du visiteur (mesuré). Aucune donnée de rendez-vous ni de compte | France — UE | Aucun | Service public de l'État français ; conditions générales d'utilisation de la Géoplateforme |
| Direction interministérielle du numérique (DINUM) | Vérification de l'existence d'un établissement et de ses dirigeants, lors de l'inscription d'un salon et de son adhésion : le serveur de Sleeky interroge le service public de recherche d'entreprises (Annuaire des Entreprises) par numéro SIRET ou par raison sociale | Actif | Destinataire autonome : service public d'accès aux données du répertoire des entreprises, responsable de ses propres traitements ; il ne traite pas pour le compte de Sleeky | Requête : numéro SIRET ou raison sociale saisis par le salon — une raison sociale peut être le nom d'une personne physique. Réponse : données d'entreprise, dont les noms, prénoms et qualité des dirigeants personnes physiques, que Sleeky compare au nom déclaré par le signataire. Aucune donnée de client final. Le caractère public de ces données ne leur retire pas leur qualité de données personnelles lorsqu'une personne physique est identifiable | France — UE | Aucun | Service public de l'État français, accessible sans authentification ; conditions d'utilisation du service |
| Amazon Web Services EMEA SARL (Amazon Bedrock) | Assistance au support des salons par modèle de langage : exécution des réponses de l'assistant | Inactif — les identifiants et la région du service ne sont pas configurés en production ; sans eux, le code branche un modèle indisponible et toute demande est remise au support humain. À encadrer juridiquement avant toute mise en service | Sous-traitant (si activé) | Contenu des échanges de support avec le personnel du salon et, le cas échéant, les données que les outils de l'assistant liraient sous les droits de la personne qui pose la question ; prénom d'invité exclu par construction | Traitement d'inférence dans les régions de l'Union européenne couvertes par le profil géographique européen (eu) d'Amazon Bedrock. Le routage entre régions est déterminé dynamiquement par Amazon Bedrock à l'intérieur de ce périmètre géographique. | Inférence : UE garantie par le profil géographique eu. Autres accès/transferts éventuels : vérification contractuelle en cours. | À établir avant mise en service : contrat de sous-traitance d'Amazon Web Services, vérification de la conservation et de la journalisation des invocations, confirmation du profil d'inférence |
Répartition réelle des données chez Sentry
Le choix de la région européenne ne couvre pas l'ensemble des données. La répartition ci-dessous est celle du prestataire ; elle est reproduite ici parce qu'écrire « traitement dans l'UE » serait inexact.
Traité en Allemagne (Francfort), en région européenne : les évènements d'erreur, les transactions, les traces, les profils, les journaux, les mesures, la santé des versions, les symboles, les rejeux de session, les rapports de violation de politique de sécurité — et les sauvegardes de ces données.
Traité aux États-Unis, quel que soit le réglage de région : les comptes utilisateurs, les paramètres de notification, les authentificateurs, les métadonnées d'intégration, les jetons d'accès, les paramètres d'organisation, les journaux d'audit, les métadonnées de projet et les clés d'ingestion, les données d'usage, les métadonnées d'authentification unique — ainsi que tout élément transmis au support.
Ces deux ensembles relèvent du même encadrement contractuel : le mécanisme de transfert rappelé au tableau — le cadre de protection des données UE-États-Unis lorsqu'il est applicable, et, à défaut, les clauses contractuelles types de la Commission (décision 2021/914), dans leur module 2 ou leur module 3 selon la qualité en laquelle Sleeky intervient.
Le téléversement des cartes de source n'est pas activé. L'outillage de Sentry peut recevoir, au moment de la construction des applications, les cartes qui relient le code servi au code écrit. Le jeton nécessaire à ce téléversement est absent des quatre ressources concernées, en production comme en recette (mesuré le 16/09/2026) : aucun téléversement ne part. Un fichier de cartes ne contient que du code, et son téléversement ne constituerait pas nécessairement un transfert de données personnelles au sens du règlement ; la fonction est mentionnée ici parce qu'elle existe, non parce qu'elle transmet.
Fournisseurs implémentés mais inatteignables
Le code de la plateforme sait dialoguer avec d'autres fournisseurs que ceux du tableau. Ils n'y figurent pas, parce qu'aucune donnée ne peut leur parvenir dans la configuration de production actuelle : la variable qui les sélectionnerait est absente ou désigne un autre fournisseur, et les activer serait une décision nouvelle, qui commanderait la mise à jour de cette liste avant tout envoi.
- SMS Partner : troisième fournisseur SMS sélectionnable par la même variable de choix que SMSFactor et Brevo. Il a figuré au tableau des versions précédentes comme fournisseur des SMS ; la configuration de production désigne M TARGET à compter de la date de bascule, SMSFactor auparavant. Aucun SMS ne lui est remis.
- Serveur de courriel générique (SMTP) : voie d'acheminement de repli, dont l'hôte serait fourni par la configuration. La variable est absente ; ce n'est pas le canal réel, qui est Brevo.
Périmètre et exclusions
Les onze lignes ci-dessus — dix prestataires, Stripe occupant deux lignes selon la qualité en laquelle il intervient — sont confirmées. À compter de la date de bascule, huit lignes sont actives : Scaleway, Brevo, M TARGET, les deux lignes de Stripe et Sentry, ainsi que deux destinataires autonomes (IGN, DINUM). Trois sont inactives (Mailjet, Amazon Web Services, et SMSFactor, remplacé par M TARGET) et sont écrites pour que leur mise en service ne puisse pas passer pour un état existant. Neuf lignes sont établies dans l'Union européenne et n'emportent aucun transfert hors Espace économique européen. La ligne Functional Software, Inc. (Sentry) est établie aux États-Unis : le transfert existe, il est nommé ci-dessus et encadré par le mécanisme rappelé au tableau. La ligne Amazon Web Services, inactive, porte une inférence garantie dans l'Union par son profil géographique ; les autres accès ou transferts éventuels de la relation font l'objet d'une vérification contractuelle en cours, et cette liste ne dit pas « aucun transfert » à leur sujet.
Le paiement des clients des salons est un flux qui part du navigateur. Lorsqu'un client paie un acompte ou une réservation, ses données de carte sont saisies dans un composant fourni par le prestataire de paiement (Stripe.js / Payment Element) et transmises directement à ce prestataire, sans transiter par les serveurs de Sleeky ; le serveur de Sleeky ne fait que demander la création du paiement et en apprendre l'issue. Ce composant n'est pas une société distincte : c'est le moyen technique par lequel les données atteignent le prestataire, qui figure au tableau sur deux lignes — l'une pour nos propres abonnements, l'autre pour les paiements des clients des salons.
Les services publics du tableau sont des destinataires, et ils sont écrits ici plutôt que tus. Lorsqu'un visiteur ouvre la vue carte des résultats de recherche ou saisit une adresse, son navigateur s'adresse à la Géoplateforme de l'IGN, qui reçoit de ce fait son adresse IP et ce qu'il consulte ou saisit. Aucun cookie n'est déposé ni lu sur son appareil — mesuré le 14/08/2026 sur le service de tuiles, qui ne renvoie aucun en-tête d'écriture de cookie —, de sorte qu'aucun consentement préalable n'est requis à ce titre. La carte n'est pas chargée tant que le visiteur ne la demande pas. Et lorsqu'un salon s'inscrit, c'est le serveur de Sleeky qui interroge le service de recherche d'entreprises, jamais le navigateur du salon.
La qualification de l'IGN reste à confirmer. Un service qui reçoit une adresse IP du fait de la requête du navigateur peut relever du sous-traitant au sens de l'article 28 ou du destinataire autonome, responsable de ses propres journaux. La seconde lecture est retenue ici, avec la mention qu'elle reste à confirmer par le conseil. Inscrire un prestataire dont la qualification serait finalement différente ne retire aucun droit à personne ; l'omettre en aurait caché un.
Les relais d'acheminement des courriels sont des sous-traitants, et non de simples intermédiaires techniques. Ils reçoivent l'adresse du destinataire, son nom, le contenu du message, l'identifiant de la réservation concernée et les métadonnées d'acheminement. Lorsque Sleeky agit pour le compte d'un salon — messages liés aux rendez-vous — ils sont des sous-traitants ultérieurs au sens de l'article 28.4 du RGPD ; lorsque Sleeky agit pour son propre compte, ils sont ses sous-traitants directs. Deux relais figurent au tableau parce que les deux sont implémentés ; un seul est sélectionné par la configuration, et c'est celui-là qui est actif.
- Coolify est auto-hébergé par Sleeky sur son serveur Scaleway : ce n'est pas un sous-traitant tiers (outil d'orchestration opéré par Sleeky), il ne figure donc pas dans cette liste. Seul Scaleway, l'hébergeur, l'est.
- En dehors des dix entrées listées, aucune autre brique ne reçoit de données personnelles du fait de Sleeky : pas d'outil d'analyse d'audience tiers. L'outil de supervision technique n'est plus une exclusion : c'est Sentry, et il figure au tableau. De même, le support n'est plus intégralement interne — les échanges ouverts auprès du support de Sentry sont traités aux États-Unis, sous le même encadrement contractuel. L'exclusion « aucun contenu externe » est tombée le 14/08/2026 : la recherche publique fait appel aux services de l'IGN, qui figure au tableau. À revérifier à chaque ajout d'un nouvel outil — c'est cette phrase-ci qui a exigé la mise à jour lorsque la carte est arrivée, puis lorsque les fournisseurs ont été relevés en production.
- ⏰ Une intégration de plus est entrée dans le code le 16/09/2026, sans être encore portée à ce tableau : la connexion à une plateforme de dématérialisation partenaire pour la facturation électronique et le e-reporting (
api.superpdp.tech). Elle est inactive tant qu'une variable de configuration ne la désigne pas, et ne s'exerce qu'à la demande du salon, qui ouvre lui-même son compte chez ce prestataire ; Sleeky lui transmet alors le numéro d'entreprise du salon et l'adresse e-mail de la personne qui connecte. Sa qualification (destinataire autonome, à confirmer par le conseil) et son statut en production seront relevés et inscrits à la prochaine version de cette liste.
Historique de version
Un projet numéroté 1.6 et daté du 22/08/2026 a existé dans le dépôt de référence : il nommait Amazon Web Services et retirait l'IGN du tableau. Il n'a jamais été servi ni adopté. La présente version le remplace sous le même numéro : elle conserve la mention d'Amazon Web Services, désormais avec son statut réel, et maintient l'IGN au tableau, comme destinataire autonome, conformément à l'avis du conseil.
16/09/2026 — localisation Bedrock corrigée : suppression de l'énumération Paris/Francfort/Irlande après constat CloudTrail d'un traitement en eu-north-1 (Stockholm). Remplacement par la garantie géographique du profil EU.
17/09/2026 — ligne du prestataire de paiement pour les clients des salons mise au présent : l'intégration crée les paiements sur le compte connecté du Salon (charge directe) ; la mention d'une mesure antérieure décrivant un paiement créé sur le compte de plateforme avec transfert est retirée, ce montage n'étant plus celui du code servi.
17/09/2026 — mention, hors tableau, d'une intégration de facturation électronique entrée dans le code (plateforme de dématérialisation partenaire), inactive sans configuration : à qualifier et à relever à la prochaine version.
24/09/2026 — version 1.7 : M TARGET SAS devient le fournisseur SMS en remplacement de SMSFactor, qui reste inscrit, inactif, pendant la transition. M TARGET reçoit en outre les demandes d'opposition envoyées au numéro court 36180.
Cette liste doit rester cohérente avec l'annexe « sous-traitants » du DPA général de Sleeky.