Sous-traitants ultérieurs
Chaque tiers susceptible de traiter des données personnelles pour Gheima, ce qu'il fait et où il le fait.
Version 0.9 · Mise à jour le 13 novembre 2026
Ces documents sont une première version publiée. Ils décrivent ce que la plateforme fait réellement aujourd'hui, mais ils n'ont pas encore été relus par un juriste. Nous les publions parce que facturer des clients sans aucune condition est pire ; attendez-vous à ce que la rédaction évolue après relecture juridique.
Qui traite des données pour nous#
Un sous-traitant ultérieur est un tiers susceptible de manipuler des données personnelles dans le cadre de l'exploitation de la plateforme. Voici la liste complète en vigueur. Nous la mettons à jour avant tout ajout, et les titulaires de compte sont prévenus par e-mail au moins trente jours avant qu'un nouveau sous-traitant ne commence à traiter (voir l'article 6 de l'accord de traitement des données).
La liste#
| Sous-traitant | Ce qu'il fait pour nous | Où |
|---|---|---|
| Hostinger International Ltd | Nous loue un serveur dans l'Union européenne qui n'exécute aucune charge de travail client et qui est en cours de retrait. Il n'a aucun accès applicatif ; les données sur les disques sont les nôtres. | Union européenne |
| Oracle Corporation | Fournit la région cloud af-casablanca-1, qui héberge la région ma-1 et, depuis le 21 septembre 2026, le plan de contrôle de la plateforme, ainsi que le stockage objet contenant les sauvegardes délocalisées de cette région, y compris celles du plan de contrôle. L'accord de traitement d'Oracle conserve l'environnement dans la région indiquée dans notre commande et interdit tout déplacement sans notre autorisation écrite ; ce même accord permet au personnel d'Oracle d'accéder aux données depuis l'extérieur du Maroc pour le support, la gestion d'incidents et la restauration. Il s'agit d'un accès, non d'un stockage : la garantie de résidence porte sur les données au repos. | Casablanca, Maroc |
| Cloudflare, Inc. | DNS faisant autorité pour gheima.ma, et routage des e-mails entrants vers notre adresse de support. Le trafic vers les régions de résidence n'est délibérément pas relayé par Cloudflare, afin que le TLS de ces régions se termine dans le pays. Son stockage d'objets R2 conserve les sauvegardes hors site prises sur notre serveur européen, qui incluent la base de données de la plateforme ; le point d'accès de ce bucket se trouve dans l'Union européenne. Les sauvegardes d'une région de résidence sont écrites dans un stockage situé dans cette région et jamais vers R2. | Réseau mondial ; société aux États-Unis |
| Resend (Plus Five Five, Inc.) | Achemine les e-mails transactionnels : liens de connexion, invitations, factures, notifications de déploiement et d'alerte. Reçoit l'adresse du destinataire et le message. | États-Unis |
| YouCan Pay | Traite des paiements par carte ponctuels en dirhams. Il n’enregistre aucune carte pour nous et ne débite rien de lui-même : chaque paiement par carte est un paiement que vous lancez. Reçoit l'e-mail de facturation et le montant ; les données de carte lui vont directement et ne nous parviennent jamais. | Maroc |
| ChariPay | Traite les paiements ponctuels par carte en dirhams sur sa page de paiement hébergée. Il ne conserve aucune carte pour nous et ne prélève rien de lui-même : chaque paiement par carte est initié par vous. Reçoit l’e-mail de facturation, le montant, ainsi que le nom du titulaire et le numéro de téléphone saisis au paiement ; les données de carte lui parviennent directement et ne nous atteignent jamais. | Maroc |
| GitHub, Inc. | Source des dépôts que vous choisissez de construire, via la GitHub App que vous installez, et fournisseur d'identité si vous vous connectez avec GitHub. Reçoit les références de dépôt et de commit sur lesquelles nous agissons. | États-Unis |
| Google LLC (API Gemini) | Utilisé uniquement lorsque nos fonctions d'IA optionnelles sont activées. Il rédige des propositions de réponse aux tickets de support à partir des messages du ticket, de votre nom et des messages d'erreur de vos déploiements récents en échec, que notre équipe relit avant tout envoi, et il explique l'échec d'un déploiement à partir de son journal de build pour les services situés hors d'une région de résidence. Les journaux de build complets de la région ma-1 ne lui sont jamais envoyés, et un compte peut désactiver le diagnostic des déploiements dans les Paramètres. | États-Unis |
GitLab ne figure pas sur cette liste. La prise en charge de GitLab repose sur un jeton d'accès que vous collez pour votre propre instance : l'instance est donc la vôtre et nous n'envoyons pas vos données à un GitLab que nous aurions choisi. Il en va de même pour tout hôte Git auto-hébergé que vous connectez.
Ce qui y ressemble sans en être#
- La géolocalisation des statistiques est résolue depuis une base de pays hors ligne embarquée dans nos propres conteneurs. Aucune donnée de requête ne quitte la plateforme pour résoudre un pays.
- La recherche, les files d'attente, le stockage objet, la journalisation et les métriques sont auto-hébergés sur notre propre infrastructure. Ce ne sont pas des services tiers.
- Nous n'utilisons pas d'outil tiers d'analyse produit ou d'enregistrement de session dans le tableau de bord, et nous n'exploitons pas de traceurs publicitaires.
- Le report d'erreurs vers un tiers est configurable mais actuellement désactivé en production. Si nous l'activons, cette page change d'abord.
- Payer par virement bancaire n’ajoute personne. Nous établissons nous-mêmes la facture pro forma et l’envoyons par e-mail via Resend ; vous la réglez depuis votre propre banque vers la nôtre, et nous rapprochons la référence de notre relevé bancaire. Nous n’envoyons aucune donnée à l’une ou l’autre banque.
Questions#
Pour vous opposer à un sous-traitant, ou savoir ce qu'un sous-traitant donné reçoit, écrivez à hello@gheima.ma.