DEZVOLTA, éditeur de RECOVMAX™ et RECOV™, recourt à un nombre limité de sous-traitants techniques pour assurer le service. Cette page liste l'ensemble des sous-traitants impliqués dans le traitement des données personnelles, conformément à l'article 28-2 du RGPD et au DPA RECOVMAX. Elle est mise à jour à chaque ajout ou retrait.
| Sous-traitant | Finalité | Hébergement | Données traitées · garanties |
|---|---|---|---|
| Supabase Inc. | Base de données principale · authentification · stockage fichiers (logos, exports). | UE · Francfort | Toutes données utilisateurs (clients, créances, débiteurs, événements). Chiffrement au repos AES-256, en transit TLS 1.3. Region eu-central-1 forcée. RLS PostgreSQL natif (cloisonnement multi-tenant). |
| Vercel Inc. | Hébergement de l'interface utilisateur et des endpoints API (relances, admin, IA). | États-Unis / Europe (CDN) : clauses contractuelles types | Logs de requêtes (anonymisés sous 30 j). Aucune donnée utilisateur stockée durablement chez Vercel. Region fra1 forcée pour les fonctions sensibles. |
| Stripe Payments Europe Ltd | Encaissement des abonnements RECOV / RECOVMAX. Gestion Customer Portal (annulation, MAJ moyens de paiement). | UE · Irlande | Email, nom, adresse de facturation. Aucune donnée carte ne transite chez DEZVOLTA (PCI DSS Level 1). |
| Anthropic PBC | Suggestions in-app (assistant Recovo). Génération de scripts de relance et synthèses. | USA · Clauses contractuelles types | Données de dossier limitées au strict nécessaire pour produire la réponse (montants, statuts, échéances, éléments du débiteur concerné). Les noms des débiteurs et des clients suivis sont pseudonymisés avant l'envoi (remplacés par des étiquettes, rétablis dans la réponse) ; les identifiants SIREN/SIRET et adresses e-mail sont retirés. Pas d'entraînement sur les données envoyées (conditions commerciales de l'API Anthropic) ; conservation limitée selon la politique d'Anthropic, puis suppression. |
| Resend Inc. | Envoi des emails transactionnels (confirmations, relances système, notifications) et de la copie de sauvegarde quotidienne adressée à l'éditeur. Actif. | États-Unis : clauses contractuelles types | Adresses email destinataires + contenu des messages. Pas de tracking pixel par défaut. DKIM/SPF/DMARC configurés. |
| IONOS SARL | Messagerie professionnelle de l'éditeur : réception des copies de sauvegarde quotidiennes de la base et des messages adressés à l'éditeur. | UE, France | Copie quotidienne de 18 tables de la base (comptes, clients suivis, dossiers et débiteurs, événements, promesses et échéanciers, journal d'audit, paiements d'abonnement, partenaires, candidatures et liste d'attente, suivi des e-mails), conservée au plus six mois ; messages reçus par l'éditeur. |
| Google Ireland Ltd | Statistiques de fréquentation des pages publiques uniquement, jamais dans l'application, le cockpit, le portail de suivi ni les rapports. Actif uniquement après votre accord sur le bandeau (Consent Mode v2 : tout est refusé par défaut, la publicité reste refusée même après accord). |
UE · Google Ireland |
Pages vues, source de visite, événements de navigation, identifiant de navigateur pseudonyme. Aucune donnée de dossier, de créance ni de débiteur. Pas de cookie publicitaire. |
| Microsoft Ireland Operations Ltd | Cartes de chaleur, profondeur de lecture et rejeu de sessions sur les pages publiques uniquement, jamais dans l'application ni les espaces clients. Actif uniquement après votre accord sur le bandeau. |
UE · Microsoft Ireland |
Interactions de navigation (clics, défilement), taille d'écran, identifiant de navigateur pseudonyme ; les champs de formulaire sont masqués par défaut. Aucune donnée de dossier ni de débiteur. |
| Calendly, LLC | Réservation d'un entretien depuis le site public ou un message : la personne choisit elle-même un créneau chez Calendly. Aucun lien avec l'application, le cockpit ni les dossiers. | États-Unis : Data Privacy Framework UE-US et clauses contractuelles types | Nom, adresse e-mail, créneau choisi et réponses saisies à la réservation. Aucune donnée de dossier, de créance ni de débiteur. |
RECOV et RECOVMAX interrogent deux sources publiques. L'API Recherche d'entreprises de l'État (DINUM), appelée depuis votre navigateur, reçoit le numéro SIREN ou, à défaut et après votre confirmation, le nom de l'entreprise recherchée : elle sert à afficher la situation au registre d'une entreprise débitrice et à vérifier votre propre SIREN. Le Bulletin officiel des annonces civiles et commerciales (BODACC), consulté par nos serveurs sur la plateforme Opendatasoft, ne reçoit que le SIREN : il sert à détecter une procédure collective publiée. Ces services diffusent des données publiques et ne traitent pas de données pour notre compte.
L'application charge des bibliothèques de code depuis des réseaux de diffusion (jsDelivr, cdnjs de Cloudflare), qui reçoivent à cette occasion l'adresse IP du navigateur, comme pour tout fichier téléchargé ; aucune donnée de compte ni de dossier ne leur est transmise. La connexion avec un compte Google, si vous la choisissez, est traitée par Google selon ses propres règles.
| Sous-traitant | Finalité prévue | Hébergement | Activation prévue |
|---|---|---|---|
| Maileva (Docaposte) | Envoi de lettres recommandées avec accusé de réception (LRAR) en un clic depuis l'application. | France | Q3 2026 · Sprint P1 |
| Pappers | Auto-complétion des informations légales des débiteurs (forme juridique, dirigeant, statut). | France | Q3 2026 · Sprint P1 |
| DocuSeal (self-hosted) | Signature électronique du mandat de gestion entre le pro et son client TPE. | UE · auto-hébergé Vercel | Q2 2026 · Sprint P0 |
| Aircall ou Ringover | Loggage des appels passés depuis l'application (preuve de relance amiable). | France | Q1 2027 · Sprint P2 |
Conformément à l'article 28-2 du RGPD, vous avez le droit de :
Pour exercer ces droits, écrivez à pedro.berbel@dezvolta.org.
Pour lever toute ambiguïté, voici les services que nous n'utilisons PAS dans RECOVMAX/RECOV à ce jour :
| ❌ Google Ads / Meta Pixel / Facebook Ads / LinkedIn Insight | |
| ❌ Hotjar / FullStory dans l'application | |
| ❌ Mailchimp / SendGrid (US) | |
| ❌ Intercom / Zendesk (US) | |
| ❌ AWS / Azure / GCP en direct |