Sous-traitants
Quatre prestataires, et personne d’autre.
La liste complète des sous-traitants qui interviennent dans le fonctionnement de Norma, avec leur rôle, les données qu’ils voient et la région où ils les hébergent.
| prestataire | rôle | données concernées | région d’hébergement |
|---|---|---|---|
| Vercel Inc. | hébergement du site | pages servies, journaux de requête | réseau mondial, société américaine |
| Supabase | base de données et authentification | compte, catalogue, jetons chiffrés | Francfort, eu-central-1 (UE) |
| Resend | envoi des e-mails | adresse du destinataire, contenu envoyé | Irlande, eu-west-1 (UE) |
| IONOS | domaine et réception du courrier | nom de domaine, courrier entrant | Union européenne |
Trois des quatre hébergent dans l’Union européenne. Le quatrième, Vercel, sert les pages du site et ne détient pas la base de données.
Le détail
Chaque prestataire, ce qu’il voit exactement.
01Vercel Inc.
Vercel sert les pages publiques et l’interface de l’application. Il voit ce que voit tout serveur web : l’adresse de la page demandée, l’adresse IP de la requête et son horodatage.
Vercel n’héberge pas la base de données. Votre catalogue n’y transite que le temps d’être affiché dans votre navigateur, et n’y est pas conservé.
Société de droit américain. C’est le seul sous-traitant établi hors de l’Union européenne, et le seul auquel un transfert soit nécessaire, pour les seules données de navigation.
02Supabase
Supabase héberge la base de données et le service d’authentification. C’est là que vivent votre adresse e-mail, le catalogue surveillé, l’historique des états par canal et les jetons d’intégration.
Région de Francfort, eu-central-1. Les données du produit ne quittent pas l’Union européenne.
Les jetons d’intégration y sont stockés chiffrés au repos en AES-256-GCM. Un accès à la base ne suffirait pas à s’en servir.
03Resend
Resend achemine les e-mails transactionnels : liens de connexion et rapports d’alerte. Il traite l’adresse du destinataire et le contenu du message.
Région d’Irlande, eu-west-1.
Les messages partent d’un sous-domaine d’envoi dédié. L’adresse de contact bonjour@normah.io n’est pas servie par Resend : le courrier que vous nous adressez est relevé chez IONOS.
04IONOS
IONOS est le bureau d’enregistrement du domaine normah.io et assure la réception du courrier adressé à bonjour@normah.io.
À ce titre, IONOS voit les messages que vous nous envoyez, comme le ferait tout fournisseur de messagerie.
Exclusions
Ce qu’aucun sous-traitant ne reçoit.
- Aucun des quatre ne reçoit de données relatives à vos acheteurs finaux : Norma ne demande pas la portée commandes, il n’en dispose donc pas et n’a rien à transmettre.
- Aucun mot de passe ne circule, pour la raison simple qu’il n’en existe aucun. La connexion se fait par un lien à usage unique.
- Aucun de ces prestataires ne dispose d’une permission d’écriture sur votre catalogue. Les portées demandées aux plateformes sont en lecture seule.
- Aucune donnée n’est vendue, louée, ni transmise à un tiers à des fins publicitaires. Il n’y a ni régie, ni mesure d’audience tierce.
Mise à jour de la liste
Cette page fait foi. L’ajout d’un sous-traitant traitant des données personnelles est annoncé par e-mail avant sa mise en service, et le client qui le refuse peut résilier sans frais.
Une question sur un prestataire, son rôle ou l’endroit où il héberge : écrivez à bonjour@normah.io. Nous répondons avec le nom du service et la région, pas avec une formule générale.