Sous-traitants ultérieurs
Dernière mise à jour : 17 octobre 2026
Conformément à l'article 28 du Règlement Général sur la Protection des Données (RGPD), nous publions la liste exhaustive des sous-traitants ultérieurs (« subprocessors ») auxquels nous faisons appel pour fournir le Service. Pour chaque sous-traitant nous indiquons sa raison sociale, sa localisation, la finalité du traitement et la nature des données transmises.
Les transferts vers des pays hors Espace Économique Européen sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution 2021/914), garantissant un niveau de protection équivalent à celui exigé par le RGPD.
Notification d'un nouveau sous-traitant
Lorsque nous ajoutons un nouveau sous-traitant susceptible de traiter vos données personnelles, nous mettons cette page à jour au moins 30 jours avant que le sous-traitant ne commence à traiter les données. Si vous souhaitez recevoir cette notification par email, écrivez à dpo@pilotcrew.io avec l'objet « subscribe subprocessors ».
Liste des sous-traitants au 17 octobre 2026
| Sous-traitant | Finalité | Localisation | Données | EEE |
|---|---|---|---|---|
| Vercel Inc. | Hébergement applicatif (frontend + serverless functions) | États-Unis, hébergement EU (fra1) | Toutes données du Service (chiffrées en transit) | CCT |
| Supabase Inc. | Base de données PostgreSQL + Auth + Storage | Région eu-central-1 (Francfort, Allemagne) | Données de compte, contenus, audit logs | EEE ✓ |
| Upstash Inc. | Cache Redis + index vectoriel + queue QStash | EU (eu-west-1) | Cache de réponses IA, files de tâches | EEE ✓ |
| Cloudflare R2 | Stockage objet (assets, exports) | EU automatique | Fichiers uploadés, exports RGPD | EEE ✓ |
| Anthropic PBC | Modèles IA Claude (Sonnet / Opus) pour génération de contenu | États-Unis | Prompts (briefs anonymisés), pas de données personnelles directement identifiantes | CCT |
| OpenAI, L.L.C. | Modèles GPT pour traitement texte de fallback | États-Unis | Prompts (briefs anonymisés) | CCT |
| Google LLC | Modèles Gemini Pro / Flash pour recherche groundée et batch | États-Unis (région UE possible) | Prompts (briefs anonymisés) | CCT |
| Fal.ai | Génération d’images (FLUX, Recraft, Ideogram) | États-Unis | Prompts image, pas de données personnelles | CCT |
| Resend, Inc. | Envoi d’emails transactionnels (welcome, alerts, outreach) | États-Unis | Adresses email destinataires + contenu email | CCT |
| Stripe Payments Europe Ltd. | Traitement des paiements + facturation | Irlande | Email facturation, données carte (tokenisées par Stripe, nous ne les voyons pas) | EEE ✓ |
| Sentry (Functional Software, Inc.) | Monitoring d’erreurs applicatives | États-Unis (région UE) | Stack traces, métadonnées de requête (PII scrubée côté serveur) | CCT |
| Langfuse GmbH | Observabilité des appels IA (latence, coûts, qualité) | Allemagne | Métadonnées de prompts (pas de contenu utilisateur) | EEE ✓ |
| Apollo.io | Enrichissement B2B de prospects (cold outreach) | États-Unis | Domaines + intitulés de poste pour matching | CCT |
| Unipile SAS | API LinkedIn (DM + invitations), alternative au programme partenaire LinkedIn | France | Identifiants LinkedIn du compte autorisé | EEE ✓ |
| Vapi.ai | Orchestration des appels téléphoniques de nos assistants vocaux (Capi en accueil entrant ; Nora en rétention, sur les appels entrants que Capi lui transfère et en sortant ; Hugo en sortant) : c’est Vapi qui appelle pour notre compte le transcripteur, la synthèse vocale et la détection de répondeur. Par défaut, Vapi enregistre les appels et conserve transcriptions et journaux. | États-Unis | Numéros de téléphone, audio des appels, transcriptions et journaux d’appel pouvant contenir des données personnelles | CCT |
| ElevenLabs Inc. | Voix de secours de Capi (accueil téléphonique), voix de Nora et Hugo, message répondeur avec la voix (outil gratuit), transcription des notes vocales reçues par WhatsApp et Telegram, et production audio de nos vidéos | États-Unis (stockage par défaut ; aucun hébergement européen sur l’offre utilisée) | Texte à synthétiser, et l’audio des notes vocales envoyées à Capi, qui peut contenir des données personnelles. Pas de voix de l’interlocuteur pendant un appel téléphonique | CCT |
| Cartesia AI, Inc. | Synthèse vocale (Sonic 3.5) de Capi, l’accueil téléphonique | États-Unis | Texte à synthétiser (pas de voix de l’interlocuteur) | CCT |
| Gladia SAS | Transcription en temps réel (Solaria-1) des appels de Nora et Hugo : appels sortants, et appels entrants que Capi transfère à Nora | France (hébergement par défaut chez un prestataire européen situé en France, selon le fournisseur) | Flux audio de ces appels pouvant contenir des données personnelles. Le fournisseur indique une conservation par défaut jusqu’à 12 mois et n’entraîne pas ses modèles sur les enregistrements ; la durée appliquée à notre accès via Vapi n’est pas vérifiée à ce jour. | EEE ✓ |
| AssemblyAI, Inc. | Transcription en temps réel (Universal-3.6 Pro) des appels de Capi, l’accueil téléphonique | États-Unis (point d’entrée par défaut du fournisseur ; son option de résidence européenne n’est pas activée à ce jour) | Flux audio des appels entrants et sortants de Capi pouvant contenir des données personnelles. Le fournisseur indique une conservation nulle de l’audio et des transcriptions en flux continu pour les comptes exclus de l’entraînement de ses modèles ; le statut de notre accès via Vapi n’est pas vérifié à ce jour. | CCT |
| Deepgram, Inc. | Transcription de repli (Nova-3) pour Capi, uniquement si AssemblyAI ne répond pas | États-Unis | Flux audio des appels de Capi pendant une bascule, pouvant contenir des données personnelles. Durée de conservation non documentée par nous à ce jour. | CCT |
| Google LLC (détection de répondeur) | Détection de répondeur au début des appels, via l’orchestrateur Vapi : appels sortants de Nora et Hugo ; l’option est aussi configurée, à ce jour, sur la ligne entrante (Capi, et Nora quand Capi lui transfère un appel) | États-Unis | Audio du début d’appel, pendant au plus 30 secondes par défaut, le temps de décider si un répondeur a décroché. Conservation non documentée par l’orchestrateur. | CCT |
| Google LLC (Analytics 4 + Tag Manager) | Analytics web + déclencheurs marketing | États-Unis | Adresse IP anonymisée, événements de navigation (consentement requis) | CCT |
| Trustpilot A/S | Recueil et affichage d’avis clients | Danemark | Email destinataire de l’invitation à laisser un avis | EEE ✓ |
| Telnyx LLC | Carrier PSTN (numéros français +33) derrière l’agent vocal et la messagerie SMS récap | Pays-Bas / EU | Numéros de téléphone, métadonnées d’appel (CDR), contenu SMS récap post-call | EEE ✓ |
Données utilisées pour entraîner des modèles IA
Vos données ne sont jamais utilisées pour entraîner les modèles IA de nos sous-traitants. Nous activons spécifiquement les options « Zero Data Retention » et « no-training » disponibles chez Anthropic, OpenAI, Google et Fal.ai. Les prompts envoyés à ces fournisseurs ne sont conservés qu'à des fins d'observabilité technique chez Langfuse (métadonnées uniquement), pendant 30 jours maximum.