Cette page recense les prestataires auxquels Cleo IA fait appel pour fournir le service et qui, à ce titre, peuvent traiter des données personnelles pour notre compte. Elle est versionnée : chaque modification est datée et conservée ci-dessous.
Préavis de changement
Nous vous informons de tout ajout ou remplacement d'un sous-traitant au moins 30 jours avant qu'il ne prenne effet, par notification dans l'application et par e-mail à l'adresse associée à votre compte. Ce préavis vous laisse le temps de vous opposer au changement ; en cas d'opposition, vous pouvez résilier sans frais.
Fournisseurs de modèles d'IA
| Sous-traitant | Finalité | Catégories de données | Établissement / traitement | Garantie de transfert |
|---|---|---|---|---|
| Anthropic | Génération de réponses, agents Office et navigateur, production de présentations et de tableurs | Prompts, historique de conversation, contenus et pièces jointes que vous soumettez, résultats d'outils | États-Unis | Non établie à ce jourCopie disponible sur demande |
| OpenAI | Génération de réponses, vecteurs d'index de la base de connaissances, transcription, génération d'images, recherche web | Prompts, historique de conversation, contenus soumis, texte des documents indexés, fichiers audio | États-Unis | Non établie à ce jourCopie disponible sur demande |
| Google (Vertex AI, Gemini, Cloud Vision) | Génération de réponses, reconnaissance de texte dans les documents (OCR), recherche web, transcription | Prompts, historique de conversation, images de pages de vos documents, fichiers audio | UE et États-Unis | Non établie à ce jourCopie disponible sur demande |
| Mistral AI | Génération de réponses, transcription de fichiers audio téléversés | Prompts, historique de conversation, contenus soumis, fichiers audio | France | Traitement dans l'EEE — pas de transfertCopie disponible sur demande |
| xAI (Grok) | Génération de réponses (modèles Grok) | Prompts, historique de conversation, contenus soumis | États-Unis | Non établie à ce jourCopie disponible sur demande |
| ByteDance / BytePlus (Seedream) | Génération d'images (modèles Seedream) | Prompts de génération d'images, images source que vous fournissez | Singapour | Non établie à ce jourCopie disponible sur demande |
| Vercel AI Gateway | Passerelle technique acheminant les appels vers les fournisseurs de modèles | L'intégralité du trafic de prompts et de réponses transite par cette passerelle lorsqu'elle est activée | Non établi à ce jour | Non établie à ce jourCopie disponible sur demande |
| Cohere | Reclassement des extraits retrouvés dans votre base de connaissances, pour faire remonter les plus pertinents | Le texte de votre recherche et les extraits de vos documents indexés soumis au reclassement | Non établi à ce jour | Non établie à ce jourCopie disponible sur demande |
| Cloudflare (AI Gateway) | Passerelle technique acheminant certaines demandes de génération d'images vers le fournisseur de modèle | La description que vous rédigez et l'image produite transitent par cette passerelle lorsqu'elle est activée | Non établi à ce jour | Non établie à ce jourCopie disponible sur demande |
Anthropic — Pour produire un tableur ou une présentation, vos fichiers sont téléversés chez ce prestataire et traités dans son environnement d'exécution. La recherche web intégrée s'appuie par ailleurs sur Brave Search, sous-traitant ultérieur d'Anthropic.
Google (Vertex AI, Gemini, Cloud Vision) — Notre configuration privilégie une région européenne (europe-west1). Nous ne pouvons cependant pas garantir que 100 % des appels y restent : un repli vers une région non européenne existe lorsque le modèle demandé n'est pas disponible en Europe, et une partie du trafic emprunte une interface non épinglée à l'UE. Nous préférons le dire.
Vercel AI Gateway — Cet intermédiaire est réellement dans le chemin de la donnée, ce qui justifie de le nommer plutôt que de le fondre dans l'hébergement.
Cohere — L'appel n'est pas émis par notre application mais par notre service d'indexation documentaire, au moment de la recherche. Le pays où il aboutit n'est donc pas établissable depuis notre configuration : nous l'écrivons plutôt que de le supposer.
Cloudflare (AI Gateway) — Seconde passerelle du service, distincte de celle de Vercel. Comme elle, elle se trouve réellement sur le chemin de la donnée : nous la nommons plutôt que de la fondre dans l'hébergement.
Voix et transcription
| Sous-traitant | Finalité | Catégories de données | Établissement / traitement | Garantie de transfert |
|---|---|---|---|---|
| AssemblyAI | Transcription et identification des locuteurs pour les réunions | Enregistrements audio, transcriptions, étiquettes de locuteur | Union européenne | Traitement dans l'EEE — pas de transfertCopie disponible sur demande |
| ElevenLabs | Synthèse vocale, clonage et conception de voix, génération de musique et d'effets sonores (Cleo Studio) | Textes à vocaliser, échantillons de voix que vous téléversez | États-Unis | Non établie à ce jourCopie disponible sur demande |
ElevenLabs — Un échantillon de voix constitue une donnée biométrique lorsqu'il sert à identifier une personne. N'utilisez le clonage de voix qu'avec le consentement explicite de la personne concernée.
Production de documents et de médias
| Sous-traitant | Finalité | Catégories de données | Établissement / traitement | Garantie de transfert |
|---|---|---|---|---|
| Skywork AI | Production de présentations et de documents | Contenu du document ou de la présentation à produire | Chine | Non établie à ce jourCopie disponible sur demande |
| Replicate | Traitement d'images (agrandissement, détourage) | Images que vous téléversez | États-Unis | Non établie à ce jourCopie disponible sur demande |
| Carbone | Rendu de documents bureautiques et de PDF | Contenu du document à produire | Non établi à ce jour | Non établie à ce jourCopie disponible sur demande |
Recherche web
| Sous-traitant | Finalité | Catégories de données | Établissement / traitement | Garantie de transfert |
|---|---|---|---|---|
| Tavily | Recherche sur le web, déclenchée par l'assistant lorsque votre demande le nécessite | Les termes de la recherche tels qu'ils sont formulés — ils peuvent nommer une personne | Non établi à ce jour | Non établie à ce jourCopie disponible sur demande |
| Serper | Recherche sur le web, en relais lorsque le fournisseur principal est indisponible | Les termes de la recherche tels qu'ils sont formulés — ils peuvent nommer une personne | Non établi à ce jour | Non établie à ce jourCopie disponible sur demande |
| Perplexity | Recherche web approfondie, avec citation des sources | Les termes de la recherche approfondie et le contexte que vous y joignez | États-Unis | Non établie à ce jourCopie disponible sur demande |
Tavily — La requête sort de l'Espace économique européen ; le pays où elle est traitée n'est pas établi par notre configuration.
Serper — Même réserve que pour le fournisseur principal : la requête sort de l'Espace économique européen et le pays de traitement n'est pas établi.
Perplexity — Déclaré sans être activé à ce jour : la fonction s'appuie aujourd'hui sur d'autres fournisseurs. Nous l'annonçons à l'avance parce qu'une activation doit respecter le préavis indiqué plus haut.
Infrastructure et hébergement
| Sous-traitant | Finalité | Catégories de données | Établissement / traitement | Garantie de transfert |
|---|---|---|---|---|
| Supabase | Base de données, authentification, stockage des fichiers | L'ensemble des données de compte et des contenus que vous nous confiez | Union européenne | Traitement dans l'EEE — pas de transfertCopie disponible sur demande |
| Vercel | Hébergement et exécution de l'application | Toute donnée transitant par une requête, journaux d'exécution | France | Traitement dans l'EEE — pas de transfertCopie disponible sur demande |
| Scaleway | Traitements asynchrones et longs, analyse de documents | Prompts et contenus transmis aux traitements différés | France | Traitement dans l'EEE — pas de transfertCopie disponible sur demande |
| Render | Service d'indexation et de recherche de la base de connaissances | Texte intégral de chaque document indexé et de chaque recherche effectuée | Union européenne | Traitement dans l'EEE — pas de transfertCopie disponible sur demande |
| Upstash | Cache applicatif et limitation du débit des requêtes | Adresse IP (clé de limitation), compteurs techniques | Non établi à ce jour | Non établie à ce jourCopie disponible sur demande |
Supabase — Nos accès sont configurés sur des régions européennes (Francfort et Irlande).
Render — Ce prestataire reçoit le contenu de vos documents. Son hébergement est situé à <b>Francfort, en Allemagne</b> : ce traitement a donc lieu dans l'Espace économique européen. Cette région est fixée par notre configuration de déploiement pour l'analyse documentaire ; pour le service d'indexation, elle a été établie auprès de l'exploitant, la console du prestataire ne l'exposant pas dans nos fichiers de configuration.
Paiement
| Sous-traitant | Finalité | Catégories de données | Établissement / traitement | Garantie de transfert |
|---|---|---|---|---|
| Stripe | Encaissement, abonnements, facturation et TVA | Identité, adresse e-mail, adresse de facturation, numéro de TVA, téléphone, historique des transactions | États-Unis et UE | Non établie à ce jourCopie disponible sur demande |
Stripe — Lorsque vous avez accepté la publicité, nos identifiants publicitaires (identifiants de navigation et de clic, adresse IP, agent utilisateur) sont également déposés dans la fiche client de ce prestataire, afin que la conversion puisse être rapportée après le paiement.
| Sous-traitant | Finalité | Catégories de données | Établissement / traitement | Garantie de transfert |
|---|---|---|---|---|
| Resend | Envoi des e-mails du service (sécurité, facturation, notifications) | Adresse e-mail du destinataire, prénom, contenu du message, codes à usage unique, statut de remise | États-Unis | Non établie à ce jourCopie disponible sur demande |
| Mailgun (Sinch) | Réception des e-mails que vous transférez vers votre base de connaissances | Message entrant complet : expéditeur, destinataires, objet, corps et pièces jointes | Union européenne | Traitement dans l'EEE — pas de transfertCopie disponible sur demande |
Mailgun (Sinch) — Ce prestataire n'intervient qu'en réception, pour la fonction d'archivage d'e-mails vers la base de connaissances. Aucun e-mail sortant ne transite par lui.
Mesure d'audience et consentement
| Sous-traitant | Finalité | Catégories de données | Établissement / traitement | Garantie de transfert |
|---|---|---|---|---|
| Google Analytics / Tag Manager | Mesure d'audience du site et de l'application | Identifiants de mesure, pages consultées, adresse IP, agent utilisateur | États-Unis | Non établie à ce jourCopie disponible sur demande |
| Microsoft Clarity | Analyse d'usage et rejeu de session | Enregistrement des interactions de navigation, pages consultées, adresse IP, agent utilisateur | États-Unis | Non établie à ce jourCopie disponible sur demande |
| Vercel Analytics & Speed Insights | Mesure d'audience et de performance des pages | Pages consultées, mesures de performance, agent utilisateur | Non établi à ce jour | Non établie à ce jourCopie disponible sur demande |
| Axeptio | Recueil et mémorisation de votre choix en matière de cookies | Identifiant de visiteur, choix exprimé et sa date | France | Traitement dans l'EEE — pas de transfertCopie disponible sur demande |
Publicité
| Sous-traitant | Finalité | Catégories de données | Établissement / traitement | Garantie de transfert |
|---|---|---|---|---|
| Meta (Facebook, Instagram) | Mesure de conversion et audiences publicitaires | Empreinte de l'adresse e-mail, identifiant externe, empreinte du téléphone, du prénom et du nom, identifiants de navigation et de clic, adresse IP et agent utilisateur en clair | États-Unis | Non établie à ce jourCopie disponible sur demande |
| LinkedIn (Microsoft) | Mesure de conversion publicitaire | Empreinte (SHA-256) de l'adresse e-mail | États-Unis | Non établie à ce jourCopie disponible sur demande |
| Google Ads | Mesure de conversion publicitaire et attribution des clics | Adresse e-mail, prénom et nom (empreints par la balise avant transmission), identifiants de clic | États-Unis | Non établie à ce jourCopie disponible sur demande |
Meta (Facebook, Instagram) — C'est le partage le plus étendu de cette liste. Il n'a lieu qu'après votre accord et cesse dès son retrait.
Google Ads — L'adresse e-mail, le prénom et le nom transitent en clair par la couche de données de votre navigateur avant d'être empreints par la balise.
Enrichissement à l'inscription
| Sous-traitant | Finalité | Catégories de données | Établissement / traitement | Garantie de transfert |
|---|---|---|---|---|
| Pappers | Vérification des informations légales de votre entreprise à l'inscription | Dénomination, SIREN, numéro de TVA, nom et prénom des représentants légaux | France | Traitement dans l'EEE — pas de transfertCopie disponible sur demande |
| RocketReach | Préremplissage de votre profil professionnel à l'inscription | Adresse de votre profil professionnel public, et en retour : nom, prénom, fonction, employeur, localisation, parcours | États-Unis | Non établie à ce jourCopie disponible sur demande |
| Firecrawl | Lecture du site web de votre entreprise à l'inscription | Adresse du site que vous indiquez, et contenu public qui s'y trouve | États-Unis | Non établie à ce jourCopie disponible sur demande |
RocketReach — Cet enrichissement n'a lieu que si vous fournissez vous-même l'adresse de votre profil. Vous pouvez nous demander de le désactiver et d'effacer les données ainsi obtenues.
Intégrations que vous activez
| Sous-traitant | Finalité | Catégories de données | Établissement / traitement | Garantie de transfert |
|---|---|---|---|---|
| Google Workspace | Messagerie, agenda, contacts et fichiers, lorsque vous connectez le service | Uniquement le contenu auquel vous nous donnez accès et que vous demandez de traiter | États-Unis | Non établie à ce jourCopie disponible sur demande |
| Microsoft 365 | Messagerie, agenda et fichiers, lorsque vous connectez le service | Uniquement le contenu auquel vous nous donnez accès et que vous demandez de traiter | États-Unis | Non établie à ce jourCopie disponible sur demande |
« Traitement dans l'EEE » : la localisation est établie par notre configuration technique ; aucun transfert hors Espace économique européen n'a lieu, donc aucune garantie de transfert n'est requise. « Non établie à ce jour » : un transfert hors EEE a lieu, ou sa localisation reste à confirmer, et l'instrument juridique précis qui l'encadre n'est pas encore vérifiable de notre côté. Nous l'écrivons plutôt que de le présumer. Dans tous les cas, une copie des garanties applicables est disponible sur demande à dpo@cleoia.com.
Historique des versions
Version 2026-08-27
Ajout de cinq prestataires appelés par le service et absents de cette liste : Cohere (reclassement des résultats de recherche dans votre base de connaissances), Cloudflare (passerelle de génération d'images), Tavily et Serper (recherche web), Perplexity (recherche approfondie, déclarée avant toute activation). Nouvelle rubrique « Recherche web ». Aucun prestataire retiré. Par ailleurs, correction d'une phrase de la notice de confidentialité qui attribuait au Studio des modèles d'images qu'il n'appelle pas.
Version 2026-08-11
Région d'hébergement de Render établie : Francfort (Allemagne). Cette ligne portait la mention « non établie » ; le traitement a lieu dans l'Espace économique européen et la garantie de transfert devient sans objet. Aucun sous-traitant ajouté ni retiré.
Version 2026-08-07
Première publication de la liste versionnée. Ajout des prestataires qui manquaient à la politique de confidentialité : voix (AssemblyAI, ElevenLabs), e-mail (Resend, Mailgun), passerelle de modèles (Vercel AI Gateway), production de documents et de médias (Skywork, Replicate, Carbone), mesure d'audience et recueil du consentement (Google Analytics, Microsoft Clarity, Vercel Analytics, Axeptio), publicité (Meta, LinkedIn, Google Ads) et enrichissement à l'inscription (Pappers, RocketReach, Firecrawl). Ventilation de la garantie de transfert par sous-traitant.
Cette liste et les tableaux de la politique de confidentialité sont produits à partir du même catalogue interne : elles ne peuvent pas diverger.
Pour toute question sur cette liste, ou pour obtenir copie des garanties applicables à un sous-traitant : dpo@cleoia.com.