Qui d’autre peut voir votre texte.

Il s’agit de la déclaration contractuelle relative aux sous-traitants que les articles 28(2) et 28(4) du RGPD, ainsi que les dispositions équivalentes d’autres lois sur la protection des données, exigent d’un sous-traitant. Elle est intégrée à l’Avenant de traitement des données et complète son Annexe III. Les catégories opérationnelles sont publiées dans le Centre de confiance, et les fournisseurs nommés derrière celles-ci sont fournis sur demande sous accord de confidentialité. Ensemble, ils constituent l’autorisation écrite générale que vous nous accordez pour engager des sous-traitants, ainsi que le mécanisme permettant de maintenir cette autorisation à jour.

Le Centre de confiance génère le tableau des sous-traitants directement à partir du fichier de configuration que l’application elle-même lit, de sorte que ce que vous voyez publié et ce que le système est autorisé à appeler constituent une seule et même source plutôt que deux. Copier ce tableau dans cette page créerait une seconde source qui dériverait silencieusement : un document juridique qui nomme cinq fournisseurs alors que la plateforme en appelle six est pire qu’un lien, car il passe pour une garantie. Ainsi, cette page décrit les catégories, énonce les engagements et renvoie au tableau. Si vous avez besoin d’un instantané daté de la liste pour un dossier de diligence, demandez-le et nous vous l’enverrons.

Traduction IA et qualité : reçoit les chaînes sources, leur contexte environnant, les termes de glossaire et les instructions de style, et retourne les traductions, les constats de qualité et les suggestions. Embeddings de texte pour la mémoire des quasi-correspondances : reçoit les chaînes sources, et n’est engagé que lorsqu’un projet active la mémoire de traduction sémantique. Un moteur de traduction alternatif, accessible via un routeur API et hébergé séparément : reçoit les chaînes sources, et n’est engagé que lorsqu’un opérateur y achemine un niveau. Hébergement cloud, base de données et stockage d’objets : conserve tout ce que la plateforme stocke. Traitement des paiements : reçoit les coordonnées de facturation et les données de l’instrument de paiement, et n’est engagé que pour les plans payants. Livraison d’e-mails transactionnels : reçoit l’adresse du destinataire et le corps du message d’un courriel produit. Messagerie de support intégrée au produit : reçoit le nom, l’adresse courriel et l’identifiant de connexion d’un utilisateur connecté qui ouvre une conversation, et n’est engagée que lorsque le messenger de support est activé.

Le Centre de confiance indique la région dans laquelle chaque sous-traitant opère. À la date d’entrée en vigueur, le traitement de la traduction IA et des embeddings a lieu aux États-Unis, un moteur de traduction optionnel est hébergé à Singapour, le traitement des paiements a lieu aux États-Unis et dans l’Union européenne, et l’hébergement s’effectue dans une région cloud unique fixée au déploiement. Il n’existe actuellement aucun épinglage de région par projet ou par client, et nous n’en vendons pas. La clause 14 de la Politique de confidentialité et les clauses 15 et 16 de l’Avenant de traitement des données décrivent les garanties de transfert.

Certains sous-traitants interviennent systématiquement lorsque vous utilisez le Service. D’autres sont conditionnels, et le Centre de confiance indique la condition dans la ligne correspondante plutôt que dans une note de bas de page : le fournisseur d’embeddings n’est sollicité que lorsqu’un projet active la mémoire de traduction sémantique, laquelle est désactivée par défaut; le moteur de traduction alternatif n’est sollicité que lorsqu’un opérateur y achemine un niveau, la version canary ou le harnais d’évaluation, ce qui est désactivé par défaut; le processeur de paiement n’est sollicité que pour un forfait payant; la messagerie d’assistance n’est sollicitée que lorsqu’elle est activée. Un sous-traitant conditionnel que votre configuration ne déclenche jamais ne reçoit jamais vos données.

L’application sait quels fournisseurs de traduction un déploiement peut réellement appeler, et un test automatisé compare cet ensemble à la liste de divulgation publiée. Si un fournisseur devient accessible sans qu’une ligne le nomme, avec une région réelle et une condition d’engagement véridique, la construction échoue. C’est le mécanisme qui sous-tend l’affirmation selon laquelle nous vous informons avant qu’un nouveau moteur ne voie votre texte : il devient impossible, et non simplement déconseillé, d’acheminer vers un fournisseur sans le divulguer. L’ajout spéculatif d’un fournisseur est refusé pour la même raison, mais en sens inverse, car lister un sous-traitant avant qu’il ne soit accessible constitue en soi une fausse déclaration.

Nous donnons un préavis d’au moins trente jours avant qu’un nouveau sous-traitant commence à traiter les données personnelles des clients, par courriel aux propriétaires du compte et en publiant le changement dans le Centre de confiance. L’avis est donné avant le début du traitement, et non après, et il mentionne le fournisseur, la finalité, la région et la condition. Lorsqu’un changement nous est imposé avec un préavis plus court, par exemple parce qu’un fournisseur existant est acquis ou met fin à un service, nous vous en informons dès que possible et expliquons pourquoi le délai a été réduit.

Vous pouvez vous opposer à un nouveau sous-traitant pour des motifs raisonnables et documentés liés à la protection des données durant la période de préavis, en écrivant à l’adresse dédiée à la vie privée. Nous collaborerons avec vous de bonne foi pour trouver un moyen d’éviter le traitement, ce qui peut inclure un changement de configuration qui empêche le sous-traitant conditionnel d’intervenir dans votre flux. Si nous n’y parvenons pas dans un délai raisonnable, vous pouvez résilier l’abonnement concerné sans pénalité et recevoir un remboursement au prorata des frais prépayés et non utilisés. Nous ne considérerons pas une opposition faite de bonne foi comme une violation ni comme un motif de dégradation de votre service.

Nous évaluons un sous-traitant potentiel selon sa posture de sécurité, ses engagements en matière de protection des données, ses pratiques de conservation et de suppression, son mécanisme de transfert et, pour un fournisseur d’IA, sa position concernant l’entraînement. Nous concluons un contrat écrit qui impose des obligations de protection des données au moins aussi protectrices que celles de notre propre Addendum sur le traitement des données, y compris la confidentialité, les mesures de sécurité, l’assistance, la notification de violation, la suppression et l’audit. Nous restons entièrement responsables envers vous de l’exécution des obligations d’un sous-traitant. Lorsqu’un fournisseur d’IA est engagé, le contrat interdit l’entraînement sur votre contenu, engagement unique que nous ne sacrifierons pas pour obtenir un meilleur prix.

Lorsque vous connectez un dépôt, une plateforme de contenu, un compartiment de stockage, un espace de discussion ou un suivi de bogues, ce système relève de votre fournisseur plutôt que du nôtre : vous fournissez les identifiants, vous définissez la portée et vous décidez de ce qui est transféré. Il en va de même pour un point de terminaison webhook que vous enregistrez et pour un fournisseur de traduction automatique que vous configurez avec votre propre clé. Nous sommes le sous-traitant des données tant qu’elles se trouvent dans nos systèmes, et le transfert vers votre propre tiers s’effectue sur votre instruction. Leurs conditions générales et leur politique de confidentialité régissent ce qu’ils font avec ces données, et nous ne les listons pas ici parce que lister le sous-traitant de quelqu’un d’autre comme étant le nôtre serait trompeur dans les deux sens.

Lorsque nous engageons une société affiliée pour traiter les données personnelles des clients, cette affiliée est considérée comme un sous-traitant et figure sur la liste avec les mêmes détails de finalité, de région et de conditions que tout autre tiers. Nous n’utilisons pas une société affiliée comme moyen de déplacer le traitement vers un nouveau pays sans divulgation.

L’avis est envoyé par courriel aux propriétaires de compte, donc la première chose à faire est de s’assurer que l’adresse de chaque propriétaire de compte correspond à une boîte de lecture active plutôt qu’à l’adresse personnelle d’un fondateur. Si vous souhaitez ajouter un deuxième destinataire ou un flux de modifications pour une équipe de conformité, écrivez à privacy@transglot.ai et nous l’ajouterons. Nous conservons un historique daté des modifications apportées à la liste et le fournirons sur demande pour un dossier de diligence.

Les questions concernant un sous-traitant, une opposition, un instantané daté de la liste ou un mécanisme de transfert pour un fournisseur spécifique doivent être adressées à privacy@transglot.ai. Le Centre de confiance offre la réponse la plus rapide à la plupart d’entre elles, et il est conçu de sorte qu’un examinateur n’ait pas besoin d’écrire à quiconque pour terminer une évaluation.