Chapitre 12 / 16 · RGPD

Transferts hors Union européenne

Certains prestataires sont établis aux États-Unis ou dans d’autres pays qui ne bénéficient pas d’une décision d’adéquation. Ce chapitre explique les garanties que nous mettons en place et ce que vous pouvez demander.

Décisions d’adéquation

Lorsque la Commission européenne a reconnu qu’un pays assure un niveau de protection adéquat, le transfert peut s’opérer sur ce fondement (article 45 du RGPD). Le Data Privacy Framework UE–États-Unis peut s’appliquer à un prestataire américain qui y est certifié (par exemple certains services Google, Stripe ou d’infrastructure, selon leur statut du moment).

Clauses contractuelles types

À défaut d’adéquation, nous nous appuyons sur les clauses contractuelles types de la Commission (article 46), complétées si besoin par des mesures techniques (chiffrement en transit et au repos, minimisation, habilitations). C’est le régime habituel pour un CDN, un prestataire d’e-mail, un outil de supervision ou un login social lorsque le traitement sort de l’EEE.

Prestataires concernés aujourd’hui

Sans préjudice de la liste du chapitre Destinataires :

• Stripe, PayPal : paiement, fraude, KYC prestataire — UE et/ou États-Unis.
• Discord, Google : OAuth et, le cas échéant, serveurs liés — États-Unis.
• Giphy : recherche de GIF — États-Unis.
• IPinfo : géolocalisation approximative d’IP — États-Unis.
• Laravel Nightwatch : supervision, si activé — États-Unis.
• Cloudflare R2 / CDN : fichiers ; juridiction visée Union européenne pour R2 EU, avec réseau mondial possible pour le CDN.
• Mistral AI : assistance / modération automatique — France / UE.

L’hébergement de la base MySQL, de Redis et du temps réel (Reverb) est situé sur l’infrastructure choisie par le responsable. Les e-mails transactionnels suivent le prestataire SMTP configuré.

Risques résiduels

Un prestataire américain peut être soumis à des accès des autorités de ce pays. Nous ne pouvons pas garantir l’absence de toute injonction extra-européenne. Les mesures (chiffrement, contrats, certification DPF lorsqu’elle existe) visent à ramener le risque à un niveau compatible avec le RGPD, conformément aux orientations du CEPD après l’arrêt Schrems II.

Vos demandes

Vous pouvez demander une copie des garanties essentielles (clauses, certification) à [email protected], sous réserve des secrets d’affaires et de la sécurité. Un refus partiel sera motivé. Vous pouvez aussi vous opposer, pour des raisons tenant à votre situation, à un traitement fondé sur l’intérêt légitime qui impliquerait un transfert, dans les limites de l’article 21.

Login social : si vous ne souhaitez pas de transfert vers Discord ou Google, n’utilisez pas ces boutons et créez un compte e-mail / mot de passe.

Contact : Royalty Structure (Genesus Groupe) — Disquzz. aucun. [email protected] · aucun

Tu peux aussi déposer une réclamation auprès de la CNIL : cnil.fr/fr/plaintes