English
Italiano
Español
Français
Deutsch
Português
ไทย
日本語
Dernière mise à jour : 25 octobre 2026 (version 1.1).
1. Objet
Le présent document identifie les sous-traitants ultérieurs tiers engagés par GlobeID Limited
(« GlobeID ») pour traiter des Données à caractère personnel pour le compte des Clients dans le cadre des
services PassportScan Cloud, conformément à l'article 28, paragraphes 2 et 4, du RGPD.
La présente Liste des sous-traitants ultérieurs fait partie intégrante de l'Accord de traitement des données (DPA).
2. Principes généraux
- Les sous-traitants ultérieurs ne sont engagés que lorsque cela est strictement nécessaire à la fourniture des Services
- Tous les sous-traitants ultérieurs sont liés par des accords écrits de protection des données imposant des obligations au moins aussi protectrices que celles énoncées dans le DPA
- GlobeID demeure pleinement responsable des actes et omissions de ses sous-traitants ultérieurs conformément à l'article 28, paragraphe 4, du RGPD
- Les bases de données principales de la plateforme sont hébergées exclusivement au sein de l'Union européenne (AWS eu-west-1 – Irlande)
- Lorsque le stockage S3 régional est activé, les images de documents sont stockées dans la région AWS correspondant à la juridiction opérationnelle de l'hôtel
- Aucune réplication inter-régions des bases de données principales n'est configurée
- PassportScan Cloud ne maintient pas d'environnement de données de titulaires de cartes (CDE)
3. Sous-traitants ultérieurs autorisés (tableau unifié)
| Sous-traitant ultérieur | Catégorie de service | Objet / Fonction | Catégories de données traitées | Lieu de traitement |
|---|---|---|---|---|
| Amazon Web Services, Inc. (AWS) | Infrastructure et hébergement cloud | Hébergement des services applicatifs, bases de données, stockage d'objets chiffré (S3), sauvegardes, sécurité de l'infrastructure | Données d'identité, données de réservation, journaux, images de documents (le cas échéant) | Principal : UE (Irlande – eu-west-1). S3 : région alignée sur la juridiction de l'hôtel — actuellement UE (Irlande), États-Unis (us-east-1), Brésil (sa-east-1), Singapour (ap-southeast-1) et Australie (ap-southeast-2) |
| Clerk, Inc. | Identité et authentification | Authentification des utilisateurs, vérification d'identité, gestion du cycle de vie des sessions | Adresse e-mail, adresse IP, métadonnées d'appareil, jetons de session | Tel qu'indiqué dans la documentation de Clerk |
| Datadog, Inc. | Journalisation et surveillance | Surveillance de l'infrastructure, surveillance des performances applicatives, journalisation de sécurité, détection des anomalies | Journaux applicatifs et d'infrastructure : métadonnées des requêtes et, lorsqu'ils sont capturés, contenu des requêtes et des réponses ; adresses IP ; événements d'authentification ; diagnostics techniques. Les données à caractère personnel et les secrets sont masqués dans les services avant l'envoi des journaux à Datadog | UE (site Datadog UE – datadoghq.eu) |
| Google LLC (reCAPTCHA Enterprise) | Protection contre les robots et prévention des abus | Protection contre les robots et les abus pour l'application d'auto-enregistrement destinée aux clients de l'hôtel | Adresses IP des clients de l'hôtel, signaux d'appareil et de navigateur | Tel qu'indiqué par Google |
| Google LLC (Google Workspace) | Communications professionnelles | E-mails et documents utilisés pour la correspondance avec le support client ; toute Donnée à caractère personnel du Client y figure de manière incidente dans le cadre de cette correspondance | Coordonnées et contenu de la correspondance avec le support (à titre incident) | Tel qu'indiqué par Google |
| Stripe, Inc. | Traitement des paiements | Transactions d'achat de crédits et activation de compte | Traitées par Stripe : données de carte de paiement, informations de facturation, identifiants de transaction. Reçues par PassportScan Cloud : identifiant de transaction, statut du paiement, montant, devise, e-mail de facturation (le cas échéant) | Tel qu'indiqué dans la documentation de Stripe |
4. Exclusions explicites
- La reconnaissance optique de caractères (OCR) des documents d'identité est effectuée par un moteur exploité entièrement au sein de l'environnement AWS propre à GlobeID : les images de documents ne sont jamais transmises à un prestataire OCR externe
- Les outils internes exploités par GlobeID (plateforme d'exploitation, CI/CD, VPN) ne constituent pas des sous-traitants ultérieurs tiers ; l'hébergement sous-jacent est couvert par l'entrée AWS ci-dessus
- Les outils d'ingénierie logicielle utilisés en interne, y compris les outils de développement assistés par IA, n'ont pas accès aux Données à caractère personnel des Clients et ne constituent donc pas des sous-traitants ultérieurs
- Les environnements de développement et de test ne contiennent pas de Données à caractère personnel des Clients
- Aucun sous-traitant ultérieur autre qu'AWS, qui en tant qu'hébergeur gère le chiffrement au repos côté serveur, n'a accès aux données des documents d'identité
- PassportScan Cloud ne stocke ni ne traite les numéros de cartes de paiement en clair, les codes CVV ou les dates d'expiration
- Stripe traite les données des titulaires de cartes au sein de son infrastructure conforme à la norme PCI-DSS
- Aucune réplication inter-régions des bases de données de production principales n'est activée
5. Transferts internationaux de données
Lorsque des sous-traitants ultérieurs traitent des données en dehors de l'Espace économique européen (EEE),
GlobeID veille à ce que des garanties appropriées soient mises en œuvre, y compris les Clauses
contractuelles types (CCT) ou d'autres mécanismes de transfert licites conformément au chapitre V du RGPD.
Pour le stockage S3 régional en dehors de l'EEE, les transferts sont fondés sur l'Addendum relatif au traitement des données d'AWS et les CCT applicables.
6. Mises à jour et notifications
GlobeID peut mettre à jour la présente Liste des sous-traitants ultérieurs de temps à autre.
Conformément à l'article 28, paragraphe 2, du RGPD ainsi qu'au mécanisme de notification et au délai de préavis prévus dans le DPA, GlobeID informera les Clients à l'avance de tout ajout ou remplacement envisagé de sous-traitants ultérieurs, en donnant aux Clients la possibilité de s'y opposer, et publiera une version mise à jour de la
Liste des sous-traitants ultérieurs.
Lorsque le droit applicable ou le DPA l'exige, les Clients peuvent s'opposer conformément à
la procédure contractuelle prévue dans le DPA.
La version la plus récente du présent document sera toujours publiée avec la date de mise à jour.
