1. Aperçu
ArtInStack (« nous ») exploite la plateforme ArtInStack (les « Services »). Pour fournir les Services, nous engageons des sociétés tierces (« sous-traitants ») qui traitent des données personnelles pour notre compte.
Cette page :
- Liste les sous-traitants que nous engageons pour faire fonctionner la plateforme. Pour les données personnelles des Clients finaux des Créateurs, nous agissons en tant que sous-traitant selon les instructions du Créateur, et ces sociétés agissent comme nos sous-traitants. Pour les données de compte et de facturation des Créateurs eux-mêmes, nous agissons en tant que responsable du traitement, et ces sociétés sont nos prestataires de services.
- Complète notre Politique de confidentialité.
- Ne liste pas les outils qu’un Créateur choisit d’activer sur son propre site (par exemple ses propres réseaux publicitaires ou outils d’analyse). Les Créateurs restent responsables de ces outils. Voir ci-dessous Outils activés par le Créateur.
« Créateur » et « Client final » ont le sens donné dans nos Conditions d’utilisation. Pour les clients professionnels qui ont besoin de conditions contractuelles de traitement, consultez notre Accord de traitement des données (DPA).
2. Comment nous utilisons les sous-traitants
Nous engageons des sous-traitants pour :
- Héberger les applications, bases de données et sauvegardes ;
- Stocker et diffuser les médias (images, vidéo, fichiers) ;
- Traiter les paiements, le calcul des taxes et les versements ;
- Envoyer des e-mails transactionnels ;
- Envoyer des e-mails marketing et de campagne (Email Center) ;
- Protéger contre les abus et surveiller la fiabilité ;
- Exécuter les commandes d’impression à la demande lorsque les Créateurs utilisent des laboratoires intégrés ;
- Servir des tuiles de carte et la géocodification pour les fonctions de localisation et d’impact ; et
- Mesurer l’utilisation de notre propre site marketing.
Nous exigeons que les sous-traitants protègent les données personnelles dans le cadre d’accords écrits adaptés à leur rôle, tels que des conditions de traitement des données et des exigences de sécurité. Lorsque des données personnelles sont transférées hors de l’EEE ou du Royaume-Uni, nous nous appuyons sur les clauses contractuelles types (et tout addendum britannique le cas échéant), comme décrit plus en détail dans notre Politique de confidentialité et notre DPA.
3. Sous-traitants actuels
Cette liste est complète à la date indiquée comme Last updated / dernière mise à jour sur cette page. Les localisations sont indicatives : de nombreux fournisseurs traitent dans plusieurs régions et utilisent leurs propres sous-traitants. Consultez la documentation de chaque fournisseur pour les détails à jour.
| Sous-traitant | Finalité | Données typiquement traitées | Localisation | Informations sur la confidentialité |
|---|---|---|---|---|
| Google Cloud (Google LLC) | Runtime d’application, base de données PostgreSQL (Cloud SQL), sauvegardes, réseau, secrets. Notre système de gestion de contenu (Directus) est auto-hébergé sur cette infrastructure et n’est pas un sous-traitant distinct. | Données de compte, contenu, paramètres, commandes et journaux stockés par la plateforme | Iowa, États-Unis (us-central1) | policies.google.com/privacy |
| Cloudflare, Inc. | CDN, DNS, protection DDoS, mise en cache en périphérie, redimensionnement d’images, SSL de domaine personnalisé, protection Turnstile, stockage d’objets (R2) pour médias et sauvegardes | Adresse IP, journaux de requêtes, signaux appareil/navigateur, fichiers stockés et métadonnées | États-Unis ; réseau périphérique mondial. Région du bucket R2 de production : Eastern North America (ENAM) | cloudflare.com/privacypolicy |
| BunnyWay d.o.o. (Bunny.net) | Hébergement et streaming vidéo (Bunny Stream) et livraison CDN des actifs associés | Fichiers vidéo, métadonnées de lecture, IP et journaux du spectateur | Europe — stockage principal Frankfurt (DE) ; périphérie CDN mondiale | bunny.net/privacy |
| Stripe, Inc. | Facturation d’abonnement, paiement, calcul des taxes (Stripe Tax), Stripe Connect pour les ventes et versements des Créateurs, prévention de la fraude et conformité | Nom, e-mail, adresse de facturation, jetons de moyen de paiement, métadonnées de transaction et de taxe, identifiants de comptes Connect | États-Unis ; peut traiter à l’échelle mondiale | stripe.com/privacy |
| Resend, Inc. | E-mail transactionnel (connexion, reçus, invitations, notifications) | Adresse e-mail, contenu du message, événements de livraison | États-Unis | resend.com/legal/privacy-policy |
| Amazon Web Services, Inc. (Amazon SES) | E-mail marketing et campagnes (Email Center) : envois en volume ; gestion des rebonds et plaintes | Adresse e-mail, contenu du message, événements de livraison | États-Unis — N. Virginia (us-east-1) | aws.amazon.com/privacy |
| Functional Software, Inc. (Sentry) | Surveillance des erreurs et des performances | Adresse IP, données appareil/navigateur, traces de pile, identifiants utilisateur lorsqu’ils sont joints aux erreurs | États-Unis | sentry.io/privacy |
| Google LLC / Google Ireland Limited (Google Tag Manager et Google Analytics 4) | Mesure d’usage uniquement sur notre site marketing, et seulement après consentement le cas échéant | Identifiants en ligne, données appareil et navigateur, pages consultées, localisation approximative | États-Unis ; mondial | policies.google.com/privacy |
| Prodigi | Production et expédition d’impression à la demande lorsqu’un Créateur sélectionne Prodigi (inscription de compte standard) | Adresse de livraison, détails de commande, fichiers d’impression | Royaume-Uni / UE / États-Unis selon le routage de commande | prodigi.com/privacy-policy |
| Gelato | Production et expédition d’impression à la demande lorsqu’un Créateur sélectionne Gelato (inscription de compte standard) | Adresse de livraison, détails de commande, fichiers d’impression | UE / mondial selon le routage de commande | gelato.com/privacy |
| Stadia Maps, Inc. | Tuiles de carte de base pour la Impact Map et d’autres visualisations de localisation | Requêtes de vue de carte, adresse IP et métadonnées de requête | États-Unis ; peut proposer des points de terminaison régionaux | stadiamaps.com/privacy/privacy-policy |
| Mapbox, Inc. | Recherche de lieux et géocodification pour les fonctions de localisation | Requêtes de recherche, coordonnées approximatives, adresse IP et métadonnées de requête | États-Unis ; peut traiter à l’échelle mondiale | mapbox.com/legal/privacy |
Sous-traitants dépendant des fonctionnalités
| Fournisseur | Quand utilisé | Notes |
|---|---|---|
| Global Biodiversity Information Facility (GBIF) | Fonctions de conservation : suggestions de noms d’espèces | Nos serveurs interrogent GBIF pour les noms et clés de taxons. Aucune donnée de contact du Client final n’est envoyée. |
Outils activés par le Créateur
Les Créateurs peuvent activer les éléments suivants sur leurs propres sites ou espaces de travail. Le Créateur décide s’ils sont utilisés et comment, et est responsable des données qu’ils reçoivent. Nous ne sommes pas leur sous-traitant pour les données d’audience du Créateur.
- Réseaux publicitaires et embeds : Google AdSense, Mediavine, Carbon et fournisseurs similaires, sur les sites de Créateur éligibles.
- Publication de jeux de données vers GBIF : un Créateur ou son institution peut publier des jeux de données sous sa propre relation d’éditeur GBIF approuvé. GBIF est alors une destination choisie par le Créateur. Voir gbif.org/terms.
- Traduction et IA (BYOK) : lorsqu’un Créateur fournit sa propre clé API DeepL, Google Gemini ou OpenAI sous Paramètres → Intégrations → Traduction, le contenu que le Créateur choisit de traduire est envoyé à ce fournisseur sous le compte et les conditions du Créateur. Voir Langues du site multilingue.
4. Commerce et exécution du Créateur
Lorsqu’un Client final achète sur le site d’un Créateur :
- Stripe, y compris Stripe Connect, traite les données de paiement et de taxe selon le rôle de Stripe dans cette transaction.
- Prodigi, Gelato ou un autre laboratoire intégré reçoit les données de production et d’expédition nécessaires pour exécuter la commande.
Pour ces flux, le Créateur est généralement le responsable du traitement des données personnelles du Client final, et nous agissons comme sous-traitant du Créateur comme décrit dans notre DPA.
5. Modifications de cette liste
Nous pouvons ajouter ou remplacer des sous-traitants à mesure que les Services évoluent. Avant qu’un nouveau sous-traitant commence à traiter des données personnelles pour notre compte en tant que fournisseur de plateforme, nous :
- Mettrons à jour cette page ; et
- Donnerons aux titulaires de compte un préavis d’au moins 30 jours par e-mail ou avis dans le tableau de bord.
Pour être informé des changements, envoyez un e-mail à [email protected] avec l’objet Subprocessor updates.
Si vous vous opposez à un nouveau sous-traitant pour des motifs raisonnables de protection des données, écrivez à [email protected] dans les 30 jours suivant l’avis. Nous travaillerons de bonne foi pour traiter la préoccupation, ce qui peut inclure une alternative ou vous permettre d’arrêter d’utiliser la fonctionnalité concernée. Les clients disposant d’un DPA signé peuvent avoir des droits de notification ou d’opposition différents selon cet accord.
6. Sécurité et diligence raisonnable
Nous évaluons les sous-traitants au regard de pratiques de sécurité et de confidentialité adaptées aux données qu’ils traitent, y compris les obligations contractuelles, les limitations d’accès et l’alignement avec notre programme de sécurité. Pour un aperçu de notre infrastructure, voir Platform foundation. Cet aperçu ne remplace pas un questionnaire de sécurité client ni un DPA signé.
7. Questions
DPA et conformité B2B : [email protected]
Questions sous-traitants / confidentialité : [email protected]
Historique des modifications
- 2026-10-11 : Liste révisée. Directus retiré en tant que sous-traitant (auto-hébergé ; décrit sous Google Cloud). Ajout de Google Tag Manager et Google Analytics 4 (site marketing), Stripe Tax, Bunny Stream/CDN avec stockage principal à Francfort, Cloudflare R2 ENAM, Amazon SES us-east-1, réseaux publicitaires activés par le Créateur (Mediavine, Carbon) et fournisseurs de traduction BYOK. Clarification de la notification et de l’opposition via [email protected].