Vook s'appuie sur des prestataires de confiance, appelés sous-traitants, pour fournir le Service. Cette page recense tous les sous-traitants susceptibles de traiter des données personnelles pour notre compte, conformément à l'article 28 du Règlement Général sur la Protection des Données (RGPD).

Cette page est mise à jour au moins trente (30) jours avant l'ajout ou le remplacement d'un sous-traitant. Nos clients professionnels peuvent s'y opposer pendant cette période pour des motifs raisonnables liés à la protection des données et, à défaut d'accord alternatif, résilier leur abonnement sans pénalité. Ce mécanisme est prévu à l'article 4 de notre Accord de Traitement des Données (DPA).

Dernière mise à jour : 2026-09-08.

Sous-traitants principaux

Ces prestataires traitent des données personnelles de nos clients ou de leurs utilisateurs finaux dans le cadre du Service.

Scaleway

• Rôle : hébergement applicatif ; stockage objet pour les contenus utilisateurs (audio, transcriptions, artefacts dérivés), stockés chiffrés (AES-256) ; Key Manager encapsulant les clés de récupération activées par l'utilisateur.
• Données personnelles : contenu audio (texte chiffré), transcriptions (texte chiffré), échanges LLM (texte chiffré) ; matériel de clé de récupération.
• Entité : Scaleway S.A.S. (France, UE).
• Localisation du traitement : fr-par (Paris, France).
• Base de transfert : intra-UE ; aucun transfert hors UE. Clauses Contractuelles Types (CCT) également intégrées au DPA à titre de repli.

RunPod

• Rôle : inférence GPU pour la transcription et la diarisation des locuteurs ; traitement éphémère.
• Données personnelles : contenu audio et transcriptions, en clair en mémoire GPU pendant l'inférence uniquement ; texte chiffré au repos.
• Entité : RunPod, Inc. (États-Unis).
• Localisation du traitement : serveurs GPU en UE/EEE (point d'accès restreint aux centres de données UE/EEE, Secure Cloud).
• Base de transfert : CCT intégrées au DPA publié par le prestataire.

Stripe

• Rôle : traitement des paiements. Agit en qualité de sous-traitant pour le service principal et de responsable de traitement indépendant pour la prévention de la fraude et la conformité réglementaire.
• Données personnelles : nom, e-mail, coordonnées de facturation, métadonnées de paiement (non chiffrées côté Vook).
• Entité : Stripe Payments Europe Ltd (Irlande, UE) ; Stripe LLC (États-Unis).
• Localisation du traitement : UE + États-Unis (Stripe LLC) sous CCT.
• Base de transfert : CCT (modules 1 et 2) via le Data Transfers Addendum ; Stripe LLC est certifiée au titre du Cadre de Protection des Données UE–États-Unis (DPF).

Twilio SendGrid

• Rôle : envoi d'e-mails transactionnels et de campagne. Sous-traitant pour le contenu des e-mails ; responsable de traitement pour les métadonnées de compte et d'usage.
• Données personnelles : adresse e-mail, contenu des e-mails (non chiffrés côté Vook).
• Entité : Twilio Inc. (États-Unis).
• Localisation du traitement : États-Unis.
• Base de transfert : CCT intégrées au DPA Twilio (couvre SendGrid), et Règles d'Entreprise Contraignantes (BCR).

Google (connexion OAuth)

• Rôle : fournisseur d'identité « Se connecter avec Google ».
• Données personnelles : identifiants de compte, e-mail, jeton OAuth.
• Entité : Google Ireland Ltd (Irlande, UE) ; société mère américaine (Google LLC).
• Localisation du traitement : UE / mondiale.
• Base de transfert : CCT intégrées au DPA Google Cloud.

Microsoft (connexion OAuth)

• Rôle : fournisseur d'identité « Se connecter avec Microsoft ».
• Données personnelles : identifiants de compte, e-mail, jeton OAuth.
• Entité : Microsoft Ireland Operations Ltd (Irlande, UE) ; société mère américaine (Microsoft Corporation).
• Localisation du traitement : UE / mondiale.
• Base de transfert : CCT (2021) et Microsoft Additional Safeguards Addendum.

Google Gemini

• Rôle : grand modèle de langage (LLM) pour les résumés de transcriptions et le chat. Reçoit le contenu de transcription en clair uniquement sur action explicite de l'utilisateur, précédée d'un avis de consentement à la première utilisation.
• Données personnelles : contenu de transcription (en clair, dans le prompt), prompts utilisateur.
• Entité : Google LLC (États-Unis).
• Localisation du traitement : région mondiale par défaut (API Gemini Developer). Les clients professionnels peuvent activer l'option payante de résidence UE, qui localise les résumés et le chat sur un point d'accès UE (Vertex AI, multi-régions UE).
• Base de transfert : CCT via les Gemini API Additional Terms (offre payante) et les conditions de sous-traitance de Google. L'offre payante garantit qu'aucun contenu utilisateur n'est utilisé pour entraîner les modèles et qu'aucune donnée n'est conservée au-delà de la requête.

PayPal

• Rôle : traitement des paiements, aux côtés de Stripe. Agit en qualité de responsable de traitement indépendant.
• Données personnelles : nom, e-mail, métadonnées de facturation et de paiement (non chiffrées côté Vook).
• Entité : PayPal (Europe) S.à r.l. et Cie SCA (Luxembourg, UE) ; société mère américaine.
• Localisation du traitement : UE + mondiale au sein du groupe PayPal.
• Base de transfert : Règles d'Entreprise Contraignantes (BCR) pour les transferts depuis l'EEE (CCT uniquement sur la route Royaume-Uni du DPA de traitement des cartes).

Sous-traitants opérationnels

Ces prestataires traitent des données personnelles à titre incident dans le cadre de l'exploitation du Service (support, hébergement, observabilité, alerte, attribution marketing).

Google Workspace (Gmail)

• Rôle : messagerie professionnelle, y compris support client (contact@vook.ai).
• Données personnelles : correspondance e-mail, noms, toute donnée envoyée par les utilisateurs au support.
• Entité : Google Ireland Ltd (Irlande, UE) ; société mère américaine.
• Localisation du traitement : UE / mondiale.
• Base de transfert : CCT via le DPA Google Cloud / Workspace.

Datadog

• Rôle : journalisation applicative et observabilité.
• Données personnelles : journaux techniques, métadonnées de requête, empreinte d'adresse IP occasionnelle (voir la section 7 de la Politique de confidentialité).
• Entité : Datadog, Inc. (États-Unis).
• Localisation du traitement : site EU1 (datadoghq.eu, Allemagne) ; données au repos dans l'UE. Le support « follow-the-sun » peut accéder à des données stockées dans l'UE depuis l'extérieur de l'UE.
• Base de transfert : CCT et UK International Data Transfer Addendum.

Vercel

• Rôle : hébergement du frontend et de l'interface d'administration (Next.js). Les contenus audio et de transcription ne parviennent jamais à Vercel ; ils sont traités côté client.
• Données personnelles : données de compte et de profil, session, adresse IP, métadonnées de requête.
• Entité : Vercel Inc. (États-Unis).
• Localisation du traitement : UE + Amérique du Nord (les fonctions s'exécutent dans les deux régions) ; réseau de diffusion de contenu (CDN) mondial.
• Base de transfert : CCT (module 2) ; Vercel Inc. est certifiée au titre du DPF.

Slack

• Rôle : alertes internes d'erreur et d'information (webhooks).
• Données personnelles : journaux techniques et métadonnées susceptibles de contenir incidentellement des données personnelles.
• Entité : Slack Technologies LLC (Salesforce, États-Unis).
• Localisation du traitement : États-Unis.
• Base de transfert : CCT / Model Clauses ; Slack est certifiée au titre du DPF.

Google Ads

• Rôle : marketing et attribution des conversions. Enhanced conversions activées (téléversement d'identifiants e-mail hachés uniquement).
• Données personnelles : identifiants e-mail hachés (enhanced conversions), données de conversion.
• Entité : Google Ireland Ltd (Irlande, UE) ; société mère américaine.
• Localisation du traitement : UE / mondiale (aucune région UE sélectionnable par l'annonceur).
• Base de transfert : CCT (Appendix 3). Google Ads agit en qualité de sous-traitant pour les identifiants hachés téléversés ; le reste de la relation est régi par des conditions responsable-à-responsable.