Loading...
Mis à jour le 12 avril 2026
Sous-traitants
Transparence sur les sous-traitants de donnees personnelles (RGPD Art. 28)
01
Cadre juridique - RGPD Article 28
Conformement a l'article 28 du Reglement General sur la Protection des Donnees (RGPD - Reglement (UE) 2016/679), YaniPay SAS, en qualite de responsable de traitement, a recours a des sous-traitants pour le traitement de certaines donnees personnelles.
Obligations du responsable de traitement
L'article 28 du RGPD impose au responsable de traitement de ne faire appel qu'a des sous-traitants presentant des garanties suffisantes quant a la mise en oeuvre de mesures techniques et organisationnelles appropriees.
Contrat ecrit— Chaque sous-traitant est lie par un contrat ou acte juridique conforme a l'article 28 paragraphe 3 du RGPD
Instructions documentees — Les sous-traitants traitent les donnees uniquement sur instruction documentee de YaniPay
Audit et controle— YaniPay dispose d'un droit d'audit contractuel sur chaque sous-traitant
Notification d'incident — Obligation de notification a YaniPay dans les 48 heures en cas de violation de donnees
Responsable de traitement
YaniPay SAS — SIRET 927 884 759 00014
5, Chemin Bras Petard, 97412 Bras-Panon, La Reunion
DPO : Johan LEPINAY — dpo@yanipay.com
02
Liste des sous-traitants
Vous trouverez ci-dessous la liste exhaustive des sous-traitants auxquels YaniPay fait appel pour le traitement de vos donnees personnelles. Cette liste est mise a jour regulierement.
🇫🇷 Swan SAS
UEFrance
Contrat RGPD
Role
Banking as a Service (BaaS), IBAN, virements SEPA
Donnees traitees
Identite, donnees financieres
🇺🇸 Stripe Inc.
USA (UE via Irlande)
SCCs + DPA
Role
Traitement des paiements par carte
Donnees traitees
Donnees de transactions
🇬🇧 Onfido Ltd
Royaume-Uni
Contrat RGPD + BCR
Role
KYC / Verification d'identite
Donnees traitees
Identite, documents officiels
🇺🇸 Supabase Inc.
USA (UE via Allemagne)
SCCs + DPA
Role
Base de donnees et authentification
Donnees traitees
Toutes les donnees personnelles
🇺🇸 Vercel Inc.
USA
SCCs
Role
Hebergement web et CDN
Donnees traitees
Logs techniques
🇺🇸 ElevenLabs Inc.
USA
N/A
Role
Synthese vocale IA (TTS)
Donnees traitees
Aucune donnee personnelle
🇺🇸 Google LLC
USA (UE via Irlande)
SCCs + DPA
Role
Analytics, authentification OAuth
Donnees traitees
Donnees comportementales
🇺🇸 Anthropic PBC
USA
DPA
Role
IA assistant (Y.A.N.I.)
Donnees traitees
Conversations utilisateur
Derniere mise a jour :12 avril 2026 — Cette liste est revue trimestriellement. Tout changement de sous-traitant fait l'objet d'une notification prealable aux utilisateurs.
03
Garanties contractuelles
Chaque sous-traitant est soumis a des obligations contractuelles strictes visant a garantir la protection de vos donnees personnelles.
Mesures techniques
- -Chiffrement - Toutes les donnees sont chiffrees en transit (TLS 1.3) et au repos (AES-256)
- -Controle d'acces - Acces limite au personnel autorise selon le principe du moindre privilege
- -Journalisation - Tracabilite complete de tous les acces aux donnees personnelles
- -Pseudonymisation - Techniques de pseudonymisation appliquees lorsque possible
Mesures organisationnelles
- -Confidentialite - Engagement de confidentialite du personnel du sous-traitant
- -Formation - Formation reguliere du personnel a la protection des donnees
- -PCA/PRA- Plans de continuite et de reprise d'activite documentes et testes
- -Suppression - Obligation de suppression ou restitution des donnees en fin de contrat
Certifications des sous-traitants
Swan — Agree ACPR / PSP
Stripe — PCI DSS Niveau 1
Onfido — ISO 27001, SOC 2 Type II
Supabase — SOC 2 Type II
Google — ISO 27001, SOC 2/3
Vercel — SOC 2 Type II
04
Transferts hors Union europeenne
Certains de nos sous-traitants etant etablis en dehors de l'Union europeenne, des transferts de donnees personnelles peuvent etre realises vers des pays tiers, conformement au chapitre V du RGPD (articles 44 a 49).
Arret Schrems II et mesures supplementaires
Suite a l'arret de la CJUE du 16 juillet 2020 (Schrems II), YaniPay a mis en place des mesures supplementaires pour chaque transfert vers les Etats-Unis, conformement aux recommandations du CEPD 01/2020.
Mecanismes de transfert utilises
- 1.Clauses Contractuelles Types (SCCs)— Decision d'execution (UE) 2021/914 de la Commission du 4 juin 2021. Utilisees pour : Stripe, Supabase, Vercel, Google
- 2.Data Processing Agreements (DPA) — Accords de traitement des donnees specifiques avec engagements de localisation. Utilises pour : Stripe, Supabase, Google, Anthropic
- 3.Binding Corporate Rules (BCR)— Regles d'entreprise contraignantes approuvees par une autorite de controle. Utilisees pour : Onfido
- 4.Data Privacy Framework (DPF)— Cadre de protection des donnees UE-USA (decision d'adequation du 10 juillet 2023). Applicable pour : Stripe, Google, Vercel
Mesures supplementaires
- Chiffrement de bout en bout des donnees en transit et au repos
- Minimisation des donnees transferees (principe de proportionnalite)
- Evaluation d'impact des transferts (TIA) documentee pour chaque sous-traitant
- Hebergement en region UE privilegie lorsque disponible (Stripe Irlande, Supabase Allemagne, Google Irlande)
05
Votre droit a l'information
Conformement a l'article 13 du RGPD, vous etes en droit d'etre informe de l'existence de sous-traitants et des transferts de donnees. YaniPay s'engage a :
Maintenir cette liste a jour et accessible publiquement
Vous notifier par email en cas de changement significatif de sous-traitant
Vous permettre d'exercer votre droit d'opposition dans un delai de 30 jours apres notification
Contact DPO
Pour toute question relative aux sous-traitants ou pour exercer vos droits :
Voir egalement notre Politique de Confidentialite, la page Exercer vos Droits et notre Politique de Securite.