1. Aperçu
Catégorisation : Critique = traite des données personnelles substantielles. Standard = traite des métadonnées, de la télémétrie ou des données personnelles minimales. Controller distinct = pas un sous-traitant, régime juridique propre.
| # | Nom | Catégorie | Rôle | UE / Transfert |
|---|---|---|---|---|
| 1 | Auth0 (Okta) | Critique | Authentification et gestion des rôles | UE |
| 2 | Microsoft Azure | Critique | Hébergement, base de données, secrets, monitoring | UE (West Europe) |
| 3 | Vercel | Critique | Hébergement du site public et du back-office | Transfert (USA) sous DPF |
| 4 | Resend | Critique | E-mails transactionnels | UE |
| 5 | OnFact (Infinwebs BV) | Critique | Facturation et Peppol | Belgique |
| 6 | Google Maps Platform | Critique | Géocodage et calcul d'itinéraire | Transfert (USA) sous DPF |
| 7 | Microsoft Application Insights / Azure Monitor | Standard | Monitoring | UE |
| 8 | Google reCAPTCHA v3 | Standard | Détection de bots sur l'onboarding | Transfert (USA) sous DPF |
| 9 | Google Analytics 4 | Standard | Analyse web (uniquement après consentement) | Transfert (USA) sous DPF |
| — | Chiron (autorités flamandes) | Controller distinct | Enregistrement légal des courses | Belgique |
| — | Azure DevOps | Toolchain | Pipeline CI/CD (pas de données personnelles de production) | Sous le DPA Microsoft |
2. SP-1 — Auth0 (Okta, Inc.)
| Champ | Donnée |
|---|---|
| Fonction pour TaxiBuddy | Identity & access management : connexion, inscription, réinitialisation de mot de passe, gestion des rôles |
| Utilisé dans | Backend, site public, back-office et app mobile |
| Catégories de données personnelles | E-mail, hash de mot de passe, identity claims, identifiant utilisateur, attributions de rôles |
| Localisation du traitement | Tenant Auth0 UE — Francfort |
| Transfert hors EEE | Non — tenant UE |
| Entité juridique | Auth0 (repris par Okta, Inc.) — Auth0 EMEA Limited (Irlande) comme lieu d'établissement UE |
| Certifications | ISO 27001, ISO 27018, SOC 2 Type II, conforme RGPD |
| DPA | okta.com/agreements → « Okta Data Processing Addendum » |
| Privacy policy | okta.com/privacy-policy |
| Durée de conservation | Logs par défaut 30 jours ; utilisateurs jusqu'à désactivation |
| Évaluation | Approbation — standard de l'industrie, tenant UE, certifications solides |
3. SP-2 — Microsoft Azure
| Champ | Donnée |
|---|---|
| Fonction pour TaxiBuddy | Infrastructure cloud complète pour base de données, stockage, secrets et monitoring |
| Utilisé dans | Backend — toute la persistance et l'hébergement |
| Catégories de données personnelles | Contenu complet de la base de données : comptes, courses avec GPS, réservations, clients, véhicules, audit logs |
| Localisation du traitement | West Europe (centre de données Amsterdam) — toutes les ressources en région UE |
| Transfert hors EEE | Non — toutes les données en région UE. Microsoft EU Data Boundary appliqué |
| Entité juridique | Microsoft Ireland Operations Limited (pour les clients UE) |
| Certifications | ISO 27001, ISO 27018, ISO 27701, SOC 1/2/3, RGPD, EU Cloud Code of Conduct |
| DPA | Microsoft Products and Services DPA |
| Privacy policy | privacy.microsoft.com |
| Sécurité au repos | Transparent Data Encryption sur la base de données, clés de chiffrement gérées par Azure, Key Vault séparé |
| Évaluation | Approbation — infrastructure primaire, résidence des données robuste en UE |
4. SP-3 — Vercel Inc.
| Champ | Donnée |
|---|---|
| Fonction pour TaxiBuddy | Hébergement + CDN pour le site public, les pages d'onboarding et le back-office interne |
| Utilisé dans | Site public et back-office (server-side rendering) |
| Catégories de données personnelles | Requêtes HTTP : soumissions de formulaires (onboarding), appels authentifiés, pages rendues côté serveur avec données personnelles |
| Localisation du traitement | Région UE Francfort — SSR et fonctions edge au sein de l'UE |
| Transfert hors EEE | Vercel Inc. est une société américaine — le SSR/edge tourne sur la région UE Francfort. Garantie : Cadre UE-États-Unis de protection des données |
| Entité juridique | Vercel Inc. (Delaware, USA) |
| Certifications | SOC 2 Type II, ISO 27001, déclaration de conformité RGPD |
| DPA | vercel.com/legal/dpa |
| Privacy policy | vercel.com/legal/privacy-policy |
| Durée de conservation | Access logs par défaut 28 jours |
| Statut DPF | Vercel Inc. est certifié sous le Cadre UE-États-Unis de protection des données. TaxiBuddy vérifie cette certification chaque année via dataprivacyframework.gov |
| Évaluation | Approbation sous région UE + garantie DPF |
5. SP-4 — Resend (Resend, Inc.)
| Champ | Donnée |
|---|---|
| Fonction pour TaxiBuddy | Envoi d'e-mails transactionnels : mises à jour onboarding, invitations chauffeurs, tickets de course, instructions de paiement, e-mails de facture |
| Utilisé dans | Backend — service e-mail |
| Catégories de données personnelles | Adresses e-mail, noms, noms de société, références de paiement (IBAN et montant dans les instructions de paiement), détails de course et trajet GPS dans les tickets de course |
| Localisation du traitement | Région UE sur AWS UE (Irlande/Francfort) — Resend s'appuie sur AWS SES |
| Transfert hors EEE | Non — traitement en UE. Resend est une société américaine, donc pour l'accès support un accès depuis les USA peut avoir lieu |
| Entité juridique | Resend, Inc. (Delaware, USA) |
| Certifications | SOC 2 Type II (depuis 2024) |
| DPA | resend.com/legal/dpa |
| Privacy policy | resend.com/legal/privacy-policy |
| Adresse From | noreply@taxibuddy.be avec enregistrements DKIM, SPF et DMARC |
| Gestion des reply-to | Les réponses à noreply@taxibuddy.be ne sont pas surveillées. Canaux entrants pour les clients : info@taxibuddy.be (général) et privacy@taxibuddy.be (vie privée/RGPD) |
| Évaluation | Approbation — traitement en UE + DPA signé |
6. SP-5 — OnFact (Infinwebs BV)
| Champ | Donnée |
|---|---|
| Fonction pour TaxiBuddy | Plateforme de facturation : création et envoi de factures d'abonnement, intégration Peppol, synchronisation clients, enregistrement des paiements |
| Utilisé dans | Backend — intégration facturation |
| Catégories de données personnelles | Nom de la société, numéro de TVA, IBAN, adresse, e-mail de la personne de contact, lignes de facture, montants, statut de paiement |
| Entité juridique | Infinwebs BV — BCE BE 0714.992.641 — Stationsstraat 98, 1730 Asse, Belgique |
| Hébergement | AWS Dublin (Irlande) — au sein de l'EEE, certifié ISO 27001. AWS agit comme sous-sous-traitant, explicitement mentionné dans le DPA d'Infinwebs |
| Transfert hors EEE | Non — exclusivement EEE (selon les dispositions vie privée d'Onfact) |
| DPA | onfact.be/privacy-overeenkomst |
| Conditions générales | onfact.be/algemene-voorwaarden |
| DPO | Contact via support@onfact.be |
| Procédure fuite de données | Infinwebs informe TaxiBuddy dès que possible ; TaxiBuddy est responsable de la notification à l'APD pour le compte du client-controller |
| Rétention à la sortie | Archive d'un an après la fin du contrat, ensuite définitivement supprimée (suppression anticipée sur demande via support@onfact.be) |
| Sécurité | TLS 256 bits, 2FA via application d'authentification, chiffrement des mots de passe, accès support uniquement après consentement explicite du client |
| Évaluation | Approbation — suffisant pour un SaaS B2B avec traitement uniquement EEE |
7. SP-6 — Google Maps Platform
| Champ | Donnée |
|---|---|
| Fonction pour TaxiBuddy | Géocodage d'adresses, autocomplete dans les champs de recherche d'adresse, calcul d'itinéraire avec distance et temps estimés |
| Utilisé dans | Backend et app mobile — fonctions de recherche d'itinéraire et d'adresse |
| Catégories de données personnelles | Requêtes d'adresse (adresses de départ et de destination des courses), coordonnées lat/long |
| Localisation du traitement | Google LLC (États-Unis) + Google Ireland Limited |
| Transfert hors EEE | Oui — États-Unis |
| Entité juridique | Google Ireland Limited (pour les clients UE) — Google LLC (traitement des données) |
| Certifications | ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3 |
| Garantie | Cadre UE-États-Unis de protection des données (Google certifié) + CCT Google |
| DPA | cloud.google.com/terms/data-processing-addendum |
| Privacy policy | policies.google.com/privacy |
| Composants | Google Maps Routes API, Google Places API |
| Évaluation | Approbation sous garantie DPF + CCT |
8. SP-7 — Microsoft Application Insights / Azure Monitor
| Champ | Donnée |
|---|---|
| Fonction pour TaxiBuddy | Application Performance Monitoring, suivi des erreurs, distributed tracing |
| Utilisé dans | Backend et app mobile — monitoring |
| Catégories de données personnelles | Métadonnées des requêtes HTTP, stack traces d'exceptions, identifiants techniques (sans données personnelles en clair grâce au PII scrubbing en production) |
| Localisation du traitement | Azure West Europe (même région que les autres ressources Azure) |
| Transfert hors EEE | Non |
| DPA | Sous le DPA Microsoft (voir SP-2) |
| Durée de conservation | 90 jours |
| PII scrubbing | Un processeur de télémétrie nettoie les adresses e-mail, IBAN, numéros de TVA et numéros de téléphone belges de toute la télémétrie avant qu'elle ne quitte la production. Cela n'a lieu qu'en environnement de production |
| Évaluation | Approbation sous le DPA Microsoft |
9. SP-8 — Google reCAPTCHA v3
| Champ | Donnée |
|---|---|
| Fonction pour TaxiBuddy | Détection de bots sur le formulaire d'onboarding (score-based, pas de « cliquez sur les feux ») |
| Utilisé dans | Backend — anti-abus sur les formulaires publics |
| Catégories de données personnelles | Adresse IP, empreinte du navigateur, mouvements de souris, cookies de domaines Google |
| Localisation du traitement | Google LLC (États-Unis) |
| Transfert hors EEE | Oui — États-Unis |
| Garantie | Cadre UE-États-Unis de protection des données + CCT Google |
| DPA | cloud.google.com/terms/data-processing-addendum |
| Privacy policy | policies.google.com/privacy |
| Base juridique | Intérêt légitime (Art. 6(1)(f) RGPD) — protection contre la fraude et le spam sur les formulaires d'inscription B2B |
| Évaluation | Approbation avec mention explicite dans la politique de confidentialité |
10. SP-9 — Google Analytics 4
| Champ | Donnée |
|---|---|
| Fonction pour TaxiBuddy | Web analytics à des fins marketing |
| Utilisé dans | Web — GoogleAnalytics.tsx + PageViewTracker |
| Catégories de données personnelles | ID de session, vues de page, région géographique (niveau pays), IP anonymisée, métadonnées appareil/navigateur |
| Localisation du traitement | Google LLC (USA) |
| Transfert hors EEE | Oui — États-Unis |
| Garantie | Cadre UE-États-Unis de protection des données + CCT Google + anonymisation IP |
| Consent | Actif uniquement après opt-in explicite via la bannière cookies (Google Consent Mode v2, deny-by-default) |
| DPA | business.safety.google/adsprocessorterms |
| Cookies | _ga, _ga_* (durée de vie 1 an) — uniquement après consentement |
| Durée de conservation | 14 mois (maximum avec Google Analytics 4) |
| Évaluation | Approbation avec mécanisme de consentement + rétention 14 mois |
11. SP-10 — Capawesome Cloud (Genz IT Solutions GmbH)
| Champ | Donnée |
|---|---|
| Fonction pour TaxiBuddy | Mises à jour over-the-air (OTA) de l'application mobile — livraison de bundles et gestion du déploiement |
| Utilisé dans | Application mobile (iOS + Android, builds de production uniquement) — @capawesome/capacitor-live-update |
| Catégories de données personnelles | Adresse IP, identifiant d'appareil, ID d'app (e5e5009a-...), version de l'app, canal (production-<build>), infos OS. Aucune donnée de course, GPS, nom ou e-mail. |
| Siège social | Genz IT Solutions GmbH — Constance, Allemagne |
| Lieux de traitement | Hetzner (Allemagne, UE), Scaleway (France, UE), Cloudflare CDN (États-Unis) |
| Transfert hors EEE | Oui — Cloudflare CDN aux États-Unis |
| Garantie | DPA du 2026-04-16 ; transfert Cloudflare via le cadre UE-États-Unis de protection des données + CCT en repli |
| DPA | capawesome.io/legal/data-processing-agreement |
| Liste des sous-traitants (récursive) | capawesome.io/legal/subprocessors |
| Durée de conservation | Fenêtre d'export de 30 jours après résiliation, puis suppression ; sauvegardes immuables 30-90 jours |
| Catégorisation | Standard — pas de contenu utilisateur, uniquement télémétrie d'appareil pour la livraison de bundles |
| Évaluation | Approuvé — société allemande (juridiction RGPD), filet de sécurité DPF+CCT en couches pour les transferts vers les USA, aucun lien avec l'identité utilisateur |
12. EC-1 — Chiron (autorités belges)
Pas un sous-traitant — Chiron est un controller distinct (obligation publique sous la réglementation IBP belge).
| Champ | Donnée |
|---|---|
| Fonction pour TaxiBuddy | Enregistrement des courses légalement obligatoire sous la réglementation IBP belge |
| Utilisé dans | Backend — transmission des données de course |
| Catégories de données personnelles | ID de course, numéro de TVA, nom de la société, numéro de permis de conduire/carte de taxi, plaque d'immatriculation, GPS, horodatages, distance, prix (pas de données passagers) |
| Localisation | Autorités flamandes (Mobilité et Travaux publics) |
| Transfert hors EEE | Non |
| Base de traitement | Obligation légale (Art. 6(1)(c) RGPD) — Décret IBP |
| Sécurité | OAuth2 bearer tokens, identifiants par société dans Azure Key Vault |
| DPA | Sans objet — les autorités sont un responsable du traitement distinct |
| Évaluation | Reporting obligatoire — mentionné dans toutes les déclarations de confidentialité |
13. EC-2 — Azure DevOps (CI/CD)
| Champ | Donnée |
|---|---|
| Fonction pour TaxiBuddy | Source control + pipelines CI/CD pour les déploiements |
| Utilisé dans | Toutes les bases de code |
| Catégories de données personnelles | Pas de données personnelles de production au runtime — code source + logs de build + secrets de déploiement |
| Localisation du traitement | Microsoft Azure (West Europe) |
| Transfert hors EEE | Non |
| DPA | Sous le DPA Microsoft (voir SP-2) |
| Évaluation | Pas un sous-traitant distinct — traitement sous le DPA Microsoft |
14. Catégories de services que TaxiBuddy N'UTILISE PAS
Par souci de transparence, ce que nous n'utilisons pas aujourd'hui. Cette liste ne grandit que quand nous mettons effectivement en service une nouvelle partie, conformément à la procédure de la section suivante.
| Catégorie | Statut | Impact futur |
|---|---|---|
| Stripe / Mollie / Adyen (paiements par carte) | Pas présent | Possiblement plus tard — les paiements d'abonnement passent aujourd'hui par virement bancaire (IBAN dans l'e-mail) |
| Twilio / MessageBird / Vonage (SMS) | Pas présent | Possiblement plus tard pour la confirmation de réservation |
| Firebase Cloud Messaging / APNs (push) | Pas présent | Possiblement plus tard pour les alertes chauffeur |
| AWS S3 / Cloudinary / Bytescale (uploads de fichiers) | Pas présent | Possiblement plus tard pour les photos de profil / documents |
| Sentry / Bugsnag / Rollbar (suivi des erreurs) | Pas présent | App Insights remplit ce rôle |
| Algolia / Meilisearch (recherche) | Pas présent | — |
| LaunchDarkly / Flagsmith (feature flags) | Pas présent | Service custom dans le code |
| Intercom / Crisp / Drift (chat) | Pas présent | — |
| HubSpot / Salesforce / Pipedrive (CRM) | Pas présent | — |
| OpenAI / Anthropic (AI/LLM) | Pas présent | — |
| Mailchimp / Loops / Klaviyo (e-mailing marketing) | Pas présent | Uniquement des e-mails transactionnels via Resend |
15. Procédure en cas de modification des sous-traitants
Conformément à l'Art. 28(2) RGPD. En cas d'ajout d'un nouveau sous-traitant :
- Préalablement inscription dans cette liste (mise à jour de version + date)
- Notification à tous les clients existants par e-mail au moins 30 jours avant la mise en service
- Droit d'opposition pour les clients — en cas d'opposition motivée : solution alternative ou droit de résiliation
- Mise à jour de l'annexe DPA automatiquement applicable au prochain renouvellement périodique du contrat
En cas de remplacement d'un sous-traitant :
- Notification au moins 30 jours à l'avance
- Plan de migration des données inclus dans la notification
- Preuve de destruction des données chez l'ancien sous-traitant
En cas de modification de la portée (par ex. catégories de données supplémentaires, autre région) :
- Notification dans un délai raisonnable (au moins 14 jours)
- Mise à jour dans cette liste
16. Références
- Conditions générales : /fr/terms — la liste des sous-traitants y est l'Annexe B.
- Politique de confidentialité : /fr/privacy
- Autorité belge de protection des données (APD) : autoriteprotectiondonnees.be
- Cadre UE-États-Unis de protection des données : dataprivacyframework.gov
*Questions sur cette liste ou sur les traitements RGPD : privacy@taxibuddy.be. Questions générales : info@taxibuddy.be.*