--- title: "Sous-traitants : qui traite des données pour Syba" description: "Chaque tiers qui traite des données pour Syba, ce que chacun reçoit, dans quel but et dans quelle région les données sont traitées." canonical: https://sybainsurance.com/fr-BE/trust/subprocessors --- Centre de confiance # Qui traite des données pour nous. 12 prestataires utilisés aujourd'hui. Chaque ligne indique ce qui parvient au prestataire et le code qui l'envoie, pour que l'affirmation puisse être vérifiée. - ## Netlify, Inc. hébergement, États-Unis (edge mondial de Netlify ; région de calcul principale us-east). Héberge ce site et ses fonctions serverless ; Netlify Blobs est le stockage clé-valeur principal des comptes, abonnements, registres de rapports par licence, audits, polices et documents du coffre-fort. Reçoit : Tout ce que l'application conserve en dehors de Convex. L'inventaire, stockage par stockage, figure dans lib/data-stores.ts. source : `lib/blobs.ts, netlify.toml` - ## Convex, Inc. base de données, États-Unis (déploiement Convex wooden-crow-226). Système de référence pour les comptes utilisateurs, les réinitialisations de mot de passe et les tables du backend org v2 (organisations, adhésions, invitations, licences, abonnements, polices, signalements, audit, budgets). Reçoit : E-mail du compte + empreinte du mot de passe ; lignes d'adhésion à l'organisation indexées par e-mail ; identifiants de licence et d'acteur hachés ; jetons d'invitation (hachés, jamais en clair). source : `lib/convex.ts, convex/schema.ts` - ## Stripe, Inc. paiements, États-Unis, avec un traitement dans l'UE pour le compte de Syba Europe BV. Traitement des paiements et facturation des abonnements. Paiement hébergé ; les données de carte n'atteignent jamais nos serveurs. Reçoit : E-mail, nom, adresse de facturation, formule et prix choisis. Les données de carte vont directement à Stripe. source : `lib/stripe.ts, docs/PAYMENTS.md` - ## OpenRouter, Inc. inférence IA, Routage basé aux États-Unis ; la région du modèle sous-jacent dépend du fournisseur choisi. Achemine les requêtes IA (raisonnement de l'audit public, concierge du tableau de bord et niveau d'escalade par vision IA de l'extension) vers le fournisseur de modèle sous-jacent. Reçoit : Le prompt et le contexte de la fonction utilisée. Pour le niveau vision de l'extension : l'URL et le titre de la page, et une capture d'écran réduite (plus grand côté limité à 1024px, envoyée uniquement si l'URL ne figure pas sur la liste des domaines sûrs et qu'une heuristique ou un signal de contenu s'est déjà déclenché). source : `lib/audit/reasoning-agent.ts, syba-agent-extension/lib/api.js (callOpenRouter), syba-agent-extension/lib/heuristics.js (fitDimensions, shouldEscalateToVision)` - ## Anthropic, PBC inférence IA, États-Unis. Les modèles Claude derrière l'agent de raisonnement de l'audit public et le concierge du tableau de bord, appelés via @anthropic-ai/sdk avec tool_use (jamais un fetch brut). Reçoit : Le contexte de conversation de l'audit ou du concierge pour la requête en cours. source : `lib/audit/reasoning-agent.ts` - ## Google LLC identité, Mondial (infrastructure Google). Connexion Google facultative, et Google Web Risk comme l'un des fournisseurs derrière /api/extension/url-reputation. Reçoit : Profil OAuth (e-mail, nom) pour la connexion. Pour Web Risk, lorsque GOOGLE_WEB_RISK_API_KEY est défini : l'URL complète de la page soumise par l'extension d'un utilisateur connecté, jamais le contenu de la page. Des recherches par préfixe de hachage remplacent les URL complètes dans le plan U5 (non livré). source : `app/api/auth/google/route.ts, lib/auth.ts (googleOAuthEnabled), app/api/extension/url-reputation/route.ts (checkGoogleWebRisk)` - ## IPQualityScore LLC (IPQS) renseignement sur les menaces, États-Unis. Fournisseur de réputation d'URL derrière /api/extension/url-reputation, appelé lorsque IPQS_API_KEY est défini. Reçoit : L'URL complète de la page soumise par l'extension d'un utilisateur connecté. L'épuration avant envoi est prévue (U5), pas livrée. source : `app/api/extension/url-reputation/route.ts (checkIpqs)` - ## AgentMail, Inc. e-mail, États-Unis (AgentMail, Inc., San Francisco ; sa politique de confidentialité indique que les données sont transférées et traitées aux États-Unis). E-mail transactionnel : le lien de réinitialisation du mot de passe envoyé à un client, le rapport Site Check programmé envoyé au compte qui l'a programmé, l'invitation de la formule famille senior envoyée à chaque personne qu'un acheteur protège avec la confirmation de l'acheteur, et des alertes internes au personnel de SYBA. SYBA n'envoie aucun autre e-mail d'accueil ou d'invitation, ni aucun e-mail de vérification ou de marketing. Reçoit : Pour une réinitialisation de mot de passe : l'adresse e-mail du compte, le prénom et un lien de réinitialisation à usage unique. Pour un rapport Site Check : l'adresse e-mail du compte, le site vérifié, son score et ses constats, et les prompts de correction. Pour une invitation de la formule famille : l'adresse e-mail et le nom facultatif de la personne protégée, l'adresse e-mail de l'acheteur et un lien à usage unique pour choisir un mot de passe ; la confirmation de l'acheteur liste ces personnes. Pour une alerte au personnel : ce que la personne a saisi dans le formulaire de contact, de devis, de sinistre ou d'incident (nom, adresse e-mail, message et détails de l'incident), adressé au personnel de SYBA. source : `lib/transactional-email.ts (sendViaAgentMail), lib/auth.ts (emailResetLink), lib/concierge-notify.ts (attemptNotification), lib/site-check/report-email.ts (sendSiteCheckReport), lib/family-invite-email.ts (sendFamilyEmail)` - ## Have I Been Pwned (Troy Hunt) renseignement sur les menaces, Mondial (derrière Cloudflare). Recherches d'exposition à des fuites de données pour l'e-mail du compte que vous nous demandez de vérifier, et (v3, lorsque HIBP_API_KEY est configuré) pour le détail des fuites nommées ; à défaut, une vérification de présence dans Pwned Passwords par k-anonymat. Reçoit : L'adresse e-mail vérifiée (HIBP v3), ou uniquement un préfixe SHA-1 tronqué (repli par k-anonymat : l'empreinte complète et l'e-mail ne quittent jamais ce serveur). source : `lib/breach-monitor.ts` - ## VirusTotal (Google) renseignement sur les menaces, Impossible à établir à partir de notre code ; voir les conditions du fournisseur. Lecture de réputation d'URL derrière /api/extension/url-reputation lorsque VIRUSTOTAL_API_KEY est défini. Retrait approuvé (O9) ; il cesse au prochain déploiement en production. Reçoit : L'URL complète de la page, encodée en base64url dans le chemin de recherche (lecture d'un rapport existant ; l'URL n'est jamais soumise pour analyse). source : `app/api/extension/url-reputation/route.ts (checkVirusTotal)` - ## urlscan.io renseignement sur les menaces, Impossible à établir à partir de notre code ; voir les conditions du fournisseur. Recherche dans les analyses existantes derrière /api/extension/url-reputation lorsque URLSCAN_API_KEY est défini. Retrait approuvé (O9) ; il cesse au prochain déploiement en production. Reçoit : L'URL de la page comme requête de recherche ; l'URL n'est jamais soumise pour une nouvelle analyse. source : `app/api/extension/url-reputation/route.ts (checkUrlscan)` - ## AbuseIPDB renseignement sur les menaces, Impossible à établir à partir de notre code ; voir les conditions du fournisseur. Réputation d'IP derrière /api/extension/url-reputation lorsque ABUSEIPDB_API_KEY est défini. Reçoit : L'adresse IP vers laquelle se résout l'hôte de la page ; aucun chemin d'URL. source : `app/api/extension/url-reputation/route.ts (checkAbuseIpdb)` ## Prévu pour la version 2.0 Aucune version actuelle n'envoie quoi que ce soit à ces prestataires. Ils sont listés avant d'être utilisés. - ### Cloudflare, Inc. renseignement sur les menaces, Mondial (réseau Cloudflare). Prévu (U6, U8) : URL Scanner en mode non répertorié et renseignement sur les domaines sosies issu de la transparence des certificats, pour le niveau réputation. Aucune version actuelle n'appelle Cloudflare. Reçoit : Prévu : une URL épurée ou un domaine, jamais l'identité d'un client. source : `docs/plans/2026-09-14-1330-feat-syba-shield-2-enterprise-plan.md (U8, E42)` - ### abuse.ch renseignement sur les menaces, Suisse (Bern University of Applied Sciences). Prévu (U4, U6) : données communautaires sur les malwares et le phishing, sous une licence sans ambiguïté, pour la liste de blocage intégrée et le niveau consensus. Reçoit : Prévu : une URL épurée ou un domaine. source : `docs/plans/2026-09-14-1330-feat-syba-shield-2-enterprise-plan.md (U4, U6)` ## Autres pages du centre de confiance - [Centre de confiance](https://sybainsurance.com/fr-BE/trust) - [Sécurité](https://sybainsurance.com/fr-BE/trust/security) - [Flux de données](https://sybainsurance.com/fr-BE/trust/data-flow) - [Conservation](https://sybainsurance.com/fr-BE/trust/retention) - [Accord de traitement des données](https://sybainsurance.com/fr-BE/trust/dpa)