# Fournisseurs et transferts internationaux

Services, données concernées, pays et garanties à vérifier.

Information | FR | v1.0 | 2026-10-30

## Périmètre du registre

Inventaire technique, et non liste de sous-traitants contractuellement autorisés pour chaque client. Référence principale : revues internes des 20 septembre et 6 octobre 2026 ; les intégrations vidéo et temps réel repérées au 30 octobre sont signalées séparément. L’activation effective, l’entité contractante et les instruments de transfert doivent être confirmés dans l’annexe au DPA avant signature.

## Vercel | application

Requêtes, adresses IP, journaux et données transitant par les fonctions. Calcul observé aux États-Unis ; CDN et support potentiellement internationaux. DPA public : https://vercel.com/legal/dpa . Durée des journaux du compte non confirmée.

## Supabase | base et stockage

Comptes, projets, contenus, métadonnées et données d’authentification. Région principale observée : Francfort, Allemagne ; accès support et sous-traitants à examiner. Entité contractante à confirmer. DPA : https://supabase.com/legal/customer-resources/data-processing-addendum .

## OpenAI API | IA

Prompts, images, résultats et audio selon les fonctionnalités. Traitements notamment aux États-Unis ; résidence régionale non attestée pour ce compte. Le registre décrit l’absence d’entraînement par défaut pour l’API et des journaux de surveillance des abus pouvant être conservés jusqu’à 30 jours, sous exceptions. Aucun ZDR n’est attesté pour Renderz. DPA et conditions applicables à vérifier : https://openai.com/policies/data-processing-addendum/ .

## Google Gemini | IA

Prompts, images et réponses. Pays variables ; aucune résidence exclusivement européenne attestée. Facturation active et partage volontaire désactivé confirmés en septembre 2026. Les engagements du service payant et le DPA réellement applicable doivent être archivés. Conditions : https://ai.google.dev/gemini-api/terms .

## Freepik / Magnific | amélioration d’image

Images, instructions et résultats. Opérateur espagnol ; pays dépendant du modèle. La revue des conditions publiques du 6 octobre 2026 relève une exclusion de l’entraînement sur les images et voix dans la politique AI Suite, avec des durées distinctes pour les téléversements, données chez les fournisseurs de modèles et résultats. Cela ne prouve pas la couverture contractuelle propre à l’API utilisée par Renderz. DPA et garanties applicables au compte à finaliser avant autorisation des données personnelles. https://www.freepik.com/legal/privacy .

## AtlasCloud, Kling, fal, Decart, Daydream | vidéo et temps réel

Intégrations présentes dans le code ; leur présence ne prouve pas leur activation en production. Images, prompts, vidéos ou flux peuvent être concernés selon la fonction. Pour chacune : entité, pays, chaîne de fournisseurs, DPA, conservation, suppression et entraînement restent à valider pour le périmètre client. Ne pas y envoyer de données personnelles avant validation documentée.

## Resend | e-mails

Adresses, contenu des messages et informations de livraison. Opérateur Plus Five Five, Inc., États-Unis ; autres pays selon ses sous-traitants. Minimiser les messages et vérifier le cycle de conservation applicable au compte. https://resend.com/legal/dpa .

## Stripe | paiement

Coordonnées de facturation, abonnements et transactions. Traitement international ; rôle de responsable autonome ou de sous-traitant selon l’opération. Entité contractante et obligations de conservation propres aux services financiers à vérifier. Renderz ne reçoit pas le numéro de carte complet selon sa politique. https://stripe.com/legal/dpa .

## DataFast et Meta | audience et publicité

Services distincts du traitement des contenus confiés pour génération. Données de navigation et événements selon le consentement. DataFast : opérateur à Singapour, infrastructure notamment américaine ; Meta : traitements internationaux notamment américains. La politique indique un blocage des cookies facultatifs avant consentement. Les mesures serveur et journaux techniques ont leur propre périmètre. https://datafa.st/privacy ; https://www.facebook.com/legal/technology_terms .

## The Notification App | alertes

Alertes opérationnelles. La revue de production du 6 octobre 2026 constate des identifiants tronqués, un type/statut et un lien admin général, sans nom, e-mail ni image client. Ces identifiants sont pseudonymisés, non anonymes. Infrastructure propre annoncée chez Infomaniak en Suisse ; Apple/APNs reçoit les contenus de livraison et peut impliquer des traitements à l’étranger. La revue des conditions publiques relève 30 jours pour les messages, 90 jours pour les logs API et jusqu’à 90 jours après suppression pour les sauvegardes. DPA applicable au compte et garanties de transfert à finaliser. Ces durées ne sont pas des garanties globales concernant tous les intervenants.

## Transferts et changements

Un transfert hors de Suisse, y compris un accès depuis l’étranger, doit disposer du fondement applicable : adéquation ou garanties reconnues, avec examen et mesures complémentaires si nécessaires. Un DPA public ou la présence d’un fournisseur américain ne prouve pas à lui seul un transfert licite ou une certification DPF applicable. Les clauses types doivent comporter les adaptations suisses pertinentes. Les notifications de changement et objections sont régies par le DPA signé. Référence : https://www.edoeb.admin.ch/fr/communication-de-donnees-a-letranger .