Subprocessors

Dernière mise à jour : 6 novembre 2026

Cette page constitue l'annexe 3 de l'Avenant relatif au traitement des données (DPA). Elle liste les sous-traitants ultérieurs auxquels Cobbai SAS (« Cobbai ») fait appel pour fournir les Services, les traitements qui leur sont confiés, les données personnelles concernées, leur localisation et les garanties encadrant les transferts hors de l'Espace économique européen.

1. Liste des sous-traitants ultérieurs

OVH SAS (OVHcloud), Roubaix, France

• Traitement confié : Hébergement principal de la plateforme et des Données du Client, sur serveur dédié chiffré
• Données personnelles traitées : oui, toutes les catégories de données de l'annexe 1 du DPA
• Localisation : France
• Garantie de transfert : Non applicable (UE)

Scaleway SAS, Paris, France

• Traitement confié : Sauvegardes quotidiennes chiffrées
• Données personnelles traitées : oui, copies chiffrées de toutes les catégories de données de l'annexe 1 du DPA
• Localisation : France
• Garantie de transfert : Non applicable (UE)

Mistral AI SAS, Paris, France

• Traitement confié : Modèles d'intelligence artificielle (génération de réponses, classification, analyse)
• Données personnelles traitées : oui, contenu des messages et Données d'Entrée transmis aux modèles
• Localisation : France
• Garantie de transfert : Non applicable (UE)

OpenAI Ireland Ltd (OpenAI)

• Traitement confié : Modèles d'intelligence artificielle (génération de réponses, classification, analyse)
• Données personnelles traitées : oui, contenu des messages et Données d'Entrée transmis aux modèles
• Localisation : États-Unis
• Garantie de transfert : clauses contractuelles types de la Commission européenne, intégrées au DPA d'OpenAI

Anthropic Ireland, Limited (Anthropic)

• Traitement confié : Modèles d'intelligence artificielle (génération de réponses, classification, analyse)
• Données personnelles traitées : oui, contenu des messages et Données d'Entrée transmis aux modèles
• Localisation : États-Unis
• Garantie de transfert : clauses contractuelles types de la Commission européenne, intégrées au DPA d'Anthropic

Google, (Gemini)

• Traitement confié : Modèles d'intelligence artificielle (génération de réponses, classification, analyse)
• Données personnelles traitées : oui, contenu des messages et Données d'Entrée transmis aux modèles
• Localisation : États-Unis
• Garantie de transfert : clauses contractuelles types de la Commission européenne, intégrées au DPA de Google

DeepL SE, Cologne, Allemagne

• Traitement confié : Traduction de textes
• Données personnelles traitées : oui, textes transmis pour traduction
• Localisation : Union européenne
• Garantie de transfert : Non applicable (UE)

Apple Inc. (Apple)

• Traitement confié : Envoi de notifications push aux applications mobiles (Apple Push Notification service)
• Données personnelles traitées : oui, jeton d'appareil et contenu des notifications
• Localisation : États-Unis
• Garantie de transfert : clauses contractuelles types de la Commission européenne, intégrées aux conditions d'Apple

Google, (Firebase)

• Traitement confié : Envoi de notifications push aux applications mobiles (Firebase Cloud Messaging)
• Données personnelles traitées : oui, jeton d'appareil et contenu des notifications
• Localisation : États-Unis
• Garantie de transfert : clauses contractuelles types de la Commission européenne, intégrées au DPA de Google

Mailjet SAS, Paris, France

• Traitement confié : Envoi d'e-mails transactionnels
• Données personnelles traitées : oui, adresses e-mail des destinataires et contenu des messages
• Localisation : Union européenne
• Garantie de transfert : Non applicable (UE)

Cloudflare, Inc.

• Traitement confié : Réseau de diffusion de contenu (CDN), DNS et protection contre les attaques (WAF, anti-DDoS)
• Données personnelles traitées : oui, adresses IP et métadonnées des requêtes transitant par le réseau
• Localisation : réseau mondial, société établie aux États-Unis
• Garantie de transfert : clauses contractuelles types de la Commission européenne, intégrées au DPA de Cloudflare

2. Précisions

2.1 Certains sous-traitants ultérieurs ne sont sollicités que pour des fonctionnalités ou des Canaux spécifiques, par exemple la traduction. Ils ne traitent des Données du Client que si la fonctionnalité correspondante est utilisée.

2.2 Les fournisseurs de modèles d'intelligence artificielle ne reçoivent que les données nécessaires au traitement demandé. Conformément à l'article 3.f des Conditions d'utilisation des Services, Cobbai s'assure contractuellement qu'ils n'utilisent pas les Données du Client, les Données d'Entrée ni les Sorties pour entraîner leurs modèles au bénéfice de tiers.

2.3 Lorsque la fonctionnalité d'anonymisation est activée, les données personnelles détectées sont anonymisées avant leur transmission aux modèles d'intelligence artificielle, hors Fonctionnalités multimodales.

3. Modification de la liste

Cobbai informe ses clients de tout ajout ou remplacement d'un sous-traitant ultérieur en mettant à jour cette page et en les avertissant par e-mail, au moins 15 jours avant que le nouveau sous-traitant ne traite des Données personnelles du Client. En cas d'urgence liée à la sécurité ou à la continuité des Services, ce délai peut être réduit. Les clients peuvent s'opposer au changement dans les conditions de l'article 9 du DPA.

‍