Liste des sous-traitants ultérieurs
CIQRA OÜ · Version 2.5 · Dernière mise à jour : 4 novembre 2026 · Version française. Le texte anglais fait foi (Terms of Service) ; la présente version est publiée pour la commodité des Marchands établis au Québec et ailleurs au Canada.
La présente liste désigne les tiers que CIQRA mandate pour traiter des données personnelles dans le cadre de la fourniture de la plateforme CIQRA. Elle constitue l'Annexe III de l'Accord de traitement des données et des clauses contractuelles types qui y sont incorporées, et il y est renvoyé dans la Politique de confidentialité.
CIQRA OÜ, code de registre 16465907, Veskiposti tn 2, 10138 Tallinn, Harju maakond, Estonie · info@ciqra.com
1. Comment lire la présente liste
- CIQRA mandate les fournisseurs visés aux articles 2 à 5 pour traiter des données personnelles pour son compte — en qualité de sous-traitants ultérieurs lorsque CIQRA traite des Données personnelles du Marchand en tant que sous-traitant, et en qualité de sous-traitants lorsque CIQRA traite des données personnelles pour ses propres finalités.
- L'hébergement principal se trouve dans l'UE. Le calcul, la base de données, le stockage de fichiers et la gestion des clés de la plateforme fonctionnent sur Microsoft Azure en Allemagne.
- Lorsqu'un fournisseur est situé à l'extérieur de l'Espace économique européen, ou peut accéder aux données depuis l'extérieur de celui-ci, le transfert repose sur la décision d'adéquation relative au cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework) (décision d'exécution (UE) 2023/1795 de la Commission) lorsque le destinataire américain y est certifié, et sinon, et à titre subsidiaire, sur les clauses contractuelles types de l'UE (décision d'exécution (UE) 2021/914 de la Commission) — Module trois lorsque CIQRA agit en tant que sous-traitant, Module deux lorsqu'elle agit en tant que responsable du traitement — ainsi que sur l'Addenda britannique et les modifications suisses, le cas échéant (les « CCT »). Un résumé de l'évaluation d'impact du transfert de CIQRA figure à l'article 9.
- L'article 6 énumère les tiers qu'un Marchand choisit et avec lesquels il contracte directement, ainsi que les destinataires qui ne reçoivent des données personnelles que lorsqu'un visiteur a donné son consentement. Pour ceux-ci, le Marchand est généralement le responsable du traitement, et CIQRA ne leur transmet des données que sur instruction du Marchand.
- L'indexation de recherche s'exécute sur un logiciel exploité par CIQRA au sein de son propre environnement Azure en Allemagne et ne fait pas intervenir de sous-traitant ultérieur distinct.
2. Plateforme principale
| Fournisseur | Service | Données personnelles | Lieu | Garantie de transfert |
|---|---|---|---|---|
| Microsoft Ireland Operations Ltd (Microsoft Azure) | Hébergement, calcul, base de données, stockage de fichiers, sauvegardes, secrets et gestion des clés | Toutes les données hébergées sur la plateforme | UE — Allemagne-Centre-Ouest (Germany West Central) ; sauvegardes géoredondantes en Allemagne-Nord (Germany North) ; le service de redirection pour les domaines racines (apex) des Boutiques en Suède-Centre (Sweden Central) | Traitement au sein de l'EEE ; CCT pour tout accès depuis l'extérieur de l'EEE |
| Microsoft Ireland Operations Ltd (Azure Communication Services) | Livraison de courriels transactionnels | Nom et adresse courriel du destinataire ; contenu du message | UE | Traitement au sein de l'EEE ; CCT pour tout accès depuis l'extérieur de l'EEE |
| Cloudflare, Inc. | Diffusion de contenu, DNS, pare-feu applicatif Web, protection contre les attaques par déni de service et contre les robots, domaines personnalisés, protection contre les robots Turnstile | Adresse IP, métadonnées et en-têtes des requêtes | Réseau mondial ; États-Unis (société mère) | Cadre de protection des données UE-États-Unis (EU-U.S. DPF) (lorsque le destinataire est certifié) et CCT |
3. Paiements
| Fournisseur | Service | Données personnelles | Lieu | Fondement |
|---|---|---|---|---|
| Stripe Payments Europe, Limited (Irlande) et Stripe, Inc. (États-Unis) | CIQRA Pay : traitement des paiements, comptes Stripe Connect, vérification d'identité et d'entreprise, prévention de la fraude, versements | Données de paiement et de transaction ; données de vérification et de bénéficiaires effectifs. Les numéros de carte complets sont saisis par Stripe et ne parviennent jamais à CIQRA. | UE et États-Unis | Stripe agit en grande partie en qualité de responsable du traitement indépendant selon ses propres conditions ; cadre de protection des données UE-États-Unis (EU-U.S. DPF) (lorsque le destinataire est certifié) et CCT pour les transferts vers les États-Unis |
4. Services d'IA
Ce fournisseur ne reçoit des données que lorsqu'une fonctionnalité d'IA est utilisée, et c'est le seul fournisseur d'IA que CIQRA utilise. Voir les Conditions relatives aux fonctionnalités d'IA.
| Fournisseur | Service | Données personnelles | Lieu | Garantie de transfert |
|---|---|---|---|---|
| Microsoft Ireland Operations Ltd (Microsoft Azure AI Foundry, avec les modèles Azure OpenAI) | Génération de texte, traduction, représentations vectorielles (embeddings) pour la recherche et les recommandations, génération et retouche d'images, et assistants d'IA | Données d'entrée et de sortie minimisées de la fonctionnalité utilisée ; les adresses courriel, les numéros de téléphone, les numéros de carte et les IBAN sont remplacés par des marqueurs par défaut | Déploiements de zone de données de l'UE (EU Data Zone) uniquement : comptes Azure de CIQRA en Allemagne-Centre-Ouest (Germany West Central) (texte et embeddings) et en Suède-Centre (Sweden Central) (images) | Traitement au sein de l'EEE ; conditions de protection des données de Microsoft pour Azure, avec CCT pour tout accès depuis l'extérieur de l'EEE |
5. Services de sécurité et services aux entreprises
| Fournisseur | Service | Données personnelles | Lieu | Fondement |
|---|---|---|---|---|
| Google Cloud EMEA Limited (reCAPTCHA) | Protection des formulaires contre les robots lorsque l'exploitant du site Web l'active (voir l'article 4.1 de la Politique relative aux témoins (cookies)) | Données d'appareil et d'interaction provenant du formulaire protégé ; adresse IP | Irlande ; infrastructure mondiale de Google | Google agit en qualité de sous-traitant en vertu de l'avenant de traitement des données de Google Cloud (Google Cloud Data Processing Addendum) ; cadre de protection des données UE-États-Unis (EU-U.S. DPF) (lorsque le destinataire est certifié) et CCT |
| Hosting Concepts B.V. (Openprovider) | Enregistrement, renouvellement et transfert des noms de domaine qu'un Marchand achète par l'intermédiaire de CIQRA, sur le compte de revendeur de CIQRA | Coordonnées du titulaire (nom, organisation, adresse postale, adresse courriel, numéro de téléphone) | Pays-Bas (UE) | Traitement au sein de l'EEE. Le bureau d'enregistrement et le registre de chaque domaine de premier niveau traitent également les données d'enregistrement en qualité de responsables du traitement selon leurs propres politiques, comme l'exige le système d'enregistrement des noms de domaine |
| REKLAM BEŞ TANITIM VE BİLİŞİM HİZMETLERİ DANIŞMANLIK TURİZM SAN. TİC. LTD. ŞTİ. (« Reklam5 ») | Exploitation du locataire Microsoft 365 qui héberge la messagerie d'entreprise de CIQRA. Reklam5 ne vend ni ne facture les abonnements de CIQRA. Les services de référencement (SEO) ou de publicité que Reklam5 fournit à un Marchand font l'objet d'un contrat direct entre Reklam5 et ce Marchand ; à leur égard, Reklam5 n'est pas sous-traitant ultérieur de CIQRA | Correspondance envoyée aux adresses courriel de CIQRA et reçue de celles-ci, y compris toute donnée personnelle qu'elle contient | Türkiye | CCT (Module deux pour les données propres à CIQRA ; Module trois pour les Données personnelles du Marchand figurant dans la correspondance d'assistance) |
6. Tiers choisis par les Marchands et destinataires fondés sur le consentement
Ces tiers ne reçoivent des données personnelles que lorsque le Marchand les a sélectionnés pour sa Boutique et, le cas échéant, a contracté directement avec eux, ou, dans le cas des technologies fondées sur le consentement, lorsque le visiteur a donné son consentement. CIQRA n'est pas partie au contrat du Marchand avec eux.
| Destinataire | Finalité | Moment où les données sont communiquées | Fondement |
|---|---|---|---|
| Google Ireland Limited — Google Analytics 4, Google Tag Manager, Google Ads | Mesure analytique et publicitaire | Consentement à l'analyse ou au marketing | Consentement ; CCT |
| Intuition Machines, Inc. — hCaptcha | Protection des formulaires contre les robots | Lorsque l'exploitant du site Web le sélectionne | CCT |
| Meta Platforms Ireland Limited — Meta Pixel et Conversions API | Mesure publicitaire, y compris les événements côté serveur | Consentement au marketing | Consentement ; CCT |
| TikTok Technology Limited et TikTok Information Technologies UK Limited | Mesure publicitaire | Consentement au marketing | Consentement ; CCT |
| Pinterest Europe Ltd. | Mesure publicitaire | Consentement au marketing | Consentement ; CCT |
| Snap B.V. | Mesure publicitaire | Consentement au marketing | Consentement ; CCT |
| Microsoft Ireland Operations Limited — Microsoft Advertising | Mesure publicitaire, y compris le téléversement de conversions côté serveur avec adresse courriel et numéro de téléphone hachés | Consentement au marketing | Consentement ; cadre de protection des données UE-États-Unis (EU-U.S. DPF) / CCT |
| TrustedSite | Sceau de confiance et balise de conversion d'achat | Lorsque le Marchand l'installe | Selon le contrat du Marchand avec le fournisseur |
| Microsoft Ireland Operations Limited — Microsoft Clarity | Relecture de session et cartes thermiques (analyse) | Lorsque le Marchand l'active pour sa Boutique ; il ne fonctionne qu'après le consentement à l'analyse lorsque le consentement est requis | Selon les conditions de Microsoft avec le Marchand ; CCT de Microsoft ou cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework) pour tout transfert |
| Services de calcul de taxes sélectionnés par le Marchand (par exemple TaxJar) | Calcul et déclaration de la taxe de vente | Lorsque le Marchand connecte le service | Selon le contrat du Marchand avec le fournisseur |
| İleti Yönetim Sistemi A.Ş. (İYS), Türkiye | Enregistrement du consentement aux messages commerciaux comme l'exige le droit turc | Lorsque le Marchand connecte son compte İYS | Obligation légale du Marchand en vertu du droit turc |
| Transporteurs et services d'étiquettes sélectionnés par le Marchand (par exemple DHL, UPS, FedEx, Popout, Inc. d/b/a Shippo, Yurtiçi Kargo, Aras Kargo, MNG Kargo et PTT) | Tarifs d'expédition, étiquettes et suivi | Lorsque le Marchand active le transporteur et expédie une commande | Selon le contrat du Marchand avec le transporteur |
| Le fournisseur de SMS que le Marchand sélectionne et avec lequel il contracte (par exemple Netgsm İletişim ve Bilgi Teknolojileri A.Ş., Emarka İletişim ve Bilgi Teknolojileri A.Ş. (İletimerkezi), Twilio, Vonage, MessageBird, Amazon SNS ou une passerelle HTTP au choix du Marchand) | SMS transactionnels envoyés à partir du propre compte du Marchand auprès de son fournisseur | Lorsque le Marchand configure les SMS | Selon le contrat du Marchand avec son fournisseur |
| Canaux de vente et places de marché connectés par le Marchand (par exemple Temu, Faire et Shopify) | Mise en vente de produits et synchronisation des commandes et des stocks | Lorsque le Marchand connecte le canal | Selon le contrat du Marchand avec l'exploitant du canal |
| Fournisseurs de paiement sélectionnés par le Marchand autres que CIQRA Pay (par exemple iyzico, PayTR et fournisseurs de TPE virtuels bancaires) | Traitement des paiements | Lorsque le Marchand connecte le fournisseur | Selon le contrat du Marchand avec le fournisseur |
7. Autres destinataires
Les auditeurs, les conseillers juridiques et financiers et les autorités publiques peuvent recevoir des données personnelles lorsque la loi l'exige ou pour constater, exercer ou défendre des droits en justice, et un acquéreur ou un successeur peut en recevoir dans le cadre d'une fusion, d'une acquisition ou d'une réorganisation, sous réserve de confidentialité. Ces destinataires ne sont pas des sous-traitants ultérieurs.
8. Modifications de la présente liste
CIQRA peut mandater des sous-traitants ultérieurs supplémentaires, y compris des fournisseurs de services d'IA, de surveillance ou d'autres services. CIQRA donne un préavis d'au moins 30 jours de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur en mettant à jour la présente liste et en en avisant les Marchands par courriel ou dans le tableau de bord. Les Marchands peuvent s'y opposer en vertu de l'article 5.2 de l'Accord de traitement des données. Dans les cas urgents touchant la sécurité ou la continuité des Services, l'article 5.3 de l'Accord de traitement des données s'applique.
9. Évaluation d'impact du transfert — résumé
Évaluation effectuée le 2 octobre 2026 ; examinée le 18 octobre 2026, lorsque la génération d'images par l'IA est passée à un déploiement de zone de données de l'UE en Suède-Centre (Sweden Central) et que le bureau d'enregistrement de noms de domaine a été ajouté (les deux au sein de l'EEE, de sorte qu'aucun n'ajoute de transfert restreint) ; examinée le 30 octobre 2026, lorsque le rôle de Reklam5 a été restreint à l'exploitation de la messagerie d'entreprise de CIQRA (elle ne vend ni ne facture plus les abonnements, et ne reçoit donc plus les données de facturation des clients).
9.1 Destinataires aux États-Unis. Depuis le 10 juillet 2023, les transferts vers des destinataires américains certifiés au titre du cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework) sont couverts par la décision d'adéquation de la décision d'exécution (UE) 2023/1795 de la Commission, que le Tribunal de l'Union européenne a confirmée dans l'affaire T-553/23, Latombe c. Commission (3 septembre 2025). Pour Microsoft, Cloudflare, Stripe et Google, CIQRA se fonde sur cette décision lorsque le destinataire est certifié et, dans tous les cas, sur les CCT incorporées dans les conditions de traitement des données du fournisseur. Évaluation : risque faible. Les données de la plateforme sont stockées et traitées dans l'UE (Microsoft Azure, Allemagne ; IA sur des déploiements de zone de données de l'UE en Allemagne et en Suède). Cloudflare traite les données de trafic en transit au moyen de TLS. Stripe agit en grande partie en qualité de responsable du traitement indépendant. reCAPTCHA ne reçoit de CIQRA aucune adresse IP côté serveur. Les données sont chiffrées en transit et au repos, au moyen de clés propres à chaque locataire conservées dans le coffre de clés Azure Key Vault de CIQRA.
9.2 Reklam5 (Türkiye). Il n'existe aucune décision d'adéquation pour la Türkiye, et le droit turc confère aux autorités publiques des pouvoirs d'accès aux données (y compris la loi n° 2937 sur les services de renseignement de l'État) qui pourraient ne pas satisfaire aux normes de nécessité et de proportionnalité de l'UE. Les données concernées se limitent à la messagerie d'entreprise de CIQRA. Les transferts sont effectués en vertu des CCT (Module deux pour les données propres à CIQRA ; Module trois pour les Données personnelles du Marchand figurant dans la correspondance d'assistance), avec des mesures complémentaires : authentification multifacteur, aucun accès à la base de données de la plateforme et aucune exportation en bloc de Données personnelles du Marchand. Évaluation : risque moyen, acceptable moyennant ces mesures.
9.3 Examen. CIQRA examine la présente évaluation chaque fois qu'un sous-traitant ultérieur, un pays de destination ou la loi pertinente change, et au moins une fois par an.