Sous-traitants ultérieurs
Dernière mise à jour · 2026-09-09
Ceci est une traduction de courtoisie — en cas de divergence, la version anglaise de ce document fait foi.
Cette page liste chaque service tiers qui traite des données clients pour le compte de Rexa. Conformément à l'art. 28(2) du RGPD, les clients sont informés au moins 30 jours avant l'ajout d'un nouveau sous-traitant ultérieur.
Les sous-traitants marqués « Opt-in du client » ne voient les données clients que lorsque l'administrateur de l'espace de travail active explicitement cette intégration. La suppression d'une intégration révoque immédiatement l'accès du sous-traitant.
Sous-traitants actifs et prévus
| Fournisseur | Finalité | Région | Statut | DPA |
|---|---|---|---|---|
| AWS (Amazon Web Services) Uniquement des fichiers de reçus chiffrés — Rexa détient les clés, AWS ne voit que du texte chiffré. | Stockage objet S3 des blobs de reçus chiffrés ; KMS pour le déchiffrement des clés d'enveloppe. | eu-central-1 (Francfort) | Toujours actif | Signé |
| Fly.io Données d'espace de travail complètes, chiffrées au repos, TLS au sein du VPC. | Hébergement de l'API et des processus workers ; services managés Postgres + Redis. | ams (Amsterdam) | Toujours actif | Signé |
| Vercel Jetons de connexion (dans le navigateur uniquement), aucun stockage persistant de données clients. | Hébergement du site marketing et de l'application web cliente. | Régions edge UE (eu-central) | Toujours actif | Signé |
| Resend E-mail du destinataire + corps du message pendant la durée de la livraison (conservation Resend : 30 jours). | E-mails transactionnels (vérification, invitations, réinitialisation de mot de passe). | Région UE (si disponible) ; repli sur US-East avec CCT. | Toujours actif | En attente |
| Klippa Image du reçu + texte extrait. Selon la politique de conservation de Klippa. | OCR des reçus (lorsque OCR_PROVIDER=klippa). | Pays-Bas | Toujours actif | En attente |
| Anthropic Instantané d'activité de l'espace de travail (commerçants, montants, dates, statuts) + la question saisie par l'utilisateur. Ni e-mail ni numéro de carte. Aucune persistance côté Anthropic. | Assistant IA pour porteurs de carte (résumé + chat) lorsqu'il est activé par le client. | États-Unis (CCT américaines applicables). | Opt-in du client | En attente |
| TrueLayer Consentement AISP initié par le client + historique des transactions par consentement accordé. | Adaptateur Open Banking pour la synchronisation continue Amex Business. | UE + Royaume-Uni | Prévu (pas encore en service) | En attente |
| Exact Online Jetons OAuth autorisés par le client + les données que le client pousse via l'export. | Connecteur d'export comptable (lorsqu'il est configuré par le client). | Pays-Bas | Opt-in du client | Signé |
| Twinfield (Wolters Kluwer) Jetons OAuth autorisés par le client + les données de transaction que le client pousse via l'export. | Connecteur d'export comptable (lorsqu'il est configuré par le client). | Pays-Bas | Prévu (pas encore en service) | En attente |
| PostHog ID utilisateur pseudonyme + propriétés d'événements (jamais d'e-mail, de nom, de numéro de carte ni de contenu de reçu) + IP d'ingestion. | Analyse produit (événements serveur toujours ; événements in-app uniquement après consentement aux cookies). | Cloud UE (eu.i.posthog.com). | Toujours actif | En attente |
| Apple (APNs) Jeton push de l'appareil + titre/corps de la notification (une notification d'approbation inclut le commerçant et le montant). | Notifications push vers l'application iOS (approbations, rapprochements de reçus, rappels). | États-Unis (CCT américaines applicables). | Toujours actif | En attente |
| Sentry Traces d'erreurs + contexte de requête, y compris l'ID et l'e-mail de l'utilisateur connecté. | Surveillance des erreurs (production uniquement, lorsque SENTRY_DSN est défini). | Sentry SaaS (région UE). | Opt-in du client | En attente |
Comment nous informons les clients
Les administrateurs d'espace de travail reçoivent un e-mail au moins 30 jours avant la mise en service d'un nouveau sous-traitant ultérieur. Le même avis est publié dans le changelog de Rexa et sur cette page. Les clients peuvent s'opposer pendant la période de préavis ; si nous ne pouvons raisonnablement pas fournir le Service sans le nouveau sous-traitant, le client peut résilier sans pénalité.
S'abonner aux changements
Abonnez-vous aux mises à jour des sous-traitants en écrivant à privacy@rexa.one. Nous tenons une liste de notification distincte des e-mails marketing.
Questions
Questions sur un sous-traitant spécifique (région, conservation, posture de sécurité) : privacy@rexa.one. Nous répondons sous un jour ouvré.